系統(tǒng)安全管理規(guī)定

1、系統(tǒng)安全管理規(guī)定文檔號(hào)CSLJC_COM_STD_ISMS_1202_P_V0.1密級(jí)ISO 27001信息安全管理體系文件系統(tǒng)安全管理規(guī)定ISMS-MP-A.12-01活動(dòng)簽名日期創(chuàng)建成濤2011-8-24審核批準(zhǔn)II文檔變更歷史作者(或修訂人)版本號(hào)日期修改內(nèi)容與原因成濤V0.12011-8-24新建評(píng)審記錄評(píng)審方式版本號(hào)日期評(píng)審意見(jiàn) 文檔狀態(tài)：草稿目 錄1概述11.1目的11.2定義11.3范圍11.4原則12角色與職責(zé)13安全要求23.1系統(tǒng)安全規(guī)劃要求23.2系統(tǒng)運(yùn)行與維護(hù)安全要求23.3操作系統(tǒng)安全配置策略53.3.1Windows系統(tǒng)安全配置管理策略53.3.2UNIX系統(tǒng)安全管

2、理策略84附錄101 概述 1.1 目的為了加強(qiáng)公司各類計(jì)算機(jī)系統(tǒng)的安全運(yùn)維管理，特制定本規(guī)定。1.2 定義本程序引用ISO/IEC 17799:2005標(biāo)準(zhǔn)中的術(shù)語(yǔ)。1.3 范圍本文檔適用于公司建立的信息安全管理體系。1.4 原則本文檔將依據(jù)信息技術(shù)和信息安全技術(shù)的不斷發(fā)展和信息安全風(fēng)險(xiǎn)與信息安全保護(hù)目標(biāo)的不斷變化而進(jìn)行版本升級(jí)。2 角色與職責(zé)表2-1系統(tǒng)安全管理規(guī)定的角色和職責(zé)序號(hào)角色職責(zé)1信息安全管理委員會(huì)負(fù)責(zé)對(duì)系統(tǒng)安全管理進(jìn)行指導(dǎo)和檢查2系統(tǒng)運(yùn)維部負(fù)責(zé)生產(chǎn)環(huán)境系統(tǒng)的維護(hù)工作3系統(tǒng)支援及維護(hù)部負(fù)責(zé)系統(tǒng)安全管理的落地和實(shí)施工作4員工遵守公司系統(tǒng)安全管理規(guī)定3 安全要求233.1 系統(tǒng)安全規(guī)

3、劃要求1、系統(tǒng)在投入使用前需要做好前期的規(guī)劃和設(shè)計(jì)，除了要滿足公司目前業(yè)務(wù)需要外還要考慮該業(yè)務(wù)系統(tǒng)將來(lái)的應(yīng)用需求，使系統(tǒng)具有一定的擴(kuò)充能力。2、系統(tǒng)服務(wù)器操作系統(tǒng)應(yīng)選用正版軟件并且遵守軟件規(guī)定的最終用戶使用協(xié)議，禁止使用盜版軟件。3、新規(guī)劃使用系統(tǒng)應(yīng)考慮和原來(lái)系統(tǒng)的兼容性問(wèn)題。4、在新系統(tǒng)安裝之前應(yīng)有詳細(xì)的實(shí)施計(jì)劃，并嚴(yán)格按照計(jì)劃來(lái)實(shí)施。5、在新系統(tǒng)安裝完成，投入使用前，應(yīng)對(duì)所有組件包括設(shè)備、服務(wù)或應(yīng)用進(jìn)行連通性測(cè)試、性能測(cè)試、安全性測(cè)試，并在系統(tǒng)測(cè)試記錄做詳細(xì)記錄，最終形成測(cè)試報(bào)告。6、在新系統(tǒng)安裝完成，測(cè)試通過(guò)，投入使用前，應(yīng)刪除測(cè)試用戶和口令，最小化合法用戶的權(quán)限，最優(yōu)化配置，應(yīng)及時(shí)對(duì)系

