web系統(tǒng)安全管理規(guī)范

精品文檔精心整理精品文檔可編輯的精品文檔中國石油信息安全標準編號：中國石油天然氣股份有限公司W(wǎng)eb系統(tǒng)安全管理規(guī)范（審閱稿）版本號：V3審閱人：王巍中國石油天然股份有限公司W(wǎng)eb系統(tǒng)安全管理規(guī)范 精品文檔精心整理目錄第1章 概述 31.1 概述 31.2 目標 31.3 范圍 31.4 規(guī)范引用的文件或標準 41.5 術(shù)語和定義 4第2章 Web服務器操作系統(tǒng)的安全 72.1 Web服務器操作系統(tǒng)的安裝和配置安全規(guī)范 72.2 操作系統(tǒng)的安全測試 122.3 操作系統(tǒng)安全檢查表 13第3章 Web應用系統(tǒng)安全 153.1 Web應用系統(tǒng)安裝的安全 153.2 Web應用系統(tǒng)的訪問控制 163.3 Web應用系統(tǒng)的文件完整性檢查 193.4 Web應用系統(tǒng)安裝和配置的安全檢查表 20第4章 Web內(nèi)容安全 224.1 中國石油外部Web站點信息發(fā)布的安全規(guī)范 224.2 內(nèi)容和動態(tài)內(nèi)容生成的安全管理規(guī)范 244.3 Web內(nèi)容的安全檢查表 26第5章 Web網(wǎng)絡安全 285.1 物理安全 285.2 Web服務器的網(wǎng)絡位置 295.3 網(wǎng)絡組件的安全規(guī)則配置 32第6章 Web服務器系統(tǒng)運行管理安全 356.1 系統(tǒng)的更新和修補流程 356.2 系統(tǒng)日志 356.3 系統(tǒng)備份 376.4 系統(tǒng)恢復 396.5 Web服務器定期安全測試 406.6 Web系統(tǒng)的遠程管理 426.7 Web服務器安全管理檢查表 43第7章 員工使用Web的安全規(guī)范 457.1 員工使用Web的規(guī)范 457.2 用戶瀏覽Web站點時應遵守的規(guī)范 46附錄1 中國石油內(nèi)部網(wǎng)站信息發(fā)布審批表 48附錄2 參考資料 49附錄3 本規(guī)范用詞說明 50精品文檔精心整理概述概述Web系統(tǒng)是互聯(lián)網(wǎng)上信息交換的平臺，是中國石油對內(nèi)、對外交流的窗口，是企業(yè)員工獲取信息的重要渠道。Web服務器也是企業(yè)信息系統(tǒng)中最容易遭受攻擊的目標之一。為保護中國石油企業(yè)信息資產(chǎn)和信息系統(tǒng)安全，保障Web系統(tǒng)的保密性、可用性、完整性和可管理性特制定本規(guī)范。本規(guī)范從Web的技術(shù)、管理和人員使用三方面提出安全規(guī)定，包括Web服務器安全、Web服務器操作系統(tǒng)安全、Web內(nèi)容安全、Web服務器網(wǎng)絡安全和用戶使用安全。目標保障中國石油企業(yè)信息資產(chǎn)安全，保護Web系統(tǒng)的可用性、完整性和保密性，規(guī)范用戶安全使用Web。范圍本標準規(guī)定了中國石油Web系統(tǒng)的技術(shù)、管理和使用的安全。本標準適用于中國石油Web系統(tǒng)安全的維護和管理、內(nèi)容發(fā)布。規(guī)范引用的文件或標準下列文件中所包含的條款，通過本標準的引用而成為本標準的條款。本標準出版時，所示版均為有效。所有標準都會被修訂，使用本標準的各方應探討使用下列標準最新版本的可能性。GB17859-1999計算機信息系統(tǒng)安全保護等級劃分準則GB/T9387.2-1995信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型第二部分安全體系結(jié)構(gòu)（ISO7498.2:1989）GA/T387-2002計算機信息系統(tǒng)安全等級保護網(wǎng)絡技術(shù)要求《計算機信息網(wǎng)絡國際聯(lián)網(wǎng)安全保護管理辦法》《中華人民共和國計算機信息系統(tǒng)安全保護條例》《計算機信息網(wǎng)絡國際聯(lián)網(wǎng)保密管理規(guī)定》《中華人民共和國計算機信息網(wǎng)絡國際聯(lián)網(wǎng)管理暫行規(guī)定》《維護互聯(lián)網(wǎng)安全的決定》ISO/IECTR13355信息技術(shù)安全管理指南ISO/IECTR13355信息技術(shù)安全管理指南NIST信息安全系列——美國國家標準技術(shù)院英國國家信息安全標準BS7799信息安全基礎(chǔ)保護ITBaselineProtectionManual(Germany)BearingPointConsulting內(nèi)部信息安全標準RUSecure安全技術(shù)標準信息系統(tǒng)安全專家叢書CertificateInformationSystemsSecurityProfessional術(shù)語和定義訪問控制accesscontrol一種安全保證手段，即信息系統(tǒng)的資源只能由被授權(quán)實體按授權(quán)方式進行訪問，防止對資源的未授權(quán)使用。攻擊attack違反計算機安全的企圖。審計audit為了測試出系統(tǒng)的控制是否足夠,為了保證與已建立的策略和操作相符合,為了發(fā)現(xiàn)安全中的漏洞,以及為了建議在控制、策略中作任何指定的改變,而對系統(tǒng)記錄與活動進行的獨立觀察。授權(quán)authorization給予權(quán)利，包括信息資源訪問權(quán)的授予。?？捎眯詀vailability據(jù)或資源的特性，被授權(quán)實體按要求能及時訪問和使用數(shù)據(jù)或資源。緩沖區(qū)溢出bufferoverflow指通過往程序的緩沖區(qū)寫超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達到攻擊的目的。計算機病毒computervirus是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數(shù)據(jù)，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。機密性confidentiality使信息不泄露給非授權(quán)的個人、實體或進程,不為其所用。