安全加固方案模板.docx

安全加固方案模板.docx

《安全加固方案模板.docx》由会员分享，可在线阅读，更多相关《安全加固方案模板.docx（22页珍藏版）》请在冰点文库上搜索。

安全加固方案模板

_________________________________

xxxxx公司

安全加固方案_________________________________

文档日期:

xxx

文档版本:

xxx

本文档所包含的信息是受xxx公司和xxx公司所签署的“保密信息交换协议”保护和限制。

在未事先得到xxx公司和xxx公司书面同意之前，本文档全部或部份内容不得用于其他任何用途或交与第三方。

文档信息表

文档基本信息

项目名称

xxxxxx

文档名称

安全加固方案

文档版本

是否为正式交付件

是

文档创建日期

当前修订日期

文档审批信息

审阅人

职务

审阅时间

审阅意见

文档修订信息

版本

修正章节

日期

作者

变更记录

第1章概述

1.1.工作目的

在前期安全评估过程中，发现xxxx主机系统，包括业务主机、数据库、中间件的多处安全弱点,为降低这些弱点所带来的安全风险，需要针对上述设备进行相应的安全加固工作，修复已发现的安全弱点，进一步提高xxxx的整体安全性。

为确保安全加固工作能够顺利进行并达到目标，特制定本安全加固方案以指导该项工作。

1.2.加固方法

为验证和完善主机系统安全加固方案中的内容，尽早规避加固工作中存在的风险，最终保证xxxx系统业务主机顺利完成加固。

将首先选取xxxx系统测试机进行安全加固，待加固完成并通过观察确认无影响后再进行xxxx系统业务主机的加固工作。

安全加固工作将由xxxx（甲方）提供加固操作步骤，由xxxx（甲方）根据加固操作步骤对确认后的加固项进行逐项设置。

若涉及操作系统、数据库、中间件补丁的升级，软件版本的升级，需由xxxx（甲方）协调相关设备售后服务合同方人员进行。

加固过程中xxxx（甲方）负责现场指导。

1.3.风险的应对措施

⏹为防止在加固过程中出现的异常状况，所有被加固系统均应在加固操作开始前进行完整的数据备份。

⏹安全加固时间应尽量选择业务可中止的时段。

⏹加固过程中，涉及修改文件等内容时，将备份源文件在同级目录中，以便回退操作。

⏹安全加固完成后，需重启主机进行，因此需要xxxx（甲方）提前申请业务停机时间并进行相应的人员安排。

⏹在加固完成后，如果出现被加固系统无法正常工作，应立即恢复所做各项配置变更，待业务应用正常运行后，再行协商后续加固工作的进行方式。

1.4.加固步骤

图11安全加固步骤

第2章加固内容

2.1.主机加固

对Windows、HP-UX、AIX、Linux等操作系统和Oracle数据库进行加固。

序号

加固项

加固内容

1

帐号权限加固

对操作系统用户、用户组进行权限设置，应用系统用户和系统普通用户权限的定义遵循最小权限原则。

删除系统多余用户，设置应用系统用户的权限只能做与应用系统相关的操作；设置普通系统用户的权限为只能执行系统日常维护的必要操作

2

网络服务加固

关闭系统中不安全的服务，确保操作系统只开启承载业务所必需的网络服务和网络端口

3

访问控制加固

合理设置系统中重要文件的访问权限只授予必要的用户必要的访问权限。

限制特权用户在控制台登录,远程控制有安全机制保证，限制能够访问本机的用户和IP地址

4

口令策略加固

对操作系统设置口令策略，设置口令复杂性要求，为所有用户设置强壮的口令，禁止系统伪帐号的登录

5

用户鉴别加固

设置操作系统用户不成功的鉴别失败次数以及达到此阀值所采取的措施，设置操作系统用户交互登录失败、管理控制台自锁，设置系统超时自动注销功能

6

审计策略加固

配置操作系统的安全审计功能，使系统对用户登录、系统管理行为、入侵攻击行为等重要事件进行审计，确保每个审计记录中记录事件的日期和时间、事件类型、主体身份、事件的结果（成功或失败）,对审计产生的数据分配空间存储，并制定和实施必要的备份、清理措施，设置审计存储超出限制时的覆盖或转储方式，防止审计数据被非法删除、修改

