|
|
|
|
|
|
來源： 發(fā)布日期：2017.12.15 點(diǎn)擊量：
安全基線是一個(gè)信息系統(tǒng)的最小安全保證,即該信息系統(tǒng)最基本需要滿足的安全要求。信息系統(tǒng)安全往往需要在安全付出成本與所能夠承受的安全風(fēng)險(xiǎn)之間進(jìn)行平衡,而安全基線正是這個(gè)平衡的合理的分界線。不滿足系統(tǒng)最基本的安全需求,也就無法承受由此帶來的安全風(fēng)險(xiǎn),而非基本安全需求的滿足同樣會(huì)帶來超額安全成本的付出,所以構(gòu)造信息系統(tǒng)安全基線己經(jīng)成為系統(tǒng)安全工程的首要步驟,同時(shí)也是進(jìn)行安全評(píng)估、解決信息系統(tǒng)安全性問題的先決條件。
安言咨詢?yōu)槠髽I(yè)提供的信息系統(tǒng)全生命周期安全基線工作是以《國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)基本要求》為基礎(chǔ)，以相關(guān)行業(yè)信息安全及風(fēng)險(xiǎn)監(jiān)管條例安全基線要求、信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求、信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求、信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求、信息安全技術(shù)服務(wù)器安全技術(shù)要求為參考，結(jié)合互聯(lián)網(wǎng)應(yīng)用環(huán)境中高危風(fēng)險(xiǎn)威脅分析，及客戶方信息系統(tǒng)安全管理和安全技術(shù)現(xiàn)狀，對(duì)服務(wù)端操作系統(tǒng)、中間件、數(shù)據(jù)庫、應(yīng)用系統(tǒng)，針對(duì)安全技術(shù)方面提出的不同安全等級(jí)的保護(hù)要求制定基線標(biāo)準(zhǔn)。
安全基線的梳理工作需要對(duì)操作系統(tǒng)、中間件、數(shù)據(jù)庫各個(gè)版本的特性及區(qū)別以及應(yīng)用系統(tǒng)的安全需求進(jìn)行調(diào)研，并結(jié)合和參考客戶方已有的安全基線文檔，以使新版本的服務(wù)端安全基線規(guī)范及安全技術(shù)手冊(cè)更快的融入到客戶方的實(shí)際工作中。
同時(shí)，需要對(duì)國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)基本要求、行業(yè)信息安全及風(fēng)險(xiǎn)監(jiān)管條例安全基線要求、信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求、信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求、信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求、信息安全技術(shù)服務(wù)器安全技術(shù)要求中提到的技術(shù)相關(guān)內(nèi)容的要求進(jìn)行統(tǒng)籌和梳理，并對(duì)互聯(lián)網(wǎng)應(yīng)用環(huán)境中高危風(fēng)險(xiǎn)威脅進(jìn)行分析和梳理，為服務(wù)端安全基線規(guī)范的制定提供依據(jù)。
1.安全基線規(guī)范的制定
以安全基線梳理的內(nèi)容為依據(jù)制定服務(wù)端安全基線規(guī)范，按照國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)基本要求，對(duì)不同等級(jí)的系統(tǒng)制定不同的基線要求，同時(shí)對(duì)服務(wù)端不同類型不同版本的操作系統(tǒng)、中間件、數(shù)據(jù)庫和應(yīng)用系統(tǒng)在用戶管理、系統(tǒng)網(wǎng)絡(luò)通訊、系統(tǒng)資源環(huán)境、日志及監(jiān)控審計(jì)等方面的安全基線規(guī)范進(jìn)行制定，以達(dá)到對(duì)系統(tǒng)運(yùn)行維護(hù)人員完成日常的系統(tǒng)配置和檢查工作起到指導(dǎo)作用的目的。
安全基線規(guī)范的制定以《國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)基本要求》為基礎(chǔ)，以行業(yè)信息安全及風(fēng)險(xiǎn)監(jiān)管條例安全基線要求、信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求、信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求、信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求、信息安全技術(shù)服務(wù)器安全技術(shù)要求為參考，結(jié)合互聯(lián)網(wǎng)應(yīng)用環(huán)境中高危風(fēng)險(xiǎn)威脅分析，通過信息系統(tǒng)安全基線規(guī)范的使用及配置，實(shí)現(xiàn)服務(wù)端系統(tǒng)的規(guī)范化、標(biāo)準(zhǔn)化管理，統(tǒng)一系統(tǒng)環(huán)境，降低安全風(fēng)險(xiǎn)。安全技術(shù)手冊(cè)的編制。
