18SGISLOPSA2910Windows等级保护测评作业指导书三级.docx
《18SGISLOPSA2910Windows等级保护测评作业指导书三级.docx》由会员分享，可在线阅读，更多相关《18SGISLOPSA2910Windows等级保护测评作业指导书三级.docx（26页珍藏版）》请在冰点文库上搜索。
18SGISLOPSA2910Windows等级保护测评作业指导书三级
控制编号：
SGISL/OP-SA29-10
信息安全等级保护测评作业指导书
Windows主机（三级）
版号：
第2版
修改次数：
第0次
生效日期：
2010年01月06日
中国电力科学研究院信息安全实验室
修改页
修订号
控制编号
版号/
章节号
修改人
修订原因
批准人
批准日期
备注
1
SGISL/OP-SA29-10
毛澍
按公安部要求修订
詹雄
2010.3.8
一、身份鉴别
1．用户身份标识和鉴别
测评项编号
ADT-OS-WIN-01
对应要求
a）应对登录操作系统的用户进行身份标识和鉴别。
测评项名称
用户身份标识和鉴别
测评分项1：
查看登录是否需要口令或其他认证方式
操作步骤
在系统管理员登录系统过程中，查看是否需要输入口令或采用其他认证方式
适用版本
任何版本
实施风险
无
符合性判定
如果需要输入口令或采用其他认证方式，判定结果为符合；
如果不需要任何认证过程，判定结果为不符合。
测评分项2：
检查操作系统是否允许开机自动登录
操作步骤
在“开始\运行\”窗口内运行注册表编辑器应用程序“Regedit.exe”，对目录“我的电脑HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\AutoAdminLogon”下的内容进行记录。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
AutoAdminLogon的值为0,表示不允许开机自动登录，判定结果为符合；
AutoAdminLogon的值为1,表示允许开机自动登录，判定结果为不符合。
备注
2．账号口令强度
测评项编号
ADT-OS-WIN-02
对应要求
b）操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。
测评项名称
账号口令强度
测评分项1：
检查系统是否存在弱口令
操作步骤
1）尝试典型弱口令，2）参见扫描结果，3）询问管理员口令位数和复杂度
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
系统所有帐户密码都在8位以上，数字字母混合，判定结果为符合；
系统所有帐户密码都在6位—8位，判定结果为基本符合；
系统存在空口令或密码小于6位的帐户，判定结果为不符合。
测评分项2：
检查系统密码策略
操作步骤
开始|程序|管理工具|本地安全设置|安全设置|帐号策略|密码策略：
密码必须符合复杂性要求；密码长度最小值；密码最长存留期；
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
“密码必须符合复杂性要求”设置为启用；“密码长度最小值”设置为8位或8位以上，“密码最长存留期”设置为42天以下，判定结果为符合；
否则为不符合。
备注
3．检查帐户锁定策略
测评项编号
ADT-OS-WIN-03
对应要求
c应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。
测评项名称
检查帐户锁定策略
测评分项1：
检查帐户锁定策略
操作步骤
开始|程序|管理工具|本地安全设置|安全设置|帐号策略|帐户锁定策略：
帐户锁定时间；帐户锁定阀值；
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
“帐户锁定时间”设置为30分钟或30分钟以下；“帐户锁定阀值”设置为3次或3次以上，判定结果为符合；否则为不符合。
4．远程管理方式
测评项编号
ADT-OS-WIN-04
对应要求
d）当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。
测评项名称
远程管理方式
测评分项1：
远程管理方式
操作步骤
询问系统管理员，系统采用何种远程管理方式，并记录远程管理软件的版本。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
