SQL数据库访问安全配置检查表

SQL数据库访问安全配置检查表
SQL数据库访问安全配置检查表

SQL数据库访问安全配置检查表

更新日期: 2004年04月12日

本页内容

如何使用本检查表

SQL 插入检查

身份验证

授权

配置管理

敏感数据

异常管理

部署注意事项

如何使用本检查表

本检查表随模块14 构建安全的数据访问和模块18保证数据库服务器的安全一起提供。本检查表可帮助您建立安全的数据访问,或者用作相应模块的评估快照。

本检查表应随着您在软件开发过程中发现的安全数据访问实践而更新。

返回页首

SQL 插入检查

来自当前信任边界之外、传递到数据访问方法的输入内容是受限制的。

净化输入内容只用作深度防卫措施

数据访问代码使用的是接受参数的存储过程。如果不使用存储过程,则使用类型安全的

使用具有最少权限的帐户连接数据库。

返回页首

身份验证

Windows

强制使用强密码。

如果使用的是

护凭据。

如果使用

应用程序使用具有最少权限的帐户进行连接。

户进行应用程序登录。

返回页首

授权

返回页首

配置管理

使用

连接字符串是经过加密的,加密后的数据存放在安全位置,例如存储在受限制的注册表项内。

OLE DB

UDL

返回页首

敏感数据

返回页首

异常管理

捕获并记录

当出现异常或操作完成时,将释放数据库连接和其他有限的资源。

通过使用

返回页首

部署注意事项

防火墙限制可确保在数据库服务器上只能使用

将应用程序配置为使用具有最少权限的数据库登录。

配置

数据在网络中的隐私性和完整性是由

返回页首

操作系统安全配置检查表

1 Windows 2000 操作系统安全检查表(草案) 中国教育和科研计算机网紧急响应组(CCERT) 2003年3月 前言 步 骤 1 建议 2 安装过程中的建议 3 安装最新的系统补丁(Service Pack)与更新(Hotfix)程序 4 为管理员(Administrator )账号指定安全的口令 5 把Administrator 帐号重新命名 6 禁用或删除不必要的帐号 7 关闭不必要的服务 8 安装防病毒软件 9 给所有必要的文件共享设置适当的访问控制权限 10 激活系统的审计功能 11 关于应用软件方面的建议 附录一、网络上的参考资源 附录二、windows 2000 服务配置参考 1 建议 2 安装过程中的建议

2 3 安装最新的系统补丁(Service Pack)与更新(Hotfix)程序 大量系统入侵事件是因为用户没有及时的安装系统的补丁,管理员重要的任务之一是更新系统,保证系统安装了最新的补丁。 建议用户及时下载并安装补丁包,修补系统漏洞。Microsoft 公司提供两种类型的补丁:Service Pack 和Hotfix 。 Service Pack 是一系列系统漏洞的补丁程序包,最新版本的Service Pack 包括了以前发布的所有的hotfix 。微软公司建议用户安装最新版本的Service Pack , 现在最新的补丁包是Service Pack 3(推荐安装)。 您可以在下面的网址下载到最新的补丁包: ● https://www.360docs.net/doc/2118284406.html,/windows2000/downloads/servicepacks/sp3/ ● https://www.360docs.net/doc/2118284406.html,/china/windows2000/downloads/ ● https://www.360docs.net/doc/2118284406.html,/patch/ Service Pack 3 此补丁包包括了Automatic Updates (自动升级)服务,该服务能够在重要的Windows 2000修补程序发布之时向您发出通知。Automatic Updates 是一种有预见性的“拉”服务,可以自动下载和安装Windows 升级补丁,例如重要的操作系统修补和Windows 安全性升级补丁。 Hotfix 通常用于修补某个特定的安全问题,一般比Service Pack 发布更为频繁。微软用过安全通知服务来发布安全公告。你可以订阅微软免费的安全通知服务: https://www.360docs.net/doc/2118284406.html,/technet/treeview/default.asp?url=/technet/security/bulletin/notify.asp 在发布新的安全补丁时,可以通过电子邮件通知你。如果公告建议你安装 hotfix ,你应该尽快下载并安装这些hotfix 。 你也可以在下面的网址下载最新的Hotfix 程序: https://www.360docs.net/doc/2118284406.html,/technet/treeview/default.asp?url=/technet/security/current.asp 4 为管理员(Administrator )账号指定安全的口令 Windows 2000 允许127个字符的口令。一般来说,强壮的口令应该满足以下条件: 1. 口令应该不少于8个字符; 2. 不包含字典里的单词、不包括姓氏的汉语拼音; 3. 同时包含多种类型的字符,比如 o 大写字母(A,B,C,..Z) o 小写字母(a,b,c..z) o 数字(0,1,2,…9) o 标点符号(@,#,!,$,%,& …) 4. 不要在不同的计算机上使用相同的口令。 5 把Administrator 帐号重新命名 由于Windows2000的默认管理员帐号Administrator 已众所周知,该帐号通常称为攻击者猜

