信息系统人工评估报告.docx

1、信息系统人工评估报告 密 级： 内部文档编号：2007002-013 项目编号：2007002XX市地税局信息系统人工评估报告 1概述根据XX省人民政府信息化工作办公室关于印发的通知文件精神，XX省信息安全测评中心承担了XX市地税局“征管信息系统”的风险评估工作。我中心以建立符合我省情况的风险评估方法、积累风险评估工作经验、培养队伍、协助XX市地税局更深入地了解其信息系统安全现状为目标，通过文档分析、现场访谈、问卷调查、技术评估等方法，对XX市地税局“征管信息系统”进行了全面的信息安全风险评估。人工扫描是项目组成员根据经验，对网络、主机等设备进行人工查看。这种评估方式压力小，减少了工具评估的误

2、报、漏报情况。本评估工作和报告与工具扫描和评估报告互为补充。2评估范围XX市地税局征管信息系统，人工评估的信息资产范围如下：序号主机名称IP地址厂牌型号操作系统用途1sjz_node1XX.20.225.1IBM RS6000AIX征管业务系统数据库2sjz_node2XX.20.225.3IBM RS6000AIX征管业务系统数据库3ZG-APP1XX.20.225.19IBM x440Windows2000Server+sp4征管业务系统服务器4SJAPP2XX.20.225.21IBM x440Windows2000Server+sp4征管业务系统服务器5SJAPP3XX.20.225.

3、23IBM x440Windows2000Server+sp4征管业务系统服务器6SJAPP4XX.20.225.25IBM x440Windows2000Server+sp4征管业务系统服务器7sjdc1XX.20.225.10IBM x440Windows2000ServerDC8sjdc2XX.20.225.11IBM x440Windows2000ServerDC9SJZ-OA-WEBXX.20.224.11HP D360Windows2000Server+sp4www服务器10sjzds-govXX.20.224.16HP D360Windows2000Server公文流转服务器11

4、sjzds-odpsXX.20.224.9HP D360Windows2000Server瑞星杀毒中心3评估方法3.1人工评估方法测评中心安全顾问根据主机评估Checklist列表同时结合人工评估检测工具对事先选定主机进行人工技术性评估；根据对XX市地税局颁布的主机管理办法进行评估分析；对地税局信息处相关人员访谈进一步了解当前服务器主机管理维护的状态；把服务器的技术性评估报告与相关的访谈报告结合，完成关于XX地税局主机服务器的人工评估报告。3.2技术先进性有丰富人工评估知识库储备，制定了各种系统的checklist；有经验丰富、技术实力雄厚的专家评估队伍进行配置分析；有十分深厚的风险评估实施经

5、验，科学的报告编制方法。4评估实施过程4.1工作内容1、首先评估人员与地税局单位人员沟通，确定人工评估的主机；2、之后评估人员准备主机评估的checklist列表；3、选择业务量较小时段，请主机系统管理员配合管理人员登录主机进行现场人工评估。4、分析评估数据，编写人工评估报告。4.2主要参与者表列出了在这一过程要素中的主要参与者和他们在人工评估过程中的角色。角 色人员列表评估人员赵白、张少华地税配合人员XXX4.3工作持续时间7天4.4工作结束准则完成checklist检查，得出翔实人工评估报告，并通过XX地税局的验收。5人工评估风险级别说明等级说明I漏洞能够使攻击者直接获得系统控制权限，或者

6、绕过防火墙。II漏洞会泄露使攻击者获得系统访问权的信息。III系统泄露的信息会使系统遭到攻击。IV漏洞如果被修补，会提高系统的安全性。6主机配置分析6.1征管数据库AIX主机6.1.1主机信息系统名称sjz_node1所属业务系统征管系统系统用途征管业务数据库IP地址XX.20.225.1操作系统AIX 4.3系统名称sjz_node2所属业务系统征管系统系统用途征管业务数据库IP地址XX.20.225.3操作系统AIX 4.36.1.2安装和配置IP：XX.20.225.1编号检查选项风险等级结果1 系统已经安装了可信计算库IV符合检查系统中是否存在/etc/security/sysck.c