不允许远程登录或采用ssh等加密方式，判定结果为符合；
采用FTP、Telnet等明文校验协议的远程管理方式，判定结果为不符合。
5．用户名具有唯一性
测评项编号
ADT-OS-WIN-05
对应要求
e）应为操作系统的不同用户分配不同的用户名，确保用户名具有唯一性。
测评项名称
用户名具有唯一性
测评分项1：
用户名具有唯一性
操作步骤
“管理工具”->“计算机管理”->“本地用户和组”中的“用户”，检查其中的用户名是否出现重复。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
无重命名用户，判定结果为符合；
有重命名用户，判定结果为不符合。
6．身份鉴别
测评项编号
ADT-OS-WIN-06
对应要求
f）应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
测评项名称
身份鉴别
测评分项1：
身份鉴别
操作步骤
访谈管理员，询问系统是否采用了两种或两种以上的身份鉴别方式。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
采用两种或两中以上加密方式，判定结果为符合；否则判定结果为不符合。
二、访问控制
1．控制用户对资源的访问
测评项编号
ADT-OS-WIN-07
对应要求
a）应启用访问控制功能，依据安全策略控制用户对资源的访问。
测评项名称
控制用户对资源的访问
测评分项1：
是否开启默认共享或Admin共享
操作步骤
在命令提示符窗口，执行以下命令：
netshare
适用版本
任何版本
实施风险
无
符合性判定
没有开启不需要的共享，如IPS$、ADMIN$、C$等，判定结果为符合；
开启不需要的共享，如IPS$、ADMIN$、C$等，判定结果为不符合。
测评分项2：
共享文件的访问控制
操作步骤
打开“开始\所有程序\管理工具\计算机管理\系统工具\共享文件夹\共享”窗口，对窗口右侧的共享信息栏目进行查看，对存在的共享进行记录，并对建立的应用共享进行访问权限的检查。
此外，需对建立的应用共享进行应用状况的询问，以决定该应用共享的建立是否具有实际的应用意义。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无10
符合性判定
系统没有开启不需要的共享，对于开启的共享设置访问权限，允许管理员通过密码访问，判定结果为符合；系统开启不需要的共享，判定结果为不符合。
备注
测评分项3：
重要数据的访问控制
操作步骤
首先进入到提供应用服务的文件、目录，对该文件、目录点击“右键\属性”，打开属性页的“安全”选项卡，对用户“Users、EveryOne”的权限进行记录。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
重要的文件、目录只允许管理员访问通过密码访问，判定结果为符合；
对重要的文件、目录的访问没有限制，判定结果为不符合。
备注
2．用户权限检查
测评项编号
ADT-OS-WIN-08
对应要求
b）应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。
测评项名称
用户权限检查
测评分项1：
用户权限检查
操作步骤
开始\所有程序\管理工具\计算机管理\系统工具\本地用户和组\用户（组）”窗口，对窗口右侧的用户（组）信息栏目进行查看，对存在的关键用户及用户组进行记录,并对其拥有的权限进行查看。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
各帐户根据最小权限分配原则，帐户的权限分配合理，判定结果为符合；
帐户没有最小权限分配原则，判定结果为不符合。
3．用户的权限分离
测评项编号
ADT-OS-WIN-09
对应要求
c）应实现操作系统和数据库系统特权用户的权限分离。
测评项名称
用户的权限分离
测评分项1：
用户的权限分离
操作步骤
结合系统管理员的组成情况，判定是否实现了该项要求。
对安装了数据库的操作系统，检查操作系统中的数据库管理账号的权限。
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
使用的数据库帐户只能登录数据库，不能登录操作系统，判定结果为符合；
