主机安全测评问题及解决汇总

身份鉴别访问控制安全问题后果解决方法未严格控制用户对重要系统文件的访问权限，如Windows系统开启了默认共享C$存在被恶意用户利用系统默认共享进行非授权操作的风险。a)应启用访问控制功能，依据安全策略控制用户对资源的访问。未实现管理用户的权限最小化系统管理员权限过大，亦可能由于误操作，恶意操作造成安全隐患。同时不利于对操作行为进行安全审计。b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。不同管理员使用同一个超级用户管理操作系统，未实现管理用户的权限分离。操作系统管理员同时担任数据库管理系统的管理员、管理员同时担任审计员等情况，可使管理员的权限过大，造成安全隐患。c)应实现操作系统和数据库系统特权用户的权限分离。未重命名系统默认账户（或未修改系统默认账户的默认口令）攻击者可能通过简单尝试即可获取管理口令并控制相关主机设备。d)应严格限制默认账户的访问权限，重命名系统默认账户，并修改这些账户的默认口令。服务器存在测试账户、共享或过期无用账户。存在测试人员或离职人员利用测试或过期账户进行非法操作的风险e）应及时删除多余的、过期的账户，避免共享账户的存在。未对主机中存在的的重要信息资源设置敏感标记，并合理配置相应的访问策略。导致重要信息资源的泄漏。f）应对重要信息资源设置敏感标记。g）应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。安全问题后果解决方法系统安装后的部分默认账户口令为空，如AIX系统的默认账户lp、invscout、snapp、ipsec、nuucp、esaadmin等；存在被恶意用户利用进行非法操作的风险。a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。未设置密码复杂度策略或设置不完善，如设置了密码长度策略，密码重复策略、密码特殊字符策略等。未设置密码复杂度策略或设置不完善，如设置了密码长度策略，密码重复策略、密码特殊字符策略等。b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。未设置登陆失败处理功能，如采取结束会话、限制非法登录次数和自动退出等措施。未启用登录失败处理功能，可能存在攻击者通过暴力破解的方式获取用户口令的风险。c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。服务器采用未加密的远程终端管理功能进行远程管理，不能防止鉴别信息在网络传输过程中被窃听。由于远程管理使用Telnet方式、未加密的Windows终端远程管理软件，攻击者可能通过嗅探工具获取通信数据包，得到用户口令等信息。d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。用户名不唯一攻击者可能通过伪造（克隆）系统管理账户，获取操作系统的管理权，非法控制服务器。e)为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性。未采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。攻击者可能通过简单尝试即可获取管理口令并控制相关主机设备。f）应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。安全审计安全问题后果解决方法主机系统未启用审计功能或审计范围不足，不能记录用户对操作系统的操作和对文件访问情况。发生安全事件时无法有效确定责任人及造成事件的原因。a)安全审计应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。主机系统安全审计范围不足，不能记录用户对操作系统的操作和对文件访问情况。发生安全事件时无法有效确定责任人及造成事件的原因。b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件。审计记录内容未包括事件的日期、时间、类型、主体标识、客体标识和结果等（及不符合系统日志的标准格式）发生安全事件时，无法通过审计记录有效确定事件发生时间，责任人及造成事件的原因。c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。未对审计数据进行分析，并生成审计报表。当发生安全事件时无法有效确定责任人及造成事件的原因，并对潜在的安全问题进行前瞻性预测和预防d）应能够根据记录数据进行分析，并生成审计报表。未对审计进程进行监控无法及时发现关键进程是否中断，导致业务（审计）中断。e）应保护审计进程，避免受到未预期的中断。未对审计数据进行严格保护审计记录的丢失和不完整，无法有效的对安全事件进行追踪和分析f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。剩余信息保护安全问题后果解决方法未启用剩余信息保护用户留在磁盘和内存中的身份鉴别信息被恶意用户窃取，造成用户身份被伪造。a)应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中。b)应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。入侵防范安全问题后果解决方法未对重要服务器进行入侵监测，如未部署IDS无法计时发现攻击行为以及无法追溯造成事件的原因。a)应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。未对系统的重要的配置文件、程序进行备份和完整性检查被非法修改信息，破坏信息的完整性使系统的安全性降低或信息不可用。b）应能够对重要程序完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施。未遵循最小安装原则，如Windows服务器均开启了多余服务：RemoteRegister等（或未及时更新最新的系统安全补丁）。存在被恶意用户利用系统服务的漏洞进行恶意攻击的风险。c）操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。恶意代码防范安全问题后果解决方法服务器未安装防病毒软件（或未及时更新最新的病毒库，及自检查当日开始计算，病毒库的更新是久于7天前）。存在被恶意代码攻击的危害分析。a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。未在网络上部署防毒墙（或防毒墙与主机防病毒软件使用同一套恶意代码库）存在被恶意代码攻击的危害分析。b)主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库。服务器的防病毒软件未实现统一管理和更新存在被恶意代码攻击的危害分析。c）应支持恶意代码防范的统一管理。资源控制安全问题后果解决方法未限制管理员远程管理服务器时，所使用的登录地址（客户端IP）。由于未设置管理地址攻击者可以尝试猜解防火墙、vpn设备口令并尝试登录。a)应通过设定终端接入方式、网络地址范围等条件限制终端登录未设置登录超时或设置不合理登录超时过长容易被攻击者利用，在管理员离开时尝试进行管理。b)根据安全策略设置登录终端的操作超时锁定。未对重要设备的系统资源进行监控。当系统的服务水平降低到预先规定的最小值时，无法进行检测和报警。c）应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况。系统资源耗尽业务中断d)限制单个用户对系统资源的最大或最小使用限度。无报警机制当系统的服务水平降低到预先规定的最小值时，无法进行检测和报警。e）应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。备份与恢复安全问题后果解决方法重要设备未实现硬件冗余，服务器采用单机的方式提供服务业务中断d)应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。