信息系统人工评估报告.docVIP

密 级： 内部 文档编号：2007002-013 项目编号：2007002 XX市地税局信息系统 人工评估报告  目 录 1 概述 3 2 评估范围 3 3 评估方法 4 3.1 人工评估方法 4 3.2 技术先进性 4 4 评估实施过程 4 4.1 工作内容 4 4.2 主要参与者 5 4.3 工作持续时间 5 4.4 工作结束准则 5 5 人工评估风险级别说明 5 6 主机配置分析 6 6.1 征管数据库AIX主机 6 6.1.1 主机信息 6 6.1.2 安装和配置 6 6.1.3 登录控制 7 6.1.4 用户角色控制 9 6.1.5 密码控制 10 6.1.6 Inetd启动的不必要服务 13 6.1.7 其他不必要服务 19 6.1.8 评估报告 20 6.2 Windows主机 22 6.2.1 主机信息 22 6.2.2 Service Packs和Hotfixs安装情况 23 6.2.3 审计和帐号策略 23 6.2.4 安全设置 25 6.2.5 注册表安全设置 28 6.2.6 不必要的服务 32 6.2.7 文件系统 37 6.2.8 防火墙和防病毒 37 6.2.9 评估报告 38 6.3 现状问题 41 6.4 安全建议 44  概述 根据《XX省人民政府信息化工作办公室关于印发信息安全风险评估试点工作实施方案的通知》文件精神，XX省信息安全测评中心承担了XX市地税局“征管信息系统”的风险评估工作。我中心以建立符合我省情况的风险评估方法、积累风险评估工作经验、培养队伍、协助XX市地税局更深入地了解其信息系统安全现状为目标，通过文档分析、现场访谈、问卷调查、技术评估等方法，对XX市地税局“征管信息系统”进行了全面的信息安全风险评估。 人工扫描是项目组成员根据经验，对网络、主机等设备进行人工查看。这种评估方式压力小，减少了工具评估的误报、漏报情况。本评估工作和报告与工具扫描和评估报告互为补充。 评估范围 XX市地税局征管信息系统，人工评估的信息资产范围如下： 序号 主机名称 IP地址 厂牌型号 操作系统 用途 1 sjz_node1 XX.20.225.1 IBM RS6000 AIX 征管业务系统数据库 2 sjz_node2 XX.20.225.3 IBM RS6000 AIX 征管业务系统数据库 3 ZG-APP1 XX.20.225.19 IBM x440 Windows2000Server+sp4 征管业务系统服务器 4 SJAPP2 XX.20.225.21 IBM x440 Windows2000Server+sp4 征管业务系统服务器 5 SJAPP3 XX.20.225.23 IBM x440 Windows2000Server+sp4 征管业务系统服务器 6 SJAPP4 XX.20.225.25 IBM x440 Windows2000Server+sp4 征管业务系统服务器 7 sjdc1 XX.20.225.10 IBM x440 Windows2000Server DC 8 sjdc2 XX.20.225.11 IBM x440 Windows2000Server DC 9 SJZ-OA-WEB XX.20.224.11 HP D360 Windows2000Server+sp4 www服务器 10 sjzds-gov XX.20.224.16 HP D360 Windows2000Server 公文流转服务器 11 sjzds-odps XX.20.224.9 HP D360 Windows2000Server 瑞星杀毒中心 评估方法 人工评估方法 测评中心安全顾问根据主机评估Checklist列表同时结合人工评估检测工具对事先选定主机进行人工技术性评估； 根据对XX市地税局颁布的主机管理办法进行评估分析； 对地税局信息处相关人员访谈进一步了解当前服务器主机管理维护的状态； 把服务器的技术性评估报告与相关的访谈报告结合，完成关于XX地税局主机服务器的人工评估报告。 技术先进性 有丰富人工评估知识库储备，制定了各种系统的checklist； 有经验丰富、技术实力雄厚的专家评估队伍进行配置分析； 有十分深厚的风险评估实施经验，科学的报告编制方法。 评估实施过程 工作内容 1、首先评估人员与地税局单位人员沟通，确定人工评估的主机； 2、之后评估人员准备主机评估的checklist列表； 3、选择业务量较小时段，请主机系统管理员配合管理人员登录主机进行现场人工评估。 4、分析评估数据，编写人工评估报告。 主要参与者 表列出了在这一过程要素中的主要参与者和他们在人工评估过程中的角色。 角