以服務(wù)端安全基線規(guī)范為依據(jù)，針對(duì)服務(wù)端不同類型不同版本的操作系統(tǒng)、中間件、數(shù)據(jù)庫和應(yīng)用系統(tǒng)在用戶管理、系統(tǒng)網(wǎng)絡(luò)通訊、系統(tǒng)資源環(huán)境、日志及監(jiān)控審計(jì)等方面的安全基線規(guī)范，編寫與其相對(duì)應(yīng)的安全技術(shù)手冊(cè)，以描述具體的服務(wù)端安全配置檢查操作步驟。
包含的操作系統(tǒng)、中間件、數(shù)據(jù)庫的類型及版本如下表所示：
服務(wù)端安全技術(shù)手冊(cè)對(duì)于不同安全等級(jí)的內(nèi)容上，將采用增量式編寫，一方面可以避免內(nèi)容上的重復(fù)；另一方面可以更清晰的展現(xiàn)不同安全等級(jí)要求上的區(qū)別，即：第一級(jí)部分表示其適用于一級(jí)、二級(jí)、三級(jí)的安全要求；第二級(jí)部分表示其為相對(duì)于一級(jí)要求新增部分的安全要求，適用于二級(jí)、三級(jí)；第三級(jí)部分表示其為相對(duì)于二級(jí)要求新增部分的安全要求，僅適用于三級(jí)。
業(yè)務(wù)系統(tǒng)的安全基線建立起來后，可以形成針對(duì)不同系統(tǒng)的基本安全要求和checklist要求，為標(biāo)準(zhǔn)化的技術(shù)安全操作提供了框架和標(biāo)準(zhǔn)。其應(yīng)用范圍非常廣泛，主要包括新業(yè)務(wù)系統(tǒng)的上線安全檢查、第三方入網(wǎng)安全檢查、合規(guī)性安全檢查（上級(jí)檢查）、日常安全檢查等。通過對(duì)目標(biāo)系統(tǒng)展開合規(guī)安全檢查，找出不符合的項(xiàng)并選擇和實(shí)施安全措施來控制安全風(fēng)險(xiǎn)。
最后，根據(jù)安全基線技術(shù)手冊(cè)編寫與其對(duì)應(yīng)的配置腳本。一方面可提高安全基線的配置效率；另一方面可與客戶方目前所使用的信息化系統(tǒng)相結(jié)合并符合其要求。同時(shí)，對(duì)編寫的配置腳本進(jìn)行加固驗(yàn)證，以確保配置腳本的有效運(yùn)行。
2.安全基線庫示例
應(yīng)通過配置系統(tǒng)安全管理工具，預(yù)防遠(yuǎn)程訪問服務(wù)攻擊或非授權(quán)訪問，提高主機(jī)系統(tǒng)遠(yuǎn)程管理安全。
|
基線技術(shù)要求 |
基線標(biāo)準(zhǔn)點(diǎn)（參數(shù)） |
說明 |
|
管理遠(yuǎn)程工具 |
安裝SSH |
OpenSSH為遠(yuǎn)程管理高安全性工具，可保護(hù)管理過程中傳輸數(shù)據(jù)的安全 |
|
訪問控制 |
安裝TCP Wrapper，配置/etc/hosts.allow,/etc/hosts.deny |
配置本機(jī)訪問控制列表，提高對(duì)主機(jī)系統(tǒng)訪問控制 |
用戶賬號(hào)與口令安全
|
基線技術(shù)要求 |
基線標(biāo)準(zhǔn)點(diǎn)（參數(shù)） |
說明 |
|
限制系統(tǒng)無用的默認(rèn)賬號(hào)登錄 |
1) Daemon 2) Bin 3) Sys 4) Adm 5) Uucp 6) Nuucp 7) Lpd 8) Imnadm 9) Ldap 10) Lp 11) Snapp 12) invscout |
清理多余用戶賬號(hào)，限制系統(tǒng)默認(rèn)賬號(hào)登錄，同時(shí)，針對(duì)需要使用的用戶，制訂用戶列表進(jìn)行妥善保存 |
|
root遠(yuǎn)程登錄 |
禁止 |
禁止root遠(yuǎn)程登錄 |
|
口令策略 |
1) maxrepeats=3 2) minlen=8 3) minalpha=4 4) minother=1 5) mindiff=4 6) minage=1 7) maxage=25（可選） 8) histsize=10 |
1) 口令中某一字符最多只能重復(fù)3次 2) 口令最短為8個(gè)字符 3) 口令中最少包含4個(gè)字母字符 4) 口令中最少包含一個(gè)非字母數(shù)字字符 5) 新口令中最少有4個(gè)字符和舊口令不同 6) 口令最小使用壽命1周 7) 口令的最大壽命25周 8) 口令不重復(fù)的次數(shù)10次 |
|
FTP用戶賬號(hào)控制 |
/etc/ftpusers |
禁止root用戶使用FTP |
日志與審計(jì)
應(yīng)對(duì)系統(tǒng)的日志進(jìn)行安全控制與管理，保護(hù)日志的安全與有效性。
|
基線技術(shù)要求 |
基線標(biāo)準(zhǔn)點(diǎn)（參數(shù)） |
說明 |
|
日志記錄 |
記錄authlog、wtmp.log、sulog、failedlogin |
記錄必需的日志信息，以便進(jìn)行審計(jì) |
|
日志存儲(chǔ)(可選) |
日志必須存儲(chǔ)在日志服務(wù)器中 |
使用日志服務(wù)器接受與存儲(chǔ)主機(jī)日志 |
|
日志保存要求 |
2個(gè)月 |
日志必須保存2個(gè)月 |
|
日志系統(tǒng)配置文件保護(hù) |
文件屬性400（管理員賬號(hào)只讀） |
修改日志配置文件（syslog.conf）權(quán)限為400 |
|
日志文件保護(hù) |
文件屬性400（管理員賬號(hào)只讀） |
修改日志文件authlog、wtmp.log、sulog、failedlogin的權(quán)限為400 |
相關(guān)客戶案例：