服務拒絕denialofservice（DoS）是一種導致計算機和網(wǎng)絡無法正常提供服務的攻擊，資源的授權(quán)訪問受阻或關(guān)鍵時刻的操作的延誤。數(shù)字簽名digitalsignature添加到消息中的數(shù)據(jù)，它允許消息的接收方驗證該消息的來源。非軍事化區(qū)demilitarizedzoneDMZ作為組織網(wǎng)絡的進入點，負責保護安全區(qū)域邊界或外部連接。加密encipherment通過密碼系統(tǒng)把明文變換為不可懂的形式。。窮舉攻擊forceattack通過嘗試口令或密鑰可能有的值，違反計算機安全的企圖。入侵者以破譯用戶口令作為攻擊的開始，然后采用字典窮舉法，破譯口令。入侵檢測intrusiondetection自動檢測網(wǎng)絡數(shù)據(jù)流中潛在入侵、攻擊和濫用方式，提供了網(wǎng)絡安全保護功能。它位于被保護的內(nèi)部網(wǎng)絡和不安全的外部網(wǎng)絡之間，通過實時截獲網(wǎng)絡數(shù)據(jù)流，尋找網(wǎng)絡違規(guī)模式和未授權(quán)的網(wǎng)絡訪問嘗試。日志log一種信息的匯集,記錄有關(guān)對系統(tǒng)操作和系統(tǒng)運行的全部事項，提供了系統(tǒng)的歷史狀況。漏洞loophole由軟硬件的設(shè)計疏忽或漏洞導致的能避過系統(tǒng)的安全措施的一種錯誤。最小特權(quán)minimumprivilege主體的訪問權(quán)限制到最低限度，即僅執(zhí)行授權(quán)任務所必需的那些權(quán)利。口令password用來鑒別實體身份的受保護或秘密的字符串。口令攻擊passwordattack入侵者以破譯用戶口令作為攻擊的開始，然后采用字典窮舉法，破譯口令，進行破壞，因而用戶口令的選擇對系統(tǒng)安全很重要。滲透測試penetrationtesting組織專門程序員或分析員進行系統(tǒng)滲透，以發(fā)現(xiàn)系統(tǒng)安全脆弱性，通常會模擬黑客真實環(huán)境和手段進行測試以發(fā)現(xiàn)系統(tǒng)安全漏洞。物理安全physicalsecurity為防范蓄意的和意外的威脅而對資源提供物理保護所采取的措施。端口port進出計算機的路徑。每個服務器應用程序都分配了一個端口號，以將數(shù)據(jù)發(fā)送給相應的服務。安全審計securityaudit為了測試出系統(tǒng)的控制是否足夠,為了保證與已建立的策略和操作相符合,為了發(fā)現(xiàn)安全中的漏洞,以及為了建議在控制、策略中作任何指定的改變,而對系統(tǒng)記錄與活動進行的獨立觀察。安全配置secureconfiguration控制系統(tǒng)硬件與軟件結(jié)構(gòu)更改的一組規(guī)程。其目的是來保證這種更改不致違反系統(tǒng)的安全策略。安全策略securitypolicy規(guī)定機構(gòu)如何管理、保護與分發(fā)敏感信息的法規(guī)與條例的集合。安全規(guī)范securityspecifications系統(tǒng)所需要的安全功能的本質(zhì)與特征的詳細述。安全測試securitytesting用于確定系統(tǒng)的安全特征按設(shè)計要求實現(xiàn)的過程。這一過程包括現(xiàn)場功能測試、滲透測試和驗證。敏感性sensitivity資源所具有的一種特征,它意味著該資源的價值或重要性,也可能包含這一資源的脆弱性。威脅threat一種潛在的對安全的侵害以破壞、泄漏、數(shù)據(jù)修改和拒絕服務的方式，可能對系統(tǒng)造成損害的環(huán)境或潛在事件。病毒virus同計算機病毒檢驗verification將某一活動、處理過程或產(chǎn)品與相應的要求或規(guī)范相比較。例：將某一規(guī)范與安全策略模型相比較，或者將目標代碼與源代碼相比較。弱點vulnerability導致破壞系統(tǒng)安全策略的系統(tǒng)安全規(guī)程、系統(tǒng)設(shè)計、實現(xiàn)、內(nèi)部控制等方面的弱點。Web服務器操作系統(tǒng)的安全Web服務器操作系統(tǒng)的安裝和配置安全規(guī)范Web服務器操作系統(tǒng)更新和修補規(guī)范（具體安全規(guī)范可參見《操作系統(tǒng)安全管理規(guī)范》）Web服務器操作系統(tǒng)漏洞確認流程Web系統(tǒng)管理員應通過檢查事故日志報告分析系統(tǒng)漏洞，并搜索供應商和其他權(quán)威組織（如CVE標準，ICAT網(wǎng)站）發(fā)布的最新漏洞修補公告，確認系統(tǒng)漏洞。Web服務器操作系統(tǒng)的修補對需要部署的系統(tǒng)修補程序，應在模擬環(huán)境中進行測試、驗證，確保在實際使用環(huán)境中能夠完成系統(tǒng)漏洞修補，并確保不帶入新的系統(tǒng)弱點和漏洞。在中國石油Web系統(tǒng)中，所有需要部署的修補程序都應經(jīng)過測試環(huán)節(jié)，不應采用自動更新的方式，要使用統(tǒng)一測試、分布應用的方式。修補流程宜遵照圖1操作系統(tǒng)安全測試及修補流程執(zhí)行。分析環(huán)境是否缺少修補環(huán)境分析環(huán)境是否缺少修補環(huán)境測試修補程序向供應商或技術(shù)支持報告問題是否需要新的修補程序？計劃部署修補程序并創(chuàng)建恢復計劃監(jiān)控生產(chǎn)服務器上的修補程序服務器是否運行正常？問題是否解決？審核修補過程是否執(zhí)行原始狀態(tài)恢復程序是部署修補程序是否否圖1操作系統(tǒng)安全測試及修補流程關(guān)閉或刪除不必要的服務和應用Web服務器應配備專用的主機，減少Web服務器提供其它應用服務。遵循最小特權(quán)安裝原則，保留或開放Web服務器根據(jù)業(yè)務部門需求確定的最小服務選項和應用選項。Web操作系統(tǒng)宜關(guān)閉下列功能：網(wǎng)絡輸入輸出系統(tǒng)、文件和打印機共享WindowsNetBIOS/fileandPrintersharing網(wǎng)絡文件系統(tǒng)NetworkFileSystem(NFS)（如果沒有需要）文件傳輸協(xié)議FTP遠程登錄Telnet遠程命令，如rlogin,rsh,rcp等簡單Web傳輸協(xié)議SimpleMailTransferManagementProtocol(SMTP)網(wǎng)絡信息系統(tǒng)NetworkInformationSystem(NIS)編譯器Compilers軟件開發(fā)工具SoftwareDevelopmentToolsWeb服務器操作系統(tǒng)的用戶管理只有Web系統(tǒng)管理員和Web站點管理員有權(quán)配置和更改Web服務功能。