4、統(tǒng)軟件、文件和重要數(shù)據(jù)進(jìn)行備份。3.2 系統(tǒng)運(yùn)行與維護(hù)安全要求1、各個(gè)系統(tǒng)設(shè)備應(yīng)進(jìn)行資產(chǎn)登記。2、系統(tǒng)的帳號(hào)、口令應(yīng)符合帳號(hào)與密碼安全管理規(guī)定，并定期對(duì)帳號(hào)口令實(shí)施安全評(píng)估。3、嚴(yán)格限制操作系統(tǒng)管理員權(quán)限帳號(hào)和普通賬號(hào)的數(shù)量和使用范圍。對(duì)于系統(tǒng)管理員的帳號(hào)要詳細(xì)登記備案，編制管理員權(quán)限賬號(hào)記錄，每季度對(duì)該記錄進(jìn)行審核，更新帳號(hào)記錄。4、操作系統(tǒng)帳號(hào)的申請(qǐng)與變更參考帳號(hào)與密碼安全管理規(guī)定3.5節(jié)“賬號(hào)權(quán)限控制流程”。5、嚴(yán)格禁止非本系統(tǒng)管理、維護(hù)人員直接進(jìn)入主機(jī)設(shè)備進(jìn)行操作，若在特殊情況下（如系統(tǒng)維修、升級(jí)等）需要外部人員（主要是指廠家技術(shù)工程師、非本系統(tǒng)技術(shù)工程師、安全管理員等）進(jìn)入主機(jī)設(shè)備進(jìn)

5、行操作時(shí)，必須由維護(hù)人員員親自登錄，并對(duì)操作全過(guò)程進(jìn)行記錄備案。 6、應(yīng)盡可能減少主機(jī)設(shè)備的遠(yuǎn)程管理方式。7、嚴(yán)禁隨意安裝、卸載系統(tǒng)組件和驅(qū)動(dòng)程序，如確實(shí)需要，應(yīng)及時(shí)評(píng)測(cè)可能由此帶來(lái)的影響；如果需要安裝補(bǔ)丁程序，參考病毒與補(bǔ)丁安全管理規(guī)定進(jìn)行安裝。8、禁止主機(jī)系統(tǒng)上開(kāi)放具有“寫(xiě)”權(quán)限的共享目錄，如果確實(shí)必要，優(yōu)先考慮建立FTP站點(diǎn)，緊急情況下可臨時(shí)開(kāi)放，但要設(shè)置強(qiáng)共享口令，并在使用完之后立刻取消共享；應(yīng)禁止不被系統(tǒng)明確使用的服務(wù)、協(xié)議和設(shè)備的特性，避免使用不安全的服務(wù)。9、應(yīng)嚴(yán)格并且合理的分配服務(wù)安裝分區(qū)或者目錄的權(quán)限，如果可能的話，給每項(xiàng)服務(wù)安裝在獨(dú)立分區(qū)；取消或者修改服務(wù)的banner信息

6、；避免讓?xiě)?yīng)用服務(wù)運(yùn)行在root或者administrator權(quán)限下。10、應(yīng)嚴(yán)格控制重要文件的許可權(quán)和擁有權(quán)，重要的數(shù)據(jù)應(yīng)當(dāng)加密存放在主機(jī)上，取消匿名FTP訪問(wèn)，并合理使用信任關(guān)系。11、應(yīng)對(duì)日志功能的啟用、日志記錄的內(nèi)容、日志的管理形式、日志的審查分析做出明確的規(guī)定；對(duì)于重要主機(jī)系統(tǒng)，應(yīng)建立集中的日志管理服務(wù)器，實(shí)現(xiàn)對(duì)重要主機(jī)系統(tǒng)日志的統(tǒng)一管理，以利于對(duì)主機(jī)系統(tǒng)日志的審查分析；應(yīng)保證各設(shè)備的系統(tǒng)日志處于運(yùn)行狀態(tài)，并定期對(duì)日志做一次全面的分析，對(duì)登錄的用戶、登錄時(shí)間、所做的配置和操作做檢查，在發(fā)現(xiàn)有異常的現(xiàn)象時(shí)應(yīng)及時(shí)向相關(guān)人員報(bào)告，日志審核要求詳見(jiàn)安全審計(jì)管理規(guī)定。12、應(yīng)及時(shí)監(jiān)視、收集主機(jī)設(shè)

