信息系统的安全基线
1.操作系统安全基线技术要求
1.1.AIX系统安全基线
1.1.1.系统管理
通过配置操作系统运维管理安全策略,提高系统运维管理安全性,详见表1。
表1 AIX系统管理基线技术要求
1.1.
2.用户账号与口令
通过配置操作系统用户账号与口令安全策略,提高系统账号与口令安全性,详见表2。
表2 AIX系统用户账户与口令基线技术要求
1.1.3.日志与审计
通过对操作系统的日志进行安全控制与管理,提高日志的安全性,详见表3。
表3 AIX系统日志与审计基线技术要求
1.1.4.服务优化
通过优化操作系统资源,提高系统服务安全性,详见表4。
表4 AIX系统服务优化基线技术要求
1.1.5.访问控制
通过对操作系统安全权限参数进行调整,提高系统访问安全性,详见表5。
表5 AIX系统访问控制基线技术要求
1.2.Windows系统安全基线
1.2.1.用户账号与口令
通过配置操作系统用户账号与口令安全策略,提高系统账号与口令安全性,详见表6。
表6Windows系统用户账号与口令基线技术要求
1.2.2.日志与审计
通过对操作系统日志进行安全控制与管理,提高日志的安全性与有效性,详见表7。
Linux安全配置基线.doc
中国移动集团管理信息系统部安全加固项目 Linux系统安全配置基线 中国移动集团公司第1页共15页 备注：中国移动集团管理信息系统部安全加固项目 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
中国移动集团公司第2页共15页版本版本控制信息更新日期更新人审批人V1.0创建2009年1月
中国移动集团管理信息系统部安全加固项目 目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 1.4实施 (1) 1.5例外条款 (1) 第2章账号管理、认证授权 (2) 2.1账号 (2) 2.1.1用户口令设置 (2) 2.1.2root用户远程登录限制 (2) 2.1.3检查是否存在除root之外UID为0的用户 (3) 2.1.4root用户环境变量的安全性 (3) 2.2认证 (4) 2.2.1远程连接的安全性配置 (4) 2.2.2用户的umask安全配置 (4) 2.2.3重要目录和文件的权限设置 (4) 2.2.4查找未授权的SUID/SGID文件 (5) 2.2.5检查任何人都有写权限的目录 (6) 2.2.6查找任何人都有写权限的文件 (6) 2.2.7检查没有属主的文件 (7) 2.2.8检查异常隐含文件 (7) 第3章日志审计 (9) 3.1日志 (9) 3.1.1syslog登录事件记录 (9) 3.2审计 (9) 3.2.1Syslog.conf的配置审核 (9) 第4章系统文件 (11) 4.1系统状态 (11) 4.1.1系统core dump状态 (11) 第5章评审与修订 (12)
XXXX农商银行信息系统安全基线技术规范
XXXX农商银行 信息系统安全配置基线规范 1范围 本规范适用于XXXX农商银行所有信息系统相关主流支撑平台设备。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 ——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定 ——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南 ——公通字[2007]43号信息安全等级保护管理办法 ——GB/T 21028-2007 信息安全技术服务器安全技术要求 ——GB/T 20269-2006 信息安全技术信息系统安全管理要求 ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南 3术语和定义 安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。 管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 4总则 4.1指导思想 围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2目标
安全生产信息化平台设计方案
安全生产信息化平台设计方案
修订记录
目录 1系统设计概述 (4) 1.1任务目标 (4) 1.2需求分析 (4) 2系统组件设计 (4) 2.1组件架构 (4) 2.2组件简介 (4) 3系统组件说明 (5) 3.1应用物联网感知设备 (5) 3.2数据中继服务器 (6) 3.3通信服务器组 (6) 3.4主（备）服务器组 (6) 3.5系统访问终端 (7) 4系统工作流设计 (8) 4.1工作流架构 (8) 4.2工作流简介 (8) 5系统工作流说明 (8) 5.1第三方接入 (8) 5.1.1前期项目数据接入 (8) 5.1.2监管部门数据接入 (8) 5.2危险源数据导入 (9) 5.2.1危险品数据导入 (9) 5.2.2企业数据接入 (9) 5.3大数据平台构建 (9) 5.4实时监测功能实现 (9) 5.4.1固定设备检测 (9) 5.4.2移动设备检测 (9) 5.5预案处置功能实现 (9) 5.5.1危险评估预案 (9) 5.5.2应急预案 (9) 5.5.3应急指挥 (9)
