信息系统安全基线
1.操作系统安全基线技术要求
1.1. AIX系统安全基线
1.1.1.系统管理
通过配置操作系统运维管理安全策略，提高系统运维管理安全性，详见表1。
表1 AIX系统管理基线技术要求
1.1.
2.用户账号与口令
通过配置操作系统用户账号与口令安全策略，口
提高系统账号与令安全性，详见表2。
表2 AIX系统用户账户与口令基线技术要求
1.1.3.日志与审计
通过对操作系统的日志进行安全控制与管理，提高日志的安全性，详见表3。
表3 AIX系统日志与审计基线技术要求
1.14服务优化
4。
通过优化操作系统资源，提高系统服务安全性，详见表
表4 AIX系统服务优化基线技术要求
1.1.5.访问控制
通过对操作系统安全权限参数进行调整，提高系统访问安全
性，详见表5。
表5 AIX系统访问控制基线技术要求
1.2. Windows系统安全基线1.2.1.用户账号与口令
通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表6。
表6 Windows系统用户账号与口令基线技术要求
1.2.2.日志与审计
通过对操作系统日志进行安全控制与管理， 提高日志的安全性 与有效性，详见表 7。
表7 Windows 系统日志与审计基线技术要求
123.服务优化
通过优化系统资源，提高系统服务安全性，详见表
表8 Windows 系统服务优化基线技术要求
8。
1.24访问控制
9。通过对系统配置参数调整，提高系统安全性，详见表
表9 Windows系统访问控制基线技术要求
通过进行定期更新，降低常见的漏洞被利用，详见表
10。
表10 Windows系统补丁管理基线技术要求
13 Linux系统安全基线
1.3.1.系统管理
通过配置系统安全管理工具，提高系统运维管理的安全性，
见表11。
表11 Linux系统管理基线技术要求
132.用户账号与口令
通过配置Linux系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表12。
表12 Linux系统用户账号与口令基线技术要求
1.3.3.日志与审计
通过对Linux 系统的日志进行安全控制与管理，提高日志的安 全性与有效性，详见表
表13 Linux 系统日志与审计基线技术要求
1.3.4.服务优化
通过优化Linux 系统资源，提高系统服务安全性，详见表
表14 Linux 系统服务优化基线技术要求
1.3.5.访问控制
通过对Linux 系统配置参数调整，提高系统安全性，详见表15。
13。
14。
表15 Linux 系统访问控制基线技术要求
2. 数据库安全基线技术要求
2.1. Oracle 数据库系统安全基线 2.1.1.用户账号与口令 通过配置数据库系统用户账号与口令安全策略， 提高数据库系
统账号与口令安全性，详见表
表16 Oracle 系统用户账号与口令基线技术要求
2.1.2.日志与审计
通过对数据库系统的日志进行安全控制与管理， 提高日志的安
全性与有效性，详见表
表17 Oracle 系统日志与审计基线技术要求
16。
17。
2.1.
3.访问控制
通过对数据库系统配置参数调整， 提高数据库系统安全性， 见表18。
表18 Oracle 系统访问控制基线技术要求
3. 中间件安全基线技术要求
3.1. T ong
（TongEASY TongLINK 等）中间件安全基线 3.1.1. 用户账号与口令
通过配置中间件用户账号与口令安全策略， 提高系统账号与
口令安全，详见表19。
表19 Tong 用户账号与口令基线技术要求
3.1.2.日志与审计
通过对中间件的日志进行安全控制与管理， 保护日志的安全与 有效性，详见表20。
表20 Tong 日志与审计基线技术要求
3.1.3.访问控制
通过配置中间件系统资源， 提高中间件系统服务安全，
表21 Tong 访问控制基线技术要求
3.14安全防护
通过对中间件配置参数调整，提高中间件系统安全，详见表
表22 Tong 安全防护基线技术要求
3.1.5.补丁管理
通过对Tong 的补丁进行定期更新，达到管理基线，防止常见 的漏洞被利用，详见表 23 o
表23 Tong 补丁管理基线技术要求
21。
详见表
22 O
3.2. Apache 中间件安全基线 3.2.1.用户账号与口令
通过配置中间件用户账号与口令安全策略， 提高系统账号与口
令安全性，详见表 24。
表24 Apache 用户账号与口令基线技术要求
3.2.2.日志与审计
通过对中间件的日志进行安全控制与管理， 提高日志的安全性
与有效性，详见表25。
表25 Apache 日志与审计基线技术要求
3.2.3.服务优化
通过优化中间件系统资源， 提高中间件系统服务安全性， 表26。
表26 Apache 服务优化基线技术要求
3.24安全防护
通过对中间件配置参数调整， 提高中间件系统安全性，
详见
详见表
表27 Apache 安全防护基线技术要求
33 WAS 中间件安全基线 3.3.1.用户账号与口令
通过配置用户账号与口令安全策略， 提高系统账号与口令安全 性，详见表28。
表28 WAS 用户账号与口令基线技术要求
3.3.2.日志与审计
通过对系统的日志进行安全控制与管理， 提高日志的安全性与 有效性，详见表29。
表29 WAS 日志与审计基线技术要求
3.3.3.服务优化
通过优化系统资源，提高系统服务安全性，详见表
表30 WAS 服务优化基线技术要求
27。
30。
3.3.