数据库帐户可以登录操作系统，判定结果为不符合。
4．账户权限配置
测评项编号
ADT-OS-WIN-10
对应要求
d）应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令。
测评项名称
账户权限配置
测评分项1：
administrator是否更名
操作步骤
执行以下命令：
netuser
适用版本
任何版本
实施风险
无
符合性判定
系统不存在administration帐户，判定结果为符合；
系统存在administration帐户，且为管理员帐户，判定结果为不符合。
测评分项2：
检查系统Guest帐号
操作步骤
执行以下命令：
netuserguest
适用版本
Windows2000、WindowsXP、Windows2003
实施风险
无
符合性判定
系统中guest帐户被禁用，判定结果为符合；
系统存在guest帐户且没有禁用，判定结果为不符合。
备注
5．系统是否存在多余帐号
测评项编号
ADT-OS-WIN-11
对应要求
e）应及时删除多余的、过期的帐户，避免共享帐户的存在。
测评项名称
系统是否存在多余帐号
测评分项1：
检查系统是否存在多余帐号
操作步骤
执行以下命令：
netuser
访谈系统管理员，是否存在无用的多余帐号。
打开“开始\所有程序\管理工具\计算机管理\系统工具\本地用户和组\用户（组）”窗口，对窗口右侧的用户（组）信息栏目进行查看，对存在的关键用户及用户组进行记录,并对其拥有的权限进行查看。
此外，对于系统内新建的用户（组）需进行其存在意义的询问，以决定该用户（组）是否具有存在意义。
适用版本
任何版本
实施风险
无
符合性判定
系统不存在无用的帐户，判定结果为符合；
系统中存在无用的帐户，判定结果为不符合。
6．资源敏感标记设置检查
测评项编号
ADT-OS-WIN-12
对应要求
f）应对重要信息资源设置敏感标记。
测评项名称
资源敏感标记设置检查
测评分项1：
资源敏感标记设置检查
操作步骤
询问管理员系统是否对重要信息资源设置了敏感标记。
适用版本
任何版本
实施风险
无
符合性判定
对重要信息资源设置了敏感标记，判定结果为符合；
对重要信息资源没有设置敏感标记，判定结果为不符合。
7．有敏感标记的资源访问
测评项编号
ADT-OS-WIN-13
对应要求
g）应依据安全策略严格控制用户对有敏感标记信息资源的操作。
测评项名称
有敏感标记的资源访问
测评分项1：
有敏感标记的资源访问
操作步骤
询问管理员是否有安全策略严格控制用户对有敏感标记重要信息资源的操作。
适用版本
任何版本
实施风险
无
符合性判定
有安全策略严格控制用户对有敏感标记重要信息资源的操作，判定结果为符合；
没有有安全策略控制用户对有敏感标记重要信息资源的操作，判定结果为不符合。
三、安全审计
1．审计内容
测评项编号
ADT-OS-WIN-14
对应要求
a）审计范围应覆盖到服务器上的每个操作系统用户和数据库用户。
b）审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件。
c）审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。
测评项名称
审计内容
测评分项1：
审计内容
操作步骤
进入“控制面板/管理工具/本地安全策略”，在“本地策略->审核策略”中，
查看本地安全策略审计功能是否启用；查看相应的审核，查看事件查看器相关记录是否包括时间、主客体标识和事件结果等信息。
访谈安全审计员，询问主机系统是否设置那些安全审计功能，查看审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源（如末端标识符）、事件的结果等内容。
适用版本
任何版本
实施风险
无
符合性判定
对于安全审计a：
启用本地安全策略，判定结果为符合；没有启用本地安全策略，判定结果为不符合。
对于安全审计b：
对审核策略更改、审核登录事件、审核帐户登录事件、审核帐户管理的成功、失败进行审计，判定结果为符合；对审核策略更改、审核登录事件、审核帐户登录事件、审核帐户管理的成功、失败进行审计，判定结果为符合；对审核策略更改、审核登录事件、审核帐户登录事件、审核帐户管理中的一个或几个项目进行审计，判定结果为基本符合。
对于安全审计c：
审计记录包括时间、主客体标识和事件结果等信息，判定结果为符合；审计记录没有包括时间、主客体标识和事件结果等信息，判定结果为不符合。
