操作系统安全审计
A.1.1 RedHat Linux操作系统
RedHat Linux操作系统－安全审计
测试类别：风险评估
测试对象： RedHat
测试类：安全审计
测试项：
测试内容：
确信对系统的主要行为都有审计日志，对于重要服务（ftp ，telnet ，http）及重要操作（su登录等操作）由日志记录。并且所有的日志文件都有适当的访问权限，除root之外，其它用户没有修改权限。
测试方法：
●查看/etc/syslog.conf的配置文件，确定是否对系统日志和网络服务配置了适当的日志记
录策略；
●查看syslog.conf中制定的，存放在/var/log下日志文件的更新日期，确定是否对相应的
动作有实时日志功能（仅对linux系统而言）；
●确保这些文件的应该属于root用户所有，文件的权限应该是644；
●查看hosts.allow和hosts.deny文件内容。
测试记录：
1．已配置的日志：
2．日志功能是否有效实施，日志记录的日期和内容是否与配置相符合：
3．日志文件的访问权限：
4．查看hosts.allow和hosts.deny文件内容：
备注：
签名日期
RedHat Linux操作系统－系统安全
测试类别：风险评估
测试对象：RedHat
测试类：系统安全
测试项：
测试内容：
被测操作系统应安装最新的系统补丁程序，只开启必要的服务；系统应保证和常用命令相关配置文件的安全性。设置安全的访问旗标；并对系统资源作适当的使用限制。
测试方法：
●查看或询问是否安装最新补丁程序；
●Telnet/ftp登录系统，确定系统旗标信息的是否安全；
●是否为用户不成功的鉴别尝试次数定义阀值。
测试记录：
补丁安装情况（控制面板|在线更新）：
是否有安全的系统访问旗标？
显示操作系统类型□显示操作系统内核版本□
ftp登录察看显示信息：
是否使用了用户磁盘限额？□
用户磁盘限额策略：
用户连续登录失败的次数：
默认umask值（#umask）：
重要文件和目录的读写权和属主：
/etc/security 属主访问许可：
/usr/etc 属主访问许可：
/bin 属主访问许可：
/usr/bin 属主访问许可：
/sbin 属主访问许可：
/var/log 属主访问许可：
/etc/*.conf 属主访问许可：
/etc/login.defs 属主访问许可：
备注：
签名日期
RedHat Linux操作系统－用户属性
测试类别：风险评估
测试对象：RedHat
测试类：用户属性
测试项：
测试内容：
操作系统应设置安全有效的口令策略（密码强度、密码长度、口令有效期等）。应限制能够su成root的用户，限制root的远程登录，根据需要设置可以进入单用户模式的用户，应启用用户超时自动注销的功能。
测试方法：
●查看/etc/passwd中是否有空口令账户；
●查看/etc/login.defs是否设置了适当的口令策略；
●查看wheel用户组成员。
测试记录：
login.defs口令策略（）：
PASS_MAX_DAYS
PASS_MIN_DAYS
PASS_MIN_LEN
PASS_W ARN_AGE
能够su为root的用户（/etc/group中wheel组成员）：
察看/etc/pam.d/su文件是否存在以下项：□
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=wheel
是否允许root远程登录（登陆验证）？□
是否启用了用户超时自动注销功能？□
HIST
TMOUT=
/etc/security/access.conf内容：
系统引导程序的访问许可位：
文件中是否有口令保护（/etc/lilo.conf）？□
备注：
签名日期
RedHat Linux操作系统－网络及服务安全
测试类别：风险评估
测试对象： RedHat
测试类：网络及服务安全
测试项：
测试内容：
●操作系统应只开放必要的网络服务。无多余的网络端口开放；
●操作系统应使用高强度加密机制替代明文传输数据的协议或服务；
●应开启Iptables防火墙，并且规则得到有效实施；应该有防病毒软件安装并且有效运
行。
●限制能够访问本机的IP地址。
测试方法：
●使用netstat命令来获得系统的端口列表，并记录关键的端口列表；
●察看telnet，ftp等明文传输协议是否运行，察看telnet 和ftp的用户属性；
●察看iptables是否已开启，iptables日志是否有效记录了现有规则的实施结果。
测试记录：
开放网络端口有：
TCP端口：
UDP端口：
启用的服务有（#setup）或查看/etc/xinetd.d目录下的各个文件中disable项的赋值：
等网络服务的访问限制：（如果系统没有安装略过此项）
FTP
Telnet：
是否启用了SSH等安全远程登录工具？□
取代方法：
对连接到本机的访问限制：
Iptables是否已开启？□
主要规则有：
日志内容是否有效？：
查看防火墙设置的安全级别：
是否安装了防病毒软件？□
是否有效运行（察看日志和病毒库更新情况）：
备注：
签名日期
RedHat Linux操作系统－备份/恢复容错机制
测试类别：风险评估
测试类：备份/恢复容错机制
测试项：
测试内容：
●操作系统要求在故障事件发生时能够保证业务的连续性；
●操作系统应根据自身情况，对系统数据、用户数据、审计日志、策略文档及注册表数
据制定合理的备份/恢复策略，以满足系统在遇到意外事故数据遭受破坏时，系统恢复操作的需要。
测试方法：
●查看服务器是否有UPS电源支持，是否有RAID保护；
●查看系统备份/恢复机制是否满足系统安全要求。
测试记录：
操作系统是否有磁盘冗余阵列？___________________
服务器是否有UPS支持？□
系统是否有双机热备？□
操作系统备份/恢复机制？
用户数据备份/恢复机制？
日志数据备份/恢复机制？
业务应用程序备份/恢复机制？
是否使用cron和at定期执行系统管理任务和备份/恢复任务.
记录当前的cron任务
记录当前的at任务
备注：
签名日期
A.1.2 Solaris操作系统
Solaris操作系统－安全审计（标准的Solaris审计）
测试类别：风险评估
测试类：安全审计（标准的Solaris审计）
测试项：
测试内容：
●操作系统的syslogd应当开启。系统应该确保错误信息和失败登录信息等的日志记录，
并且对日志数据有适当的的访问控制（一般不允许任何用户写日志数据，只有管理员或审计员才能阅读日志数据）；
●应定期浏览日志数据；
●并对日志结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。
测试方法：
●查看syslogd是否启动；
●查看sydeslog的配置；
●查看日志相关文件的内容和最后修改日期；
●查看日志相关文件的访问许可；
●询问或查看日志相关文件的存放位置，溢满处理和备份清理策略。
测试记录：
是否开启syslogd：□
察看syslog.conf系统审计配置：
Falacility.level action
查看inetd的服务是否启动日志功能：
ftp的日志功能：
查看审计功能是否有效实施，访问许可位和属主：
/dev/sysmsg： /var/adm/cron/log：
/var/adm/wtmp： /var/log/syslog：
/var/adm/sulog： /var/log/authlog：
/var/adm/messages： /etc/security/lastlog：
是否有单独的日志分区（日志文件是否存放在单独的文件系统）：□
如果有，察看分区大小
是否有定期的日志备份和清理策略：□
备份策略
备注：
签名日期
Solaris操作系统－安全审计（BSM审计）
测试类别：风险评估
测试对象： Solaris
测试类：安全审计（BSM审计）
测试项：
●操作系统的审计子系统SecU Solaris p2.3 BSM应处于开启状态，并且根据需要定制必
要的审计内容；
●应能对被定制的操作事件自动生成审计纪录；
●系统应针对审计结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。
测试方法：
●检查系统的安全审计功能是否已经开；
●检查系统设置的审计事件和审计对象；
●查看审计功能的运行是否实时有效；
●检查审计日志是否存储在单独的磁盘分区上，存储审计日志的磁盘分区是否足够大；
●是否有定期的日志备份和清理策略。
测试记录：（有条件的话，运行测试脚本文件）
是否开启系统审计功能：□（开启：bsmconv）
audit_control的配置：
审计文件存放位置：
审计文件所需剩余空间：
指定的系统用户审计事件类：
指定的普通审计事件类：
查看审计功能是否有效实施，审计记录是否包含事件的日期和时间，事件类型，主体身份，事件的结果：□
