安全加固解决规划方案docx.docx
《安全加固解决规划方案docx.docx》由会员分享，可在线阅读，更多相关《安全加固解决规划方案docx.docx（49页珍藏版）》请在冰点文库上搜索。
安全加固解决规划方案docx
.
1.1安全加固解决方案
1.1.1安全加固范围及方法确定
加固的范围是陕西电视台全台网中的主机系统和网络设备，以及相关的数据
库系统。
主要有：
服务器加固。
主要包括对Windows服务器和Unix服务器的评估加固，
其中还包括对服务器操作系统层面的评估和数据库层面的评估加固。
网络设备加固。
主要包括对防火墙，交换机的评估加固。
安全加固服务主要以人工的方式实现。
1.1.2安全加固流程
word资料
.
图错误！
文档中没有指定样式的文字。
-1安全加固流程图
word资料
.
检查当前设备
确定系统漏洞
重新启动主机
确定实施方法
更改系统配置
版本升级
按方案
下载最新
实施加固步骤
补丁软件
重新启动系统
观察系统运行
图错误！
文档中没有指定样式的文字。
-2系统加固实施流程图2
1.1.3安全加固步骤
1.准备工作
一人操作，一人记录，尽量防止可能出现的误操作。
2.收集系统信息
加固之前收集所有的系统信息和用户服务需求，收集所有应用和服务软件信
息，做好加固前预备工作。
3.做好备份工作
系统加固之前，先对系统做完全备份。
加固过程可能存在任何不可遇见的风
险，当加固失败时，可以恢复到加固前状态。
word资料
.
4.加固系统
按照系统加固核对表，逐项按顺序执行操作。
5.复查配置
对加固后的系统，全部复查一次所作加固内容，确保正确无误。
6.应急恢复
当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时与安全专
家小组取得联系，寻求帮助，解决问题
word资料
.
1.1.4安全加固内容
表错误！
文档中没有指定样式的文字。
-1安全加固内容说明表
加固对象
操作系统
加固项目
说明
UNIX系统
Solaris
，
从厂家网站或者可信任站点下载系统的补丁包，不同
及类UNIX
HP-UX，AIX，
的操作系统版本以及运行不同的服务，都可能造成需
系统
linux
补丁
要安装的补丁包不同，所以必须选择适合本机的补丁
，
FreeBSD
，
包安装。
[视机器配置而定]
OpenBSD，SCO
UNIX文件系统的权限配置项目繁多，要求也很严格，
文件系统
不适当的配置可能造成用户非法取得操作系统超级用
户的控制权，从而完全控制操作系统。
[有30项左右
配置]
UNIX配置文件功能有点类似微软的注册表，
UNIX对操
作系统配置基本上都是通过各种配置文件来完成，不
合理的配置文件可能造成用户非法取得操作系统超级
配置文件
用户的控制权，从而完全控制操作系统。
例如：
/etc/inittab
文件是系统加载时首先自动执行的文
件，/etc/hosts
。
equiv
是限制主机信任关系的文件
等。
[有20项左右配置]
帐号口令是从网络访问
UNIX系统的基本认证方式，很
多系统被入侵都是因为帐号管理不善，设置超级用户
帐号管理
密码强度，密码的缺省配置策略
（例如：
密码长度，更
换时间，帐号所在组，帐号锁定等多方面）。
有些系统
可以配置使用更强的加密算法。
[有10
项左右配置]
UNIX有很多缺省打开的服务，
这些服务都可能泄露本
机信息，或存在未被发现的安全漏洞，关闭不必要的
服务，能尽量降低被入侵的可能性。
例如
r
系列服务
网络及服
和rpc的rstatd都出过不止一次远程安全漏洞。
UNIX
务
缺省的网络配置参数也不尽合理，例如
TCP序列号随
机强度，对D。
o。
S攻击的抵抗能力等，合理配置网
络参数，能优化操作系统性能，提高安全性。
[视机
器配置而定>30项]
网络文件系统协议最早是
SUN公司开发出来的，以实
现文件系统共享。
NFS使用RPC服务，其验证方式存
NFS系统
在缺陷，NFS服务的缺省配置也很不安全，如果必须
使用NFS系统，一定进行安全的配置。
[视操作系统
而定]
word资料
.