只有被授權(quán)的用戶可訪問特定的Web內(nèi)容。對需要訪問企業(yè)機密的Web內(nèi)容的用戶應采用增強用戶驗證方式，如令牌（token）或一次性口令（OTP）。應刪除或者禁用不必要的所有默認帳戶和帳戶組（如guest帳號）應建立用戶組，將用戶分配到合適的用戶組中，為用戶組分配適當?shù)臋?quán)限從而為每個用戶分配適當?shù)臋?quán)限。依據(jù)業(yè)務需求建立必要的帳戶，應禁止或者限制使用共享帳戶。設(shè)置帳戶和口令安全策略（關(guān)于口令安全的具體安全規(guī)范可參見《通用安全管理規(guī)范》中口令標準）口令長度，應指定口令最小長度（例如8個字符）；口令復雜性，口令必須是字母和數(shù)字的組合，并且不是字典上的詞；口令過期，口令更新的期限應根據(jù)強制的口令長度和復雜性及受保護的信息的重要程度的組合來確定，系統(tǒng)管理員和超級用戶的口令每隔30天到120天修改一次；防止窮舉攻擊，登陸失敗達到一定數(shù)量后（例如3次）應拒絕登陸請求，并暫時掛起該用戶（例如10分鐘）；應記錄無論是網(wǎng)絡還是控制臺的登陸失敗請求。如果有必要，Web服務器宜結(jié)合使用其他的增強認證機制，例如令牌、數(shù)字證書等。應經(jīng)常檢查用戶帳號報告，禁用長期不用的用戶帳號。應采用安全傳輸技術(shù)（如SSL/TLS）來驗證用戶口令。Web服務器資源的訪問控制應對Web服務器操作系統(tǒng)的文件、目錄、設(shè)備和進程等資源定義清晰和適當?shù)淖x、寫、執(zhí)行、刪除等權(quán)限；嚴格限制用戶授權(quán)外的訪問控制權(quán)限；典型需要控制的訪問文件一般應包括：應用程序和配置文件；和安全機制直接相關(guān)的文件；口令文件或者其它認證需要的文件；包含認證信息并且在訪問控制中需要用到的文件；與保密性、完整性和不可否認性安全服務相關(guān)的密鑰體系；服務器日志和系統(tǒng)審核文件；系統(tǒng)軟件和配置信息。對于必須訪問的系統(tǒng)資源應設(shè)置只讀屬性，例如服務器日志；Web服務器生成的臨時文件應保存在指定的子目錄中，并嚴格控制訪問權(quán)限；Web服務器創(chuàng)建的臨時文件應僅限于Web服務器使用；應確保Web服務不能在指定文件結(jié)構(gòu)以外存儲文件，確保這些文件和目錄不能被其它系統(tǒng)和用戶訪問；為了防止DoS攻擊，可限制Web服務器的使用資源，例如將用戶的郵箱設(shè)置到其他的硬盤或邏輯分區(qū)上，而不是操作系統(tǒng)或者Web應用服務的分區(qū)上；應嚴格管理超級用戶權(quán)限的使用；應合理分配Web服務器系統(tǒng)管理員的權(quán)限；如果不需要遠程網(wǎng)絡管理，應禁用管理員或者root級別帳戶從網(wǎng)絡登陸；對訪問系統(tǒng)的用戶應進行嚴格認證；如果有必要，Web服務器可結(jié)合使用其他的認證機制，例如生物識別，智能卡，或者一次性口令系統(tǒng)等。操作系統(tǒng)的安全測試應定期使用漏洞掃描工具和滲透測試方法檢驗操作系統(tǒng)，發(fā)現(xiàn)漏洞并及時修補。制定安全測試流程，在不影響系統(tǒng)可用性的情況下，應定期測試操作系統(tǒng)的安全性，發(fā)現(xiàn)系統(tǒng)弱點和漏洞，并采取相應加固措施。為保證操作系統(tǒng)與郵件服務器及時更新，必須定期進行弱點掃描。必須或至少每個月進行一次弱點掃描。保證現(xiàn)行的各項保護措施發(fā)揮作用，保證郵件服務器管理員所采用的安全補丁的有效性。應檢測安全措施的應用程度以及是否滿足安全策略的要求。宜考慮運用一種以上的掃描程序。應記錄并及時糾正掃描發(fā)現(xiàn)的弱點。操作系統(tǒng)安全檢查表是否執(zhí)行安全措施Web服務器的安全配置和部署□確定Web服務器的功能□確定需要通過Web服務器存儲、處理和傳輸?shù)男畔㈩悇e□確定信息的安全要求□確定專用的主機來作為Web服務器□確定Web服務器需要提供或支持的網(wǎng)絡服務□確定Web服務器的用戶和用戶組，并確定每類用戶的權(quán)限□確定Web服務器的用戶認證方法為Web服務器選擇合適的操作系統(tǒng)□最小特權(quán)安裝原則，防止弱點暴露□嚴格控制管理員和超級用戶在授權(quán)的人員范圍內(nèi)□Web服務器能夠拒絕無法驗證信息的信息訪問□禁用操作系統(tǒng)或者服務器軟件自帶的不必要的網(wǎng)絡服務□選擇經(jīng)驗豐富的系統(tǒng)管理員來安裝、配置、維護、管理操作系統(tǒng)更新操作系統(tǒng)，并安裝補丁□找到并安裝所有必要的操作系統(tǒng)補丁，并及時更新系統(tǒng)□找到并安裝操作系統(tǒng)運行的應用程序和服務的所有必要的補丁，并及時進行更新刪除或禁用不必要的服務和應用□刪除或禁用不必要的服務和應用配置操作系統(tǒng)用戶認證□刪除或禁用不必要的默認帳戶和用戶組□禁用非交互帳戶□為不同用途和級別的用戶計算機建立不同的用戶組□檢查組織的口令政策（例如長度、復雜性），并根據(jù)政策設(shè)置帳戶的口令□配置系統(tǒng)，防止暴力破解口令，在登陸企圖失敗超過次數(shù)限制后應拒絕登陸□安裝和配置其他的安全機制來加強認證測試操作系統(tǒng)安全性□在初始安裝后測試操作系統(tǒng)的漏洞□定期測試操作系統(tǒng)來發(fā)現(xiàn)新漏洞Web應用系統(tǒng)安全Web應用系統(tǒng)安裝的安全系統(tǒng)服務最小特權(quán)安裝和及時更新系統(tǒng)和修補系統(tǒng)漏洞，是保證Web應用系統(tǒng)安全的基本原則。