是否有单独的日志分区（trail文件是否存放在单独的文件系统）：□
如果有，察看分区大小
审计文件的访问许可：
是否有定期的日志备份和清理策略（询问）：□
备份策略
查看用户审计事件：
备注：
签名日期
Solaris操作系统－系统安全（1）
测试类别：风险评估
测试对象：Solaris
测试类：系统安全（1）
测试项：
被测操作系统应安装最新的系统补丁程序，只开启必要的服务，限制服务配置文件的访问权限；系统应保证r族命令和常用命令相关配置文件的安全性；设置安全的访问旗标。
测试方法：
●查看操作系统版本和补丁安装情况；
●查看超级守护进程配置文件属性及内容，Service配置文件属性；
●检查是否存在r族配置文件，确定系统是否运行r族命令；
●Telnet/ftp登录系统，确定系统旗标信息的是否安全。
测试记录：
1．版本和补丁信息：
操作系统版本：补丁集：
（如果可以连接Internet，试图ftp匿名访问https://www.360docs.net/doc/7d15466498.html,/pub/patches，或者从从https://www.360docs.net/doc/7d15466498.html,中获取专门的补丁检查工具如PatchPro）来查看安全补丁安装情况（系统所有的Patch文件都存储在/var/sadm/patch中，命名方式为patchID-version）
2．超级守护进程配置文件
/etc/inetd.conf（#ls -l）：属主：访问许可权：
开启服务：
3．查看是否使用了r族配置文件，并且查看其配置情况
$HOME/.rhosts□
.netrc □
hosts.equiv□
4．是否有安全的系统访问旗标？
telnet的旗标：
显示操作系统类型□显示操作系统版本□显示ftp软件版本□
ftp的旗标：
显示操作系统类型□显示操作系统版本□显示ftp软件版本□
备注：
签名日期
Solaris操作系统－系统安全（2）
测试类别：风险评估
测试对象：Solaris
测试类：系统安全（2）
测试项：
测试内容：
被测操作系统应保证相关命令文件和配置文件的访问许可合理；对用户、登录设备、失败登录阀值、无操作自动锁定等加以限制；并对系统资源的使用作适当的限制。
测试方法：
●查看是否针对用户使用了用户磁盘限额（尤其是邮件服务器）；
●是否定义了登录相关参数；
●是否对重要的命令文件和配置文件设置安全的访问许可权；
●是否安装了防病毒软件，邮件过滤软件。
测试记录：
是否使用了用户磁盘限额？
用户磁盘限额策略：
察看login登录相关参数
CONSOLE=/dev/console（登录到console的终端）注销：□
PASSREQ=YES（登录是否需要口令）：YES□
TIMEOUT（登录超时限制）注销：□
UMASK：
SYSLOG=（是否记录到LOG_CRIT）： YES□
RETRIES（允许连续尝试登录次数）：注销：□
SYSLOG_FAILED_LOGINS（失败登录记录之前允许的尝试次数）：注销：□
重要文件和目录的读写权和属主（#ls –la ）：
/usr/etc 属主访问许可：
/usr/bin 属主访问许可：
/bin 属主访问许可：
/sbin 属主访问许可：
/etc 属主访问许可：
/etc/security/* 属主访问许可：
是否安装了防病毒软件：□类型及版本：
备注：
签名日期
Solaris操作系统－用户属性
测试类别：风险评估
测试对象： Solaris
测试类：用户属性
测试项：
测试内容：
●操作系统应设置了有效的口令策略（密码强度、密码长度、口令有效期等）；
●确保系统伪账号（如sys，uucp，nobody等）没有登录shell，口令域设为NP；
●用户口令有效性设置合理。
测试方法：
●察看系统中是否存在与所提供服务无关的无用账号；
●查看passwd中的口令相关设置；
●查看shadow文件，确定是否为每一用户设置了口令更改最短天数，口令更改最长天
数，口令过期前的警告天数、休眠天数和失效期限。
测试记录：
1．无用账号：
2. passwd口令策略：
MAXWEEKS：□
MINWEEKS：□
PASSLENGTH：□
3. Shadow文件中用户口令有效性设置：
4.是否限制使用su的组□
5. 应用服务器是否有密钥和证书□
备注：
签名日期
Solaris操作系统－网络及服务安全
测试类别：风险评估
测试对象： Solaris8
测试类：网络及服务安全
测试项：
测试内容：
●操作系统应只开放必要的网络服务。无多余的网络端口开放；
●操作系统应使用高强度加密机制替代明文传输数据的协议或服务；
●远程控制的终端访问应采用高强度的认证和加密机制，保证数据的完整性和机密性；
●限制能够访问本机的IP地址。
测试方法：
●使用netstat命令来获得系统的端口列表，并记录关键的端口列表；
●察看telnet，ftp等明文传输协议是否运行，察看telnet 和ftp的用户属性；
●查看对访问本机的IP限制。
测试记录：
察看netstat开放网络端口
1、 20，21/tcp：，FTP □□
2、22/tcp：SSH □
3、 23/tcp：telnet □
4、25/tcp：SMTP □
5、 43/tcp：Whois □
6、53/tcp：Domain □
7、 69/udp：tftp □ 8、 80/tcp：http □
9、 80/udp：http □ 10、109，110/tcp：pop2，pop3 □□
察看inetd.conf启用的网络服务有
FTP的拒绝访问用户列表：
是否限制root的远程登录：
查看/ETC/DEFAULT/LOGIN是否设置CONSOLE为CONSOLE或NULL，
查看/ETC/是否加入ROOT及其他ROOT组成员，
查看SSH 配置文件中是否加入如：PERMITROOTLOGIN = NO
是否启用加密协议/服务来取代明文传输的telnet和ftp等：□
是否限制能够访问本机的IP地址：
本机IP地址为：
是否限制IP转发（多网卡）：
备注：
签名日期
Solaris操作系统－备份/恢复容错机制
测试类别：风险评估
测试对象： Solaris8
测试类：备份/恢复容错机制
测试项：
测试内容：
●操作系统要求在故障事件发生时能够保证业务的连续性；
●操作系统应根据自身情况，对系统数据、用户数据、审计日志、策略文档及注册表数
据制定合理的备份/恢复策略，以满足系统在遇到意外事故数据遭受破坏时，系统恢复操作的需要。
测试方法：
●查看服务器是否有UPS电源支持，是否有RAID保护；
●查看系统备份/恢复机制是否满足系统安全要求。
测试记录：
统是否有定期任务用来备份
记录当前的cron任务
记录当前的at任务
cron.allow □cron.deny □
操作系统是否有磁盘冗余阵列？___________________
是否有物理备份？冷备份？□
服务器是否有UPS支持？□
系统是否有双机热备？□
操作系统备份/恢复机制？□
核心的系统文件：如系统配置，核心映像的备份/恢复机制？
日志、审计数据的备份/恢复机制？
系统是否有定期任务用来备份：
针对集群、NetBackup软件、SunCluster软件设置一些特别的测试项；
备注：
签名日期
A.1.3 AIX操作系统
AIX操作系统－安全审计（标准的AIX审计）
测试类别：风险评估
测试对象：AIX操作系统
测试类：安全审计（标准的AIX审计）
测试项：
测试内容：
●操作系统应运行在标准模式下；
●系统应该确保错误信息和失败登录信息等的日志记录，并且对日志数据的读写权限加
以限制，应定期浏览日志数据；
●对日志结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。
测试方法：
●查看syslogd是否启动；
●查看sydeslog的配置；
●查看日志相关文件的内容和最后修改日期；
●查看日志相关文件的访问许可；
●询问或查看日志相关文件的存放位置，溢满处理和备份清理策略。
测试记录：
是否开启syslogd：□
系统审计配置：
Falacility.level action 查看审计功能是否有效实施：
/var/adm/wtmp：
/var/adm/sulog：
/var/adm/cron/log：
/etc/security/lastlog：
/etc/security/failedlogin：
是否有单独的日志分区（trail文件是否存放在单独的文件系统）：□
如果有，察看分区大小（#df）
审计文件的访问许可：（#ls –l /audit）
是否有定期的日志备份和清理策略（询问）：□
备份策略
备注：
签名日期
AIX操作系统－安全审计（可信模式下的AIX审计系统）
测试类别：风险评估
测试对象：AIX操作系统
测试类：安全审计（可信模式下的AIX审计系统）
测试项：
测试内容：