我们建议操作系统安装最小软件包，例如不安装开发
包，不安装不必要的库，不安装编绎器等，但很多情
应用软件
况下必须安装一些软件包。
APACHE或NETSCAPE
ENTERPRISESERVER是一般UNIX首选的WEB服务器，
其配置本身就是一项独立的服务邮件和域名服务等都
需要进行合理的配置。
做好系统的审计和日志工作，对于事后取证追查，帮
审计，日
助发现问题，都能提供很多必要信息。
例如，打开帐
号审计功能，记录所有用户执行过的命令。
例如实现
志
日志集中管理，避免被入侵主机日志被删除等。
[视
机器配置而定]
不同的
UNIX系统有一些特别的安全配置，例如
其它
solaris
有ASET，HP的高级别安全，FreeBSD的jail
等。
[
视机器配置而定]
最后工作
建议用户做系统完全备份，并对关键部份做数字签名。
微软操作
NT4.0
/
补丁
微软操作系统对新发现的漏洞修补是使用
Service
系统
W2K
Pack及hotfix
，
（workstati
另外，还需要安装
C2级安全配置。
[视机器配置而定]
on
，
文件系统
配置NTFS文件系统，NTFS可以支持更多更强大的的
server
，
安全配置，设置需要特殊保护的目录和文件，设置不
professiona
同目录和文件的权限，移动或删除特别的系统命令文
l
，
件，增加入侵者操作的难度。
[有20项左右配置]
advanced
帐号管理
帐号口令是从网络访问NT/2K系统的基本认证方式，
server）
很多系统被入侵都是因为帐号管理不善，设置超级用
户密码强度，密码的缺省配置策略
（例如：
密码长度，
更换时间，帐号所在组，帐号可访问资源，帐号锁定
等多方面），GUEST帐号以及加强的密码管理（SYSKEY）
等。
[有10项左右配置]
网络及服
网络和服务是互联网上用户与此服务器接口的部分，
务
网络协议的配置不当，服务进程设置不当，都可能为
入侵系统打开方便之门。
合理地配置网络及服务将能
阻挡80%的普通入侵[视机器配置而定]
注册表
微软操作系统缺省的安装是为了能兼容各种运行环
境，因此很多权限设置都很宽，这不符合
"最小权限"
的基本原则，我们需要根据不同的环境，
备份注册表，
再人为地更改注册表内容，配置最小权限的稳定运行
的系统。
例如：
不允许远程注册表配置，设置
LSA尽
量减少远程用户可以获取的信息，设置注册表本身的
访问控制，禁止空连接，对其它操作系统和
POSIX的
支持，对登录信息的缓存等。
也有很多选项需要根据
不同用户需求来制定，例如：
当安全策略因为某些因
素（磁盘满）而不能运作时，是否强制系统停止运行。
[有40
项以上配置]
word资料
.