4.安全防护
通过对系统配置参数调整，提高系统安全性，详见表
表31 WAS 安全防护基线技术要求
3.3.5.补丁管理
通过进行定期更新，达到管理基线，降低常见的的漏洞被利用， 详见表32。
表32 WAS 补丁管理基线技术要求
4. 网络设备安全基线技术要求 4.1. Cisco 路由器/交换机安全基线 4.1.1.系统管理
通过配置网络设备管理，提高系统运维管理安全性，详见表 33 O
表33 Cisco 系统管理基线技术要求
31。
4.1.2.用户账号与口令
通过配置网络设备用户账号与口令安全策略， 提高系统账号与
口令安全性，详见表 34 O
表34 Cisco 用户账号与口令基线技术要求
4.1.3.日志与审计
通过对网络设备的日志进行安全控制与管理， 提高日志的安全
性与有效性，详见表 表35 Cisco 日志与审计基线技术要求
4.14服务优化
通过优化网络设备，提高系统服务安全性，详见表
表36 Cisco 服务优化基线技术要求
35。
36。
4.1.
5.访问控制
通过对设备配置进行调整，提高设备或网络安全性，详见表
表37 Cisco 访问控制基线技术要求
42 H3C 路由器/交换机安全基线 4.2.1.系统管理
通过配置网络设备管理，预防远程访问服务攻击或非授权访 问，提高网络设备远程管理安全性，详见表
表38 H3C 系统管理基线技术要求
37。
38。
4.2.2.用户账号与口令
通过配置用户账号与口令安全策略，提高系统账号与口令安 全，详见表39。
表39 H3C 用户账号与口令基线技术要求
4.2.3.日志与审计
通过对网络设备的日志进行安全控制与管理， 提高日志的安全
性与有效性，详见表 40。
表40 H3C 日志与审计基线技术要求
4.2.4.服务优化
通过优化网络设备资源，提高设备服务安全性，详见表
表41 H3C 服务优化基线技术要求
41。
信息系统终端计算机系统安全等级技术要求
信息系统终端计算机系统安全等级技术要求 1 范围 本标准规定了对终端计算机系统进行安全等级保护所需要的安全技术要求，并给出了每一个安全保护等级的不同技术要求。 本标准适用于按GB 17859—1999的安全保护等级要求所进行的终端计算机系统的设计和实现，对于GB 17859—1999的要求对终端计算机系统进行的测试、管理也可参照使用。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单,不包括勘误的内容,或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标准。 GB 17859--1999 计算机信息系统安全保护等级划分准则 GB/T 20271--2006 信息安全技术信息系统通用安全技术要求 GB/T 20272—2006 信息安全技术操作系统安全技术要求 3 术语和定义 3.1 术语和定义 GB 17859-1999 GB/T 20271—2006 GB/T 20272--2006确立的以及下列术语和定义适用于本标准。 3.1.1 终端计算机 一种个人使用的计算机系统，是信息系统的重要组成部分，为用户访问网络服务器提供支持。终端计算机系统表现为桌面型计算机系统和膝上型计算机两种形态。终端计算机系统一般由硬件系统、操作系统和应用系统（包括为用户方位网络服务器提供支持的攻击软件和其他应用软件）等部分组成。 3.1.2 可信 一种特性，具有该特性的实体总是以预期的行为和方式达到既定目的。 3.1.3 完整性度量（简称度量） 一种使用密码箱杂凑算法对实体计算其杂凑值的过程。 3.1.4 完整性基准值（简称基准值） 实体在可信状态下度量得到的杂凑值，可用来作为完整性校验基准。 3.1.5 度量根 一个可信的实体，是终端计算机系统内进行可信度量的基点。
中国电信Linux操作系统安全配置规范
中国电信Linux 操作系统安全配置规范 Specification for Linux OS Configuration Used in China Telecom 中国电信集团公司 发布 保密等级：公开发放
目录 目录..................................................................... I 前言.................................................................... II 1 范围 (1) 2 规范性引用文件 (1) 3 缩略语 (1) 3.1 缩略语.................................................. 错误！未定义书签。 4 安全配置要求 (2) 4.1 账号 (2) 4.2 口令 (3) 4.3 文件及目录权限 (5) 4.4 远程登录 (7) 4.5 补丁安全 (8) 4.6 日志安全要求 (9) 4.7 不必要的服务、端口 (10) 4.8 系统Banner设置 (11) 4.9 登陆超时时间设置 (12) 4.10 删除潜在危险文件 (12) 4.11 FTP设置 (12) 附录A：端口及服务 (13)
前言 为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，中国电信编制了一系列的安全配置规范，明确了操作系统、数据库、应用中间件在内的通用安全配置要求。 本规范是中国电信安全配置系列规范之一。该系列规范的结构及名称预计如下： （1）AIX操作系统安全配置规范 （2）HP-UX操作系统安全配置规范 （3）Solaris操作系统安全配置规范 （4）Linux操作系统安全配置规范（本标准） （5）Windows 操作系统安全配置规范 （6）MS SQL server数据库安全配置规范 （7）MySQL数据库安全配置规范 （8）Oracle数据库安全配置规范 （9）Apache安全配置规范 （10）IIS安全配置规范 （11）Tomcat安全配置规范 （12）WebLogic安全配置规范 本标准由中国电信集团公司提出并归口。
TongWeb 服务器安全配置基线
TongWeb服务器安全配置基线 页脚内容1
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。 页脚内容2