1系统设计概述 1.1任务目标 进一步加强新区各职能部门之间的沟通、协调、合作机制，完善事前事中事后安全生产监管需要，实现危险化学品源头控制，全程管控，对危险化学品仓储、流量、流向实时监控及应急救援。 1.2需求分析 ●完善基础数据建设包括一企一档、危险化学品流量流向、SDS库等模块； ●开发GIS系统保证安全生产信息的共享； ●开发危险化学品经营仓储（包括仓储和自有储存）、生产、使用、重大危险源等企业安 全生产监管信息模块； ●开发危险化学品经营仓储（包括仓储和自有储存）、生产、使用、重大危险源等企业安 全生产监控及预警模块； ●开发危险化学品仓库应急救援信息模块； ●实现新区公安局、建交委、文广局、气象局及相关区域应急队伍、物资等职能部门的数 据共享； 2系统组件设计 2.1组件架构 2.2组件简介 组件类别：
Microsoft SQL Server安全配置基线
Microsoft SQL Server数据库系 统安全配置基线 中国移动通信公司管理信息系统部 2012年 4月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (4) 1.1适用范围 (4) 1.2适用版本 (4) 1.3实施 (4) 1.4例外条款 (4) 第2章帐号与口令 (5) 2.1口令安全 (5) 2.1.1删除不必要的帐号* (5) 2.1.2SQLServer用户口令安全 (5) 2.1.3根据用户分配帐号避免帐号共享* (6) 2.1.4分配数据库用户所需的最小权限* (6) 2.1.5网络访问限制* (7) 第3章日志 (8) 3.1日志审计 (8) 3.1.1SQLServer登录审计* (8) 3.1.2SQLServer安全事件审计* (8) 第4章其他 (10) 4.1安全策略 (10) 4.1.1通讯协议安全策略* (10) 4.2更新补丁 (10) 4.2.1补丁要求* (10) 4.3存储保护 (11) 4.3.1停用不必要存储过程* (11) 第5章评审与修订 (13)
第1章概述 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的SQL Server 数据库应当遵循的数据库安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行SQL Server 数据库的安全合规性检查和配置。 1.1 适用范围 本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的SQL Server数据库系统。 1.2 适用版本 SQL Server系列数据库。 1.3 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.4 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
(完整版)Linux安全配置基线
Linux系统安全配置基线 中国移动通信有限公司管理信息系统部 2009年3月
版本版本控制信息更新日期更新人审批人V1.0创建2009年1月 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 1.4实施 (1) 1.5例外条款 (1) 第2章账号管理、认证授权 (2) 2.1账号 (2) 2.1.1用户口令设置 (2) 2.1.2root用户远程登录限制 (2) 2.1.3检查是否存在除root之外UID为0的用户 (3) 2.1.4root用户环境变量的安全性 (3) 2.2认证 (4) 2.2.1远程连接的安全性配置 (4) 2.2.2用户的umask安全配置 (4) 2.2.3重要目录和文件的权限设置 (4) 2.2.4查找未授权的SUID/SGID文件 (5) 2.2.5检查任何人都有写权限的目录 (6) 2.2.6查找任何人都有写权限的文件 (6) 2.2.7检查没有属主的文件 (7) 2.2.8检查异常隐含文件 (7) 第3章日志审计 (9) 3.1日志 (9) 3.1.1syslog登录事件记录 (9) 3.2审计 (9) 3.2.1Syslog.conf的配置审核 (9) 第4章系统文件 (11) 4.1系统状态 (11) 4.1.1系统core dump状态 (11) 第5章评审与修订 (12)
第1章概述 1.1目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的LINUX操作系统的主机应当遵循的操作系统安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行LINUX操作系统的安全合规性检查和配置。 1.2适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的LINUX 服务器系统。 1.3适用版本 LINUX系列服务器； 1.4实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
信息安全配置基线(整理)