2.2.网络加固

对宁夏XX力公司XXXX五个应用系统的内网出口交换机、核心交换机、核心路由器、综合区汇聚交换机、办公区汇聚交换机、DMZ区交换机以及各接入交换机进加固。

序号

加固项

加固内容

1

帐号权限加固

对交换机远程访问用户进行权限设置，对管理员用户和审计用户权限的定义遵循最小权限原则；设置管理员用户对设备进行配置修改，审计用户

2

网络服务加固

关闭交换机中不安全的服务，确保操作系统只开启承载业务所必需的网络服务和网络端口

3

访问控制加固

限制用户对网络设备的远程登录IP地址和超时设置；加强远程控制安全机制的保证，如配置SSH

4

口令策略加固

对网络设备的口令进行加固，确保符合口令复杂度要求

5

用户鉴别加固

设置设备登录不成功的鉴别失败次数以及达到此阀值所采取的措施

6

审计策略加固

配置交换机的安全审计功能，日志关联审计服务器中

7

关键服务器访控、接入策略加固

配置交换机的IP-MAC绑定策略，关闭交换机空闲端口，增强服务器接入策略

2.3.未加固项说明

Ø各接入交换机的IOS版本不具备端口与MAC绑定功能。

ØWindows主机系统中未关闭远程桌面，考虑到带外管理区未建立，暂时未关闭。

ØWindows主机系统中未修改匿名空连接，由于涉及业务应用正常运行，暂时未关闭。

ØWindows主机系统中未更新补丁，由于操作系统版本较低，且补丁升级服务器未部署，故暂未进行升级。

ØAIX、HP和Linux主机中未关闭FTP，由于现处于数据验证阶段，FTP做为验证方式之一，暂未关闭。

ØOracle数据库中未开启日志审计功能，考虑到开启此功能，势必影响数据库的性能。

ØOracle数据库中未更新补丁，由于数据库版本较低，且补丁升级风险较大，故暂未进行升级。

Ø各设备和系统中未加固项具体情况及原因详见加固列表。

第3章加固列表

3.1.主机加固列表

序号

操作系统名称

加固项

弱点等级

1

Windows

Windows服务器服务漏洞（MS08-067）

高

2

删除服务器上的管理员共享

中

3

禁止在任何驱动器上自动运行任何程序

中

4

禁用无关的windows服务

中

5

设置密码策略

中

6

设置审计和账号策略

中

7

禁止CD自动运行

低

8

设置交互式登录：

不显示上次用户名

低

9

设置关机：

清除虚拟内存页面文件

低

10

AIX

限制root用户远程登录

中

11

禁用ntalk/cmsd服务

中

12

禁用或删除不必要的帐号

中

13

限制ftp服务的使用

中

14

设置登陆策略

低

15

设置密码策略

低

XX

禁用Time\DayTime服务

低

17

设置系统口令策略

中

18

Linux

限制能su为root的用户

中

19

禁止root用户远程登录

中

20

限定信任主机

中

21

限制Alt+Ctrl+Del命令

低

3.2.数据库加固列表

序号

Oracle加固项

弱点等级

1

修改数据库弱口令账户

中

2

限制客户端连接IP

中

3

设置oracle密码策略

中

3.3.网络加固列表

序号

H3C加固项

弱点等级

1

配置默认级别账户

高

2

开启密码加密保存服务

中

3

配置失败登陆退出机制

中

4

部署日志服务器

低

第4章加固操作

4.1.网络安全加固

4.1.1.高等级弱点

4.1.1.1.配置默认级别账户

漏洞名称

配置默认级别账户

漏洞描述

一旦网路设备密码被攻破，直接提取网络设备的特权账户权限，将严重影响设备的安全性。

发现方式

人工评估

风险等级

高

影响范围

加固建议和步骤

1.首先备份设备配置；

2.交换机命令级别共分为访问、XX、系统、管理4个级别，分别对应标识0、1、2、3。

配置登录默认级别为访问级（0-VISIT）

user-interfaceaux08

authentication-modepassword