Web應用系統(tǒng)的安裝應按照下列步驟執(zhí)行：應在指定的專用主機上安裝Web應用系統(tǒng)；應安裝Web應用系統(tǒng)所允許的最小功能；應對已知應用系統(tǒng)的弱點進行系統(tǒng)程序更新和修補；應為Web內(nèi)容的存放創(chuàng)建專門的物理和邏輯磁盤，與操作系統(tǒng)和應用系統(tǒng)分開；應將Web服務器的配置文件和日志文件與Web內(nèi)容存放在不同的目錄樹下；應刪除或禁用Web應用系統(tǒng)安裝過程中一些中間程序和應用，如FTP、遠程管理等；應刪除Web應用系統(tǒng)根目錄下所有與Web站點無關(guān)的文件；應刪除安裝過程中所有的測試腳本、執(zhí)行代碼和文檔樣例；應刪除服務器上供應商所有不必要的文檔；應使用安全模板或系統(tǒng)加固工具；重新配置banner，在執(zhí)行banner檢查時，應確保返回的數(shù)據(jù)不包含Web服務器和操作系統(tǒng)的類型和版本。Web應用系統(tǒng)的訪問控制Web應用系統(tǒng)的訪問控制應嚴格定義Web服務器的文件、目錄和設(shè)備的讀、寫、執(zhí)行和更改權(quán)限。應建立不同的用戶組，將每一個用戶分配到不同的用戶組中。應將系統(tǒng)管理員組與普通用戶組分開。應為每一個用戶組賦予相應的系統(tǒng)資源的訪問權(quán)限和操作權(quán)限，嚴格限制對下列文件的訪問：應用軟件的配置文件和安全機制直接相關(guān)的文件：口令文件或者其它認證的文件包含授權(quán)信息和訪問控制信息的配置文件與安全服務相關(guān)的密鑰體系文件服務器日志和系統(tǒng)日志文件系統(tǒng)軟件的配置文件應使用Web服務器的操作系統(tǒng)的文件管理功能嚴格限制Web服務進程對文件的訪問，只允許Web服務進程以“只讀”權(quán)限訪問所需文件，強制執(zhí)行下列訪問控制：應嚴格控制Web服務進程的訪問權(quán)限，以普通用戶進程訪問Web內(nèi)容文件；Web服務進程訪問Web內(nèi)容文件只能以“讀”方式不能有“寫”權(quán)限；Web服務進程在公共Web服務器的文件目錄上不應有“寫”權(quán)限；應只有Web站點管理員有寫Web內(nèi)容的權(quán)限；應只有系統(tǒng)管理員和站點管理員可讀Web服務器的日志文件，其他用戶的操作進程只可被記錄到日志文件而不能讀日志文件；調(diào)用Web服務產(chǎn)生的臨時文件（如動態(tài)網(wǎng)頁）應存放在嚴格指定目錄中。應根據(jù)下列規(guī)則配置Web服務器以減少拒絕服務（DoS）對系統(tǒng)的攻擊：應將Web內(nèi)容目錄與應用系統(tǒng)分別安裝在不同的物理或邏輯分區(qū)，并將操作系統(tǒng)和Web應用系統(tǒng)隔離；如果Web服務器允許上載文件，應限制文件大小并嚴格控制文件存放的磁盤空間，防止系統(tǒng)崩潰；如果Web服務器允許上載文件，應在Web服務器上設(shè)置這些文件不可“讀”，只有在文件內(nèi)容被審核后才可讀，防止Web服務器被利用；應記錄所有可疑操作和進程，并確保有足夠的磁盤空間保存系統(tǒng)日志文件，有助于識別攻擊行為；應配置Web服務器的網(wǎng)絡連接的超時設(shè)定，減少拒絕服務攻擊；宜將網(wǎng)絡最大連接數(shù)設(shè)置為較高。Web內(nèi)容目錄的安全在Web內(nèi)容文件目錄樹中應禁用鏈接、別名和快捷等方式指向別的服務器主機的文件目錄或網(wǎng)絡文件系統(tǒng)。應將Web服務器存放配置文件和日志文件的目錄與存放Web內(nèi)容的目錄設(shè)在不同路徑下。系統(tǒng)管理員應對經(jīng)認證的用戶和用戶組設(shè)置相應訪問Web內(nèi)容文件的權(quán)限，如ApacheWeb服務器要求對每一個用戶所訪問的Web內(nèi)容文件設(shè)置相應權(quán)限。依據(jù)下列步驟來控制對Web內(nèi)容文件的訪問：應為Web內(nèi)容文件劃出專用的物理或邏輯磁盤，并建立專門的子目錄存放Web內(nèi)容文件目錄，但不包括執(zhí)行腳本和程序。應為所有外部可執(zhí)行的腳本和程序（例如CGI，ASP動態(tài)服務器主頁）定義專門的存放目錄。如果在沒有管理帳號控制下禁用腳本的執(zhí)行，應對包含不同可執(zhí)行腳本的文件目錄設(shè)置不同權(quán)限控制。應禁用物理和符號鏈接文件目錄。應建立Web目錄訪問權(quán)限控制的矩陣，明確定義哪些用戶組可訪問Web服務器的哪些文件和目錄。Web管理員應禁止子目錄越權(quán)操作上級目錄，除非有特殊需要。Web服務器應禁用文件列表功能。統(tǒng)一資源標識URL公共服務器的Web內(nèi)容在源代碼中不應包含敏感URL。Cookie不應包含可能被用來攻擊服務器的信息，如用戶名和口令。Web應用系統(tǒng)的文件完整性檢查對Web服務器系統(tǒng)應進行文件完整性檢查。在Web服務器操作系統(tǒng)安裝后，應及時創(chuàng)建最初的文件完整性檢查的數(shù)字文摘數(shù)據(jù)庫。確保在安全狀態(tài)下，應創(chuàng)建最初Web服務器的數(shù)字文摘數(shù)據(jù)庫。系統(tǒng)更新和修補后應運行文件完整性檢查系統(tǒng)更新數(shù)據(jù)庫。一旦發(fā)現(xiàn)系統(tǒng)文件未經(jīng)授權(quán)被修改，應立即進行事件調(diào)查并啟動事件響應機制。

Web應用系統(tǒng)安裝和配置的安全檢查表是否執(zhí)行安全措施Web服務器的安裝安全□為Web應用系統(tǒng)的安裝分配專用的主機□安裝Web應用系統(tǒng)需要的最小功能□對已知系統(tǒng)的弱點執(zhí)行程序更新和修補□為存放Web內(nèi)容創(chuàng)建專門的物理和邏輯磁盤，與操作系統(tǒng)和應用系統(tǒng)分開□刪除或禁用Web應用系統(tǒng)安裝過程中的一些不必要的中間程序和應用，如FTP、遠程管理等□刪除安裝過程中所有的測試腳本、執(zhí)行代碼和文檔樣例□刪除服務器上供應商所有不必要的文檔□配置banner，保證在執(zhí)行banner檢查時返回的數(shù)據(jù)不包含Web服務器和操作系統(tǒng)的類型和版本信息Web服務器主機操作系統(tǒng)的訪問權(quán)限控制□Web服務進程訪問Web內(nèi)容文件只能以“讀”方式不能有“寫”權(quán)限□Web服務進程在Web內(nèi)容文件存放的路徑下不能有“寫”權(quán)限□只有為管理Web服務器的經(jīng)授權(quán)的進程可對Web內(nèi)容文件進行“寫”操作□Web應用進程應只可被記錄到日志文件而不能讀日志文件□調(diào)用Web服務產(chǎn)生