●操作系统应运行在可信模式下，开启安全审计功能，并且根据需要定制必要的审计内
容；
●开启了审计功能的操作系统应能对被定制的操作事件自动生成审计纪录；
●系统应针对审计结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。
测试方法：
●检查系统的安全审计功能是否已经开；
●检查系统设置的审计事件和审计对象；
●查看审计功能的运行是否实时有效；
●检查审计日志是否存储在单独的磁盘分区上，存储审计日志的磁盘分区是否足够大，
是否有定期的日志备份和清理策略。
测试记录：
是否开启系统审计功能：□
系统审计配置：
开启模式： bin □ stream □
Bin模式的trail文件：
Bin文件路径及大小：
预定义的审计类：
general□ objects □ SRC □ kenel □ files□ svipc □
mail □ cron □ tcpip□ lvm □
其它自定义审计类：
配置的用户审计：
查看审计功能是否有效实施：
是否有单独的日志分区（trail文件是否存放在单独的文件系统）：□
如果有，察看分区大小
审计文件的访问许可：
是否有定期的日志备份和清理策略（询问）：□
备份策略
备注：
签名日期
AIX操作系统－系统安全（1）
测试类别：风险评估
测试对象：AIX操作系统
测试类：系统安全（1）
测试项：
测试内容：
●被测操作系统应安装最新的系统补丁程序，只开启必要的服务，限制服务配置文件的
访问权限；
●系统应保证r族命令和常用命令相关配置文件的安全性。设置安全的访问旗标。
测试方法：
●查看操作系统版本和补丁安装情况；
●查看系统的安装模式是否为可信计算基库（TCB）；
●查看超级守护进程配置文件属性及内容，Service配置文件属性；
●检查是否存在r族配置文件，确定系统是否运行r族命令；
●Telnet/ftp登录系统，确定系统旗标信息否安全。
测试记录：
版本信息：
补丁安装情况：
操作系统的TCB运行模式
1. tcbck 命令是否可用
2.检查可信文件：
3.检查文件系统树：
ACL是否启用：
超级守护进程配置文件/etc/inetd.conf：属主：访问许可权：
是否存在R族配置文件？
hosts.equiv □设置条目：
.rhosts □设置条目：
是否有安全的系统访问旗标？（telnet，ftp）
telnet 显示操作系统类型□显示操作系统版本□
ftp 显示ftp软件版本□
察看允许su的用户
记录su=true的用户：
记录rlogin=true的用户：
备注：
签名日期
AIX操作系统－系统安全（2）
测试类别：风险评估
测试对象：AIX操作系统
测试类：系统安全（2）
测试项：
测试内容：
●被测操作系统应保证相关命令文件和配置文件的访问许可合理；
●对用户登录的旗标、允许登录时间、登录设备、失败登录阀值、无操作自动锁定等加以
限制；
●并对系统资源的使用作适当的限制。
测试方法：
●查看是否针对用户使用了用户磁盘限额；
●是否定义了登录相关参数。
测试记录：
是否使用了用户磁盘限额？
用户磁盘限额策略：
察看login.cfg登录相关参数
Herald：
logindelay：
logindisable：
Logininterval：
Loginreenable：
Logintimes：
sak_enabled：
Synonym：
Maxlogins：
Logintimeout：
是否启用超时自动注销功能：参数TMOUT=
安全配置文件的读写权和属主：
/etc/security/* 属主访问许可：
查看某个进程相关的启动程序：#ps –elaf
查看sendmail的版本：
备注：
签名日期
AIX操作系统－用户属性
测试类别：风险评估
测试对象：AIX操作系统
测试类：用户属性
测试项：
测试内容：
●操作系统应确保所有用户设置口令；
●设置了有效的口令策略（密码强度、密码长度、口令有效期等）；
●确保系统伪账号（如sys，uucp，nobody等）没有登录shell，口令域设为NP；
●用户角色和权限的分配应该遵循最小权限原则。
测试方法：
●查看系统支持的认证方式；
●是否有空口令用户，并且采用可信模式；
●察看系统中是否存在与所提供服务无关的无用账号；
●查看用户安全属性的默认设置和root用户的设置；
●查看用户角色和权限的分配是否合理。
测试记录：
1．认证方式
2．空口令用户
3．残余账号
4．默认的用户安全属性
Default：
admin = false login = true
su = true daemon = true rlogin = true sugroups = ALL admgroups = ttys = ALL
auth1 = SYSTEM auth2 = NONE tpath = nosak
umask = 022
expires = 0
SYSTEM = "compat"
logintimes =
pwdwarntime = 0
account_locked = false
loginretries = 0
histexpire = 0
histsize = 0
minage = 0
maxage = 0
maxexpired = -1
minalpha = 0
minother = 0
minlen = 0
mindiff = 0
maxrepeats = 8
dictionlist =
pwdchecks =
Root：
admin = SYSTEM = loginretries = account_locked = login=
5．角色分配：
备注：
签名日期
AIX操作系统－网络及服务安全
测试类别：风险评估
测试对象：AIX操作系统
测试类：网络及服务安全
测试项：
测试内容：
●操作系统应只开放必要的网络服务。无多余的网络端口开放；
●操作系统应使用高强度加密机制替代明文传输数据的协议或服务；
●远程控制的终端访问应采用高强度的认证和加密机制，保证数据的完整性和机密性；
●限制能够访问本机的IP地址。
测试方法：
●使用netstat命令来获得系统的端口列表，并记录关键的端口列表；
●察看telnet，ftp等明文传输协议是否运行，察看telnet 和ftp的用户属性。
测试记录：
开放网络端口有：
1、 20，21/tcp：，FTP □□
2、22/tcp：SSH □
3、 23/tcp：telnet □
4、25/tcp：SMTP □
5、 43/tcp：Whois □
6、53/tcp：Domain □
7、 69/udp：tftp □ 8、79/tcp：finger □
9、 80/tcp：http □ 10、80/udp：http □
11、109，110/tcp：pop2，pop3 □□ 12、111，135/tcp：portmap，loc-serv □□
13、111，135/udp：portmap， loc-serv □□ 14、143/tcp：imap □
15、161，162/tcp：snmp， snmp-trap □□ 16、161，162/udp：snmp，snmp-trap □□
其他端口：
TCP端口：
UDP端口：
启用的网络服务有：
FTP □ Bootps □ NFS Client □ NIS □ NFS Sever □
TFTP □ NFS □ Rlogin □
其它：
FTP的拒绝访问用户列表：
对连接到本机的访问限制：
远程监控采用的软件：认证和加密方式：
备注：
签名日期
AIX操作系统－备份/恢复容错机制
测试类别：风险评估
测试对象：AIX操作系统
测试类：备份/恢复容错机制
测试项：
测试内容：
●操作系统要求在故障事件发生时能够保证业务的连续性；
●操作系统应根据自身情况，对系统数据、用户数据、审计日志、策略文档及注册表数
据制定合理的备份/恢复策略，以满足系统在遇到意外事故数据遭受破坏时，系统恢复操作的需要。
测试方法：
●查看服务器是否有UPS电源支持，是否有RAID保护；
●查看系统备份/恢复机制是否满足系统安全要求。
测试记录：
操作系统是否有磁盘冗余阵列？___________________ （#smit查看 device）
服务器是否有UPS支持？□
系统是否有双机热备？□
操作系统备份/恢复机制？
核心的系统文件，如系统配置，核心映像的备份/恢复机制？
日志、审计数据的备份/恢复机制？
系统是否有定期任务：
cron.deny □
cron.allow □
记录当前的cron任务
记录当前的at任务
备注：
签名日期
A.1.4 HP-UNIX操作系统
HP-UNIX操作系统－安全审计
测试类别：风险评估
测试对象： HP-UNIX操作系统
测试类：安全审计
测试项：
测试内容：
●操作系统应开启安全审计功能，并且根据需要定制必要的审计内容；
●开启了审计功能的操作系统应能对被定制的操作事件自动生成审计纪录；
