3主机安全.docVIP

主机安全管理制度 一、身份鉴别 1.系统与应用管理员用户设置 对操作系统进行特权用户的特权分离（如系统管理员、应用管理员等）并提供专用登陆控制模块。采用最小授权原则，进行授权。 2.系统与应用管理员口令安全 启用密码口令复杂性要求，设置密码长度最小值为8位，密码最长使用期限90天，强制密码历史等，保证系统和应用管理用户身份标识不易被冒用。 3.登陆策略 采用用户名、密码、密钥卡令牌实现用户身份鉴别。 4.非法访问警示 配置账户锁定策略中的选项，如账户锁定时间、账户锁定阈值等实现结束会话、限制非法登陆次数和自动退出功能。 二、主机访问控制 1.主机信任关系 在域中设置信任与被信任关系，使一个域中的控制器验证另一个域中的用户，从而自助控制主机信任关系，并配置了数据库主机信任关系。 2.默认过期用户 超过60天没有更新计算机账户密码的计算机账户设置为默认过期用户，为避免共享账户存在，及时删除默认过期用户。 3.用户最小授权原则 根据管理用户的角色对权限做出标准细致的划分，并授予管理用户的最小权限，每个用户只能拥有刚够完成工作的最小权限。并按角色划分权限，每个角色各负其责，权限各自分离，一个管理角色不拥有另一个管理角色的特权。 4.资源访问记录 通过系统安全日志以及设置安全审计，记录和分析各用户和系统活动操作记录和信息资料，包括访问人员、访问计算机、访问时间、操作记录等信息。 5.重要系统文件强制访问控制范围 对重要系统文件进行敏感标记，设置强制访问控制机制。根据管理用户的角色分配权限，并作了细致划分，禁授予管理用户最小权限，并对用户及用户程序进行限制，从而达到更高的安全级别。 6.共享目录 关闭系统设置共享目录访问权限时，指定了一个基于本地“Administrators”组帐户的权限，保证共享目录的访问安全。 7.远程登陆控制 服务器上启用“路由和远程访问”服务，并且依据服务器操作系统访问控制的安全策略，授权访问用户身份/角色，未授权用户身份/角色访问客体，不允许进行访问。 三、安全审计 1.审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。 2.审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件； 3.审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； 4.应能够根据记录数据进行分析，并生成审计报表； 5.应保护审计进程，避免受到未预期的中断； 6.应保护审计记录，避免受到未预期的删除、修改或覆盖等。 四、剩余信息保护 采用安全级别的操作系统 操作系统 级别 Linux C2 Windows server2003 C2 为保证操作系统和数据库系统的鉴别信息所用的存储空间，被释放或分配给其他用户前被释放，做了如下设置：在本地安全策略中的安全选项中，启用“不显示上次的用户名”。 为及时释放系统内文件、目录、数据库等所占用的存储空间，进行如下设置：在本地安全策略中的安全选项中，启用“清除虚拟内存页面文件”；在本地安全设置，账户策略中的密码策略中，启用“用可还原的加密来存储密码”。 为有效应对网络入侵，公司在网络边界处部署防火墙、IPS各一台，用于应对端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等各类网络攻击；通过防火墙对指定接口所连接的网络中主机的 IP 和MAC 地址进行绑定，防止IP 盗用，并对非法IP 的访问提供详细的记录，同时在路由器上进行重要服务器的ip/mac的绑定，进一步保证服务器的安全。 通过对防火墙、IPS的配置，结合防毒软件，及早发现入侵行为并采取相应的应对措施，减少通过网络窃取信息的的可能。并结合公司的规章制度，进一步加强对信息窃取事件的防范。防火墙能够识别并防范对网络和主机的扫描攻击、异常网络协议攻击、IP 欺骗攻击、源IP攻击、IP 碎片攻击、DoS/DDoS 攻击等；实时应用层内容过滤，在防火墙内核协议栈中实现。支持HTTP、FTP、SMTP 协议，具体包括URL 过滤、网页关键字过滤、FTP 文件下载过滤、FTP 文件上传过滤、SMTP收件人过滤、SMTP 发件人过滤、邮件主题过滤、反邮件中转过滤、Internet 蠕虫过滤。根据入侵检测结果自动地调整防火墙的安全策略，及时阻断入侵的网络连接，并可通过邮件的方式向管理员报警。 封闭了以下端口，主要有：TCP137、139、445、593、1025端口和UDP 135、137、445端口，后门端口(如TCP 2745、3127、6129端口)，以及远程服务访问端口3389。并关闭了计算机中高危服务：如Alerter\clipbook、remote registry\、Messenger、Task