Win2003 & 2008操作系统安全配置要求 2.1. 帐户口令安全 帐户分配：应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对Administrator帐户重命名，并禁用Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90天。 口令历史有效次数：应配置操作系统用户不能重复使用最近 5 次（含 5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为 5次，锁定该帐户30分钟。 2.2. 服务及授权安全 服务开启最小化：应关闭不必要的服务。 SNMP服务接受团体名称设置：应设置SNMP接受团体名称不为public或弱字符串。 系统时间同步：应确保系统时间与NTP服务器同步。 DNS服务指向：应配置系统DNS指向企业内部DNS服务器。 2.3. 补丁安全 系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。 2.4. 日志审计 日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2.5. 系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2.6. 防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2.7. 关闭自动播放功能：应关闭 Windows 自动播放功能。 2.8. 共享文件夹 删除本地默认共享：应关闭 Windows本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2.9. 登录通信安全 禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。
web应用安全基线
Web应用安全配置基线 https://www.360docs.net/doc/278558545.html, 2009年 1月
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 第2章身份与访问控制 (6) 2.1账户锁定策略 (6) 2.2登录用图片验证码 (6) 2.3口令传输 (6) 2.4保存登录功能 (7) 2.5纵向访问控制 (7) 2.6横向访问控制 (7) 2.7敏感资源的访问 (8) 第3章会话管理 (9) 3.1会话超时 (9) 3.2会话终止 (9) 3.3会话标识 (9) 3.4会话标识复用 (10) 第4章代码质量 (11) 4.1防范跨站脚本攻击 (11) 4.2防范SQL注入攻击 (11) 4.3防止路径遍历攻击 (11) 4.4防止命令注入攻击 (12) 4.5防止其他常见的注入攻击 (12) 4.6防止下载敏感资源文件 (13) 4.7防止上传后门脚本 (13) 4.8保证多线程安全 (13) 4.9保证释放资源 (14) 第5章内容管理 (15) 5.1加密存储敏感信息 (15) 5.2避免泄露敏感技术细节 (15) 第6章防钓鱼与防垃圾邮件 (16) 6.1防钓鱼 (16) 6.2防垃圾邮件 (16) 第7章密码算法 (17) 7.1安全算法 (17) 7.2密钥管理 (17)
第1章概述 1.1 目的 本文档规定了所有IT基础设施范围内所有Web应用应当遵循的安全标准，本文档旨在指导系统管理人员进行Web应用安全基线检查。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。 本配置标准适用的范围包括：支持所有业务正常运营的Web应用系统。 1.3 适用版本 基于B/S架构的Web应用 1.4 实施 本标准的解释权和修改权属于https://www.360docs.net/doc/278558545.html,，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
Microsoft Windows安全配置基线
Windows 系统安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 1.5例外条款 (5) 第2章帐户管理、认证授权 (6) 2.1帐户 (6) 2.1.1 管理缺省帐户 (6) 2.1.2 按照用户分配帐户* (6) 2.1.3 删除与设备无关帐户* (7) 2.2口令 (7) 2.2.1密码复杂度 (7) 2.2.2密码最长留存期 (8) 2.2.3帐户锁定策略 (8) 2.3授权 (8) 2.3.1远程关机 (8) 2.3.2本地关机 (9) 2.3.3用户权利指派* (9) 2.3.4授权帐户登陆* (10) 2.3.5授权帐户从网络访问* (10) 第3章日志配置操作 (11) 3.1日志配置 (11) 3.1.1审核登录 (11) 3.1.2审核策略更改 (11) 3.1.3审核对象访问 (11) 3.1.4审核事件目录服务器访问 (12) 3.1.5审核特权使用 (12) 3.1.6审核系统事件 (13) 3.1.7审核帐户管理 (13) 3.1.8审核过程追踪 (13) 3.1.9日志文件大小 (14) 第4章IP协议安全配置 (15) 4.1IP协议 (15) 4.1.1启用SYN攻击保护 (15) 第5章设备其他配置操作 (17) 5.1共享文件夹及访问权限 (17) 5.1.1关闭默认共享 (17)
