信息安全技術(shù) 政務(wù)計(jì)算機(jī)終端核心配置規(guī)范 征求意見稿

1GB/TXXXXX—XXXX信息安全技術(shù)政務(wù)計(jì)算機(jī)終端核心配置規(guī)范本文件明確了政務(wù)計(jì)算機(jī)終端核心配置對象和配置范圍，規(guī)定了其配置要求、實(shí)施要求以及基線配置描述文件的格式規(guī)范，提供了配置要求和實(shí)施要求的證實(shí)方法。本文件適用于政務(wù)部門對核心配置對象上安裝的核心配置范圍內(nèi)的軟件開展配置工作。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件。不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239—2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求GB/T25100—2010信息與文獻(xiàn)都柏林核心元數(shù)據(jù)元素集ISO/IEC18180:2013信息技術(shù)可擴(kuò)展配置清單描述格式規(guī)范1.2版（Informationtechnology—SpecificationfortheExtensibleConfigurationChecklistDescriptionFormat(XCCDF)Version1.2）3術(shù)語和定義GB/T22239—2019、GB/T25069—2022、GB/T25647—2010和GB/T40692—2021界定的以及下列術(shù)語和定義適用于本文件。3.1政務(wù)計(jì)算機(jī)終端governmentclientcomputer用以滿足政務(wù)部門業(yè)務(wù)需求的計(jì)算機(jī)終端，如桌面計(jì)算機(jī)、便攜式計(jì)算機(jī)和虛擬桌面等。3.2核心配置項(xiàng)（配置項(xiàng)）coreconfigurationitem針對核心配置范圍中某一軟件的一條安全配置項(xiàng)。注：核心配置項(xiàng)類型包括開關(guān)項(xiàng)、枚舉項(xiàng)、區(qū)間項(xiàng)和復(fù)合項(xiàng)，可以根據(jù)3.3核心配置coreconfiguration對核心配置項(xiàng)進(jìn)行參數(shù)設(shè)置的過程。注：通過核心配置限制或禁止存在安全隱患或漏洞的功能，啟用或加強(qiáng)安全保3.4核心配置項(xiàng)基值coreconfigurationitembasevalue2GB/TXXXXX—XXXX按照配置要求對核心配置項(xiàng)設(shè)置的參數(shù)值。3.5核心配置基線coreconfigurationbaseline能夠滿足計(jì)算機(jī)安全基本要求的一組核心配置項(xiàng)基值構(gòu)成的集合。3.6核心配置清單coreconfigurationrequirementlist由配置要求列項(xiàng)構(gòu)成的一種列表，是對核心配置項(xiàng)屬性的一種形式描述。3.7核心配置基線包c(diǎn)oreconfigurationbaselinepackage為實(shí)現(xiàn)核心配置基線自動化部署而制定的一種具有特定語法格式的核心配置數(shù)據(jù)文件。4縮略語下列縮略語適用于本文件。BIOS：基本輸入輸出系統(tǒng)（BasicInputOutputSystem）CGDCC：政務(wù)計(jì)算機(jī)終端核心配置（ChineseGovernmentDesktopCoreConfiguration）DEP：數(shù)據(jù)執(zhí)行保護(hù)（DataExecutionPrevention）TCM：可信密碼模塊（TrustedCryptographyModule）XCCDF：可擴(kuò)展配置檢查表描述格式（ExtensibleConfigurationChecklistDescriptionFormat）XML：可擴(kuò)展標(biāo)記語言（ExtensibleMarkupLanguage）5概述5.1核心配置對象與范圍政務(wù)計(jì)算機(jī)終端的核心配置主要針對政務(wù)部門的核心配置對象上安裝有核心配置范圍內(nèi)的軟件提出配置要求。核心配置對象包括：連接到互聯(lián)網(wǎng)、政務(wù)網(wǎng)絡(luò)（政務(wù)內(nèi)網(wǎng)、政務(wù)外網(wǎng)）的政務(wù)計(jì)算機(jī)終端。核心配置范圍包括：BIOS、計(jì)算機(jī)操作系統(tǒng)、辦公軟件、瀏覽器、電子郵件客戶端、安全防護(hù)軟件、即時通信軟件。5.2安全要素依據(jù)GB/T22239—2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》中8.1.4和8.3.3等章節(jié)對于第三級安全計(jì)算環(huán)境的要求，表1列出安全要素，第5章將依據(jù)安全要素提出配置要求。表1安全要素表3GB/TXXXXX—XXXX5.3核心配置實(shí)施流程政務(wù)計(jì)算機(jī)終端核心配置實(shí)施流程主要包括實(shí)施準(zhǔn)備、基線制定、測試驗(yàn)證、配置部署、配置檢查和例外處理等六個階段，如圖1所示。圖1核心配置實(shí)施流程圖5.4自動化部署及監(jiān)測流程依據(jù)本文件執(zhí)行核心配置基線部署工作時，可根據(jù)終端規(guī)模選擇手動部署或自動部署。選擇手動部署時，可參考附錄B、附錄C編制核心配置清單，經(jīng)內(nèi)部審核后根據(jù)此清單對目標(biāo)配置對象進(jìn)行人工逐項(xiàng)賦值并定期檢查核心配置項(xiàng)。4GB/TXXXXX—XXXX對于有一定規(guī)模的政務(wù)終端核心配置應(yīng)用場景，需要配備自動化部署及監(jiān)測平臺，協(xié)助完成核心配置的編輯、驗(yàn)證、部署和監(jiān)測工作。附錄A指導(dǎo)用戶將核心配置清單落實(shí)為核心配置基線包，附錄B給出了將配置要求落實(shí)為核心配置清單的示例，附錄C給出了將核心配置清單落實(shí)為基線配置文件的示例。自動化部署及監(jiān)測平臺由四個基本功能模塊構(gòu)成，分別是配置編輯模塊、配置驗(yàn)證模塊、配置部署模塊和配置監(jiān)測模塊，如圖2所示。其中，配置編輯模塊主要用于將核心配置清單（簡稱配置清單）轉(zhuǎn)換成核心配置基線包，配置驗(yàn)證模塊用于對核心配置基線包進(jìn)行驗(yàn)證和測試，生成可部署的配置基線包；配置部署模塊用于對核心配置基線包進(jìn)行自動化部署；配置監(jiān)測模塊用于對核心配置狀態(tài)進(jìn)行自動監(jiān)測。圖2自動化部署及監(jiān)測平臺框架圖6配置要求6.1BIOS配置要求6.1.1身份鑒別身份鑒別配置要求包括：a)應(yīng)啟動身份鑒別機(jī)制,并設(shè)置符合安全策略的BIOS口令長度、復(fù)雜度；b)應(yīng)限制連續(xù)登錄失敗次數(shù)，達(dá)到登錄失敗次數(shù)后中止本次啟動。6.1.2訪問控制5GB/TXXXXX—XXXX訪問控制配置要求包括：a)應(yīng)默認(rèn)關(guān)閉定時開機(jī)、遠(yuǎn)程模式控制開機(jī)等開機(jī)模式；b)在啟用管理員賬戶和普通用戶賬戶時，管理員賬戶應(yīng)配置啟動順序，并設(shè)置優(yōu)先從本地磁盤啟動，普通用戶僅能查看啟動順序。6.1.3可信驗(yàn)證可信驗(yàn)證配置要求包括：a)應(yīng)默認(rèn)開啟可信根模塊和可信驗(yàn)證功能；b)應(yīng)啟用對BIOS自身的可信驗(yàn)證功能。6.1.4數(shù)據(jù)保密性數(shù)據(jù)保密性配置要求包括：a)在硬件支持的條件下，應(yīng)配置硬盤訪問口令；b)在硬件支持的條件下，應(yīng)啟用硬盤加密功能。6.2操作系統(tǒng)配置要求6.2.1身份鑒別身份鑒別配置要求包括：a)賬戶登錄時，應(yīng)啟動身份驗(yàn)證機(jī)制，限制連續(xù)登錄失敗次數(shù)，連續(xù)多次登錄失敗后應(yīng)鎖定賬戶；b)應(yīng)配置遠(yuǎn)程網(wǎng)絡(luò)認(rèn)證策略，選擇安全的身份認(rèn)證協(xié)議、密碼保護(hù)技術(shù)，如具有防重放、防暴力破解等機(jī)制；c)應(yīng)啟用賬戶鑒別數(shù)據(jù)存儲安全配置，保護(hù)賬戶鑒別數(shù)據(jù)的存儲安全；d)使用基于口令鑒別登錄用戶身份時，應(yīng)配置符合安全策略的口令長度、復(fù)雜度、有效期和加密強(qiáng)度，應(yīng)提示用戶修改默認(rèn)口令、禁止不設(shè)置口令；e)可配置啟用基于數(shù)字證書技術(shù)的身份鑒別功能；f)可配置通過生物特征識別等安全技術(shù)作為身份鑒別依據(jù)，包括但不限于：指紋、人臉、聲紋、虹膜、指靜脈等生物特征識別。6.2.2訪問控制訪問控制配置要求包括：a)應(yīng)禁用非必須賬戶、及時刪除過期賬戶，給必須賬戶分配必要的最小權(quán)限集，例如禁用匿名賬戶（Anonymous）、來賓賬戶（Guest）、產(chǎn)品支持賬戶（Support），默認(rèn)禁用管理員賬戶（Administrator、root），為普通用戶設(shè)置最小訪問權(quán)限；b)應(yīng)根據(jù)賬戶權(quán)限范圍限制對文件、硬件、驅(qū)動、內(nèi)存和進(jìn)程等重要資源的訪問權(quán)限；c)應(yīng)默認(rèn)禁止非管理員賬戶權(quán)限提升操作；d)應(yīng)默認(rèn)關(guān)閉對互聯(lián)網(wǎng)提供服務(wù)接口，默認(rèn)禁止使用互聯(lián)網(wǎng)遠(yuǎn)程協(xié)助服務(wù)。