入網(wǎng)安評基線核查常用檢查項

Linux操作系統(tǒng)序號安全層面控制點測評項風險等級1Linux操作系統(tǒng)身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高2Linux操作系統(tǒng)身份鑒別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。若該操作系統(tǒng)和數(shù)據(jù)庫服務于互聯(lián)網(wǎng)網(wǎng)站，則按以下要求執(zhí)行：普通用戶的口令長度不宜短于10字符，系統(tǒng)管理員用戶的口令長度不宜短于12個字符，且每三個月至少修改一次，口令復雜度為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高3Linux操作系統(tǒng)身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4Linux操作系統(tǒng)身份鑒別d）當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5Linux操作系統(tǒng)身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性中6Linux操作系統(tǒng)身份鑒別應限制超級管理員帳戶遠程登錄中7Linux操作系統(tǒng)訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問，并關閉不必要的服務及端口中8Linux操作系統(tǒng)訪問控制b）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中

9Linux操作系統(tǒng)訪問控制c）應限制默認賬戶的訪問權限，修改這些賬戶的默認口令高10Linux操作系統(tǒng)訪問控制d）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中11Linux操作系統(tǒng)訪問控制e）應禁止root用戶使用FTP中12Linux操作系統(tǒng)訪問控制f）應禁止root遠稈登錄高13Linux操作系統(tǒng)訪問控制g）禁止用戶掛載移動設備中14Linux操作系統(tǒng)訪問控制h）刪除rhosts、exrc文件中15Linux操作系統(tǒng)安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中16Linux操作系統(tǒng)安全審計b）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件；審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中17Linux操作系統(tǒng)安全審計c）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等中18Linux操作系統(tǒng)安全審計d）操作系統(tǒng)的審計日志必須保存6個月以上中19Linux操作系統(tǒng)入侵防范a）操作系統(tǒng)應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新中20Linux操作系統(tǒng)資源控制a）應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄中21Linux操作系統(tǒng)資源控制b）應根據(jù)安全策略設置登錄終端的操作超時鎖定中

22Linux操作系統(tǒng)資源控制c）應限制單個用戶對系統(tǒng)資源的最大或最小使用限度中23Linux操作系統(tǒng)數(shù)據(jù)安全及備份恢復重要操作系統(tǒng)應具有及時恢復還原能力中24Linux操作系統(tǒng)數(shù)據(jù)安全及備份恢復重要服務器應具備熱備冗余能低25Linux操作系統(tǒng)其他應及時更新高危組件版本高Windows操作系統(tǒng)1Windows操作系統(tǒng)身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高2Windows操作系統(tǒng)身份鑒別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換。口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。若該操作系統(tǒng)和數(shù)據(jù)庫服務于互聯(lián)網(wǎng)網(wǎng)站，則按以下要求執(zhí)行：普通用戶的口令長度不宜短于10字符，系統(tǒng)管理員用戶的口令長度不宜短于12個字符，且每三個月至少修改一次，口令復雜度為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高3Windows操作系統(tǒng)身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4Windows操作系統(tǒng)身份鑒別d）當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5Windows操作系統(tǒng)身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性中

6Windows操作系統(tǒng)身份鑒別應限制超級管理員帳戶遠程登錄中7Windows操作系統(tǒng)訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問高8Windows操作系統(tǒng)訪問控制b）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中9Windows操作系統(tǒng)訪問控制c）應限制默認賬戶的訪問權限，修改這些賬戶的默認口令高10Windows操作系統(tǒng)訪問控制d）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中11Windows操作系統(tǒng)訪問控制e）應對安全控制選項進行優(yōu)化中12Windows操作系統(tǒng)訪問控制f）應對控制驅動器和系統(tǒng)在藍屏之后自動運行提供保護中13Windows操作系統(tǒng)訪問控制g）應對文件系統(tǒng)實施保護中14Windows操作系統(tǒng)安全審計a）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件；審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中15Windows操作系統(tǒng)安全審計b）應保護日志設施和日志信息免受篡改和未授權訪問，保護審計記錄，避免受到未預期的刪除、修改或覆蓋等中16Windows操作系統(tǒng)入侵防范a）操作系統(tǒng)應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新高17Windows操作系統(tǒng)入侵防范b）應防止SYNFLOOD攻擊中18Windows操作系統(tǒng)入侵防范c）防止icmp重定向報文的攻擊中

