服務器日常安全運維管理手冊

平安日常運維管理河北連益成信息技術編寫人陳磊時間2014-12-2版本Version1.0目錄第一章平安運維管理體系分析 41.1平安日常運維管理的必要性 41.2平安運維管理的技術支撐體系 51.3平安運維管理遵循的PDCA周期 61.4平安日常運維管理的目標 6第二章帳戶口令管理 72.1職責定義 92.2口令賬號五個保密等級 92.2.1【最低等級】等級一 92.2.2【低等級】等級二 102.2.3【中等級】等級三 102.2.4【鞏固級】等級四 112.2.5【最高級】等級五 122.3賬號管理 132.3.1賬號角色分配目的 132.3.2建立的原那么 132.3.3賬號建立的過程 142.4口令管理 162.4.1口令管理原那么 162.4.2口令設置原那么 172.4.3口令設置最低標準 182.5權限管理 192.5.1概述 192.5.2確定最小權限 192.5.3建立權限體系 202.6賬號口令審計管理 212.6.1概述 212.6.2賬號審查通用要求 222.6.3賬號口令審計流程設計建議 23第三章效勞與端口 243.1什么是端口 243.2什么是效勞 243.3常用端口列表 25第四章平安補丁 434.1概述 434.2補丁安裝與操作 434.2.1檢測內(nèi)容 434.2.2建議操作 444.2.3操作結果 44第五章終端管理 44第六章數(shù)據(jù)備份 466.1備份管理 466.1.1信息識別 466.1.2制定備份方案 476.1.3實施備份方案 486.1.4備份存放 486.1.5備份測試 496.1.6備份恢復 496.2數(shù)據(jù)恢復 49第一章平安運維管理體系分析1.1平安日常運維管理的必要性IT系統(tǒng)是否能夠正常運行直接關系到業(yè)務或生產(chǎn)是否能夠正常運行。但IT管理人員經(jīng)常面臨的問題是：網(wǎng)絡變慢了、設備發(fā)生故障、應用系統(tǒng)運行效率很低。IT系統(tǒng)的任何故障如果沒有及時得到妥善處理都將會導致很大的影響，甚至會造成可怕的經(jīng)濟損失。但是什么原因?qū)е翴T系統(tǒng)屢出問題？是產(chǎn)品、技術、還是缺乏有效的、系統(tǒng)化的平安運維管理？隨著電信IT系統(tǒng)的開展，業(yè)務應用的持續(xù)增加，其IT根底設施的架構越來越復雜，單純憑某個工具或某個人不可能有效地保護自己的整體網(wǎng)絡平安;信息平安作為一個整體，需要把平安過程中的有關各層次的平安產(chǎn)品、分支機構、運營網(wǎng)絡、管理維護制度等納入一個緊密的統(tǒng)一平安管理平臺〔系統(tǒng))中，才能有效地保障企業(yè)的網(wǎng)絡和信息平安。IT環(huán)境的復雜性，使更多的平安威脅被揭示出來。很多企業(yè)嘗試通過部署“最正確”平安產(chǎn)品來保護自己，比方防病毒網(wǎng)關、防火墻、入侵防護系統(tǒng)、VPN、訪問控制、身份認證等。在這種極度復雜的情況下，需要的是一個集成的解決方案，使得企業(yè)能夠收集、關聯(lián)和管理來自異類源的大量平安事件，實時監(jiān)控和做出響應，需要的是能夠輕松適應環(huán)境增長和變化的管理體系，需要的就是企業(yè)完整的平安管理平臺解決方案?？偠灾?，對于企業(yè)平安運維管理來說，三分技術，七分管理，在企業(yè)內(nèi)部建立一套完善的平安管理規(guī)章制度，使管理機構依據(jù)相應的管理制度和管理流程對日常操作、運行維護、審計監(jiān)督、文檔管理等進行統(tǒng)一管理，同時加強對工作人員的平安知識和平安操作培訓，建立統(tǒng)一的平安管理體系，幫助企業(yè)識別、管理和減少信息通常所面臨的各種威脅，架構企業(yè)的平安保障體系。

平安運維管理的技術支撐體系平安監(jiān)控和根底維護安全技術支撐運維預防P響應R恢復R策略發(fā)現(xiàn)D平安監(jiān)控和根底維護平安技術支撐PPDRR模型包括策略〔Policy〕、防護〔Protection〕、檢測〔Detection〕、響應〔Response〕和恢復〔Recovery〕5個主要局部，其中，防護、檢測、響應和恢復構成一個完整的、動態(tài)的平安循環(huán)，在平安策略的指導下共同實現(xiàn)平安保障信息平安的重要理論模型包括信息平安平安監(jiān)控和根底維護安全技術支撐運維預防P響應R恢復R策略發(fā)現(xiàn)D平安監(jiān)控和根底維護平安技術支撐制定網(wǎng)絡和系統(tǒng)層面的整體平安技術保護方案和技術標準；逐步實現(xiàn)平安自評估，全面掌握平安風險；提供重大平安預警信息發(fā)布和解決方案；協(xié)調(diào)響應網(wǎng)絡層面的各類重大平安事件；對各類平安事件有關數(shù)據(jù)進行綜合分析，形成平安運行分析報告；對生產(chǎn)層面的平安策略進行集中控制；跟蹤研究各種平安問題和技術，收集各種根底信息資源。進行7×24小時的日常平安平安事件監(jiān)測，負責受理平安投訴。對平安事件進行收集匯總，進行事件預處理。系統(tǒng)日常口令維護，加載平安補丁和梳理效勞端口等實施各類平安設備和配套管理設備的日常維護。實施一般平安預警和平安應急事件的處理。落實系統(tǒng)自身平安應急預案，并參加平安應急演練1.3平安運維管理遵循的PDCA周期1.4平安日常運維管理的目標平安工作的目的就是為了在平安法律、法規(guī)、政策的支持與指導下，通過采用適宜的平安技術與平安管理措施，完成下述網(wǎng)絡與信息平安的保障任務。進不來：使用訪問控制機制，阻止非授權用戶進入網(wǎng)絡，從而保證網(wǎng)絡系統(tǒng)的可用性拿不走：使用授權機制，實現(xiàn)對用戶的權限控制，即不該拿走的“拿不走”，同時結合內(nèi)容審計機制，實現(xiàn)對網(wǎng)絡資 源及信息的可控性。看不懂：使用加密機制，確保信息不泄漏給未授權的實體或進程，即“看不懂”，從而實現(xiàn)信息的保密性改不了：使用數(shù)據(jù)完整性鑒別機制，保證只有得到允許的人才能修改數(shù)據(jù)，而其它人“改不了”，從而確保信息的完整性。跑不了：使用審計、監(jiān)控、防抵賴等平安機制，使得攻擊者、破壞者、抵賴者“走不脫”，并進一步對網(wǎng)絡出現(xiàn)的平安問題提供調(diào)查依據(jù)和手段，實現(xiàn)信息平安的可審查性。為保障IT系統(tǒng)的正常運行，應能做到如下所示總結：平安日常運維管理可總結為高效管理能力、全面運維能力、平安保護能力、隱患發(fā)現(xiàn)能力、應急響應能力、快速恢復能力第二章帳戶口令管理為什么有這么多人鐘情于竊取帳號口令？攻擊者竊取帳號有著非法的目的、意圖，惡意毀壞操作等行為，他們或以知名，或以炫耀技術為目的。而目前，竊取帳號的行為都與竊取商業(yè)機密和機密信息、數(shù)據(jù)、經(jīng)濟利益相關，大都有著利益化的傾向犯罪行為。帳號衩竊取的常見原因2.1職責定義2.2口令賬號五個保密等級2.2.1【最低等級】等級一只有根本的甚至沒有保障措施，用于電子系統(tǒng)的帳號。在第一等級的保障的情況下，只有根本的甚至沒有保障措施用于電子系統(tǒng)的帳號，等級一的情況下，錯誤的口令、帳號和權限管理可能導致給公司、客戶或者第三方帶來最小的不便。