信息系统人工评估报告.docx
《信息系统人工评估报告.docx》由会员分享，可在线阅读，更多相关《信息系统人工评估报告.docx（54页珍藏版）》请在冰点文库上搜索。
信息系统人工评估报告
密级：
内部
文档编号：
2007002-013
项目编号：
2007002
XX市地税局信息系统
人工评估报告
1概述
根据《XX省人民政府信息化工作办公室关于印发<信息安全风险评估试点工作实施方案>的通知》文件精神，XX省信息安全测评中心承担了XX市地税局“征管信息系统”的风险评估工作。
我中心以建立符合我省情况的风险评估方法、积累风险评估工作经验、培养队伍、协助XX市地税局更深入地了解其信息系统安全现状为目标，通过文档分析、现场访谈、问卷调查、技术评估等方法，对XX市地税局“征管信息系统”进行了全面的信息安全风险评估。
人工扫描是项目组成员根据经验，对网络、主机等设备进行人工查看。
这种评估方式压力小，减少了工具评估的误报、漏报情况。
本评估工作和报告与工具扫描和评估报告互为补充。
2评估范围
XX市地税局征管信息系统，人工评估的信息资产范围如下：
序号
主机名称
IP地址
厂牌型号
操作系统
用途
1
sjz_node1
XX.20.225.1
IBMRS6000
AIX
征管业务系统数据库
2
sjz_node2
XX.20.225.3
IBMRS6000
AIX
征管业务系统数据库
3
ZG-APP1
XX.20.225.19
IBMx440
Windows2000Server+sp4
征管业务系统服务器
4
SJAPP2
XX.20.225.21
IBMx440
Windows2000Server+sp4
征管业务系统服务器
5
SJAPP3
XX.20.225.23
IBMx440
Windows2000Server+sp4
征管业务系统服务器
6
SJAPP4
XX.20.225.25
IBMx440
Windows2000Server+sp4
征管业务系统服务器
7
sjdc1
XX.20.225.10
IBMx440
Windows2000Server
DC
8
sjdc2
XX.20.225.11
IBMx440
Windows2000Server
DC
9
SJZ-OA-WEB
XX.20.224.11
HPD360
Windows2000Server+sp4
www服务器
10
sjzds-gov
XX.20.224.16
HPD360
Windows2000Server
公文流转服务器
11
sjzds-odps
XX.20.224.9
HPD360
Windows2000Server
瑞星杀毒中心
3评估方法
3.1人工评估方法
⏹测评中心安全顾问根据主机评估Checklist列表同时结合人工评估检测工具对事先选定主机进行人工技术性评估；
⏹根据对XX市地税局颁布的主机管理办法进行评估分析；
⏹对地税局信息处相关人员访谈进一步了解当前服务器主机管理维护的状态；
⏹把服务器的技术性评估报告与相关的访谈报告结合，完成关于XX地税局主机服务器的人工评估报告。
3.2技术先进性
⏹有丰富人工评估知识库储备，制定了各种系统的checklist；
⏹有经验丰富、技术实力雄厚的专家评估队伍进行配置分析；
⏹有十分深厚的风险评估实施经验，科学的报告编制方法。
4评估实施过程
4.1工作内容
1、首先评估人员与地税局单位人员沟通，确定人工评估的主机；
2、之后评估人员准备主机评估的checklist列表；
3、选择业务量较小时段，请主机系统管理员配合管理人员登录主机进行现场人工评估。
4、分析评估数据，编写人工评估报告。
4.2主要参与者
表列出了在这一过程要素中的主要参与者和他们在人工评估过程中的角色。
角色
人员列表
评估人员
赵白、张少华
地税配合人员
XXX
4.3工作持续时间
7天
4.4工作结束准则
完成checklist检查，得出翔实人工评估报告，并通过XX地税局的验收。
5人工评估风险级别说明
等级
说明
I
漏洞能够使攻击者直接获得系统控制权限，或者绕过防火墙。
II
漏洞会泄露使攻击者获得系统访问权的信息。
III
系统泄露的信息会使系统遭到攻击。
IV
漏洞如果被修补，会提高系统的安全性。
6主机配置分析
6.1征管数据库AIX主机
6.1.1主机信息
系统名称
sjz_node1
所属业务系统
征管系统
系统用途
征管业务数据库
IP地址
XX.20.225.1
操作系统
AIX4.3
系统名称