19Windows操作系統(tǒng)入侵防范d）禁止ipc空連接高20Windows操作系統(tǒng)入侵防范e）啟動項檢查，禁用多余的啟動項中21Windows操作系統(tǒng)入侵防范f）操作系統(tǒng)關機策略安全中22Windows操作系統(tǒng)入侵防范g）操作系統(tǒng)數(shù)據(jù)執(zhí)行保護安全中23Windows操作系統(tǒng)入侵防范h）應開啟系統(tǒng)自帶或第二方防火墻中24Windows操作系統(tǒng)入侵防范應禁用可遠程訪問的注冊表路徑和子路徑中25Windows操作系統(tǒng)惡意代碼防范a）應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫高26Windows操作系統(tǒng)惡意代碼防范b）應支持防惡意代碼軟件的統(tǒng)管理。中27Windows操作系統(tǒng)資源控制a）應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄中28Windows操作系統(tǒng)資源控制b）應根據(jù)安全策略設置登錄終端的操作超時鎖定中29Windows操作系統(tǒng)資源控制c）應限制單個用戶對系統(tǒng)資源的最大或最小使用限度中30Windows操作系統(tǒng)資源控制應啟用并正確配置Windows網(wǎng)絡時間同步服務（NTP）中31Windows操作系統(tǒng)其他應及時更新高危組件版本高

Tomcat中間件26Tomcat中間件身份鑒別a）應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別高27Tomcat中間件身份鑒別b）應提供用戶身份標識唯一和鑒別信息復雜度檢杳功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用。1、 用戶在第一次登錄系統(tǒng)時修改分發(fā)的初始口令。2、 口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等同。3、口令應至少半年更新次。4、禁止應用軟件明文存儲口令。高28Tomcat中間件訪問控制a）應提供專門管理中間件的帳戶，該賬戶應該只有管理中間的相關權限中29Tomcat中間件訪問控制b）應修改默認口令或禁用默認賬號高30Tomcat中間件訪問控制應嚴格控制中間件目錄的訪問權限，應禁止站點目錄瀏覽中31Tomcat中間件訪問控制應刪除或鎖定過期帳戶和無用帳戶中32Tomcat中間件訪問控制應嚴格限制配置文件和日志文件的訪問權限中33Tomcat中間件安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中34Tomcat中間件安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中35Tomcat中間件資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中36Tomcat中間件入侵防護a）應對系統(tǒng)的配置進行調(diào)整，提高系統(tǒng)安全。高

37Tomcat中間件入侵防護b）應確保禁止遍歷操作系統(tǒng)目錄高38Tomcat中間件入侵防護c）應防止軟件版本信息泄漏中39Tomcat中間件入侵防護d）應修改錯誤文件信息，防止信息泄漏中40Tomcat中間件入侵防護e）中間件系統(tǒng)應限制應用服務器Threads數(shù)量，避免拒絕服務攻擊中41Tomcat中間件入侵防護f）應對中間件管理后臺操作進行登陸源限制中42Tomcat中間件入侵防護中間件應及時更新版本補丁中Nginx中間件26Nginx中間件訪問控制a）嚴格設置配置文件的權限，防止未授權訪問中27Nginx中間件訪問控制b）應提供專門管理中間件的帳戶，該賬戶應該只有管理中間的相關權限中28Nginx中間件訪問控制c）禁止nginx訪問.htxxx文件中29Nginx中間件安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中30Nginx中間件安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中31Nginx中間件資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中32Nginx中間件資源控制限制最大會話連接數(shù)中

33Nginx中間件資源控制限制用戶連接數(shù)中34Nginx中間件入侵防護a）應關閉服務器應答頭中的版本信息，服務器生成頁面的頁腳中版本信息，防止信息泄露中35Nginx中間件入侵防護b）應確保禁止遍歷操作系統(tǒng)目錄高36Nginx中間件入侵防護e）應對中間件管理后臺操作進行登陸源限制中37Nginx中間件入侵防護f）限制某些ip在同一時間段內(nèi)的訪問次數(shù)中38Nginx中間件入侵防護g）自定義緩存以限制緩沖區(qū)溢出攻擊中39Nginx中間件入侵防護應及時更新nginx補丁中40Nginx中間件入侵防護c）應修改錯誤文件信息，防止信息泄漏中41Nginx中間件數(shù)據(jù)安全對敏感字段進行過濾中42Nginx中間件備份恢復應具備緊急恢復還原能力中Mysql數(shù)據(jù)庫43MySQL數(shù)據(jù)庫身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高

