安全等级保护技术培训教材_主机部分_v2[1]

信息安全等级测评师培训信息安全等级测评师培训主机系统安全测评公安部信息安全等级保护评估中心公安部信息安全等级保护评估中心公安部信息安全等级保护评估中心公安部信息安全等级保护评估中心尹湘培尹湘培1目录目录1.前言1.前言2.测评准备工作2.测评准备工作3.现场测评内容与方法3.现场测评内容与方法4.总结总结2前言前言3前言前言主机的相关知识点主机按照其规模或系统功能来区分可分为巨型大型中型主机按照其规模或系统功能来区分，可分为巨型、大型、中型、小型、微型计算机和单片机主机安全是由操作系统自身安全配置相关安全软件以及第三方主机安全是由操作系统自身安全配置、相关安全软件以及第三方安全设备等来实现，主机测评则是依据基本要求对主机安全进行符合性检查。符合性检查。目前运行在主机上的主流的操纵系统有Windows、Linux、SunSolaris、IBMAIX、HP-UX等等、、等等4前言前言测评对象是主机上各种类型的操作系统。操作系统级别Li/Ui/NC2级Linux/Unix/NetwareC2级MSWinNT/2000C2级C级SalorisC2级DOS/Win9XD级5前言前言基本要求中主机各级别的控制点和要求项对比不同级别系统控制点的差异层面一级二级三级四级主机安全4679不同级别系统要求项的差异层面级二级三级四级不同级别系统要求项的差异主机安全6193236层面一级二级三级四级主机安全61932366前言前言熟悉操作系统自带的管理工具WindowsComputermanagementMicrosoftmanagementconsole(mmc)RegistryeditorRegistryeditorCommandprompt……Linux常用命令：catmorels等具备查看功能的命令常用命令：cat、more、ls等具备查看功能的命令7前言前言MMCMMC是用来创建保MMC是用来创建、保存、打开管理工具的控制台，在其中可以通过添加各种管理工通过添加各种管理工具插件来实现对软硬件和系统的管理件和系统的管理，8前言前言MMCmmc本身不提供管理功能，而是通过各个管理单元（i）元（snap-in）来完成的来完成的。9前言前言检查流程检查流程现场测评准现场测评和结果确认和备结果记录资料归还10内容目录内容目录1.前言1.前言2.测评准备工作2.测评准备工作3.现场测评内容与方法3.现场测评内容与方法4.总结总结11测评准备工作测评准备工作信息收集信息收集服务器设备名称、型号、所属网络区域、操作系统版本IP地址安装应用软件名称主要业务应用版本、IP地址、安装应用软件名称、主要业务应用、涉及数据、是否热备、重要程度、责任部门……12测评准备工作测评准备工作测评指导书准备根据信息收集的内容，结合主机所属等级，编写测评指导书。注意：测评方法步骤一定明确清晰注意：测评方法、步骤一定明确、清晰。13目录目录1.前言1.前言2.测评准备工作2.测评准备工作3.现场测评内容与方法3.现场测评内容与方法4.总结总结14现场测评内容与方法现场测评内容与方法身份鉴别身份鉴别访问控制访问控制安全审计安全审计安全审计安全审计剩余信息保护剩余信息保护入侵防范入侵防范入侵防范入侵防范恶意代码防范恶意代码防范系统资源控制系统资源控制备份与恢复备份与恢复15备份与恢复备份与恢复现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。条款理解用户的身份标识和鉴别，就是用户向系统以一种安全的方式提交自己的身份证实，然后由系统确认用户的身份是否属实的过程。16现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别WinlogonSAM明文口令被散列客户端请求登录8字节质询服务器发出8字节质询发送应答用口令对质询进行散列用令对质询进发送应答通过比较决定是否允许登录17用口令对质询进行散列并比较通过比较决定是否允许登录现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。检查方法Window：访谈系统管理员系统用户是否已设置密码，并查看登陆过程中系统账户是否使用了密码进行验证登陆。Linux：采用查看方式，在root权限下，使用命令more、cat或vi采用看方式，在权限下，使用命令、或查看/etc/passwd和/etc/shadow文件中各用户名状态。。18现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别#cat/etc/passwdt00t/t/bi/bhroot:x:0:0:root:/root:/bin/bashbin:x:1:1:bin:/bin:/sbin/nologindaemon::2:2:daemon:/sbin:/sbin/nologindaemon::2:2:daemon:/sbin:/sbin/nologin……#cat/etc/shadow//root:$1$crpkUkzg$hLl/dYWm1wY4J6FqSG2jS0:14296:0:99999:7:::bin:$1$1234567890123456789012345678901:11664:0:-1:-1:-1:-1:0daemon:*:14296:0:99999:7:::.....19现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。条款理解要求系统应具有一定的密码策略，如设置密码历史记录、设置密码最长使用期限、设置密码最短使用期限、设置最短密码长度、设置密码复杂性要求、启用密码可逆加密。20现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换。