安全等级保护技术培训教材_主机部分_V21

信息安全培训主机系统安全测评1目录1.前言2.测评准备工作3.现场测评内容与方法4.总结2前言3前言主机的相关知识点主机按照其规模或系统功能来区分，可分为巨型、大型、中型、小型、微型计算机和单片机主机安全是由操作系统自身安全配置、相关安全软件以及第三方安全设备等来实现，主机测评则是依据基本要求对主机安全进行符合性检查。目前运行在主机上的主流的操纵系统有Windows、Linux、SunSolaris、IBMAIX、HP-UX等等4操作系统级别LiLinux/Unix/Netware/Ui/NC2级MSWinNT/2000C2C级SalorisC2级DOS/Win9XD级前言测评对象是主机上各种类型的操作系统。5层面一级二级三级四级主机安全6193236层面一级二级三级四级主机安全4679前言基本要求中主机各级别的控制点和要求项对比不同级别系统控制点的差异不同级别系统要求项的差异6前言熟悉操作系统自带的管理工具WindowsComputermanagementMicrosoftmanagementconsole(mmc)RegistryeditorCommandprompt……Linux常用命令：cat、more、ls等具备查看功能的命令7前言MMCMMC是用来创建、保存、打开管理工具的控制台，在其中可以通过添加各种管理工具插件来实现对软硬件和系统的管理，8前言MMCmmc本身不提供管理功能，而是通过各个管理单元（snap-in）来完成的。9前言检查流程现场测评准备现场测评和结果记录结果确认和资料归还10内容目录1.前言2.测评准备工作3.现场测评内容与方法4.总结11测评准备工作信息收集服务器设备名称、型号、所属网络区域、操作系统版本、IP地址、安装应用软件名称、主要业务应用、涉及数据、是否热备、重要程度、责任部门……12测评准备工作测评指导书准备根据信息收集的内容，结合主机所属等级，编写测评指导书。注意：测评方法、步骤一定明确、清晰。13目录1.前言2.测评准备工作3.现场测评内容与方法4.总结14现场测评内容与方法身份鉴别访问控制安全审计剩余信息保护入侵防范恶意代码防范系统资源控制备份与恢复15现场测评内容与方法——身份鉴别a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。条款理解用户的身份标识和鉴别，就是用户向系统以一种安全的方式提交自己的身份证实，然后由系统确认用户的身份是否属实的过程。16现场测评内容与方法——身份鉴别SAMWinlogon明文口令客户端请求登录被散列服务器发出8字节质询8字节质询发送应答用口令对质询进行散列通过比较决定是否允许登录17用口令对质询进行散列并比较现场测评内容与方法——身份鉴别a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。检查方法Window：访谈系统管理员系统用户是否已设置密码，并查看登陆过程中系统账户是否使用了密码进行验证登陆。Linux：采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd和/etc/shadow文件中各用户名状态。18现场测评内容与方法——身份鉴别#cat/etc/passwdroot:x:0:0:root:/root:/bin/bashbin:x:1:1:bin:/bin:/sbin/nologindaemon::2:2:daemon:/sbin:/sbin/nologin……#cat/etc/shadowroot:$1$crpkUkzg$hLl/dYWm1wY4J6FqSG2jS0:14296:0:99999:7:::bin:$1$1234567890123456789012345678901:11664:0:-1:-1:-1:-1:0daemon:*:14296:0:99999:7:::.....19现场测评内容与方法——身份鉴别b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。条款理解要求系统应具有一定的密码策略，如设置密码历史记录、设置密码最长使用期限、设置密码最短使用期限、设置最短密码长度、设置密码复杂性要求、启用密码可逆加密。20现场测评内容与方法——身份鉴别b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。检查方法Windows:本地安全策略-帐户策略-密码策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/login.defs文件中相关配置参数21现场测评内容与方法——身份鉴别22现场测评内容与方法——身份鉴别#more/etc/login.defsPASS_MAX_DAYS90#登录密码有效期90天PASS_MIN_DAYS0#登录密码最短修改时间，增加可以防止非法用户短期更改多次PASS_MIN_LEN8#登录密码最小长度8位PASS_WARN_AGE7#登录密码过期提前7天提示修改FAIL_DELAY10#登录错误时等待时间10秒FAILLOG_ENAByes#登录错误记录到日志SYSLOG_SU_ENAByes#当限定超级用户管理日志时使用SYSLOG_SG_ENAByes#当限定超级用户组管理日志时使用MD5_CRYPT_ENAByes#当使用md5为密码的加密方法时使用23现场测评内容与方法——身份鉴别c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。条款理解要求系统应具有一定的登录控制功能。可以通过适当的配置“帐户锁定策略”来对用户的登录进行限制。如帐户锁定阈值，帐户锁定时间等。24现场测评内容与方法——身份鉴别c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。