44MySQL數(shù)據(jù)庫身份鑒別b）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高45MySQL數(shù)據(jù)庫身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中46MySQL數(shù)據(jù)庫身份鑒別d）當對數(shù)據(jù)庫行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中47MySQL數(shù)據(jù)庫身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性高48MySQL數(shù)據(jù)庫訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問高49MySQL數(shù)據(jù)庫訪問控制b）應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限中50MySQL數(shù)據(jù)庫訪問控制c）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中51MySQL數(shù)據(jù)庫訪問控制d）應限制默認賬戶的訪問權限，重命名系統(tǒng)默認賬戶，修改這些賬戶的默認口令高52MySQL數(shù)據(jù)庫訪問控制e）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中53MySQL數(shù)據(jù)庫安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中54MySQL數(shù)據(jù)庫安全審計b）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件中55MySQL數(shù)據(jù)庫安全審計c）申計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中56MySQL數(shù)據(jù)庫安全審計d）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等中

57MySQL數(shù)據(jù)庫入侵防范數(shù)據(jù)庫應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新高58MySQL數(shù)據(jù)庫入侵防范應對于數(shù)據(jù)庫中的敏感字段，如：口令等，加密保存高59MySQL數(shù)據(jù)庫入侵防范應通過設定終端接入方式或網(wǎng)絡地址范圍限制通過網(wǎng)絡進行管理的管理終端進行限制高60MySQL數(shù)據(jù)庫資源控制應根據(jù)安全策略設置登錄終端的操作超時鎖定中Weblogic中間件1Weblogic中間件身份鑒別a）應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別高2Weblogic中間件身份鑒別b）應提供用戶身份標識唯一和鑒別信息復雜度檢杳功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用高3Weblogic中間件身份鑒別c）應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4Weblogic中間件訪問控制應授予不同帳戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系中5Weblogic中間件訪問控制應嚴格控制中間件目錄的訪問權限，應禁止站點目錄瀏覽中6Weblogic中間件訪問控制應嚴格限制配置文件和日志文件的訪問權限中7Weblogic中間件訪問控制應刪除或鎖定過期帳戶和無用帳戶中8Weblogic中間件訪問控制應不以root或者administrator等管理員用戶運行weblogic中

9Weblogic中間件安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中10Weblogic中間件安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中11Weblogic中間件安全審計c）審計記錄的內(nèi)容至少應包括事件日期、時間、發(fā)起者信息、類型、描述和結果等中12Weblogic中間件通信保密性a）在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證中13Weblogic中間件資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中14Weblogic中間件入侵防護a）應禁用中間件在通信過程發(fā)送服務標識，防止信息泄露中15Weblogic中間件入侵防護b）應開啟SSL保護功能中16Weblogic中間件入侵防護c）應修改中間件默認端口中17Weblogic中間件入侵防護d）應限制應用服務器Socket數(shù)量，避免拒絕服務攻擊中18Weblogic中間件入侵防護e）重命名控制臺文件夾中19Weblogic中間件入侵防護f）應對錯誤頁面進行了重定向處理中20Weblogic中間件入侵防護g）應刪除中間件不必要組件和缺省安裝的無用文件、進行基本的安全配置和加固中21Weblogic中間件入侵防護h）應對中間件管理后臺操作進行登陸源限制中22Weblogic中間件入侵防護應及時更新中間件補丁中

23Weblogic中間件備份恢復應具備緊急恢復還原能力中Oracle數(shù)據(jù)庫86Oracle數(shù)據(jù)庫身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高87Oracle數(shù)據(jù)庫身份鑒別b）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高88Oracle數(shù)據(jù)庫身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中89Oracle數(shù)據(jù)庫身份鑒別d）當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中90Oracle數(shù)據(jù)庫身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性高91Oracle數(shù)據(jù)庫身份鑒別f）應對數(shù)據(jù)庫主機管理員帳號進行控制（unix中\(zhòng)windows低）高92Oracle數(shù)據(jù)庫訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問中93Oracle數(shù)據(jù)庫訪問控制b）應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限中94Oracle數(shù)據(jù)庫訪問控制c）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離高95Oracle數(shù)據(jù)庫訪問控制d）應限制默認賬戶的訪問權限，修改這些賬戶的默認口令中

