28-SGISLOP-SA38-10 AIX等级保护测评作业指导书(四级)

信息安全等级保护测评作业指导书AIX主机（三级）版号：第2版修改次数：第0次生效日期：2010年01月06日中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第1页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日修改页修订号控制编号版号/章节号修改人修订原因批准人批准日期备注1SGISL/OP-SA38-10郝增帅按公安部要求修订詹雄2010.3.8中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第2页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日一、身份鉴别1.用户身份标识和鉴别测评项编号ADT-OS-AIX-01对应要求应对登录操作系统的用户进行身份标识和鉴别。测评项名称用户身份标识和鉴别测评分项1：检查并记录R族文件的配置，记录主机信任关系操作步骤#find/-name.rhosts对每个.rhosts文件进行检#find/-name.netrc对.netrc文件进行检#more/etc/hosts.equiv适用版本任何版本实施风险无符合性判定如果不存在信任关系或存在细粒度控制的信任关系，判定结果为符合；如果存在与任意主机任意用户的信任关系，判定结果为不符合。测评分项2：查看系统是否存在空口令用户操作步骤#more/etc/security/passwd检查空口令帐号，适用版本任何版本实施风险无符合性判定/etc/security/passwd中所有密码位不为空，判定结果为符合；/etc/security/passwd中所存在密码位为空，判定结果为不符合。备注2.账号口令强度测评项编号ADT-OS-AIX-02对应要求操作系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换测评项名称账号口令强度中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第3页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日测评分项1：检查系统帐号密码策略操作步骤执行以下命令：#more/etc/security/user记录Default规则,以及各用户配置的规则，重点关注：minlen口令最短长度minalpha口令中最少包含字母字符个数minother口令中最少包含非字母数字字符个数loginretries连续登录失败后锁定用户适用版本任何版本实施风险无符合性判定密码要求8位以上字母、数字、非字母组合,判定结果为符合；密码要求8位以下或未要求字母、数字、非字母组合,判定结果为不符合；测评分项2：检查系统中是否存在空口令或者是弱口令操作步骤1.利用扫描工具进行查看2.询问管理员系统中是否存在弱口令3.手工尝试密码是否与用户名相同适用版本任何版本实施风险扫描可能会造成账号被锁定符合性判定系统中不存在弱口令账户，判定结果为符合；系统中存在弱口令账户，判定结果为不符合；备注3.登录失败处理策略测评项编号ADT-OS-AIX-03对应要求应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施测评项名称登录失败处理策略测评分项1：检查系统帐号登录失败处理策略操作步骤执行以下命令#more/etc/security/user记录Default规则,以及各用户配置的规则检查loginretries值#more/etc/security/login.cfg中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第4页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日检查loginreenable值（端口锁定解锁时间）logindelay（失败登录后延迟时间）适用版本任何版本实施风险无符合性判定系统配置了合理的帐号锁定阀值及失败登录间隔时间，判定结果为符合；系统未配置登录失败处理策略，判定结果为不符合；测评分项2：如果启用了SSH远程登录，则检查SSH远程用户登录失败处理策略操作步骤执行以下命令cat/etc/sshd_config查看MaxAuthTries等参数。LoginGraceTime1m帐号锁定时间（建议为30分钟）PermitRootLoginnoMaxAuthTries3帐号锁定阀值（建议5次）适用版本任何版本实施风险无符合性判定系统配置了合理的登录失败处理策略，帐号锁定阀值及帐号锁定时间，判定结果为符合；系统未配置登录失败处理策略，判定结果为不符合；备注4.远程管理方式测评项编号ADT-OS-AIX-04对应要求当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听测评项名称检查系统远程管理方式测评分项1：检查系统帐号登录失败处理策略操作步骤询问系统管理员，并查看开启的服务中是否包含了不安全的远程管理方式，如telnet,ftp,ssh,VNC等。执行：#ps–ef查看开启的远程管理服务进程执行：#netstat-a查看开启的远程管理服务端口中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第5页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日适用版本任何版本实施风险无符合性判定系统采用了安全的远程管理方式，如ssh；且关闭了如telnet、ftp等不安全的远程管理方式，判定结果为符合；系统的开启了telnet、ftp等不安全的远程管理方式，判定结果为不符合。5.账户分配及用户名唯一性测评项编号ADT-OS-AIX-05对应要求应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性测评项名称账户分配及用户名唯一性测评分项1：检查系统账户操作步骤执行以下命令：#cat/etc/passwd#cat/etc/security/passwd#cat/etc/group查看UID是否唯一查看系统是否分别建立了系统专用管理帐号，以及帐号的属组情况。