目录 第1章...................................................................................................... 概述0 1.1 .............................................................................................................. 目的 1.2 ..................................................................................................... 适用范围 1.3 ..................................................................................................... 适用版本 1.4 ............................................................................................................. 实施 1.5 ..................................................................................................... 例外条款 第2章 ........................................................................... 账号管理、认证授权0 2.1 ............................................................................................................. 帐号 2.1.1 ....................................................................................... 应用帐号分配 2.1.2 ....................................................................................... 用户口令设置 页脚内容
操作系统安全与信息安全
操作系统安全与信息安全 信息安全体系相当于整个信息系统的免疫系统，免疫系统不健全，信息系统不仅是低效的，甚至是危险的。党和国家领导人多次指示：信息安全是个大问题，必须把安全问题放到至关重要的位置上，信息安全问题解决不好，后果不堪设想。 国家计算机信息系统安全保护条例要求，信息安全等级保护要实现五个安全层面（即物理层、网络层、系统层、应用层和管理层）的整体防护。其中系统层面所要求的安全操作系统是全部安全策略中的重要一环，也是国内外安全专家提倡的建立可信计算环境的核心。操作系统的安全是网络系统信息安全的基础。所有的信息化应用和安全措施都依赖操作系统提供底层支持。操作系统的漏洞或配置不当有可能导致整个安全体系的崩溃。各种操作系统之上的应用要想获得运行的高可靠性和信息的完整性、机密性、可用性和可控性，必须依赖于操作系统提供的系统软件基础，任何脱离操作系统的应用软件的安全性都是不可能的。目前，普遍采用的国际主流C级操作系统其安全性远远不够，访问控制粒度粗、超级用户的存在以及不断被发现的安全漏洞，是操作系统存在的几个致命性问题。中共中央办公厅、国务院办公厅近期印发的《2006-2020年国家信息化发展战略》中明确指出: “我国信息技术领域存在着自主创新技术不足，核心技术和关键设备主要依赖进口。”长期以来，我国广泛应用的主流操作系统都是进口产品，无安全性可言。如不从根本上解决，长此以往，就无法保障国家安全与经济社会安全。我们国家计算机信息系统中的主流操作系统基本采用的是国外进口的C 级操作系统，即商用操作系统。商用操作系统不是安全的操作系统，它在为我们计算机信息系统带来无限便捷的同时，也为我们的信息安全、通信保密乃至国家安全带来了非常令人担忧的隐患！操作系统是计算机系统软硬件资源和数据的“总管”，担负着计算机系统庞大的资源管理，频繁的输入输出控制以及不可间断的用户与操作系统之间的通信等重要功能。一般来讲，包括病毒在内的各种网络安全问题的根源和症结，主要是由于商用操作系统的安全脆弱性。当今的信息系统产生安全问题的基本原因是操作系统的结构和机制不安全。这样就导致：资源配置可以被篡改、恶意程序被植入执行、利用缓冲区（栈）溢出攻击非法接管系统管理员权限等安全事故。病毒在世界范围内传播泛滥，黑客利用各种漏洞攻击入侵， 非授权者任意窃取信息资源，使得安全防护形成了防火墙、防病毒、入侵检测、漏洞检测和加密这老几样防不胜防的被动局面。 计算机病毒是利用操作系统漏洞，将病毒代码嵌入到执行代码、程序中实现病毒传播的；黑客是利用操作系统漏洞，窃取超级用户权限，植入攻击程序，实现对系统的肆意破坏；更为严重的是由于操作系统没有严格的访问控制，即便是合法用户也可以越权访问，造成不经意的安全事故； 而内部人员犯罪则可以利用操作系统的这种脆弱性，不受任何限制地、轻而易举地达到内外勾结，窃取机密信息等严重犯罪。 特别是，据中科院2003年《中国高新技术成果报告》中所载：有调查证实：美国国家安全局(NSA)对销往全球的信息产品，尤其是大规模集成电路芯片和操作系统安装了NSA所需要的技术后门，用于平时搜集这些信息产品使用国的敏感信息和数据；战时启动后门程序，瘫痪对方的政治、经济、军事等运行系统，使其不战自败。这是令人触目惊心的国家安全和民
Microsoft Windows安全配置基线