96Oracle數(shù)據(jù)庫訪問控制e）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中97Oracle數(shù)據(jù)庫訪問控制f）應對數(shù)據(jù)庫數(shù)據(jù)字典進行保護中98Oracle數(shù)據(jù)庫安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中99Oracle數(shù)據(jù)庫安全審計b）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件中100Oracle數(shù)據(jù)庫安全審計c）申計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等高101Oracle數(shù)據(jù)庫安全審計d）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等高102Oracle數(shù)據(jù)庫入侵防范a）數(shù)據(jù)庫應遵循最小安裝的原則，僅安裝需要的組件，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新高103Oracle數(shù)據(jù)庫入侵防范c）修改數(shù)據(jù)庫默認端口中104Oracle數(shù)據(jù)庫入侵防范d）對于數(shù)據(jù)庫中的敏感字段，如：口令等，應加密保存高105Oracle數(shù)據(jù)庫監(jiān)聽器防護a）應設置監(jiān)聽口令中106Oracle數(shù)據(jù)庫監(jiān)聽器防護b）應設置監(jiān)聽服務空閑連接超時時間中107Oracle數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復a）應提供本地數(shù)據(jù)備份與恢復功能,應定期對數(shù)據(jù)庫配置參數(shù)進行備份中108Oracle數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復b）應具備熱備冗余能力（重要系統(tǒng)）低

109Oracle數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復C）應有數(shù)據(jù)庫備份操作規(guī)程低Redis數(shù)據(jù)庫序號安全層面控制點測評項風險等級2redis數(shù)據(jù)庫身份鑒別a）應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別高3redis數(shù)據(jù)庫身份鑒別b）應提供用戶身份標識唯一和鑒別信息復雜度檢杳功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用。1、 用戶在第一次登錄系統(tǒng)時修改分發(fā)的初始口令。2、 口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等同。3、口令應至少半年更新次。高4redis數(shù)據(jù)庫訪問控制a）應禁止root用戶啟用redis中5redis數(shù)據(jù)庫訪問控制b）應修改默認口令中6redis數(shù)據(jù)庫訪問控制應嚴格控制redis主目錄的訪問權限高7redis數(shù)據(jù)庫訪問控制應嚴格限制配置文件和日志文件的訪問權限高8redis數(shù)據(jù)庫安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中9redis數(shù)據(jù)庫安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中

10redis數(shù)據(jù)庫資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話高11redis數(shù)據(jù)庫入侵防護a）應對系統(tǒng)的配置進行調(diào)整，提高系統(tǒng)安全中12redis數(shù)據(jù)庫入侵防護b）應修改錯誤文件信息，防止信息泄漏中13redis數(shù)據(jù)庫入侵防護c）應限制應用服務器Threads數(shù)量，避免拒絕服務攻擊中14redis數(shù)據(jù)庫入侵防護f）應對redis管理后臺操作進行登陸源限制中15redis數(shù)據(jù)庫入侵防護應及時更新redis補丁中達夢數(shù)據(jù)庫1達夢數(shù)據(jù)庫身份鑒別應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高2達夢數(shù)據(jù)庫身份鑒別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令高3達夢數(shù)據(jù)庫身份鑒別應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4達夢數(shù)據(jù)庫身份鑒別當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5達夢數(shù)據(jù)庫身份鑒別應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性高6達夢數(shù)據(jù)庫身份鑒別應對數(shù)據(jù)庫主機管理員帳號進行控制中