userprivilegelevel0

setauthenticationpasswordcipherxxx

user-interfacevty04

authentication-modepassword

userprivilegelevel0

setauthenticationpasswordcipherxxx

加固风险

无

回退建议

根据原设备口令进行还原即可。

建议加固时间

无加固时间限制

4.1.2.中等级弱点

4.1.2.1.未开启密码加密保存服务

漏洞名称

未开启密码加密保存服务

漏洞描述

明文密码容易被外部恶意人员获取，影响设备的安全。

发现方式

人工评估

风险等级

中

影响范围

加固建议和步骤

1.首先备份设备配置；

2.更改配置：

user-interfaceaux08

userprivilegelevel0

setauthenticationpasswordcipherxxx

user-interfacevty04

userprivilegelevel0

setauthenticationpasswordcipherxxx

superpasswordlevel1cipherpassword1

superpasswordlevel2cipherpassword2

superpasswordlevel3cipherpassword3

加固风险

无

回退建议

1.更改配置：

Noservicepassword-encryption

2.copyrunsave

建议加固时间

无加固时间限制

4.1.2.2.未配置失败登录退出机制

漏洞名称

未配置失败登录退出机制

漏洞描述

缺少该配置可能导致恶意攻击者进行口令暴力。

发现方式

人工评估

风险等级

中

影响范围

加固建议和步骤

1.首先备份设备配置；

2.更改配置，请厂家进行配置

加固风险

无

回退建议

清除原配置即可

建议加固时间

无加固时间限制

4.1.3.低等级弱点

4.1.3.1.缺少日志审计服务

漏洞名称

缺少日志审计服务

漏洞描述

目前宁夏XX力公司网络内部缺少集中的安全XX审计措施，对于系统可能发生的安全问题不能有效的预警，不利于对安全事件的审计和分析。

发现方式

人工评估

风险等级

低

影响范围

加固建议和步骤

1.首先部署日志服务器；

2.备份设备配置；

3.更改配置：

检查配置文件中存在如下配置项：

（在系统模式下进行操作）

[h3c]info-centerenable

[h3c]info-centerloghostxxxxxchannelloghost

参考检测操作：

displaycurrent-configuration

加固风险

低

回退建议

还原备份配置即可

建议加固时间

无加固时间限制

4.2.XX统一视频监视平台安全加固操作

4.2.1.Windows主机

4.2.1.1.高等级弱点

Windows服务器服务漏洞（MS08-067）

加固项

WINDOWS服务器服务漏洞（MS08-067）

描述

WINDOWS系统上的服务器服务中存在一个远程执行代码漏洞。

该漏洞是由于服务不正确地处理特制的RPC请求导致的。

成功利用此漏洞的攻击者可以完全控制受影响的系统。

加固风险

可能会影响业务系统的应用。

弱点严重程度赋值

高

加固操作

更新补丁包：

WindowsServer2003SP1:

WindowsServer2003SP2:

加固主机IP

10.XX.5.11、10.XX.5.12

4.2.1.2.中等级弱点

删除服务器上的管理员共享

加固项

删除服务器上的管理员共享

描述

Windows机器在安装后都缺省存在”管理员共享”,它们被限制只允许管理员使用，但是它们会在网络上以Admin$、c$、IPC$等来暴露每个卷的根目录和%systemroot%目录

加固风险

不能使用默认共享

弱点严重程度赋值

中

加固操作

删除服务器上的管理员共享

修改注册表运行-regedit

server版:

找到如下主键[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]把AutoShareServer（DWORD）的键值改为:

00000000。

professional版:

找到如下主键[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]把AutoShareWks（DWORD）的键值改为:

00000000。

如果上面所述的主键不存在，就新建（右击-新建-双字节值）一个主健再改键值。

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

禁止在任何驱动器上自动运行任何程序

加固项

禁止在任何驱动器上自动运行任何程序

描述

防止恶意代码或特洛伊木马自动运行

加固风险

无

弱点严重程度赋值

中

加固操作

gpedit.msc

用户配置->管理模板->系统->关闭自动播放

或者设置HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun（REG_DWORD）255（十六进制FF）

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

禁用无关的windows服务

加固项

禁用无关的windows服务

描述

系统中某些服务存在漏洞，如ComputerBrowser服务禁用可防止用户通过网上邻居来发现他不知道确切名字的共享资源，或不通过任何授权浏览这些资源。

加固风险

可能影响某些服务的正常运行

弱点严重程度赋值

中

加固操作

到windows服务项中services.msc,禁用ComputerBrowser、RemoteRegistry服务

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

设置密码策略

加固项

设置密码策略

描述

设置密码的最短长度以及密码复杂度可以抵御基于密码的攻击，更好的保护帐号的安全。

加固风险

启用密码复杂度要求后，未满足要求的账户可能会受到影响

弱点严重程度赋值

中

加固操作

gpedit.msc进入“计算机设置”->“Windows设置”->“安全设置”->“帐户策略”->“密码策略”。

设置如下内容“

密码策略：

密码必须符合复杂性要求（启用）

密码策略：

密码长度最小值（8）

密码策略：

密码最长使用期限（90天）

密码策略：

密码最短使用期限（1天）

密码策略：

强制密码历史（=>5）

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

设置审计和账号策略

加固项

设置审计和账号策略

描述

系统针对帐号的管理，以及目录服务访问，对象访问，策略更改，特权使用，进程跟踪，系统事件的审计未做设置

加固风险

开启审计策略后，系统日志会增多，需要实时检查磁盘空间

弱点严重程度赋值

中

加固操作

设置审核策略以及帐号策略

帐户锁定策略：

帐户锁定时间（15分钟）

帐户锁定策略：

帐户锁定阀值（3次无效登录）

审核策略：

审核策略更改（成功和失败）

审核策略：

审核登录事件（成功和失败）

审核策略：

审核对象访问（失败）

审核策略：

审核特权使用（失败）

审核策略：

审核系统事件（成功和失败）

审核策略：

审核帐户登录事件（成功和失败）

审核策略：

审核帐户管理（成功和失败）

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

4.2.1.3.低等级弱点

禁止CD自动运行

加固项

禁止CD自动运行

描述

可防止由于自动运行CD带来的安全风险，如病毒自动安装等。

加固风险

CD将不能自动运行

弱点严重程度赋值

低

加固操作

修改注册表以下键值：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\CDrom\Autorun（REG_DWORD）0

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

设置交互式登录：

不显示上次用户名

加固项

设置交互式登录：

不显示上次用户名

描述

避免泄露用户名的信息

加固风险

在交互登录的过程中，不再显示上次登录的用户名

弱点严重程度赋值

低

加固操作

修改系统安全选项中的设置，启用该项。

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

设置关机：

清除虚拟内存页面文件

加固项

设置关机：

清除虚拟内存页面文件

描述

避免内存页面保存敏感的数据信息

加固风险

无

弱点严重程度赋值

低

加固操作

修改系统安全选项中的设置，启用“关机：

清除虚拟内存页面文件”

加固主机IP

10.XX.5.11、10.XX.5.12、10.XX.96.15、10.XX.96.XX

4.2.2.Oracle数据库

4.2.2.1.高等级弱点

无。

4.2.2.2.中等级弱点

修改数据库弱口令账户

加固项

修改数据库弱口令账户

描述

数据库存在SCOTT默认口令TIGER，易被利用；

加固风险

无

弱点严重程度赋值

中

加固操作

修改弱口令账户的口令为满足复杂度要求的口令或者对不使用的帐号进行锁定

alteruserUSER_NAMEidentifiedbynewpassword;