检查方法Windows:本地安全策略-帐户策略-密码策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi采用看方式，在权限下，使用命令、或查看/etc/login.defs文件中相关配置参数21现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别22现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别#more/etc/login.defsPASSMAXDAYS90#登录密码有效期90天__登录密码有效期天PASS_MIN_DAYS0#登录密码最短修改时间，增加可以防止非法用户短期更改多次PASS_MIN_LEN8#登录密码最小长度8位PASS_WARN_AGE7#登录密码过期提前7天提示修改FAIL_DELAY10#登录错误时等待时间10秒FAILLOGENAByes#登录错误记录到日志FAILLOG_ENAByes#登录错误记录到日志SYSLOG_SU_ENAByes#当限定超级用户管理日志时使用SYSLOG_SG_ENAByes#当限定超级用户组管理日志时使用__y当限定超级用户管日时使用MD5_CRYPT_ENAByes#当使用md5为密码的加密方法时使用23现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。条款理解要求系统应具有一定的登录控制功能。可以通过适当的配置“帐户锁定策略”来对用户的登录进行限制。如帐户锁定阈值，帐户锁定时间等。24现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。检查方法Windows:本地安全策略-帐户策略-帐户锁定策略中的相关项目Linux:采用查看方式，在root权限下，使用命令more、cat或vi采用看方式，在权限下，使用命令、或查看/etc/pam.d/system-auth文件中相关配置参数25现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别26现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别#cat/etc/pam.d/system-auth#%PAM-1.0#%PAM1.0#Thisfileisauto-generated.#Userchangeswillbedestroyedthenexttimeauthconfigisrun.thidauthrequiredpam_env.soauthsufficientpam_unix.sonulloktry_first_passauthrequisitepam_succeed_if.souid=500quietauthrequiredpam_deny.soaccountrequiredpam_unix.soaccountsufficientpamsucceedif.souid500quietaccountsufficientpam_succeed_if.souid500quiet……accountrequired/lib/security/pam_tally.sodeny=3nomagic_rootreset27现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。条款理解为方便管理员进行管理操作，众多服务器采用了网络登录的方式进行远程管理操作，例如Linux可以使用telnet登陆，Windows使用远程终端服务。基本要求规定了这些传输的数据需要进行加密处理过，目的是为了保障帐户与口令的安全。据需要行加密处，目是为保障帐户令安28现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。检查方法Windows:确认操作系统版本确认终端服务器使用了SSL加密确认RDP客户端使用SSL加密确认客户端使用加密29现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。检查方法Linux:在root权限下，使用命令more、cat或vi查看是否运行了sshd服务：service–status-all|grepsshd若未使用ssh方式进行远程管理，则查看是否使用了telnet方式进行远程管理：service–status-all|greprunning30现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别e)为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性。条款理解对于操作系统来说，用户管理是操作系统应具备的基本功能。用户管理由创建用户和组以及定义它们的属性构成。用户的一个主要属性是如何对他们进行认证用户是系统的主要代理其属性控制他们的访问权环境如何对他们进证。用户是系统的主要代理。其属性控制他们的访问权、环境、如何对他们进行认证以及如何、何时、在哪里可以访问他们的帐户。因此，用户标识的唯一性至关重要。如果系统允许用户名相同，而UID不同，其唯一性标识为UID，性至关重要。如果系统允许用户名相同，而不同，其唯性标识为，如果系统允许UID相同，而用户名不同，其唯一性标识为用户名。31现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别e)为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性。检查方法Windows:“管理工具”-“计算机管理”-“本地用户和组”中的“用户”，检查其中的用户名是否出现重复。Linux:采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd文件中用户名信息查看/etc/passwd文件中用户名信息32现场测评内容与方法现场测评内容与方法————身份鉴别身份鉴别f）应采用两种或两种以上组合的鉴别技术对管理