6.2.3安全審計(jì)安全審計(jì)配置要求包括：6GB/TXXXXX—XXXXa)應(yīng)啟用賬戶安全日志，記錄賬戶的創(chuàng)建、更改、刪除、啟用、禁用和重命名等操作，記錄賬戶登錄和注銷、憑據(jù)驗(yàn)證、權(quán)限分配及變更、賬戶配置變更等操作；b)應(yīng)啟用系統(tǒng)日志，記錄開關(guān)機(jī)信息，關(guān)鍵系統(tǒng)組件、程序的可信驗(yàn)證結(jié)果，對系統(tǒng)資源的訪問及操作異常信息等。6.2.4入侵防范入侵防范配置要求包括：a)應(yīng)禁止移動存儲介質(zhì)中的可執(zhí)行程序、腳本等自動運(yùn)行；b)應(yīng)啟用對系統(tǒng)組件數(shù)據(jù)的自我保護(hù)功能，例如：數(shù)據(jù)執(zhí)行保護(hù)（DEP）模式；c)應(yīng)啟用登錄賬戶超時鎖定功能，并設(shè)置喚醒口令；d)應(yīng)關(guān)閉不必要的服務(wù)和端口；e)應(yīng)配置最小安裝原則，僅安裝必要的系統(tǒng)組件和程序；f)應(yīng)開啟操作系統(tǒng)安全補(bǔ)丁在線自動更新功能。6.2.5可信驗(yàn)證可信驗(yàn)證配置要求包括：a)操作系統(tǒng)安裝后第一次初始化時，應(yīng)啟用并初始化可信根設(shè)備；b)每次啟動、重啟、休眠喚醒應(yīng)啟用對系統(tǒng)重要組件、配置參數(shù)等進(jìn)行靜態(tài)或動態(tài)的可信驗(yàn)證；c)系統(tǒng)應(yīng)屏蔽特定的指令，避免可信根設(shè)備和設(shè)備內(nèi)的數(shù)據(jù)被不恰當(dāng)?shù)脑O(shè)置、重置和讀寫，被非平臺角色獲取平臺權(quán)限；d)系統(tǒng)應(yīng)開啟可信根的抗字典攻擊保護(hù)功能。6.2.6數(shù)據(jù)保密性操作系統(tǒng)應(yīng)開啟基于密碼技術(shù)的數(shù)據(jù)保護(hù)功能，保證政務(wù)終端上數(shù)據(jù)的保密性。6.2.7數(shù)據(jù)備份恢復(fù)應(yīng)啟用操作系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)的備份與恢復(fù)功能。6.2.8剩余信息保護(hù)剩余信息保護(hù)配置要求包括：a)應(yīng)禁止剪貼板存儲信息與遠(yuǎn)程計(jì)算機(jī)共享；b)關(guān)閉系統(tǒng)時，應(yīng)清除虛擬內(nèi)存頁面文件；c)斷開會話時，應(yīng)清除臨時文件夾；a)系統(tǒng)應(yīng)配置定期清理臨時文件。6.2.9個人信息保護(hù)個人信息保護(hù)配置要求包括：a)應(yīng)配置禁止未授權(quán)訪問和使用個人信息；b)應(yīng)配置僅采集和存儲必需的個人信息；c)應(yīng)配置系統(tǒng)使用個人信息前詢問用戶。6.2.10應(yīng)用管控應(yīng)用管控配置要求包括：7GB/TXXXXX—XXXXa)應(yīng)只允許通過安全認(rèn)證的應(yīng)用軟件安裝和運(yùn)行，例如經(jīng)過數(shù)字簽名的軟件；b)應(yīng)限制應(yīng)用軟件的訪問權(quán)限，禁止未授權(quán)應(yīng)用軟件訪問終端信息，修改終端資源配置，收集、修改、傳輸或刪除終端數(shù)據(jù)。6.2.11數(shù)據(jù)發(fā)送控制數(shù)據(jù)發(fā)送控制配置要求包括：a)對于本地計(jì)算機(jī)個人及用戶信息數(shù)據(jù)，應(yīng)配置禁止發(fā)送到境外區(qū)域；b)對于系統(tǒng)運(yùn)行數(shù)據(jù)（業(yè)務(wù)數(shù)據(jù)、日志數(shù)據(jù)、遙測數(shù)據(jù)等），應(yīng)配置禁止發(fā)送到境外區(qū)域。6.3辦公軟件配置要求辦公軟件配置要求包括：a)應(yīng)配置僅采集和存儲必需的個人信息；b)應(yīng)配置軟件使用個人信息前詢問用戶；c)應(yīng)禁止加載未簽名插件；d)應(yīng)配置禁止將用戶數(shù)據(jù)發(fā)送到境外；e)應(yīng)限用未數(shù)字簽名的宏、腳本程序；f)應(yīng)默認(rèn)禁止網(wǎng)上下載聯(lián)機(jī)圖片和模板等資源，默認(rèn)禁止訪問超鏈接；g)協(xié)同辦公場景下應(yīng)默認(rèn)啟用傳輸加密傳輸協(xié)議；h)應(yīng)開啟辦公軟件安全補(bǔ)丁在線自動更新。6.4瀏覽器配置要求6.4.1訪問控制訪問控制配置要求包括：a)應(yīng)默認(rèn)開啟瀏覽器的沙箱模式或安全模式；b)應(yīng)默認(rèn)開啟瀏覽器內(nèi)網(wǎng)頁使用麥克風(fēng)、攝像頭、地址位置等訪問權(quán)限的提示，并經(jīng)過用戶允許后才可以使用；c)應(yīng)默認(rèn)阻止加載未簽名、不安全的第三方軟件，例如：控件、插件、擴(kuò)展程序；d)應(yīng)默認(rèn)開啟追蹤保護(hù)等隱私保護(hù)功能。6.4.2入侵防范入侵防范配置要求包括：a)若瀏覽器具備自我保護(hù)功能，應(yīng)默認(rèn)開啟自我保護(hù)，防止非法軟件侵害瀏覽器的運(yùn)行安全；b)應(yīng)開啟下載安全掃描，阻止不安全的下載和執(zhí)行；c)應(yīng)開啟瀏覽器軟件安全補(bǔ)丁在線自動更新功能。6.4.3個人信息保護(hù)個人信息保護(hù)配置要求包括：a)應(yīng)默認(rèn)關(guān)閉瀏覽器輸入框自動關(guān)聯(lián)功能；b)應(yīng)設(shè)置瀏覽器在用戶知情同意前提下最小限度收集個人信息。6.4.4剩余信息保護(hù)8GB/TXXXXX—XXXX應(yīng)配置關(guān)閉網(wǎng)頁時自動刪除Cookie文件、下載記錄、訪問網(wǎng)站歷史記錄和臨時文件，并清除其他緩存內(nèi)容。6.4.5數(shù)據(jù)發(fā)送控制應(yīng)關(guān)閉軟件內(nèi)組件發(fā)送數(shù)據(jù)（用戶數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、日志數(shù)據(jù)、遙測數(shù)據(jù)等）到境外的功能。6.5電子郵件客戶端配置要求電子郵件客戶端配置要求包括：a)應(yīng)禁止直接運(yùn)行附件中存在安全隱患的文件類型；b)應(yīng)禁止直接打開郵件中的超鏈接；c)對本地存儲的郵件數(shù)據(jù)應(yīng)開啟加密功能；d)應(yīng)配置郵件的數(shù)字簽名驗(yàn)簽和加解密功能；e)應(yīng)開啟加密傳輸協(xié)議收發(fā)郵件；f)應(yīng)啟用垃圾郵件過濾功能；g)應(yīng)配置在刪除登錄的郵箱賬戶后清理該賬戶緩存數(shù)據(jù)。6.6安全防護(hù)軟件配置要求安全防護(hù)軟件配置要求包括：a)應(yīng)啟用安全審計(jì)功能，對每個用戶行為和安全事件進(jìn)行審計(jì)；b)應(yīng)啟用對審計(jì)記錄的保護(hù)功能；c)應(yīng)開啟自我保護(hù)功能，防止自身被惡意破壞；d)應(yīng)開啟對終端計(jì)算機(jī)的實(shí)時保護(hù)功能；e)應(yīng)設(shè)置及時升級安全防護(hù)軟件，開啟自動更新特征庫等功能；f)應(yīng)設(shè)置定期進(jìn)行安全掃描功能，發(fā)現(xiàn)惡意文件等立即隔離并提醒用戶執(zhí)行后續(xù)操作；g)若IT環(huán)境允許、安全防護(hù)軟件支持，可開啟云查殺功能。6.7即時通信軟件配置要求6.7.1身份鑒別身份鑒別配置要求如下：a)應(yīng)默認(rèn)開啟多次身份鑒別失敗后的賬戶鎖定功能；b)應(yīng)默認(rèn)開啟口令安全性控制策略，包括口令長度、字符組成等，避免使用含有賬號信息的口令及常見口令；c)應(yīng)默認(rèn)開啟定期更改口令的策略。6.7.2訪問控制訪問控制配置要求如下：a)應(yīng)默認(rèn)開啟訪問第三方業(yè)務(wù)資源的權(quán)限控制策略。b)應(yīng)默認(rèn)開啟即時通信軟件調(diào)用麥克風(fēng)、攝像頭、地址位置等訪問權(quán)限的提示，并經(jīng)過用戶允許后才可以訪問。6.7.3數(shù)據(jù)完整性和保密性數(shù)據(jù)完整性和保密性配置要求如下：9GB/TXXXXX—XXXXa)應(yīng)默認(rèn)開啟數(shù)據(jù)傳輸過程中的數(shù)據(jù)加密能力；b)應(yīng)禁止以明文形式將口令存儲在系統(tǒng)中；c)若軟件具有安全水印功能時，應(yīng)默認(rèn)開啟該功能，顯示位置宜包括：“聊天會話”、“通訊錄”等，顯示內(nèi)容宜包括、“身份標(biāo)識碼”“姓名”、“日期”等；d)應(yīng)默認(rèn)開啟本地磁盤中緩存數(shù)據(jù)加密的配置。7實(shí)施要求7.1核心配置實(shí)施流程要求7.1.1實(shí)施準(zhǔn)備本環(huán)節(jié)應(yīng)根據(jù)政務(wù)部門實(shí)際需求完成需求分析與調(diào)研工作、指定總體實(shí)施方案、提供組織保障：a)需求分析與調(diào)研：通過調(diào)研網(wǎng)絡(luò)終端的分布、軟硬件資產(chǎn)配備及應(yīng)用情況，分析政務(wù)部門安全目標(biāo)和安全需求，從而確定實(shí)施終端核心配置的目標(biāo)、范圍和要求，并評估核心配置實(shí)施可能帶來的風(fēng)險。b)制定總體實(shí)施方案：制定政務(wù)部門實(shí)施終端核心配置總體工作計(jì)劃，指導(dǎo)后續(xù)工作開展，方案的主要內(nèi)容包括：1)工作計(jì)劃：各階段的具體工作計(jì)劃，包括工作內(nèi)容、工作形式、工作成果等內(nèi)容；2)進(jìn)度計(jì)劃：核心配置實(shí)施的時間進(jìn)度安排；3)平臺搭建技術(shù)方案：規(guī)模應(yīng)用條件下，建議依據(jù)7.2節(jié)搭建核心配置自動化部署及監(jiān)測平臺，制定平臺建設(shè)技術(shù)方案，并在實(shí)施前完成平臺搭建工作。