信息安全等級測評師考試重點梳理

1、第一章 網(wǎng)絡(luò)平安測評網(wǎng)絡(luò)全局1.1 構(gòu)造平安 G3a) 應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)頂峰期需要；b) 應(yīng)保證網(wǎng)絡(luò)各個局部的帶寬滿足業(yè)務(wù)頂峰期需要；c) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)效勞器之間進展路由控制建立平安的訪問路徑； 靜態(tài)動態(tài)路 由、動態(tài)路由協(xié)議認證功能。 ospf 開放最短路徑優(yōu)先d) 應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓撲構(gòu)造圖；e) 應(yīng)根據(jù)各部門的工作職能、 重要性和所涉及信息的重要程度等因素， 劃分不同的子 網(wǎng)或網(wǎng)段，并按照方便管理和控制的原那么為各子網(wǎng)、網(wǎng)段分配地址段；VLAr劃分f) 應(yīng)防止將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采

2、取可靠的技術(shù)隔離手段； 在網(wǎng)絡(luò)邊界處部署：防火墻、網(wǎng)閘、或邊界網(wǎng)絡(luò)設(shè)備 配置并啟用 acl g) 應(yīng)按照對業(yè)務(wù)效勞的重要次序來指定帶寬分配優(yōu)先級別， 保證在網(wǎng)絡(luò)發(fā)生擁堵的時 候優(yōu)先保護重要主機。 檢查防火墻是否存在策略帶寬配置注釋：1靜態(tài)路由 是指由網(wǎng)絡(luò)管理員手工配置的路由信息，當(dāng)網(wǎng)絡(luò)的拓撲構(gòu)造或鏈路的狀態(tài)發(fā)生變化時，網(wǎng)絡(luò)管理員需要手工修改路由表中相關(guān)的靜態(tài)路由信息。2 動態(tài)路由 是指路由器能夠自動地建立自己的路由表，并且能夠根據(jù)實際情況的變化適時的進展調(diào) 整。動態(tài)路由機制的運作依賴路由的兩個根本功能：對路由表的維護和路由器之間適時的路由信 息交換。路由器之間的信息交換是基于路由協(xié)議實現(xiàn)的，如

3、 ospf 路由協(xié)議是一種典型的鏈路狀態(tài) 路由協(xié)議，它通過路由器之間通告網(wǎng)絡(luò)接口的狀態(tài)，來建立鏈路狀態(tài)數(shù)據(jù)庫，生成最短路徑樹，每個ospf路由器使用這寫最短路徑構(gòu)造路由表。如果使用動態(tài)路由協(xié)議應(yīng)配置使用路由協(xié)議認證 功能，保證網(wǎng)絡(luò)路由平安。3 vlan 是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯而不是物理劃分成不同子網(wǎng)從而實現(xiàn)虛擬工作組的新技術(shù)。不同Vian內(nèi)的報文在傳輸時是相互隔離的。如果不同Vian要進展通信，那么需要通過路由器或三層交換機等三層設(shè)備實現(xiàn)。思科華為4 是否存在路由協(xié)議認證： show running-config dispiay current-configuration查看 Vian

4、 劃分情況： show Vian dispiay Vian aii1.2 邊界完整性檢查 S3a) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進展檢查， 準確定出位置， 并對其進 展有效阻斷； 技術(shù)手段 :網(wǎng)絡(luò)接入控制、 關(guān)閉網(wǎng)絡(luò)未使用的端口、 ip/mac 地址綁定； 管理措施 ： 進入機房全程陪同、紅外視頻監(jiān)控b) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進展檢查， 準確定出位置， 并對其 進展有效阻斷。 方法：非法外聯(lián)監(jiān)控功能、非法外聯(lián)軟件 1.3 入侵防范 G3a) 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為： 端口掃描、強力攻擊、木馬后門攻擊、 拒絕效 勞攻擊、緩沖區(qū)溢出攻擊、 IP 碎片攻擊和

5、網(wǎng)絡(luò)蠕蟲攻擊等； 入侵防范的技術(shù) ：入侵 檢測系統(tǒng) IDS ，包含入侵防范模塊的多功能平安網(wǎng)關(guān) UTM b) 當(dāng)檢測到攻擊行為時，記錄攻擊源IP 、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時應(yīng)提供報警。 報警方式 ：短信、郵件、聲光報警等 注釋：1入侵檢測的分類 ：主動入侵檢測、被動入侵檢測。主動入侵檢測 ：在攻擊的同時檢測到。它會查找的攻擊模式或命令，并阻止這些命令的執(zhí)行。被動入侵檢測 ：攻擊之后的檢測。 只有通過檢查日志文件， 攻擊才得以根據(jù)日志信息進展復(fù)查和再現(xiàn)。2 多功能平安網(wǎng)關(guān)的功能： 防火墻、虛擬防火墻、入侵檢測和防御、防病毒、防垃圾郵件、p2p 流量控制、 URL 過濾等

6、功能。1.4 惡意代碼防范 G3防惡意代碼產(chǎn)品 ：防病毒網(wǎng)關(guān)、 包含防病更新方式 ：自動遠程更新、 手動遠程更新、a) 應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進展檢測和去除。 毒模塊的多功能平安網(wǎng)關(guān)、網(wǎng)絡(luò)版防病毒系統(tǒng)等 b) 應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。 手動本地更新等 訪問控制G3 路由器、交換機、防火墻、入侵檢測系統(tǒng) /防御系統(tǒng)a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備， 啟用訪問控制功能； 訪問控制設(shè)備 ：網(wǎng)閘、防火墻、 路由器、三層路由交換機等 b) 應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；路由器通過配置合理的訪問控制列表 ACL c) 應(yīng)對進出網(wǎng)絡(luò)的信息內(nèi)