●系统应针对审计结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。
测试方法：
●检查系统的安全审计功能是否已经开启；
●执行相应的审计事件，检查审计日志，看系统是否正确的进行了审计；
●检查审计日志是否存储在单独的磁盘分区上，存储审计日志的磁盘分区是否足够大，
是否有定期的日志备份和清理策略。
测试记录：
是否开启系统审计功能：□
当前审计存储文件文件大小使用率路径：
下一个审计存储文件路径：
系统中已开启的审计项：
Audited events：
Audited syscall：
Audited users：
用户相关审计：
是否有单独的日志分区：□
如果有，察看分区大小
是否有定期的审计数据备份和清理策略（询问）：□
备份策略
备注：
签名日期
HP-UNIX操作系统－安全审计（系统日志）
操作系统安全配置检查表
1 Windows 2000 操作系统安全检查表（草案） 中国教育和科研计算机网紧急响应组(CCERT) 2003年3月 前言 步 骤 1 建议 2 安装过程中的建议 3 安装最新的系统补丁(Service Pack)与更新(Hotfix)程序 4 为管理员（Administrator ）账号指定安全的口令 5 把Administrator 帐号重新命名 6 禁用或删除不必要的帐号 7 关闭不必要的服务 8 安装防病毒软件 9 给所有必要的文件共享设置适当的访问控制权限 10 激活系统的审计功能 11 关于应用软件方面的建议 附录一、网络上的参考资源 附录二、windows 2000 服务配置参考 1 建议 2 安装过程中的建议
2 3 安装最新的系统补丁(Service Pack)与更新(Hotfix)程序 大量系统入侵事件是因为用户没有及时的安装系统的补丁，管理员重要的任务之一是更新系统，保证系统安装了最新的补丁。 建议用户及时下载并安装补丁包，修补系统漏洞。Microsoft 公司提供两种类型的补丁：Service Pack 和Hotfix 。 Service Pack 是一系列系统漏洞的补丁程序包，最新版本的Service Pack 包括了以前发布的所有的hotfix 。微软公司建议用户安装最新版本的Service Pack ， 现在最新的补丁包是Service Pack 3（推荐安装）。 您可以在下面的网址下载到最新的补丁包： ● https://www.360docs.net/doc/7d15466498.html,/windows2000/downloads/servicepacks/sp3/ ● https://www.360docs.net/doc/7d15466498.html,/china/windows2000/downloads/ ● https://www.360docs.net/doc/7d15466498.html,/patch/ Service Pack 3 此补丁包包括了Automatic Updates （自动升级）服务，该服务能够在重要的Windows 2000修补程序发布之时向您发出通知。Automatic Updates 是一种有预见性的“拉”服务，可以自动下载和安装Windows 升级补丁，例如重要的操作系统修补和Windows 安全性升级补丁。 Hotfix 通常用于修补某个特定的安全问题，一般比Service Pack 发布更为频繁。微软用过安全通知服务来发布安全公告。你可以订阅微软免费的安全通知服务： https://www.360docs.net/doc/7d15466498.html,/technet/treeview/default.asp?url=/technet/security/bulletin/notify.asp 在发布新的安全补丁时，可以通过电子邮件通知你。如果公告建议你安装 hotfix ，你应该尽快下载并安装这些hotfix 。 你也可以在下面的网址下载最新的Hotfix 程序： https://www.360docs.net/doc/7d15466498.html,/technet/treeview/default.asp?url=/technet/security/current.asp 4 为管理员（Administrator ）账号指定安全的口令 Windows 2000 允许127个字符的口令。一般来说，强壮的口令应该满足以下条件： 1. 口令应该不少于8个字符； 2. 不包含字典里的单词、不包括姓氏的汉语拼音； 3. 同时包含多种类型的字符，比如 o 大写字母(A,B,C,..Z) o 小写字母(a,b,c..z) o 数字(0,1,2,…9) o 标点符号(@,#,!,$,%,& …) 4. 不要在不同的计算机上使用相同的口令。 5 把Administrator 帐号重新命名 由于Windows2000的默认管理员帐号Administrator 已众所周知，该帐号通常称为攻击者猜
黑盾网络行为审计系统
黑盾网络行为审计系统 1、黑盾网络行为审计系列产品 HD-SMS 每点260元 HD-SMSE 每点320 元 2、黑盾网络行为审计系统功能特点 HD-SMS内网安全管理系统基于 C/S 的安全管理架构，产品操作界面友好 HD-SMS内网安全管理系统从安全性的角度出发，采用 C/S 的管理架构，整个系统为三层架构，管理控制方便灵活，并且客户端与服务器，服务器与控制台之间加密传输，保证管理员权限和管理通道的合法性；操作界面基于 Windows 的管理界面，易于操作，界面友好。 服务器安装方便、易于维护 HD-SMS内网安全管理系统安装过程十分简单，只需将产品安装完毕即可，不需要复杂的调试，易于管理员的日后安装、维护。 分权管理 完善的分级与分权管理机制，实现系统管理的“分散不分立、集中不集权”； 具有强大的网络管理功能 HD-SMS内网安全管理系统内嵌强大的网络管理功能，在支持公有可网管 SNMP 协议的交换机网络环境中，可以自动学习出内网的物理拓扑图，检测交换机的流量，对交换机的物理端口进行打开、关闭、设置阀值的操作；对故障机器进行物理定位，使管理员对于内网中的机器分布一“图”打尽。 网络与主机的完美结合 HD-SMS内网安全管理系统开拓思路，使得网络管理功能、桌面管理功能互相配合，既关注了桌面管理，又注重局域网的整体性能，实现网络与主机的完美结合。 强大的补丁更新功能 系统能够支持对Windows 所有的产品家族进行补丁检测和补丁下载与安装工作。拓宽了补丁管理的应用范围。支持补丁测试功能，在大规模部署补丁之前可以在小范围内测试，防止错误的补丁对全网造成的破坏与冲击。支持补丁的分级部署与同步功能，下级补丁服务器可以从上游服务器、公司网站或者微软升级网站下载补丁文件。支持补丁分发的负载均衡，不同主机可以从不同 FTP 服务器下载补丁文件。 灵活的网络连接和流量控制 监控终端主机网络流量，当超过设置的阀值后，系统自动断网直到网络流量降低到设定阀值以下后，系统自动恢复网络连接。 全面软件分发功能 全面软件分发，支持 exe、msi 和脚本文件、文档的分发功能。
5-企业案例-网络安全审计系统(数据库审计)解决方案
数据库审计系统技术建议书
目次 1.综述 (1) 2.需求分析 (1) 2.1.内部人员面临的安全隐患 (2) 2.2.第三方维护人员的威胁 (2) 2.3.最高权限滥用风险 (2) 2.4.违规行为无法控制的风险 (2) 2.5.系统日志不能发现的安全隐患 (2) 2.6.系统崩溃带来审计结果的丢失 (3) 3.审计系统设计方案 (3) 3.1.设计思路和原则 (3) 3.2.系统设计原理 (4) 3.3.设计方案及系统配置 (14) 3.4.主要功能介绍 (5) 3.4.1.数据库审计........................ 错误!未定义书签。 3.4.2.网络运维审计 (9) 3.4.3.OA审计............................ 错误!未定义书签。 3.4.4.数据库响应时间及返回码的审计 (9) 3.4.5.业务系统三层关联 (9) 3.4.6.合规性规则和响应 (10) 3.4.7.审计报告输出 (12) 3.4.8.自身管理 (13) 3.4.9.系统安全性设计 (14) 3.5.负面影响评价 (16) 3.6.交换机性能影响评价 (17) 4.资质证书.......................... 错误!未定义书签。