c)提供組織保障：組建由領(lǐng)導(dǎo)層、管理層、相關(guān)業(yè)務(wù)骨干和安全技術(shù)人員構(gòu)成的實(shí)施團(tuán)隊(duì)，必要時，可聘請相關(guān)專業(yè)的技術(shù)專家和技術(shù)骨干組成專家小組，指導(dǎo)實(shí)施過程。組織核心配置技術(shù)培訓(xùn)和安全教育，制定核心配置管理制度，明確工作職責(zé)和任務(wù)，得到政務(wù)部門最高管理者的支持和批準(zhǔn)，必要時簽署個人保密協(xié)議。7.1.2基線定制本環(huán)節(jié)應(yīng)根據(jù)政務(wù)部門確定的配置要求，制定核心配置清單，并利用核心配置自動化部署及監(jiān)測平臺生成核心配置基線包：a)制定核心配置清單：在本文件第6章提出的配置要求的基礎(chǔ)上，制定符合政務(wù)部門安全目標(biāo)和安全要求的核心配置清單。附錄B.2和C.2列舉了BIOS訪問控制和操作系統(tǒng)身份鑒別配置清單示例。b)生成配置基線包：將清單內(nèi)容逐項(xiàng)錄入基線包生成器或者利用清單模板自動錄入，可生成原始的核心配置基線包，然后在此基礎(chǔ)上進(jìn)一步篩選配置項(xiàng)或者調(diào)節(jié)配置項(xiàng)基值，生成用于部署的核心配置基線包,如附錄B.3和C.3。7.1.3驗(yàn)證測試本環(huán)節(jié)主要目標(biāo)是驗(yàn)證測試核心配置基線包的有效性、適用性和兼容性，降低首次部署核心配置基線引發(fā)新安全風(fēng)險的概率。本階段應(yīng)完成如下三項(xiàng)內(nèi)容：a)搭建測試環(huán)境：從驗(yàn)證核心配置基線包的有效性、適用性及兼容性的需求出發(fā)，搭建驗(yàn)證測試環(huán)境。主要部署必要的硬件設(shè)備和測試工具軟件，模擬終端的實(shí)際運(yùn)行環(huán)境。GB/TXXXXX—XXXXb)驗(yàn)證測試過程：利用核心配置自動化部署及監(jiān)測平臺的配置驗(yàn)證模塊分別進(jìn)行核心配置有效性、適用性和兼容性驗(yàn)證測試，記錄測試結(jié)果，定位存在問題的核心配置項(xiàng)。c)調(diào)整配置：對存在有效性、適用性或兼容性問題的核心配置項(xiàng)參數(shù)進(jìn)行修改和調(diào)整，重新生成用于部署的核心配置基線包。原則上配置項(xiàng)的賦值不應(yīng)低于基值。7.1.4配置部署本環(huán)節(jié)應(yīng)完成核心配置基線包的分發(fā)和本地執(zhí)行工作。a)配置分發(fā)：通過核心配置自動化部署及監(jiān)測平臺在劃定的網(wǎng)絡(luò)范圍內(nèi)，自動分發(fā)核心配置基線包?？梢悦嫦虿煌踩?，不同IP地址段，或者不同部門進(jìn)行定向分發(fā)。b)配置執(zhí)行：利用配置部署模塊的客戶端，或以手工方式，或鏡像方式在本地計(jì)算機(jī)終端執(zhí)行核心配置項(xiàng)賦值過程。一般部署核心配置基線包前，可備份當(dāng)前計(jì)算機(jī)終端的配置狀態(tài)，以便部署過程中出現(xiàn)問題時可以及時恢復(fù)。7.1.5配置檢查核心配置部署完成后定期進(jìn)行配置狀態(tài)檢查是保證終端始終處于安全狀態(tài)的重要手段。本環(huán)節(jié)應(yīng)完成核心配置合規(guī)性檢查，并及時糾正存在偏差的配置項(xiàng)參數(shù)值。a)合規(guī)性檢查：合規(guī)性檢查主要檢查終端核心配置狀態(tài)是否達(dá)到核心配置基線要求，可以定期（如每月或每周一次）進(jìn)行檢查，或者通過部署核心配置監(jiān)測模塊進(jìn)行實(shí)時監(jiān)測，以保證終端核心配置狀態(tài)達(dá)標(biāo)。b)糾正配置偏差：核心配置部署完成后，在實(shí)際運(yùn)行過程中配置項(xiàng)值可能因軟硬件環(huán)境變化、系統(tǒng)調(diào)試需要，或人為原因等發(fā)生改變，使終端當(dāng)前配置與配置項(xiàng)基值存在偏差，一般是低于配置項(xiàng)基值。此情況下，應(yīng)及時糾正配置偏差。7.1.6例外處理政務(wù)部門首次部署核心配置基線時，應(yīng)充分考慮到不同終端在軟硬件資產(chǎn)配備方面的差異性。包括但不限于個別終端的操作系統(tǒng)版本過低，不適用部署核心配置基線，或者軟硬件不兼容情況等，均應(yīng)作為例外處理。本環(huán)節(jié)應(yīng)做好審批備案和制定整改計(jì)劃工作：a)審批備案：例外主要分如下三種情況：1)無法部署核心配置基線；2)可以部分部署；3)需調(diào)低某些核心配置項(xiàng)值后進(jìn)行部署。安全管理員應(yīng)及時將例外終端軟硬件環(huán)境信息、例外原因、處理方法等報告領(lǐng)導(dǎo)層進(jìn)行審批備案。經(jīng)過審批的例外終端可以暫時不部署或部分部署核心配置基線，或者允許某些核心配置項(xiàng)值暫時低于核心配置項(xiàng)基值進(jìn)行部署。b)整改計(jì)劃：例外處理是一種臨時性處理措施，應(yīng)制定針對例外終端的有效整改計(jì)劃，包括整改期限，整改措施，相關(guān)責(zé)任人等。整改計(jì)劃經(jīng)領(lǐng)導(dǎo)層審批后由管理層負(fù)責(zé)監(jiān)督執(zhí)行。7.2自動化部署及監(jiān)測要求7.2.1配置編輯模塊GB/TXXXXX—XXXX配置編輯模塊用來生成核心配置基線包，安全管理員依照配置要求制定配置清單，并對其進(jìn)行轉(zhuǎn)換和處理，生成可以編輯、解析、分發(fā)和部署的核心配置基線包。配置編輯模塊應(yīng)包括基線包生成器和基線包編輯器兩個部件：a)基線包生成器主要用于生成原始的核心配置基線包，可根據(jù)清單內(nèi)容逐項(xiàng)錄入或由清單模板自動錄入；b)基線包編輯器主要用于修改核心配置基線包中的配置項(xiàng)的基值，并可進(jìn)行添加、修改、合并、刪除等編輯操作。7.2.2配置驗(yàn)證模塊配置驗(yàn)證模塊用于驗(yàn)證核心配置基線包的有效性、適用性和兼容性，保證所要部署的配置基線包的實(shí)施效果和安全。a)有效性測試可采用人工測試與工具測試相結(jié)合的方法，驗(yàn)證核心配置基線包是否生效。具體要求包括：1)核心配置部署前，自動收集測試終端的脆弱性情況；2)核心配置部署后，檢測核心配置項(xiàng)的實(shí)際賦值是否與基值相一致；3)對測試終端進(jìn)行滲透測試，檢驗(yàn)核心配置項(xiàng)是否發(fā)揮安全作用。b)兼容性測試用于測試核心配置項(xiàng)之間的兼容性，解決終端核心配置項(xiàng)之間的沖突問題。具體要求包括：1)支持核心配置項(xiàng)的分析對比，找出有沖突的核心配置項(xiàng)；2)可修改存在兼容性問題的核心配置項(xiàng)。c)適用性測試用于評估核心配置基線對終端應(yīng)用環(huán)境的影響，包括功能影響、性能影響、系統(tǒng)異常風(fēng)險等。具體要求包括：1)收集測試終端軟硬件環(huán)境信息，識別操作系統(tǒng)版本，以及已安裝的應(yīng)用程序；2)針對具體的配置項(xiàng)，檢查其影響范圍，識別出受其影響的軟件清單及其原因；3)識別異?，F(xiàn)象，追溯其產(chǎn)生的原因，定位相關(guān)配置項(xiàng)；4)支持多用戶環(huán)境下的適用性測試，支持常用軟件和業(yè)務(wù)應(yīng)用軟件的適用性測試。7.2.3配置部署模塊配置部署模塊可進(jìn)行核心配置基線包管理、分發(fā)和部署執(zhí)行，由基線包管理組件、基線包分發(fā)組件和配置執(zhí)行組件三個部分組成。a)基線包管理組件應(yīng)具備核心配置基線包掛載、內(nèi)容查看、網(wǎng)絡(luò)分發(fā)，以及基線包更新和刪除等功能；b)基線包分發(fā)組件可將基線包按照IP區(qū)域定向分發(fā)到客戶端，可采用服務(wù)器推送和客戶端下載相結(jié)合的分發(fā)模式；c)配置執(zhí)行組件應(yīng)能自動解析配置基線包賦值方法，并對配置項(xiàng)進(jìn)行參數(shù)賦值，賦值前應(yīng)對被配置項(xiàng)或配置文件進(jìn)行備份，然后執(zhí)行賦值過程。7.2.4配置監(jiān)測模塊配置監(jiān)測模塊是安全管理員掌握被配置終端核心配置狀況的一個重要手段，應(yīng)至少包含安裝在終端上的配置狀態(tài)收集器、配置狀態(tài)上報組件和部署在服務(wù)器上的配置狀態(tài)分析器、配置狀態(tài)圖展示平臺等組件。a)配置狀態(tài)收集器根據(jù)安全策略收集終端的核心配置項(xiàng)參數(shù)設(shè)置情況；b)配置狀態(tài)上報系統(tǒng)用于將收集的配置狀態(tài)上傳至服務(wù)器；GB/TXXXXX—XXXXc)配置狀態(tài)分析器用于對上報的配置狀態(tài)與核心配置基線進(jìn)行比對和統(tǒng)計(jì)分析；d)配置狀態(tài)圖展示平臺通過圖、表等展示手段輸出配置狀態(tài)分析結(jié)果。8配置要求證實(shí)方法8.1BIOS配置要求證實(shí)方法8.1.1身份鑒別身份鑒別要求的證實(shí)方法如下：a)測試方法：1)檢查BIOS身份鑒別機(jī)制是否啟用，嘗試設(shè)置不滿足BIOS口令長度、復(fù)雜度要求的口令；2)檢查連續(xù)登錄失敗次數(shù)超過設(shè)定閾值時是否中止啟動。b)預(yù)測結(jié)果：1)BIOS身份鑒別機(jī)制已啟用，嘗試設(shè)置不滿足BIOS口令長度、復(fù)雜度要求的口令失?。?)連續(xù)登錄失敗次數(shù)超過設(shè)定閾值時BIOS中止啟動。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.1.2訪問控制訪問控制要求的證實(shí)方法如下：a)測試方法：1)檢查定時開機(jī)、遠(yuǎn)程模式控制開機(jī)等開機(jī)模式是否默認(rèn)關(guān)閉；2)在啟用管理員賬戶和普通用戶賬戶時，檢查管理員賬戶是否配置啟動順序，并設(shè)置優(yōu)先從本地磁盤啟動，檢查普通用戶是否僅能查看啟動順序。