5.1.2共享文件夹授权访问* (17) 5.2防病毒管理 (18) 5.2.1数据执行保护 (18) 5.3W INDOWS服务 (18) 5.3.1 SNMP服务管理 (18) 5.3.2系统必须服务列表管理* (19) 5.3.3系统启动项列表管理* (19) 5.3.4远程控制服务安全* (19) 5.3.5 IIS安全补丁管理* (20) 5.3.6活动目录时间同步管理* (20) 5.4启动项 (21) 5.4.1关闭Windows自动播放功能 (21) 5.5屏幕保护 (21) 5.5.1设置屏幕保护密码和开启时间* (21) 5.6远程登录控制 (22) 5.6.1限制远程登陆空闲断开时间 (22) 5.7补丁管理 (23) 5.7.1操作系统补丁管理* (23) 5.7.2操作系统最新补丁管理* (23) 第6章评审与修订 (24)
智慧安监云平台助力大数据监管
中国安全生产报/2015年/5月/28日/第006版 科教 智慧安监云平台助力大数据监管 ——江苏省南京市推进安全生产信息化建设纪实 本报记者 日前，江苏南京智慧安监云平台已全部建成并正式投入使用。截至目前，已有5万余家生产经营单位的安全生产信息被纳入平台。通过智慧安监云平台建设，南京市安监局安全监管信息化水平得到了显著提升。 近年来，南京市安监局积极总结各地安全生产信息化建设方面的相关经验，从顶层设计着手，统一标准规范，确定了建设全市统一的安全生产大数据中心、云支撑平台，以及覆盖全市安监系统的监管业务系统、视频会议系统、隐患治理系统、诚信管理系统、应急救援系统等，实现了监管监察与应急救援业务信息化，为全市安监系统工作转型升级提供了强大的信息化技术保障。 统一规划分步建设 2013年，南京市安监局提出建设有南京特色的智慧安监云平台，要求充分体现“数据共享、平台共用”的建设思想，特别是要实现市区两级安监部门共享、共用，避免重复建设。依据国家相关要求，南京市安监局编制了全市智慧安监云平台建设的指导意见和技术规范方案，鼓励区安监部门依据规范，有序建设个性化业务系统。 南京智慧安监云平台，充分利用南京市信息中心整体托管、统一部署，极大地降低了平台硬件建设投资成本，也解决了网络和信息安全管理等运维问题。在顶层设计基础上，坚持“以用促建”的原则，采用分步建设策略，避免重复开发和信息孤岛的出现。 南京市安监局统一负责智慧安监云平台的建设及全市共性业务模块的设计和配置工作；统一负责全市智慧安监云平台的运维管理，避免同类系统的重复建设，降低运维成本。 为促进全市安全生产信息化建设，南京市安监局出台了2个规范性文件，明确安全生产失信行为信息的范围、安全生产失信行为的认定标准、安全生产失信行为信息公示办法，以及黑、黄名单管理制度。同时，还明确了安全生产信用信息的归集和使用原则范围、安全生产信用信息系统构成、功能及维护、安全生产信用信息的归集办法和使用办法。 南京市出台了《南京市安全生产事故隐患排查治理信息系统建设工作实施方案》《南京市安全生产事故隐患排查治理信息系统建设工作管理办法(试行)》。此外，市安委会还下发方案部署督促市级隐患排查体系建设工作，与各区政府、开发园区管委会和相关部门签订考核目标责任书，明确隐患排查治理体系建设目标，未完成目标任务的，在安全生产评优评先时，实行一票否决。 目前，隐患排查治理信息系统覆盖市级行业管理部门15个、乡镇(街道)98个、区级行业管理部门210个，共有1.2万家企业被录入系统，今年一季度累计排查整改隐患1.5万余条，整改率达98.7%。 互联共享注重实效 南京智慧安监云平台在满足市级安全监管监察和办公主体功能的同时，覆盖了区级安全监管业务，并延伸到乡镇(街道)和企业、横向覆盖安委会成员单位。 总体来看，该平台已成为包括行政执法、隐患排查、职业卫生监管、教育培训、企业诚信等功能的综合信息化平台，实现了对安全监管业务流程、使用部门、服务对象的全覆盖。 值得一提的是，在平台视频会议系统建设方面，通过与南京青奥组委协商，政府划拨，低成本购置了用于保障青奥会的视频会议系统，实现了低投入、高产出，快速投入使用。依托南京市
操作系统安全与信息安全
操作系统安全与信息安全 信息安全体系相当于整个信息系统的免疫系统，免疫系统不健全，信息系统不仅是低效的，甚至是危险的。党和国家领导人多次指示：信息安全是个大问题，必须把安全问题放到至关重要的位置上，信息安全问题解决不好，后果不堪设想。 国家计算机信息系统安全保护条例要求，信息安全等级保护要实现五个安全层面（即物理层、网络层、系统层、应用层和管理层）的整体防护。其中系统层面所要求的安全操作系统是全部安全策略中的重要一环，也是国内外安全专家提倡的建立可信计算环境的核心。操作系统的安全是网络系统信息安全的基础。所有的信息化应用和安全措施都依赖操作系统提供底层支持。操作系统的漏洞或配置不当有可能导致整个安全体系的崩溃。各种操作系统之上的应用要想获得运行的高可靠性和信息的完整性、机密性、可用性和可控性，必须依赖于操作系统提供的系统软件基础，任何脱离操作系统的应用软件的安全性都是不可能的。目前，普遍采用的国际主流C级操作系统其安全性远远不够，访问控制粒度粗、超级用户的存在以及不断被发现的安全漏洞，是操作系统存在的几个致命性问题。中共中央办公厅、国务院办公厅近期印发的《2006-2020年国家信息化发展战略》中明确指出: “我国信息技术领域存在着自主创新技术不足，核心技术和关键设备主要依赖进口。”长期以来，我国广泛应用的主流操作系统都是进口产品，无安全性可言。如不从根本上解决，长此以往，就无法保障国家安全与经济社会安全。