7達夢數(shù)據(jù)庫訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問中8達夢數(shù)據(jù)庫訪問控制b）應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶與應用系統(tǒng)用戶的權限分離，僅授予應用系統(tǒng)用戶所需的最小權限高9達夢數(shù)據(jù)庫訪問控制C）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中10達夢數(shù)據(jù)庫訪問控制d）應限制默認賬戶的訪問權限，修改這些賬戶的默認口令高11達夢數(shù)據(jù)庫訪問控制e）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中12達夢數(shù)據(jù)庫安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中13達夢數(shù)據(jù)庫安全審計b）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件中14達夢數(shù)據(jù)庫安全審計c）申計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中15達夢數(shù)據(jù)庫安全審計d）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等中16達夢數(shù)據(jù)庫入侵防范a）數(shù)據(jù)庫應遵循最小安裝的原則，僅安裝需要的組件，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新中17達夢數(shù)據(jù)庫入侵防范b）修改數(shù)據(jù)庫默認端口中18達夢數(shù)據(jù)庫入侵防范c）對于數(shù)據(jù)庫中的敏感字段，如：口令等，應加密保存高19達夢數(shù)據(jù)庫入侵防范d）數(shù)據(jù)庫服務器應當置于單獨的服務器區(qū)域，任何對這些數(shù)據(jù)庫服務器的物理訪問均應受到控制低

20達夢數(shù)據(jù)庫入侵防范e）數(shù)據(jù)庫服務器所在的服務器區(qū)域邊界應部署防火墻或其它邏輯隔離設施低21達夢數(shù)據(jù)庫監(jiān)聽器防護a）應設置監(jiān)聽服務空閑連接超時時間中22達夢數(shù)據(jù)庫資源控制終端接入方式限制中23達夢數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復a）應提供本地數(shù)據(jù)備份與恢復功能，應定期對數(shù)據(jù)庫配置參數(shù)進彳丁備份中24達夢數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復b）應具備熱備冗余能力低應用系統(tǒng)61應用系統(tǒng)身份鑒別應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別高62應用系統(tǒng)身份鑒別應提供用戶身份標識唯一和鑒別信息復雜度檢杳功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用中63應用系統(tǒng)身份鑒別應提供用戶身份標識唯一和鑒別信息復雜度檢杳功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用高64應用系統(tǒng)身份鑒別應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中65應用系統(tǒng)訪問控制應提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問中66應用系統(tǒng)訪問控制應由授權主體配置訪問控制策略，并嚴格限制默認賬戶的訪問權限，并及時刪除或禁用多余、過期帳戶中

67應用系統(tǒng)訪問控制應授予不同賬戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系中68應用系統(tǒng)訪問控制應將業(yè)務系統(tǒng)后臺管理頁面服務端口與業(yè)務系統(tǒng)頁面服務端口分離中69應用系統(tǒng)安全審計應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中70應用系統(tǒng)安全審計應保證無法刪除、修改或覆蓋審計記錄中71應用系統(tǒng)通信完整性應采用密碼技術保證通信過程中數(shù)據(jù)的完整性低72應用系統(tǒng)通信保密性在通信雙方建立連接之前，應用系統(tǒng)應利用密碼技術進行會話初始化驗證低73應用系統(tǒng)通信保密性應對通信過程中的整個報文或會話過程進行加密高74應用系統(tǒng)軟件容錯應提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設定要求中75應用系統(tǒng)軟件容錯應提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)類型符合系統(tǒng)設定要求高76應用系統(tǒng)軟件容錯在故障發(fā)生時，應用系統(tǒng)應能夠繼續(xù)提供一部分功能，確保能夠實施必要的措施低77應用系統(tǒng)軟件容錯d）采用Struts2框架的應用系統(tǒng)，應對Struts2及時進行更新高78應用系統(tǒng)軟件容錯提供下載功能時，需要嚴格限制用戶下載的文件路徑，避免用戶非法下載音應用系統(tǒng)其它文件中79應用系統(tǒng)資源控制當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中