b)預(yù)測結(jié)果：1)定時開機(jī)、遠(yuǎn)程模式控制開機(jī)等開機(jī)模式已默認(rèn)禁止使用；2)管理員賬戶已配置啟動順序，并設(shè)置優(yōu)先從本地磁盤啟動，普通用戶僅能查看啟動順序。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.1.3可信驗(yàn)證可信驗(yàn)證要求的證實(shí)方法如下：a)測試方法：1)檢查是否默認(rèn)開啟可信根模塊和可信驗(yàn)證功能；2)檢查BIOS自身的可信驗(yàn)證功能是否啟用。b)預(yù)測結(jié)果：1)已默認(rèn)啟用可信根模塊，開啟可信驗(yàn)證功能；2)已啟用BIOS自身的可信驗(yàn)證功能。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.1.4數(shù)據(jù)保密性數(shù)據(jù)保密性要求的證實(shí)方法如下：a)測試方法：1)在硬件支持的條件下，檢查是否配置硬盤訪問口令；2)在硬件支持的條件下，檢查是否啟用硬盤加密功能。GB/TXXXXX—XXXXb)預(yù)測結(jié)果：1)在硬件支持的條件下，已配置硬盤訪問口令；2)在硬件支持的條件下，已啟用硬盤加密功能。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2操作系統(tǒng)配置要求證實(shí)方法8.2.1身份鑒別身份鑒別要求的證實(shí)方法如下：a)測試方法：1)檢查賬戶身份驗(yàn)證機(jī)制是否啟用、是否配置登錄失敗重試次數(shù)，嘗試連續(xù)登錄失敗超過設(shè)定閾值時是否鎖定賬戶；2)檢查遠(yuǎn)程網(wǎng)絡(luò)認(rèn)證策略項(xiàng)是否啟用并選擇了安全身份認(rèn)證協(xié)議、密碼保護(hù)技術(shù)，采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)，驗(yàn)證是否經(jīng)過安全身份認(rèn)證協(xié)議、密碼保護(hù)技術(shù)保護(hù)來往數(shù)據(jù)；3)檢查賬戶鑒別數(shù)據(jù)存儲相關(guān)的安全配置是否啟用，是否可以通過本地、網(wǎng)絡(luò)渠道另存為、修改等技術(shù)手段獲取、修改用戶鑒別數(shù)據(jù)和用戶身份數(shù)據(jù)；4)檢查系統(tǒng)口令長度、復(fù)雜度、有效期、加密強(qiáng)度的配置項(xiàng)是否啟用并合理設(shè)置，當(dāng)有默認(rèn)口令時，是否提示用戶修改默認(rèn)口令，嘗試不設(shè)置口令時是否提示設(shè)置失?。?)嘗試配置使用智能卡鑒別登錄用戶身份、登錄系統(tǒng)，查看能否支持并登錄成功；6)當(dāng)計(jì)算機(jī)終端有用于身份鑒別的生物特征識別設(shè)備時，檢查生物特征識別設(shè)備是否默認(rèn)啟b)預(yù)測結(jié)果：1)賬戶身份驗(yàn)證機(jī)制啟用，連續(xù)登錄失敗超過設(shè)定閾值時賬戶鎖定；2)遠(yuǎn)程網(wǎng)絡(luò)認(rèn)證策略項(xiàng)已啟用并選擇了安全身份認(rèn)證協(xié)議、密碼保護(hù)技術(shù)，網(wǎng)絡(luò)數(shù)據(jù)包分析結(jié)果為來往數(shù)據(jù)包受安全身份認(rèn)證協(xié)議、密碼技術(shù)保護(hù)；3)賬戶鑒別數(shù)據(jù)存儲相關(guān)的安全配置已啟用，通過本地、網(wǎng)絡(luò)渠道的另存為、修改等技術(shù)手段無法獲取、修改用戶鑒別數(shù)據(jù)和用戶身份數(shù)據(jù)；4)已啟用系統(tǒng)口令長度、復(fù)雜度、有效期、加密強(qiáng)度的配置并設(shè)置適當(dāng)值，當(dāng)用戶使用默認(rèn)口令登錄時提示用戶修改默認(rèn)口令，用戶嘗試清空或不設(shè)置口令時系統(tǒng)給出適當(dāng)?shù)慕固崾荆?)嘗試使用虛擬智能卡時無法登錄操作系統(tǒng)；6)當(dāng)計(jì)算機(jī)終端有用于身份鑒別的生物特征識別設(shè)備時，設(shè)備已默認(rèn)啟用。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.2訪問控制訪問控制要求的證實(shí)方法如下：a)測試方法：1)檢查系統(tǒng)賬戶配置，與應(yīng)配置賬戶對比，是否存在非必須賬戶（例如：匿名賬戶（Anonymous）、來賓賬戶（Guest）、產(chǎn)品支持賬戶（Support和過期多余賬戶；檢查默認(rèn)登錄賬戶是否為管理員賬戶，檢查系統(tǒng)所有賬戶權(quán)限配置，是否存在與其身份不符的訪問權(quán)限；2)檢查系統(tǒng)現(xiàn)有賬戶對系統(tǒng)資源的權(quán)限配置，如：文件、硬件、驅(qū)動、內(nèi)存、進(jìn)程等，是否存在與其身份不符的訪問權(quán)限；GB/TXXXXX—XXXX3)檢查非管理員賬戶是否可以進(jìn)行未授權(quán)的賬戶權(quán)限提升操作；4)檢查系統(tǒng)是否默認(rèn)關(guān)閉對互聯(lián)網(wǎng)提供服務(wù)的接口，是否默認(rèn)關(guān)閉互聯(lián)網(wǎng)遠(yuǎn)程協(xié)助服務(wù)。b)預(yù)測結(jié)果：1)系統(tǒng)中只存在必要賬戶，無過期賬戶；管理員賬戶非默認(rèn)登錄賬戶，所有賬戶權(quán)限與其身份相符，未分配超出角色范圍的訪問權(quán)限；2)系統(tǒng)現(xiàn)有賬戶對系統(tǒng)資源的權(quán)限配置與其身份相符，未分配超出其角色范圍的訪問權(quán)限；3)非管理員賬戶不可以進(jìn)行非授權(quán)的賬戶權(quán)限提升操作；4)系統(tǒng)默認(rèn)關(guān)閉了對互聯(lián)網(wǎng)提供服務(wù)的接口，默認(rèn)關(guān)閉了互聯(lián)網(wǎng)遠(yuǎn)程協(xié)助服務(wù)。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.3安全審計(jì)安全審計(jì)要求的證實(shí)方法如下：a)測試方法：1)檢查賬戶安全日志是否啟用，檢查賬戶安全日志里是否記錄了以下的各項(xiàng)操作：賬戶的創(chuàng)建、更改、刪除、啟用、禁用、重命名、賬戶登錄和注銷、憑據(jù)驗(yàn)證等；2)檢查系統(tǒng)日志是否啟用，檢查系統(tǒng)日志是否記錄了以下的各項(xiàng)信息：系統(tǒng)登錄和注銷信息、關(guān)鍵系統(tǒng)組件、程序的可信驗(yàn)證結(jié)果和對系統(tǒng)資源的訪問及操作異常信息等。b)預(yù)測結(jié)果：1)賬戶安全日志啟用，且記錄了賬戶安全日志中的各項(xiàng)操作；2)系統(tǒng)日志啟用，且記錄了系統(tǒng)日志中的各項(xiàng)信息。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.4入侵防范入侵防范要求的證實(shí)方法如下：a)測試方法：1)將存儲有可以自動運(yùn)行的存儲介質(zhì)插入系統(tǒng)，查看介質(zhì)中的程序是否自動運(yùn)行；2)檢查系統(tǒng)組件數(shù)據(jù)的自我保護(hù)功能是否啟用；3)檢測系統(tǒng)是否適當(dāng)設(shè)置賬戶超時鎖定時間；檢查超時后是否鎖定屏幕；喚醒時，是否需要輸入喚醒口令；4)使用系統(tǒng)自帶或第三方工具檢查操作系統(tǒng)是否開啟了不必要的服務(wù)和端口；5)檢測系統(tǒng)中是否安裝有不必要的系統(tǒng)組件和程序；6)檢查最新的安全補(bǔ)丁是否更新。b)預(yù)測結(jié)果：1)移動存儲介質(zhì)內(nèi)程序未自動運(yùn)行；2)已啟用對系統(tǒng)組件數(shù)據(jù)的自我保護(hù)功能；3)系統(tǒng)超出空閑設(shè)定時間后，能鎖定當(dāng)前用戶；系統(tǒng)被喚醒時，要求輸入喚醒口令；4)系統(tǒng)僅開啟了必要的服務(wù)和端口；5)系統(tǒng)滿足配置最小安裝原則，僅安裝有必要的系統(tǒng)組件和程序；6)最新的安全補(bǔ)丁已更新。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.5可信驗(yàn)證可信驗(yàn)證要求的證實(shí)方法如下：GB/TXXXXX—XXXXa)測試方法：1)操作系統(tǒng)初始化后，登錄操作系統(tǒng)，查看可信根設(shè)備是否完成初始化；2)使用操作系統(tǒng)工具或第三方工具獲取可信根的動態(tài)或靜態(tài)驗(yàn)證結(jié)果；3)執(zhí)行平臺權(quán)限指令（例如：TCM2_PP_Commands），查看指令執(zhí)行結(jié)果；4)在可信根中創(chuàng)建加密對象后，使用不同錯誤的口令重復(fù)嘗試打開加密對象。b)預(yù)測結(jié)果：1)登錄操作系統(tǒng)查看，系統(tǒng)顯示當(dāng)前終端計(jì)算機(jī)上可信根設(shè)備已就緒；2)根據(jù)工具獲取的可信驗(yàn)證結(jié)果判定系統(tǒng)是否啟用動態(tài)或靜態(tài)驗(yàn)證，若無其他故障干擾時，無可信驗(yàn)證結(jié)果判定為未啟用；3)平臺權(quán)限命令執(zhí)行失敗；4)在超過嘗試次數(shù)上限后，執(zhí)行命令返回“對象已鎖定”等近似表述的結(jié)果。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.6數(shù)據(jù)保密性數(shù)據(jù)保密性要求的證實(shí)方法如下：a)測試方法：檢查是否啟用數(shù)據(jù)保護(hù)功能。b)預(yù)測結(jié)果：數(shù)據(jù)保護(hù)功能啟用。