7、備操作系統(tǒng)生產(chǎn)廠商公布的軟件以及補(bǔ)丁更新，要求下載補(bǔ)丁程序的站點(diǎn)必須是相應(yīng)的官方站點(diǎn)，并對(duì)更新軟件或補(bǔ)丁進(jìn)行評(píng)測(cè)，在獲得部門(mén)領(lǐng)導(dǎo)的批準(zhǔn)下，對(duì)實(shí)際環(huán)境實(shí)施軟件更新或者補(bǔ)丁安裝；必須訂閱CERT (計(jì)算機(jī)緊急響應(yīng)小組)公告或其他專業(yè)安全機(jī)構(gòu)提供的安全漏洞信息的相關(guān)資源，應(yīng)立即提醒信息安全工作組任何可能影響網(wǎng)絡(luò)正常運(yùn)行的漏洞；及時(shí)評(píng)測(cè)對(duì)漏洞采取的對(duì)策，在獲得部門(mén)領(lǐng)導(dǎo)的批準(zhǔn)下，對(duì)實(shí)際環(huán)境實(shí)施評(píng)測(cè)過(guò)的對(duì)策，并將整個(gè)過(guò)程記錄備案；軟件更新或者補(bǔ)丁安裝應(yīng)盡量安排在非業(yè)務(wù)繁忙時(shí)段進(jìn)行，操作必須由兩人以上完成，由一人監(jiān)督，一人操作，并在升級(jí)（或修補(bǔ)）前后做好數(shù)據(jù)和軟件的備份工作，同時(shí)將整個(gè)過(guò)程記錄備案；軟件更新

8、或者補(bǔ)丁安裝后應(yīng)重新對(duì)系統(tǒng)進(jìn)行安全設(shè)置，并進(jìn)行系統(tǒng)的安全檢查。13、應(yīng)定期進(jìn)行安全漏洞掃描和病毒查殺工作，平均頻率應(yīng)不低于每月一次，并在月度網(wǎng)絡(luò)安全掃描記錄中詳細(xì)記錄評(píng)估掃描結(jié)果。重大安全漏洞發(fā)布后，應(yīng)在3個(gè)工作日內(nèi)進(jìn)行；為了防止網(wǎng)絡(luò)安全掃描以及病毒查殺對(duì)網(wǎng)絡(luò)性能造成影響，應(yīng)根據(jù)業(yè)務(wù)的實(shí)際情況對(duì)掃描時(shí)間做出規(guī)定，應(yīng)一般安排在非業(yè)務(wù)繁忙時(shí)段；當(dāng)發(fā)現(xiàn)主機(jī)設(shè)備上存在病毒、異常開(kāi)放的服務(wù)或者開(kāi)放的服務(wù)存在安全漏洞時(shí)應(yīng)及時(shí)上報(bào)信息安全工作組，并采取相應(yīng)措施。14、應(yīng)至少每周1次，對(duì)所有主機(jī)設(shè)備進(jìn)行檢查，確保各設(shè)備都能正常工作；應(yīng)通過(guò)各種手段監(jiān)控主機(jī)系統(tǒng)的CPU利用率、進(jìn)程、內(nèi)存和啟動(dòng)腳本等的使用狀況，在