80應用系統(tǒng)資源控制應能夠對應用系統(tǒng)的最大并發(fā)會話連接數(shù)進行限制中81應用系統(tǒng)資源控制應能夠對單個賬戶的多重并發(fā)會話進行限制中82應用系統(tǒng)應用系統(tǒng)漏洞掃描對應用程序進行漏洞掃描，檢測系統(tǒng)存在的安全漏洞低83應用系統(tǒng)應用系統(tǒng)漏洞掃描對應用程序進行漏洞掃描，檢測系統(tǒng)存在的安全漏洞中84應用系統(tǒng)應用系統(tǒng)漏洞掃描對應用程序進行漏洞掃描，檢測系統(tǒng)存在的安全漏洞高85應用系統(tǒng)數(shù)據(jù)安全及備份恢復a）應米用加密或其他保護措施實現(xiàn)應用系統(tǒng)敏感信息的存儲保密性高滲透測試1滲透測試未授權訪問/權限繞過檢查是否存在未授權訪問/權限繞過漏洞中2滲透測試SQL注入檢查是否存在SQL注入風險高3滲透測試URL跳轉檢查是否存在URL跳轉漏洞中4滲透測試其他檢查是否存在其他風險高5滲透測試跨站腳本編制檢查是否存在跨站腳本編制風險高6滲透測試任意文件上傳檢查是否存在任意文件上傳漏洞中7滲透測試任意文件下載檢查是否存在任意文件下載漏洞中8滲透測試匿名枚舉檢杳是否存在匿名枚舉漏洞中9滲透測試目錄遍歷檢查是否存在目錄遍歷漏洞中

10滲透測試跨站請求偽造檢查疋否存在跨站請求偽造漏洞中11滲透測試遠程溢出漏洞檢查是否存在遠程溢出漏洞高12滲透測試敏感信息泄露檢查是否存在敏感信息泄露中業(yè)務應用滲透測試登錄用戶名窮舉中業(yè)務應用滲透測試數(shù)據(jù)批量提交低業(yè)務應用滲透測試多個前端信息泄露低業(yè)務應用滲透測試SQL注入高業(yè)務應用滲透測試反射型跨站腳本漏洞高業(yè)務應用滲透測試文件上傳測試高業(yè)務應用滲透測試內(nèi)網(wǎng)地址泄露低業(yè)務應用滲透測試越權訪問測試高業(yè)務應用滲透測試主機頭攻擊漏洞低業(yè)務應用滲透測試關鍵數(shù)據(jù)傳輸加密測試低業(yè)務應用滲透測試關鍵數(shù)據(jù)重放測試中業(yè)務應用滲透測試明文傳輸漏洞中

業(yè)務應用滲透測試多點登錄測試低業(yè)務應用滲透測試嘗試敏感路徑爆破中AIX操作系統(tǒng)1AIX操作系統(tǒng)身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高2AIX操作系統(tǒng)身份鑒別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。若該操作系統(tǒng)和數(shù)據(jù)庫服務于互聯(lián)網(wǎng)網(wǎng)站，則按以下要求執(zhí)行：普通用戶的口令長度不宜短于10字符，系統(tǒng)管理員用戶的口令長度不宜短于12個字符，且每三個月至少修改一次，口令復雜度為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高3AIX操作系統(tǒng)身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4AIX操作系統(tǒng)身份鑒別d）當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5AIX操作系統(tǒng)身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性中6AIX操作系統(tǒng)訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問，并關閉不必要的服務及端口中7AIX操作系統(tǒng)訪問控制b）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中

8AIX操作系統(tǒng)訪問控制c）應限制默認賬戶的訪問權限，修改這些賬戶的默認口令高9AIX操作系統(tǒng)訪問控制d）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中10AIX操作系統(tǒng)訪問控制e）應禁止root用戶使用FTP低11AIX操作系統(tǒng)訪問控制f）應禁止root遠稈登錄高12AIX操作系統(tǒng)訪問控制應啟用安全路徑中13AIX操作系統(tǒng)安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中14AIX操作系統(tǒng)安全審計b）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件；審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中15AIX操作系統(tǒng)安全審計c）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等中16AIX操作系統(tǒng)安全審計d）操作系統(tǒng)的審計日志必須保存兩個月以上中17AIX操作系統(tǒng)入侵防范a）創(chuàng)建警示BANNER對惡意攻擊者或嘗試者發(fā)起警示低18AIX操作系統(tǒng)入侵防范b）刪除.rhost文件，防止不安全R系列服務登錄系統(tǒng)中19AIX操作系統(tǒng)資源控制a）應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄中20AIX操作系統(tǒng)資源控制b）應根據(jù)安全策略設置登錄終端的操作超時鎖定中21AIX操作系統(tǒng)資源控制c）應限制單個用戶對系統(tǒng)資源的最大或最小使用限度低