sjz_node2
所属业务系统
征管系统
系统用途
征管业务数据库
IP地址
XX.20.225.3
操作系统
AIX4.3
6.1.2安装和配置
IP：
XX.20.225.1
编号
检查选项
风险等级
结果
1
系统已经安装了可信计算库
IV
符合
检查系统中是否存在/etc/security/sysck.cfg文件
2
系统的版本大于等于4.3
I
符合
使用uname-a命令检查系统的版本是否大于4.3
3
系统已经安装了最新的安全补丁
I
符合
使用oslevel-r命令确定当前的AIX版本和ML（themaintenancelevelofthesystem）
1、对于AIX4.3版本当前的ML是4330-10
2、对于AIX5.2版本当前的ML是5200-06
3、对于AIX5.3版本当前的ML是5300-02
4、对于AIX5.1版本当前的ML是5100-08
IP：
XX.20.225.3
编号
检查选项
风险等级
结果
1
系统已经安装了可信计算库
IV
符合
检查系统中是否存在/etc/security/sysck.cfg文件
2
系统的版本大于等于4.3
I
符合
使用uname-a命令检查系统的版本是否大于4.3
3
系统已经安装了最新的安全补丁
I
符合
使用oslevel-r命令确定当前的AIX版本和ML（themaintenancelevelofthesystem）
1、对于AIX4.3版本当前的ML是4330-10
2、对于AIX5.2版本当前的ML是5200-06
3、对于AIX5.3版本当前的ML是5300-02
4、对于AIX5.1版本当前的ML是5100-08
6.1.3登录控制
IP：
XX.20.225.1
编号
检查选项
风险等级
结果
1
设置了登录失败，锁定帐户的次数
III
不符合
检查/etc/security/login.cfg文件的logindisable的值，推荐４
2
设置了无效登录的终端锁定时间
III
不符合
检查检查/etc/security/login.cfg文件的logininterval的值，推荐６０秒
3
设置了终端被禁用后，重新启用的时间
III
不符合
检查检查/etc/security/login.cfg文件的loginreenable的值，推荐３０分钟
4
重新设置了登录欢迎信息
III
不符合
检查检查/etc/security/login.cfg文件的herald的值
5
系统禁用X-Window系统
III
不符合
检查系统是否存在/etc/rc.dt文件
IP：
XX.20.225.3
编号
检查选项
风险等级
结果
1
设置了登录失败，锁定帐户的次数
III
不符合
检查/etc/security/login.cfg文件的logindisable的值，推荐４
2
设置了无效登录的终端锁定时间
III
不符合
检查检查/etc/security/login.cfg文件的logininterval的值，推荐６０秒
3
设置了终端被禁用后，重新启用的时间
III
不符合
检查检查/etc/security/login.cfg文件的loginreenable的值，推荐３０分钟
4
重新设置了登录欢迎信息
III
不符合
检查检查/etc/security/login.cfg文件的herald的值
5
系统禁用X-Window系统
III
不符合
检查系统是否存在/etc/rc.dt文件
6.1.4用户角色控制
IP：
XX.20.225.1
编号
检查选项
风险等级
结果
1
系统禁止root用户远程登录
II
不符合
检查/etc/security/user文件的root相关的片断，rlogin是否等于false
2
root的$PATH环境变量中没有当前目录.
II
不符合
检查echo$PATH的输出
3
系统中已经删除了不必要的系统用户
IV
不符合
查看/etc/passwd中是否存在uucp、nuucp、lpd、imnadm、guest等帐号
4
系统中已经删除了不必要的系统用户组
IV
不符合
检查/etc/group文件中是否存在uucp、printq、imnadm用户组
IP：
XX.20.225.3
编号
检查选项
风险等级
结果
1
系统禁止root用户远程登录
II
不符合
检查/etc/security/user文件的root相关的片断，rlogin是否等于false
2
root的$PATH环境变量中没有当前目录.