2．审计日志分析
测评项编号
ADT-OS-WIN-15
对应要求
d）应能够根据记录数据进行分析，并生成审计报表。
测评项名称
审计日志分析
测评分项1：
审计日志分析
操作步骤
询问管理员，查看是否为授权用户浏览和分析审计数据提供专门的审计工具（如对审计记录进行分类、排序、查询、统计、分析和组合查询等），并能根据需要生成审计报表。
适用版本
任何版本
实施风险
无
符合性判定
管理员定期对审计日志进行分析，生成审计报表，判定结果为符合；
管理员不能定期查看审计日志，没有生成审计报表，判定结果为不符合。
3．保护进程
测评项编号
ADT-OS-WIN-16
对应要求
e）应保护审计进程，避免受到未预期的中断
测评项名称
保护进程
测评分项1：
保护进程
操作步骤
Windows系统具备了在审计进程自我保护方面功能。
适用版本
任何版本
实施风险
无
符合性判定
不适用。
4．系统日志存储
测评项编号
ADT-OS-WIN-17
对应要求
f）应保护审计记录，避免受到未预期的删除、修改或覆盖等。
测评项名称
系统日志存储
测评分项1：
系统日志存储
操作步骤
开始|运行|eventvwr|或管理工具|事件察看器|系统|右键“属性”
适用版本
任何版本
实施风险
无
符合性判定
最大日志文件大小：
512KB；当达到最大的日志大小时：
按需要改写事件，判定结果为符合；
最大日志文件大小、当达到最大的日志大小时没有设置，判定结果为不符合。
四、剩余信息保护
1．鉴别信息保护
测评项编号
ADT-OS-WIN-18
对应要求
a）应保证操作系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中。
测评项名称
鉴别信息保护
测评分项1：
鉴别信息保护
操作步骤
开始|控制面板|管理工具|本地安全策略|安全设置|本地策略|安全选项|交互式登录：
不显示上次的用户名。
适用版本
任何版本
实施风险
无
符合性判定
交互式登录：
不显示上次的用户名为“已启用”，则判定结果为符合；
交互式登录：
不显示上次的用户名为“已禁用”，则判定结果为不符合。
2．存储文件剩余信息保护
测评项编号
ADT-OS-WIN-19
对应要求
b）应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
测评项名称
存储文件剩余信息保护
测评分项1：
存储文件剩余信息保护
操作步骤
访谈管理员，询问系统内的文件、目录等资源所在的存储空间，被释放或重新分配给其他用户前是否得到完全清除。
适用版本
任何版本
实施风险
无
符合性判定
制定剩余信息保护制度，保证系统内的文件、目录和数据库记录等资源在被释放或再分配给其他用户前得到完全清除，并且对硬盘就行格式化，则判定结果为符合；没有制定剩余信息保护制度，系统内的文件、目录和数据库记录等资源在被释放或再分配给其他用户前没有得到完全清除，则判定结果为不符合。
五、入侵防范
1．操作系统补丁及程序安装原则
测评项编号
ADT-OS-WIN-20
对应要求
a）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。
测评项名称
操作系统补丁及程序安装原则
测评分项1：
操作系统补丁升级情
操作步骤
开始—运行—systeminfo
适用版本
任何版本
实施风险
无
符合性判定
定期进行补丁升级，升级到最新的安全补丁，则判定结果为符合；
没有定期升级补丁，则判定结果为不符合。
测评分项2：
检查系统开启的服务
操作步骤
使用脚本程序或打开“开始\所有程序\管理工具\计算机管理\服务和应用程序\服务”窗口，对窗口右侧的系统服务信息栏目进行查看，对一些启用的关键的服务进行记录。
对于一些应用服务需向系统管理员进行询问，以决定该项服务是否为系统所必需启用的服务。
适用版本
任何版本
实施风险
无
符合性判定
没有开启以上不必要的服务，则判定结果为符合；
开启了以上不需要的服务，则判定结果为不符合。
测评分项3：
检查系统开放的端口
操作步骤
在命令提示符窗口，键入命令行“netstat–ano查看并记录系统开放的TCP端口和UDP端口,打开任务管理器查看开启端口的进程。
对于一些不明端口或进程，需向管理员进行询问，以决定该端口或进程是否为系统服务所必需。
适用版本
任何版本
实施风险
无
符合性判定
