基线合规检查报告.DOC

至: xxxxx经营体 XXXX系统基线合规 检查报告 基本情况 被检查经营体：XXX经营体 检查时间：2013年xx月xx日 检查系统 系统等级 检查人 配合人员 XXX 高 检查内容： 检查结果 互动协同平台系统检查结果总结如下： 分类 子项要求 是否符合 建议 网络 架构安全 符合 访问控制 不符合 安全审计 符合 入侵防范 符合 网络设备防护 符合 外网系统特殊点防范 符合 操作系统 身份鉴别 符合 访问控制 符合 安全审计 不符合 入侵防范 符合 恶意代码防范 符合 资源控制 符合 数据库 身份鉴别 不符合 访问控制 符合 安全审计 符合 应用 身份鉴别 符合 访问控制 符合 安全审计 不符合 通信完整性 符合 通信保密性 符合 抗抵赖 符合 软件容错 符合 资源控制 符合 WEB安全 符合 数据 备份和恢复 不符合 关注控制点的整改建议： 序号 要求 现状 是否符合 整改建议 9 重要网段应采取技术手段防止IP地址欺骗 MA系统所处的交换机未进行MAC-IP绑定 不符合 37 应保护操作系统审计记录，避免受到未预期的删除、修改或覆盖等，审计结果、日志记录应至少保存6个月 windows系统的日志已满，无法保存近期的日志 不符合 45 数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换 账号设置全部都是default，密码策略未设置。 不符合 46 应启用数据库系统登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施 同上 不符合 59 应记录用户登陆行为包括：时间、账号、IP地址、次数、成功与否等 审计日志没有记录IP的功能 不符合 74 应制定数据恢复测试方案，并每季对系统备份数据进行一次抽样性恢复测试 系统管理人员去年进行过一次数据恢复测试。今年未做过。 不符合 评述 在综合上述情况来看，所检查的系统基线要求整体的符合为91.89%，不符合高级基线保护技术要求。建议windows服务器的安全设置、数据库的安全设置，和备份数据测试部分尽快整改。应用层面的不符合项，建议在系统变更时一并考虑增加相应的安全功能。 XX系统基线合规检查报告 编号：360008-02-509-F02 生效期：2013.09.01 第 0次修改 密级：集团内部公开 第 6 页 共 6 页 《海尔集团信息系统基线保护技术要求中（M）级检查表》5个层面要求，如下: 网络 架构安全、访问控制、安全审计、入侵防范、网络设备防护、外网系统特殊点防范、 操作系统 身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制 数据库 身份鉴别、访问控制、安全审计 应用 身份鉴别、访问控制、安全审计、通信完整性、通信保密性、抗抵赖、软件容错、资源控制、WEB安全 数据 备份和恢复