1.综述 随着计算机和网络技术发展，信息系统的应用越来越广泛。数据库做为信息技术的核心和基础，承载着越来越多的关键业务系统，渐渐成为商业和公共安全中最具有战略性的资产，数据库的安全稳定运行也直接决定着业务系统能否正常使用。 围绕数据库的业务系统安全隐患如何得到有效解决，一直以来是IT治理人员和DBA们关注的焦点。做为资深信息安全厂商，结合多年的安全研究经验，提出如下解决思路： 管理层面：完善现有业务流程制度，明细人员职责和分工，规范内部员工的日常操作，严格监控第三方维护人员的操作。 技术层面：除了在业务网络部署相关的信息安全防护产品（如FW、IPS 等），还需要专门针对数据库部署独立安全审计产品，对关键的数据库操作行为进行审计，做到违规行为发生时及时告警，事故发生后精确溯源。 不过，审计关键应用程序和数据库不是一项简单工作。特别是数据库系统，服务于各有不同权限的大量用户，支持高并发的事务处理，还必须满足苛刻的服务水平要求。商业数据库软件内置的审计功能无法满足审计独立性的基本要求，还会降低数据库性能并增加管理费用。 2.需求分析 随着信息技术的发展，XXX已经建立了比较完善的信息系统，数据库中承载的信息越来越受到公司相关部门、领导的重视。同时数据库中储存着诸如XXX等极其重要和敏感的信息。这些信息一旦被篡改或者泄露，轻则造成企业或者社会的经济损失，重则影响企业形象甚至社会安全。 通过对XXX的深入调研，XXX面临的安全隐患归纳如下：
110110天珣实用工具手册V1.1_ 天珣内网安全风险管理与审计系统V6.6.9.2
天珣实用工具手册用户手册 （V6.6.9.2） 启明星辰 Beijing Venustech Cybervision Co., Ltd. 2011年1月
版权声明 北京启明星辰信息安全技术有限公司版权所有，并保留对本手册及本声明的最终解释 权和修改权。 本手册中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特 别注明外,其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。未经 北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册 内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分 用于商业用途。本文档中的信息归北京启明星辰信息安全技术有限公司所有并受著作权 法保护。 “天珣”为北京启明星辰信息安全技术有限公司的注册商标，不得仿冒。 信息更新 本文档及其相关计算机软件程序（以下文中称为“文档”）仅用于为最终用户提供信息， 并且随时可由北京启明星辰信息安全技术有限公司（下称“启明星辰”）更改或撤回。 免责声明 本手册依据现有信息制作，其内容如有更改，恕不另行通知。 北京启明星辰信息安全技术有限公司可能已经拥有或正在申请与本文档主题相关的各 项专利。提供本文档并不表示授权您使用这些专利。您可将许可权查询资料用书面方式 寄往北京启明星辰信息安全技术有限公司。 北京启明星辰信息安全技术有限公司在编写该手册的时候已尽最大努力保证其内容准 确可靠，但北京启明星辰信息安全技术有限公司不对本手册中的遗漏、不准确、或错误 导致的损失和损害承担责任。 出版时间 2011年1月10日
1.天珣实用工具说明 (4) 2.天珣客户端诊断工具 (4) 3.天珣服务器诊断工具 (5) 4.客户端卸载工具 (6) 5.Winmd5Hash.exe (7) 6.离线同步工具 (9)
安全审计系统产品白皮书
绿盟安全审计系统产品白皮书 ? 2011 绿盟科技
■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿盟科技所有，并受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。 ■商标信息 绿盟科技、NSFOCUS、绿盟是绿盟科技的商标。
目录 一. 前言 (1) 二. 为什么需要安全审计系统 (1) 2.1安全审计的必要性 (2) 2.2安全审计系统特点 (3) 三. 如何评价安全审计系统 (3) 四. 绿盟科技安全审计系统 (4) 4.1产品功能 (4) 4.2体系架构 (5) 4.3产品特点 (7) 4.3.1 网络事件“零遗漏”审计 (7) 4.3.2 高智能深度协议分析 (7) 4.3.3 全面精细的敏感信息审计 (7) 4.3.4 多维度网络行为审计 (7) 4.3.5 全程数据库操作审计 (8) 4.3.6 业界首创“网站内容安全”主动审计 (9) 4.3.7 强劲的病毒检测能力 (9) 4.3.8 基于协议的流量分析 (10) 4.3.9 基于对象的虚拟审计系统 (10) 4.3.10 强大丰富的管理能力 (10) 4.3.11 审计信息“零管理” (12) 4.3.12 方便灵活的可扩展性 (13) 4.3.13 高可靠的自身安全性 (13) 4.4解决方案 (13) 4.4.1 小型网络之精细审计方案 (13) 4.4.2 中型网络之集中审计方案 (14) 4.4.3 大型网络之分级审计方案 (15) 五. 结论 (16)
面向业务的信息系统的安全审计系统
面向业务的信息系统的安全审计系统 近些年来，IT系统发展很快，企业对IT系统的依赖程度也越来越高，就一个网络信息系统而言，我们不仅需要考虑一些传统的安全问题，比如防黑客、防病毒、防垃圾邮件、防后门、防蠕虫 等，但是，随着信息化程度的提高，各类业务系统也变得日益复杂，对业务系统的防护也变得越来越重要，非传统领域的安全治理也变得越来越重要。根据最新的统计资料，给企业造成的严重攻击中70％是来自于组织中的内部人员，因此，针对业务系统的信息安全治理成为一道难题，审计应运而生。 一、为什么需要面向业务的信息安全审计？ 面向业务的信息安全审计系统，顾名思义，是对用户业务的安全审计，与用户的各项应用业务有密切的关系，是信息安全审计系统中重要的组成部分，它从用户的业务安全角度出发，思考和分析用户的网络业务中所存在的脆弱点和风险。 我们不妨先看两个鲜活的案例。不久前，中国青年报报道，上海一电脑高手，方某今年25岁，学的是计算机专业，曾是某超市分店资讯组组长。方某利用职务之便，设计非法软件程序，进入超市业务系统，即超市收银系统的数据库，通过修改超市收银系统的数据库数据信息，每天将超市的销售记录的20%营业款自动删除，并将收入转存入自己的账户。从2004年6月至2005年8月期间，方某等人截留侵吞超市3家门店营业款共计397万余元之多。 程某31岁，是X公司资深软件研发工程师，从2005年2月，他由A
地运营商系统进入B地运营商的业务系统--充值中心数据库，获得最高系统权限，根据“已充值”的充值卡显示的18位密码破解出对应的34位密钥，然后把“已充值”状态改为“未充值”，并修改其有效日期，激活了已经使用过的充值卡。他把面值300元的充值密码以281.5到285元面值不等价格在网上售出，非法获利380万。 通过上述两个案例，我们不难发现，内部人员，包括内部员工或者提供第三方IT支持的维护人员等，他们利用职务之便，违规操作导致的安全问题日益频繁和突出，这些操作都与客户的业务息息相关。虽然防火墙、防病毒、入侵检测系统、防病毒、内网安全管理等常规的安全产品可以解决大部分传统意义上的网络安全问题，但是，对于这类与业务息息相关的操作行为、违规行为的安全问题，必须要有强力的手段来防范和阻止，这就是针对业务的信息安全审计系统能够带给我们的价值。 二、如何理解面向业务的信息安全审计？ 信息安全审计与信息安全管理密切相关，信息安全审计的主要依据为信息安全管理相关的标准，例如ISO/IEC17799、ISO17799/27001、COSO、COBIT、ITIL、NISTSP800系列等。这些标准实际上是出于不同的角度提出的控制体系，基于这些控制体系可以有效地控制信息安全风险，从而达到信息安全审计的目的，提高信息系统的安全性。因此，面向业务的信息安全审计系统可以理解成是信息安全审计的一个重要的分支。 根据国外的经验，如在美国的《萨班斯-奥克斯利法案
网络安全审计系统的实现方法