学校网络与信息安全巡查表

单位: 网络与信息安全巡查表检查时间:类别检测项目检查内容检查要求检查结果 网络安全基础设施建设 网络架构安全 网络结构设计、网络划分网络结构设计、网络划分符合相关要求 是否有不经过防火墙的外联链 路(包括拨号外联) 外网与内网的连接链路(包括拨号外联)必须 经过防火墙 网络拓扑结构图提供当前网络的网络拓扑结构图 网络分区管理 生产控制大区和管理信息大区之间是否按电监 会5号令要求部署了专用隔离装置 网络使用的各种硬 件设备、软件等 各种硬件设备、软件和网络接口是 否经过安全检验、鉴定、认证。 各种硬件设备、软件和网络接口均经过安全检验、 鉴定、认证。 广域网建设情况 广域网是否按集团规定进行建 设、并按规定进行连接 广域网按集团规定进行建设、并按规定进行连 接 网络承建单位情况 网络承建单位是否具有相关资 质 网络承建单位具有相关资质(查看相关资质文 件) 网络内部数据信息 网络内部数据信息的产生、使 用、存储和维护是否安全、合理 等 网络内部数据信息的产生、使用、存储和维护 安全、合理 机房环境安全 主机房是否安装了门禁、监控与 报警系统 主机房安装了门禁、监控与报警系统 是否有详细的机房配线图有详细的机房配线图 机房供电系统是否将动力、照明 用电与计算机系统供电线路分 开 机房供电系统已将动力、照明用电与计算机系 统供电线路分开 机房是否配备应急照明装置机房有配备应急照明装置 1

类别检测项目检查内容检查要求检查结果 网络安全基础设施建设机房环境安全 是否定期对UPS的运行状况进 行检测 定期对UPS的运行状况进行检测(查看半年内 检测记录) 是否安装机房自动灭火系统,是 否配备机房专用灭火器,是否定 期对灭火装置进行检测 安装机房自动灭火系统,配备机房专用灭火器, 定期对灭火装置进行检测 是否有防雷措施,机房设备接地 电阻是否满足要求,接地线是否 牢固可靠 机房有防雷措施,机房设备接地电阻满足要求, 接地线牢固可靠(直流工作接地≤1欧,接 地地位差≤1V;交流工作交流工作接地系统 接地电阻:<4Ω、零地电压<1V;计算机 系统安全保护接地电阻及静电接地电阻:< 4Ω) 机房温度是否控制在摄氏18-25 度以内 机房温度控制在摄氏18-25度以内 安全技术防核心网络设备、系统 安全配置 交换机、路由器、防火墙等网络 设备的安全设置情况;操作系统 的安全配置、版本及补丁升级情 况 交换机、路由器、防火墙等均根据安全要求进 行了正确设置;操作系统的安全配置、版本及 补丁升级情况。 网络设备配置是否进行了备份 (电子、物理介质) 网络设备配置进行了备份(电子、物理介质) 应用安全配置、身份鉴别策略 相关服务进行正确的安全配置、身份鉴别情况WWW服务用户账户、口令是否强 健 WWW服务用户账户、口令强健(查看登录) 2

最新安全检查表格式大汇总

安全状况调查表 —徐刚 1. 安全管理机构 安全组织体系是否健全,管理职责是否明确,安全管理机构岗位设置、人员配备是否充分合理。 序号检查项结果备注 1. 信息安全管理机构 设置□ 以下发公文方式正式设置了信息安全管理工作的专门职能机构。 □ 设立了信息安全管理工作的职能机构,但还不是专门的职能机构。 □ 其它。 2. 信息安全管理职责 分工情况□ 信息安全管理的各个方面职责有正式的书面分工,并明确具体的责任人。 □ 有明确的职责分工,但责任人不明确。 □ 其它。 3. 人员配备□ 配备一定数量的系统管理人员、网络管理人 员、安全管理人员等; 安全管理人员不能兼任网 络管理员、系统管理员、数据库管理员等。 □ 配备一定数量的系统管理人员、网络管理人 员、安全管理人员等,但安全管理人员兼任网络 管理员、系统管理员、数据库管理员等。 □ 其它。 4. 关键安全管理活动 的授权和审批□ 定义关键安全管理活动的列表,并有正式成文的审批程序,审批活动有完整的记录。 □ 有正式成文的审批程序,但审批活动没有完整的记录。 □ 其它。 5. 与外部组织沟通合 作□ 与外部组织建立沟通合作机制,并形成正式文件和程序。 □ 与外部组织仅进行了沟通合作的口头承诺。□ 其它。 6. 与组织机构内部沟 通合作□ 各部门之间建立沟通合作机制,并形成正式文件和程序。 □ 各部门之间的沟通合作基于惯例,未形成正式文件和程序。 □ 其它。

2. 安全管理制度 安全策略及管理规章制度的完善性、可行性和科学性的有关规章制度的制定、发布、修订及执行情况。 检查项结果备注 1 信息安全策略□ 明确信息安全策略,包括总体目标、范围、原则和 安全框架等内容。 □ 包括相关文件,但内容覆盖不全面。 □ 其它 2 安全管理制度□ 安全管理制度覆盖物理、网络、主机系统、数据、 应用、建设和管理等层面的重要管理内容。 □ 有安全管理制度,但不全而面。 □ 其它。 3 操作规程□ 应对安全管理人员或操作人员执行的重要管理操作 建立操作规程。 □ 有操作规程,但不全面。 □ 其它。 4 安全管理制度 的论证和审定□ 组织相关人员进行正式的论证和审定,具备论证或审定结论。 □ 其它。 5 安全管理制度 的发布□ 文件发布具备明确的流程、方式和对象范围。□ 部分文件的发布不明确。 □ 其它。 6 安全管理制度 的维护□ 有正式的文件进行授权专门的部门或人员负责安全管理制度的制定、保存、销毁、版本控制,并定期评审与修订。 □ 安全管理制度分散管理,缺乏定期修订。 □ 其它。 7 执行情况□ 所有操作规程的执行都具备详细的记录文档。 □部分操作规程的执行都具备详细的记录文档。 □ 其它。 3. 人员安全管理 人员的安全和保密意识教育、安全技能培训情况,重点、敏感岗