Windows 系统安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 1.5例外条款 (5) 第2章帐户管理、认证授权 (6) 2.1帐户 (6) 2.1.1 管理缺省帐户 (6) 2.1.2 按照用户分配帐户* (6) 2.1.3 删除与设备无关帐户* (7) 2.2口令 (7) 2.2.1密码复杂度 (7) 2.2.2密码最长留存期 (8) 2.2.3帐户锁定策略 (8) 2.3授权 (8) 2.3.1远程关机 (8) 2.3.2本地关机 (9) 2.3.3用户权利指派* (9) 2.3.4授权帐户登陆* (10) 2.3.5授权帐户从网络访问* (10) 第3章日志配置操作 (11) 3.1日志配置 (11) 3.1.1审核登录 (11) 3.1.2审核策略更改 (11) 3.1.3审核对象访问 (11) 3.1.4审核事件目录服务器访问 (12) 3.1.5审核特权使用 (12) 3.1.6审核系统事件 (13) 3.1.7审核帐户管理 (13) 3.1.8审核过程追踪 (13) 3.1.9日志文件大小 (14) 第4章IP协议安全配置 (15) 4.1IP协议 (15) 4.1.1启用SYN攻击保护 (15) 第5章设备其他配置操作 (17) 5.1共享文件夹及访问权限 (17) 5.1.1关闭默认共享 (17)
5.1.2共享文件夹授权访问* (17) 5.2防病毒管理 (18) 5.2.1数据执行保护 (18) 5.3W INDOWS服务 (18) 5.3.1 SNMP服务管理 (18) 5.3.2系统必须服务列表管理* (19) 5.3.3系统启动项列表管理* (19) 5.3.4远程控制服务安全* (19) 5.3.5 IIS安全补丁管理* (20) 5.3.6活动目录时间同步管理* (20) 5.4启动项 (21) 5.4.1关闭Windows自动播放功能 (21) 5.5屏幕保护 (21) 5.5.1设置屏幕保护密码和开启时间* (21) 5.6远程登录控制 (22) 5.6.1限制远程登陆空闲断开时间 (22) 5.7补丁管理 (23) 5.7.1操作系统补丁管理* (23) 5.7.2操作系统最新补丁管理* (23) 第6章评审与修订 (24)
各类操作系统安全基线配置
各类操作系统安全配 置要求及操作指南 检查模块支持系统版本号 Windows Windows 2000 以上 Solaris Solaris 8 以上 AIX AIX 5.X以上 HP-UNIX HP-UNIX 11i以上 Linux 内核版本2.6以上 Oracle Oracle 8i以上 SQL Server Microsoft SQL Server 2000 以上 MySQL MySQL 5.x以上 IIS IIS 5.x以上 Apache Apache 2.x 以上 Tomcat Tomcat 5.x以上 WebLogic WebLogic 8.X以上
Windows操作系统 安全配置要求及操作指南 I 目录 目录..................................................................... I 前言.................................................................... II 1 范围 (1) 2 规范性引用文件 (1) 3 缩略语 (1) 4 安全配置要求 (2) 4.1 账号 (2) 4.2 口令 (3) 4.3 授权 (5) 4.4 补丁 (7) 4.5 防护软件 (8) 4.6 防病毒软件 (8) 4.7 日志安全要求 (9) 4.8 不必要的服务 (11) 4.9 启动项 (12) 4.10 关闭自动播放功能 (13) 4.11 共享文件夹 (13) 4.12 使用NTFS 文件系统 (14) 4.13 网络访问 (15) 4.14 会话超时设置 (16)
web应用安全基线
Web应用安全配置基线 https://www.360docs.net/doc/4c3646072.html, 2009年 1月
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 第2章身份与访问控制 (6) 2.1账户锁定策略 (6) 2.2登录用图片验证码 (6) 2.3口令传输 (6) 2.4保存登录功能 (7) 2.5纵向访问控制 (7) 2.6横向访问控制 (7) 2.7敏感资源的访问 (8) 第3章会话管理 (9) 3.1会话超时 (9) 3.2会话终止 (9) 3.3会话标识 (9) 3.4会话标识复用 (10) 第4章代码质量 (11) 4.1防范跨站脚本攻击 (11) 4.2防范SQL注入攻击 (11) 4.3防止路径遍历攻击 (11) 4.4防止命令注入攻击 (12) 4.5防止其他常见的注入攻击 (12) 4.6防止下载敏感资源文件 (13) 4.7防止上传后门脚本 (13) 4.8保证多线程安全 (13) 4.9保证释放资源 (14) 第5章内容管理 (15) 5.1加密存储敏感信息 (15) 5.2避免泄露敏感技术细节 (15) 第6章防钓鱼与防垃圾邮件 (16) 6.1防钓鱼 (16) 6.2防垃圾邮件 (16) 第7章密码算法 (17) 7.1安全算法 (17) 7.2密钥管理 (17)
第1章概述 1.1 目的 本文档规定了所有IT基础设施范围内所有Web应用应当遵循的安全标准，本文档旨在指导系统管理人员进行Web应用安全基线检查。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。 本配置标准适用的范围包括：支持所有业务正常运营的Web应用系统。 1.3 适用版本 基于B/S架构的Web应用 1.4 实施 本标准的解释权和修改权属于https://www.360docs.net/doc/4c3646072.html,，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
信息安全配置基线(整理)