不會給公司、客戶或者第三方帶來直接的經(jīng)濟損失不會給公司、客戶或者第三方帶來不快不會給公司、客戶或者第三方帶來名譽或者地位的損失不會破壞公司、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易不會導致民事或者刑事犯罪不會向未經(jīng)授權的組織或個人暴露個人、公司、政府、商業(yè)的敏感信息未驗收和未投入使用的系統(tǒng)，工程過程中的系統(tǒng)〔假設沒有涉及知識產(chǎn)權，例如軟件代碼泄密的問題的情況下〕【低等級】等級二通過常用的措施即可保護系統(tǒng)的可信認證，必須充分考慮代價和認證平安性的平衡這種等級的認證被誤用或者破壞可能導致：給公司、客戶或者第三方帶來較小的不便給公司、客戶或者第三方帶來較小直接的經(jīng)濟損失或者沒有直接經(jīng)濟損失會給公司、客戶或者第三方帶來較小的不快會給公司、客戶或者第三方帶來較小名譽或者地位的損失存在一定的風險，可能破壞公司、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易不會導致民事或者刑事犯罪。存在一定風險，可能少量向未經(jīng)授權的組織或個人暴露個人、公司、政府、商業(yè)的敏感信息舉例：一臺常用辦公電腦，該電腦上沒有存儲任何機密文件，他的帳號被竊取可能導致公司常用信息例如通訊錄被泄漏。一個有查詢系統(tǒng)的帳號，用戶可以通過Internet注冊來查詢自己的帳單。該帳號失竊可能導致用戶信息的泄漏。2.2.3【中等級】等級三如果該級別的帳號被破壞，攻擊者往往可以通過這種系統(tǒng)作為中轉(zhuǎn)，進而對局部關鍵的系統(tǒng)主機進行破壞。這種級別的帳號口令雖然不是直接的業(yè)務系統(tǒng)或者數(shù)據(jù)庫的帳號，但是，如果該級別的帳號被破壞，攻擊者往往可以通過這種系統(tǒng)作為中轉(zhuǎn)，進而對局部關鍵的系統(tǒng)主機進行破壞，該等級被誤用的主要風險有：通過中轉(zhuǎn)可能給公司、客戶或者第三方帶來較大的不便通過中轉(zhuǎn)有可能給公司、客戶或者第三方帶來較大直接的經(jīng)濟損失或沒有直接經(jīng)濟損失通過中轉(zhuǎn)會給公司、客戶或者第三方帶來較大的不快通過中轉(zhuǎn)會給公司、客戶或者第三方帶來較大名譽或者地位的損失存在一定的風險，會破壞公司、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易可能會導致民事或者刑事犯罪存在一定風險，可能大量向未經(jīng)授權的組織或個人暴露個人、公司、政府、商業(yè)的敏感信息舉例：維護終端的用戶帳號，由于一些業(yè)務系統(tǒng)會對終端做特定限制，維護終端被破壞后，導致攻擊者可以進一步破壞業(yè)務系統(tǒng)，重要的可信網(wǎng)絡設備的帳號等?！眷柟碳墶康燃壦耐ǔ５燃壦囊馕吨降臉I(yè)務流程使用的帳號，通常需要較高信心來保證身份的認證和正確的授權。通常等級四意味著正式的業(yè)務流程使用的帳號，通常需要較高信心來保證身份的認證和正確的授權，這種等級的認證被誤用或者破壞可能導致：給公司、客戶或者第三方帶來較大的不便給公司、客戶或者第三方帶來較大直接的經(jīng)濟損失或者沒有直接經(jīng)濟損失會給公司、客戶或者第三方帶來較大的不快會給公司、客戶或者第三方帶來較大名譽或者地位的損失存在較大的風險，會破壞公司、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易會導致民事或者刑事犯罪存在較大風險，可能大量向未經(jīng)授權的組織或個人暴露個人、公司、政府、商業(yè)的敏感信息舉例：一般的主機操作系統(tǒng)、數(shù)據(jù)庫、和路由器的高權限帳號，例如root、administrator、dba等。業(yè)務系統(tǒng)的關鍵管理帳號，可以讀寫重要的用戶信息、業(yè)務信息和帳單信息?！咀罡呒墶康燃壩宓燃壩宓谋Ｕ贤ǔ枰浅４蟮男判谋Ｕ系南到y(tǒng)。等級五的保障通常對應需要非常大的信心保障的系統(tǒng)這種等級的認證被誤用或者破壞可能導致：給所有公司、客戶或者第三方帶來巨大的不便給公司、客戶或者第三方帶來極大直接的經(jīng)濟損失或者沒有直接經(jīng)濟損失會給公司、客戶或者第三方帶來極大的不快會給公司、客戶或者第三方帶來巨大名譽或者地位的損失破壞公司、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易會導致民事或者刑事犯罪大量向未經(jīng)授權的組織或個人暴露個人、公司、政府、商業(yè)的敏感信息舉例：關鍵系統(tǒng)，例如計費系統(tǒng)數(shù)據(jù)庫主機的操作系統(tǒng)和數(shù)據(jù)庫。用于存儲公司最高商業(yè)機密或密級為絕密的系統(tǒng)的認證。2.3賬號管理2.3.1賬號角色分配目的〔一〕加強網(wǎng)絡與信息平安管理，明確各級系統(tǒng)用戶權的職責。〔二〕根據(jù)業(yè)務系統(tǒng)的要求及網(wǎng)絡信息管理標準，進一步完善各級用戶在系統(tǒng)中的職能劃分與角色定位?！踩硰娀到y(tǒng)帳戶和密碼的管理，降低帳戶和密碼泄漏對系統(tǒng)和數(shù)據(jù)平安產(chǎn)生的影響，確保各相關信息報告系統(tǒng)平安、有效運行。系統(tǒng)管理員和超級用戶是有權限對系統(tǒng)的配置、系統(tǒng)最核心信息進行更改的帳號和角色，普通帳號是用戶用于訪問業(yè)務系統(tǒng)，實現(xiàn)日常業(yè)務操作的用戶，是最為常見的用戶類型，第三方帳號通常指由于某種特殊情況，系統(tǒng)允許移動以外的人員和組織訪問的帳號。在核心系統(tǒng)中，應該設置平安審計員帳號，該帳號可以對系統(tǒng)平安設置和日志信息進行專門的審計。2.3.2建立的原那么〔1〕不同類型用戶的建立應遵循滿足其工作需要的原那么，而用戶的權限分配那么應以保障網(wǎng)絡與信息的高效、準確、平安為原那么?！?〕用戶的權限分配應盡量使用系統(tǒng)提供的角色劃分。如需特殊的操作權限，應在準確理解其各項操作內(nèi)容的根底上，盡量防止和減少權限相互抵觸、交叉及嵌套情況的發(fā)生，經(jīng)測試成功后，再創(chuàng)立相應的角色賦予本級用戶或直報用戶。〔3〕通過對用戶進行角色劃分，分配審計賬號、用戶權限，合理限制對其他角色用戶、數(shù)據(jù)的修改權限，將審查數(shù)據(jù)與配置數(shù)據(jù)相對剝離，即原始配置數(shù)據(jù)與統(tǒng)計查看查看信息分開?！?〕系統(tǒng)內(nèi)所有涉及查看數(shù)據(jù)的帳戶信息均必須采用真實信息，即有查詢機制確認審計人員信息準確。賬號建立的過程帳號管理貫穿帳號創(chuàng)立、授權、權限變更及帳號撤銷或者凍結全過程帳號設置應與崗位職責相容；堅持最小授權原那么，防止超出工作職責的過度授權；應制定嚴格的審批和授權流程，標準帳號申請、修改、刪除等工作，授權審批記錄應編號、留檔〔表格命名規(guī)那么及格式參見附件，各省公司可重新制定相關表格〕；帳號創(chuàng)立、調(diào)整和刪除申請審批通過后，應及時更新系統(tǒng)中的帳號狀態(tài)，確保與審批結論保持一致；原那么上，除低權限的查詢帳號外，各系統(tǒng)不允許存在其它共享帳號，必須明確每個帳號責任人，不得以部門或用戶組作為最終責任人。