9、發(fā)現(xiàn)異常系統(tǒng)進(jìn)程或者系統(tǒng)進(jìn)程數(shù)量異常變化時(shí)，或者CPU利用率，內(nèi)存占用量等突然異常時(shí)，應(yīng)立即上報(bào)信息安全工作組，并同時(shí)采取適當(dāng)控制措施，并記錄備案。15、當(dāng)主機(jī)系統(tǒng)出現(xiàn)以下現(xiàn)象之一時(shí)，必須進(jìn)行安全問(wèn)題的報(bào)告和診斷：l 系統(tǒng)中出現(xiàn)異常系統(tǒng)進(jìn)程或者系統(tǒng)進(jìn)程數(shù)量有異常變化。l 系統(tǒng)突然不明原因的性能下降。l 系統(tǒng)不明原因的重新啟動(dòng)。l 系統(tǒng)崩潰，不能正常啟動(dòng)。l 系統(tǒng)中出現(xiàn)異常的系統(tǒng)賬號(hào)l 系統(tǒng)賬號(hào)口令突然失控。l 系統(tǒng)賬號(hào)權(quán)限發(fā)生不明變化。l 系統(tǒng)出現(xiàn)來(lái)源不明的文件。l 系統(tǒng)中文件出現(xiàn)不明原因的改動(dòng)。l 系統(tǒng)時(shí)鐘出現(xiàn)不明原因的改變。l 系統(tǒng)日志中出現(xiàn)非正常時(shí)間系統(tǒng)登錄，或有不明IP地址的系統(tǒng)登錄。

10、l 發(fā)現(xiàn)系統(tǒng)不明原因的在掃描網(wǎng)絡(luò)上其它主機(jī)。16、應(yīng)及時(shí)報(bào)告任何已知的或可疑的信息安全問(wèn)題、違規(guī)行為或緊急安全事件，并在采取適當(dāng)措施的同時(shí)，應(yīng)向信息安全工作組報(bào)告細(xì)節(jié)；應(yīng)定期提交安全事件和相關(guān)問(wèn)題的管理報(bào)告，以備管理層檢查。17、應(yīng)根據(jù)“知所必需”原則嚴(yán)格限制泄漏安全違規(guī)行為、安全事件或安全漏洞。如果必須向任何公司外部方（包括任何合法的權(quán)威機(jī)構(gòu)）泄漏這類受限信息，應(yīng)先咨詢公司相關(guān)法律部門(mén)。18、系統(tǒng)軟件安裝之后，應(yīng)立即進(jìn)行備份；在后續(xù)使用過(guò)程中，在系統(tǒng)軟件的變更以及配置的修改之前和之后，也應(yīng)立即進(jìn)行備份工作；應(yīng)至少每年1次對(duì)重要的主機(jī)系統(tǒng)進(jìn)行災(zāi)難影響分析，并進(jìn)行災(zāi)難恢復(fù)演習(xí)。19、應(yīng)至少每年1

11、次對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行風(fēng)險(xiǎn)評(píng)估，每次風(fēng)險(xiǎn)評(píng)估時(shí)，手工檢查的比例應(yīng)不低于10，滲透測(cè)試的比例應(yīng)不低于5；風(fēng)險(xiǎn)評(píng)估后應(yīng)在10個(gè)工作日內(nèi)完成對(duì)網(wǎng)絡(luò)的修補(bǔ)和加固，并進(jìn)行二次評(píng)估。3.3 操作系統(tǒng)安全配置策略3.3.1 Windows系統(tǒng)安全配置管理策略在應(yīng)用以下安全策略之前應(yīng)根據(jù)業(yè)務(wù)系統(tǒng)的實(shí)際情況進(jìn)行操作，注意實(shí)施操作后對(duì)業(yè)務(wù)的風(fēng)險(xiǎn)。1、物理安全策略l 應(yīng)設(shè)置 BIOS 口令以增加物理安全。l 應(yīng)禁止遠(yuǎn)程用戶使用光驅(qū)和軟驅(qū)。2、補(bǔ)丁管理策略l 應(yīng)啟動(dòng) Windows 自動(dòng)更新功能，及時(shí)安裝 Windows 補(bǔ)?。⊿P、hotfix）。l 對(duì)于不能訪問(wèn) Internet 的 Windows