Win2003 & 2008操作系统安全配置要求 2.1. 帐户口令安全 帐户分配：应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对Administrator帐户重命名，并禁用Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90天。 口令历史有效次数：应配置操作系统用户不能重复使用最近 5 次（含 5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为 5次，锁定该帐户30分钟。 2.2. 服务及授权安全 服务开启最小化：应关闭不必要的服务。 SNMP服务接受团体名称设置：应设置SNMP接受团体名称不为public或弱字符串。 系统时间同步：应确保系统时间与NTP服务器同步。 DNS服务指向：应配置系统DNS指向企业内部DNS服务器。 2.3. 补丁安全 系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。 2.4. 日志审计 日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2.5. 系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2.6. 防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2.7. 关闭自动播放功能：应关闭 Windows 自动播放功能。 2.8. 共享文件夹 删除本地默认共享：应关闭 Windows本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2.9. 登录通信安全 禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。
信息系统安全基线
1.操作系统安全基线技术要求 1.1.AIX系统安全基线 1.1.1.系统管理 通过配置操作系统运维管理安全策略，提高系统运维管理安全性，详见表1。 表1 AIX系统管理基线技术要求 1.1. 2.用户账号与口令 通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表2。
1.1.3.日志与审计 通过对操作系统的日志进行安全控制与管理，提高日志的安全性，详见表3。 1.1.4.服务优化 通过优化操作系统资源，提高系统服务安全性，详见表4。 表4 AIX系统服务优化基线技术要求
1.1.5.访问控制 通过对操作系统安全权限参数进行调整，提高系统访问安全性，详见表5。 表5 AIX系统访问控制基线技术要求 1.2.Windows系统安全基线 1.2.1.用户账号与口令 通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表6。 表6Windows系统用户账号与口令基线技术要求
1.2.2.日志与审计 通过对操作系统日志进行安全控制与管理，提高日志的安全性与有效性，详见表7。 表7Windows系统日志与审计基线技术要求 1.2.3.服务优化 通过优化系统资源，提高系统服务安全性，详见表8。 表8 Windows系统服务优化基线技术要求
1.2.4.访问控制 通过对系统配置参数调整，提高系统安全性，详见表9。 表9 Windows系统访问控制基线技术要求
1.2.5.补丁管理 通过进行定期更新，降低常见的漏洞被利用，详见表10。 表10 Windows系统补丁管理基线技术要求 1.3.Linux系统安全基线 1.3.1.系统管理 通过配置系统安全管理工具，提高系统运维管理的安全性，详见表11。 表11Linux系统管理基线技术要求 1.3. 2.用户账号与口令 通过配置Linux系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表12。 表12Linux系统用户账号与口令基线技术要求
操作系统安全要点
第一章：绪论 1 操作系统是最基本的系统软件，是计算机用户和计算机硬件之间的接口程序模块，是计算机系统的核心控制软件，其功能简单描述就是控制和管理计算机系统内部各种资源，有效组织各种程序高效运行，从而为用户提供良好的、可扩展的系统操作环境，达到使用方便、资源分配合理、安全可靠的目的。 2 操作系统地安全是计算机网络信息系统安全的基础。 3 信息系统安全定义为：确保以电磁信号为主要形式的，在计算机网络化(开放互联)系统中进行自动通信、处理和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性（保密性）、完整性、可用性、可审查性和抗抵赖性，与人、网络、环境有关的技术安全、结构安全和管理安全的总和。 4 操作系统面临的安全威胁可分为保密性威胁、完整性威胁和可用性威胁。 5 信息的保密性：指信息的隐藏，目的是对非授权的用户不可见。保密性也指保护数据的存在性，存在性有时比数据本身更能暴露信息。 6 操作系统受到的保密性威胁：嗅探，木马和后门。 7 嗅探就是对信息的非法拦截，它是某一种形式的信息泄露. 网卡构造了硬件的―过滤器―通过识别MAC地址过滤掉和自己无关的信息，嗅探程序只需关闭这个过滤器，将网卡设置为―混杂模式―就可以进行嗅探。 8 在正常的情况下，一个网络接口应该只响应这样的两种数据帧： 1.与自己硬件地址相匹配的数据帧。 2.发向所有机器的广播数据帧。 9 网卡一般有四种接收模式：广播方式，组播方式，直接方式，混杂模式。 10 嗅探器可能造成的危害： ?嗅探器能够捕获口令； ?能够捕获专用的或者机密的信息； ?可以用来危害网络邻居的安全，或者用来获取更高级别的访问权限； ?分析网络结构，进行网络渗透。 11 大多数特洛伊木马包括客户端和服务器端两个部分。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。 特洛伊木马：一种恶意程序，它悄悄地在宿主机器上运行，在用户毫无察觉的情况下让攻击者获得了远程访问和控制系统的权限。特洛伊木马也有一些自身的特点，例如它的安装和操作都是在隐蔽之中完成；大多数特洛伊木马包括客户端和服务器端两个部分。 12 木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等, 达到偷窥别人隐私和得到经济利益的目的. 13 后门：绕过安全性控制而获取对程序或系统访问权的方法。 14 间谍软件是一种能够在用户不知情的情况下，在其电脑上安装后门、收集用户信息的软件。通常具备实用的、具吸引力的基本功能，它还收集有关用户操作习惯的信息并将这些信息通过互联网发送给软件的发布者。 蠕虫(worm)可以算是病毒中的一种，但是它与普通病毒之间有着很大的区别。一般认为:蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性同时具有自己的一些特征。15 信息的完整性指的是信息的可信程度。完整性的信息应该没有经过非法的或者是未经授权的数据改变。完整性包括信息内容的完整性和信息来源的完整性. 16 信息的完整性威胁主要分为两类:破坏和欺骗。破坏：指中断或妨碍正常操作。数据遭到破坏后。其内容可能发生非正常改变，破坏了信息内容的完整性。欺骗：指接受虚假数据。 17 有几种类型的攻击可能威胁信息的完整性，即篡改(modification)、伪装(masquerading)、