我们国家计算机信息系统中的主流操作系统基本采用的是国外进口的C 级操作系统，即商用操作系统。商用操作系统不是安全的操作系统，它在为我们计算机信息系统带来无限便捷的同时，也为我们的信息安全、通信保密乃至国家安全带来了非常令人担忧的隐患！操作系统是计算机系统软硬件资源和数据的“总管”，担负着计算机系统庞大的资源管理，频繁的输入输出控制以及不可间断的用户与操作系统之间的通信等重要功能。一般来讲，包括病毒在内的各种网络安全问题的根源和症结，主要是由于商用操作系统的安全脆弱性。当今的信息系统产生安全问题的基本原因是操作系统的结构和机制不安全。这样就导致：资源配置可以被篡改、恶意程序被植入执行、利用缓冲区（栈）溢出攻击非法接管系统管理员权限等安全事故。病毒在世界范围内传播泛滥，黑客利用各种漏洞攻击入侵， 非授权者任意窃取信息资源，使得安全防护形成了防火墙、防病毒、入侵检测、漏洞检测和加密这老几样防不胜防的被动局面。 计算机病毒是利用操作系统漏洞，将病毒代码嵌入到执行代码、程序中实现病毒传播的；黑客是利用操作系统漏洞，窃取超级用户权限，植入攻击程序，实现对系统的肆意破坏；更为严重的是由于操作系统没有严格的访问控制，即便是合法用户也可以越权访问，造成不经意的安全事故； 而内部人员犯罪则可以利用操作系统的这种脆弱性，不受任何限制地、轻而易举地达到内外勾结，窃取机密信息等严重犯罪。 特别是，据中科院2003年《中国高新技术成果报告》中所载：有调查证实：美国国家安全局(NSA)对销往全球的信息产品，尤其是大规模集成电路芯片和操作系统安装了NSA所需要的技术后门，用于平时搜集这些信息产品使用国的敏感信息和数据；战时启动后门程序，瘫痪对方的政治、经济、军事等运行系统，使其不战自败。这是令人触目惊心的国家安全和民
Sybase数据库安全配置基线
Sybase数据库安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 1.4实施 (4) 1.5例外条款 (4) 第2章帐号管理、认证授权安全要求 (5) 2.1帐号管理 (5) 2.2口令 (5) 2.2.1修改sa默认密码 (5) 2.2.2修改dba默认密码 (5) 2.2.3修改mon_user默认密码 (6) 2.2.4修改jagadmin默认密码 (6) 2.2.5修改entldbdbo默认密码 (7) 2.2.6修改PIAdmin默认密码 (7) 2.2.7修改PortalAdmin默认密码 (8) 2.2.8修改pkiuser默认密码 (8) 2.2.9修改pso默认密码 (9) 2.2.10密码复杂度 (10) 2.2.11最大错误登录次数* (10) 第3章其他安全要求 (12) 3.1其他安全配置 (12) 3.1.1补丁版本* (12) 3.1.2系统通用配置* (12) 第4章评审与修订 (15)
第1章概述 1.1 目的 本文档规定了中国移动管理信息系统部所维护管理的Sybase数据库应当遵循的设备安全性设置标准，本文档旨在指导系统管理人员进行Sybase数据库的安全配置。 1.2 适用范围 本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的Sybase 数据库。 1.3 适用版本 Sybase数据库。 1.4 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
Windows系统安全配置基线
Windows系统安全配置基线
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章安装前准备工作 (1) 2.1需准备的光盘 (1) 第3章操作系统的基本安装 (1) 3.1基本安装 (1) 第4章账号管理、认证授权 (2) 4.1账号 (2) 4.1.1管理缺省账户 (2) 4.1.2删除无用账户 (2) 4.1.3用户权限分离 (3) 4.2口令 (3) 4.2.1密码复杂度 (3) 4.2.2密码最长生存期 (4) 4.2.3密码历史 (4) 4.2.4帐户锁定策略 (5) 4.3授权 (5) 4.3.1远程关机 (5) 4.3.2本地关机 (6) 4.3.3隐藏上次登录名 (6) 4.3.4关机清理内存页面 (7) 4.3.5用户权利指派 (7) 第5章日志配置操作 (8) 5.1日志配置 (8) 5.1.1审核登录 (8) 5.1.2审核策略更改 (8) 5.1.3审核对象访问 (8) 5.1.4审核事件目录服务器访问 (9) 5.1.5审核特权使用 (9) 5.1.6审核系统事件 (10) 5.1.7审核账户管理 (10) 5.1.8审核过程追踪 (10) 5.1.9日志文件大小 (11) 第6章其他配置操作 (11)
6.1共享文件夹及访问权限 (11) 6.1.1关闭默认共享 (11) 6.2防病毒管理 (12) 6.2.1防病毒软件保护 (12) 6.3W INDOWS服务 (12) 6.3.1 系统服务管理 (12) 6.4访问控制 (13) 6.4.1 限制Radmin管理地址 (13) 6.5启动项 (13) 6.4.1关闭Windows自动播放功能 (13) 6.4.3配置屏保功能 (14) 6.4.4补丁更新 (14) 持续改进 (15)
Linux安全配置基线