网络安全审计系统的实现方法 司法信息安全方向王立鹏1 传统安全审计系统的历史 传统的安全审计系统早在70年代末、80年代初就已经出现在某些UNDO系统当中，其审计的重点也是本主机的用户行为和系统调用。在随后的20年间，其他的各个操作系统也有了自己的安全审计工具，如符合C2安全级别的Windows NT, Nnux的syslog机制以及SUN 13SM等。 2 常用安全措施的不足和基于网络的安全审计系统的出现 近几年来，随着开放系统Internet的飞速发展和电子商务的口益普及，网络安全和信息安全问题日益突出，各类黑客攻击事件更是层出不穷。而相应发展起来的安全防护措施也日益增多，特别是防火墙技术以及IDS(人侵检测技术)更是成为大家关注的焦点。但是这两者都有自己的局限性。 2.1防火墙技术的不足 防火墙技术是发展时间最长，也是当今防止网络人侵行为的最主要手段之一，主要有包过滤型防火墙和代理网关型防火墙两类。其主要思想是在内外部网络之间建立起一定的隔离，控制外部对受保护网络的访问，它通过控制穿越防火墙的数据流来屏蔽内部网络的敏感信息以及阻挡来自外部的威胁。虽然防火墙技术是当今公认发展最为成熟的一种技术，但是由于防火墙技术自身存在的一些缺陷，使其越来越难以完全满足当前网络安全防护的要求。 包过滤型防火墙如只实现了粗粒度的访问控制，一般只是基于IP地址和服务端口，对网络数据包中其他内容的检查极少，再加上其规则的配置和管理极其复杂，要求管理员对网络安全攻击有较深人的了解，因此在黑客猖撅的开放Internet系统中显得越来越难以使用。 而代理网关防火墙虽然可以将内部用户和外界隔离开来，从外部只能看到代理服务器而看不到内部任何资源，但它没有从根本上改变包过滤技术的缺陷，而且在对应用的支持和速度方面也不能令人满意 2.2入侵检测技术的不足 人侵检测技术是防火墙技术的合理补充，能够对各种黑客人侵行为进行识别，扩展了网络管理员的安全管理能力。一般来说，人侵检测系统(IDS)是防火墙之后的第二层网络安全防护机制。 目前较为成熟的IDS系统可分为基十主机的IDS和基于网络的IDS两种。 基于主机的IDS来源于系统的审计日志，它和传统基于主机的审计系统一样一般只能检测发生在本主机上面的人侵行为。 基于网络的IDS系统对网络中的数据包进行监测，对一些有人侵嫌疑的包作出报警。人侵检测的最大特色就是它的实时性…准实时性)，它能在出现攻击的时候发出警告，让管理人员在在第一时间了解到攻击行为的发生，并作出相应措施，以防止进一步的危害产生。实时性的要求使得人侵检测的速度性能至关重要，因此决定了其采用的数据分析算法不能过于复杂，也不可能采用长时间窗分析或把历史数据与实时数据结合起来进行分析，所以现在大
ISO27001检查表Windows_ChecklistISO27001,信息审计
ISO27001检查表Windows_ChecklistISO27001, 信息审计 信息安全加固手册 WINDOWS系统 二零零五年四月
文档修改记录
1 补丁类5 1.1 最新的Service Pack 5 1.2 最新的Hotfixs 5 2 端口服务类6 2.1 禁止Messenger服务 6 3系统参数类 7 3.1禁止自动登录7 3.2禁止在蓝屏后自动启动机器8 3.4删除服务器上的治理员共享8 3.5防止运算机扫瞄器欺诈攻击9 4网络参数类 9 4.1防止碎片包攻击9 4.2 keep-alive时刻10 5用户治理、访咨询操纵、审计功能类11 5.1验证Passwd强度11 5.2密码长度11 5.3密码使用时刻13 5.4账号登录事件审计14 5.5账号治理审计15 5.6名目服务访咨询审计17 5.7登录事件审计18 5.8对象访咨询审计20 5.9策略更换审计21 5.10特权使用审计23 5.11进程跟踪审计24 5.12系统事件审计26 5.13失败登录账号锁定27 5.14失败登录账号锁定时刻28
5.15登录时刻到期时自动退出登录29 5.16不显示上次登录的用户名30 5.17 防止系统保持运算机账号和口令 31 5.18防止用户安装打印机驱动程序32 5.19复原操纵台禁止治理员自动登录33 6防病毒35 6.1安装防病毒软件及其更新35 7 Windows主机上WWW服务的安全增强35 7.1启用日志记录35 7.2删除未使用的脚本映射36 7.3删除IIS默认文件和名目37 8修改系统默认日志储存路径38 9 SQLSERVER加固38 9.1 SP补丁38 9.2删除不用的外部储备过程38 10替换CMD命令39 11 tunnel封装terminal服务39
安全审计系统
第二章招标项目内容、数量、规格和技术要求 核心数据和核心设备的安全是数据中心管理的重中之重。05年以来我市劳动保障数据中心网络安全防护管理不断加强，陆续配置了防火墙、防毒墙、网闸等安全设备，建立了数据级异地容灾系统，较好地保障了劳动保障网络信息系统的稳定安全运行。但因经费等原因，数据中心在核心设备和核心数据安全防护方面还相对较弱，按照劳动保障网络信息系统安全等级保护的要求和数据中心网络安全管理实际需要，为进一步完善劳动保障网络信息系统安全防护体系，提出本次网络安全设备采购需求。 一、网络安全设备采购需求 （一）网络安全设备采购清单： 分类设备名 称 基本目的基本参数要求 数量 备注 网络安全防御 千兆 防火墙 防护核心数据安 全，提高整个网络 可靠性 2U机架式结构；最大配置不少于24个接口，现 配8个千兆SFP（含4个原厂SFP光模块）和8 个10/100/1000BASE－TX电接口，2个 10/100/1000BASE－TX管理口。要求接口支持STP 协议。网络吞吐量不少于5G，最大并发连接数不 少于200万，每秒最大新建连接数不少于5万， 现配置双电源。 2台原厂 三年 质保 IPS入侵 防御系 统 抵御网络攻击，防 护网络系统安全 1U机架式结构，最大配置不少于24个接口，现 配4个SFP口（含4个原厂SFP光模块）和4个 10/100/1000BASE－TX接口，支持4路Bypass 功能，2个10/100/1000BASE－TX管理口，吞吐 量不少于6G，具有3000条以上的攻击事件，三 年特征库升级服务 1台原厂 三年 质保 网络交换设备24口二 层交换 机 根据网络整合需 要添置，与核心交 换机H3C 9508对 接 H3C S5100-24P-SI 24个10/100/1000Base-T以 太网端口和4个复用的1000Base-X SFP千兆以 太网端口（Combo） 4台原厂 三年 质保
数据库安全审计系统滁州公共资源交易中心
(一)货物需求一览表
(二)技术要求 a).1 接入防火墙 ★1、2U机箱，配置≥6个10/100/1000BASE-T接口，≥2个SFP插槽，≥1个可插拨的
扩展槽，标配双冗余电源，防火墙吞吐率≥8Gbps；最大并发连接数≥260W。 ★2、所投设备应采用原厂商自主知识产权的专用安全操作系统，采用多核多平台并行处理特性（提供计算机软件著作权登记证明）；支持多操作系统引导，出于安全性考虑，多系统需在设备启动过程中进行选择；具有防火墙系统自动修复功能（可在国家知识产权局网站查询提供网站截图证明）； 3、支持ISL、802.1Q二层协议封装以及VLAN-VPN功能；可对各ADSL链路之间通过WCMP 与ECMP方式进行路由均衡；具有接口联动特性，使同一联动组内所有物理接口的UP/DOWN 状态同步变化（提供功能截图证明）； 4、提供支持路由模式、交换模式、混合模式、虚拟线模式； 5、能够基于访问控制策略对最大并发连接数限制；支持在WEB界面中查看每条策略所匹配的当前会话、历史会话与报文统计信息；具有策略自学习功能，并且能够根据自学习结果直接生成访问控制策略；支持策略冲突检测功能； 6、具有防共享接入特性，能够有效识别、报警并阻断局域网网络共享行为；支持免客户端方式实现跨越路由（或其他三层设备）进行IP/MAC绑定功能（提供功能截图证明）； 7、具有反垃圾邮件功能，需支持设置黑名单、白名单、灰名单；支持实时黑名单（RBL）功能，可添加5个以上的RBL提供商列表；内嵌快速扫描、深度扫描双引擎杀毒技术，并可以针对HTTP、SMTP、POP3、FTP和IMAP协议选择不同的扫描引擎；每种扫描引擎具有独立的病毒库（提供功能截图证明）； 8、为适应业务发展需要，可扩展ASIC硬件加速卡。具有防火墙系统和防火墙多核多平台技术自主知识产权，可在国家知识产权局网站查询提供网站截图证明。 b) 3.2 入侵防御 ★1、2U标准机架式设备，4个10/100/1000Base-T端口持bypass），提供1个扩展插槽，整机吞吐率不小于5Gbps；最大并发连接数不小于100万；提供三年攻击规则库特征库升级授权及三年售后维保服务； ★2、内置SSD固态硬盘存储日志；具备硬件温度监控能力； 3、设备采用自主知识产权的专用安全操作系统，采用多核平台并行处理特性（提供相应资质证明）；支持多操作系统引导，出于安全性考虑，多系统需在设备启动过程中进行选择，不得在WEB维护界面中设置系统切换选项（提供截图）； 4、要求支持多端口链路聚合，支持11种链路负载均衡算法。（需提供界面截图）； 5、系统内置攻击特征库、应用识别规则库、URL过滤库，要求URL过滤库单独分开，
天珣内网安全风险管理与审计系统
天珣内网安全风险管理与审计系统 安装配置手册 （V6.6.9.4） 启明星辰 Beijing Venustech Cybervision Co., Ltd. 2012年11月
版权声明 北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。 本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。 “天珣”为北京启明星辰信息安全技术有限公司的注册商标，不得侵犯。 免责条款 本文档依据现有信息制作，其内容如有更改，恕不另行通知。 北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