7、容進展過濾，實現(xiàn)對應(yīng)用層、SMTP、POP3 等協(xié)議命令級的控制； 一般實現(xiàn)方式 ：防火墻 d) 應(yīng)在會話處于非活潑一定時間或會話完畢后終止網(wǎng)絡(luò)連接；5 一般在防火墻上實現(xiàn) e) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；g) 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)那么， 訪問，控制粒度為單個用戶； 4h) 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。2 一般在防火墻上實現(xiàn) 3決定允許或拒絕用戶對受控系統(tǒng)進展資源路由或相關(guān)設(shè)備應(yīng)提供限制具有撥號訪問權(quán)限的用戶數(shù)量的相關(guān)功能 注釋：1 ) 路由器上配置合理的訪問列表 為數(shù)據(jù)流提供明確的允許 / 拒絕訪問的能力，對進出網(wǎng)絡(luò)的流量進展

8、 過濾。流入流量過濾：用于過濾掉一些源ip不是公網(wǎng)ip的數(shù)據(jù)包，同時也用于限制外部對內(nèi)部網(wǎng) 絡(luò)效勞的訪問。 流出流量過濾 ：用于防止由單位內(nèi)部機器發(fā)出的偽造源 ip 的攻擊數(shù)據(jù)流。2 限制網(wǎng)絡(luò)的最大流量的方法 ：路由器、交換機可根據(jù) ip 地址、端口、協(xié)議來限制應(yīng)用數(shù)據(jù)流的最 大流量，還可以根據(jù) ip 地址來限制網(wǎng)絡(luò)連接數(shù)，從而保證業(yè)務(wù)帶寬不被占用，業(yè)務(wù)系統(tǒng)可以對外正 常提供效勞。 路由器的帶寬策略 一般采用分層的帶寬管理機制，管理員可以通過設(shè)置細粒度的帶寬 策略，對數(shù)據(jù)報文做帶寬限制和優(yōu)先級別設(shè)定，還可以通過源地址、目的地址、用戶和協(xié)議四個方面 來限制帶寬。show running-conf

9、ig display acl config al23 地址欺騙可以是 mac 地址，也可以是 ip 地址。目前發(fā)生比擬多的是 arp 地址欺騙， arp 地址欺騙是 mac 地址欺騙的一種。 Arp 地址解析協(xié)議是一種位于 TCP/IP 協(xié)議棧中的低層協(xié)議，負責(zé)將某個 IP 地 址解析成對應(yīng)的 MAC 地址。ARP的分類：截獲網(wǎng)關(guān)數(shù)據(jù)。它通知網(wǎng)絡(luò)設(shè)備一系列錯誤的MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在網(wǎng)絡(luò)設(shè)備中，結(jié)果網(wǎng)絡(luò)設(shè)備的所有數(shù)據(jù)只能發(fā)給錯誤的 MAC 地址，造成正常 pc 無法收到信息。偽造網(wǎng)關(guān)。建立假網(wǎng)關(guān)，讓被他欺騙的pc向假網(wǎng)關(guān)發(fā)送數(shù)據(jù)，而不是通過正常

10、的途徑上網(wǎng)。一般來說， arp 欺騙攻擊的后果很嚴重，大多數(shù)情況下會造成大面積掉線。解決方法：O在網(wǎng)絡(luò)設(shè)備中把所有pc的ip-mac輸入一個靜態(tài)表中，這叫ip-mac綁定；在內(nèi)網(wǎng)所有 pc上設(shè)置網(wǎng)管的靜態(tài) arp信息，這叫pc ip-mac綁定Show ip arpdisplay arp4) 通過配置用戶、用戶組，并結(jié)合訪問控制規(guī)那么可以實現(xiàn)對認證成功的用戶允許訪問受控資源show crypto isakmp policy； show crypto ipsec transform-set； show ip access-list。Display ipsec5) 當(dāng)惡意用戶進展網(wǎng)絡(luò)攻擊時，有時會

11、發(fā)起大量會話連接，建立會話后長時間保持狀態(tài)連接，從而占用 大量網(wǎng)絡(luò)資源，最終將網(wǎng)絡(luò)資源耗盡的情況。因此應(yīng)在會話終止或長時間無響應(yīng)的情況下終止網(wǎng)絡(luò)連 接，釋放被占用網(wǎng)絡(luò)資源，保證業(yè)務(wù)可以被正常訪問。一般在防火墻上實現(xiàn)。平安審計G3路由器、交換機、防火墻、入侵檢測系統(tǒng)/防御系統(tǒng)a) 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進展日志記錄；b) 審計記錄應(yīng)包括：事件的日期和時間、用戶、 事件類型、 事件是否成功及其他與審 計相關(guān)的信息；c) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進展分析，并生成審計報表；d) 應(yīng)對審計記錄進展保護，防止受到未預(yù)期的刪除、修改或覆蓋等。 注釋：查看日志記錄情況 ： show

12、logging display current-configuration網(wǎng)絡(luò)設(shè)備防護G3 路由器、交換機、防火墻、入侵檢測系統(tǒng)/防御系統(tǒng)a) 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進展身份鑒別； 1b) 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進展限制； 2c) 網(wǎng)絡(luò)設(shè)備用戶的標識應(yīng)唯一；d) 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進展身份鑒別；采用方法：雙因子鑒別 e) 身份鑒別信息應(yīng)具有不易被冒用的特點，口令應(yīng)有復(fù)雜度要求并定期更換；使用口令的組成、長度和更改周期。對儲存在配置文件中的所有口令和類似數(shù)據(jù)進展加密，可以防 止通過讀取配置文件而獲取明文口令 f) 應(yīng)具有登錄失敗處理功能， 可采取完畢