7、fg文件2 系统的版本大于等于4.3I符合使用uname -a命令检查系统的版本是否大于4.33 系统已经安装了最新的安全补丁I符合使用oslevel -r命令确定当前的AIX 版本和ML(the maintenance level of the system)1、对于AIX 4.3版本当前的ML是4330-102、对于AIX 5.2版本当前的ML是5200-063、对于AIX 5.3版本当前的ML是5300-024、对于AIX 5.1版本当前的ML是5100-08IP：XX.20.225.3编号检查选项风险等级结果1 系统已经安装了可信计算库IV符合检查系统中是否存在/etc/securit

8、y/sysck.cfg文件2 系统的版本大于等于4.3I符合使用uname -a命令检查系统的版本是否大于4.33 系统已经安装了最新的安全补丁I符合使用oslevel -r命令确定当前的AIX 版本和ML(the maintenance level of the system)1、对于AIX 4.3版本当前的ML是4330-102、对于AIX 5.2版本当前的ML是5200-063、对于AIX 5.3版本当前的ML是5300-024、对于AIX 5.1版本当前的ML是5100-086.1.3登录控制IP：XX.20.225.1编号检查选项风险等级结果1设置了登录失败，锁定帐户的次数III不符

9、合检查/etc/security/login.cfg文件的logindisable的值，推荐2设置了无效登录的终端锁定时间III不符合检查检查/etc/security/login.cfg文件的logininterval的值，推荐秒3设置了终端被禁用后，重新启用的时间III不符合检查检查/etc/security/login.cfg文件的loginreenable的值，推荐分钟4重新设置了登录欢迎信息III不符合检查检查/etc/security/login.cfg文件的herald的值5系统禁用X-Window系统III不符合检查系统是否存在/etc/rc.dt文件IP：XX.20.225.

10、3编号检查选项风险等级结果1设置了登录失败，锁定帐户的次数III不符合检查/etc/security/login.cfg文件的logindisable的值，推荐2设置了无效登录的终端锁定时间III不符合检查检查/etc/security/login.cfg文件的logininterval的值，推荐秒3设置了终端被禁用后，重新启用的时间III不符合检查检查/etc/security/login.cfg文件的loginreenable的值，推荐分钟4重新设置了登录欢迎信息III不符合检查检查/etc/security/login.cfg文件的herald的值5系统禁用X-Window系统III不符

11、合检查系统是否存在/etc/rc.dt文件6.1.4用户角色控制IP：XX.20.225.1编号检查选项风险等级结果1系统禁止root用户远程登录II不符合检查/etc/security/user文件的root相关的片断，rlogin是否等于false2root的$PATH环境变量中没有当前目录.II不符合检查echo $PATH的输出3系统中已经删除了不必要的系统用户IV不符合查看/etc/passwd中是否存在uucp、nuucp、lpd、imnadm、guest等帐号4系统中已经删除了不必要的系统用户组IV不符合检查/etc/group文件中是否存在uucp、printq、imnadm用

12、户组IP：XX.20.225.3编号检查选项风险等级结果1系统禁止root用户远程登录II不符合检查/etc/security/user文件的root相关的片断，rlogin是否等于false2root的$PATH环境变量中没有当前目录.II不符合检查echo $PATH的输出3系统中已经删除了不必要的系统用户IV不符合查看/etc/passwd中是否存在uucp、nuucp、lpd、imnadm、guest等帐号4系统中已经删除了不必要的系统用户组IV不符合检查/etc/group文件中是否存在uucp、printq、imnadm用户组6.1.5密码控制IP：XX.20.225.1编号检查选

13、项风险等级结果1强制密码不能是字典中的单词II不符合检查dictionlist的值是否为/usr/share/dict/words2密码可以重复使用的时间大于等于26周IV不符合检查histexpire的值是否为26或者大于3密码重复使用的次数小于等于20次IV不符合检查histsize是否小于等于4密码的生命期最大为周III不符合检查maxage的值是否小于等于5密码过期锁定时间小于等于周III不符合maxexpired是否小于等于6密码中可重复字符的最大数目小于等于IV不符合maxrepeats是否小于等于7密码可以被立即修改III不符合检查minage是否等于9密码至少应该包含个字母IV