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.7數(shù)據(jù)備份恢復(fù)數(shù)據(jù)備份恢復(fù)要求的證實(shí)方法如下：a)測試方法：檢查操作系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)的備份與恢復(fù)功能配置項(xiàng)是否配置、啟用；執(zhí)行數(shù)據(jù)備份、恢復(fù)操作，確認(rèn)是否能將操作系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)成功備份，是否能將操作系統(tǒng)和用戶備份的數(shù)據(jù)重新恢復(fù)。b)預(yù)測結(jié)果：操作系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)備份與恢復(fù)功能配置項(xiàng)已配置啟用；執(zhí)行數(shù)據(jù)備份操作，操作系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)能成功備份；執(zhí)行恢復(fù)操作，能成功恢復(fù)操作系統(tǒng)數(shù)據(jù)和用戶備份數(shù)據(jù)；c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.8剩余信息保護(hù)生育信息保護(hù)要求的證實(shí)方法如下：a)測試方法：1)在系統(tǒng)運(yùn)行期間，檢查是否可以通過遠(yuǎn)程計(jì)算機(jī)訪問并獲取剪切板存儲信息；2)系統(tǒng)關(guān)閉后，檢查計(jì)算機(jī)存儲中是否保留有虛擬內(nèi)存頁面文件；3)系統(tǒng)會話斷開后，檢查系統(tǒng)臨時文件夾區(qū)域中是否留有相應(yīng)信息；4)檢查系統(tǒng)配置中是否設(shè)置了定期清理臨時文件夾，并且在設(shè)定時間過后，檢查系統(tǒng)臨時文件夾是否被清理。b)預(yù)測結(jié)果：1)在系統(tǒng)運(yùn)行期間，用戶無法通過遠(yuǎn)程計(jì)算機(jī)訪問并獲取剪切板存儲信息；2)系統(tǒng)關(guān)閉后，計(jì)算機(jī)存儲中的虛擬內(nèi)存頁面文件已經(jīng)被刪除；GB/TXXXXX—XXXX3)系統(tǒng)會話斷開后，系統(tǒng)臨時文件夾被清空；4)系統(tǒng)啟用了定期清理臨時文件夾功能，并設(shè)置了間隔時間，在設(shè)定時間過后，系統(tǒng)臨時文件夾被清理。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.9個人信息保護(hù)個人信息保護(hù)要求的證實(shí)方法如下：a)測試方法：1)檢查是否配置禁止未授權(quán)訪問和使用個人信息；2)檢查是否配置僅采集和存儲必需的個人信息；3)檢查系統(tǒng)使用個人信息時是否詢問用戶。b)預(yù)測結(jié)果：1)已配置禁止未授權(quán)訪問和使用個人信息；2)已配置僅采集和存儲必需的個人信息；3)系統(tǒng)使用個人信息前，提示用戶同意或拒絕。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.10應(yīng)用管控應(yīng)用管控要求的證實(shí)方法如下：a)測試方法：1)檢查未通過安全認(rèn)證的軟件是否可以安裝和運(yùn)行；2)檢查應(yīng)用軟件的訪問權(quán)限，非授權(quán)應(yīng)用軟件對指定數(shù)據(jù)讀、寫、刪除行為結(jié)果。b)預(yù)測結(jié)果：1)未通過安全認(rèn)證的軟件不可以安裝和運(yùn)行；2)應(yīng)用訪問位置、攝像頭等設(shè)備時提示用戶選擇是否允許，未授權(quán)軟件無法對指定數(shù)據(jù)讀、寫、刪除。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.2.11數(shù)據(jù)外發(fā)控制數(shù)據(jù)外發(fā)控制要求的證實(shí)方法如下：a)測試方法：1)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查系統(tǒng)是否將個人及用戶信息數(shù)據(jù)發(fā)送到境外區(qū)域；2)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查系統(tǒng)是否將運(yùn)行中非必須的數(shù)據(jù)（業(yè)務(wù)數(shù)據(jù)、日志數(shù)據(jù)、遙測數(shù)據(jù)等）發(fā)送到境外區(qū)域。b)預(yù)測結(jié)果：1)未發(fā)現(xiàn)個人及用戶信息數(shù)據(jù)被系統(tǒng)送到境外區(qū)域；2)未發(fā)現(xiàn)系統(tǒng)運(yùn)行中非必須的數(shù)據(jù)被發(fā)送到境外區(qū)域。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.3辦公軟件配置要求證實(shí)方法辦公軟件配置要求的證實(shí)方法如下：a)測試方法：1)檢查是否配置僅采集和存儲必需的個人信息；GB/TXXXXX—XXXX2)檢查軟件使用個人信息時是否詢問用戶；3)嘗試加載未簽名插件；4)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查軟件是否將用戶數(shù)據(jù)發(fā)送到境外；5)檢查是否限用無數(shù)字簽名的宏、腳本程序，并嘗試運(yùn)行未簽名的宏、腳本程序；6)嘗試在軟件內(nèi)下載聯(lián)機(jī)圖片和模板等資源，嘗試訪問超鏈接行為；7)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查協(xié)同辦公場景下來往數(shù)據(jù)包是否采用加密傳輸協(xié)議；8)檢查最新的安全補(bǔ)丁是否更新。b)預(yù)測結(jié)果：1)已配置僅采集和存儲必需的個人信息；2)軟件使用個人信息前，提示用戶同意或拒絕；3)嘗試加載未簽名插件失?。?)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段未發(fā)現(xiàn)軟件將用戶數(shù)據(jù)發(fā)送到境外的行為；5)已配置限用無數(shù)字簽名的宏、腳本程序，嘗試運(yùn)行未簽名的宏、腳本程序失敗；6)軟件內(nèi)下載聯(lián)機(jī)圖片和模板等資源失敗，超鏈接訪問失??；7)協(xié)作場景來往的網(wǎng)絡(luò)數(shù)據(jù)包受加密傳輸協(xié)議保護(hù)；8)最新安全補(bǔ)丁已更新。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.4瀏覽器配置要求證實(shí)方法8.4.1訪問控制訪問控制要求的證實(shí)方法如下：a)測試方法：1)啟動瀏覽器，查看是否處于沙箱模式或安全模式；2)檢查瀏覽器內(nèi)網(wǎng)頁訪問麥克風(fēng)、攝像頭、地址位置信息等是否有提示，用戶允許/拒絕后網(wǎng)頁反饋信息；3)嘗試為瀏覽器加載未簽名、不安全的第三方軟件，檢查瀏覽器是否進(jìn)行阻止；4)訪問收集個人瀏覽數(shù)據(jù)行為的網(wǎng)站，檢查瀏覽器是否有禁止收集并提醒。b)預(yù)測結(jié)果：1)啟動瀏覽器后，默認(rèn)進(jìn)入沙箱模式或安全模式；2)瀏覽器提示用戶是否允許訪問，用戶允許后可以訪問，否則拒絕訪問；3)瀏覽器阻止加載未簽名、不安全的第三方軟件；4)瀏覽器阻止網(wǎng)站收集個人瀏覽數(shù)據(jù)行為。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.4.2入侵防范入侵防范要求的證實(shí)方法如下：a)測試方法：1)若瀏覽器具備自我保護(hù)功能，使用第三方工具對正在運(yùn)行的瀏覽器進(jìn)行安全侵害（內(nèi)存數(shù)據(jù)、代碼修改等），檢查瀏覽器是否可以正常運(yùn)行；2)使用瀏覽器下載預(yù)備好的惡意可執(zhí)行文件，檢查是否進(jìn)行安全掃描，并阻止不安全的文件下載和運(yùn)行；3)檢查瀏覽器軟件安全補(bǔ)丁版本與官網(wǎng)最新版本是否一致。GB/TXXXXX—XXXXb)預(yù)測結(jié)果：1)若瀏覽器具備自我保護(hù)功能，瀏覽器開啟自我保護(hù)，可以防止非法軟件侵害瀏覽器的運(yùn)行；2)瀏覽器下載文件可以進(jìn)行安全掃描，成功阻止不安全的文件下載和運(yùn)行；3)瀏覽器軟件安全補(bǔ)丁與官網(wǎng)瀏覽器版本一致。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.4.3個人信息保護(hù)個人信息保護(hù)要求的證實(shí)方法如下：a)測試方法：1)啟動瀏覽器地址欄中輸入網(wǎng)址并有提交操作，關(guān)閉瀏覽器，再次啟動瀏覽器并訪問該網(wǎng)址，檢查是否能夠自動關(guān)聯(lián)該網(wǎng)址；2)檢查瀏覽器安裝時是否有用戶服務(wù)協(xié)議、隱私政策等提示信息，并查看完整的服務(wù)協(xié)議和隱私政策。b)預(yù)測結(jié)果：1)瀏覽器地址欄未自動關(guān)聯(lián)之前的已訪問網(wǎng)址；2)安裝瀏覽器時提示用戶服務(wù)協(xié)議、隱私政策，并可以閱讀完整條款。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.4.4剩余信息保護(hù)剩余信息保護(hù)要求的證實(shí)方法如下：a)測試方法：關(guān)閉瀏覽器并重啟瀏覽器，查看瀏覽器是否存在訪問記錄和下載文件的歷史記錄和臨時文件。b)預(yù)測結(jié)果：瀏覽器無Cookie文件、下載記錄、訪問網(wǎng)站歷史記錄和臨時文件。