13、會話、 限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接 超時自動退出等措施；可以利用命令配置 VTY 的超時，防止一個空閑的任務(wù)一直占用 VTY ， 從而防止惡意攻擊或遠端系統(tǒng)的意外崩潰導(dǎo)致的資源獨占。 g) 當(dāng)對網(wǎng)絡(luò)設(shè)備進展遠程管理時， 應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被 竊聽；不應(yīng)當(dāng)使用明文傳送的 telnet、 效勞，而應(yīng)當(dāng)采用 ssh、s 等加密協(xié)議等方式進展交互式管理 h) 應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限別離。 應(yīng)根據(jù)實際需要為用戶分配完成其任務(wù)的最小權(quán)限 注釋：1 用戶登錄路由器、交換機的方式：利用控制臺端口 console通過串口進展本地連接登錄；利用輔助端口 AUX丨通過MODEM進展遠

14、程撥號鏈接登錄；MODEM 調(diào)制解調(diào)器實現(xiàn)數(shù)字信號和模擬信號之間的轉(zhuǎn)換。(5利用虛擬終端VTY丨通過TCP/IP網(wǎng)絡(luò)進展遠程 Telnet登錄等。無論那種登錄方式， 都需要對用戶身份進展鑒別， 口令是路由器用來防止非授權(quán)訪問的常用手段，是路 由器本身平安的一局部。因此需要加強對路由器口令的管理，包括口令的設(shè)置、儲存，最好的口令存儲方法是保存在TACACS+或RADIUS認證效勞器上。管理員應(yīng)當(dāng)依據(jù)需要為路由器相應(yīng)的端口加上身份 鑒別最根本的平安控制。路由器、交換機的口令平安包括兩類 ：設(shè)置登錄口令和設(shè)置使能口令特權(quán)密碼 。當(dāng)為特權(quán)用戶設(shè)置 口令時，應(yīng)當(dāng)使用 enable secret命令，該命

15、令用于設(shè)定具有管理員權(quán)限的口令，enable secret命令采用的是 MD5 算法，這種算法比 enable password 加密算法強，不容易被破解。show running-config display current-configuration2 為了保證網(wǎng)絡(luò)管理員對路由器平安訪問的同時，防止其他人的未授權(quán)訪問，最好的方法是 采用帶外管理，使用專用的管理終端和通訊路徑，將管理數(shù)據(jù)流和其他數(shù)據(jù)流分開，能夠有效地增加平安性。利用ip access-class限制訪問VTY虛擬終端的IP地址范圍。同時由于 VTY勺數(shù)目有一定的限制，當(dāng)所有的vty用完，就不能再建立遠程的網(wǎng)絡(luò)連接了，通過限制

16、登錄地址，限制能夠防止DO敦擊拒絕服務(wù)攻擊。3 雙因子鑒別 不僅需要訪問者知道一些信息，還需要訪問者擁有鑒別特征，如：令牌、智能卡、數(shù)字證書和生物信息等。第二章 主機平安測評身份鑒別S3操作系統(tǒng)測評、數(shù)據(jù)庫系統(tǒng)測評a) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進展身份標識和鑒別；1b) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應(yīng)具有不易被冒用的特點， 口令應(yīng)有復(fù)雜 度要求并定期更換； 2c) 應(yīng)啟用登錄失敗處理功能， 可采取完畢會話、 限制非法登錄次數(shù)和自動退出等措施d) 當(dāng)對效勞器進展遠程管理時， 應(yīng)采取必要措施， 防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被 竊聽；e) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同

17、的用戶名，確保用戶名具有唯一 性。f) 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進展身份鑒別。注釋：1 身份標識和鑒別就是用戶向系統(tǒng)以一種平安的方式提交自己的身份證實，然后由系統(tǒng)確認用戶的身 份是否屬實的過程。 linux 用戶的口令經(jīng)過加密處理后存放于 /etc/passwd 文檔中。現(xiàn)在的 linux 系統(tǒng) 中口令不再直接保存在 passwd文件中，通常將passwd文件中的口令字段使用一個“ x"來代替，將 /etc/shadow作為真正的口令文件，用于保存包括個人口令在內(nèi)的數(shù)據(jù)。淡然，shadow文件時不能被普通用戶讀取的，只有超級用戶才有權(quán)讀取。在root權(quán)限下，使用命

18、令 more、cat、vi查看/etc/passwd 和 /etc/shadow 文件中各用戶名的狀態(tài)。以 root 身份登錄進入 linux 。 #cat/etc/passwd #cat/etc/shadow2丨控制和監(jiān)視密碼是不可缺少的。在 windows中，如設(shè)置密碼歷史記錄、設(shè)置密碼最常使用期限、設(shè)置 密碼最短使用期限、設(shè)置最短密碼長度，設(shè)置密碼復(fù)雜性要求。Linux 中的 /etc/login.defs 是登錄程序的配置文件 ，在這里我們可以配置 最大過期天數(shù)，密碼的 最大長度 約束等內(nèi)容。由于該文件對 root 用戶無效，如果 /etc/shadow 文件里有一樣的選項，那么以 /

19、etc/shadow 里的設(shè)置為準，也就是說 /etc/shadow 的配置優(yōu)先級別高于 /etc/login.defs 。 以root身份登錄進入linux。#more/etc/login.defsPASS-MAX-DAYS 90 # 登錄密碼有效期 90天PASS-MIN-DAYS 0 # 登錄密碼最短修改時間， 設(shè)置為 0，那么禁用此功能。 防止非法用戶短期修改屢次。 PASS-MIN-LEN 8 # 登錄密碼最小長度 8位PASS-WARN-AGE 7 # 登錄密碼過期提前 7天提示修改FAIL-DELAY 10# 登錄錯誤時等待時間 10秒FAILLOG-ENAB yes # 登錄錯