Linux 系统安全配置基线 中国移动通信有限公司管理信息系统部 2009年 3月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (1) 1.1目的 ....................................................................................................... 错误！未定义书签。 1.2适用范围 ............................................................................................... 错误！未定义书签。 1.3适用版本 ............................................................................................... 错误！未定义书签。 1.4实施 ....................................................................................................... 错误！未定义书签。 1.5例外条款 ............................................................................................... 错误！未定义书签。第2章账号管理、认证授权 . (2) 2.1账号 (2) 2.1.1用户口令设置 (2) 2.1.2root用户远程登录限制 (2) 2.1.3检查是否存在除root之外UID为0的用户 (3) 2.1.4root用户环境变量的安全性 (3) 2.2认证 (4) 2.2.1远程连接的安全性配置 (4) 2.2.2用户的umask安全配置 (4) 2.2.3重要目录和文件的权限设置 (4) 2.2.4查找未授权的SUID/SGID文件 (5) 2.2.5检查任何人都有写权限的目录 (6) 2.2.6查找任何人都有写权限的文件 (6) 2.2.7检查没有属主的文件 (7) 2.2.8检查异常隐含文件 (7) 第3章日志审计 (9) 3.1日志 (9) 3.1.1syslog登录事件记录 (9) 3.2审计 (9) 3.2.1Syslog.conf的配置审核 (9) 第4章系统文件 (11) 4.1系统状态 (11) 4.1.1系统core dump状态 (11) 第5章评审与修订 (12)
互联网+安全生产信息化解决方案方案 互联网+智慧安监整体解决方案 安全生产监管监测大数据平台
互联网+智慧安监大数据云平台（一体化、智能化、预警化、移动化） 建 设 方 I
案 II
目录 第1章前言 (6) 1.1、智慧安监发展瓶颈 (6) 1.2、智慧安监建设思路 (7) 1.3、智慧安监的根本任务 (8) 1.3.1、更透彻的安全感知与信息互联 (8) 1.3.2、更深入的数据挖掘与智能分析 (9) 1.3.3、更高效的事务处理与协同办公 (9) 1.3.4、更广泛的信息开放与公众参与 (9) 1.4、智慧安监建设目标 (10) 1.4.1、促进安全生产数据信息泛在互联，提高资源利用水平 (10) 1.4.2、促进安全监管工作运行精细高效，提升智能监管水平 (11) 1.4.3、提高安监信息资源应用管理水平，推动监管服务创新 (11) 1.5、智慧安监设计原则 (11) 1.5.1、开放化 (11) 1.5.2、一体化 (12) 1.5.3、智能化 (12) 1.5.4、预警化 (12) 1.5.5、移动化 (13) 1.6、设计依据 (13) 1.7、智慧安监建设主要内容 (15) I
第2章智慧安监大数据管理平台 (17) 2.1、智慧安监大数据管理平台结构图 (17) 2.2、智慧安监大数据管理平台模型图 (19) 2.3、智慧安监大数据管理平台架构 (20) 2.4、智慧安监大数据管理平台监管流程 (21) 2.5、智慧安监大数据管理平台解决方案 (21) 2.6、智能分析服务器与无人机对接应用 (23) 2.7、应急管理综合平台 (24) 2.8、可视化指挥调度平台 (25) 2.8.1、平台结构图 (26) 2.8.2、平台建设内容 (26) 2.8.2.1、融合调度平台 (26) 2.8.2.2、系统集成平台 (27) 2.8.2.3、可视化指挥调度系统 (27) 2.8.3、系统功能 (27) 2.8.3.1、一键式”布控 (27) 2.8.3.2、警力到位亮灯 (28) 2.8.3.3、离岗自动查勤 (28) 2.8.3.4、图上点击通话 (29) 2.8.3.5、智能比中合围 (29) 2.8.3.6、案件散点分析 (30) II
操作系统安全保障措施
操作系统安全保障措施集团企业公司编码：（LL3698-KKI1269-TM2483-LUI12689-ITT289-
操作系统安全保障措施系统安全防护能力 一．文件访问控制 1.所有办公终端的命名应符合公司计算机命名规范。 2.所有的办公终端应加入公司的域管理模式，正确是使用公司的各项资源。 3.所有的办公终端应正确安装防病毒系统，确保及时更新病毒码。 4.所有的办公终端应及时安装系统补丁，应与公司发布的补丁保持一致。 5.公司所有办公终端的密码不能为空，根据《云南地方IT系统使用手册》中的密码规定严格执行。 6.所有办公终端不得私自装配并使用可读写光驱、磁带机、磁光盘机和USB硬盘等外置存储设备。