Microsoft_SQL_Server安全配置风险评估检查表

Microsoft SQL Server数据库系 统安全配置基线 目 录 第1章 概述 (2) 1.1 目的 (2) 1.2 适用范围 (2) 1.3 适用版本 (2) 第2章 口令 (3) 2.1 口令安全 (3) 2.1.1 SQLServer用户口令安全 (3) 第3章 日志 (4) 3.1 日志审计 (4) 3.1.1 SQLServer登录审计 (4) 3.1.2 SQLServer安全事件审计 (4) 第4章 其他 (6) 4.1 安全策略 (6) 4.1.1 通讯协议安全策略 (6) 4.2 更新补丁 (6) 4.2.1 补丁要求 (6)

第1章 概述 1.1 目的 本文档规定了SQL Server 数据库应当遵循的数据库安全性设置标准,本文档旨在指导系统管理人员或安全检查人员进行SQL Server 数据库的安全合规性检查和配置。 1.2 适用范围 本配置标准的使用者包括:数据库管理员、应用管理员、网络安全管理员。 1.3 适用版本 SQL Server系列数据库;

第2章 口令 2.1 口令安全 2.1.1SQLServer用户口令安全 安全基线项 数据库管理系统SQLServer用户口令安全基线要求项 目名称 安全基线SBL-SQLServer-02-01-01 安全基线项 对用户的属性进行安全检查,包括空密码、密码更新时间等。修改目前所有说明 账号的口令,确认为强口令。特别是sa 账号,需要设置至少10位的强口令。 检测操作步 1.检查password字段是否为null。 骤 2.参考配置操作 查看用户状态 运行查询分析器,执行 select * from sysusers Select name,Password from syslogins where password is null order by name # 查 看口令为空的用户 password字段不为null。 基线符合性 判定依据 备注

信息安全检查表

广西食品药品检验所 信息安全检查表一、信息系统基本情况 信息系统基本情况①信息系统总数:个 ②面向社会公众提供服务的信息系统数:个 ③委托社会第三方进行日常运维管理的信息系统数:个,其中签订运维外包服务合同的信息系统数:个 互联网接入情况互联网接入口总数:个 其中:□联通接入口数量:个接入带宽:兆□电信接入口数量:个接入带宽:兆 □其他:接入口数量:个 接入带宽:兆 系统定级情况第一级:个第二级:个第三级:个第四级:个第五级:个未定级:个 系统安全 测评情况 最近2年开展安全测评(含风险评估、等级测评)系统数:个二、日常信息安全管理情况 人员管理①岗位信息安全和保密责任制度:□已建立□未建立 ②重要岗位人员信息安全和保密协议: □全部签订□部分签订□均未签订 ③人员离岗离职安全管理规定:□已制定□未制定 ④外部人员访问机房等重要区域管理制度:□已建立□未建立 资产管理①信息安全设备运维管理: □已明确专人负责□未明确 □定期进行配置检查、日志审计等□未进行 ②设备维修维护和报废销毁管理: □已建立管理制度,且维修维护和报废销毁记录完整□已建立管理制度,但维修维护和报废销毁记录不完整□尚未建立管理制度 三、信息安全防护管理情况

网络边界防护管理①网络区域划分是否合理:□合理□不合理 ②安全防护设备策略:□使用默认配置□根据应用自主配置 ③互联网访问控制:□有访问控制措施□无访问控制措施 ④互联网访问日志:□留存日志□未留存日志 信息系统安全管理①服务器安全防护: □已关闭不必要的应用、服务、端口□未关闭 □帐户口令满足8位,包含数字、字母或符号□不满足 □定期更新帐户口令□未能定期更新□定期进行漏洞扫描、病毒木马检测□未进行 ②网络设备防护: □安全策略配置有效□无效 □帐户口令满足8位,包含数字、字母或符号□不满足 □定期更新帐户口令□未能定期更新□定期进行漏洞扫描、病毒木马检测□未进行 ③信息安全设备部署及使用: □已部署有防病毒、防火墙、入侵检测、安全审计等功能的设备□未部署□安全策略配置有效□无效 门户网站应用管理门 户 网 站 管 理 网站域名:_______________ IP地址:_____________ 是否申请中文域名:□是_______________ □否 ①网站是否备案:□是□否 ②门户网站账户安全管理: □已清理无关帐户□未清理 □无:空口令、弱口令和默认口令□有 ③清理网站临时文件、关闭网站目录遍历功能等情况: 口已清理口未清理 ④门户网站信息发布管理: □已建立审核制度,且审核记录完整 □已建立审核制度,但审核记录不完整 □尚未建立审核制度

网络信息安全检查表

网络与信息安全检查项目表 类别检查项目检查内容检查要求 明确信息安全主管领导、责任人、信息安全管理员,制定岗位职责文件和 组织管理与规 章制度网络与信息安 全管理组织 日常管理工作 规章制度情况 信息安全责任制落实情况 信息安全培训情况 信息安全管理策略情况 信息安全测评、系统安全定级、信息安全检 查和风险评估工作 网络与信息安全政策落实情况 信息安全管理职责、信息安全情况报告制 度、资产安全管理制度、系统运行安全管理 制度、安全应急响应及事故管理制度等 操作规程等(要提供相应文档) 信息安全责任人、管理员定期参加有关单位的信息安全培训。对本单位全 体人员进行了信息安全培训(提供培训计划、培训内容、培训成绩、人员) 制定了详细的信息安全管理策略,并有专人负责,定期进行检查(要提供 检查纪录) 有工作开展的相关文档、记录、总结 国家有关网络与信息安全文件(计算机信息网络国际联网安全保护管理办 法等)的落实情况 制定了严格的规章制度,并认真落实(提供所有制度文档)。 保密承诺书重要岗位、涉密岗位人员保密承诺书是否签订,是否及时更新,新入岗、离岗人员均要签订保密承诺。 网络运行及关 键安全设备情 况网络基本情况 网络使用情况网络设计使用符合相关规定要求。 网络与信息系统集成、设计与监理情况集成商、设计单位、监理单位必须具备相关资质(要有资质证书复印件)