20、誤記錄到日志SYSLOG-SU-ENAB yes # 當(dāng)限定超級用戶管理日志時使用SYSLOG-SG-ENAB yes # 當(dāng)限定超級用戶組管理日志時使用MD5-CRYPT-ENAB yes # 當(dāng)使用MD5勺加密方法時使用3 ）windows 操作系統(tǒng)具備了登錄失敗處理功能，可以通過適當(dāng)?shù)呐渲谩百~戶鎖定策略來對用戶的的登 錄進展限制，如賬戶鎖定闕值、賬戶鎖定時間、復(fù)位賬戶鎖定計數(shù)器等。當(dāng)?shù)卿浭〈螖?shù)超過管理員 指定值時可以禁用該賬戶。賬戶鎖定闕值 ：確定用戶賬戶被鎖定的登錄嘗試失敗的次數(shù)， 在管理員重置鎖定賬戶或賬戶鎖定時期 滿之前，無法使用該鎖定賬戶，次數(shù)可介于 0-999 之間，如果將值

21、置為 0，那么永遠不會鎖定賬戶。 賬戶鎖定時間 ：確定鎖定賬戶在自動解鎖前，保持鎖定的分鐘數(shù)，可用范圍 0-99,999. 如果將鎖定時 設(shè)置為 0，賬戶將被一直鎖定，指導(dǎo)管理員明確對它的鎖定。如果定義了賬戶鎖定闕值，那么賬戶鎖 定時間必須大于等于重置時間。 復(fù)位賬戶鎖定計數(shù)器 ：確定在某次登錄嘗試失敗之后將登錄嘗試失敗計數(shù)器重置為0次錯誤登錄嘗試之前需要的時間?？捎梅秶?1 到 99,999 分鐘。如果定義了帳戶鎖定閾值，此重置時間必須小于 或等于帳戶鎖定時間。只有在指定了帳戶鎖定閾值時，此策略設(shè)置才有意義。4linux系統(tǒng)具有調(diào)用PAM應(yīng)用程序可以用來認證用戶、登錄效勞、屏保等功能，其中

22、的一個重要的文件/etc/pam.d/system-auth，它是pam-stack.so模塊的標準控制文件，在這個文件中可以通過配置參數(shù)，設(shè)置登錄失敗斷開連接的次數(shù)等。要獲得最大程度的平安性，建議在3-5 次登錄嘗試失敗后鎖定賬戶，且不要在 30分鐘內(nèi)重新啟用該賬戶，并將鎖定時間設(shè)置為“永久鎖定直到管理員解開鎖定在linux 操作系統(tǒng)中，以root身份登錄進入linux的命令：#cat/etc/pam.d/system-auth查看是否存在“ account required/lib/security/pam-tally.so deny=5 no-magic-root reset5 ）在li

23、nux操作系統(tǒng)中：以root身份登錄linux 。首先查看是否安裝 SSH勺相應(yīng)的包：#rpm -aq|grep ssh或查看是否安裝 SSH勺相應(yīng)包：# service -status-all | grep sshd 如果已經(jīng)安裝那么查看相關(guān)的端口是否翻開： # netstat -an|grep sshd 22 假設(shè)未使用SSHT式進展遠程管理，那么查看是否使用了Telnet方式進展遠程管理：# service -status-all | grep running查看是否存在 Telnet 效勞。數(shù)據(jù)庫系統(tǒng)Sql 查看是否存在空口令用戶 ： select * from syslogins w

24、here password is nullOracle 查看是否啟用口令復(fù)雜度函數(shù) select limit from dba-profiles where profile=“ DEFAULTand resource-name= PASSWORD-VERIFY-FUNTI'ON登錄失敗嘗試次數(shù)的 限制 select limit from dba-profiles where profile= “ DEFAULT and resource-name="FAILED-LOGIN-ATTEMPTS"（值為 unlimited 表示沒有限制）口令鎖定時間的設(shè)置語句 sele

25、ct limit from dba-profiles where profile=“DEFAULT andresource-name="PASSWORD-LOCK-TIME'值為 unlimited 表示沒有限制）訪問控制S3操作系統(tǒng)測評、數(shù)據(jù)庫系統(tǒng)測評a）應(yīng)啟用訪問控制功能，依據(jù)平安策略控制用戶對資源的訪問；b）應(yīng)根據(jù)管理用戶的角色分配權(quán)限， 實現(xiàn)管理用戶的權(quán)限別離， 僅授予管理用戶所需 的最小權(quán)限； 2c) 應(yīng)實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限別離；3d) 應(yīng)嚴格限制默認帳戶的訪問權(quán)限， 重命名系統(tǒng)默認帳戶， 修改這些帳戶的默認口令；e) 應(yīng)及時刪除多余的、過期的帳戶

26、，防止共享帳戶的存在。f) 應(yīng)對重要信息資源設(shè)置敏感標記； 4g) 應(yīng)依據(jù)平安策略嚴格控制用戶對有敏感標記重要信息資源的操作；注釋：1 訪問控制是平安防范和保護的主要策略，它不僅僅用于網(wǎng)絡(luò)層面，同樣也適用于主機層面。它的 主 要任務(wù) 是保證系統(tǒng)資源不被非法使用和訪問，使用訪問控制的 目的 在于通過限制用戶對特定資源的 訪問，來保護系統(tǒng)資源。在操作系統(tǒng)中的每一個文件和目錄都包含有訪問權(quán)限，這些訪問權(quán)限決定 了誰能訪問和如何訪問這些文件和目錄。對于 linux 中的一些重要文件，應(yīng)檢查 linux 系統(tǒng)主要的權(quán) 限設(shè)置情況，對于 配置文件 權(quán)限值不能大于 644，對于可執(zhí)行文件不能大于 755.以

27、root身份登錄進入linux，使用命令：Is -I文件名，查看重要文件和目錄權(quán)限設(shè)置是否合理，如：#ls -l/etc/passwd #744查看共享情況，在命令行模式下輸入 net share 查看注冊表：HKEY-LOCAL-MACHINESYSTEMCurrentControlSetControllsarestrictanony mous值是否為 00表示共享2 根據(jù)管理用戶的角色對權(quán)限做出標準細致的劃分，有利于各崗位細致協(xié)調(diào)的工作。同時對授權(quán)模塊進展一些授權(quán)管理，并且系統(tǒng)的授權(quán)平安管理工作要做到細致，今授予管理用戶所需的最小權(quán)限，避 免出現(xiàn)權(quán)限的漏洞，使一些高級用戶擁有過大的權(quán)限。3

