24SGISLOP-SA35-10-HPUX等级保护测评作业指导书

《24SGISLOP-SA35-10-HPUX等级保护测评作业指导书》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、控制编号：SGISL/OP-SA35-10信息安全等级保护测评作业指导书HP・UX主机（三级）版号:修改次数:生效日期:第2版第0次2010年01月06日中国电力科学研究院信息安全实验室控制编号：SGISL/OP・SA35・10第1页共15页第2版第0次苛发布日期：2010年01月06日修改页修订号控制编号版号/章节号修改人修订原因批准人批准日期备注1SGISL/OP-SA35-1O郝增帅按公安部要求修订詹雄2010.3.8控制编号：SGISL/OP・SA35・10第2页共15页第2版第0次苛发布日期：2010年01月06日一、身份鉴别1.用户身份标识和鉴别测评项编号ADT-OS-HPU

2、X-01对应要求应对登录操作系统的用户进行身份标识和鉴别。测评项名称用户身份标识和鉴别测评分项1：检查并记录R族文件的配置，记录主机信任关系操作步骤#find/・name.rhosts对每个.rhosts文件进行检#find/-name.netrc对.netrc文件进行检#more/etc/hosts.equiv适用版本任何版本实施风险无符合性判定如果不存在信任关系或存在细粒度控制的信任关系，判定结果为符合；如果存在与任意主机任意用户的信任关系，判定结果为不符合。测评分项2：查看系统是否存在空口令用户操作步骤#more/etc/passwd或/etc/shadow检查空口令帐号，适用版本

3、任何版本实施风险无符合性判定/etc/passwd屮所有密码位不为空，判定结果为符合；/etc/passwd中所存在密码位为空，判定结果为不符合。备注2.账号口令强度测评项编号ADT-OS-HPUX-02对应要求操作系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换测评项名称账号口令强度控制编号：SGISL/OP・SA35・10第3页共15页第2版第0次苛发布日期：2010年01月06日测评分项1:检查系统帐号密码策略操作步骤执行以下命令：cat/etc/default/security查看以下值：MINPASSWORDLENGTH适用版本任何版本实施风险无符合性判

4、定MIN_PASSWORD_LENGTH配置大于等于&判定结果为符合；MIN_PASSWORD_LENGTH配置小于&判定结果为不符合；测评分项2：检查系统屮是否存在空口令或者是弱口令操作步骤1.利用扫描工具进行查看2.询问管理员系统屮是否存在弱口令3.手工尝试密码是否与用户名相同适用版本任何版本实施风险扫描可能会造成账号被锁定符合性判定系统中不存在弱口令账户，判定结果为符合；系统中存在弱口令账户，判定结果为不符合；备注3.登录失败处理策略测评项编号ADT-OS-HPUX-03对应要求应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施测评项名称登录失败处理策略测评分

5、项1：检査系统帐号登录失败处理策略操作步骤执行以下命令#more/tcb/files/auth/system/default检查u_maxtries、t_maxtries^tjogdelay值适用版本任何版本控制编号：SGISL/OP・SA35・10第4页共15页第2版第0次苛发布日期：2010年01月06日实施风险无符合性判定系统配置了合理的帐号锁定阀值及失败登录间隔时间，判定结果为符合；系统未配置登录失败处理策略，判定结果为不符合；测评分项2：如果启用了SSH远程登录，则检查SSH远程用户登录失败处理策略操作步骤执行以下命令cat/opt/ssh/etc/sshd_config查看M

6、axAuthTries等参数。LoginGraceTimeIni帐号锁定时间（建议为30分钟）PermitRootLoginno#StrictModesyesMaxAuthTries3帐号锁定阀值（建议5次）适用版本任何版本实施风险无符合性判定系统配置了合理的登录失败处理策略，帐号锁定阀值及帐号锁定时间，判定结果为符合；系统未配置登录失败处理策略，判定结果为不符合；备注4.远程管理方式测评项编号ADT-OS-HPUX-04对应要求当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听测评项名称检查系统远程管理方式测评分项1：检查系统帐号登录失败处理策略操作步骤询问系

7、统管理员，并查看开启的服务屮是否包含了不安全的远程管理方式，如telnet,ftp,ssh,VNC等。执行：#ps-ef查看开启的远程管理服务进程执行：#netstat-a查看开启的远程管理服务端口适用版本任何版本实施风险无控制编号：SGISL/OP・SA35・10第5页共15页第2版第0次苛发布日期：2010年01月06日符合性判定系统采用了安全的远程管理方式，如ssh；且关闭了如telnet、ftp等不安全的远程管理方式，判定结