网络与信息安全产品防火墙、入侵检测、安全审计、漏洞扫描、 违规外联监控、网页防篡改、网络安全隔离 网闸、病毒防范等安全产品以及密码设备 必须采用通过国家保密局涉密信息系统安全保密测评机构、国家及省级信 息安全测评机构测评的测评资质证书,公安部销售许可证;密码产品及研发、 生产、销售企业必须具有国家密码管理局的许可资质(各类资质要有资质证 书复印件)

学校网络与信息安全检查表

单位:长春市第一五七中学网络与信息安全检查表检查时间:2017.10 类别检测项目检查内容检查要求检查记录检查结果 网络安全基础设施建设 网络架构安全 网络结构设计、网络划分网络结构设计、网络划分符合相关要求 是否有不经过防火墙的外联链 路(包括拨号外联) 外网与内网的连接链路(包括拨号外联)必须 经过防火墙 网络拓扑结构图提供当前网络的网络拓扑结构图 网络分区管理 生产控制大区和管理信息大区之间是否按电监 会5号令要求部署了专用隔离装置 网络使用的各种硬 件设备、软件等 各种硬件设备、软件和网络接口是 否经过安全检验、鉴定、认证。 各种硬件设备、软件和网络接口均经过安全检验、 鉴定、认证。 广域网建设情况 广域网是否按集团规定进行建 设、并按规定进行连接 广域网按集团规定进行建设、并按规定进行连 接 网络承建单位情况 网络承建单位是否具有相关资 质 网络承建单位具有相关资质(查看相关资质文 件) 网络内部数据信息 网络内部数据信息的产生、使 用、存储和维护是否安全、合理 等 网络内部数据信息的产生、使用、存储和维护 安全、合理 机房环境安全 机房环境安全 主机房是否安装了门禁、监控与 报警系统 主机房安装了门禁、监控与报警系统 是否有详细的机房配线图有详细的机房配线图 机房供电系统是否将动力、照明 用电与计算机系统供电线路分 开 机房供电系统已将动力、照明用电与计算机系 统供电线路分开 机房是否配备应急照明装置机房有配备应急照明装置 是否定期对UPS的运行状况进 行检测 定期对UPS的运行状况进行检测(查看半年内 检测记录) 是否安装机房自动灭火系统,是安装机房自动灭火系统,配备机房专用灭火器,

WebLogic Web服务器安全配置风险评估检查表

WebLogicWeb服务器安全配置基线 目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章账号管理、认证授权 (2) 2.1账号 (2) 2.1.1账号锁定策略 (2) 2.2口令 (2) 2.2.1密码复杂度 (2) 第3章日志配置操作 (4) 3.1日志配置 (4) 3.1.1审核登录 (4) 第4章IP协议安全配置 (5) 4.1IP协议 (5) 4.1.1支持加密协议 (5) 4.1.2限制应用服务器Socket数量 (5) 4.1.3禁用Send Server Header (6) 第5章设备其他配置操作 (7) 5.1安全管理 (7) 5.1.1定时登出 (7) 5.1.2更改默认端口 (7) 5.1.3错误页面处理 (8) 5.1.4目录列表访问限制 (8)

第1章概述 1.1 目的 本文档规定了WebLogic Web服务器应当遵循的安全性设置标准,本文档旨在指导系统管理人员进行WebLogic Web服务器的安全配置。 1.2 适用范围 本配置标准的使用者包括:服务器系统管理员、应用管理员、网络安全管理员。 1.3 适用版本 6.x、 7.x、 8.x版本的WebLogic Web服务器。 现在最新的weblogic服务器时9.1,此文件不适用与最新的服务器

第2章账号管理、认证授权2.1 账号 2.1.1账号锁定策略 2.2 口令 2.2.1密码复杂度

第3章日志配置操作3.1 日志配置 3.1.1审核登录

第4章IP协议安全配置4.1 IP协议 4.1.1支持加密协议 4.1.2限制应用服务器Socket数量

网络与信息安全检查表

网络与信息安全检查表 单位名称:嘉兴市妇幼保健院 一、信息安全组织机构基本情况 信息安全责任部门信息科 分管信息安全工作的领导(如单位正副职领导)①姓名:王立中;职务:副院长; ②姓名:;职务:; 信息安全管理机构(如信息中心)①名称:信息科; ②负责人:沈碧飞;职务:科长; ③联系人:龚林峰;电话:; 信息安全专职工作处室(如信息科)①名称:; ②联系人:;电话:; 信息安全责任部门职责 (可附件另附) 二、重要信息系统基本情况 重要信息系统总数:(请另附系统简介清单) 系统定级情况第一级:个第二级:个第三级:个第四级:个第五级:个未定级:个 等级保护测评完成等级保护测评系统的名称及对应等级:①; ②; ③; ④; 服务对象统计①面向社会公众提供服务的系统数量及等级:; ②非面向社会公众提供服务的系统数量及等级:; 联网情况统计①通过互联网可直接访问的系统数量及等级:; ②通过互联网不能直接访问的系统数量及等级:;其中,与互联网物理隔离的系统数量及等级:;