28、 操作系統(tǒng)特權(quán)用戶 可以擁有以下權(quán)限：安裝和配置系統(tǒng)的硬件和軟件、建立和管理用戶賬戶、升級軟件、備份和恢復(fù)等業(yè)務(wù)，從而保證操作系統(tǒng)的可用性、完整性和平安性。數(shù)據(jù)庫系統(tǒng)特權(quán)用戶 對數(shù)據(jù)庫的安裝、配置、升級和遷移以及數(shù)據(jù)庫用戶的管理，從而保證數(shù)據(jù)庫 系統(tǒng)的可用性、完整性平安性。將操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限別離，能夠防止一些特權(quán)用戶擁有過大的權(quán)限以及減少一些 認為的誤操作，做到職責(zé)清楚。4 敏感標記 ：是強制訪問控制的依據(jù)，主客體都有，它存在的形式無所謂，可能是整形的數(shù)字，也肯能是字母， 他表示主客體的平安級別。 敏感標記是由強認證的平安管理員進展設(shè)置的， 通過對重要信息資 源設(shè)置敏感標記，

29、決定主體以何種權(quán)限為客體進展操作，實現(xiàn)強制訪問控制。數(shù)據(jù)庫Sql 中查看是否存在多余過期的賬戶 ： select from sysloginsoracle 中查看是否存在多余過期的賬 戶： select username ， account-status from dba-users 查看是否安裝 oracle label security 模塊： select username from dba-users 查看是否創(chuàng)立策略 ： select policy_name ， status from DBA-SA-POLICIES 查看是否創(chuàng)立級別 ： select * from dba-sa-l

30、evels order by lever-num 查看標簽創(chuàng)立情況 ： select * from dba-sa-label查看策略與模式、表的對應(yīng)關(guān)系 ： select * from dba-sa-tabel-policies；判斷是否針對重要信息資源設(shè)置敏感標簽。平安審計G3 操作系統(tǒng)測評、數(shù)據(jù)庫系統(tǒng)測評a) 審計范圍應(yīng)覆蓋到效勞器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶； 1b) 審計內(nèi)容應(yīng)包括重要用戶行為、 系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng) 內(nèi)重要的平安相關(guān)事件； 2c) 審計記錄應(yīng)包括事件的日期、時間、類型、主體標識、客體標識和結(jié)果等；d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進展分析

31、，并生成審計報表；e) 應(yīng)保護審計進程，防止受到未預(yù)期的中斷；4f) 應(yīng)保護審計記錄，防止受到未預(yù)期的刪除、修改或覆蓋等。5注釋：1 )以 root 身份登錄進入 Linux ，查看效勞進程：系統(tǒng)日志效勞 #service syslog status#service audit status或 #service -status-all|grep auditd2 在 linux 中 /etc/audit/audit.conf文件制定如何寫入審查記錄以及在那里寫入、日志超出可用磁盤空間后如何處理等內(nèi)容。 /etc/audit/ 和/etc/audit/filters.conf指定內(nèi)核用來判定系統(tǒng)調(diào)

32、用是否要審查的規(guī)那么。3丨在linux操作系統(tǒng)中，使用aucat和augrep工具查看審計日志：#aucat|tail-100 # 查看最近的 100條審計記錄；#augrep -e TEXT -U AUTH-success #查看所有成功 PAM授權(quán)。4 )在Linux中，Auditd是審計守護進程，syslogd是日志守護進程，保護好審計進程當(dāng)事件發(fā)生時，能及時記錄事件發(fā)生的詳細內(nèi)容。5 非法用戶進入系統(tǒng)后的第一件事情就是去清理系統(tǒng)日志和審計日志，而發(fā)現(xiàn)入侵的最簡單最直接的方法就是去看系統(tǒng)記錄和平安審計文件。數(shù)據(jù)庫Oracle 查看是否開啟審計功能 ： select value from

33、v$paramater where name='audit-trail'或Show parmeter audit-trail查看是否對所有 sys用戶的操作進展了記錄： show parameter audit-sys-operation查看是否對 sel ， upd， del ins 操作進展了審計： select sel ， upd， del ins from dba-obj-audit-opts 查看審計是否設(shè)置成功： select * from dba-stmt-audit-opts查看權(quán)限審計選項： select * from dba-priv-audit-opts剩

34、余信息保護S3操作系統(tǒng)測評a) 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間， 被釋放或再分配給 其他用戶前得到完全去除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)確保系統(tǒng)內(nèi)的文件、 目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間， 被釋放或重新分 配給其他用戶前得到完全去除。入侵防范G3 操作系統(tǒng)測評a) 應(yīng)能夠檢測到對重要效勞器進展入侵的行為，能夠記錄入侵的源IP 、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；b) 應(yīng)能夠?qū)χ匾绦虻耐暾赃M展檢測， 并在檢測到完整性受到破壞后具有恢復(fù)的措 施；c) 操作系統(tǒng)應(yīng)遵循最小安裝的原那么， 僅安裝需要的組件和應(yīng)用程序

35、， 并通過設(shè)置升 級效勞器等方式保持系統(tǒng)補丁及時得到更新。 涉及的兩個方面系統(tǒng)效勞和監(jiān)聽端口， 補丁升級，對多余的系統(tǒng)效勞可以禁用或卸載 注釋：1 入侵威脅 分為：外部滲透、內(nèi)部滲透和不法行為。入侵行為 分為：物理入侵、系統(tǒng)入侵和遠程入侵。造成入侵威脅的入侵行為 主要是 系統(tǒng)入侵和遠程入侵兩種。系統(tǒng)入侵 指入侵者在擁有系統(tǒng)的一個低級賬號權(quán)限下進展的破壞活動。如果系統(tǒng)沒有及時更新最 近的補丁程序，那么擁有低級權(quán)限的用戶就可能利用系統(tǒng)漏洞獲取更高的管理權(quán)限遠程入侵 指入侵者通過網(wǎng)絡(luò)滲透到一個系統(tǒng)中，這種情況下，入侵者通常不具備任何特殊權(quán)限，他 們要通過漏洞掃描或端口掃描等技術(shù)發(fā)現(xiàn)攻擊目標，再利用相