II
不符合
检查echo$PATH的输出
3
系统中已经删除了不必要的系统用户
IV
不符合
查看/etc/passwd中是否存在uucp、nuucp、lpd、imnadm、guest等帐号
4
系统中已经删除了不必要的系统用户组
IV
不符合
检查/etc/group文件中是否存在uucp、printq、imnadm用户组
6.1.5密码控制
IP：
XX.20.225.1
编号
检查选项
风险等级
结果
1
强制密码不能是字典中的单词
II
不符合
检查dictionlist的值是否为/usr/share/dict/words
2
密码可以重复使用的时间大于等于26周
IV
不符合
检查histexpire的值是否为26或者大于２６
3
密码重复使用的次数小于等于20次
IV
不符合
检查histsize是否小于等于２０
4
密码的生命期最大为８周
III
不符合
检查maxage的值是否小于等于８
5
密码过期锁定时间小于等于２周
III
不符合
maxexpired是否小于等于２
6
密码中可重复字符的最大数目小于等于２
IV
不符合
maxrepeats是否小于等于２
7
密码可以被立即修改
III
不符合
检查minage是否等于０
9
密码至少应该包含２个字母
IV
不符合
检查minalpha是否大于等于２
10
密码中至少包括４个唯一字符
IV
不符合
检查mindiff是否大于等于４
11
密码的最小长度是6位
II
不符合
检查minlen是否大于等于６
12
root用户的密码最小长度是８位
II
不符合
检查minlen是否大于等于８
13
密码包含的非字母字符数目至少是2
IV
不符合
检查minother是否大于等于２
IP：
XX.20.225.3
编号
检查选项
风险等级
结果
1
强制密码不能是字典中的单词
II
不符合
检查dictionlist的值是否为/usr/share/dict/words
2
密码可以重复使用的时间大于等于26周
IV
不符合
检查histexpire的值是否为26或者大于２６
3
密码重复使用的次数小于等于20次
IV
不符合
检查histsize是否小于等于２０
4
密码的生命期最大为８周
III
不符合
检查maxage的值是否小于等于８
5
密码过期锁定时间小于等于２周
III
不符合
maxexpired是否小于等于２
6
密码中可重复字符的最大数目小于等于２
IV
不符合
maxrepeats是否小于等于２
7
密码可以被立即修改
III
不符合
检查minage是否等于０
9
密码至少应该包含２个字母
IV
不符合
检查minalpha是否大于等于２
10
密码中至少包括４个唯一字符
IV
不符合
检查mindiff是否大于等于４
11
密码的最小长度是6位
II
不符合
检查minlen是否大于等于６
12
root用户的密码最小长度是８位
II
不符合
检查minlen是否大于等于８
13
密码包含的非字母字符数目至少是2
IV
不符合
检查minother是否大于等于２
6.1.6Inetd启动的不必要服务
IP：
XX.20.225.1
编号
检查选项
风险等级
结果
1.
bootps已被禁用
III
符合
bootps用于无盘工作站的网络启动，应该禁用
2.
系统的小服务已被禁用
III
不符合
这些服务包括：
chargen、daytime、discard、echo，它们会为拒绝服务提供机会
3
cmsd服务已被禁用
III
不符合
日历服务以root的权限运行，因此可能会危害到系统的安全
4
comsat服务已被禁用
III
符合
电子邮件通知服务以root的权限运行，因此可能会危害到系统的安全
5
dtspc服务已被禁用
III
不符合
此服务响应CDE客户机启动进程的请求，在本机启动某些进程，因此可能会影响系统的安全
6
exec服务已被禁用
III
不符合
远程执行服务使用明文传输用户名/密码，容易遭到网络窃听
7
finger服务已被禁用
III
符合
finger服务会泄露系统的大量信息
8
ftp服务已被禁用
III
不符合
ftp使用明文传输用户名/密码，容易遭到网络窃听
9
imap2服务已被禁用
III
符合
明文传输用户名/密码，容易遭到网络窃听
10
klogin服务已被禁用
IV
不符合
只有使用kerberos认证时，才需要这个服务
11
kshell服务已被禁用
IV
不符合
kshell服务只有使用kerberos认证时，才可能用到
12
login服务已被禁用
II
不符合
rlogin服务容易遭到IP和DNS欺骗，应该用更安全的方式代替
13
netstat服务已被禁用
IV
符合
netstat服务会泄露网络信息
14
ntalk和talk服务已被禁用
IV
不符合
15
pcnfsd服务已被禁用
IV
符合
网络文件系统是UNIX下的共享文件系统，如果不是必要应该禁用
16
pop3服务已被禁用
IV
符合
如果不是作为邮件服务器，pop3协议应该关闭
17
rexd服务已被禁用
IV
符合
18
quotad服务已被禁用
IV
符合
19
rstatd服务已被禁用
IV
不符合
20
rusersd服务已被禁用
III
不符合
这个服务会泄露用户信息
21
rwalld服务已被禁用
IV
不符合
22
shell服务已被禁用
IV
不符合
rsh服务容易遭到IP和DNS欺骗，应该用更安全的方式代替
23
spayd服务已被禁用
IV
不符合
24
systat服务已被禁用
IV
符合
25
tftp服务已被禁用
IV
符合
26
time服务已被禁用
IV
不符合
27
ttdbserver服务已被禁用
II
不符合
此服务曾经存在严重的安全漏洞
28
uucp服务已被禁用
IV
符合
IP：
XX.20.225.3
编号
检查选项
风险等级
结果
1.
bootps已被禁用
III
符合
bootps用于无盘工作站的网络启动，应该禁用
2.