在完成特定任務后，系統(tǒng)管理員應立即收回臨時帳號。帳號創(chuàng)立、變更、刪除審批流程超級帳號由主管領導以授權的方式授予具體的系統(tǒng)管理員，授權書至少應包括系統(tǒng)名稱、超級帳號名、授予人姓名、職責描述、有效期等；所有帳號，包括系統(tǒng)管理員帳號、普通帳號、程序帳號的責任人，應按規(guī)定的申請表格式要求提出申請，申請表至少包含申請人姓名、聯(lián)系方式、申請人職責描述、申請時間、申請目的、申請帳號所屬系統(tǒng)名稱、帳號類型、創(chuàng)立或者變更或者刪除操作類型、帳號權限描述、主管領導審批意見、系統(tǒng)管理員變更操作記錄及簽字確認、權責描述備注欄目等；主管領導進行審批，重點檢查所申請權限與申請人職責的一致性；系統(tǒng)管理員負責創(chuàng)立、變更或者刪除帳號，保存審批表格、并備案。如因系統(tǒng)能力或者管理原因無法按用戶創(chuàng)立帳號時，應采取如下管理措施：明確共享帳號責任人，責任人負責按照上述流程要求提出共享帳號審批表，并在審批表中注明該共享帳號的所有用戶名單；限制共享帳號的使用人數(shù)，建立相關管理制度保證系統(tǒng)的每項操作均可以對應到執(zhí)行操作的具體人員；限定使用范圍和使用環(huán)境；建立完善的操作記錄制度，對交接班記錄、重要操作記錄表等等；定期更新共享帳號密碼。對于程序運行或者程序自身由于管理需要訪問其它系統(tǒng)所使用的專用帳號，應符合如下要求：只允許系統(tǒng)和設備之間通信使用，不得作為用戶登錄帳號使用；將此類帳號的維護管理權限統(tǒng)一授權給該系統(tǒng)的系統(tǒng)管理員，由后者歸口管理；2.4口令管理2.4.1口令管理原那么口令至少由6位及以上大小寫字母、數(shù)字及特殊符號等混合、隨機組成，盡量不要以姓名、號碼以及出生日期等作為口令或者口令的組成局部。應以HASH或者加密技術保存口令，不得以明文方式保存或者傳輸；口令至少每90天更換一次。修改口令時，須保存口令修改記錄，包含帳號、修改時間、修改原因等，以備審計；5次以內(nèi)不得設置相同的口令；由于員工離職等原因，原帳號不能刪除或者需要重新賦予另一個人時，應修改相應帳號的口令。如系統(tǒng)能力支持，應開啟并設置自動拒絕不符合上述口令管理規(guī)那么帳號和口令的參數(shù)；對于無法建立口令規(guī)那么強制檢查的系統(tǒng)，帳號用戶應在每次口令修改后留有記錄。對于無法進行定期修改口令的帳號，如內(nèi)置帳號、專用帳號等，由系統(tǒng)管理員負責在系統(tǒng)升級或重啟時催促落實口令修改工作，負責催促落實調(diào)用該帳號的程序與所訪問系統(tǒng)兩側的口令同步工作。當發(fā)生下述情況時，應立即撤銷帳號或更改帳號口令，并做好記錄：帳號使用者由于崗位職責變動、離職等原因，不再需要原有訪問權限時；臨時性或階段性使用的帳號，在工作結束后；帳號使用者違反了有關口令管理規(guī)定；有跡象，說明口令可能已經(jīng)泄露等。2.4.2口令設置原那么口令必須具有足夠的長度和復雜度，使口令難于被猜想口令在一定時間或次數(shù)內(nèi)不能循環(huán)使用不同帳號的口令應當不同，并且沒有直接聯(lián)系，以保證不可由一個帳號的口令推知其它帳號的口令同一帳號前后兩個口令之間的相同局部應當盡量減少，減低由前一個口令分析出后一個口令的時機口令不應當取過于簡單的字符串，如號碼、使用者的姓名、寵物、生日或其倒序，6位字符都相同、6位連續(xù)字符等易于猜想的信息開戶時設定的初始口令必須是隨機產(chǎn)生的口令，而不能是相同或者有規(guī)律的口令所有系統(tǒng)管理員級別的口令〔例如root、enable、NTadministrator、DBA等〕在沒有使用增強口令的情況下，必需按照較短周期進行更改，例如每三個月更換一次。應該注意關鍵性帳號信息的定期行備份。用戶所使用的任何具備系統(tǒng)超級用戶權限〔包括并不限于系統(tǒng)管理員帳號和有sodu權限帳號〕帳號口令必需和這個用戶其他帳號的口令均不相同。如果有雙要素認證機制，那么以上的要求和下面關于強口令選擇的要求可以不考慮?？诹畈荒茉陔娮余]件或者其他電子方式下以明文方式傳輸。當使用SNMP時，communicationstring不允許使用缺省的Public、Private和system等，并且該communicationstring不應該和系統(tǒng)的其他口令相同，應該盡量使用SNMPv2以上的版本。2.4.3口令設置最低標準如果技術上支持，口令至少要有6位長口令必須是字母和非字母的組合口令第1位和最后1位至少應包含1個非數(shù)字字符與前次口令比擬，在任何位置不能有超過3個字符連續(xù)相同口令不能包含超過2個連續(xù)相同的字符用戶名不能作為口令一局部與前4次相同的口令不能重復使用口令不能被共享除非每個口令的行為都能被區(qū)分對于級別要求很高的系統(tǒng)，普通用戶口令要求8位以上管理員/超級用戶帳號最近20個口令不可重復，口令的長度不可小于7位，口令中必須包含大寫字母、小寫字母和數(shù)字中的兩類，口令中同一個符號不得多于2次，且不得有1個以上的字符出現(xiàn)兩次，前后2個口令中相同位置的字符相同的不得多于2個；口令不得有明顯的意義修改帳號的使用人應當定期修改帳號口令，修改口令的間隔應小于本標準的相關規(guī)定，對于本標準沒有規(guī)定的用戶，其間隔應當小于6個月不同用戶的修改口令的最大間隔為：1)普通帳號應當小于6個月2)管理員帳號和超級管理員帳號應當小于3個月匿名用戶帳號可以不修改口令2.5權限管理2.5.1概述按照“誰主管，誰負責”、“誰使用、誰負責”、所有帳號均應落實責任人的原那么制定本方法。帳號和口令管理包括基于帳號的操作或訪問控制權限的管理。帳號是作為訪問的主體。而基于帳號進行操作的目標就是訪問的客體。通常這個客體被當成為資源。對資源的訪問控制權限的設定依不同的系統(tǒng)而不同。從移動帳號管理的角度，可以進行基于角色的訪問控制權限的設定。即對資源的訪問控制權限是以角色或組為單位進行授予。2.5.2確定最小權限1、所謂最小特權〔LeastPrivilege〕，指的是“在完成某種操作時所賦予網(wǎng)絡中每個主體〔用戶或進程〕必不可少的特權”。最小特權原那么，那么是指“應限定網(wǎng)絡中每個主體所必須的最小特權，確?？赡艿氖鹿?、錯誤、網(wǎng)絡部件的篡改等原因造成的損失最小”。2、最小特權原那么一方面給予主體“必不可少”的特權，這就保證了所有的主體都能在所賦予的特權之下完成所需要完成的任務或操作；另一方面，它只給予主體“必不可少”的特權，這就限制了每個主體所能進行的操作。