数据集中性统计①省级数据集中的系统数量及数据类型:; ②市级数据集中的系统数量及数据类型:; ③县级数据集中的系统数量及数据类型:; ④未进行数据集中的系统数量:; 业务连续性统计①可容忍值小于小时的系统数量:; ②可容忍值大于小时,小于小时的系统数量:; ③可容忍值大于小时的系统数量:; 系统灾备统计①定期对系统级进行灾备的系统数量:; ②仅对数据库定期进行灾备的系统数量:; ③无灾备措施的系统数量:; 业务应用软件系统(统计年内数据)①自主设计开发(不含二次开发)的套数:; ②外包国内服务商开发的套数:; 外包国外服务商开发的套数:; ③直接采购国内服务商产品的套数:; 直接采购国外服务商产品的套数:; 三、日常信息安全运维管理情况 人员安全管理①重点岗位人员安全保密协议:全部签订部分签订均未签订; ②人员离岗离职安全管理规定:已制定未制定; ③外部人员机房访问管理制度及权限审批制度:已建立未建 立; 设备资产管理①资产管理制度:已建立未建立; ②机房设备标签:全部标签合格部分标签合格无标签; ③设备维修维护和报废管理: 已建立管理制度,且维修维护和报废记录完整; 已建立管理制度,但维修维护和报废记录不完整; 未建立管理制度; 机房安全管理①机房管理制度:已建立未建立; ②机房日常运维记录:完整详实部分简略无记录; ③人员进出机房记录:完整详实部分简略无记录; ④机房物理环境:达标未达标; 采购预算保障①年度采购方案及预算:已建立未建立; ②采购合同:完整部分完整; ③安全设备采购比例:> > <; 外包服务管理①外包服务商资质证书:齐全部分齐全; ②外包服务合同:完整部分完整;

数据库服务器安全配置检查表

数据库服务器安全配置检查表 更新日期:2004年04月12日 本页内容 如何使用本检查表 产品服务器的安装注意事项 修补程序和更新程序 服务 协议 帐户 文件和目录 共享 端口 注册表 审核与日志记录 SQL Server 安全性 SQL Server 登录、用户和角色 SQL Server 数据库对象 其他注意事项 保持安全 如何使用本检查表 本检查表随模块18 保证数据库服务器的安全一起提供。本检查表可帮助您保护数据库服务器,并可用作相应模块的快照。返回页首 产品服务器的安装注意事项

返回页首 修补程序和更新程序 返回页首 服务

协议 在 在数据库服务器上强化 返回页首 帐户 使用具有最少权限的本地帐户运行 从 禁用 重命名 强制执行强密码策略。 限制远程登录。 限制使用空会话(匿名登录)。 帐户委派必须经过审批。 不使用共享帐户。 限制使用本地

文件和目录 返回页首 共享 从服务器中删除所有不必要的共享。 限制对必需的共享的访问( 如果不需要管理性共享( Operations Manager (MOM) 返回页首 端口

和 配置在同一端口侦听命名实例。 如果端口 将防火墙配置为支持 在服务器网络实用工具中,选中 返回页首 注册表 返回页首 审核与日志记录 记录所有失败的 记录文件系统中的所有失败的操作。 启用 将日志文件从默认位置移走,并使用访问控制列表加以保护。 将日志文件配置为适当大小,具体取决于应用程序的安全需要。

返回页首 SQL Server 安全性 返回页首 SQL Server 登录、用户和角色 返回页首

服务器健康检查表

服务器健康检查表公司标准化编码 [QQX96QT-XQQB89Q8-NQQJ6Q8-MQM9N]

1 环保局服务器健康检查表 检查内容: 1.检查机房环境,电源 温度、湿度是否符合要求:□符合要求□不符合 备注: 电源: 相电压:□符合要求□不符合 备注: 线电压:□符合要求□不符合 备注: 零地电压:□符合要求□不符合 备注: 2.检查系统硬件情况 检查设备故障灯是否有亮:□有□无 备注: 有否异常情况(如硬盘、风扇异常的声音,电缆破损):□有□无 备注: 3.检查有无内置磁带机 内置磁带机:□有□无 4.检查系统错误报告(Error Log) 有否硬件故障:□有□无 故障内容: 有否软件故障:□有□无 故障内容: 2 结论: 注意:如果故障记录太多,应将故障报告取回,作进一步分析。 5.查文件系统 查看有没有“满”的文件系统。文件系统满可导致系统不能正常工作,尤其是AIX 的基本 文件系统。如/(根文件系统)满则会导致用户不能登录。 有否“满”的文件系统:□有□无 备注: 6.检查内存交换区(paging pace)使用率 使用率是否超过70%:□有□无 备注: 7.检查CPU 是否繁忙(sar 1 10) CPU 空闲是否小于20%:□有□无 备注: 8.检查I/O 是否繁忙(iostat 1)

是否大数据读写都集中在某些硬盘上:□有□无 备注: 9.检测诊断(Diagnostic) 机器shutdown 后以慢启动方式作自检,启动后运行diag 系统诊断程序。系统板、CPU、内存、I/O 板:□正常□不正常 网卡、SCSI 卡、SSA 卡:□正常□不正常 系统其他扩展卡:□正常□不正常 硬盘、磁盘阵列:□正常□不正常 磁带机、磁带库:□正常□不正常 备注: 10.通信测试 检查各网卡的状态、IP 地址、路由表等:□正常□不正常 用“ping”等命令检查通信:□正常□不正常 备注: 11.检查磁盘阵列(如:7133)状况,并填写下表: 序列号硬盘数量硬盘容量硬盘微码有无Hot Spare 何种数据保护 12.检查硬盘使用率 整体存储空间: GB 使用空间: GB 客户签字:工程师签字: 年月日年月日

