安全基线与配置核查技术与方法
安全 基线核查 安全服务 相关概念
安全基线核查是确保系统满足安全规范要求的一系列活动。
它涉及到检查各安全配置参数是否符合预设的标准，这些标准通常是基于操作系统、数据库及中间件的安全实践及合规检查要求制定的。
这些配置参数包括但不限于账号配置安全、口令配置安全、授权配置、日志配置、IP通信配置等。
通过进行这样的核查，可以及时发现并修复系统中的安全漏洞，从而提高系统的整体安全性。
安全服务则是一系列为了保障信息系统安全而提供的服务，这些服务可能包括安全基线核查、安全漏洞扫描、风险评估、安全加固等。
这些服务旨在确保信息系统的机密性、完整性和可用性，从而防止因恶意攻击、数据泄露等原因导致的损害。
总的来说，安全基线核查是安全服务中的一项重要内容，它通过对系统配置参数的检查来确保系统达到预设的安全标准。
而安全服务则是一个更广泛的概念，它涵盖了所有为了保障信息系统安全而提供的服务。
安全基线管理措施
安全基线管理措施安全基线管理措施简介在现代信息化时代，保护企业的信息系统和数据免受恶意攻击、数据泄露等安全威胁至关重要。
为了确保信息系统的安全性，许多组织采用了安全基线管理措施。
安全基线是指一组最低安全配置标准和策略，用于保护计算机和网络资源免受外部攻击。
通过实施安全基线管理措施，组织能够降低安全风险，防止潜在威胁对系统的影响。
安全基线管理措施的重要性安全基线管理措施对于保护企业的信息系统至关重要。
以下是一些理由：1. 防止潜在威胁：安全基线管理措施可以帮助组织识别和排除潜在的安全威胁。
通过禁用不必要的服务、限制用户的特权和访问权限，组织可以减少攻击者入侵系统的机会。
2. 提高系统的安全性：安全基线管理措施确保系统按照安全最佳实践进行配置。
这样可以降低出现配置错误、漏洞和弱点的可能性，从而提高系统的安全性。
3. 提升组织的反应速度：安全基线管理措施可以帮助组织更快地检测和应对安全事件。
通过实施实时监控和报警系统，组织可以更早地发现异常活动并采取必要的措施来减轻潜在损害。
4. 合规性要求：许多行业都有特定的安全合规性要求。
安全基线管理措施可以帮助组织满足这些要求，以确保其业务的合法性和可信度。
安全基线管理措施的实施步骤要成功实施安全基线管理措施，组织可以按照以下步骤操作：1. 评估和分析：首先，组织需要评估和分析现有系统的安全状况和潜在威胁。
这包括评估系统的配置、检测和修复漏洞、分析安全事件等。
2. 制定安全基线：根据评估和分析的结果，组织需要制定相应的安全基线。
安全基线应包括一系列配置和策略，例如网络防火墙配置、用户权限管理、密码策略等。
3. 实施安全配置：根据制定的安全基线，组织需要针对现有系统进行安全配置。
这可能涉及到更改系统配置、安装安全软件、加密敏感数据等。
4. 监控和报警：为了及时发现和应对安全事件，组织需要实施实时监控和报警系统。
这包括监测系统的日志、网络流量、异常行为等，并设定相应的报警规则。
各类操作系统安全基线配置及操作指南
各类操作系统安全配置要求及操作指南检查模块支持系统版本号Windows Windows 2000 以上Solaris Solaris 8 以上AIX AIX 5.X以上HP-UNIX HP-UNIX 11i以上Linux 内核版本2.6以上Oracle Oracle 8i以上SQLServerMicrosoft SQL Server 2000 以上MySQL MySQL 5.x以上IIS IIS 5.x以上Apache Apache 2.x 以上Tomcat Tomcat 5.x以上WebLogic WebLogic 8.X以上Windows操作系统安全配置要求及操作指南I目录目录 (I)前言 (II)1 范围 (1)2 规范性引用文件 (1)3 缩略语 (1)4 安全配置要求 (2)4.1 账号 (2)4.2 口令 (3)4.3 授权 (5)4.4 补丁 (7)4.5 防护软件 (8)4.6 防病毒软件 (8)4.7 日志安全要求 (9)4.8 不必要的服务 (11)4.9 启动项 (12)4.10 关闭自动播放功能 (13)4.11 共享文件夹 (13)4.12 使用NTFS 文件系统 (14)4.13 网络访问 (15)4.14 会话超时设置 (16)4.15 注册表设置 (17)附录A：端口及服务 (18)II前言为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，编制了一系列的安全配置要求及操作指南，明确了操作系统、数据库、应用中间件在内的通用安全配置要求及参考操作。
该系列安全配置要求及操作指南的结构及名称预计如下：（1）《Windows 操作系统安全配置要求及操作指南》（本规范）（2）《AIX操作系统安全配置要求及操作指南》（3）《HP-UX 操作系统安全配置要求及操作指南》（4）《Linux操作系统安全配置要求及操作指南》（5）《Solaris操作系统安全配置要求及操作指南》（6）《MS SQL server数据库安全配置要求及操作指南》（7）《MySQL 数据库安全配置要求及操作指南》（8）《Oracle数据库安全配置要求及操作指南》（9）《Apache安全配置要求及操作指南》（10）《IIS安全配置要求及操作指南》（11）《Tomcat 安全配置要求及操作指南》（12）《WebLogic 安全配置要求及操作指南》11 范围适用于使用Windows 操作系统的设备。
安全基线的基本内容 -回复
安全基线的基本内容-回复什么是安全基线？安全基线（Security Baseline），也被称为最低安全配置（Minimum Security Configuration），是指在计算机系统或网络系统中所设定的最低安全要求或配置。
它是为了减少潜在漏洞和防止系统被攻击而采取的一系列预防措施的总称。