检查方法Windows:本地安全策略-帐户策略-帐户锁定策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/pam.d/system-auth文件中相关配置参数25现场测评内容与方法——身份鉴别26现场测评内容与方法——身份鉴别#cat/etc/pam.d/system-auth#%PAM-1.0#Thisfileisauto-generated.#Userchangeswillbedestroyedthenexttimeauthconfigisrun.authauthauthauthaccountaccountrequiredsufficientrequisiterequiredrequiredsufficientpam_env.sopam_unix.sonulloktry_first_passpam_succeed_if.souid=500quietpam_deny.sopam_unix.sopam_succeed_if.souid500quiet……accountrequired/lib/security/pam_tally.sodeny=3nomagic_rootreset27现场测评内容与方法——身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。条款理解为方便管理员进行管理操作，众多服务器采用了网络登录的方式进行远程管理操作，例如Linux可以使用telnet登陆，Windows使用远程终端服务。基本要求规定了这些传输的数据需要进行加密处理过，目的是为了保障帐户与口令的安全。28现场测评内容与方法——身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。检查方法Windows:确认操作系统版本确认终端服务器使用了SSL加密确认RDP客户端使用SSL加密29现场测评内容与方法——身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。检查方法Linux:在root权限下，使用命令more、cat或vi查看是否运行了sshd服务：service–status-all|grepsshd若未使用ssh方式进行远程管理，则查看是否使用了telnet方式进行远程管理：service–status-all|greprunning30现场测评内容与方法——身份鉴别e)为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性。条款理解对于操作系统来说，用户管理是操作系统应具备的基本功能。用户管理由创建用户和组以及定义它们的属性构成。用户的一个主要属性是如何对他们进行认证。用户是系统的主要代理。其属性控制他们的访问权、环境、如何对他们进行认证以及如何、何时、在哪里可以访问他们的帐户。因此，用户标识的唯一性至关重要。如果系统允许用户名相同，而UID不同，其唯一性标识为UID，如果系统允许UID相同，而用户名不同，其唯一性标识为用户名。31现场测评内容与方法——身份鉴别e)为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性。检查方法Windows:“管理工具”-“计算机管理”-“本地用户和组”中的“用户”，检查其中的用户名是否出现重复。Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd文件中用户名信息32现场测评内容与方法——身份鉴别f）应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。条款理解对于三级以上的操作系统应使用两种或两种以上组合的鉴别技术实现用户身份鉴别，如密码和令牌的组合使用等。检查方法访谈系统管理员，询问系统除用户名口令外有无其他身份鉴别方法，如有没有令牌等。33现场测评内容与方法——身份鉴别小结在三级系统中，身份鉴别共有6个检查项，分别是身份的标识、密码口令的复杂度设置、登录失败的处理、远程管理的传输模式、用户名的唯一性以及身份组合鉴别技术。34现场测评内容与方法身份鉴别访问控制安全审计剩余信息保护入侵防范恶意代码防范系统资源控制备份与恢复35现场测评内容与方法——访问控制a)应启用访问控制功能，依据安全策略控制用户对资源的访问。条款理解访问控制是安全防范和保护的主要策略，它不仅应用于网络层面，同样也适用于主机层面，它的主要任务是保证系统资源不被非法使用和访问，使用访问控制的目的在于通过限制用户对特定资源的访问保护系统资源。对于本项而言，主要涉及到两个方面的内容，分别是：文件权限默认共享36现场测评内容与方法——访问控制a)应启用访问控制功能，依据安全策略控制用户对资源的访问。检查方法Windows:1、选择%systemdrive%\windows\system、%systemroot％\system32\config、等相应的文件夹，右键选择“属性”“安全”，查看everyone组、users组和administrators组的权限设置；2、在命令行模式下输入netshare，查看共享；并查看注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous值是否为“0”（0表示共享开启）37现场测评内容与方法——访问控制a)应启用访问控制功能，依据安全策略控制用户对资源的访问。检查方法Linux:采用查看方式，在root权限下，使用命令ls-l查看/etc/passwd、/etc/shadow、/etc/rc3.d、/etc/profile、/etc/inet.conf、/etc/xinet.conf的权限说明：-rwx------:等于数字表示700。-rw-rw-r-x:等于数字表示665。-rwxr—r--:等于数字表示744。drwx—x—x:等于数字表示711。drwx------:等于数字表示700。38现场测评内容与方法——访问控制b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。条款理解根据管理用户的角色对权