加固主机IP

10.XX.5.12

限制客户端连接IP

加固项

限制客户端连接IP

描述

与数据库服务器同一网段的IP可连接数据库，降低了数据库的安全性。

加固风险

未授权的客户端将不能连接数据库服务器

弱点严重程度赋值

中

加固操作

加固风险规避的方法：

备份原配置文件sqlnet.ora

具体加固方法：

在sqlnet.ora中增加：

tcp.validnode_checking=yes

#允许访问的IP

tcp.invited_nodes=（ip1,ip2,¡­¡­）

#不允许访问的IP

tcp.excluded_nodes=（ip1,ip2,¡­¡­）

或者通过防火墙进行设置。

加固主机IP

10.2XX.33.244

设置oracle密码策略

加固项

设置oracle密码策略

描述

Oracle数据库用户的密码策略未配置，使数据库用户及口令可能存在弱点，同时也可能受到非法者利用。

设定密码策略也可对失败登陆次数和账户锁定时间进行设置。

加固风险

未满足密码策略要求的账户可能会收到影响

弱点严重程度赋值

中

加固操作

建立用户配置文件profile，并指定给相关用户。

1、设置资源限制时，设置数据库系统启动参数RESOURCE_LIMIT为true；altersystemsetRESOURCE_LIMIT=true;

2、创建profile文件：

createprofile文件名limit参数value;

可设置的参数如下

FAILED_LOGIN_ATTEMPTS：

指定锁定用户的登录失败次数

PASSWORD_LOCK_TIME：

指定用户被锁定天数

PASSWORD_LIFE_TIME：

指定口令可用天数

PASSWORD_REUSE_TIME：

指定在多长时间内口令不能重用

PASSWORD_REUSE_MAX：

指定在重用口令前口令需要改变的次数

PASSWORD_VERIFY_FUNCTION：

口令效验函数

2、更改用户profile为新建的profile：

ALTERUSERusernamePROFILEnewprofilename;

加固主机IP

10.2XX.33.244

4.2.2.3.低等级弱点

无。

4.3.输XX设备状态在线监测系统安全加固操作

4.3.1.AIX主机

4.3.1.1.高等级弱点

无。

4.3.1.2.中等级弱点

限制root用户远程登录

加固项

限制root用户远程登录

描述

远程使用root登录控制台容易导致root密码泄露，尤其是当前采用telnet方式登录系统

加固风险

root用户不能远程直接连接系统，需要普通用户身份登录后进行切换

弱点严重程度赋值

高

加固操作

加固风险规避的方法：

加固前备份原配置文件

cp/etc/security/user/etc/security/userXXXX

具体加固方法：

需要确保有一个可以远程登陆的普通用户

修改/etc/security/user文件，将root段的rlogin参数值修改为false

或者chuserrlogin=falseroot

加固主机IP

10.XX.4.177

禁用ntalk/cmsd服务

加固项

禁用ntalk/cmsd服务

描述

ntalk（字符聊天服务）和cmsd服务是CDE子程序服务，关闭该类不必要的服务可以降低系统风险。

加固风险

CDE组件中的基于字符的聊天服务服务将不能使用

弱点严重程度赋值

中

加固操作

加固风险规避的方法：

根据主机的业务需求，关闭对应服务端口，加固前备份原配置文件

cp/etc/inetd.conf/etc/inetd.conf.XXXX（为加固日期）

具体加固方法：

编辑/etc/inetd.conf,，以#号注释ntalk、cmsd开头的行

执行refresh-sinetd

加固主机IP

10.XX.4.177

禁用或删除不必要的帐号

加固项

禁用或删除不必要的帐号

描述

系统中存在不必要的uuc