36、關(guān)技術(shù)執(zhí)行破壞活動。2 查看入侵的重要線索的命令： #more/var/log/secure|grep refused查看是否啟用了主機防火墻、 RCP SY保護機制等設(shè)置的命令：find/-name<daemon name>-print檢查是否安裝了一下主機入侵檢測軟件。3 ) 監(jiān)聽端口的命令： netstat -an確認系統(tǒng)目前正在運行的效勞： #service -status-all|grep running查看補丁安裝情況的命令： #rpm-qa|grep patch惡意代碼防范G3 操作系統(tǒng)測評a) 應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；b) 主

37、機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。 統(tǒng)一更新，定時查殺 資源控制A3操作系統(tǒng)測評、數(shù)據(jù)庫系統(tǒng)測評 a、b、da) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；1b) 應(yīng)根據(jù)平安策略設(shè)置登錄終端的操作超時鎖定；2c) 應(yīng)對重要效勞器進展監(jiān)視，包括監(jiān)視效勞器的 CPU硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使 用情況；d) 應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度；e) 應(yīng)能夠?qū)ο到y(tǒng)的效勞水平降低到預(yù)先規(guī)定的最小值進展檢測和報警。3注釋：1 系統(tǒng)資源是指CPU存儲空間、傳輸帶寬等軟硬件資源。應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終

38、端登錄，可以極大地節(jié)省系統(tǒng)資源，保證了 系統(tǒng)的可用性，同時也提高了系統(tǒng)的平安性。Windows 系統(tǒng)可以通過主機防火墻或 TCP/IP 篩選來實現(xiàn)以上功能，在 linux 系統(tǒng)中存在/etc/hosts.allow和 /etc/hosts.deny兩個文件，它們是 tcpd 效勞器的配置文件， tcpd 效勞器可以控制外部 IP 對本機效勞的訪問。其中 /etc/hosts.allow 控制可以訪問本機的 IP,/etc/hosts.deny 控制 制止訪問本機的 IP ，如果兩個文件的配置有沖突，以 /etc/hosts.deny 為準。2 假設(shè)是通過遠程終端進展連接 windows 效勞器

39、系統(tǒng)，可以通過設(shè)置超時連接來限制終端操作超時； 假設(shè)是本地登錄，那么通過開啟帶有密碼功能屏幕保護。3丨如磁盤空間缺乏、CPI利用率過高、硬件發(fā)生故障等，通過報警機制，將問題現(xiàn)象發(fā)送給相關(guān)負責(zé)人，及時定位引起問題的原因和對異常情況進展處理，從而防止故障的發(fā)生或?qū)⒂绊憸p小到最低。數(shù)據(jù)庫Sql 查看是否設(shè)置了超時時間 : 在查詢分析器中執(zhí)行命令 sp-configure 'remote login timeout（s）'Oracle 查看空閑超時設(shè)置 ： select limit from dba-profiles where profile=“ DEFAULT andresourc

40、e-name="IDLE-TIME"（ 值為 unlimited 表示沒有限制 ）確定用戶使用的 profile ，針對指定用戶的 profile ，查看其限制 以 defaut 為例：select username ， pro dba-users查看是否對每個用戶所允許的并行會話數(shù)進展了限制 ： select limit from dba-profiles where profile= “ DEFAULT and resource-name="SESSION-PER-USERS"（ 值為 unlimited 表示沒有限制 ）查看是否對一個會話可以使用的

41、CPU寸間進展了限制：select limit from dba-profiles whereprofile= “ DEFAULT and resource-name="CPU-PER-SESSION"（ 值為 unlimited 表示沒有限制 ） 查看是否對允許空閑會話的時間進展了限制： select limit from dba-profiles where profile=“DEFAULT and resource-name="IDLE-TIME"（ 值為 unlimited 表示沒有限制 ）第三章 應(yīng)用平安3.1 身份鑒別 S3a) 應(yīng)提供專用的

42、登錄控制模塊對登錄用戶進展身份標識和鑒別；b) 應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別；c) 應(yīng)提供用戶身份標識唯一和鑒別信息復(fù)雜度檢查功能， 保證應(yīng)用系統(tǒng)中不存在重復(fù) 用戶身份標識，身份鑒別信息不易被冒用；d) 應(yīng)提供登錄失敗處理功能， 可采取完畢會話、 限制非法登錄次數(shù)和自動退出等措施；e) 應(yīng)啟用身份鑒別、 用戶身份標識唯一性檢查、 用戶身份鑒別信息復(fù)雜度檢查以及登 錄失敗處理功能，并根據(jù)平安策略配置相關(guān)參數(shù)。3.2 訪問控制 S3a) 應(yīng)提供訪問控制功能，依據(jù)平安策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它

43、們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權(quán)限；d) 應(yīng)授予不同帳戶為完成各自承當(dāng)任務(wù)所需的最小權(quán)限， 并在它們之間形成相互制約 的關(guān)系。e) 應(yīng)具有對重要信息資源設(shè)置敏感標記的功能；f) 應(yīng)依據(jù)平安策略嚴格控制用戶對有敏感標記重要信息資源的操作；3.3 平安審計 G3a) 應(yīng)提供覆蓋到每個用戶的平安審計功能，對應(yīng)用系統(tǒng)重要平安事件進展審計；b) 應(yīng)保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄； (1)c) 審計記錄的內(nèi)容至少應(yīng)包括事件的日期、 時間、 發(fā)起者信息、 類型、描述和結(jié)果等；d) 應(yīng)提供對審計記錄數(shù)據(jù)進展統(tǒng)計、查詢、分析及生成審計報表的功能