华为交换机安全基线
华为设备安全配置基线目录
概述 目的 规范配置华为路由器、交换机设备，保证设备基本安全。 适用范围 本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。 适用版本 华为交换机、路由器。
帐号管理、认证授权安全要求 帐号管理 1.1.1用户帐号分配* 1、安全基线名称：用户帐号分配安全 2、安全基线编号：SBL-HUAWEI-02-01-01 3、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。 4、参考配置操作： [Huawei]aaa [Huawei-aaa]local-user admin password cipher admin123 [Huawei-aaa]local-user admin privilege level 15 [Huawei-aaa]local-user admin service-type ssh [Huawei-aaa]local-user user password cipher user123 [Huawei-aaa]local-user user privilege level 4 [Huawei-aaa]local-user user service-type ssh 5、安全判定条件： （1）配置文件中，存在不同的账号分配 （2）网络管理员确认用户与账号分配关系明确 6、检测操作： 使用命令dis cur命令查看： … # aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!! local-user admin privilege level 15 local-user admin service-type ssh local-user user password cipher "=LP!6$^-IYNZP local-user user privilege level 4 local-user user service-type ssh # 对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。 1.1.2删除无关的帐号* 1、安全基线名称：删除无关的账号 2、安全基线编号：SBL-HUAWEI-02-01-02 3、安全基线说明：应删除与设备运行、维护等工作无关的账号。 4、参考配置操作：
Windows系统安全配置基线
Windows系统安全配置基线
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章安装前准备工作 (1) 2.1需准备的光盘 (1) 第3章操作系统的基本安装 (1) 3.1基本安装 (1) 第4章账号管理、认证授权 (2) 4.1账号 (2) 4.1.1管理缺省账户 (2) 4.1.2删除无用账户 (2) 4.1.3用户权限分离 (3) 4.2口令 (3) 4.2.1密码复杂度 (3) 4.2.2密码最长生存期 (4) 4.2.3密码历史 (4) 4.2.4帐户锁定策略 (5) 4.3授权 (5) 4.3.1远程关机 (5) 4.3.2本地关机 (6) 4.3.3隐藏上次登录名 (6) 4.3.4关机清理内存页面 (7) 4.3.5用户权利指派 (7) 第5章日志配置操作 (8) 5.1日志配置 (8) 5.1.1审核登录 (8) 5.1.2审核策略更改 (8) 5.1.3审核对象访问 (8) 5.1.4审核事件目录服务器访问 (9) 5.1.5审核特权使用 (9) 5.1.6审核系统事件 (10) 5.1.7审核账户管理 (10) 5.1.8审核过程追踪 (10) 5.1.9日志文件大小 (11) 第6章其他配置操作 (11)
6.1共享文件夹及访问权限 (11) 6.1.1关闭默认共享 (11) 6.2防病毒管理 (12) 6.2.1防病毒软件保护 (12) 6.3W INDOWS服务 (12) 6.3.1 系统服务管理 (12) 6.4访问控制 (13) 6.4.1 限制Radmin管理地址 (13) 6.5启动项 (13) 6.4.1关闭Windows自动播放功能 (13) 6.4.3配置屏保功能 (14) 6.4.4补丁更新 (14) 持续改进 (15)
操作系统安全配置管理办法
行业资料：________ 操作系统安全配置管理办法 单位：______________________ 部门：______________________ 日期：______年_____月_____日 第1 页共8 页
操作系统安全配置管理办法 1范围 1.1为了指导、规范海南电网公司信息通信分公司信息系统的操作系统安全配置方法和日常系统操作管理，提高重要信息系统的安全运行维护水平，规范化操作，确保信息系统安全稳定可靠运行，特制定本管理办法。 1.2本办法适用公司信息大区所有信息系统操作系统安全配置管理。主要操作系统包括：AIx系统、Windows系统、Linux系统及HPUNIx 系统等。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 --中华人民共和国计算机信息系统安全保护条例 --中华人民共和国国家安全法 --中华人民共和国保守国家秘密法 --ISO27001标准/ISO27002指南 --公通字[xx]43号信息安全等级保护管理办法 --GB/T21028-xx信息安全技术服务器安全技术要求 --GB/T20272-xx信息安全技术操作系统安全技术要求 --GB/T20269-xx信息安全技术信息系统安全管理要求 --GB/T22239-xx信息安全技术信息系统安全等级保护基本要求 --GB/T22240-xx信息安全技术信息系统安全等级保护定级指南 第 2 页共 8 页