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.4.5數(shù)據(jù)外發(fā)控制數(shù)據(jù)外發(fā)控制要求的證實(shí)方法如下：a)測試方法：采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查瀏覽器組件是否將數(shù)據(jù)（用戶數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、日志數(shù)據(jù)、遙測數(shù)據(jù)等）發(fā)送到境外區(qū)域。b)預(yù)測結(jié)果：采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段未發(fā)現(xiàn)瀏覽器組件將數(shù)據(jù)發(fā)送到境外區(qū)域。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.5電子郵件客戶端配置要求證實(shí)方法電子郵件客戶端配置要求的證實(shí)方法如下：a)測試方法：1)嘗試運(yùn)行郵件中具有安全隱患的文件類型附件（例如可執(zhí)行程序、腳本、宏2)嘗試打開郵件中的超鏈接；3)使用文本分析等工具或技術(shù)，嘗試打開本地存儲的郵件數(shù)據(jù)文件；4)檢查是否開啟郵件的數(shù)字簽名驗(yàn)簽，檢查是否開啟郵件加解密功能；5)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查來往數(shù)據(jù)包是否采用加密傳輸協(xié)議；GB/TXXXXX—XXXX6)檢查電子郵件客戶端是否啟用并合理設(shè)置垃圾郵件過濾功能；7)檢查被刪除賬戶是否存在內(nèi)存和硬盤等緩存數(shù)據(jù)。b)預(yù)測結(jié)果：1)運(yùn)行郵件中具有安全隱患的文件類型附件失?。?)打開郵件中的超鏈接失??；3)使用文本分析等工具或技術(shù)，嘗試打開本地存儲的郵件數(shù)據(jù)文件，文件內(nèi)容加密，不可讀4)郵件的數(shù)字簽名驗(yàn)簽、郵件加解密功能已開啟；5)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查來往數(shù)據(jù)包，數(shù)據(jù)包受加密傳輸協(xié)議保護(hù)；6)電子郵件客戶端啟用并合理設(shè)置垃圾郵件過濾功能；7)被刪除賬戶內(nèi)存和硬盤等緩存數(shù)據(jù)被清理。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.6安全防護(hù)軟件配置要求證實(shí)方法安全防護(hù)軟件配置要求的證實(shí)方法如下：a)測試方法：1)檢查配置項(xiàng)，確認(rèn)是否啟用安全審計(jì)功能，查看安全日志，確認(rèn)包含用戶行為和安全事件審計(jì)記錄；2)嘗試對審計(jì)記錄執(zhí)行增、刪、改操作，并查看操作結(jié)果；3)檢查自我保護(hù)配置項(xiàng)是否默認(rèn)開啟，嘗試修改（更改、覆蓋、替換、刪除等）軟件（組件、配置項(xiàng)、數(shù)據(jù)等），確認(rèn)是否會被阻止或修改失?。?)在確保驗(yàn)證環(huán)境安全、安全防護(hù)軟件版本最新的條件下，將惡意代碼復(fù)制到終端計(jì)算機(jī)，查看安全軟件行為；5)檢查是否開啟軟件自動升級功能，是否開啟特征庫自動更新功能；6)檢查是否設(shè)置了定期進(jìn)行安全掃描的功能，發(fā)現(xiàn)惡意文件等時是否能夠立即隔離并提醒用戶執(zhí)行后續(xù)操作；7)若IT環(huán)境允許、安全防護(hù)軟件支持，檢查云查殺功能是否開啟。b)預(yù)測結(jié)果：1)安全審計(jì)功能已啟用，用戶行為和安全事件被記錄在安全日志中；2)執(zhí)行對審計(jì)記錄的增、刪、改操作失??；3)自我保護(hù)配置項(xiàng)默認(rèn)開啟，修改軟件行為被阻止或修改失??；4)安全軟件阻止惡意代碼運(yùn)行并向用戶報告信息；5)軟件開啟了自動升級功能，開啟特征庫自動更新功能；6)軟件設(shè)置了定期安全掃描功能，發(fā)現(xiàn)惡意文件等時，立即隔離并提醒用戶執(zhí)行后續(xù)操作；7)IT環(huán)境允許、安全防護(hù)軟件支持前提下，云查殺功能已啟用。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.7即時通信軟件配置要求證實(shí)方法8.7.1身份鑒別身份鑒別要求的證實(shí)方法如下：a)測試方法：1)檢查連續(xù)登錄失敗次數(shù)超過設(shè)定閾值時是否鎖定賬戶；GB/TXXXXX—XXXX2)設(shè)置或更改口令時，嘗試輸入不滿足口令長度、復(fù)雜度要求的口令；3)檢查超過更改口令周期要求后，是否會提示更改口令。b)預(yù)測結(jié)果：1)連續(xù)登錄失敗次數(shù)超過設(shè)定閾值時賬戶被鎖定；2)設(shè)置或更改口令失敗，提示重新輸入；3)超過更改口令周期要求后，提示更改口令。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.7.2訪問控制訪問控制要求的證實(shí)方法如下：a)測試方法：1)嘗試訪問第三方業(yè)務(wù)資源，檢查是否有控制措施；2)檢查軟件訪問麥克風(fēng)、攝像頭、地址位置信息等是否有提示，用戶允許/拒絕后軟件反饋信息。b)預(yù)測結(jié)果：1)訪問第三方業(yè)務(wù)資源時有明確的用戶提示，經(jīng)過用戶提示后才能繼續(xù)訪問。2)彈出提示框，詢問用戶是否允許訪問，用戶允許后可以訪問，否則拒絕訪問。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。8.7.3數(shù)據(jù)完整性和保密性數(shù)據(jù)完整性和保密性要求的證實(shí)方法如下：a)測試方法：1)采用網(wǎng)絡(luò)數(shù)據(jù)包分析等技術(shù)手段檢查來往數(shù)據(jù)包是否采用加密傳輸協(xié)議；2)采用文本分析工具或技術(shù)分析軟件的口令信息是否以明文形式存儲在客戶端；“通訊錄”等界面）；4)采用文本分析工具或技術(shù)分析軟件的本地磁盤緩存數(shù)據(jù)，查看加密情況。b)預(yù)測結(jié)果：1)分析結(jié)果為：來往數(shù)據(jù)包受加密傳輸協(xié)議保護(hù)；2)分析結(jié)果為：客戶端存儲的口令信息受密碼算法保護(hù)；3)若軟件具有安全水印功能，可以在關(guān)鍵界面看到水印信息；4)分析結(jié)果為：本地磁盤緩存數(shù)據(jù)受密碼算法保護(hù)。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9實(shí)施要求證實(shí)方法9.1核心配置實(shí)施流程要求證實(shí)方法9.1.1實(shí)施準(zhǔn)備實(shí)施準(zhǔn)備環(huán)節(jié)的證實(shí)方法如下：a)測試方法：1)是否完成需求分析與調(diào)研工作，是否形成包含終端核心配置的目標(biāo)、范圍和要求的調(diào)研報GB/TXXXXX—XXXX2)是否形成總體實(shí)施方案，方案是否重點(diǎn)包括工作計(jì)劃、進(jìn)度計(jì)劃和平臺搭建方案；3)是否形成組織保障體系并明確各角色職責(zé)。b)預(yù)測結(jié)果：1)通過調(diào)研網(wǎng)絡(luò)終端的分布、軟硬件資產(chǎn)配備及應(yīng)用情況，分析政務(wù)部門安全目標(biāo)和安全需求，從而確定實(shí)施終端核心配置的目標(biāo)、范圍和要求，并評估核心配置實(shí)施可能帶來的風(fēng)險，最終形成調(diào)研報告；2)形成總體實(shí)施方案，方案重點(diǎn)包括工作計(jì)劃、進(jìn)度計(jì)劃和平臺搭建方案；3)形成包括領(lǐng)導(dǎo)層、管理層、技術(shù)骨干和安全技術(shù)人員的實(shí)施團(tuán)隊(duì)，保障實(shí)施順利進(jìn)行。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.1.2基線定制基線制定環(huán)節(jié)的證實(shí)方法如下：a)測試方法：1)檢查是否根據(jù)第6章提出的配置要求制定核心配置清單；2)檢查是否根據(jù)核心配置清單生成可部署的核心配置基線包。b)預(yù)測結(jié)果：1)根據(jù)第6章提出的配置要求制定核心配置清單；2)根據(jù)核心配置清單生成可部署的核心配置基線包。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.1.3驗(yàn)證測試驗(yàn)證測試環(huán)節(jié)的證實(shí)方法如下：a)測試方法：1)檢查是否搭建能模擬終端的實(shí)際運(yùn)行環(huán)境的測試環(huán)境；2)檢查是否完成核心配置有效性、適用性和兼容性驗(yàn)證測試，并記錄測試結(jié)果；3)檢查是否針對有問題的核心配置項(xiàng)參數(shù)進(jìn)行修改和調(diào)整。b)預(yù)測結(jié)果：1)搭建了符合終端實(shí)際運(yùn)行環(huán)境的測試環(huán)境；2)完成核心配置有效性、適用性和兼容性驗(yàn)證測試，并記錄了測試結(jié)果；3)針對有問題的核心配置項(xiàng)參數(shù)進(jìn)行修改和調(diào)整，并重新生成了核心配置基線包。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.1.4配置部署配置部署環(huán)節(jié)的證實(shí)方法如下：a)測試方法：1)檢查是否將核心配置基線包分發(fā)到預(yù)定終端；2)檢查終端配置是否符合核心配置基線包配置內(nèi)容。b)預(yù)測結(jié)果：1)核心配置基線包成功分發(fā)到預(yù)定終端；2)終端配置符合核心配置基線包配置內(nèi)容。