最小特權原那么要求每個用戶和程序在操作時應當使用盡可能少的特權，而角色允許主體以參與某特定工作所需要的最小特權去簽入〔Sign〕系統(tǒng)。被授權擁有強力角色〔PowerfulRoles〕的主體，不需要動輒運用到其所有的特權，只有在那些特權有實際需求時，主體才去運用它們。如此一來，將可減少由于不注意的錯誤或是侵入者假裝合法主體所造成的損壞發(fā)生，限制了事故、錯誤或攻擊帶來的危害。它還減少了特權程序之間潛在的相互作用，從而使對特權無意的、沒必要的或不適當?shù)氖褂貌惶赡馨l(fā)生。這種想法還可以引申到程序內(nèi)部：只有程序中需要那些特權的最小局部才擁有特權。3、基于角色的訪問控制是一種新型訪問控制模型，它的根本思想是將權限與角色聯(lián)系起來，在系統(tǒng)中根據(jù)應用的需要為不同的工作崗位創(chuàng)立相應的角色，同時根據(jù)用戶職務和責任指派適宜的角色，用戶通過所指派的角色獲得相應的權限，實現(xiàn)對文件的訪問。它支持最小特權、責任別離以及數(shù)據(jù)抽象三個根本的平安原那么。4、最小權限原那么規(guī)定：每個用戶/任務/應用在必需知情的前提下被賦予明確的訪問對象和模塊的權限。遵循最小權限原那么運行的系統(tǒng)要求授予用戶訪問對象的明確權限。準許或拒絕訪問數(shù)據(jù)庫或效勞器對象的第一步是認證和授權對帳號的授權，應以其能進行系統(tǒng)管理、操作的最小權限進行授權。比方這個帳號作為系統(tǒng)帳號只能進行數(shù)據(jù)備份的操作，那就只授權其可以進行數(shù)據(jù)備份操作的命令。別的諸如進行系統(tǒng)網(wǎng)絡狀態(tài)監(jiān)控的命令那么不授權其可以進行。對于授權，應該支持一定的授權粒度控制，從而控制用戶的訪問對象和訪問行為，保證用戶的最小授權。2.5.3建立權限體系基于角色訪問控制〔RBAC〕模型是目前國際上流行的先進的平安訪問控制方法。它通過分配和取消角色來完成用戶權限的授予和取消，并且提供角色分配規(guī)那么。平安管理人員根據(jù)需要定義各種角色，并設置適宜的訪問權限，而用戶根據(jù)其責任和資歷再被指派為不同的角色。這樣，整個訪問控制過程就分成兩個局部，即訪問權限與角色相關聯(lián)，角色再與用戶關聯(lián)，從而實現(xiàn)了用戶與訪問權限的邏輯別離。由于實現(xiàn)了用戶與訪問權限的邏輯別離，基于角色的策略極大的方便了權限管理。例如，如果一個用戶的職位發(fā)生變化，只要將用戶當前的角色去掉，參加代表新職務或新任務的角色即可。研究說明，角色/權限之間的變化比角色/用戶關系之間的變化相對要慢得多，并且給用戶分配角色不需要很多技術，可以由行政管理人員來執(zhí)行，而給角色配置權限的工作比擬復雜，需要一定的技術，可以由專門的技術人員來承當，但是不給他們給用戶分配角色的權限，這與現(xiàn)實中的情況正好一致?；诮巧L問控制可以很好的描述角色層次關系，實現(xiàn)最小特權原那么和職責別離原那么2.6賬號口令審計管理概述號口令管理的執(zhí)行情況，在很大程度上取決于帳號口令審查的監(jiān)督力度。在公司內(nèi)部推行帳號口令管理制度的很大一局部工作需要通過不斷的監(jiān)督、審查再配合相關的獎懲規(guī)定來保證。因此完善的帳號口令審查制度對于整個帳號口令管理至關重要。賬號審查通用要求對于保障等級一、二類帳號的普通用戶，可以根據(jù)實際情況決定是否進行定期審查對于保障等級一、二類帳號的超級用戶，定期審查的時間間隔不超過六個月對于保障等級三、四類帳號的普通用戶，定期審查的時間間隔不超過三個月對于保障等級四、四類帳號的超級用戶，定期審查的時間間隔不超過一個月對于保障等級五類帳號的所有用戶，定期查的時間間隔不超過一個月任何變化發(fā)生后應進行審查，如：發(fā)生非法入侵、人員變動等；對于審查過程中出現(xiàn)的多余、閑置或非法的帳戶，應及時予以凍結或刪除對核查中發(fā)現(xiàn)的問題，應催促相關人員采取必要措施予以糾正通用原那么對于已經(jīng)實施集中認證系統(tǒng)，審計的主要工作是對于認證和授權的日志進行檢查，審核是否有非法登陸事件，是否有越權使用的行為等對于操作系統(tǒng)級的帳號口令審計分為兩種：第一種可以設置帳號登陸和權限使用事件的追蹤，這種帳號口令的審計也是對系統(tǒng)日志和防火墻等訪問控制設備日志的審計；對于不能實現(xiàn)帳號登錄和權限追蹤的系統(tǒng)，需要人工進行審計，應該根據(jù)業(yè)務系統(tǒng)的屬性制定詳細的審計checklist，由專門的平安組織進行定期或者不定期的帳號隨機抽查審計對于應用系統(tǒng)的帳號審計工作也是參照操作系統(tǒng)的分類進行處理對于網(wǎng)絡設備的帳號審計工作，由于大局部的設備帳號都是沒有日志記錄的，所以主要審計方式是人工審計，由專門的信息平安組織根據(jù)設備的風險等級規(guī)定審計的頻度和審計的checklist審計checklist的內(nèi)容主要依據(jù)審計對象的帳號口令管理規(guī)定制作，審計的關鍵點是帳號口令的復雜度，權限，更改的要求等等在制作審計checklist設計的時候，需要區(qū)別不同業(yè)務系統(tǒng)不同級別帳號的差異，對于關鍵業(yè)務系統(tǒng)和關鍵帳號的審計頻度和審計的內(nèi)容要求更加嚴格審計的結果應該和獎懲規(guī)定掛鉤，對于屢次審計不合格或者優(yōu)秀的員工和分公司要按照獎懲規(guī)定進行相應的獎懲專門的信息平安部門或者組織應該對審計的結果定期進行公布，力爭將審計的威懾力逐步提高，讓帳號使用者提高平安使用帳號口令的意識賬號口令審計流程設計建議帳號口令的審計流程以業(yè)務系統(tǒng)的風險等級做為差異定制，針對不同的風險等級制定不同的審計checklist帳號口令的審計可以結合現(xiàn)有的IT技術，盡可能通過日志文件等方式進行審計，但是有局部系統(tǒng)沒法提供電子審計對象，對于高風險等級的系統(tǒng)，必須制定替代的審計方法，包括手工的方法帳號口令審計工作應該以省為單位由省公司平安部門牽頭，各業(yè)務系統(tǒng)維護單位負責的方式，涉及難以實現(xiàn)電子化審計的，省平安審計負責人應該制定一些不定期抽查制度，對于抽查中出現(xiàn)的與審計不符合的情況，應結合獎懲規(guī)從嚴處理帳號口令管理流程中需要考慮相應的組織建立，可以明確責任的，確定責任人，不能落實到人的，落實到部門的平安相應領導帳號口令審計后應該將審計結果及時公布，對于違規(guī)和表現(xiàn)良好的可以進行典型案例的宣傳，起到增強員工帳號口令平安意識的作用第三章效勞與端口3.1什么是端口什么是端口號，一個端口就是一個潛在的通訊通道，也是一個入侵通道，開放一個端口就是一臺計算機在網(wǎng)絡上翻開了一扇窗戶，黑客入侵的方法就是用手工掃描或利用掃描軟件找到效勞器所開放的端口，去根據(jù)其相應的漏洞對效勞器進行入侵或攻擊，因此對端口的了解是非常重要的。按對應的協(xié)議類型，端口有兩種：TCP端口和UDP端口。由于TCP和UDP兩個協(xié)議是獨立的，因此各自的端口號也相互獨立，比方TCP有235端口，UDP也可以有235端口，兩者并不沖突。端口號只有整數(shù)，范圍是從0到655353.2什么是效勞一臺擁有IP地址的主機可以提供許多效勞，比方Web效勞、ftp效勞、SMTP效勞等，這些效勞完全可以通過1個IP地址來實現(xiàn)。那么，主機是怎樣區(qū)分不同的網(wǎng)絡效勞呢？顯然不能只靠IP地址，因為IP地址與網(wǎng)絡效勞的關系是一對多的關系。實際上是通過“IP地址+端口號”來區(qū)分不同的效勞的。需要注意的是，端口并不是一一對應的。