3支持文件 《IT主流设备安全基线技术规范》（Q/CSG11804-xx） 4操作系统配置管理责任 4.1操作系统安全配置管理的主要责任人员是系统管理员，负责对所管辖的服务器操作系统进行安全配置。 4.2对于终端计算机操作系统的安全配置，应由终端管理员负责进行配置，或者在终端管理员指导下进行配置。 4.3系统管理员和终端管理员应定期对所管辖的服务器操作系统的配置、终端计算机操作系统的配置进行安全检查或抽查。 4.4系统管理员和终端管理员负责定期对所管辖的服务器和终端计算机操作系统安全配置的变更管理，变更应填写配置变更申请表。 4.5系统管理员和终端管理员负责定期对所管辖的服务器和终端计算机操作系统安全配置方法的修订和完善，由信息安全管理员对操作系统安全配置修订进行规范化和文档化,并经审核批准后统一发布。 5操作系统安全配置方法 5.1操作系统的安全配置规范应该根据不同的操作系统类型，不同的应用环境及不同的安全等级，结合信息系统和终端安全特性，制定合适的操作系统安全配置，以采取合适的安全控制措施。 5.2根据应用系统实际情况，在总体安全要求的前提下，操作系统的安全配置应满足《IT主流设备安全基线技术规范》（Q/CSG11804-xx）文件中对AIx系统、Windows系统、Linux系统及HPUNIx等最低安全配置要求的基础上可进行适当调节。 5.3操作系统安全配置方法应该根据技术发展和信息系统实际发展情况不断修订和完善。 第 3 页共 8 页
计算机信息系统安全等级保护数据库安全技术要求
《信息安全技术网络脆弱性扫描产品安全技术要求》 修订说明 1 工作简要过程 1.1 任务来源 近年来，随着黑客技术的不断发展以及网络非法入侵事件的激增，国内网络安全产品市场也呈现出良好的发展态势，各种品牌的防火墙产品、入侵检测产品等已经达到了相当可观的规模。最近几年，网络脆弱性扫描产品的出现，为网络安全产品厂商提供了一个展现自身技术水平的更高层次舞台，市场上，各种实现脆弱性扫描功能的产品层出不穷，发展迅速，标准《GB/T 20278-2006 信息安全技术网络脆弱性扫描产品技术要求》已不能满足现在产品的发展需求，另一方面，为了更好地配合等级保护工作的开展，为系统等级保护在产品层面上的具体实施提供依据，需要对该标准进行合理的修订，通过对该标准的修订，将更加全面系统的阐述网络脆弱性扫描产品的安全技术要求，并对其进行合理的分级。本标准编写计划由中国国家标准化管理委员会2010年下达，计划号20101497-T-469，由公安部第三研究所负责制定，具体修订工作由公安部计算机信息系统安全产品质量监督检验中心承担。 1.2 参考国内外标准情况 该标准修订过程中，主要参考了： —GB 17859-1999 计算机信息系统安全保护等级划分准则 —GB/T 20271-2006 信息安全技术信息系统安全通用技术要求 —GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 —GB/T 18336.2-2008 信息技术安全技术信息技术安全性评估准则第二部分：安全功能要求—GB/T 18336.3-2008 信息技术安全技术信息技术安全性评估准则第三部分：安全保证要求—GA/T 404-2002 信息技术网络安全漏洞扫描产品技术要求 —GB/T 20278-2006 信息安全技术网络脆弱性扫描产品技术要求 —GB/T 20280-2006信息安全技术网络脆弱性扫描产品测试评价方法 —MSTL_JGF_04-017 信息安全技术主机安全漏洞扫描产品检验规范 1.3 主要工作过程 1）成立修订组 2010年11月在我中心成立了由顾建新具体负责的标准修订组，共由5人组成，包括俞优、顾建新、张笑笑、陆臻、顾健。 2）制定工作计划 修订组首先制定了修订工作计划，并确定了修订组人员例会及时沟通交流工作情况。 3）确定修订内容
TongWeb 服务器安全配置基线
TongWeb服务器安全配置基线
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (1) 1.1目的 (1) 1.2适用围 (1) 1.3适用版本 (1) 1.4实施 (1) 1.5例外条款 (1) 第2章账号管理、认证授权 (2) 2.1 (2) 2.1.1应用分配 (2) 2.1.2用户口令设置 (3) 2.1.3用户删除 (3) 2.2认证授权 (4) 2.2.1控制台安全 (4) 第3章日志配置操作 (7) 3.1日志配置 (7) 3.1.1日志与记录 (7) 第4章备份容错 (9) 4.1备份容错 (9) 第5章IP协议安全配置 (10) 5.1IP通信安全协议 (10) 第6章设备其他配置操作 (12) 6.1安全管理 (12) 6.1.1禁止应用程序可显 (12) 6.1.2端口设置* (13) 6.1.3错误页面处理 (14) 第7章评审与修订 (16)
第1章概述 1.1目的 本文档旨在指导系统管理人员进行TongWeb服务器的安全配置。 1.2适用围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 1.3适用版本 5.x版本的TongWeb服务器。 1.4实施 1.5例外条款 第2章账号管理、认证授权 2.1 2.1.1应用分配
说明信使用的账号共享。 检测操作步 骤 启动tongweb的控制台，选择列表中的安全域，点击管理用户,如图操作： 点击新建，建立用户账号，如图操作： 修改用户直接点击用户名，进行修改，如图： 基线符合性 判定依据 1、判定条件 各账号都可以登录TongWeb服务器为正常。 2、检测操作 访问ip:8080/twns管理页面，进行TongWeb服务器配置找安全服务下的安 全域即可。 备注 2.1.2用户口令设置 安全基线项TongWeb用户口令设置安全基线要求项
网络设备安全基线技术规范
安全基线技术要求 1.1网络设备 1.1.1网络通用安全基线技术要求 1.1.1.1网络设备防护 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘
等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘
等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘□等保一、二级□等保三级涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘
等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘
等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘1.1.1.2访问控制 等保一、二级□等保三级□涉普通商秘（工作秘密）□涉核心商秘
XX系统基线检查报告(模板)
XX系统基线检查报告 XX部门 20XX年X月
目录 1.背景 (1) 2.人员信息 (1) 3.检查目标 (1) 4.检查结果 (1) 4.1.检查范围 (1) 4.2.检查内容 (1) 4.3.网络设备检查结果分析 (2) 4.3.1.网络设备检查结果汇总 (2) 4.3.2.网络设备检查不合规项 (2) 4.4.安全设备检查结果分析 (2) 4.4.1.安全设备检查结果汇总 (3) 4.4.2.安全设备检查不合规项 (3) 4.5.基础软件检查结果分析 (3) 4.5.1.操作系统检查结果分析 (3) 4.5.2.数据库检查结果分析 (3) 4.5.3.中间件检查结果分析 (3)
1.背景 描述本文档适用范围、场景等相关的背景情况，便于读者充分了解基线检查信息。2.人员信息 描述开展基线检查工作相关人员信息，包括姓名、联系方式、单位信息等。 3.检查目标 描述开展基线检查工作的目的、依据以及预期效果。 4.检查结果 4.1.检查范围 描述本次基线检查工作涉及到的基础设备设施类（例如操作系统、数据库、中间件等）、网络设备设施类（例如交换机、路由器等）、安全设备设施类（例如防火墙、入侵检测等）的品牌、型号或版本、数量等信息，参考示例如下： 4.2.检查内容 以列表形式描述本次检查的工作内容，示例如下：
4.3.网络设备检查结果分析 4.3.1.网络设备检查结果汇总 描述本次基线检查中针对网络设备类检查项总数、合规数、不合规数、人工确认项、检查失败数以及合规律情况,参考示例如下： 4.3.2.网络设备检查不合规项 针对检查发现的不合规项，分类逐项描述不合规名称、不合规原因以及关联的操作系统IP信息,参考示例如下： 4.4.安全设备检查结果分析 安全设备检查结果分析参考上述网络设备类进行描述。
华为交换机安全基线
华为设备安全配置基线
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 第2章帐号管理、认证授权安全要求 (5) 2.1帐号管理 (5) 2.1.1用户帐号分配* (5) 2.1.2删除无关的帐号* (6) 2.2口令 (7) 2.2.1静态口令以密文形式存放 (7) 2.2.2帐号、口令和授权................................ 错误！未定义书签。 2.2.3密码复杂度 (8) 2.3授权 (9) 2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 (9) 第3章日志安全要求 (11) 3.1日志安全 (11) 3.1.1启用信息中心 (11) 3.1.2开启NTP服务保证记录的时间的准确性 (12) 3.1.3远程日志功能* (13) 第4章IP协议安全要求 (15) 4.1IP协议 (15) 4.1.1VRRP认证 (15) 4.1.2系统远程服务只允许特定地址访问 (15) 4.2功能配置 (17) 4.2.1SNMP的Community默认通行字口令强度 (17) 4.2.2只与特定主机进行SNMP协议交互 (18) 4.2.3配置SNMPV2或以上版本 (19) 4.2.4关闭未使用的SNMP协议及未使用write权限 (20) 第5章IP协议安全要求 (22)
5.1其他安全配置 (22) 5.1.1关闭未使用的接口 (22) 5.1.2修改设备缺省BANNER语 (23) 5.1.3配置定时账户自动登出 (23) 5.1.4配置console口密码保护功能 (24) 5.1.5端口与实际应用相符 (25)
操作系统安全
备注：考试内容以书本为主。答案来自于教材，以教材为主。 评分标准：（内容正确50%，完整20%，文字整齐，不潦草30%） 1.Windows系统安全模型由哪些模块组成？画出windows系统的登录流程图。 P1第一章 1.1.1.1第二段与1.1.2流程图 2.什么是本地安全权威，有什么职能？安全账号管理器有什么作用？安全引用监视器有什么作用？ P4 1.1.3 (自选抄，职能全抄) 安全账号管理器1.1.4第二段自选 安全引用监视器 1.1.5 第一段前二句。 3.Windows和linux文件系统有哪些？ P7 1 1.3 (就一段) Windows Linux中常用的文件系统主要有ext3、ext2及reiserfs。还支持苹果MACOS的HFS，也支持其它Unix操作系统的文件系统，比如XFS、JFS、Minix fs 及UFS等；当然Linux也支持Windows文件系统NTFST和fat，但不支持NTFS文件系统的写入；支持fat文件系统的读写。现在还有新的ext4文件系统。 4.什么是域控制器，具体介绍主域控制器和备份域控制器。 域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的
登录账号是否存在、密码是否正确。 P11 1.41(第二段第二句开始) 从主域控制器作为域中用户的认证到最后。 5.Windows账号类型如何分类？Netlogon系统服务有哪些内部用户账号？Windows有哪些用户组？特别组如何分类？ P14 1.5.2第一段 P15 Netlogon系统服务采用以下3种独特开始(就三个用户账户抄起) P15 1.6 第一段最后一句开始(抄3个) P17 1.6.3 从以下是特别组的列表抄起(一共有5个) 6.什么是注册表？注册表包括那四个子树？介绍几个重要的关键字。 P17 1.7.1 第一段 第三段(4个子树英文加解释的第一句即可) P19 1.7.4 （关键字的英文加上解释第一句即可） 7.什么是进程，线程，服务？ 进程是操作系统结构的基础；是一次程序的执行；是一个程序及其数据在处理机上顺序执行时所发生的活动；线程是进行实际工作的实体，负责执行指令；服务是一个作为后台任务而运行的可执行映像文件。 8.计算机管理中有哪些常用的组？密码策略设置哪些项？账户锁定策略设置哪几项？ 计算机管理中有Backup Operators、Server Operators(Windows NT)、Netshow