12、系統(tǒng)，應(yīng)采用手工打補(bǔ)丁的方式。3、帳戶與口令策略l 所有帳戶均應(yīng)設(shè)置口令。l 應(yīng)將系統(tǒng)管理員賬號(hào) administrator 重命名。l 應(yīng)禁止 Guest 賬號(hào)。l 應(yīng)啟用“密碼必須符合復(fù)雜性要求”，設(shè)置“密碼長(zhǎng)度最小值”、“密碼最長(zhǎng)存留期”、“密碼最短存留期”、“密碼強(qiáng)制歷史”，停用“為域中用戶使用可還原的加密來(lái)存儲(chǔ)”。l 應(yīng)設(shè)置“賬戶鎖定時(shí)間”，“賬戶鎖定閾值”，“復(fù)位賬戶鎖定計(jì)數(shù)器”來(lái)防止遠(yuǎn)程密碼猜測(cè)攻擊。l 在信息安全組批準(zhǔn)下，應(yīng)定期利用口令破解軟件進(jìn)行口令模擬破解測(cè)試，在發(fā)現(xiàn)脆弱性口令后及時(shí)通告并采取強(qiáng)制性的補(bǔ)救修改措施。4、網(wǎng)絡(luò)服務(wù)策略l 應(yīng)盡可能減少網(wǎng)絡(luò)服務(wù)，關(guān)閉不必要的服務(wù)。

13、l 應(yīng)通過(guò)修改注冊(cè)表項(xiàng)，調(diào)整優(yōu)化 TCP/IP 參數(shù)，來(lái)提高系統(tǒng)抵抗 DoS 攻擊的能力。l 應(yīng)限制使用 SNMP 服務(wù)。如果的確需要，應(yīng)使用 V3 版本替代 V1、V2 版本，并啟用 MD5 校驗(yàn)等功能。5、文件系統(tǒng)策略l 所有分區(qū)均應(yīng)使用 NTFS。l 盡量使用磁盤(pán)配額管理、文件加密（EFS）等功能。l 應(yīng)卸載 OS/2 和 POSIX 操作環(huán)境子系統(tǒng)。l 應(yīng)將所有常用的管理工具放在 %systemroot% 外的特殊目錄下，并對(duì)其進(jìn)行嚴(yán)格的訪問(wèn)控制，保證只有管理員才具有執(zhí)行這些工具的權(quán)限。l 應(yīng)關(guān)閉 NTFS 生成 8.3 文件名格式。l 應(yīng)設(shè)置訪問(wèn)控制列表（ACL），對(duì)重要的目錄、文件

14、進(jìn)行訪問(wèn)權(quán)限的限制。6、日志策略l 應(yīng)啟用系統(tǒng)和文件審核功能，包括應(yīng)用程序日志、安全日志、系統(tǒng)日志、以及各種服務(wù)的日志。l 應(yīng)更改日志存放的目錄，并及時(shí)監(jiān)控，特別是安全日志、系統(tǒng)日志。對(duì)于重要主機(jī)設(shè)備，應(yīng)建立集中的日志管理服務(wù)器，實(shí)現(xiàn)對(duì)重要主機(jī)設(shè)備日志的統(tǒng)一管理，以利于對(duì)主機(jī)設(shè)備日志的審查分析。7、安全性增強(qiáng)策略l 對(duì)于獨(dú)立服務(wù)器應(yīng)直接檢查本地的策略和配置。對(duì)于屬于域的服務(wù)器，應(yīng)檢查域控制器上對(duì)計(jì)算機(jī)的域管理策略。檢查內(nèi)容主要為用戶、用戶組及其權(quán)限管理策略。l 應(yīng)限制對(duì)注冊(cè)表的訪問(wèn)，嚴(yán)禁對(duì)注冊(cè)表的匿名訪問(wèn)，嚴(yán)禁遠(yuǎn)程訪問(wèn)注冊(cè)表，并對(duì)關(guān)鍵注冊(cè)表項(xiàng)進(jìn)行訪問(wèn)控制，以防止它們被攻擊者用于啟動(dòng)特洛伊木馬等