适用版本任何版本实施风险无符合性判定系统管理使用不同的帐户，且系统中不存在重名帐号，UID唯一，判定结果为符合；系统管理使用相同的帐户，系统帐号存在重名情况，UID不唯一，判定结果为不符合。6.双因子身份鉴别测评项编号ADT-OS-HPUX-05对应要求应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别测评项名称双因子身份鉴别测评分项1：检查系统双因子身份鉴别操作步骤询问系统管理员，系统是否采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。如：帐户/口令鉴别，生物鉴别、认证服务器鉴别。适用版本任何版本实施风险无中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第6页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日符合性判定系统采用双因子身份鉴别，判定结果为符合；系统未采用双因子身份鉴别，判定结果为不符合。二、访问控制1.检查文件访问控制策略测评项编号ADT-OS-AIX-06对应要求应启用访问控制功能，依据安全策略控制用户对资源的访问测评项名称检查访问控制策略测评分项1：检查重要配置文件或重要文件目录的访问控制操作步骤查看系统命令文件和配置文件的访问许可有无被更改例如：#ls-al/usr/etc/etc/security/*/etc/security/passwd/etc/group/etc/passwd/etc/inetd.conf/var/spool/cron/crontabs/*/etc/securetty/sbin/rc*.d//etc/login.defs/etc/*.conf适用版本任何版本实施风险无符合性判定系统内的配置文件目录中，所有文件和子目录对组用户和其他用户不提供写权限，判定结果为符合；组用户和其他用户对配置文件目录/etc中所有（部分）文件和子目录具有写权限，判定结果为不符合。测评分项2：检查文件初始权限操作步骤执行以下命令：#umask查看输出文件属主、同组用户、其他用户对于文件的操作权限适用版本任何版本实施风险无符合性判定umask值设置合理，为077或027，判定结果为符合；umask值为000、002、022等判定结果为不符合。测评分项3：检查root帐号是否允许远程登录操作步骤查看ssh服务配置文件是否设置登录失败处理策略，执行以下命令：#cat/etc/ssh_config查看PermitRootLogin参数#more/etc/security/user查看root用户的rlogin参数中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第7页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日适用版本任何版本实施风险无符合性判定PermitRootLogin值为no，且root用户设置了rlogin=no,root帐号不可以远程登录，判定结果为符合；PermitRootLogin所属行被注释或值为yes，root用户未设置rlogin或rlogin=yes，root帐号可以远程登录，判定结果为不符合。2.数据库系统特权用户权限分离测评项编号ADT-OS-AIX-07对应要求应实现操作系统和数据库系统特权用户的权限分离测评项名称特权用户权限分离测评分项1：检查系统帐户权限设置操作步骤询问管理员系统定义了哪些角色，是否分配给操作系统和数据库系统特权用户不同的角色适用版本任何版本实施风险无符合性判定系统为操作系统和数据库系统特权用户的设置了不同的角色，实现了权限分离，判定结果为符合；系统没有为操作系统和数据库系统特权用户分配角色，判定结果为不符合。3.特权用户权限分离测评项编号ADT-OS-HPUX-07对应要求应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；测评项名称特权用户权限分离测评分项1：检查系统特权帐户权限设置操作步骤询问管理员系统定义了哪些管理用户角色，是否仅授予管理用户所需的最小权限#SMIT查看用户角色的授权适用版本任何版本实施风险无符合性判定系统实现管理用户的权限分离，判定结果为符合；系统没有实现管理用户的权限分离，判定结果为不符合。中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA38-10第8页共15页AIX等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日4.默认账户访问权限测评项编号ADT-OS-AIX-07对应要求应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令测评项名称默认账户访问权限测评分项1：检查系统帐户权限设置操作步骤执行：#cat/etc/passwd或者/etc/security/passwd查看不需要的账号games,news,gopher,ftp、lp是否被删除查看不需要的特权账号halt,shutdown,reboot、who是否被删除适用版本任何版本实施风险无符合性判定系统删除无用默认账户，判定结果为符合；系统没有删除无用默认账户，判定结果为不符合。5.多余及过期账户测评项编号ADT-OS-AIX-08对应要求应及时删除多余的、过期的帐户，避免共享帐户的存在测评项名称多余及过期账户测评分项1：检查系统多余及过期账户操作步骤访谈系统管理员，是否存在无用的多余帐号。同时执行以下命令：cat/etc/passwd或cat/etc/security/passwd适用版本任何版本实施风险无符合性判定系统中不存在多余自建帐户，判定结果为符合；没有删除多余自建账户，判定结果为不符合。6.基于标记的访问控制测评项编号ADT-OS-HPUX-08对应要求应对重要信息资源设置敏感标记测评项名称资源敏感标记设置检查测评分项1：检查系统对重要信息资源是否设置了敏感标记中国电力科学研究院信息安全实验室控制编号：SGISL