44、。注釋：1 ) 應(yīng)用系統(tǒng)應(yīng)對審計進程或功能進展保護，如果處理審計的事務(wù)是一個單獨的進程，那么應(yīng)用系統(tǒng)對審 計進程進展保護，不允許非授權(quán)用戶對進程進展中斷；如果審計是一個獨立的功能，那么應(yīng)用系統(tǒng)應(yīng)防 止非授權(quán)用戶關(guān)閉審計功能。應(yīng)用系統(tǒng)應(yīng)對審計記錄進展保護，防止非授權(quán)刪除、修改或覆蓋審計記錄。3.4 剩余信息保護 S3a) 應(yīng)保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全去除， 無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)保證系統(tǒng)內(nèi)的文件、 目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配 給其他用戶前得到完全去除。注釋：1 有的應(yīng)用系統(tǒng)將用戶的鑒別信息放在內(nèi)存中進展處理

45、，處理完成后沒有及時將其去除，這樣其他的用戶通過一些非正常手段就有可能獲取該用戶的鑒別信息。2 有的應(yīng)用系統(tǒng)在使用過程中可能會產(chǎn)生一些臨時文件，這些臨時文件中可能會記錄一些敏感信息，當(dāng)將這些資源分配給其他用戶是我，其他用戶就可能獲取到這些敏感信息。3.5 通信完整性 S3 應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。 注釋：為了防止數(shù)據(jù)在傳輸時被修改或破壞，應(yīng)用系統(tǒng)必須確保通信過程中的數(shù)據(jù)完整性，通信雙方利用密 碼算法，來保證數(shù)據(jù)的完整性。3.6 通信保密性 S3a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進展會話初始化驗證；b) 應(yīng)對通信過程中的整個報文或會話過程進展加密。3.7 抗抵

46、賴 G3a) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。3.8 軟件容錯 A3a) 應(yīng)提供數(shù)據(jù)有效性檢驗功能， 保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格 式或長度符合系統(tǒng)設(shè)定要求；b) 應(yīng)提供自動保護功能， 當(dāng)故障發(fā)生時自動保護當(dāng)前所有狀態(tài)， 保證系統(tǒng)能夠進展恢 復(fù)。3.9 資源控制 A3a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)， 另一方應(yīng)能夠自動完 畢會話；b) 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進展限制；c) 應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進展限制；d) 應(yīng)能夠?qū)σ粋€時間段內(nèi)可

47、能的并發(fā)會話連接數(shù)進展限制；e) 應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；f) 應(yīng)能夠?qū)ο到y(tǒng)效勞水平降低到預(yù)先規(guī)定的最小值進展檢測和報警；g) 應(yīng)提供效勞優(yōu)先級設(shè)定功能， 并在安裝后根據(jù)平安策略設(shè)定訪問帳戶或請求進程的 優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。第四章 數(shù)據(jù)平安4.1 數(shù)據(jù)完整性 S3a) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破 壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施；重傳或其他方式b) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破 壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施。4.2 數(shù)

48、據(jù)保密性 S3a) 應(yīng)采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密 性；b) 應(yīng)采用加密或其他保護措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密 性。4.3 備份和恢復(fù) A3a) 應(yīng)提供本地數(shù)據(jù)備份與恢復(fù)功能， 完全數(shù)據(jù)備份至少每天一次， 備份介質(zhì)場外存放；b) 應(yīng)提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時批量傳送至備用場地；c) 應(yīng)采用冗余技術(shù)設(shè)計網(wǎng)絡(luò)拓撲構(gòu)造，防止關(guān)鍵節(jié)點存在單點故障；d) 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、 通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余， 保證系統(tǒng)的高可用性。 注釋：1 對數(shù)據(jù)進展備份，是防止數(shù)據(jù)遭到破壞后無法使用的最好方法。通過對數(shù)據(jù)采取

49、不同的備份方式和 形式等，保證系統(tǒng)重要數(shù)據(jù)在發(fā)生破壞后能夠被恢復(fù)。2 對于配置文件、應(yīng)用程序這類數(shù)據(jù)一般變化較小，一般是在其發(fā)生變化時才進展備份。而業(yè)務(wù)數(shù)據(jù) 由于其具有重要程度高、 變化快等特點， 它是備份的主題 如每天、 每小時等 批量傳送至備用場地。第五章 物理平安5.1 物理位置的選擇 G3a) 機房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；b) 機房和辦公場地應(yīng)防止在建筑物的頂層或地下室，以及用水設(shè)備的下層或隔壁。5.2 物理訪問控制 G3a) 機房出入口應(yīng)安排專人值守，控制、鑒別和記錄進入的人員；b) 需進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；c)

50、 應(yīng)對機房劃分區(qū)域進展管理， 區(qū)域和區(qū)域之間設(shè)置物理隔離裝置， 在重要區(qū)域前設(shè) 置交付或安裝等過渡區(qū)域；d) 重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員。 注釋：采取門禁、專人值守、專人陪同、審批登記、區(qū)域隔離等必要的措施，對機房的出入及人員進入機房 后的活動進展管理和控制5.3 防盜竊和防破壞 G3a)b)c)d)e)f) 注釋：應(yīng)將主要設(shè)備放置在機房內(nèi)； 應(yīng)將設(shè)備或主要部件進展固定，并設(shè)置明顯的不易除去的標記； 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中； 應(yīng)對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中； 應(yīng)利用光、電等技術(shù)設(shè)置機房防盜報警系統(tǒng)； 應(yīng)對機房設(shè)置監(jiān)控報警系統(tǒng)。機房安