共享
应用软件
审计，日
志
其它
最后工作
网络设备交换机，路由检查及加
器，防火墙固项目会
根据不同
厂商的设
备而不
同，具体
内容在加
固前将会
根据评估
的实际情
况而定
共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。
我们需要删除不必要的共享，合理配置共享的访问控制列表。
[视机器配置而定]
我们建议安装最小的软件包，不安装不必要的应用软件。
但是很多情况应用软件提供不可缺少的服务，这
时我们就必须安全地配置它们。
IE
被微软绑定为操
作系统的一部分，IE的安全直接影响到系统的安全。
我们需要升级IE的版本，安装
IE
的补丁，设置
IE
的安全级别，及各项安全相关配置outlook
，
powerpoint及其它等多种软件都可能存在安全问题，
需要安装补丁程序。
IIS提供WWW的服务，这是一般
NT服务器首选的WEB服务器，但是IIS本身存在很多
安全漏洞，直到现在仍然经常发现新的安全漏洞，
IIS
的缺省配置，目录设置，权限设置，安全设置等多方
面配置不当也是系统安全的巨大隐患。
IIS的加固本
身就可以成为一项独立的服务内容。
[视机器配置而
定]
做好系统的审计和日志工作，对于事后取证追查，帮
助发现问题，都能提供很多必要信息[视机器配置而
定]
其它方面视不同环境而定，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。
重新制作新的系统紧急恢复盘（ERD），建议用户做系统完全备份，并对关键部份做数字签名。
制订或调整完善网络设备安全策略
配置登录地址限制
配置登录用户身份鉴别
配置特权用户权限分离
消除共享用户
配置口令复杂度与更换要求
配置登录失败处理功能
配置远程管理采用SSH等加密方式采购与配置网络设备双因素鉴别设备
用户拿到IOS升级包，在设备厂家工程师现场协助下进行IOS升级。
关闭不必要的服务
关闭不使用的网络接口
给出重要协议、地址和端口访问控制配置原型SNMP，TFTP，NTP等服务
建议网络设备的配置文件离线备份，并由专人保管
word资料
.
期进行网络设备用户和口令维护，进行口令强度管理
使用、访问权限进行严格限制
相应的日志检查，审计和归档安全管理策略
1.1.5满足指标
表错误！
文档中没有指定样式的文字。
-2安全加固等保符合性说明表
1
解决方案名称
控制类
控制点
指标名称
措施名称
改进动作
改进对象
安全加固解决
网络安
网络设
应对登录网络设备的
配置登录
网络设备
方案
全
备防护a
用户身份
安全配置
网络设备
用户进行身份鉴别；
鉴别
与加固
应对网络设备的管理
配置登录
网络设备
b
员登录地址进行限
安全配置
网络设备
地址限制
制；
与加固
网络设备用户的标识
消除共享
网络设备
c
安全配置
网络设备
应唯一；
用户
与加固
主要网络设备应对同
采购与配
d
一用户选择两种或两
置网络设
采购部署
双因素鉴
种以上组合的鉴别技
备双因素
别
术来进行身份鉴别；
鉴别设备
身份鉴别信息应具有
配置口令
网络设备
不易被冒用的特点，
e
复杂度与
安全配置
网络设备
口令应有复杂度要求
更换要求
与加固
并定期更换；
应具有登录失败处理
功能，可采取结束会
配置登录
网络设备
话、限制非法登录次
f
失败处理
安全配置
网络设备
数和当网络登录连接
功能
与加固
超时自动退出等措
施；
当对网络设备进行远
配置远程
程管理时，应采取必
网络设备
管理采用
g
要措施防止鉴别信息
安全配置
网络设备
SSH等加
在网络传输过程中被
与加固
密方式
窃听；
应实现设备特权用户
配置特权
网络设备
h
用户权限
安全配置
网络设备
的权限分离。
分离
与加固
安全加固解决
主机安
访问控
应启用访问控制功
操作系统
操作系统
方案
全
制
能，依据安全策略控
访问控制
与数据库
与数据库
a
制用户对资源的访
策略
安全配置
等软件
问；
与加固
word资料
.