比方你的電腦作為客戶機訪問一臺WWW效勞器時，WWW效勞器使用“80”端口與你的電腦通信，但你的電腦那么可能使用“3457”這樣的端口端口都有確切的定義，對應著相應的效勞，每一個翻開的端口，都代表一個系統(tǒng)效勞。例如，80端口就代表Web效勞。21對應著FTP，25對應著SMTP、110對應著POP3等。動態(tài)端口(從1024到65535)當你需要與別人通信時，Windows會從1024起，在本機上分配一個動態(tài)端口，如果1024端口未關閉，再需要端口時就會分配1025端口供你使用，依此類推。但是有個別的系統(tǒng)效勞會綁定在1024到49151的端口上，例如3389端口(遠程終端效勞)。從49152到65535這一段端口，通常沒有捆綁系統(tǒng)效勞，允許Windows動態(tài)分配給你使用。3.3常用端口列表[tr]端口號碼/層名稱注釋[/tr]1tcpmuxTCP端口效勞多路復用5rje遠程作業(yè)入口7echoEcho效勞9discard用于連接測試的空效勞11systat用于列舉連接了的端口的系統(tǒng)狀態(tài)13daytime給請求主機發(fā)送日期和時間17qotd給連接了的主機發(fā)送每日格言18msp消息發(fā)送協(xié)議19chargen字符生成效勞；發(fā)送無止境的字符流20ftp-dataFTP數(shù)據(jù)端口21ftp文件傳輸協(xié)議〔FTP〕端口；有時被文件效勞協(xié)議〔FSP〕使用22ssh平安Shell〔SSH〕效勞23telnetTelnet效勞25smtp簡單郵件傳輸協(xié)議〔SMTP〕37time時間協(xié)議39rlp資源定位協(xié)議42nameserver互聯(lián)網(wǎng)名稱效勞43nicnameWHOIS目錄效勞49tacacs用于基于TCP/IP驗證和訪問的終端訪問控制器訪問控制系統(tǒng)50re-mail-ck遠程郵件檢查協(xié)議53domain域名效勞〔如BIND〕63whois++WHOIS++，被擴展了的WHOIS效勞67bootps引導協(xié)議〔BOOTP〕效勞；還被動態(tài)主機配置協(xié)議〔DHCP〕效勞使用68bootpcBootstrap〔BOOTP〕客戶；還被動態(tài)主機配置協(xié)議〔DHCP〕客戶使用69tftp小文件傳輸協(xié)議〔TFTP〕70gopherGopher互聯(lián)網(wǎng)文檔搜尋和檢索71netrjs-1遠程作業(yè)效勞72netrjs-2遠程作業(yè)效勞73netrjs-3遠程作業(yè)效勞73netrjs-4遠程作業(yè)效勞79finger用于用戶聯(lián)系信息的Finger效勞80用于萬維網(wǎng)〔WWW〕效勞的超文本傳輸協(xié)議〔〕88kerberosKerberos網(wǎng)絡驗證系統(tǒng)95supdupTelnet協(xié)議擴展101hostnameSRI-NIC機器上的主機名效勞102/tcpiso-tsapISO開發(fā)環(huán)境〔ISODE〕網(wǎng)絡應用105csnet-ns郵箱名稱效勞器；也被CSO名稱效勞器使用107rtelnet遠程Telnet109pop2郵局協(xié)議版本2110pop3郵局協(xié)議版本3111sunrpc用于遠程命令執(zhí)行的遠程過程調(diào)用〔RPC〕協(xié)議，被網(wǎng)絡文件系統(tǒng)〔NFS〕使用113auth驗證和身份識別協(xié)議115sftp平安文件傳輸協(xié)議〔SFTP〕效勞117uucp-pathUnix到Unix復制協(xié)議〔UUCP〕路徑效勞119nntp用于USENET討論系統(tǒng)的網(wǎng)絡新聞傳輸協(xié)議〔NNTP〕123ntp網(wǎng)絡時間協(xié)議〔NTP〕137netbios-ns在紅帽企業(yè)Linux中被Samba使用的NETBIOS名稱效勞138netbios-dgm在紅帽企業(yè)Linux中被Samba使用的NETBIOS數(shù)據(jù)報效勞139netbios-ssn在紅帽企業(yè)Linux中被Samba使用的NETBIOS會話效勞143imap互聯(lián)網(wǎng)消息存取協(xié)議〔IMAP〕161snmp簡單網(wǎng)絡管理協(xié)議〔SNMP〕162snmptrapSNMP的陷阱163cmip-man通用管理信息協(xié)議〔CMIP〕164cmip-agent通用管理信息協(xié)議〔CMIP〕174mailqMAILQ電子郵件傳輸隊列177xdmcpX顯示管理器控制協(xié)議〔XDMCP〕178nextstepNeXTStep窗口效勞器179bgp邊界網(wǎng)絡協(xié)議191prosperoProspero分布式文件系統(tǒng)效勞194irc互聯(lián)網(wǎng)中繼聊天〔IRC〕199smuxSNMPUNIX多路復用201at-rtmpAppleTalk選路202at-nbpAppleTalk名稱綁定204at-echoAppleTalkecho效勞206at-zisAppleTalk區(qū)塊信息209qmtp快速郵件傳輸協(xié)議〔QMTP〕210z39.50NISOZ39.50數(shù)據(jù)庫213ipx互聯(lián)網(wǎng)絡分組交換協(xié)議〔IPX〕，被NovellNetware環(huán)境常用的數(shù)據(jù)報協(xié)議220imap3互聯(lián)網(wǎng)消息存取協(xié)議版本3245linkLINK/3-DNSiQuery效勞347fatservFATMEN文件和磁帶官吏效勞器363rsvp_tunnelRSVP隧道369rpc2portmapCoda文件系統(tǒng)端口映射器370codaauth2Coda文件系統(tǒng)驗證效勞372ulistprocUNIXLISTSERV389ldap輕型目錄存取協(xié)議〔LDAP〕427svrloc效勞位置協(xié)議〔SLP〕434mobileip-agent可移互聯(lián)網(wǎng)協(xié)議〔IP〕代理435mobilip-mn可移互聯(lián)網(wǎng)協(xié)議〔IP〕管理器443s平安超文本傳輸協(xié)議〔〕444snpp小型網(wǎng)絡分頁協(xié)議445microsoft-ds通過TCP/IP的效勞器消息塊〔SMB〕464kpasswdKerberos口令和鑰匙改換效勞468photurisPhoturis會話鑰匙管理協(xié)議487saft簡單不對稱文件傳輸〔SAFT〕協(xié)議488gss-用于的通用平安效勞〔GSS〕496pim-rp-disc用于協(xié)議獨立的多址傳播〔PIM〕效勞的會合點發(fā)現(xiàn)〔RP-DISC〕500isakmp互聯(lián)網(wǎng)平安關聯(lián)和鑰匙管理協(xié)議〔ISAKMP〕535iiop互聯(lián)網(wǎng)內(nèi)部對象請求代理協(xié)議〔IIOP〕538gdomapGNUstep分布式對象映射器〔GDOMAP〕546dhcpv6-client動態(tài)主機配置協(xié)議〔DHCP〕版本6客戶547dhcpv6-server