信息安全检查表

附件2 信息安全检查表 单位名称 联系人/联系电话 信息安全主管领导 职 务 网 站 名 称 检 查 项 目 检 查 结 果 是否有制作机密信息的管理列表? ○是 ○否 是否与委托对象签订保密合同? ○是 ○否 信息安全场合是否设置了摄像头等? ○是 ○否 员工和外来人员是否进行区别? ○是 ○否 机密信息是否上锁被保管于文件柜中? ○是 ○否 工作中是否使用私人电脑? ○是 ○否 对于带出的业务上必要的电子媒体和电脑是否对 机密信息实施加密? ○是 ○否 对于私密信息的相关资料,废弃是否用碎纸机粉碎 或物理性破坏(硬盘)? ○是 ○否 是否有两个或两个以上的人共用使用一个ID? ○是 ○否 是否有网页防篡改措施 ○安装了防篡改系统 ○人工监看 ○无措施 是否具有边界保护措施 ○是 ○否 是否有抗拒服务器攻击措施 ○是 ○否 是否安装了入侵检测系统 ○是 ○否 是否安装了防病毒系统 ○是 ○否 网站主机服务器运行维护管理方式 ○自行管理 ○委托管理 是否进行了下列安全检查 ○SQL注入攻击隐患 ○跨站脚本攻击隐患 ○弱口令 ○操作系统补丁安装情况 ○网站服务系统及其他应用系统补丁安装情况○防病毒软件升级情况 ○网站是否已被“挂马”○入侵检测系统升级情况 ○漏洞扫描系统升级情况 ○执行漏洞扫描情况 防病毒系统最近一次升级的日期 年 月 日 1

是否保留了系统安全日志 ○是 ○否 系统安全日志察看的周期是多少 ○每天 ○每周 ○每月 ○偶尔或从不 服务器设置是否在可确保安全的合适场所? ○是 ○否 网站服务器和同一网段内其他服务器之间是否有 访问控制措施 ○是 ○否 操作系统最近一次升级的日期 月 日 Web服务器最近一次升级的日期 月 日 数据库系统最近一次升级的日期 月 日 是否关闭或删除了不必要的帐户 ○是 ○否 是否关闭或删除了不必要的应用 ○是 ○否 是否关闭或删除了不必要的服务 ○是 ○否 是否关闭或删除了不必要的端口 ○是 ○否 系统管理和数据库管理口令更换周期是多少 ○每周或更短 ○半个月 ○一个月 ○一个月以上 ○从未更换或偶尔更换 系统管理和数据库管理口令长度是多少位 ○小于等于8位 ○大于8位 对网站进行远程维护时,是否采取了加密防护措施○是 ○否 是否对自管的域名解析系统采取了安全防护措施 ○是 ○否 ○无自管域名解析系统 是否与托管方签订了安全协议 ○是 ○否 ○未采取托管 是否根据应急预案组织过应急演练 ○是 ○否 是否采取了备份措施? ○备机 ○备件 ○网站数据备份 ○其他措施 是否对员工进行了信息安全的教育和培训? ○是 ○否 所有员工是否签订保密协议? ○是 ○否 是否有组织地定期实施自主检查? ○是 ○否 2

Linux安全配置风险评估检查表

Linux 系统安全配置基线 目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章账号管理、认证授权 (2) 2.1账号 (2) 2.1.1用户口令设置 (2) 2.1.2root用户远程登录限制 (2) 2.1.3检查是否存在除root之外UID为0的用户 (3) 2.1.4root用户环境变量的安全性 (3) 2.2认证 (4) 2.2.1远程连接的安全性配置 (4) 2.2.2用户的umask安全配置 (4) 2.2.3重要目录和文件的权限设置 (4) 2.2.4查找未授权的SUID/SGID文件 (5) 2.2.5检查任何人都有写权限的目录 (6) 2.2.6查找任何人都有写权限的文件 (6) 2.2.7检查没有属主的文件 (7) 2.2.8检查异常隐含文件 (7) 第3章日志审计 (9) 3.1日志 (9) 3.1.1syslog登录事件记录 (9) 3.2审计 (9) 3.2.1Syslog.conf的配置审核 (9) 第4章系统文件 (11) 4.1系统状态 (11) 4.1.1系统core dump状态 (11)

第1章概述 1.1 目的 本文档规定了LINUX 操作系统的主机应当遵循的操作系统安全性设置标准,本文档旨在指导系统管理人员或安全检查人员进行LINUX 操作系统的安全合规性检查和配置。 1.2 适用范围 本配置标准的使用者包括:服务器系统管理员、应用管理员、网络安全管理员。 1.3 适用版本 LINUX系列服务器;

第2章账号管理、认证授权2.1 账号 2.1.1用户口令设置 2.1.2root用户远程登录限制

信息系统网络项目安全检查表

百度文库- 让每个人平等地提升自我 国际联网信息系统网络安全检查表 时间:年月日被检单位名称 单位地址 负责人联系电话 联网情况接入方式(服务商) _______________________ 账号(电话) _____________________________ 联网主机数 _______________________________ IP地址 ___________________________________ 服务内容 _________________________________ 联网用途 _________________________________ 网络拓扑图: (附后) 组织制度单位成立网络安全小组,确立安全小组负责人(单位领导任组长),确立组长负责制 组长落实小组人员岗位工作职责 配备2到4名计算机安全员,须持证上岗 制定网络安全事故处置措施 安全保护管理制度计算机机房安全保护管理制度 用户登记制度和操作权限管理制度 网络安全漏洞检测和系统升级管理制度 交互式栏目24小时巡查制度 电子公告系统用户登记制度 信息发布审核、登记、保存、清除和备份制度,信息群发服务管理制度 违法案件报告和协助查处制度 备案制度 安全保护技术措施具有保存60天以上系统网络运行日志和用户使用日志记录功能,内容包括IP地址分配及使用情况,交互式信息发布者、主页维护者、邮箱使用者和拨号用户上网的起止时间和对应IP地址,交互式栏目的信息等 安全审计及预警措施 网络攻击防范、追踪措施 计算机病毒防治措施 身份登记和识别确认措施 交互式栏目具有关键字过滤技术措施 开设短信息服务的具有短信群发限制、过滤和删除等技术措施 开设邮件服务的,具有垃圾邮件清理功能