应根据管理用户的角
操作系统
色分配权限，实现管
管理用户
操作系统
与数据库
b
理用户的权限分离，
权限最小
与数据库
安全配置
仅授予管理用户所需
化
等软件
与加固
的最小权限；
应实现操作系统和数
操作系统
操作系统
特权用户
与数据库
c
据库系统特权用户的
与数据库
权限分离
安全配置
权限分离；
等软件
与加固
应严格限制默认帐户
操作系统
的访问权限，重命名
操作系统
限制默认
与数据库
d
系统默认帐户，修改
与数据库
帐户
安全配置
这些帐户的默认口
等软件
与加固
令；
应及时删除多余的、
操作系统
操作系统
与数据库
e
过期的帐户，避免共
清理帐户
与数据库
安全配置
享帐户的存在。
等软件
与加固
应对重要信息资源设
重要信息
操作系统
f
资源设置
采购部署
与数据库
置敏感标记；
敏感标记
等软件
应依据安全策略严格
配置敏感
操作系统
操作系统
控制用户对有敏感标
与数据库
g
信息资源
与数据库
记重要信息资源的操
安全配置
访问策略
等软件
作；
与加固
入侵防
应能够检测到对重要
范
服务器进行入侵的行
为，能够记录入侵的
采购与配
a
源IP、攻击的类型、
置主机入
采购部署
主机入侵
攻击的目的、攻击的
侵检测软
检测软件
时间，并在发生严重
件
入侵事件时提供报
警；
应能够对重要程序的
配置主机
入侵检测
完整性进行检测，并
软件的完
安全产品
主机入侵
b
在检测到完整性受到
整性检测
配置
检测软件
破坏后具有恢复的措
和恢复功
施；
能
操作系统应遵循最小
安装的原则，仅安装
操作系统
需要的组件和应用程
主机最小
与数据库
c
序，并通过设置升级
操作系统
安装
安全配置
服务器等方式保持系
与加固
统补丁及时得到更
新。
操作系统应遵循最小
c
安装的原则，仅安装
设置补丁
采购部署
补丁服务
需要的组件和应用程
服务器
器和软件
序，并通过设置升级
word资料
.
服务器等方式保持系
统补丁及时得到更
新。
解决方案名称
控制类
控制点
指标名称
系统安全加固
主机安
剩余信
应保证操作系统和数
全
息保护
据库系统用户的鉴别
信息所在的存储空
a
间，被释放或再分配
给其他用户前得到完
全清除，无论这些信
息是存放在硬盘上还
是在内存中；
应确保系统内的文
件、目录和数据库记
b
录等资源所在的存储
空间，被释放或重新
分配给其他用户前得
到完全清除。
资源控
应通过设定终端接入
制
方式、网络地址范围
a
等条件限制终端登
录；
应根据安全策略设置
b
登录终端的操作超时
锁定；
应对重要服务器进行
监视，包括监视服务
c
器的CPU、硬盘、内
存、网络等资源的使
用情况；
应限制单个用户对系
d
统资源的最大或最小
使用限度；
应能够对系统的服务
e
水平降低到预先规定
的最小值进行检测和
报警。
解决方案名称
控制类
控制点
指标名称
安全加固解决
应用安
访问控
应提供访问控制功
方案
全
制
能，依据安全策略控
a
制用户对文件、数据
库表等客体的访问；
访问控制的覆盖范围
b
应包括与资源访问相
关的主体、客体及它
措施名称改进动作改进对象
操作系统
鉴别信息
与数据库操作系统
存储空间
安全配置和数据库
清除
与加固
操作系统
存储空间
与数据库
操作系统
清除
安全配置
和数据库
与加固
主机安全
操作系
统与数据
配置与加
操作系统
库安全配
固
置与加固
主机安全
操作系
统与数据
配置与加
操作系统
库安全配
固
置与加固
采购部署
网管监控
主机性能
系统，实
采购部署
管理
现重要服
务器监控
主机安全
操作系
统与数据
配置与加
操作系统
库安全配
固
置与加固
配置网管
系统的监
控与报
产品配置
主机性能
警，实现
管理
服务水平
监控
措施名称
改进动作
改进对象
访问控制
应用软件
安全开发
业务系统
功能
与改造
访问控制
应用软件
主体、客
安全开发
业务系统
体及操作
与改造
word资料
.
们之间的操作；要求
应由授权主体配置访
应用软件
问控制策略，并严格
配置访问
c
安全开发
业务系统
限制默认帐户的访问
控制策略
与改造
权限；
应授予不同帐户为完
成各自承担任务所需
最小权限
应用软件
d
的最小权限，并在它
安全开发
业务系统
与制约
们之间形成相互制约
与改造
升级会员 