某世界500强企业的主机系统安全配置标准-unix

《某世界500强企业的主机系统安全配置标准-unix》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、某世界500强企业的主机系统安全配置标准－UNIX·出处：中国安全网  作者：佚名  时间：2007-01-23  网址：http://www.securitycn.net中国××公司2006年03月30日文档控制拟制:审核:标准化:读者：版本控制版本提交日期相关组织和人员版本描述V1.02005-12-08V1.12006.03.30目录1概述11.1适用范围11.2实施11.3例外条款11.4检查和维护12适用版本23业务使用警告24用户帐户设置24.1UID－用户ID基本要求24.2UNIX中Root安全标准34.3默认系统帐户安全标准

2、34.4密码要求54.5密码保护74.6限制登陆失败次数74.7GID－组ID的基本要求75网络设置85.1IP协议栈的安全设置85.1.1套接字队列长度定义用来防护SYN攻击85.1.2重定向85.1.3源站路由95.1.4TIME_WAIT设置95.1.5ECHO回应广播95.1.6地址掩码查询和时间戳广播105.2/etc/hosts.equiv,.rhosts和.netrc配置文件105.3XWindow系统115.4其他网络服务安全设置标准：115.5/etc/hosts.deny和/etc/hosts.allow的配置规范126权

3、限控制136.1用户文件和HOME目录属性136.2操作系统资源137操作系统补丁管理148审计策略148.1系统访问日志148.2日志记录保存期限148.3Sudo日志记录149附则159.1文档信息159.2其他信息151概述安全配置标准提供中国××公司（下简称“中国××公司”）UNIX操作系统应当遵循的安全性设置的标准，本文档旨在帮助系统管理人员，利用UNIX操作系统内建的安全配置，以建立一个更为安全的环境。1.1适用范围本规范的使用者包括：主机系统管理员、应用管理员、网络安全管理员。本规范适用的范围包括：支持中国××公司运行的AIX，

4、Solaris和Linux（RedhatLinux）主机系统。1.2实施本规范的解释权和修改权属于中国××公司，在本标准的执行过程中若有任何疑问或建议，应及时反馈。本标准一经颁布，即为生效。1.3例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国××公司信息系统管理部门进行审批备案。1.4检查和维护根据中国××公司经营活动的需要，每年检查和评估本标准，并做出适当更新。如果在突发事件处理过程中，发现需对本标准进行变更，也需要进行本标准的维护。任何变更草案将由中国××公司IT管理部门进行审核批准。各相关部门经

5、理有责任与其下属的组织和员工沟通变更的内容。2适用版本AIX版本5.1,5.2,5.3；Solaris7,8,9RedhatLinux7.2,7.33业务使用警告要求设置业务使用提示警告：系统值/参数内容/etc/motd中国××公司内部生产系统只能因中国××公司业务需要而使用，经由管理层授权。中国××公司管理层将随时监测此系统的使用。或SinoPECproductionservercanonlybeusedforbusinesspurpose,withappropriatemanagerteam’sauthorization.SinoPEC

6、managerteamwillmonitortheusageofthissystem.4用户帐户设置4.1UID－用户ID基本要求系统值/参数描述设置要求UID适用于所有的UID每个UID必须只能用一次，并唯一对应一个操作系统用户帐号。4.2UNIX中Root安全标准对于系统Root帐户必须满足以下要求：Root帐户的UID必须是唯一的0；Root帐户是root组的唯一用户；Root帐户必须在每个系统本地有相关定义；Root帐户和目录下不能存在/root/.rhosts或/root/.netrc文件，如果存在也必须为空，而且文件所有者和所有组

7、必须为root和root组。其相关权限为r-------；Root的登录脚本中不能使用到非root帐户拥有的文件或拥有全局读写权限的文件。Root的cronjobs中不能使用到非root帐户拥有的文件或拥有全局读写权限的文件。对于root所运行的命令必须使用全路径.(例如./bin/su)，或对于root的$PATH环境变量中不能含有相对当前目录(.),相对子目录(./)和相对父目录(..)定义；root帐号不允许进行远程登录操作，远程需要root的访问需求，必须要求使用普通个人用户帐号进行登录后通过SU命令切换到root帐号。REDHAT:

8、可以通过在/etc/securetty配置文件实现root的登录控制，/etc/securetty文件中包含了所有的可供root登录的TTY端口，这个配置文件在默认