7.所有办公终端不得私自转借给他人使用，防止信息的泄密和数据破坏。 8.所有移动办公终端在外出办公时，不要使其处于无人看管状态。 9.办公终端不得私自安装盗版软件和与工作无关的软件，不得私自安装扫描软件或黑客攻击工具。 10.未经公司IT服务部门批准，员工不得在公司使用modem进行拨号上网。 11.员工不允许向外面发送涉及公司秘密、机密和绝密的信息。 二。用户权限级别 1.各系统应根据“最小授权”的原则设定账户访问权限，控制用户仅能够访问到工作需要的信息。 2.从账号管理的角度，应进行基于角色的访问控制权限的设定，即对系统的访问控制权限是以角色或组为单位进行授予。
3.细分角色根据系统的特性和功能长期存在，基本不随人员和管理岗位的变更而变更。 4.一个用户根据实际情况可以分配多个角色。 5.各系统应该设置审计用户的权限，审计用户应当具备比较完整的读权限，审计用户应当能够读取系统关键文件，检查系统设置、系统日志等信息。 三．防病毒软件/硬件 1.所有业务系统服务器、生产终端和办公电脑都应当按照公司要求安装了相应的病毒防护软件或采用了相应的病毒防护手段。 2.应当确保防止病毒软件每天进行病毒库更新，设置防病毒软件定期（每周或没月）对全部硬盘进行病毒扫描。 3.如果自己无法对病毒防护措施的有效性进行判断，应及时通知公司IT 服务部门进行解决。
DB数据库安全配置基线
DB2数据库系统安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (4) 1.1适用范围 (4) 1.2适用版本 (4) 1.3实施 (4) 1.4例外条款 (4) 第2章帐号与口令 (5) 2.1帐号 (5) 2.1.1删除不必要的帐号* (5) 2.1.2分配数据库用户所需的最小权限* (5) 2.2口令 (6) 2.2.1DB2用户口令安全 (6) 第3章数据库权限 (7) 3.1从PUBLIC撤销隐式的权限和特权 (7) 3.1.1从PUBLIC撤销隐式的权限和特权 (7) 3.2跟踪隐式的特权 (9) 3.2.1跟踪隐式的特权 (9) 3.3检查用户许可和特权 (9) 3.3.1检查用户许可和特权* (9) 第4章DB2认证 (11) 4.1为SYS XXX_GROUP参数使用显式值 (11) 4.1.1为SYSxxx_GROUP 参数使用显式值 (11) 4.2使用加密的AUTHENTICATION模式 (11) 4.2.1使用加密的AUTHENTICATION模式 (11) 第5章DB2审计 (13) 5.1执行随机安全审计 (13) 5.1.1执行随机安全审计* (13) 第6章评审与修订 (14)
第1章概述 本文档规定了中国移动管理信息系统部所维护管理的DB2数据库系统应当遵循的数据库安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行DB2数据库系统的安全合规性检查和配置。 1.1 适用范围 本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的DB2数据库系统。 1.2 适用版本 DB2数据库系统。 1.3 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.4 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
操作系统安全要点
第一章：绪论 1 操作系统是最基本的系统软件，是计算机用户和计算机硬件之间的接口程序模块，是计算机系统的核心控制软件，其功能简单描述就是控制和管理计算机系统内部各种资源，有效组织各种程序高效运行，从而为用户提供良好的、可扩展的系统操作环境，达到使用方便、资源分配合理、安全可靠的目的。 2 操作系统地安全是计算机网络信息系统安全的基础。 3 信息系统安全定义为：确保以电磁信号为主要形式的，在计算机网络化(开放互联)系统中进行自动通信、处理和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性（保密性）、完整性、可用性、可审查性和抗抵赖性，与人、网络、环境有关的技术安全、结构安全和管理安全的总和。 4 操作系统面临的安全威胁可分为保密性威胁、完整性威胁和可用性威胁。 5 信息的保密性：指信息的隐藏，目的是对非授权的用户不可见。保密性也指保护数据的存在性，存在性有时比数据本身更能暴露信息。 6 操作系统受到的保密性威胁：嗅探，木马和后门。 7 嗅探就是对信息的非法拦截，它是某一种形式的信息泄露. 网卡构造了硬件的―过滤器―通过识别MAC地址过滤掉和自己无关的信息，嗅探程序只需关闭这个过滤器，将网卡设置为―混杂模式―就可以进行嗅探。 8 在正常的情况下，一个网络接口应该只响应这样的两种数据帧： 1.与自己硬件地址相匹配的数据帧。 2.发向所有机器的广播数据帧。 9 网卡一般有四种接收模式：广播方式，组播方式，直接方式，混杂模式。 10 嗅探器可能造成的危害： ?嗅探器能够捕获口令； ?能够捕获专用的或者机密的信息； ?可以用来危害网络邻居的安全，或者用来获取更高级别的访问权限； ?分析网络结构，进行网络渗透。 11 大多数特洛伊木马包括客户端和服务器端两个部分。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。 