22AIX操作系統(tǒng)數(shù)據(jù)安全及備份恢復重要操作系統(tǒng)應具有及時恢復還原能力中23AIX操作系統(tǒng)數(shù)據(jù)安全及備份恢復重要服務器應具備熱備冗余能低24AIX操作系統(tǒng)其他應及時更新高危組件版本高中創(chuàng)中間件11中創(chuàng)中間件身份鑒別a）應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別高2中創(chuàng)中間件身份鑒別b）應提供用戶身份標識唯一和鑒別信息復雜度檢杳功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用高3中創(chuàng)中間件身份鑒別c）應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4中創(chuàng)中間件訪問控制a）應不以root或者administrator等管理員用戶運行中創(chuàng)中間件中5中創(chuàng)中間件安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中6中創(chuàng)中間件安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中7中創(chuàng)中間件通信保密性中間件通信或數(shù)據(jù)傳輸需經(jīng)過加密處理中8中創(chuàng)中間件資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中9中創(chuàng)中間件資源控制b）設置最大并發(fā)連接數(shù)中

10中創(chuàng)中間件入侵防護a）應開啟SSL保護功能中11中創(chuàng)中間件入侵防護b）應修改中間件默認端口中12中創(chuàng)中間件入侵防護c）應對錯誤頁面進行了重定向處理中13中創(chuàng)中間件入侵防護d）應對中間件管理后臺操作進行登陸源限制中14中創(chuàng)中間件入侵防護e）應用端口與管理端口應分開部署，管理端口對普通用戶不可見中IIS中間件1IIS中間件安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中2IIS中間件安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中3IIS中間件資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中4IIS中間件資源控制b）應能夠對系統(tǒng)的最大并發(fā)會話連接數(shù)進行限制中5IIS中間件資源控制c）應禁用多余服務以提升系統(tǒng)安全性和資源利用效率中6IIS中間件入侵防護a）應刪除部分安裝缺省文件或目錄，加強IIS安全中7IIS中間件入侵防護b）應最小化腳本映射，達到減少被腳本攻擊的風險中8IIS中間件入侵防護c）重新定義出錯頁面的內(nèi)容中

9IIS中間件入侵防護d）應對中間件管理后臺操作進行登陸源限制中10IIS中間件備份恢復應具備緊急恢復還原能力中Apache中間件1Apache中間件訪問控制a）嚴格設置配置文件的權限，防止未授權訪問中2Apache中間件訪問控制b）應提供專門管理中間件的帳戶，該賬戶應該只有管理中間的相關權限中3Apache中間件訪問控制禁止Apache訪問Web目錄之外的任何文件中4Apache中間件安全審計a）應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計中5Apache中間件安全審計b）應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄中6Apache中間件資源控制a）當應用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應，另一方應能夠自動結束會話中7Apache中間件資源控制限制最大會話連接數(shù)中8Apache中間件入侵防護a）應關閉服務器應答頭中的版本信息，服務器生成頁面的頁腳中版本信息，防止信息泄露中9Apache中間件入侵防護b）應確保禁止遍歷操作系統(tǒng)目錄高10Apache中間件入侵防護c）應修改錯誤文件信息，防止信息泄漏中11Apache中間件入侵防護d）應通過對Apache的配置調(diào)整，提高系統(tǒng)安全中

12Apache中間件入侵防護e）應對中間件管理后臺操作進行登陸源限制中13Apache中間件入侵防護中間件應及時更新版本補丁中14Apache中間件備份恢復應具備緊急恢復還原能力低Mariadb數(shù)據(jù)庫1Mariadb數(shù)據(jù)庫身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高2Mariadb數(shù)據(jù)庫身份鑒別b）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換?？诹铋L度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高3Mariadb數(shù)據(jù)庫身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4Mariadb數(shù)據(jù)庫身份鑒別d）當對數(shù)據(jù)庫行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5Mariadb數(shù)據(jù)庫身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性高6Mariadb數(shù)據(jù)庫訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問高7Mariadb數(shù)據(jù)庫訪問控制b）應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限中8Mariadb數(shù)據(jù)庫訪問控制c）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中