的臨時文件（如動態(tài)網(wǎng)頁）應存放在嚴格指定目錄中□將Web內(nèi)容目錄安裝在不同的物理或邏輯分區(qū)，與操作系統(tǒng)和Web應用系統(tǒng)隔離□如果Web服務器允許上載文件，應限制文件大小并嚴格控制文件存放的磁盤空間，防止系統(tǒng)崩潰□保證有足夠的磁盤空間保存系統(tǒng)日志文件配置Web內(nèi)容目錄的安全□為Web內(nèi)容劃出專用的物理或邏輯磁盤，并建立專門的子目錄存放Web內(nèi)容文件目錄，但不包括執(zhí)行腳本和程序□為所有外部可執(zhí)行的腳本和程序（例如CGI，ASP動態(tài)服務器主頁）定義專門的存放目錄□在沒有管理帳號控制下禁用腳本的執(zhí)行，對包含不同可執(zhí)行腳本的文件目錄設(shè)置不同權(quán)限控制□為不同級別的Web用戶建立不同的用戶組□禁用物理和符號鏈接文件目錄□建立Web目錄訪問控制的矩陣，明確定義哪些用戶組可訪問Web服務器的哪些文件和目錄□如果需要，使用適當?shù)膔obot.txt文件完整性檢查□安裝文件完整性檢查組件以保護Web配置文件、口令文件和Web內(nèi)容安全□更新文件完整性檢查表□將文摘數(shù)據(jù)庫存放在只讀的介質(zhì)上□經(jīng)常比較數(shù)字文摘數(shù)據(jù)庫以檢查文件的完整性Web內(nèi)容安全中國石油外部Web站點信息發(fā)布的安全規(guī)范Web站點信息內(nèi)容發(fā)布流程：確定負責創(chuàng)建、發(fā)布和維護公共信息的責任人；創(chuàng)建或編排在Web站點發(fā)布信息的格式；信息提供部門填寫《中國石油內(nèi)部網(wǎng)站信息發(fā)布審批表》（見附表）；由部門領(lǐng)導審核、確定可在Web站點發(fā)布的信息并簽字；由信息審核部門審查，并同意發(fā)布；交由信息中心加載；檢驗已發(fā)布的信息的完整性；定期檢查已發(fā)布的內(nèi)容，確保與企業(yè)安全政策一致。Web系統(tǒng)管理員或站點管理員應定期檢查Web頁面的代碼內(nèi)容防止重要信息被隱藏在頁面的源代碼中被人利用，從而暴露Web服務器的文件結(jié)構(gòu)或泄露企業(yè)機密。Web站點不得包含國家法律、法規(guī)明令規(guī)定的內(nèi)容反對憲法所確定的基本原則的；危害國家安全，泄露國家秘密，顛覆國家政權(quán)，破壞國家統(tǒng)一的；損害國家榮譽和利益的；煽動民族仇恨、民族歧視，破壞民族團結(jié)的；破壞國家宗教政策，宣揚邪教和封建迷信的；散布謠言，擾亂社會秩序，破壞社會穩(wěn)定的；散布淫穢、色情、賭博、暴力、兇殺、恐怖或者教唆犯罪的；侮辱或者誹謗他人，侵害他人合法權(quán)益的；含有法律、行政法規(guī)禁止的其他內(nèi)容的。公共Web站點不應包含下列信息：機密檔案；內(nèi)部管理規(guī)則和流程；員工個人信息：家庭地址和家庭電話號碼；家庭成員信息；企業(yè)內(nèi)部電話號碼、e-mail地址和員工名單；未經(jīng)用戶同意不得向他人泄露用戶的個人信息；超出中國石油發(fā)布范圍的財務記錄；中國石油信息安全流程；中國石油建筑、資產(chǎn)和設(shè)備的規(guī)劃、分布、平面圖；中國石油網(wǎng)絡拓撲圖、物理架構(gòu)圖忽和網(wǎng)絡設(shè)備信息；中國石油信息系統(tǒng)基礎(chǔ)信息（例如內(nèi)部IP地址的分配、命名規(guī)則）；沒有版權(quán)許可的作品。內(nèi)容和動態(tài)內(nèi)容生成的安全管理規(guī)范客戶端動態(tài)內(nèi)容的安全動態(tài)內(nèi)容對最終用戶的系統(tǒng)存在著威脅，使用動態(tài)內(nèi)容將降低客戶端系統(tǒng)的安全等級只有業(yè)務上需要時才應使用動態(tài)內(nèi)容，不經(jīng)用戶許可不能執(zhí)行動態(tài)操作不得使用高風險動態(tài)內(nèi)容客戶端常用動態(tài)內(nèi)容技術(shù)的風險比較低中等低中等高圖4.1:客戶端常用動態(tài)內(nèi)容技術(shù)的風險比較Web服務器端內(nèi)容生成的安全應正確配置內(nèi)容生成工具（如果配置不正確將對Web服務器產(chǎn)生威脅，例如緩沖區(qū)溢出）。不經(jīng)過嚴格的代碼檢查，禁止Web服務器管理員使用第三方的腳本。禁止Web服務器管理員從互聯(lián)網(wǎng)上下載和使用腳本程序。檢查或者編寫可執(zhí)行代碼或者腳本時，應考慮以下問題：應確保代碼盡量簡潔；應限制可執(zhí)行代碼的讀寫權(quán)限，過多的讀權(quán)限可能導致敏感系統(tǒng)信息的泄露，而寫權(quán)限則可能導致文件損害或者帶入木馬病毒；在Linux/Unix機器上，禁止以suid方式運行可執(zhí)行代碼；調(diào)用外部程序時，應使用絕對路徑，不宜使用環(huán)境變量的方式解析相對路徑；對于表單輸入，在處理之前應進行輸入校驗，確保輸入的內(nèi)容的合法性；確保動態(tài)生成的內(nèi)容中不包含惡意的內(nèi)容，必須保證數(shù)據(jù)庫中內(nèi)容的合法性；應檢查cookie中的特殊字符，并將其消除；對腳本表單中的口令輸入應進行加密；有用戶名和口令限制的Web頁面，必須經(jīng)過驗證程序后才能訪問該Web頁面；Web服務器軟件安裝完成后應及時刪除樣本代碼和可執(zhí)行程序。服務器端內(nèi)容生成服務的放置位置應將所有可寫的文件單獨放入一個專用的文件夾中，并且不要將腳本程序放入該文件夾中。應將所有可執(zhí)行文件(例如CGI、EXE、CMD和PL)單獨放在一個文件夾中。所有腳本文件應單獨存放。重復調(diào)用的庫文件（例如INC、SHTML、SHTM和ASP）應單獨設(shè)置一個目錄，并添加合適的后綴名。應將不必要的可執(zhí)行功能去以降低風險。