動態(tài)主機配置協(xié)議〔DHCP〕版本6效勞554rtsp實時流播協(xié)議〔RTSP〕563nntps通過平安套接字層的網(wǎng)絡新聞傳輸協(xié)議〔NNTPS〕565whoamiwhoami用戶ID列表587submission郵件消息提交代理〔MSA〕610npmp-local網(wǎng)絡外設管理協(xié)議〔NPMP〕本地/分布式排隊系統(tǒng)〔DQS〕611npmp-gui網(wǎng)絡外設管理協(xié)議〔NPMP〕GUI/分布式排隊系統(tǒng)〔DQS〕612hmmp-indHyperMedia管理協(xié)議〔HMMP〕表示/DQS631ipp互聯(lián)網(wǎng)打印協(xié)議〔IPP〕636ldaps通過平安套接字層的輕型目錄訪問協(xié)議〔LDAPS〕674acap應用程序配置存取協(xié)議〔ACAP〕694ha-cluster用于帶有高可用性的群集的心跳效勞749kerberos-admKerberos版本5〔v5〕的“kadmin”數(shù)據(jù)庫管理750kerberos-ivKerberos版本4〔v4〕效勞765webster網(wǎng)絡詞典767phonebook網(wǎng)絡簿873rsyncrsync文件傳輸效勞992telnets通過平安套接字層的Telnet〔TelnetS〕993imaps通過平安套接字層的互聯(lián)網(wǎng)消息存取協(xié)議〔IMAPS〕994ircs通過平安套接字層的互聯(lián)網(wǎng)中繼聊天〔IRCS〕995pop3s通過平安套接字層的郵局協(xié)議版本3〔POPS3〕端口號碼/層名稱注釋[/tr]512/tcpexec用于對遠程執(zhí)行的進程進行驗證512/udpbiff[comsat]異步郵件客戶〔biff〕和效勞〔comsat〕513/tcplogin遠程登錄〔rlogin〕513/udpwho[whod]whod用戶記錄守護進程514/tcpshell[cmd]無記錄的遠程shell〔rshell〕和遠程復制〔rcp〕514/udpsyslogUNIX系統(tǒng)日志效勞515printer[spooler]打印機〔lpr〕假脫機517/udptalkTalk遠程對話效勞和客戶518/udpntalk網(wǎng)絡交談〔ntalk〕，遠程對話效勞和客戶519utime[unixtime]UNIX時間協(xié)議〔utime〕520/tcpefs擴展文件名效勞器〔EFS〕520/udprouter[route,routed]選路信息協(xié)議〔RIP〕521ripng用于互聯(lián)網(wǎng)協(xié)議版本6〔IPv6〕的選路信息協(xié)議525timed[timeserver]時間守護進程〔timed〕526/tcptempo[newdate]Tempo530/tcpcourier[rpc]Courier遠程過程調(diào)用〔RPC〕協(xié)議531/tcpconference[chat]互聯(lián)網(wǎng)中繼聊天532netnewsNetnews新聞組效勞533/udpnetwall用于緊急播送的Netwall540/tcpuucp[uucpd]UNIX-to-UNIX復制效勞543/tcpkloginKerberos版本5〔v5〕遠程登錄544/tcpkshellKerberos版本5〔v5〕遠程shell548afpovertcp通過傳輸控制協(xié)議〔TCP〕的Appletalk文件編制協(xié)議〔AFP〕556remotefs[rfs_server,rfs]Brunhoff的遠程文件系統(tǒng)〔RFS〕端口號碼/層名稱注釋[/tr]1080socksSOCKS網(wǎng)絡應用程序代理效勞1236bvcontrol[rmtcfg]GracilisPacketen網(wǎng)絡轉(zhuǎn)換遠程配置效勞器[a]1300h323hostcallscH.323電訊主持平安1433ms-sql-sMicrosoftSQL效勞器1434ms-sql-mMicrosoftSQL監(jiān)視器1494icaCitrixICA客戶1512winsMicrosoftWindows互聯(lián)網(wǎng)名稱效勞器1524ingreslockIngres數(shù)據(jù)庫管理系統(tǒng)〔DBMS〕鎖定效勞1525prospero-np無特權的Prospero1645datametrics[old-radius]Datametrics/從前的radius工程1646sa-msg-port[oldradacct]sa-msg-port/從前的radacct工程1649kermitKermit文件傳輸和管理效勞1701l2tp[l2f]第2層隧道效勞〔LT2P〕/第2層轉(zhuǎn)發(fā)〔L2F〕1718h323gatediscH.323電訊守門裝置發(fā)現(xiàn)機制1719h323gatestatH.323電訊守門裝置狀態(tài)1720h323hostcallH.323電訊主持設置1758tftp-mcast小文件FTP組播1759/udpmtftp組播小文件FTP〔MTFTP〕1789helloHello路由器通信端口1812radiusRadius撥號驗證和記帳效勞1813radius-acctRadius記帳1911mtpStarlight網(wǎng)絡多媒體傳輸協(xié)議〔MTP〕1985hsrpCisco熱備用路由器協(xié)議1986licensedaemonCisco許可管理守護進程1997gdp-portCisco網(wǎng)關發(fā)現(xiàn)協(xié)議〔GDP〕2049nfs[nfsd]網(wǎng)絡文件系統(tǒng)〔NFS〕2102zephyr-srvZephyr分布式即時消息效勞器2103zephyr-cltZephyr客戶2104zephyr-hmZephyr主機管理器2401cvspserver并行版本系統(tǒng)〔CVS〕客戶/效勞器操作2430/tcpvenus用于Coda文件系統(tǒng)〔codacon端口〕的Venus緩存管理器2430/udpvenus用于Coda文件系統(tǒng)〔callback/wbcinterface界面〕的Venus緩存管理器2431/tcpvenus-seVenus傳輸控制協(xié)議〔TCP〕的副作用2431/udpvenus-seVenus用戶數(shù)據(jù)報協(xié)議〔UDP〕的副作用2432/udpcodasrvCoda文件系統(tǒng)效勞器端口2433/tcpcodasrv-seCoda文件系統(tǒng)TCP副作用2433/udpcodasrv-seCoda文件系統(tǒng)UDPSFTP副作用2600hpstgmgr[zebrasrv]Zebra選路2601discp-client[zebra]discp客戶；Zebra集成的shell2602discp-server[ripd]discp效勞器；選路信息協(xié)議守護進程〔ripd〕2603servicemeter[ripngd]效勞計量；用于IPv6的RIP守護進程2604nsc-ccs[ospfd]NSCCCS；開放式短路徑優(yōu)先守護進程〔ospfd〕2605