特洛伊木马：一种恶意程序，它悄悄地在宿主机器上运行，在用户毫无察觉的情况下让攻击者获得了远程访问和控制系统的权限。特洛伊木马也有一些自身的特点，例如它的安装和操作都是在隐蔽之中完成；大多数特洛伊木马包括客户端和服务器端两个部分。 12 木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等, 达到偷窥别人隐私和得到经济利益的目的. 13 后门：绕过安全性控制而获取对程序或系统访问权的方法。 14 间谍软件是一种能够在用户不知情的情况下，在其电脑上安装后门、收集用户信息的软件。通常具备实用的、具吸引力的基本功能，它还收集有关用户操作习惯的信息并将这些信息通过互联网发送给软件的发布者。 蠕虫(worm)可以算是病毒中的一种，但是它与普通病毒之间有着很大的区别。一般认为:蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性同时具有自己的一些特征。15 信息的完整性指的是信息的可信程度。完整性的信息应该没有经过非法的或者是未经授权的数据改变。完整性包括信息内容的完整性和信息来源的完整性. 16 信息的完整性威胁主要分为两类:破坏和欺骗。破坏：指中断或妨碍正常操作。数据遭到破坏后。其内容可能发生非正常改变，破坏了信息内容的完整性。欺骗：指接受虚假数据。 17 有几种类型的攻击可能威胁信息的完整性，即篡改(modification)、伪装(masquerading)、
XX系统基线检查报告(模板)
XX系统基线检查报告 XX部门 20XX年X月
目录 1.背景 (1) 2.人员信息 (1) 3.检查目标 (1) 4.检查结果 (1) 4.1.检查范围 (1) 4.2.检查内容 (1) 4.3.网络设备检查结果分析 (2) 4.3.1.网络设备检查结果汇总 (2) 4.3.2.网络设备检查不合规项 (2) 4.4.安全设备检查结果分析 (2) 4.4.1.安全设备检查结果汇总 (3) 4.4.2.安全设备检查不合规项 (3) 4.5.基础软件检查结果分析 (3) 4.5.1.操作系统检查结果分析 (3) 4.5.2.数据库检查结果分析 (3) 4.5.3.中间件检查结果分析 (3)
1.背景 描述本文档适用范围、场景等相关的背景情况，便于读者充分了解基线检查信息。2.人员信息 描述开展基线检查工作相关人员信息，包括姓名、联系方式、单位信息等。 3.检查目标 描述开展基线检查工作的目的、依据以及预期效果。 4.检查结果 4.1.检查范围 描述本次基线检查工作涉及到的基础设备设施类（例如操作系统、数据库、中间件等）、网络设备设施类（例如交换机、路由器等）、安全设备设施类（例如防火墙、入侵检测等）的品牌、型号或版本、数量等信息，参考示例如下： 4.2.检查内容 以列表形式描述本次检查的工作内容，示例如下：
4.3.网络设备检查结果分析 4.3.1.网络设备检查结果汇总 描述本次基线检查中针对网络设备类检查项总数、合规数、不合规数、人工确认项、检查失败数以及合规律情况,参考示例如下： 4.3.2.网络设备检查不合规项 针对检查发现的不合规项，分类逐项描述不合规名称、不合规原因以及关联的操作系统IP信息,参考示例如下： 4.4.安全设备检查结果分析 安全设备检查结果分析参考上述网络设备类进行描述。
安全基线
安全基线项目 项目简介： 安全基准项目主要帮助客户降低由于安全控制不足而引起的安全风险。安全基准项目在NIST、CIS、OVAL等相关技术的基础上，形成了一系列以最佳安全实践为标准的配置安全基准。 二. 安全基线的定义 2.1 安全基线的概念 安全基线是一个信息系统的最小安全保证, 即该信息系统最基本需要满足的安全要求。信息系统安全往往需要在安全付出成本与所能够承受的安全风险之间进行平衡, 而安全基线正是这个平衡的合理的分界线。不满足系统最基本的安全需求, 也就无法承受由此带来的安全风险, 而非基本安全需求的满足同样会带来超额安全成本的付出, 所以构造信息系统安全基线己经成为系统安全工程的首要步骤, 同时也是进行安全评估、解决信息系统安全性问题 的先决条件。 2.2 安全基线的框架 在充分考虑行业的现状和行业最佳实践，并参考了运营商下发的各类安全政策文件，继承和吸收了国家等级保护、风险评估的经验成果等基础上，构建出基于业务系统的基线安全模型 如图2.1所示：
图 2.1 基线安全模型 基线安全模型以业务系统为核心，分为业务层、功能架构层、系统实现层三层架构： 1. 第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安 全防护的要求，是一个比较宏观的要求。 2. 第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、网络设备、安全设备等不同的设备和系统模块，这些模块针对业务层定义的安全防护 要求细化为此层不同模块应该具备的要求。 3. 第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，如将操作系统可分解为Windows、Solaris等系统模块，网络设备分解为华为路由器、Cisco路由器等系统模块……这些模块中又具体的把第二层的安全防护要求细化到可执行和实现的要求，称为Windows安全基线、华为路由器安全基线等。 下面以运营商的WAP系统为例对模型的应用进行说明：