目录 版权声明 (1) 免责条款 (1) 信息反馈........................................... 错误!未定义书签。1综述 . (4) 2安装环境及要求 (4) 3.天珣内网安全风险管理与审计系统主要组件介绍 (6) 3.1.服务器组件 (6) 3.1.1. 中心策略服务器 (6) 3.1.2. 本地策略服务器 (6) 3.1.3. 资产管理服务器................................错误!未定义书签。 3.1.4. Radius服务器 (6) 3.1.5. 攻击告警服务器 (6) 3.1.6. 软件分发服务器 (7) 3.1.7. HOD远程桌面服务器 (7) 3.2.策略网关组件 (7) 3.2.1. 策略网关代理 (7) 3.2.2. 中性策略网关 (7) 3.2.3. IIS策略网关 (8) 3.2.4. ISA策略网关 (8) 3.2.5. EXCHANGE策略网关 (8) 3.2.6. DNS策略网关及旁路监听式DNS策略网关 (8) 3.2.7. 客户端 (9) 3.2.8. 按需支援管理端 (9) 3.2.9. 客户端打包程序 (9) 4.天珣内网安全风险管理与审计系统的安装 (9) 4.1.快速安装 (10) 4.1.1 快速安装部署 (10) 4.1.2 基本配置 (27) 4.2.自定义安装 (31) 4.2.1 自定义安装中心服务器 (32) 4.3.本地服务器的安装配置 (33) 4.3.1 添加策略服务器 (37) 4.4.策略网关配置 (38) 4.4.1 添加策略网关代理 (38) 4.4.2 安装中性策略网关 (39) 4.5.远程桌面的系统配置 (46) 4.5.1 安装添加远程桌面服务器 (46) 4.5.2 添加远程桌面管理员 (46) 4.5.3 安装按需支援管理员端程序 (47) 4.5.4 用户请求管理员远程帮助 (49) 4.6.软件分发安装与配置 (49) 4.6.1 安装软件分发服务器 (49)
某业务运维信息系统风险评估报告
X X X业务运维 信息系统风险评估报告
文档控制 版本信息 所有权声明 文档里的资料版权归江苏开拓信息系统有限公司（以下简称“江苏开拓”）所有。未经江苏开拓事先书面允许，不得复制或散发任何部分的内容。任何团体或个人未经批准，擅自观看方案将被认为获取了江苏开拓的私有信息而遭受法律的制裁。
目录
1.评估项目概述 1.1.评估目的和目标 对XXX信息系统进行风险评估，分析系统的脆弱性、所面临的威胁以及由此可能产生的风险；根据风险评估结果,给出安全控制措施建议。 风险评估范围包括： （1）安全环境：包括机房环境、主机环境、网络环境等； （2）硬件设备：包括主机、网络设备、线路、电源等； （3）系统软件：包括操作系统、数据库、应用系统、监控软件、备份系统等； （4）网络结构：包括远程接入安全、网络带宽评估、网络监控措施等； （5）数据交换：包括交换模式的合理性、对业务系统安全的影响等； （6）数据备份/恢复：包括主机操作系统、数据库、应用程序等的数据备份/恢复机制； （7）人员安全及管理，通信与操作管理； （8）技术支持手段； （9）安全策略、安全审计、访问控制； 1.2.被评估系统概述 1.2.1.系统概况 XXX信息系统主要由HIS系统、LIS系统、PACS系统以及医保、大屏、合理用药、折子工程等业务系统、内外网安全服务器、双翼服务器、OA服务器、交换机、防火墙以及安全控制设备等构成，内外网物理隔离，外网为访问互联网相关服务为主，内网为XXX生产网络。 2.风险综述 2.1.风险摘要 2.1.1.风险统计与分析 经过风险分析，各级风险统计结果如下：
信息系统安全审计管理制度
信息系统安全审计管理制度 第一章工作职责安排 第一条安全审计员职责 1.制定信息安全审计的范围和曰程； 2.管理详尽的审计过程； 3.分析审计结果并提出对信息安全管理体系的改进意见； 4.召开审计启动会议和审计总结会议； 5.向主管领导汇报审计的结果及建议； 6.为相关人员提供审计培训。 第二条评审员甶审计负责人指派，协助主评审员进行评审,其职责是： 1.准备审计清单； 2.实施审计过程； 3.完成审计拫告； 4.提交纠正和预防措施建议； 5.审查纠正和预防措施的执行情况。 第三条受审员来自相关部门 1.配合评审员的审计工作； 2.落实纠正和预防措施； 3.提交纠正和预防措施的实施报告。 第二章审计计划的制订 第四条审计计划应包括以下内容：
1.审计的目的； 2.审计的范围； 3.审计的准则； 4.审计的时间； 5.主要参与人员及分工情况。 第五条制定审计计划应考虑以下因素： 1.每年应进行至少一次涵盖所有部门的审计； 2.当进行巨大变更后（如架抅、业务方向等)，需要进行一次涵盖所有部门的审计。 第三草安全审计实施 第六条审计的准备 1 .评审员需事先了解审计范围相关的安全策略、标准和程序; 2.准备审计清单，其内容主要包括： (1)需要访问的人员和调查的问题； (2)需要查看的文档和记录（包括日志)； (3)需要现场查看的安全控制措施。 第七条在进行实际审计前，召开启动会议，其内容主要包括: 1,评审员与受审员一起确认审计计划和所采用的审计方式,如在审计的内容上有异议，受审员应提出声明（例如：限制可访问的人员、可调查的系统等）； 2.向受审员说明审计通过抽查的方式来进行。
网络安全审计
网络安全审计系统的实现方法 1 传统安全审计系统的历史 传统的安全审计系统早在70年代末、80年代初就已经出现在某些UNDO系统当中， 其审计的重点也是本主机的用户行为和系统调用。在随后的20年间，其他的各个操作系统也有了自己的安全审计工具，如符合C2安全级别的Windows NT, Nnux的syslog机制以 及SUN 13SM等。 2 常用安全措施的不足和基于网络的安全审计系统的出现 近几年来，随着开放系统Internet的飞速发展和电子商务的口益普及，网络安全和信息安全问题日益突出，各类黑客攻击事件更是层出不穷。而相应发展起来的安全防护措施也日益增多，特别是防火墙技术以及IDS(人侵检测技术)更是成为大家关注的焦点。但是这两者都有自己的局限性。 2.1防火墙技术的不足 防火墙技术是发展时间最长，也是当今防止网络人侵行为的最主要手段之一，主要有包过滤型防火墙和代理网关型防火墙两类。其主要思想是在内外部网络之间建立起一定的隔离，控制外部对受保护网络的访问，它通过控制穿越防火墙的数据流来屏蔽内部网络的敏感信息以及阻挡来自外部的威胁。虽然防火墙技术是当今公认发展最为成熟的一种技术，但是由于防火墙技术自身存在的一些缺陷，使其越来越难以完全满足当前网络安全防护的要求。 包过滤型防火墙如只实现了粗粒度的访问控制，一般只是基于IP地址和服务端口，对网络数据包中其他内容的检查极少，再加上其规则的配置和管理极其复杂，要求管理员对网络安全攻击有较深人的了解，因此在黑客猖撅的开放Internet系统中显得越来越难以使用。 而代理网关防火墙虽然可以将内部用户和外界隔离开来，从外部只能看到代理服务器而看不到内部任何资源，但它没有从根本上改变包过滤技术的缺陷，而且在对应用的支持和速度方面也不能令人满意 2.2入侵检测技术的不足 人侵检测技术是防火墙技术的合理补充，能够对各种黑客人侵行为进行识别，扩展了网络管理员的安全管理能力。一般来说，人侵检测系统(IDS)是防火墙之后的第二层网络安全 防护机制。 目前较为成熟的IDS系统可分为基十主机的IDS和基于网络的IDS两种。
业务系统开发、上线信息安全要求
业务系统信息安全开发、上线要求 一、身份鉴别 a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别； b)未来可以扩展支持数字证书实现用户身份鉴别； c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用； d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。 二、访问控制 a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问； b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限； d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。 三、安全审计 a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录； c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等； d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。