Web內(nèi)容的安全檢查表是否執(zhí)行安全措施建立公共Web服務器內(nèi)容審批和處理流程□確定可在Web站點發(fā)布的信息□確定目標讀者□判斷發(fā)布的信息可能帶來的負面影響□確定負責創(chuàng)建、發(fā)布和維護公共信息的責任人□提供在Web站點發(fā)布信息的編排格式□評估已發(fā)布信息的敏感性，包括信息敏感總結(jié)□確定合適的訪問控制和安全措施□提供檢查Web內(nèi)容的源代碼的指南公共Web服務器的發(fā)布信息不應包含□機密檔案□內(nèi)部管理規(guī)則和流程□員工個人信息□中國石油內(nèi)部電話號碼、e-mail地址和員工名單□超出中國石油發(fā)布范圍的財務記錄□中國石油的物理和信息安全流程□中國石油建筑、資產(chǎn)和設(shè)備的規(guī)劃、分布、平面圖□中國石油信息系統(tǒng)基礎(chǔ)信息（例如內(nèi)部IP地址的分配、命名規(guī)則）□沒有版權(quán)許可的作品客戶端動態(tài)內(nèi)容安全□只有業(yè)務上需要時才使用動態(tài)內(nèi)容□不經(jīng)用戶許可不能執(zhí)行動態(tài)操作□不使用高風險動態(tài)內(nèi)容服務器端動態(tài)內(nèi)容安全□使用簡單易于理解的代碼□對文件的“讀”“寫”權(quán)限進行限制或禁止“讀”“寫”□對程序限制或禁止交互□對UNIX系統(tǒng)禁止使用suid權(quán)限□調(diào)用外部程序時應使用絕對路徑□文件目錄不能同時擁有寫和執(zhí)行權(quán)限□把所有可執(zhí)行文件存放在專用文件夾□確保用戶所有的調(diào)用都有效□生產(chǎn)的動態(tài)頁面不應包含惡意內(nèi)容□對需要限制訪問控制的網(wǎng)頁，若不能通過身份驗證則不能訪問指定網(wǎng)頁□刪除所有樣例腳本□不允許使用沒有驗證過的第三方腳本和可執(zhí)行代碼Web網(wǎng)絡安全物理安全物理安全是整個中國石油企業(yè)Web系統(tǒng)安全的基礎(chǔ)。Web系統(tǒng)物理安全是指保護Web系統(tǒng)物理設(shè)備免遭環(huán)境事故、人為操作失誤及各種計算機犯罪行為導致的破壞，確保Web服務器及相關(guān)設(shè)備的可用性和完整性。其中包括：應將Web服務器放置在機房中，機房安全標準必須符合《中國石油機房安全管理規(guī)范》。中心站點應采取機房和機柜兩層物理保護。主要設(shè)備應采用冗余備份。Web服務器應采用雙電源設(shè)計，應配備UPS不間斷電源。不宜直接訪問Web服務器的光驅(qū)、軟盤。對具有USB接口的Web服務器設(shè)備，應在BIOS中設(shè)置禁用USB以及其它不被使用的端口設(shè)備，例如并口、不被使用的串口等。相應的網(wǎng)絡設(shè)備也應保證可靠和安全，防止意外造成的網(wǎng)絡故障。其它物理和環(huán)境安全規(guī)范參照《中國石油股份有限公司硬件設(shè)備安全管理規(guī)范》和《中國石油股份有限公司機房安全管理規(guī)范》Web服務器的網(wǎng)絡位置非軍事化區(qū)（DMZ）模式DMZ非軍事化區(qū)模式應將Web服務器設(shè)置在DMZ中，以降低安全風險從安全角度分析DMZ的優(yōu)點在于：可更好保護Web服務器的安全并能夠監(jiān)視和控制進出Web服務器的流量。當Web服務器發(fā)生危險時不會影響企業(yè)其它內(nèi)部網(wǎng)絡。DMZ的不利因素：針對Web服務器的拒絕服務攻擊（DoS）會影響企業(yè)網(wǎng)絡服務DMZ的安全很大程度上依靠防火墻安全規(guī)則配置，若配置不當，Web服務器會被用來攻擊企業(yè)內(nèi)部網(wǎng)絡。通用的DMZ有3種模式，企業(yè)應根據(jù)業(yè)務特點和安全需求選擇適合模式：單一防火墻DMZ模式，見圖5-1；雙防火墻DMZ模式，見圖5-2；三接口DMZ模式，見圖5-3；圖5-1單一防火墻DMZ模式此模式不適用于大型企業(yè)，此模式的安全主要依靠路由器功能來抵御網(wǎng)絡攻擊，單靠路由器無法防止應用層的攻擊，此外路由器也不能提供病毒掃描。圖5-2雙防火墻DMZ模式此模式較為常用，它提供了較高的安全性能，比較兩防火墻可以進行Web服務器出入流量分析，能夠檢測和預防對Web服務器的應用層攻擊。但此模式的安全規(guī)則如果太嚴格，可能導致網(wǎng)絡性能降低。圖5-3三接口防火墻DMZ模式此模式結(jié)合了以上兩種模式特點，是一個折中方案。主機外包企業(yè)若選擇外包Web服務器給第三方（如互聯(lián)網(wǎng)服務供應商ISP），則Web服務器的安全應由承包商安全負責，簽定安全協(xié)議，并且外包的Web服務器應與中油內(nèi)部網(wǎng)相分離。

網(wǎng)絡組件的安全規(guī)則配置防火墻、路由器、入侵檢測（IDS）和交換機作為網(wǎng)絡的基礎(chǔ)設(shè)施在中國石油企業(yè)信息安全中擔當了重要角色，如果配置不當也會成為安全漏洞或被攻擊弱點，應根據(jù)安全策略嚴格配置規(guī)則選項。Web服務器的安全應依賴于網(wǎng)絡基礎(chǔ)設(shè)施的整體安全，不應僅依賴單一要素如防火墻，應使用安全組件組合方式使安全效果達到最佳。路由器和防火墻作為Web服務器的第一道防線，應阻止除下列端口外的數(shù)據(jù)對Web服務器的訪問：TCP端口80（）TCP端口443（S）入侵檢測系統(tǒng)應根據(jù)需要部署基于主機的方法和基于網(wǎng)絡的入侵檢測系統(tǒng)(IDS)IDS必須經(jīng)常更新網(wǎng)絡攻擊的特征數(shù)據(jù)庫（例如每周一次），以使它們可檢測新的攻擊。為保護Web服務器，必須確保配置IDS完成以下功能：監(jiān)控進出Web服務器的網(wǎng)絡通信；監(jiān)控Web服務器上重要文件的修改(基于主機或者文件完整性檢查器)；監(jiān)控在Web服務器上可用的系統(tǒng)資源（基于主機）；（與防火墻一起）屏蔽攻擊網(wǎng)絡的IP地址或子網(wǎng)；把發(fā)生的攻擊通知網(wǎng)絡管理員或者Web服務器管理員；盡可能檢測網(wǎng)絡掃描和攻擊，同時不應發(fā)生過多的誤報。記錄事件日志，包括以下的細節(jié)：時間/日期攻擊者的的IP地址攻擊手段的標準名稱源和目標的IP地址源和目標的端口號攻擊使用的網(wǎng)絡協(xié)議日志文件審計規(guī)定應記錄并保存網(wǎng)絡設(shè)備的日志文件供審計和檢查使用網(wǎng)絡設(shè)備的相關(guān)設(shè)置和日志應由專用的備份機制進行備份（如專用磁帶機備份）。不應將網(wǎng)絡設(shè)備的日志文檔備份在聯(lián)網(wǎng)的服務器上。應由專人負責定期察看路由器、防火墻、入侵檢測等網(wǎng)絡設(shè)備的日志文件，并對日志進行分析，給出分析統(tǒng)計報告。