nsc-posaNSCPOSA；邊界網(wǎng)絡協(xié)議守護進程〔bgpd〕2606netmon[ospf6d]DellNetmon；用于IPv6的OSPF守護進程〔ospf6d〕2809corbaloc公共對象請求代理體系〔CORBA〕命名效勞定位器3130icpv2互聯(lián)網(wǎng)緩存協(xié)議版本2〔v2〕；被Squid代理緩存效勞器使用3306mysqlMySQL數(shù)據(jù)庫效勞3346trnsprntproxy透明代理4011pxe執(zhí)行前環(huán)境〔PXE〕效勞4321rwhois遠程Whois〔rwhois〕效勞4444krb524Kerberos版本5〔v5〕到版本4〔v4〕門票轉(zhuǎn)換器5002rfe無射頻以太網(wǎng)〔RFE〕音頻播送系統(tǒng)5308cfengine配置引擎〔Cfengine〕5999cvsup[CVSup]CVSup文件傳輸和更新工具6000/tcpx11[X]X窗口系統(tǒng)效勞7000afs3-fileserverAndrew文件系統(tǒng)〔AFS〕文件效勞器7001afs3-callback用于給緩存管理器回電的AFS端口7002afs3-prserverAFS用戶和組群數(shù)據(jù)庫7003afs3-vlserverAFS文件卷位置數(shù)據(jù)庫7004afs3-kaserverAFSKerberos驗證效勞7005afs3-volserAFS文件卷管理效勞器7006afs3-errorsAFS錯誤解釋效勞7007afs3-bosAFS根本監(jiān)查進程7008afs3-updateAFS效勞器到效勞器更新器7009afs3-rmtsysAFS遠程緩存管理器效勞9876sdIP多址傳播會議的會話指揮10080amanda高級Maryland自動網(wǎng)絡磁盤歸檔器〔Amanda〕備份效勞11371pgpkeyserver良好隱私〔PGP〕/GNU隱私衛(wèi)士〔GPG〕公鑰效勞器11720h323callsigaltH.323調(diào)用信號交替13720bprdVeritasNetBackup請求守護進程〔bprd〕13721bpdbmVeritasNetBackup數(shù)據(jù)庫管理器〔bpdbm〕13722bpjava-msvcVeritasNetBackupJava/MicrosoftVisualC++(MSVC)協(xié)議13724vnetdVeritas網(wǎng)絡工具13782bpcdVertiasNetBackup13783vopiedVeritasVOPIE驗證守護進程22273wnn6[wnn4]假名/漢字轉(zhuǎn)換系統(tǒng)[c]26000quakeQuake〔以及相關的〕多人游戲效勞器26208wnn6-dsWnn6假名/漢字效勞器33434tracerouteTraceroute網(wǎng)絡跟蹤工具注:

a./etc/services中的注釋如下：端口1236被注冊為“bvcontrol”，但是它也被GracilisPacketen遠程配置效勞器使用。正式名稱被列為主要名稱，未注冊的名稱被列為別名。

b.在/etc/services中的注釋：端口2600到2606被zebra軟件包未經(jīng)注冊而使用。主要名稱是被注冊的名稱，被zebra使用的未注冊名稱被列為別名。

c./etc/services文件中的注釋：該端口被注冊為wnn6，但是還在FreeWnn軟件包中使用了未注冊的“wnn4”。端口號碼/層名稱注釋[/tr]1/ddprtmp路由表管理協(xié)議2/ddpnbp名稱綁定協(xié)議4/ddpechoAppleTalkEcho協(xié)議6/ddpzip區(qū)塊信息協(xié)議[tr]端口號碼/層名稱注釋[/tr]751kerberos_masterKerberos驗證752passwd_serverKerberos口令〔kpasswd〕效勞器754krb5_propKerberosv5附屬傳播760krbupdate[kreg]Kerberos注冊1109kpopKerberos郵局協(xié)議〔KPOP〕2053knetdKerberos多路分用器2105ekloginKerberosv5加密的遠程登錄〔rlogin〕15/tcpnetstat網(wǎng)絡狀態(tài)〔netstat〕98/tcplinuxconfLinuxconfLinux管理工具106poppassd郵局協(xié)議口令改變守護進程〔POPPASSD〕465/tcpsmtps通過平安套接字層的簡單郵件傳輸協(xié)議〔SMTPS〕616/tcpgii使用網(wǎng)關的〔選路守護進程〕互動界面808omirr[omirrd]聯(lián)機鏡像〔Omirr〕文件鏡像效勞871/tcpsupfileserv軟件升級協(xié)議〔SUP〕效勞器901/tcpswatSamba萬維網(wǎng)管理工具〔SWAT〕953rndcBerkeley互聯(lián)網(wǎng)名稱域版本9〔BIND9〕遠程配置工具1127/tcpsupfiledbg軟件升級協(xié)議〔SUP〕調(diào)試1178/tcpskkserv簡單假名到漢字〔SKK〕日文輸入效勞器1313/tcpxtel法國Minitel文本信息系統(tǒng)1529/tcpsupport[prmsd,gnatsd]GNATS錯誤跟蹤系統(tǒng)2003/tcpcfingerGNUfinger2150ninstall網(wǎng)絡安裝效勞2988afbackupafbackup客戶-效勞器備份系統(tǒng)3128/tcpsquidSquid萬維網(wǎng)代理緩存3455prsvpRSVP端口5432postgresPostgreSQL數(shù)據(jù)庫4557/tcpfaxFAX傳輸效勞〔舊效勞〕4559/tcphylafaxHylaFAX客戶-效勞器協(xié)議〔新效勞〕5232sgi-dglSGI分布式圖形庫5354noclogNOCOL網(wǎng)絡操作中心記錄守護進程〔noclogd〕5355hostmonNOCOL網(wǎng)絡操作中心主機監(jiān)視5680/tcpcannaCanna日文字符輸入界面6010/tcpx11-ssh-offset平安Shell〔SSH〕X11轉(zhuǎn)發(fā)偏移6667ircd互聯(lián)網(wǎng)中繼聊天守護進程〔ircd〕7100/tcpxfsX字體效勞器〔XFS〕7666/tcptircproxyTircproxyIRC代理效勞8008-alt超文本傳輸協(xié)議〔〕的另一選擇8080webcache萬維網(wǎng)〔WWW〕緩存效勞8081tproxy透明代理9100/tcpjetdirect[laserjet,hplj]Hewlett-Packard(HP)JetDirect網(wǎng)絡打印效勞9359mandelspawn[mandelbrot]用于X窗口系統(tǒng)的并行mandelbrot生成程序10081kamanda使用Kerberos的Amanda備份效勞10082/tcpamandaidxAmanda索引效勞器10083/tcpamidxtapeAmanda磁帶效勞器20011isdnlog綜合業(yè)務數(shù)字網(wǎng)〔ISDN〕記錄系統(tǒng)20012vboxdISDN音箱守護進程〔vboxd〕22305/tcpwnn4_KrkWnn韓文輸入系統(tǒng)22289/tcpwnn4_CncWnn中文輸入系統(tǒng)22321/tcpwnn4_TwtWnn中文輸入系統(tǒng)〔臺灣〕24554binkpBinkleyTCP/IPFidonet郵寄程序守護進程27374asp地址搜索協(xié)議60177tfidoIfmailFidoNet兼容郵寄效勞60179fido默認doNet電子郵件和新聞網(wǎng)絡第四章平安補丁4.1概述信息系統(tǒng)的根底構成是PC、網(wǎng)絡、業(yè)務系統(tǒng)等，隨著病毒和漏洞的結合，CodeRed、Nimda、SQLSlammer、Blaster蠕蟲、僵尸、漏洞等對網(wǎng)絡甚至經(jīng)濟都造成了嚴重的影響。