四、通信安全 a)应采用密码技术保证系统通信过程中数据的完整性。 b)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； c)应对通信过程中的整个报文或会话过程进行加密。 d）涉及用户信息、办公信息、业务信息等关键信息应当在数据库加密存储。 五、软件容错 a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求，同时支持非法格式禁止上传； b)应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。 六、资源控制 a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话； b)应能够对系统的最大并发会话连接数进行限制； c)应能够对单个帐户的多重并发会话进行限制； d)应能够对系统服务水平降低到预先规定的最小值进行检测和报警； 七、软件开发管理 a)应确保开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受到控制； b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则； c)应制定代码编写安全规范，要求开发人员参照规范编写代码，禁止留有程序后门。 d)应确保提供软件设计的相关文档和使用指南，并由专人负责保管； e)应确保对程序资源库的修改、更新、发布进行授权和批准。
信息安全风险评估检查流程操作系统安全评估检查表H模板
信息安全风险评估检查流程操作系统安全评估检查表H
HP-UX Security CheckList
目录 HP-UX SECURITY CHECKLIST (1) 1初级检查评估内容 (6) 1.1 系统信息 (6) 1.1.1 系统基本信息 (6) 1.1.2 系统网络设置 (6) 1.1.3 系统当前路由 (7) 1.1.4 检查当前系统开放的端口 (7) 1.1.5 检查当前系统网络连接情况 (8) 1.1.6 系统运行进程 (8) 1.2 物理安全检查 (9) 1.2.1 检查系统单用户运行模式中的访问控制 (9) 1.3 帐号和口令 (9) 1.3.1 检查系统中Uid相同用户情况 (9) 1.3.2 检查用户登录情况 (10) 1.3.3 检查账户登录尝试失效策略 (10) 1.3.4 检查账户登录失败时延策略 (10) 1.3.5 检查所有的系统默认帐户的登录权限 (11) 1.3.6 空口令用户检查 (11) 1.3.7 口令策略设置参数检查 (11) 1.3.8 检查root是否允许从远程登录 (12)
1.3.9 验证已经存在的Passwd强度 (12) 1.3.10 用户启动文件检查 (12) 1.3.11 用户路径环境变量检查 (13) 1.4 网络与服务 (13) 1.4.1 系统启动脚本检查 (13) 1.4.2 TCP/UDP小服务 (14) 1.4.3 login(rlogin), shell(rsh), exec(rexec) (14) 1.4.4 comsat talk uucp lp kerbd (15) 1.4.5 Sadmind Rquotad Ruser Rpc.sprayd Rpc.walld Rstatd Rexd Ttdb Cmsd Fs Cachefs Dtspcd Gssd (15) 1.4.6 远程打印服务 (16) 1.4.7 检查是否开放NFS服务 (16) 1.4.8 检查是否Enables NFS port monitoring (17) 1.4.9 检查是否存在和使用 NIS ,NIS+ (17) 1.4.10 检查sendmail服务 (17) 1.4.11 Expn, vrfy (若存在sendmail进程) (18) 1.4.12 SMTP banner (19) 1.4.13 检查是否限制ftp用户权限 (20) 1.4.14 TCP_Wrapper (20) 1.4.15 信任关系 (20) 1.5 文件系统 (21) 1.5.1 suid文件 (21)
主机运维安全审计产品技术白皮书-V3.5
金融行业 运维安全审计系统技术白皮书 东华软件股份公司 2011年4月
目录 1.........................................................................................................................................审计要求 1 2解决之道 (2) 2.1HAC简介 (2) 2.2应用环境 (2) 2.3认证资质 (3) 3产品介绍 (4) 3.1系统功能 (4) 3.1.1完整的身份管理和认证 (4) 3.1.2灵活、细粒度的授权 (4) 3.1.3后台资源自动登陆 (4) 3.1.4实时监控 (5) 3.1.5违规操作实时告警与阻断 (5) 3.1.6完整记录网络会话过程 (5) 3.1.7详尽的会话审计与回放 (6) 3.1.8完备的审计报表功能 (6) 3.1.9各类应用运维操作审计功能 (6) 3.1.10可结合ITSM（IT服务管理） (7) 3.1.11其他功能 (7) 3.2系统部署 (7) 3.3系统特点 (9) 3.3.1支持Unix和W indows平台下运维操作审计 (9) 3.3.2更严格的审计管理 (9) 3.3.3分权管理机制 (9) 3.3.4部署灵活、操作方便 (9) 3.3.5完善的系统安全设计 (9) 3.4与网络审计类产品比较 (9)
4技术指标 (11) 4.1型号说明 (11) 4.2HAC1000接口配置 (13) 4.3HAC1000兼容性 (13) 5典型案例 (14) 5.1现状描述 (14) 5.2部署方案 (15) 5.3方案特点 (15)
网络安全审计系统需求分析
安全审计系统需求分析 关键字：行为监控，内容审计 摘要：系统集内容审计与行为监控为一体，以旁路的方式部署在网络中，实时采集网络数据，并按照指定策略对数据进行过滤，然后将数据所体现的内容和行为特性一并存在到数据服务器上。向用户提供审计分析功能，以及后期取证功能。 需求背景 按等级进行计算机信息系统安全保护的相关单位或部门，往往需要对流经部门与外界接点的数据实施内容审计与行为监控的，以防止非法信息恶意传播及国家机密、商业知识和知识产权等信息泄露。并且单位的网管部门需要掌握网络资源的使用情况，提高单位或部门的工作效率。 所涉及的单位类型有政府、军队机关的网络管理部门，公安、保密、司法等国家授权的网络安全监察部门，金融、电信、电力、保险、海关、商检、学校、军工等各行业网络管理中心，大中型企业网络管理中心等。 一、实现的效果和目的 a. 对用户的网络行为监控、网络传输内容审计（如员工是否在工作时间上网冲浪、聊天，是否访问不健康网站，是否通过网络泄漏了公司的机密信息，是否通过网络传播了反动言论等）。 b. 掌握网络使用情况（用途、流量），提高工作效率。 c. 网络传输信息的实时采集、海量存储。 d. 网络传输信息的统计分析。 e. 网络行为后期取证。 f. 对网络潜在威胁者予以威慑。 二、典型的系统组成 安全审计系统由三部分组成：审计引擎、数据中心、管理中心。 图1 ：典型的单点部署 审计引擎（硬件）：审计引擎对流经HUB/Switch的信息进行采集、过滤、重组、预分析，
并把分析后的数据流发送给数据中心。 数据中心（软件）：对审计引擎传送过来的数据流进行存储；按照用户的指令对数据进行还原、解码、解压缩，并可进行关键字查询审计、统计分析。 管理中心（软件）：提供WEB形式的管理界面，可以方便的对系统进行管理、对网络行为监控、内容审计。用户使用WEB浏览器可以实现对整个系统的管理、使用。 图2：适合多级管理的分布式部署 三、所需功能细分 1．量监控与统计功能 对重要IP进行流量监测，并绘制出直观的流量曲线图，有效发现网上出现的异常 流量。 支持对历史流量统计分析。 2．持多种应用协议议的还原、审计 Web浏览（HTTP）——能完全截获、记录、回放、归档被监测网络中所有用户浏览的WEB内容。 电子邮件（POP3、SMTP、WEB MAIL）——能完全截获、记录、回放、归档被监测网络中所有用户收发的电子邮件。 文件下载(FTP)——能记录、查询访问FTP服务器的用户名、口令。回放用户在服务器上的操作过程、还原用户传输的数据。 即时聊天（例如MSN、QQ等）——能完全记录用户登录时间、离开时间；用户登录IP地址、目的IP地址；聊天时使用的用户名；能监视用户聊天频率、还原用户聊天内容。 流媒体（MMS、RTSP）——能记录用户访问的流媒体地址，访问开始时间、结束时间，访问流媒体名称及简介。 远程登录（TELNET）——能记录和查询访问服务器上TELNET的用户名和口令字；