51、裝視頻監(jiān)控和防盜報警系統(tǒng)，設(shè)備固定并粘貼標記，存儲介質(zhì)分類平安存放，通信線纜隱蔽鋪設(shè)5.4 防雷擊 G3a) 機房建筑應(yīng)設(shè)置避雷裝置；b) 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；c) 機房應(yīng)設(shè)置交流電源地線。注釋：機房建筑、機房內(nèi)部的電源線、信號線及電子設(shè)備采取必要的防雷措施5.5 防火 G3a) 機房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；b) 機房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料；c) 機房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。注釋：安裝消防設(shè)備和采用防火材料裝修機房，以及進展區(qū)域隔離防火措施5.6 防水和防潮 G3a)b)c)d) 注釋：

52、水管安裝,不得穿過機房屋頂和活動地板下； 應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透； 應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透； 應(yīng)安裝對水敏感的檢測儀表或元件,對機房進展防水檢測和報警。正確、合理設(shè)計機房內(nèi)的各種水、蒸汽或氣體管道，盡量避開主要設(shè)備，配備除濕裝置，安裝防水檢測 裝置及時發(fā)現(xiàn)水患隱情。5.7 防靜電 G3a)b) 注釋：主要設(shè)備應(yīng)采用必要的接地防靜電措施； 機房應(yīng)采用防靜電地板、防靜電工作臺。機房采用防靜電地板、防靜電工作臺、關(guān)鍵設(shè)備接地等。如果信息系統(tǒng)位于氣候枯燥、易產(chǎn)生靜電地區(qū)， 還應(yīng)檢查是否有靜電消除劑或靜電消除器等措施。氣候枯燥靜電極易產(chǎn)生。5.8 溫

53、濕度控制 G3 配備機房專用空調(diào)等溫、 濕度自動調(diào)節(jié)裝置， 保證機房溫度和濕度分別在設(shè)備運行所允 許的范圍之內(nèi)。注釋： 理想的空氣濕度范圍被定義在 40%-70% ；溫度 20度左右5.9 電力供給 A3a)b)c)d) 注釋：應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備； 應(yīng)提供短期的備用電力供給,至少滿足主要設(shè)備在斷電情況下的正常運行要求； 應(yīng)設(shè)置冗余或并行的電力電纜線路為計算機系統(tǒng)供電； 應(yīng)建立備用供電系統(tǒng)。在供電線路或設(shè)備上安裝穩(wěn)壓器或過電壓保護裝置，設(shè)置冗余或并行的電力電纜線路，為一些關(guān)鍵系統(tǒng)和設(shè)備配備不連續(xù)電源UPS和備份供電系統(tǒng)。電力波動對一些精細的電子配件造成嚴重物理損害,電力

54、供給的意外中斷會造成設(shè)備無法正常工作。5.10 電磁防護 S3a) 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；b) 電源線和通信線纜應(yīng)隔離鋪設(shè)，防止互相干擾；c) 應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽。注釋：設(shè)備外殼接地、電源線和通信線纜隔離鋪設(shè)、對關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽。電磁設(shè)備的電磁輻 射不僅會造成設(shè)備之間的相互干擾，也可能造成重要數(shù)據(jù)信息的泄露。一些線路鋪設(shè)和設(shè)計的不合理也 可能會造成電磁耦合與干擾，造成數(shù)據(jù)傳輸錯誤。第六章平安管理測評6.1平安管理制度應(yīng)制定信a)信榕平安基作網(wǎng)體絡(luò)和隱策患掃掃說明描構(gòu)平系工作統(tǒng)總體目標、范圍、原那么和平安框架等;b)c)應(yīng)對平安管理活動中的各

55、類管理內(nèi)容建立平安管理制度; 應(yīng)對要求管理人員或操作：行的勺日管理操作建立操作規(guī)程;d）應(yīng)形成由平安策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息平安管理制度體系。建立總體方針政策文件、各類管理制度、各種操作規(guī)程構(gòu)成的信息平安管理制度文件體系，總體平安方針政策說明機構(gòu)信息平安工作的使命和意愿、定義信息平安的總體目標、規(guī)定信息平安責(zé)任機構(gòu)和職責(zé)、建立信息平安工作運行模式等，平安管理制度對信息系統(tǒng)的建立、 開發(fā)、運維、升級和改造等各個階段和環(huán)節(jié)，所應(yīng)當(dāng)遵循的行為進展了標準。制定和發(fā)布G3a）應(yīng)指定或授權(quán)專門的部門或人員負責(zé)平安管理制度的制定;b）平安管理制度應(yīng)具有統(tǒng)一的格式，并進展版本控制;c）應(yīng)組織

56、相關(guān)人員對制定的平安管理件股份有限證和審定;d）平安管理制度應(yīng)通過正式、有效的方式發(fā)布； e平安管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進展登記。在相關(guān)部門的負責(zé)和指導(dǎo)下，嚴格按照制度制定的有關(guān)程序和方法，控制管理制度的起草、論證、評審和發(fā)布等環(huán)節(jié)。注釋：訪談平安主管，榕基軟解平、安管理制度制定的流程和方法，聯(lián)系方查看制度文檔的格式 1編號和要求是 地址：江蘇省南京市大光路 188號錦江麗舍1720室網(wǎng)址：否統(tǒng)一。查看平安管理制度的收發(fā)登記記錄是否符合規(guī)定的收發(fā)程序和發(fā)布范圍控制等要求。評審和修訂G3a）信息平安領(lǐng)導(dǎo)小組應(yīng)負責(zé)定期組織相關(guān)部門和相關(guān)人員對平安管理制度體系的合 理性和適用性進展審定；b）應(yīng)定期或不定期對平安管理制度進展檢查和審定，對存在缺乏或需要改良的平安管理制度進展修訂。c）平安管理機構(gòu)平安管理制度文件體系的適用性定期進展評審和修訂，尤其當(dāng)發(fā)生重大平安事故、出現(xiàn)新的漏洞及技術(shù)根底構(gòu)造發(fā)生變更時，需要對局部制度進展評審修訂。6.2 平安管理機構(gòu)