14、不符合检查minalpha是否大于等于10密码中至少包括个唯一字符IV不符合检查mindiff是否大于等于11密码的最小长度是6位II不符合检查minlen是否大于等于12root用户的密码最小长度是位II不符合检查minlen是否大于等于13密码包含的非字母字符数目至少是2IV不符合检查minother是否大于等于IP：XX.20.225.3编号检查选项风险等级结果1强制密码不能是字典中的单词II不符合检查dictionlist的值是否为/usr/share/dict/words2密码可以重复使用的时间大于等于26周IV不符合检查histexpire的值是否为26或者大于3密码重复使用的次数

15、小于等于20次IV不符合检查histsize是否小于等于4密码的生命期最大为周III不符合检查maxage的值是否小于等于5密码过期锁定时间小于等于周III不符合maxexpired是否小于等于6密码中可重复字符的最大数目小于等于IV不符合maxrepeats是否小于等于7密码可以被立即修改III不符合检查minage是否等于9密码至少应该包含个字母IV不符合检查minalpha是否大于等于10密码中至少包括个唯一字符IV不符合检查mindiff是否大于等于11密码的最小长度是6位II不符合检查minlen是否大于等于12root用户的密码最小长度是位II不符合检查minlen是否大于等于13

16、密码包含的非字母字符数目至少是2IV不符合检查minother是否大于等于6.1.6Inetd启动的不必要服务IP：XX.20.225.1编号检查选项风险等级结果1. bootps已被禁用III符合bootps用于无盘工作站的网络启动，应该禁用2. 系统的小服务已被禁用III不符合这些服务包括：chargen、daytime、discard、echo，它们会为拒绝服务提供机会3cmsd服务已被禁用III不符合日历服务以root的权限运行，因此可能会危害到系统的安全4comsat服务已被禁用III符合电子邮件通知服务以root的权限运行，因此可能会危害到系统的安全5dtspc服务已被禁用III不

17、符合此服务响应CDE客户机启动进程的请求，在本机启动某些进程，因此可能会影响系统的安全6exec服务已被禁用III不符合远程执行服务使用明文传输用户名/密码，容易遭到网络窃听7finger服务已被禁用III符合finger服务会泄露系统的大量信息8ftp服务已被禁用III不符合ftp使用明文传输用户名/密码，容易遭到网络窃听9imap2服务已被禁用III符合明文传输用户名/密码，容易遭到网络窃听10klogin服务已被禁用IV不符合只有使用kerberos认证时，才需要这个服务11kshell服务已被禁用IV不符合kshell服务只有使用kerberos认证时，才可能用到12login服务已被

18、禁用II不符合rlogin服务容易遭到IP和DNS欺骗，应该用更安全的方式代替13netstat服务已被禁用IV符合netstat服务会泄露网络信息14ntalk和talk服务已被禁用IV不符合15pcnfsd服务已被禁用IV符合网络文件系统是UNIX下的共享文件系统，如果不是必要应该禁用16pop3服务已被禁用IV符合如果不是作为邮件服务器，pop3协议应该关闭17rexd服务已被禁用IV符合18quotad服务已被禁用IV符合19rstatd服务已被禁用IV不符合20rusersd服务已被禁用III不符合这个服务会泄露用户信息21rwalld服务已被禁用IV不符合22shell服务已被禁用

19、IV不符合rsh服务容易遭到IP和DNS欺骗，应该用更安全的方式代替23spayd服务已被禁用IV不符合24systat服务已被禁用IV符合25tftp服务已被禁用IV符合26time服务已被禁用IV不符合27ttdbserver服务已被禁用II不符合此服务曾经存在严重的安全漏洞28uucp服务已被禁用IV符合IP：XX.20.225.3编号检查选项风险等级结果1. bootps已被禁用III符合bootps用于无盘工作站的网络启动，应该禁用2. 系统的小服务已被禁用III不符合这些服务包括：chargen、daytime、discard、echo，它们会为拒绝服务提供机会3cmsd服务已被禁