没有开启以上不必要的端口，则判定结果为符合；
开启了以上不需要的端口，则判定结果为不符合。
测评分项4：
检查系统安装的软件情况
操作步骤
开始—设置—控制面板—删除添加程序
适用版本
任何版本
实施风险
无
符合性判定
系统没有安装不需要的、与业务无关的软件，则判定结果为符合；
系统安装了不需要的软件，则判定结果为不符合。
测评分项5：
检查多余Windows组件
操作步骤
打开“开始\控制面板\添加删除程序\更改或删除Windows组件”，对该窗口内安装的Windows组件进行记录，并需要对系统管理员进行相关组件的询问，以辨别系统内是否存在安装多余的Windows组件。
适用版本
任何版本
实施风险
无
符合性判定
系统没有安装不需要的、与业务无关的Windows组件，则判定结果为符合；
系统安装了不需要的Windows组件，则判定结果为不符合。
2．攻击事件的纪录情况
测评项编号
ADT-OS-WIN-21
对应要求
b）应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。
测评项名称
攻击事件的纪录情况
测评分项1：
攻击事件的纪录情况
操作步骤
应访谈管理员，询问主机系统是否安装了入侵防范系统，入侵防范内容是否包括主机运行监视、资源使用超过值报警、特定进程监控、入侵行为检测、能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警，提供何种形式的报警；是否对特征库进行定期升级。
适用版本
任何版本
实施风险
无
符合性判定
系统安装了入侵防范系统，能够对主机运行情况进行监控，并设定报警功能，能够记录入侵事件的相关信息，则判定结果为符合；
系统没有安装入侵防范系统，不能对主机运行情况进行监控，不能提供报警，不能九路相关的入侵事件的信息，则判定结果为不符合。
3．系统完整性及恢复
测评项编号
ADT-OS-WIN-22
对应要求
c）应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施。
测评项名称
系统完整性及恢复
测评分项1：
系统完整性及恢复
操作步骤
应访谈管理员，询问主机系统是否安装了入侵防范系统，查看入侵防范内容是否包括完整性检测；查看系统是否安装了恢复软件，并保证在完整性受到破坏后能够及时恢复。
适用版本
任何版本
实施风险
无
符合性判定
系统安装了入侵防范系统和备份恢复软件，能够检测系统的完整性，定期对系统进行备份，并能够对系统进行恢复，则判定结果为符合；
系统不能检测重要程序的完整性，不能对系统那个进行恢复，则判定结果为不符合。
六、恶意代码防范
1．检查系统防病毒软件部署
测评项编号
ADT-OS-WIN-23
对应要求
a）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。
测评项名称
检查系统防病毒软件部署
测评分项1：
检查系统防病毒软件部署
操作步骤
打开“开始\所有程序\”列表，检查系统内是否存在网络版或单机版的防病毒软件；对于存在的防病毒软件，需记录其软件名称、版本、最近的升级日期等信息、系统中是否感染了病毒。
适用版本
任何版本
实施风险
无
符合性判定
系统安装防病毒软件及防火墙，定期对病毒库进行升级，则判定结果为符合；
系统没有安装防病毒软件及防火墙，则判定结果为不符合。
2．恶意代码统一管理
测评项编号
ADT-OS-WIN-24
对应要求
b）应支持防恶意代码的统一管理。
测评项名称
恶意代码统一管理
测评分项1：
恶意代码统一管理
操作步骤
查看防病毒系统的管理情况，是否有防病毒服务器对防病毒系统进行统一管理，服务器端定期下发病毒库，服务器端能随时查看客户端防病毒系统的工作情况，及时将发现问题。
适用版本
任何版本
实施风险
无
符合性判定
有专人负责恶意代码的统一管理，有防病毒服务器，定期升级并向客户端下发病毒库，则判定结果为符合。
没有对恶意代码进行统一管理，判定结果为不符合。
3．代码库检查
测评项编号
ADT-OS-WIN-25
对应要求
c）主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库。
测评项名称
代码库检查
测评分项1：
代码库检查
操作步骤
访谈管理员，询问主机防恶意代码产品是否具有与网络防恶意代码产品不同的恶意代码库。
适用版本
任何版
升级会员 