SQL Server数据库安全检查清单

SQL Server对于组织来说是个敏感信息库,管理者需要确保只有授权用户才能访问到这部分敏感信息。然而,要让SQL Server配置安全同时还不会产生错误,这不是一件容易的事,作为DBA我们不得不执行一系列额外步骤来强化我们的SQL Server部署安全配置。本文中列出了一份微软SQL Server数据库安全最佳实践检查表,能够帮助DBA更好地保护数据库,避免来自内部和外部的攻击。 认证 SQL Server支持两种模式的认证:Windows认证和混合模式认证。根据SQL Server安全性最佳实践,我们建议为您的SQL Server部署选择Windows认证,除非遗留应用系统需要混合模式认证向后兼容访问。 Windows认证比混合认证模式更安全,启用这种模式后,Windows认证凭据(也就是Kerberos或者Windows NT LAN管理器【NTLM】认证凭据)是允许登录到SQL Server的。Windows登录使用许多加密信息认证SQL Server,密码不会在认证期间跨网络传递。此外,在Kerberos协议下活动目录还提供了额外的安全级别。因此,认证就更加可靠,利用基于角色的活动目录组可以减少控制访问的管理工作。相比于Windows认证模式,混合模式认证支持Windows账号和SQL Server专用账号登陆SQL Server。SQL登陆密码通过网络传递用于认证,相比起来不如Windows登陆安全。 确保sySAdmin账号安全 如果不修改就退出,“sySAdmin”(SA)账号是很脆弱的。潜在的SQL Server攻击者们都意识到了这一点,如果他们控制了这个强大的用户,数据库攻击就更容易。为了防止使用“SA”账号进行攻击,可以把“SA”账号重命名为别的账号名称。我们可以按照以下操作实现这一点:在“对象资源管理器”中展开“登录”,右键点击“SA”账号并在菜单中选择“重命名”。或者我们也可以执行以下T-SQL脚本重命名“SA”账号: USE [master] GO ALTER LOGIN SA WITH NAME = [] GO 此外,也可以禁用SQL Server实例的“SA”账号。 为SA和SQL Server专用登录账号设置复杂密码 在使用混合认证模式时,要确保为“SA”账号和其它SQL Server上使用的SQL Server 专用登录账号设置复杂密码。首先,为“SA”账号和所有其它SQL登录账号选中“强制密码过期”和“加强密码策略”选项。这两项可以保证所有其它SQL Server专用登录账号遵循底层操作系统的登录策略。除此之外,对所有新设置的SQL登录账号启用“MUST_CHANGE”选项。该选项确保登陆者必须在第一次登录后修改密码。 “sySAdmin”固定服务器角色和“CONTROL SERVER”权限资格 要谨慎选择sySAdmin固定服务器角色的资格,因为该角色可以在SQL Server上为所欲为。此外,不要明确授予“CONTROL SERVER”权限给Windows登录、Windows组登录和SQL Server登录,因为这种权限的登录获得了对整个SQL Server部署的完全管理员权限。默认情况下,sySAdmin固定服务器角色明确拥有这项权限。 SQL Server管理 要避免使用“SA”,或者任何其它已授予“CONTROL SERVER”权限的SQL登录账号,或者sySAdmin固定服务器角色下辖成员管理SQL Server实例。相反,要为DBA们设置专门的Windows登录账号,给这些账号分配“sySAdmin”权限作为管理用途。要给用户分配

数据库安全评估检查表_sql_server

主机安全检查-SQL Server 安全检查流程

1. 设备编号规则 编号规则:设备类型_客户名称_部门名称—数字编号。 设备类型(S—服务器;PC鉴端;FV W防火墙,R0路由器,SW交换机); 客户名称(拼音缩写); 部门名称(拼音缩写); 数字编号使用三位数字顺序号。 2. 主机信息

3. 安全检查 3.1.获取应用服务信息 编号:SQL-01003 名称:获取服务监听端口和地址 说明: 获取SQL Server所监听端口和地址 检查方法: 开始菜单-> 程序->Microsoft SQL Server-〉企业管理器-> 控制台目录-> Microsoft SQLServers->SQL Server 组,在要查看的服务器上右键查看“属性”

-> “常规” ->网络配置,选中“启用协议”中相关协议,察看“属性” 检查风险(对系统 的影响,请具体描述): 无 检查结果: 适用版本: All 备注: 编号: SQL-01006 名称: 获取数据库维护人员信息 说明: 获取与SQL Server 所有数据库维护人员以及主机维护人员名单 检查方法: 询问相关人员: 每个数据库的管理员是谁? 系统管理员是谁? 「检查风险(对系统的影响,请具体描述): 无 检查结果: 适用版本: All 「备注: 编号: SQL-01007 |名称: 获取数据库备份方式 说明: 获取与SQL Server 数据库备份方式 编号: SQL-01007 名称: 获取数据库备份方式 |说明:

检查方法: 询问相关人员: 谁在什么时候用什么方法把哪些数据备份到什么地方? 谁在什么情况下决定用什么方法把哪些地方如何恢复? 检查风险(对系统的影响,请具体描述):无 检查结果: 适用版本: All 备注: 32 补丁安装情况 33 帐号和口令 编号:SQL-03001 名称:获取SQL Server系统中账号 说明: 获取当前SQL Server系统中所有用户信息 检查方法: 开始菜单->程序-'Microsoft SQL Server->SQL 查询分析器,登录后在查询中输入:use master Select n ame,password from syslog ins order by n ame 检查风险(对系统的影响,请具体描述): 无 检查结果:适用版本:

Microsoft Windows安全配置风险评估检查表

Windows 系统安全配置基线 目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章账号管理、认证授权 (2) 2.1账号 (2) 2.1.1管理缺省账户 (2) 2.2口令 (2) 2.2.1密码复杂度 (2) 2.2.2密码历史 (3) 2.2.3帐户锁定策略 (3) 2.3授权 (4) 2.3.1远程关机 (4) 2.3.2本地关机 (4) 2.3.3用户权利指派 (4) 第3章日志配置操作 (6) 3.1日志配置 (6) 3.1.1审核登录 (6) 3.1.2审核策略更改 (6) 3.1.3审核对象访问 (7) 3.1.4审核事件目录服务器访问 (7) 3.1.5审核特权使用 (7) 3.1.6审核系统事件 (8) 3.1.7审核账户管理 (8) 3.1.8审核过程追踪 (8) 3.1.9日志文件大小 (9) 第4章IP协议安全配置 (10) 4.1IP协议 (10) 4.1.1启用SYN攻击保护 (10) 第5章设备其他配置操作 (12) 5.1共享文件夹及访问权限 (12) 5.1.1关闭默认共享 (12)

5.2防病毒管理 (12) 5.2.1数据执行保护 (12) 5.3W INDOWS服务 (13) 5.3.1 SNMP服务管理 (13) 5.4启动项 (13) 5.4.1关闭Windows自动播放功能 (13)

第1章概述 1.1 目的 本文档规定了WINDOWS 操作系统的主机应当遵循的操作系统安全性设置标准,本文档旨在指导系统管理人员或安全检查人员进行WINDOWS 操作系统的安全合规性检查和配置。 1.2 适用范围 本配置标准的使用者包括:服务器系统管理员、应用管理员、网络安全管理员。 1.3 适用版本 WINDOWS系列服务器;

学校网络与信息安全检查表

长春市第一五七中学网络与信息安全检查表 ①重点岗位人员安全保密协议:全部签订部分签订均未签订; ②人员离岗离职安全管理规定:已制定未制定; ③外部人员机房访问管理制度及权限审批制度:已建立未 建立; ①资产管理制度:已建立未建立; ②机房设备标签:全部标签合格部分标签合格无标签; ③设备维修维护和报废管理: 已建立管理制度,且维修维护和报废记录完整; 已建立管理制度,但维修维护和报废记录不完整; 未建立管理制度; ①机房管理制度:已建立未建立; ②机房日常运维记录:完整详实部分简略无记录; ③人员进出机房记录:完整详实部分简略无记录; ④机房物理环境:达标未达标; ①互联网接入口总数:_____个;其中: 电信接入口数量:_____个; 移动接入口数量:_____个; 联通接入口数量:_____个; 其他:____________ 接入口数量:_____个; ②网络安全防护设备部署(可多选): 防火墙防篡改入侵检测设备安全审计设备 防病毒网关抗拒绝服务攻击设备 其它:________________________; ③网络访问日志:留存日志周期_____ 未留存日志 ④安全防护设备策略:使用默认配置根据应用自主配置 办公区域无线局域网接入设备(无线路由器)数量:个; ①网络用途: 访问互联网:_____个;

访问业务/办公网络:_____个; ②安全防护策略(可多选):采取身份鉴别措施:_____个; 采取地址过滤措施:_____个;未设置:_____个; ①入侵检测系统:已部署未部署; ②防火墙技术:已部署未部署; ③漏洞扫描技术:已部署未部署; ④访问权限设置:有无; ①数据库管理制度:完整并落实未落实无; ②Root账户权限设置:分级设置未分级设置; ③数据备份周期:实时,定期:周期_____,不定期; ①网页防篡改措施:采用、未采用; ②漏洞扫描:定期扫描,周期_____ 不定期、未进行; ③信息发布管理: 已建立审核制度,且审核记录完整; 已建立审核制度,但审核记录不完整; 未建立审核制度; ④管理员口令复杂度策略: 高(包含数字、大小写字母、特殊符号,8位以上); 中(数字、字母,6位以上); 低(单一数字、字母,6位以下); 是否设置有效时间:是周期:_____ 否; ①邮箱注册:注册邮箱账号须经审批任意注册使用; ②账户口令防护: 使用技术措施控制和管理口令强度; 无口令强度限制技术措施;

集团公司网络安全检查表

集团公司网络安全检查表 填报单位:主管领导(签章)一、部门基本情况 分管网络安全工作的领导(如副部长)①姓名:________________ ②职务:________________ 网络安全管理机构(如办公室)①名称:________________ ②负责人:________________ 职务:________________ ③联系人:________________ 办公电话:________________ 移动电话:________________ 网络安全专职科室(如兼职办公科室)①名称:________________ ②负责人:________________ 办公电话:________________ 移动电话:________________ 二、信息系统情况 信息系统情况①信息系统总数:________________ ②网络连接情况:________________ 可以通过互联网访问的系统数量:________________ 不能通过互联网访问的系统数量:________________ ③面向社会龚总提供服务的系统数量:________________ ④本年度经过安全评测的系统数量:________________ 互联网接入情况互联网接入口总数:________________ □接入中国联通接入口数量:________ 接入带宽:________MB □接入中国电信接入口数量:________ 接入带宽:________MB □其他:_______ 接入口数量:________ 接入带宽:________MB 系统定级情况第一级:___________ 第二级:___________ 第三级:___________ 第四级:___________ 第五级:___________ 未定级:___________ 三、网络安全日常管理情况

相关文档
最新文档