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.1.5配置檢查GB/TXXXXX—XXXX配置檢查環(huán)節(jié)的證實(shí)方法如下：a)測試方法：1)根據(jù)實(shí)際需求，定期（每月或每周一次）檢查終端核心配置狀態(tài)是否達(dá)到核心配置基線要2)檢查是否有定期糾正配置偏差記錄日志。b)預(yù)測結(jié)果：1)完成定期檢查并記錄達(dá)標(biāo)結(jié)果記錄；2)完成對達(dá)標(biāo)結(jié)果的判斷并糾正配置偏差。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.1.6例外處理例外處理環(huán)節(jié)的證實(shí)方法如下：a)測試方法：1)檢查是否對已列出的例外情況審批備案；2)檢查是否制定整改計(jì)劃并在管理層監(jiān)督下實(shí)施計(jì)劃。b)預(yù)測結(jié)果：1)完成對已列出的例外情況審批備案；2)完成制定整改計(jì)劃并在管理層監(jiān)督下實(shí)施計(jì)劃。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.2自動化部署及監(jiān)測要求證實(shí)方法9.2.1配置編輯模塊配置編輯模塊的證實(shí)方法如下：a)測試方法：檢查配置編輯模塊是否具有基線包生成器和基線包編輯器，并具有要求中的功能；b)預(yù)測結(jié)果：配置編輯模塊具有基線包生成器和基線包編輯器，具有添加、修改、合并、刪除等功能；c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.2.2配置驗(yàn)證模塊配置驗(yàn)證模塊的證實(shí)方法如下：a)測試方法：1)檢查是否根據(jù)要求完成有效性測試并記錄測試結(jié)果；2)檢查是否根據(jù)要求完成兼容性測試并記錄測試結(jié)果；3)檢查是否根據(jù)要求完成適用性測試并形成測試結(jié)果。b)預(yù)測結(jié)果：1)完成有效性測試并記錄測試結(jié)果；2)完成兼容性測試并記錄測試結(jié)果；3)完成適用性測試并形成測試結(jié)果。c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.2.3配置部署模塊配置部署模塊的證實(shí)方法如下：GB/TXXXXX—XXXXa)測試方法：檢查配置部署模塊是否具有基線包管理組件、基線包分發(fā)組件和配置執(zhí)行組件，并具有核心配置基線包管理、分發(fā)和部署執(zhí)行功能；b)預(yù)測結(jié)果：配置部署模塊具有基線包管理組件、基線包分發(fā)組件和配置執(zhí)行組件，并具有核心配置基線包管理、分發(fā)和部署執(zhí)行功能；c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。9.2.4配置監(jiān)測模塊配置監(jiān)測模塊的證實(shí)方法如下：a)測試方法：檢查配置監(jiān)測模塊是否包含安裝在終端上的配置狀態(tài)收集器、配置狀態(tài)上報組件和部署在服務(wù)器上的配置狀態(tài)分析器、配置狀態(tài)圖展示平臺；b)預(yù)測結(jié)果：配置監(jiān)測模塊包含安裝在終端上的配置狀態(tài)收集器、配置狀態(tài)上報組件和部署在服務(wù)器上的配置狀態(tài)分析器、配置狀態(tài)圖展示平臺；c)結(jié)果判定：上述預(yù)期結(jié)果均滿足判定為符合，其他情況判定為不符合。GB/TXXXXX—XXXX（規(guī)范性）核心配置基線包A.1概述核心配置基線包包括如下文件，其中基線配置文件不可或缺，說明文件和基線配置工具兩項(xiàng)可以根據(jù)具體情況選擇包含：a)說明文件：說明當(dāng)前核心配置基線包內(nèi)容、注意事項(xiàng)、操作流程等內(nèi)容；b)基線配置工具：用于當(dāng)前基線包配置的專用工具或工具集；c)基線配置文件：用于對相關(guān)配置項(xiàng)及其取值進(jìn)行規(guī)范性標(biāo)記的文件，以實(shí)現(xiàn)自動化部署及監(jiān)測。基線配置文件依照ISO/IEC18180:2013標(biāo)準(zhǔn)編寫，采用可擴(kuò)展配置檢查表描述格式(XCCDF)描述核心配置基準(zhǔn)，使用到的XCCDF元素包括:<xccdf:Benchmark>、<xccdf:Profile>、<xccdf:Rule>、<xccdf:value>和<xccdf:Group>。除非本文件中另有說明，ISO/IEC18180:2013XCCDF標(biāo)準(zhǔn)中其他可選元素都可以由核心配置基線包開發(fā)者自行決定是否包含。A.2XCCDF元素通用要求XCCDF元素<xccdf:Benchmark>、<xccdf:Profile>、<xccdf:Rule>、<xccdf:value>和<xccdf:Group>，應(yīng)遵循以下要求：a)應(yīng)提供至少一個<xccdf:title>元素；b)應(yīng)提供至少一個<xccdf:description>元素。A.3<xccdf:Benchmark>元素<xccdf:Benchmark>元素應(yīng)滿足以下要求：a)<xccdf:Benchmark>元素應(yīng)具有@xml:lang屬性。b)<xccdf:Benchmark>元素應(yīng)具有@id屬性。1)同一產(chǎn)品安全配置基準(zhǔn)的各個修訂版本應(yīng)具有相同的@id屬性值。c)<xccdf:version>元素表示基準(zhǔn)文件的當(dāng)前版本，同一產(chǎn)品安全配置基準(zhǔn)的各個修訂版本應(yīng)具有不同的<xccdf:version>元素值，該值表示修訂順序，用以確定從原始基準(zhǔn)開始的更新歷史。1)<xccdf:version>元素的@time屬性定義了基線配置文件時間戳。2)<xccdf:version>元素的@update屬性用于指定獲得基準(zhǔn)更新的URI。d)<xccdf:status>元素表示基準(zhǔn)文件的當(dāng)前狀態(tài)。1)以草案形式發(fā)布的文件的對應(yīng)值為“draft”。2)正式發(fā)布文件的對應(yīng)值為“accepted”。3)@date屬性為狀態(tài)更改的日期(YYYY-MM-DD)，該屬性可選。e)必須提供<xccdf:metadata>元素，并且必須至少包含表A.1中的都柏林核心元數(shù)據(jù)元素。如果提供額外的都柏林核心元數(shù)據(jù)元素，應(yīng)在表格要求的元素序列之后添加。都柏林核心元數(shù)據(jù)元素應(yīng)來自GB/T25100—2010的表1。表A.1<xccdf:metadata>中使用的都柏林核心元數(shù)據(jù)元素<dc:creator><dc:publisher>GB/TXXXXX—XXXX<dc:contributor><dc:source>指示本基準(zhǔn)的來源URI，可以是基準(zhǔn)發(fā)布路徑A.4<xccdf:Profile>元素<xccdf:Profile>元素是可選項(xiàng)，基線配置文件內(nèi)容通常包含一個或多個<xccdf:Profile>元素，但非必須元素。A.5<xccdf:Group>元素每一個安全配置基準(zhǔn)文檔中應(yīng)包含一個或多個<xccdf:Group>元素，該元素允許嵌套使用，表示安全配置基準(zhǔn)文檔中規(guī)范條目之間的組織歸類關(guān)系。A.6<xccdf:Rule>元素<xccdf:Rule>元素中必須包含一個或多個<xccdf:check>元素或<xccdf:complex-check>元素。A.6.1<xccdf:check>元素要求<xccdf:check>元素用于標(biāo)明目標(biāo)系統(tǒng)基于當(dāng)前的規(guī)則（<xccdf:Rule>）所要進(jìn)行的具體檢查內(nèi)容。對<xccdf:check>元素提出如下要求：1)必須包含0或1個<xccdf:check-content>元素。2)如果不包含<xccdf:check-content>元素，則必須包含至少一個<xccdf:check-content-ref>元素。3)<xccdf:check-content>和<xccdf:check-content-ref>元素不能同時出現(xiàn)。A.6.2<xccdf:complex-check>元素要求<xccdf:complex-check>用于表達(dá)復(fù)雜的檢查邏輯，通常情況下不需要使用<xccdf:complex-check>元<xccdf:complex-check>元素內(nèi)必須包含<xccdf:check>元素，<xccdf:complex-check>自身也可以嵌套使用，但每一次使用都必須攜帶布爾邏輯參數(shù)，用于標(biāo)明<xccdf:complex-check>元素內(nèi)的檢查項(xiàng)之間的關(guān)系，比如：<xccdf:complex-checkoperator="OR"><xccdf:checksystem="xxx"><xccdf:check-content-refhref="xxx.xml"name="xxx"/></xccdf:check><xccdf:complex-checkoperator="AND"><xccdf:checksystem="xxx"><xccdf:check-content><unix_pwd_minlen>xx</unix_pwd_minlen></xccdf:check-content></xccdf:check></xccdf:complex-check></xccdf:complex-check>A.7<xccdf:value>元素<xccdf:value>可以包含字符串、布爾值或數(shù)字內(nèi)容，或這些內(nèi)容的列表。<xccdf:value>元素可以包括允許的值、默認(rèn)值和值限制范圍的信息。