信息系统入网安全测评技术规范.docVIP

XXXX公司入网安评技术规范 PAGE 4 信息系统入网安全测评技术规范 目 录 TOC \o 1-3 \h \z \u 1. 目的 1 2. 适用范围 1 3. 测试依据 1 4. 入网安评要求 1 4.1. 入网安评定义 1 4.2. 入网安评要求 1 5. 测试内容 1 5.1. 主机安全检测 1 5.2. 数据库系统安全检测 1 5.3. 中间件安全检测 1 5.4. 应用系统安全检测 1 5.5. 数据安全及备份恢复检测 1  目的 为更加规范地开展信息化系统的入网安评工作，落实GB/T 22239-2008等国家标准，科学、公正地进行系统的质量检测，特制定本操作指南作为开展系统入网安评工作的依据。 适用范围 本细则适用于XXXX公司入网安评实施。入网安评主要包括对系统网络环境、主机、数据库、中间件、应用系统以及数据安全与备份恢复的评测。 测试依据 信息安全技术 信息系统安全等级保护基本要求 IT主流设备安全基线技术规范 入网安评要求 入网安评定义 入网安评是新系统上线前，根据系统在设计阶段定义的信息安全保护等级实施安全检测，其目的在于为系统能否进入试运行阶段提供度量依据。 入网安评要求 依据系统需求说明书，检验系统是否满足用户需求；通过对系统主机、数据库、中间件、应用系统、数据等进行测试，评估系统的需求符合性及安全性，全面保障信息系统工程质量。 测试内容 测评内容包括：系统网络环境、主机、数据库、中间件、应用系统、数据等五大类。 主机安全检测 应检测是否存在默认的系统管理员帐号和口令，管理员帐号是否采用实名制，口令长度至少为8位，口令必须从字符（a-z，A-Z）、数字（0-9）、符号（~！@#$%^*()_）中至少选择两种进行组合，普通帐号口令至少为6位，由非纯数字或字母组成。 应检测是否启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听； 应为操作系统的不同用户分配不同的用户名，确保用户名具有唯一性； 应对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除； 应实现操作系统和数据库系统特权用户的权限分离； 应重命名系统默认帐户，修改这些帐户的默认口令； 应及时删除多余的、过期的帐户，避免共享帐户的存在； 应禁止管理员用户使用使用FTP， 应根据安全策略设置登录终端的操作超时锁定； 应检测是否允许从互联网远程登录服务器，内部网络登录服务器是否限制其登录源IP 或MAC地址以及用户捆绑。 应检测操作系统的补丁/漏洞情况。 应检测Windows 操作系统本地安全策略（至少包括：禁止在驱动器上自动运行程序，禁止程序开机自动运行，不允许匿名枚取ASM帐号，不允许匿名枚取SAM帐号与共享，禁用系统故障之后自动重起）。 应检测Windows主机服务器是否安装防病毒软件。 应检测操作系统是否开启日志审计功能并对审计进程进行保护。 数据库系统安全检测 应检测宿主操作系统中是否设置本地数据库专用帐号，是否赋予该账户除运行各种数据库服务外的权限。 应检测数据库管理员帐号口令长度至少为8位，口令必须从字符（a-z，A-Z）、数字（0-9）、符号（~！@#$%^*()_）中至少选择两种进行组合，普通帐号口令至少为6位，由非纯数字或字母组成。 当数据库进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。 应检测是否启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。 应检测是否开启不必要的数据库系统服务。 应对数据库数据字典保护。 应检测数据库系统补丁/漏洞情况。 应检测是否开启默认数据库系统管理员帐号和口令。 应检测是否删除或禁用多余帐号。 应检测是否存在多余的DBA组权限的帐户。 应设置监听器口令，置监听服务空闲连接超时时间。 应检测数据库是否开启日志审计功能并对审计进程进行保护。 中间件安全检测 应检测用户名、口令存储是否加密，配置文件访问权限、输入字符和输入范围，管理员帐号口令长度至少为8位，口令必须从字符（a-z，A-Z）、数字（0-9）、符号（~！@#$%^*()_）中至少选择两种进行组合，普通帐号口令至少为6位，由非纯数字或字母组成。 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。 应检测是否删除或禁用多余帐号。 应检测中间件的日志审计功能是否启用并对审计进程进行保护。 应检测是否开启中间件控制台空闲退出功能。 应检测中间件控制台是否开启SSL保护。 应禁用中间件在通信过程是否发送服务标识。 应限制应用服务器Socket数量，避免拒绝服务攻击。 应修改中间