20、用III不符合日历服务以root的权限运行，因此可能会危害到系统的安全4comsat服务已被禁用III符合电子邮件通知服务以root的权限运行，因此可能会危害到系统的安全5dtspc服务已被禁用III不符合此服务响应CDE客户机启动进程的请求，在本机启动某些进程，因此可能会影响系统的安全6exec服务已被禁用III不符合远程执行服务使用明文传输用户名/密码，容易遭到网络窃听7finger服务已被禁用III符合finger服务会泄露系统的大量信息8ftp服务已被禁用III不符合ftp使用明文传输用户名/密码，容易遭到网络窃听9imap2服务已被禁用III符合明文传输用户名/密码，容易遭到网络窃听

21、10klogin服务已被禁用IV不符合只有使用kerberos认证时，才需要这个服务11kshell服务已被禁用IV不符合kshell服务只有使用kerberos认证时，才可能用到12login服务已被禁用II不符合rlogin服务容易遭到IP和DNS欺骗，应该用更安全的方式代替13netstat服务已被禁用IV符合netstat服务会泄露网络信息14ntalk和talk服务已被禁用IV不符合15pcnfsd服务已被禁用IV符合网络文件系统是UNIX下的共享文件系统，如果不是必要应该禁用16pop3服务已被禁用IV符合如果不是作为邮件服务器，pop3协议应该关闭17rexd服务已被禁用IV符合

22、18quotad服务已被禁用IV符合19rstatd服务已被禁用IV不符合20rusersd服务已被禁用III不符合这个服务会泄露用户信息21rwalld服务已被禁用IV不符合22shell服务已被禁用IV不符合rsh服务容易遭到IP和DNS欺骗，应该用更安全的方式代替23spayd服务已被禁用IV不符合24systat服务已被禁用IV符合25tftp服务已被禁用IV符合26time服务已被禁用IV不符合27ttdbserver服务已被禁用II不符合此服务曾经存在严重的安全漏洞28uucp服务已被禁用IV符合6.1.7其他不必要服务IP：XX.20.225.1编号检查选项风险等级结果1. CD

23、E桌面环境已被禁用IV不符合检查/etc/inittab文件中是否存在/etc/rc.dt2lpd服务已被禁用III符合检查/etc/inittab文件中是否存在lpd服务3nfs服务已被禁用III不符合检查/etc/inittab文件中是否存在nfs服务4portmap服务已被禁用III不符合portmap提供rpc服务，处于安全考虑，应该关闭。检查/etc/rc.tcpip文件是否启动该服务。5sendmail服务已被禁用III不符合检查/etc/rc.tcpip文件是否启动了该服务。IP：XX.20.225.3编号检查选项风险等级结果1. CDE桌面环境已被禁用IV不符合检查/etc/i

24、nittab文件中是否存在/etc/rc.dt2lpd服务已被禁用III符合检查/etc/inittab文件中是否存在lpd服务3nfs服务已被禁用III不符合检查/etc/inittab文件中是否存在nfs服务4portmap服务已被禁用III不符合portmap提供rpc服务，处于安全考虑，应该关闭。检查/etc/rc.tcpip文件是否启动该服务。5sendmail服务已被禁用III不符合检查/etc/rc.tcpip文件是否启动了该服务。6.1.8评估报告针对本系统做了58项安全检查，具体分布如下：类别弱点I级风险II级风险III级风险IV级风险安装和配置2001登录控制0050用户、角色控制0202密码控制0336inetd启动的不必要服务021016其它不必要服务0041其它安全配置0001对AIX系统主机的评估结果如下：类别弱点I级风险II级风险III级风险IV级风险安装和配置0000登录控制0050用户、角色控制0202密码控制0336inetd启动的不必要服务0268其它不必要服务0031其它安全配置0001总计071718弱点统计：6.2Windows主机6.2.1主机信息系