资源描述：
《hp_unix主机安全控制方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、主机访问安全控制方案中国网通（集团）有限公司山东分公司起草：石骁騑中国惠普公司支持服务事业部客户支持工程师：石骁騑中国惠普有限公司北京市朝阳区建国路112号中国惠普大厦邮编：100022日期：2006年4月25日中国网通山东省分公司－主机访问安全控制方案文档信息服务名称：主机访问安全控制方案客户支持工程师：石骁騑文档版本编号：Ver1.0服务阶段：实施文档提交日期：2006-4-25起草人：石骁騑文档起草日期：2006-4-25复审人：郑恂复审日期：2006-4-25分发名单来自(From)日期电话/传真给(To)操作*
2、截止日期电话/传真审核*操作类型：批准,复审,通知,存档,所需行动,参加会议,其它(请指明)版本历史信息版本编号版本日期创建/修改人说明文件名V1.02006-4-25石骁騑创建文档V1.12006-5-10石骁騑增加OS方面的一些安全实施方案注意事项本报告中的观点和决定都不代表任何官方立场。它仅用于交流科技信息。中国网通（集团）有限公司山东省分公司：简称山东网通；中国惠普有限公司：以下简称中国惠普，或HP；本文中所有内容均属山东网通和HP的商业秘密。未经允许，不得作任何形式的复制和传播。山东网通&中国惠普保密文件页号：
3、11of11中国网通山东省分公司－主机访问安全控制方案目录1文档介绍41.1摘要41.2客户受益41.3责任人42需求概述53实施方案63.1限制root用户方法63.2对主机的控制访问63.3设置密码规范73.4锁定系统默认账号83.5超时设置83.6Umask83.7不用服务端口关闭93.8设置信任模式10山东网通&中国惠普保密文件页号：11of11中国网通山东省分公司－主机访问安全控制方案1文档介绍1.1摘要中国网通内控要求，对于承载关键业务系统的主机的访问进行有效控制，本文档详细描述了惠普主机实现访问控制的详细步
4、骤和方案。1.2客户受益通过此文档，中国网通集团山东省分公司相关领导及技术专家能够清晰地了解实现惠普主机访问控制的详细实施方案和步骤，可以根据此文档修改相关惠普主机的安全性。1.3责任人角色姓名职务日期签字备注起草人石骁騑战略客户服务经理2006年4月25日复审人郑恂战略客户服务部华北区经理2006年4月25日若您对本文档存在任何疑问或建议，请联系中国惠普公司客户支持工程师石骁騑联系。电话：010-65645739/13910775061电子邮件：xiaofei.shi@hp.com山东网通&中国惠普保密文件页号：11o
5、f11中国网通山东省分公司－主机访问安全控制方案1需求概述中国网通内控项目要求，对承载关键业务系统的小型机访问控制如下：q远程用户不能通过root用户直接访问主机，只能在consloe平台下使用root用户，普通用户登录后，可以通过Su的方法使用root用户的权限；q限制只有某些固定的IP地址可以访问某台小型机；q设置密码规范，格式如下：-密码格式：由数字、字母和符号组成-无效登录次数：3次无效登录-历史密码记忆个数：8-12个-密码修改期限：90天-密码长度：最小6位q锁定系统默认账号-对系统默认帐号（例如：daemo
6、n,bin,sys,adm,lp,smtp,uucp,nuucp,listen,nobody,noaccess,guest,nobody,lpd）进行锁定q超时设置-10分钟超时设置qUmask-超级用户 027-一般用户 022q不用服务端口关闭-在/etc/services和/etc/inetd.conf里，对不用的服务端口关闭，如FTP,www,telnet,rshorrexec山东网通&中国惠普保密文件页号：11of11中国网通山东省分公司－主机访问安全控制方案实施方案1.1限制root用户方法UNIX系统中，计
7、算机安全系统建立在身份验证机制上。如果root口令失密，系统将会受到侵害，尤其在网络环境中，后果更不堪设想。因此限制用户 root 远程登录，对保证计算机系统的安全，具有实际意义。下面的方法能达到限制 root 远程登录的目的。 限制root用户通过telnet登录：echo"console">/etc/securetty限制root用户通过ssh登录：编辑/opt/ssh/etc/sshd_config：PermitRootLoginno重启sshd:/sbin/init.d/secshstop/sbin/init.
8、d/secshstart需要注意的是，设置此项后，root将不能远程使用telnet/ssh登录，因此在设置之前应进行良好的规划。1.2对主机的控制访问对于某关键业务系统主机，只容许某几个IP地址访问该系统主机，实现方法如下：阻止telnet，rlogin等服务访问某个主机，修改/var/adm/inetd.sec文