9Mariadb數(shù)據(jù)庫訪問控制d）應限制默認賬戶的訪問權限，重命名系統(tǒng)默認賬戶，修改這些賬戶的默認口令高10Mariadb數(shù)據(jù)庫訪問控制e）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中11Mariadb數(shù)據(jù)庫安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中12Mariadb數(shù)據(jù)庫安全審計b）審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件中13Mariadb數(shù)據(jù)庫安全審計c）申計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中14Mariadb數(shù)據(jù)庫安全審計d）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等中15Mariadb數(shù)據(jù)庫入侵防范數(shù)據(jù)庫應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新高16Mariadb數(shù)據(jù)庫入侵防范應對于數(shù)據(jù)庫中的敏感字段，如：口令等，加密保存高17Mariadb數(shù)據(jù)庫入侵防范應通過設定終端接入方式或網(wǎng)絡地址范圍限制通過網(wǎng)絡進行管理的管理終端進行限制高18Mariadb數(shù)據(jù)庫資源控制應根據(jù)安全策略設置登錄終端的操作超時鎖定中MongoDB數(shù)據(jù)庫MongoDB數(shù)身份鑒別a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶高11據(jù)庫進行身份標識和鑒別

2MongoDB數(shù)據(jù)庫身份鑒別b）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應不易被冒用，口令復雜度應滿足要求并定期更換。口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，用戶名和口令不得等冋，禁止應用軟件明文存儲口令。高3MongoDB數(shù)據(jù)庫身份鑒別c）應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施中4MongoDB數(shù)據(jù)庫身份鑒別d）當對數(shù)據(jù)庫行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5MongoDB數(shù)據(jù)庫身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性高6MongoDB數(shù)據(jù)庫訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問高7MongoDB數(shù)據(jù)庫訪問控制b）應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需的最小權限中8MongoDB數(shù)據(jù)庫訪問控制c）應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離中9MongoDB數(shù)據(jù)庫訪問控制d）應限制默認賬戶的訪問權限，重命名系統(tǒng)默認賬戶，修改這些賬戶的默認口令高10MongoDB數(shù)據(jù)庫訪問控制e）應及時刪除多余的、過期的帳戶，避免共享帳戶的存在中11MongoDB數(shù)據(jù)庫安全審計a）審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶中12MongoDB數(shù)據(jù)庫安全審計c）申計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等中13MongoDB數(shù)據(jù)庫安全審計d）應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。申計記錄應保留6個月中14MongoDB數(shù)據(jù)庫入侵防范數(shù)據(jù)庫應遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新中

15MongoDB數(shù)據(jù)庫入侵防范c）開啟服務器監(jiān)控功能并修改默認監(jiān)控服務器地址和端口號高16MongoDB數(shù)據(jù)庫入侵防范應對于數(shù)據(jù)庫中的敏感字段，如：口令等，加密保存高17MongoDB數(shù)據(jù)庫資源控制應根據(jù)安全策略設置登錄終端的操作超時鎖定高18MongoDB數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復a）應提供本地數(shù)據(jù)備份與恢復功能,應定期對數(shù)據(jù)庫配置參數(shù)進彳丁備份中19MongoDB數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復b）應具備熱備冗余能力低20MongoDB數(shù)據(jù)庫數(shù)據(jù)安全及備份恢復c）應有數(shù)據(jù)庫備份操作規(guī)程低postgreSQL數(shù)據(jù)庫11postgreSQL數(shù)據(jù)庫身份鑒別應檢查數(shù)據(jù)庫系統(tǒng)的身份鑒別措施；a）應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別高2postgreSQL數(shù)據(jù)庫身份鑒別b）操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換中3postgreSQL數(shù)據(jù)庫身份鑒別c）應啟用登錄驗證超時功能，當?shù)卿涍^程中在定時間內(nèi)未進行密碼驗證時，需等待段時間后才能進行下一次登錄高4postgreSQL數(shù)據(jù)庫身份鑒別d）當對數(shù)據(jù)庫行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽中5postgreSQL數(shù)據(jù)庫身份鑒別e）應為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不冋的用戶名，確保用戶名具有唯性高

6postgreSQL數(shù)據(jù)庫身份鑒別f）設置密碼應時防止密碼被記錄到數(shù)據(jù)庫日志、history、或審計日志，pg_stat_activity,pg_stat_statement中高7postgreSQL數(shù)據(jù)庫身份鑒別g）密碼安全中8postgreSQL數(shù)據(jù)庫訪問控制a）應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問中9postgreSQL數(shù)據(jù)庫訪問控制b）應根據(jù)管理用戶的角色分配權限，實現(xiàn)管理用戶的權限分離，僅授予管理用戶所需