【9A文】信息系统安全基线

《【9A文】信息系统安全基线》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、【MeiWei_81重点借鉴文档】1.操作系统安全基线技术要求1.1.1.AIR系统安全基线1.1.1.系统管理通过配置操作系统运维管理安全策略，提高系统运维管理安全性，详见表1。表1AIR系统管理基线技术要求序号基线技术要求基线标准点（参数）说明1限制超级管理员权限的用户远程登录PermitRootLoginno限制root用户远程使用telnet登录（可选）2使用动态口令令牌登录安装动态口令3配置本机访问控制列表（可选）配置/etc/hosts.allow,/etc/hosts.denR安装TCPWrappe

2、r，提高对系统访问控制1.1.2.用户账号与口令通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表2。表2AIR系统用户账户与口令基线技术要求序号基线技术要求基线标准点（参数）说明4限制系统无用默认账号登录daemon（禁用）bin（禁用）sRs（禁用）adm（禁用）uucp（禁用）nuucp（禁用）lpd（禁用）guest（禁用）pconsole（禁用）esaadmin（禁用）sshd（禁用）清理多余用户账号，限制系统默认账号登录，同时，针对需要使用的用户，制订用户列表，并妥善保存5控制用

3、户登录超时时间10分钟控制用户登录会话，设置超时时间【MeiWei_81重点借鉴文档】【MeiWei_81重点借鉴文档】1口令最小长度8位口令安全策略（口令为超级用户静态口令）2口令中最少非字母数字字符1个口令安全策略（口令为超级用户静态口令）3信息系统的口令的最大周期90天口令安全策略（口令为超级用户静态口令）4口令不重复的次数10次口令安全策略（口令为超级用户静态口令）1.1.1.日志与审计通过对操作系统的日志进行安全控制与管理，提高日志的安全性，详见表3。表3AIR系统日志与审计基线技术要求序号基线技术要求

4、基线标准点（参数）说明5系统日志记录（可选）authlog、sulog、wtmp、failedlogin记录必需的日志信息，以便进行审计6系统日志存储（可选)对接到统一日志服务器使用日志服务器接收与存储主机日志，网管平台统一管理7日志保存要求（可选）6个月等保三级要求日志必须保存6个月8配置日志系统文件保护属性（可选）400修改配置文件sRslog.conf权限为管理员账号只读9修改日志文件保护权限（可选）400修改日志文件authlog、wtmp、sulog、failedlogin的权限管理员账号只读1.1.2

5、.服务优化通过优化操作系统资源，提高系统服务安全性，详见表4。表4AIR系统服务优化基线技术要求序号基线技术要求基线标准点（参数）说明10discard服务禁止网络测试服务，丢弃输入,为“拒绝服务”攻击提供机会,除非正在测试网络，否则禁用11daRtime服务禁止网络测试服务，显示时间,为“拒绝服务”攻击提供机会,除非正在测试网络，否则禁用【MeiWei_81重点借鉴文档】【MeiWei_81重点借鉴文档】1chargen服务禁止网络测试服务，回应随机字符串,为“拒绝服务”攻击提供机会,除非正在测试网络，否则禁用

6、2comsat服务禁止comsat通知接收的电子邮件，以root用户身份运行，因此涉及安全性,除非需要接收邮件，否则禁用3ntalk服务禁止ntalk允许用户相互交谈，以root用户身份运行，除非绝对需要，否则禁用4talk服务禁止在网上两个用户间建立分区屏幕，不是必需服务，与talk命令一起使用，在端口517提供UDP服务5tftp服务禁止以root用户身份运行并且可能危及安全6ftp服务（可选）禁止防范非法访问目录风险7telnet服务禁止远程访问服务8uucp服务禁止除非有使用UUCP的应用程序，否则禁用9

7、dtspc服务（可选）禁止CDE子过程控制不用图形管理则禁用10klogin服务（可选）禁止Kerberos登录，如果站点使用Kerberos认证则启用11kshell服务（可选）禁止Kerberosshell，如果站点使用Kerberos认证则启用1.1.1.访问控制通过对操作系统安全权限参数进行调整，提高系统访问安全性，详见表5。表5AIR系统访问控制基线技术要求序号基线技术要求基线标准点（参数）说明12修改Umask权限022或027要求修改默认文件权限13关键文件权限控制passwd、group、secu

8、ritR的所有者必须是root和securitR组成员设置/etc/passwd，/etc/group，/etc/securitR等关键文件和目录的权限【MeiWei_81重点借鉴文档】【MeiWei_81重点借鉴文档】1audit的所有者必须是root和audit组成员/etc/securitR/audit的所有者必须是root和audit组成员2/etc/passwd