GB/TXXXXX—XXXX（資料性）BIOS訪問控制配置示例B.1概述BIOS是計(jì)算機(jī)終端啟動后執(zhí)行的第一個程序模塊，為保證計(jì)算機(jī)終端啟動過程中的安全，以下內(nèi)容展示了落實(shí)BIOS的安全配置清單和基于安全配置清單產(chǎn)生配置基線包的過程。B.2核心配置清單示例B.2.1BIOS開機(jī)項(xiàng)檢查a)檢查是否啟動了BIOS管理員賬戶；b)檢查是否設(shè)置BIOS管理員口令；c)關(guān)閉定時開機(jī)功能；d)關(guān)閉遠(yuǎn)程開機(jī)功能。B.2.2BIOS啟動順序檢查a)當(dāng)前用戶無權(quán)限修改啟動順序；b)優(yōu)先從本地硬盤啟動。B.3核心配置基線包示例B.3.1BIOS開機(jī)檢查項(xiàng)<xccdf:valueid="xccdf_cgdcc_value_bios_admin_enabled_var"type="boolean"operator="equals"><xccdf:title>EnabledBIOSAdministratorAccount</xccdf:title><xccdf:description>ThisvaluedetermineswhetherBIOSAdminaccountisenabledcheck.1=enabled</xccdf:description><xccdf:value>1</xccdf:value><xccdf:valueselector="disabled">0</xccdf:value><xccdf:valueselector="enabled">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_bios_admin_password_not_null_var"type="boolean"operator="equals"><xccdf:title>EnforceBIOSAdministratorPassword</xccdf:title><xccdf:description>ThisvaluedetermineswhetherBIOSimplementsAdminpasswordcheck.1=set</xccdf:description><xccdf:value>1</xccdf:value><xccdf:valueselector="adminPswd">0</xccdf:value><xccdf:valueselector="adminPswd">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_disable_power-on_by_alarm_var"type="boolean"operator="equals"><xccdf:title>DisablePower-onByAlarmOption</xccdf:title>GB/TXXXXX—XXXX<xccdf:description>Thisvaluedetermineswhethercomputercanbepower-onbyalarmcheck.0=disabled</xccdf:description><xccdf:value>0</xccdf:value><xccdf:valueselector="disabled">0</xccdf:value><xccdf:valueselector="enabled">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_disable_power-on_by_LAN_var"type="boolean"operator="equals"><xccdf:title>DisablePower-onByLANOption</xccdf:title><xccdf:description>Thisvaluedetermineswhethercomputercanbepower-onbyLANcheck.0=disabled</xccdf:description><xccdf:value>0</xccdf:value><xccdf:valueselector="disabled">0</xccdf:value><xccdf:valueselector="enabled">1</xccdf:value></xccdf:value>B.3.2BIOS啟動順序檢查<xccdf:valueid="xccdf_cgdcc_value_boot_configuration_lock_var"type="boolean"operator="equals"><xccdf:title>BootConfigurationLock</xccdf:title><xccdf:description>ThisvaluedetermineswhetherNon-administratoraccountcanchangethebootorder.check.1=locked</xccdf:description><xccdf:value>1</xccdf:value><xccdf:valueselector="unlocked">0</xccdf:value><xccdf:valueselector="locked">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_first_boot_device_var"type="boolean"operator="equals"><xccdf:title>LocalDiskBootFirst</xccdf:title><xccdf:description>Thisvaluedetermineswhetherlocaldiskisthefirstbootdevice.check.1=true</xccdf:description><xccdf:value>1</xccdf:value><xccdf:valueselector="false">0</xccdf:value><xccdf:valueselector="true">1</xccdf:value></xccdf:value>GB/TXXXXX—XXXX（資料性）操作系統(tǒng)身份鑒別配置示例C.1概述為幫助本文件用戶理解將第6章配置要求的內(nèi)容落實(shí)為可配置的基線包的過程，當(dāng)前附錄以6.2.1身份鑒別要求為例將配置要求落實(shí)為配置清單C.2，并依據(jù)配置清單C.2落實(shí)為配置基線包C.3。C.2核心配置清單示例C.2.1身份驗(yàn)證e)首次登陸、創(chuàng)建新用戶時強(qiáng)制用戶設(shè)置口令；f)配置登錄時不顯示用戶名；g)配置允許用戶使用生物特征登錄；h)遠(yuǎn)程網(wǎng)絡(luò)身份驗(yàn)證時，使用TLS或SSH保護(hù)傳輸信道、使用8位及以上復(fù)雜度的口令；i)使用智能卡登錄本地時,配置智能卡移除后立即鎖定計(jì)算機(jī)；j)禁用可還原的加密方式儲存密碼。C.2.2口令管理c)賬戶口令至少包含8個字符；d)口令最短有效期不低于1天，最長有效期不能超過90天；e)口令過期前7天提示用戶修改口令；f)更換口令時，新口令必須與先前歷史記載的5個口令不重復(fù)；g)口令復(fù)雜度設(shè)置：1)不和用戶名字符重復(fù)；2)口令復(fù)雜度至少包括大寫字母、小寫字母、數(shù)字和特殊符號中的3種；h)用戶連續(xù)登錄失敗5次后鎖定用戶賬戶至少15分鐘；C.3核心配置基線包示例C.3.1身份驗(yàn)證<xccdf:valueid="xccdf_cgdcc_value_password_var"type="boolean"operator="equals"><xccdf:title>EnforcePassword</xccdf:title><xccdf:description>ThisvaluedetermineswhetherkylinOSimplementspasswordcheck.1=enabled</xccdf:description><xccdf:value>1</xccdf:value><xccdf:valueselector="disabled">0</xccdf:value><xccdf:valueselector="enabled">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_show_username_var"type="boolean"operator="equals"><xccdf:title>recentlyloginusername</xccdf:title>GB/TXXXXX—XXXX<xccdf:description>Thisvaluedetermineswhethershowtherecentlyloginusernamecheck.0=disabled</xccdf:description><xccdf:value>0</xccdf:value><xccdf:valueselector="disabled">0</xccdf:value><xccdf:valueselector="enabled">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_biological_credential_login_var"type="boolean"operator="equal"><xccdf:title>biologicalcredentialenable/disable</xccdf:title><xccdf:description>canusersusebiological_credentialtologinthiscomputer</xccdf:description><xccdf:value>1</xccdf:value><xccdf:valueselector="disabled">0</xccdf:value><xccdf:valueselector="enabled">1</xccdf:value></xccdf:value><xccdf:valueid="xccdf_cgdcc_value_remote_login_protocol_var"type="number"operator="equals"><xccdf:title>remoteloginnetworkprotocolselection</xccdf:title><xccd