這些漏洞造成的危害，是利用了操作系統(tǒng)或者應用程序、設備的漏洞，而消除漏洞的常規(guī)方法就是安裝補丁。4.2補丁安裝與操作檢測內(nèi)容建議操作操作結果Windows、網(wǎng)絡設備的補丁是系統(tǒng)平安中重要組成局部，通常情況下安裝補丁不會對系統(tǒng)造成任何不良的影響。但存在補丁與應用系統(tǒng)沖突的可能，造成業(yè)務中斷，必須做好系統(tǒng)備份和打補丁前的測試工作。另外效勞器安裝補丁最好選擇在業(yè)務不繁忙時間段進行。注意：在安裝系統(tǒng)補丁的過程中不能夠使系統(tǒng)斷電或非正常安裝完畢而重新啟動系統(tǒng)，這樣可能會造成系統(tǒng)不能正常啟動的嚴重后果。第五章終端管理以往提起信息平安，人們更多地把注意力集中在防火墻、防病毒、IDS〔入侵檢測〕、網(wǎng)絡互聯(lián)設備即對交換機、集線器和路由器等的管理，卻忽略了對網(wǎng)絡環(huán)境中的計算單元—效勞器、臺式機乃至便攜機的管理。正確、全面的認識終端桌面管理的開展趨勢和技術特點，是IT研發(fā)廠商面臨的開展抉擇，同時也是企、事業(yè)IT管理人員和高層決策人員在進行終端桌面平安防護部署時必須考慮的議題。終端桌面平安管理技術的興起是伴隨著網(wǎng)絡管理事務密集度的增加，作為網(wǎng)絡管理技術的邊緣產(chǎn)物而衍生的，它同傳統(tǒng)平安防御體系的缺陷相關聯(lián)，是傳統(tǒng)網(wǎng)絡平安防范體系的補充，也是未來網(wǎng)絡平安防范體系重要的組成局部。因此，終端桌面平安管理技術無論在現(xiàn)在還是未來都應當歸入根底網(wǎng)絡平安產(chǎn)品體系之列。近兩年的平安防御調(diào)查也說明，政府、企業(yè)單位中超過80%的管理和平安問題來自終端，計算機終端廣泛涉及每個用戶，由于其分散性、不被重視、平安手段缺乏的特點，已成為信息平安體系的薄弱環(huán)節(jié)。因此，網(wǎng)絡平安呈現(xiàn)出了新的開展趨勢，平安戰(zhàn)場已經(jīng)逐步由核心與主干的防護，轉(zhuǎn)向網(wǎng)絡邊緣的每一個終端。建立桌面計算機平安管理系統(tǒng)的意義在于：解決大批量的計算機平安管理問題。具體來說，這些問題包括：加強桌面計算機的平安性，例如：通過批量設置計算機的平安保護措施提高桌面計算機的平安性，及時更新桌面計算機的平安補丁，減少被攻擊的可能；實現(xiàn)動態(tài)平安評估，實時評估計算機的平安狀態(tài)及其是否符合管理規(guī)定，例如：評估計算機的網(wǎng)絡流量是否異常，評估計算機是否做了非法操作〔撥號上網(wǎng)、安裝游戲軟件等〕，評估計算機的平安設置是否合理等；批量管理設置計算機，例如：進行批量的軟件安裝、批量的平安設置等；防止外來電腦非法接入，防止網(wǎng)絡平安遭受破壞或者信息泄密；確保本單位的計算機使用制度得到落實，例如：禁止撥號上網(wǎng)，禁止使用外部郵箱，禁止訪問非法網(wǎng)站，禁止將單位機密文件復制、發(fā)送到外部等；出現(xiàn)平安問題后，可以對有問題的IP/MAC/主機名等進行快速的定位；實現(xiàn)計算機的資產(chǎn)管理和控制。管理措施如下列圖所示：第六章數(shù)據(jù)備份6.1備份管理6.1.1信息識別內(nèi)容：確定本部門/業(yè)務系統(tǒng)需要備份的電子數(shù)據(jù)。標準：識別重要的信息資產(chǎn)，或信息資產(chǎn)的子系統(tǒng)相關的數(shù)據(jù)。操作：收集需要備份的資產(chǎn)的相關信息，主要包括信息資產(chǎn)的名稱、重要性、資產(chǎn)的保護級別等屬性，填寫《信息備份識別清單》。需要檢查的信息資產(chǎn)可能包括：生產(chǎn)機上運行的應用系統(tǒng)軟件源代碼；數(shù)據(jù)庫結構〔表結構、存儲過程、視圖、索引、函數(shù)等〕業(yè)務運作數(shù)據(jù)；系統(tǒng)配置參數(shù)；日志文件。關鍵點：具體是否需要備份，還要看信息是否被損壞的威脅程度。特情處理：無法備份的信息，盡量多使用其復制件，而保存原件。6.1.2制定備份方案內(nèi)容：填寫《信息備份方案》。標準：方案符合信息本身的特點，完整填寫《信息備份方案》中的每一項。關鍵點：選擇適宜的備份方式與周期。特情處理：責任人沒有足夠的工具或條件可要求相關的工程師協(xié)助。操作：根據(jù)資產(chǎn)識別的《信息備份識別清單》，制定《信息備份方案》，備份方案具體包括：確定備份周期：根據(jù)信息更新速度，易損壞程度，及備份媒體的有效期，確定備份周期。另外，在相關業(yè)務每次重大行動之前，以及每年年底的最后一天，也需要進行備份。備份介質(zhì)類型：確定備份使用的媒體，一般是電子信息光碟，軟盤、硬盤或磁帶庫，要同時考慮本錢與可靠性。備份方式：一般要采用復制，雙系統(tǒng)同步，轉(zhuǎn)儲，壓縮復制等。備份工具：備份使用的工具，如光盤刻錄機、復印機、軟驅(qū)、壓縮軟件、磁帶機，選擇工具時，要確定在信息失效之前，對應的恢復工具可用。份數(shù)：確定備份的數(shù)量，一般信息備份一份即可，對于特別重要的信息需要備份多份。存放位置：備份信息一般應與原始信息盡量分開存放，要根據(jù)信息保密級別有相應的保密措施。責任人：確定備份的責任人。備份方案應提交給相關部門負責人，經(jīng)部門負責人確認并批準后予以實施。6.1.3實施備份方案內(nèi)容：執(zhí)行《信息備份方案》的方案。標準：方案規(guī)定的周期與備份方式。操作：對于分散的信息整理、歸類；執(zhí)行備份程序，檢查備份數(shù)據(jù)的可用性；清理過程中的臨時數(shù)據(jù)，填寫完整的《信息備份記錄》。關鍵點：信息備份要保證完整性，同時保證信息在備份過程中的保密。特情處理：如果是絕密信息，可通過特殊方式來進行處理。6.1.4備份存放內(nèi)容：將備份的媒體存放在平安位置。標準：存放位置應符合軟件管理程序的規(guī)定。操作：備份完畢，備份操作員需向部門負責人或備份管理人員提交備份結果，包括：備份使用的媒體，備份過程中的相關文件，如：備份記錄文件、備份恢復工具或軟件、備份恢復指導書等；將備份媒體保存到《信息備份方案》中指定的位置，一般要按時間順序存放。媒體的存儲主要考慮以下幾個方面：對業(yè)務影響重大的關