應由專人查看告警信息，并對告警信息進行分析處理。對網(wǎng)絡安全事故進行分級，并對每次安全事故進行分析處理，作出分析處理報告和漏洞修補建議，避免類似事故發(fā)生。中國石油總部和各下屬企業(yè)應建立緊急事件響應流程，保證公司能夠快速處理安全緊急事件。Web系統(tǒng)網(wǎng)絡架構(gòu)安全狀況檢查表是否完成安全措施Web服務器網(wǎng)絡位置□Web服務器位于內(nèi)部網(wǎng)中并由Web網(wǎng)關(guān)和/或防火墻保護防火墻配置□Web服務器由防火墻保護□面臨高安全風險并易受攻擊的Web服務器由應用層網(wǎng)關(guān)來保護□防火墻控制Internet或Web服務器間的所有通信□除非特殊要求，防火墻應屏蔽除TCP80端口()、TCP443端口(S)以外的所有目的地是Web服務器的訪問數(shù)據(jù)□防火墻（與IDS協(xié)同工作）屏蔽IDS報告的正在攻擊組織網(wǎng)絡的IP地址或子網(wǎng)□防火墻通過合適的方法將可疑的網(wǎng)絡行為通知網(wǎng)絡管理員和Web服務器管理員□防火墻提供內(nèi)容過濾功能（應用層網(wǎng)關(guān)）□設(shè)置防火墻來防止DoS攻擊□防火墻記錄重要事件□防火墻和防火墻所用的操作系統(tǒng)安裝了最新的補丁入侵檢測系統(tǒng)□配置IDS在防火墻后監(jiān)控進出Web服務器的網(wǎng)絡通信□配置IDS來監(jiān)控Web服務器上重要文件的改動（基于主機或者文件完整性檢查器）□IDS（與防火墻協(xié)作）屏蔽正在攻擊組織網(wǎng)絡的IP地址或者子網(wǎng)□IDS通過合適的方法將攻擊通知網(wǎng)絡或者Web服務器管理員□配置IDS，在允許的誤報比例下盡可能提高檢測的成功率□配置IDS記錄事件日志□定期更新IDS的新的攻擊特征（例如每周一次）□配置IDS來配置IDS檢測Web服務器上可用的系統(tǒng)資源（基于主機）網(wǎng)絡交換機□利用網(wǎng)絡交換機防護網(wǎng)絡監(jiān)聽□配置網(wǎng)絡交換機到高安全模式來防護ARP欺騙和ARPpoisoning攻擊□配置網(wǎng)絡交換機來發(fā)送網(wǎng)段的所有通信信息到IDS主機（基于網(wǎng)絡的）Web服務器系統(tǒng)運行管理安全系統(tǒng)的更新和修補流程系統(tǒng)的更新和修補過程應有明確的負責人、更改的審計記錄、明確的聲明和復查期、測試過程，以及嚴格的原始恢復計劃。系統(tǒng)更新和修補應流程應遵照本規(guī)范2.2.1款。系統(tǒng)日志應記錄并保存系統(tǒng)的日志文件供審計和檢查使用。應將日志文件存放在另一個物理獨立的服務器中。日志文件應定期歸檔和備份。將Web服務器的日志功能設(shè)為詳細，并確保以下的內(nèi)容能夠計入日志。本機系統(tǒng)相關(guān)日志系統(tǒng)登錄和連接日志系統(tǒng)登錄日志（成功和失敗信息）安全信息網(wǎng)絡問題協(xié)議出錯連接超時拒絕連接消息相關(guān)日志發(fā)送方信息地址報錯信息Web信息收集統(tǒng)計出錯信息生成發(fā)送失敗信息發(fā)送延時信息應提供日志自動分析工具幫助減輕管理員的負擔。應定期查看系統(tǒng)的日志文件，并對日志進行分析。根據(jù)以下因素確定日志查看的頻度：服務器的信息資產(chǎn)價值Web服務器的流量負載Web服務器的威脅等級（敏感站點的日志檢查頻度相對要高）特殊時間（例如在威脅容易發(fā)生的特殊時間，則應增加日志檢查頻度文件）Web服務器本身的弱點出現(xiàn)可疑征兆時，應每天檢查日志

系統(tǒng)備份Web服務器的備份是管理員為保證系統(tǒng)數(shù)據(jù)完整而應履行的重要職責，良好的系統(tǒng)備份能保證系統(tǒng)在遭受損失或出現(xiàn)故障時快速恢復；應由系統(tǒng)管理員負責操作系統(tǒng)、應用系統(tǒng)和Web目錄的備份；系統(tǒng)安裝后應做一次完全備份；應每兩周將Web目錄備份內(nèi)容寫到磁帶上或刻錄到光盤上；目前主要采用的三種備份方式：完全備份，將服務器上包括操作系統(tǒng)、應用程序和數(shù)據(jù)在內(nèi)的所有內(nèi)容都備份（該備份資料是Web服務器的完整鏡像）；增量備份，只備份前一次備份以后的數(shù)據(jù)變化；差異備份，則備份前一次完全備份以后的變動數(shù)據(jù)。根據(jù)下列因素選擇備份方式和備份頻度（例如每日、每周、每月備份或者在重大事件發(fā)生的時候備份）：服務器數(shù)據(jù)和配置的穩(wěn)定性備份的數(shù)據(jù)量是否具有備份設(shè)備和介質(zhì)是否有時間信息資產(chǎn)重要性Web服務器的受威脅等級如果沒有數(shù)據(jù)備份，數(shù)據(jù)重建需要的時間Web服務器本身的數(shù)據(jù)冗余特征（例如是否有冗余磁盤陣列，鏡像）備份和歸檔的時候，必須注意以下幾點：使用不可擦寫的介質(zhì)，以防意外刪除和改動數(shù)據(jù)備份數(shù)據(jù)回放檢查，確保數(shù)據(jù)正確備份和歸檔將備份時間信息置入存儲介質(zhì)為備份介質(zhì)建立易于檢索的索引重要的數(shù)據(jù)備份應至少在不同地點保留兩個副本

系統(tǒng)恢復應建立相應系統(tǒng)恢復的應對策略和處理流程。流程應明確定義系統(tǒng)遭遇攻擊時應采取的步驟及其順序。Web系統(tǒng)管理員在發(fā)現(xiàn)系統(tǒng)受損后應采取以下步驟：向相關(guān)領(lǐng)導匯報；查詢企業(yè)組織的安全政策；隔離受損系統(tǒng)，收集更多的攻擊信息以便于系統(tǒng)的恢復和修補；查詢其它系統(tǒng)是否遭受過類似攻擊；分析攻擊類型：分析系統(tǒng)軟件和配置的修改痕跡；分析數(shù)據(jù)的修改痕跡；分析和清理攻擊人員留下的數(shù)據(jù)和工具；檢查系統(tǒng)日志，入侵檢查和防火墻等防護措施的日志恢復系統(tǒng)；重裝系統(tǒng)或者從備份系統(tǒng)中恢復（這樣做可能有風險，必須保證備份本身沒有受到損害）；禁用不必要的服務；實施安全補??；修改所有系統(tǒng)口令（包括未受損系統(tǒng)）；重新配置網(wǎng)絡安全組件(防火墻，路由器，IDS)，增進安全措施。測試系統(tǒng)安全性；重新連接入網(wǎng)絡；監(jiān)控系統(tǒng)和網(wǎng)絡，查看是否又有攻擊征兆；記錄經(jīng)驗教訓。