信息安全等级保护第三级测评指导书v1-主机安全.docxVIP

主机安全G3A3G3

PAGE32

序号

控制点

测评指标

测评结论

1

身份鉴别

a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；

测评方法

采用查看方式，在root权限下，使用命令#more、cat或vi查看/etc/passwd文件中各用户名状态。记录/etc/passwd文件中密码为空的账户名。

符合描述

暂时为空

存在问题

账户的口令为空，没有认证用户登录。

危害分析

默认用户口令有时是空的或者就是用户名本身，口令是空的就没有对用户做认证，容易被冒用用户登录，进入系统后再升级用户权限以对系统造成攻击。

整改建议

配置用户口令，满足口令强度要求；

序号

控制点

测评指标

测评结论

2

身份鉴别

b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

测评方法

Root身份登录，查看文件内容：#cat/etc/security/user记录最小长度(minlen)，登陆密码有效期(maxage)，密码中字母字符的最小数量（minalpha）,不可重复使用的旧密码数量（‘histsize）等。

符合描述

暂时为空

存在问题

/etc/security/user文件为缺省配置，（口令缺省配置永不过期等）。

危害分析

口令简单，容易被猜到或通过工具暴力破解，所以，口令要有一定的强度。

整改建议

配置/etc/security/user文件，修改缺省配置，使口令满足强度要求。

序号

控制点

测评指标

测评结论

3

身份鉴别

c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

测评方法

Root身份登录，查看文件内容：#cat/etc/security/user记录系统锁定用户前允许其多少次连续的失败登录(loginretries)；

符合描述

暂时为空

存在问题

1./etc/security/user文件为缺省配置，（缺省不对登录失败做处理）。

2.（金标三级、金标四级）未采取限制登录间隔等措施处理登录失败。

危害分析

暴力破解工具就是自动化的一次次猜用户名的口令，如果设定失败登录次数就会阻止暴力破解工具的攻击。

整改建议

配置/etc/security/user文件，修改缺省配置，使操作系统对失败登录次数，账户锁定时间做要求。

序号

控制点

测评指标

测评结论

4

身份鉴别

d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

测评方法

1.以root身份登录系统；

2.查看是否安装SSH的相应包rpm-aq|grepssh或查看是否运行了sshd服务service-status-all|grepsshd；

3.如果已经安装则查看相关的端口是否打开netstat-an|grep22；

4.查看是否使用telnet方式进行远程管理,service-status-all|greprunning,查看是否存在telnet服务。

符合描述

暂时为空

存在问题

1.缺省采用Telnet协议，没有安装SSH文件包。

2.（金标）当通过互联网对服务器进行远程管理时，未采取加密措施，防止鉴别信息在网络传输过程中被窃听。

3.（金标）主机系统未对与之相连的服务器或终端设备进行身份标识和鉴别。

危害分析

采用明文的Telnet协议，用户名和口令在网上明文传输，当攻击者采用网络包嗅探工具，就会抓取含有用户名口令的数据包，解码后获取用户名和口令。所以，建议采取SSHV2协议，SSHV2协议会加密用户名口令，这样就比较安全。

整改建议

安装SSH文件包，启用SSHV2,采用SSH协议。

序号

控制点

测评指标

测评结论

5

身份鉴别

e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

测评方法

Root身份登录，查看文件内容：#cat/etc/passwdUID为0的用户必须只有一个记录/etc/passwd文件中有相同用户名的账户。

符合描述

暂时为空

存在问题

相同的UID却有不同的用户名。

危害分析

当用户名不唯一时，就不能确定不同管理员的权限分配，会有越权或滥用的情况发生。

整改建议

不同的UID，要有不同的用户名，确保用户名唯一。

序号

控制点

测评指标

测评结论

6

身份鉴别

f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

测评方法

访谈系统管理员，询