15、惡意程序。l 應(yīng)定期檢查注冊(cè)表啟動(dòng)項(xiàng)目，避免系統(tǒng)被安裝非法的自啟動(dòng)程序。l 應(yīng)隱含最后登陸用戶名，避免攻擊者猜測(cè)系統(tǒng)內(nèi)的用戶信息。l 在登錄系統(tǒng)時(shí)應(yīng)顯示告警信息，防止用戶對(duì)遠(yuǎn)程終端服務(wù)口令進(jìn)行自動(dòng)化的腳本猜測(cè)，并刪除關(guān)機(jī)按鈕。l 應(yīng)刪除 Windows 主機(jī)上所有默認(rèn)的網(wǎng)絡(luò)共享。l 應(yīng)關(guān)閉對(duì) Windows 主機(jī)的匿名連接。l 對(duì)于不需要共享服務(wù)的主機(jī)，應(yīng)徹底關(guān)閉文件和打印機(jī)共享服務(wù)。l 應(yīng)限制 Pcanywhere 等遠(yuǎn)程管理工具的使用，如確實(shí)需要，應(yīng)使用最新版本，完整安裝補(bǔ)丁程序并經(jīng)過(guò)評(píng)測(cè)，獲得信息安全工作組的許可；并使用 Pcanywhere 加密方式進(jìn)行管理。l 應(yīng)安裝防病毒軟件，并及

16、時(shí)更新軟件版本和病毒庫(kù)。l 盡量安裝防火墻。3.3.2 UNIX系統(tǒng)安全管理策略1、補(bǔ)丁管理策略l 應(yīng)及時(shí)安裝系統(tǒng)最新補(bǔ)丁。l 應(yīng)及時(shí)升級(jí)服務(wù)至最新版本。2、帳戶與口令策略l 所有帳戶均應(yīng)設(shè)置口令。l 去除不需要的帳戶、修改默認(rèn)帳號(hào)的 shell 變量。l 除 root 外，不應(yīng)存在其他 uid=0 的帳戶。l 應(yīng)設(shè)置超時(shí)自動(dòng)注銷登陸，減少安全隱患。l 應(yīng)限制可以 su 為 root 的組。l 應(yīng)禁止 root 遠(yuǎn)程登陸。l 在信息安全組批準(zhǔn)下，應(yīng)定期利用口令破解軟件進(jìn)行口令模擬破解測(cè)試，在發(fā)現(xiàn)脆弱性口令后及時(shí)通告并采取強(qiáng)制性的補(bǔ)救修改措施。3、網(wǎng)絡(luò)服務(wù)策略l 應(yīng)盡可能減少網(wǎng)絡(luò)服務(wù)，關(guān)閉不必要

17、的服務(wù)。l 應(yīng)啟用 inetd 進(jìn)站連接日志記錄，增強(qiáng)審計(jì)功能。l 應(yīng)調(diào)整優(yōu)化 TCP/IP 參數(shù)，來(lái)提高系統(tǒng)抵抗 DoS 攻擊的能力。l 應(yīng)調(diào)整TCP/IP 參數(shù)，禁止 IP 源路由。l 應(yīng)限制使用 SNMP 服務(wù)。如果的確需要，應(yīng)使用 V3 版本替代 V1、V2 版本，并啟用 MD5 校驗(yàn)等功能。l 應(yīng)調(diào)整內(nèi)核參數(shù)打開(kāi)“TCP隨機(jī)序列號(hào)”功能。4、文件系統(tǒng)策略l 盡量使系統(tǒng) root 用戶初始創(chuàng)建權(quán)限(umask)為077。l 盡量使用磁盤(pán)配額管理功能。l 去除適當(dāng)文件的 set-uid 和 set-gid 位。l 應(yīng)限制 /etc 目錄的可寫(xiě)權(quán)限。l 增強(qiáng)對(duì)關(guān)鍵文件的執(zhí)行權(quán)限控制。l 為不同的掛載點(diǎn)指派不同的屬性。5、日志