系統(tǒng)管理應權(quán)衡下列因素來決定重裝系統(tǒng)還是從備份系統(tǒng)中恢復攻擊者竊取的訪問控制等級（例如root,system,user,guest）；攻擊類型（內(nèi)部還是外部）；攻擊目的（竊取資料、破壞數(shù)據(jù)等）；使用的攻擊方法；系統(tǒng)攻擊過程中和攻陷后黑客的行為；系統(tǒng)受損持續(xù)的時間；波及范圍；管理層和法律部門意見。Web服務器定期安全測試制定安全測試流程，在不影響系統(tǒng)可用性的情況下，應定期測試操作系統(tǒng)的安全，發(fā)現(xiàn)系統(tǒng)弱點和漏洞，并采取相應加固措施。為保證操作系統(tǒng)與Web服務器的及時更新，必須定期進行弱點掃描。必須或至少每個月進行一次弱點掃描。保證現(xiàn)行的各項保護措施發(fā)揮作用，保證Web服務器管理員所采用的安全補丁的有效性。應檢測安全措施的應用程度及其是否滿足安全策略的要求。應考慮運用一種以上的掃描程序。應記錄并及時糾正掃描發(fā)現(xiàn)的弱點。根據(jù)下述的弱點掃描和滲透測試的功能選擇適用的測試手段。弱點掃描具有以下功能：確認網(wǎng)絡中運行的主機；確認主機上容易受到攻擊的運行服務（端口）；確認應用程序；確認操作程序和應用程序的弱點。滲透測試具有以下功能：利用黑客的方法和工具測試網(wǎng)絡；檢驗是否存在弱點；深入發(fā)現(xiàn)弱點的本質(zhì)特征；證明弱點的實際性；為安全問題提供現(xiàn)實的證據(jù)；對流程和人員因素進行測試和改進。

Web系統(tǒng)的遠程管理建議在評估風險水平后，宜考慮設(shè)置Web系統(tǒng)的遠程管理；最安全的配置是禁止遠程管理；禁止中油網(wǎng)絡外的主機進行遠程管理，內(nèi)部網(wǎng)的遠程管理和內(nèi)容更新相對比較安全。如果中油不得不進行遠程管理和內(nèi)容更新，必須盡可能的遵循以下步驟：采用增強身份認證機制(例如PKI、雙因子認證等)；限制主機在Web系統(tǒng)上的遠程管理和內(nèi)容更新：授權(quán)用戶限制IP地址而非主機名內(nèi)部網(wǎng)內(nèi)主機采用如SecureShell,SecureHypertextTransferProtocol(S)等可提供口令和數(shù)據(jù)雙重加密的安全協(xié)議，禁止使用Telnet,FTP,NFS,等協(xié)議；嚴格控制遠程管理與內(nèi)容更新的權(quán)限；除非運用有力的認證機制如虛擬專用網(wǎng)，否則禁止通過互聯(lián)網(wǎng)進行遠程管理；不應在內(nèi)部網(wǎng)和Web服務器之間設(shè)置文件共享。

Web服務器安全管理檢查表是否執(zhí)行安全措施日志□為每一個虛擬的Web站點建立各自的日志文件□根據(jù)標準RFC1413驗證遠程用戶□將日志文件（syslog）存放在獨立的主機上□根據(jù)組織要求歸檔日志□每日日志檢查□每周日志檢查□使用自動日志分析工具Web服務器備份□制定Web服務器備份策略□每日或者每周增量備份和差異備份□每周至每月的完全備份□定期歸檔備份□維護檢查Web站點的備份數(shù)據(jù)受損恢復□依據(jù)流程向組織匯報安全事件□查詢相關(guān)的安全政策□隔離受損系統(tǒng)和收集證據(jù)□對比類似的系統(tǒng)損害事件□向領(lǐng)導、法律部門咨詢□分析入侵事件□恢復系統(tǒng)□重新測試系統(tǒng)安全□持續(xù)監(jiān)控系統(tǒng)防止類似攻擊再次發(fā)生□書面報告并歸檔安全測試□定期對Web服務器和網(wǎng)絡進行漏洞掃描□測試前更新漏洞掃描程序□弱點掃描程序缺陷彌補遠程管理□使用增強的認證機制（例如PKI、雙因子認證等）□只限通過內(nèi)部網(wǎng)絡和鎖定IP地址的主機進行遠程管理□使用安全協(xié)議（例如S）□遵循遠程管理權(quán)限最小原則，只分配必需的管理權(quán)限□修改遠程管理的默認口令□禁止從Internet通過防火墻進行遠程管理□禁止從Web服務器mount內(nèi)部網(wǎng)上所有共享文件員工使用Web的安全規(guī)范員工使用Web的規(guī)范中國石油鼓勵和提倡各部門、各下屬單位及公司員工通過企業(yè)Web系統(tǒng)進行廣泛交流、獲取信息、查看企業(yè)動態(tài)和信息發(fā)布；用戶應遵守所有使用Web服務的網(wǎng)絡協(xié)議、規(guī)定、程序和慣例；未經(jīng)許可，用戶不得在公司的計算機上安裝個人軟件；用戶應遵照系統(tǒng)管理員的要求安裝和配置客戶端系統(tǒng)，并按企業(yè)要求配置Web客戶端安全選項；用戶應關(guān)注企業(yè)關(guān)于系統(tǒng)弱點漏洞公告和病毒預防通知，按照公告和通知對客戶端系統(tǒng)安全漏洞應及時安裝補丁，定期進行病毒掃描；企業(yè)Web帳號一旦開通，用戶應及時修改口令和口令提示問題；用戶應對自己的Web帳號和口令安全負責，不應將Web帳號借與他人，一旦發(fā)現(xiàn)Web帳號口令泄露，應及時更換口令；用戶不得盜用他人的Web帳號；用戶不得下載任何未經(jīng)許可的數(shù)據(jù)；未經(jīng)批準用戶不得上傳任何有關(guān)企業(yè)的信息；若發(fā)現(xiàn)中國石油Web站點存在任何安全漏洞，應及時通知公司系統(tǒng)管理人員；重要信息的傳輸應加密并采用安全傳輸方式；對違反上述規(guī)定者，一經(jīng)核實，Web系統(tǒng)管理員有權(quán)停止或取消該用戶使用權(quán)限。用戶瀏覽Web站點時應遵守的規(guī)范未授權(quán)用戶不得侵入國家事務、國防建設(shè)、尖端科學技術(shù)等領(lǐng)域的計算機信息系統(tǒng)；用戶不得故意制作、傳播計算機病毒等破壞性程序，不得攻擊計算機系統(tǒng)及通信網(wǎng)絡；用戶不得利用互聯(lián)網(wǎng)造謠、誹謗或者發(fā)表、傳播其他有害信息；用戶不得利用互聯(lián)網(wǎng)煽動民族仇恨、民族歧視，破壞民族團結(jié)；用戶不得利用互聯(lián)網(wǎng)組織邪教組織、聯(lián)絡邪教組織成員，破壞國家法律、行政法規(guī)實施；用戶不得違反國家規(guī)定，擅自中斷計算機網(wǎng)絡或者通信服務，造成計算機網(wǎng)絡或