系统的小服务已被禁用
III
不符合
这些服务包括：
chargen、daytime、discard、echo，它们会为拒绝服务提供机会
3
cmsd服务已被禁用
III
不符合
日历服务以root的权限运行，因此可能会危害到系统的安全
4
comsat服务已被禁用
III
符合
电子邮件通知服务以root的权限运行，因此可能会危害到系统的安全
5
dtspc服务已被禁用
III
不符合
此服务响应CDE客户机启动进程的请求，在本机启动某些进程，因此可能会影响系统的安全
6
exec服务已被禁用
III
不符合
远程执行服务使用明文传输用户名/密码，容易遭到网络窃听
7
finger服务已被禁用
III
符合
finger服务会泄露系统的大量信息
8
ftp服务已被禁用
III
不符合
ftp使用明文传输用户名/密码，容易遭到网络窃听
9
imap2服务已被禁用
III
符合
明文传输用户名/密码，容易遭到网络窃听
10
klogin服务已被禁用
IV
不符合
只有使用kerberos认证时，才需要这个服务
11
kshell服务已被禁用
IV
不符合
kshell服务只有使用kerberos认证时，才可能用到
12
login服务已被禁用
II
不符合
rlogin服务容易遭到IP和DNS欺骗，应该用更安全的方式代替
13
netstat服务已被禁用
IV
符合
netstat服务会泄露网络信息
14
ntalk和talk服务已被禁用
IV
不符合
15
pcnfsd服务已被禁用
IV
符合
网络文件系统是UNIX下的共享文件系统，如果不是必要应该禁用
16
pop3服务已被禁用
IV
符合
如果不是作为邮件服务器，pop3协议应该关闭
17
rexd服务已被禁用
IV
符合
18
quotad服务已被禁用
IV
符合
19
rstatd服务已被禁用
IV
不符合
20
rusersd服务已被禁用
III
不符合
这个服务会泄露用户信息
21
rwalld服务已被禁用
IV
不符合
22
shell服务已被禁用
IV
不符合
rsh服务容易遭到IP和DNS欺骗，应该用更安全的方式代替
23
spayd服务已被禁用
IV
不符合
24
systat服务已被禁用
IV
符合
25
tftp服务已被禁用
IV
符合
26
time服务已被禁用
IV
不符合
27
ttdbserver服务已被禁用
II
不符合
此服务曾经存在严重的安全漏洞
28
uucp服务已被禁用
IV
符合
6.1.7其他不必要服务
IP：
XX.20.225.1
编号
检查选项
风险等级
结果
1.
CDE桌面环境已被禁用
IV
不符合
检查/etc/inittab文件中是否存在/etc/rc.dt
2
lpd服务已被禁用
III
符合
检查/etc/inittab文件中是否存在lpd服务
3
nfs服务已被禁用
III
不符合
检查/etc/inittab文件中是否存在nfs服务
4
portmap服务已被禁用
III
不符合
portmap提供rpc服务，处于安全考虑，应该关闭。
检查/etc/rc.tcpip文件是否启动该服务。
5
sendmail服务已被禁用
III
不符合
检查/etc/rc.tcpip文件是否启动了该服务。
IP：
XX.20.225.3
编号
检查选项
风险等级
结果
1.
CDE桌面环境已被禁用
IV
不符合
检查/etc/inittab文件中是否存在/etc/rc.dt
2
lpd服务已被禁用
III
符合
检查/etc/inittab文件中是否存在lpd服务
3
nfs服务已被禁用
III
不符合
检查/etc/inittab文件中是否存在nfs服务
4
portmap服务已被禁用
III
不符合
portmap提供rpc服务，处于安全考虑，应该关闭。
检查/etc/rc.tcpip文件是否启动该服务。
5
sendmail服务已被禁用
III
不符合
检查/etc/rc.tcpip文件是否启动了该服务。
6.1.8评估报告
针对本系统做了58项安全检查，具体分布如下：
类别\弱点
I级风险
II级风险
III级风险
IV级风险
安装和配置
2
0
0
1
登录控制
0
0
5
0
用户、角色控制
0
2
0
2
密码控制
0
3
3
6
inetd启动的不必要服务
0
2
10
16
其它不必要服务
0
0
4
1
其它安全配置
0
0
0
1
对AIX系统主机的评估结果如下：
类别\弱点
I级风险
II级风险
III级风险
IV级风险
安装和配置
0
0
0
0
登录控制
0
0
5
0
用户、角色控制
0
2
0
2
密码控制
0
3
3
6
inetd启动的不必要服务
0
2
6
8
其它不必要服务
0
0
3
1
其它安全配置
0
0
0
1
总计
0
7
17
18
弱
点统计：
6.2Windows主机
6.2.1主机信息
系
升级会员 