安全基线代表了一个系统或网络的安全性水平，并为系统管理员和安全专业人员提供了一个标准化的参考，以确保系统或网络的安全性得到最佳保障。
为什么需要安全基线？随着计算机系统和网络的普及和发展，信息安全面临着越来越多的挑战。
黑客攻击、漏洞利用、恶意软件等网络攻击手段日益复杂和隐蔽，给企业和个人的信息安全带来了极大的威胁。
为了防范和应对这些威胁，建立一个合理的安全基线成为了保障系统和网络安全的基础。
安全基线可以确保系统和网络的最低安全要求得到满足，最大程度地减少恶意攻击和数据泄露的风险。
安全基线的基本内容：1. 访问控制和身份验证：设置用户访问权限、身份验证要求和访问控制策略，以确保只有授权的用户能够访问系统或网络资源。
2. 密码策略：建立强密码要求和周期性更改密码的规定，加强对用户密码的保护和管理，防止密码猜测和撞库攻击。
3. 操作系统和应用程序的补丁管理：及时安装操作系统和应用程序的安全补丁，修复已知漏洞，减少攻击者利用漏洞的可能性。
4. 防病毒和恶意软件防护：安装并及时更新防病毒软件，对系统和网络进行常规扫描，及时发现和清除潜在的病毒和恶意软件。
5. 防火墙配置：配置和管理防火墙，限制对系统和网络的非法访问，有效阻止潜在攻击。
6. 安全审计和日志管理：开启事件日志、访问日志和安全审计功能，记录系统和网络的活动情况，及时发现异常行为和安全事件。
7. 数据备份和恢复：制定有效的数据备份策略，定期备份重要数据，确保在系统遭受攻击或故障时能够快速恢复。
8. 用户教育和安全意识培训：通过定期的安全培训和教育活动，提高用户对安全风险和防范措施的认识，增强安全意识。
安全配置核查管理系统介绍
灵活便捷的多方式检查
优势功能
复杂网络的多渠道检查支持。 安全配置核查管理系统支持在线、离线脚本、脱机、分布式采集等多种 核查方式，并配备Windows代理来解决无登录信息的问题，实现在各类复杂情况 下的核查采集。
与安全管理平台的无缝整合。 安全配置核查管理系统可与现有的启明星辰安全管理平台实现无缝整合， 可作为子模块完成基线检查的工作，也可通过安全管理平台下发基线检查策略， 驱动基线管理平台共同完成安全运营管理工作。 同时安全基线配置核查系统检查结果可以返回安全管理平台管理，安全管理平台 可以针对安全基线的不同检查规范和不同检查目的的检查结果进行过程管控，了 解基线检查配置弱点的整改过程情况，为安全管理工作提供更有利的过程管控信 息和数据支撑。
安全检查
要求细致、安全配置项繁多
依靠人的经验，缺乏统一的标准 配置方式不统一
安全评估
无法自动化、快速、高效执行
事前预防可以减少90%的安全攻击！
事前 预防
据权威统计机构调查显示
事中 控制
信息安 全管理
事后 稽查
6
规范要求
电力等级保护基线配置核查对应表 三级主机测评指导书 三级网络测评指导书 三级应用测评指导书 工信部等级保护相关
接收模版标准： 上级节点的策略模版
1
5
汇总： 下级节点的核查报告
4
组合任务： 策略模版+检查目标
2
下级节点
上报： 任务执行的结果
3
执行： 立即、定时、周期、离线
多级管理-升级
多级部署：分发升级包 单级部署：导入升级包 下级 节点 功能升级：导入升级版 脚本库升级：导入脚本包
5、如本级也有下级节点，同 样可实现对下级的分发升级功 能
各类操作系统安全基线配置及操作指南
置要求及操作指南
检查模块 支持系统版本号 Windows Windows 2000 以上 Solaris Solaris 8 以上 AIX AIX 5.X以上 HP-UNIX HP-UNIX 11i以上 Linux 内核版本 2.6 以上 Oracle Oracle 8i 以上 SQL Server Microsoft SQL Server 2000以上 MySQL MySQL 5.x以上 IIS IIS 5.x以上 Apache Apache 2.x 以上 Tomcat Tomcat 5.x 以上 WebLogic WebLogic 8.X以上
Windows 操作系统 安全配置要求及操作指南
I
目录
目
录 ..................................................................... I
前
言 .................................................................... II
4 安全配置要求 ............................................................... 2
4.1 账号 ..................................................................... 2
4.2 口令 编号： 1 要求内容 密码长度要求：最少 8 位 密码复杂度要求：至少包含以下四种类别的字符中的三种： z 英语大写字母 A, B, C, , Z z 英语小写字母 a, b, c, , z z 阿拉伯数字 0, 1, 2, , 9 z 非字母数字字符，如标点符号， @, #, $, %, &, *等
网络安全基线核查
1.前言1.1.术语、定义(1)合规性（Compliance）企业或者组织为了履行遵守法律法规要求的承诺,建立、实施并保持一个或多个程序，以定期评价对适用法律法规的遵循情况的一项管理措施。
(2)资产（Asset）信息系统安全策略中所保护的信息或资源。
(3)计算机信息系统（Computer information system）由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
(4)保密性（Confidentiality）使信息不泄露给未授权的个人、实体、进程，或不被其利用的特性。
(5)安全服务（Security service）根据安全策略，为用户提供的某种安全功能及相关的保障。
2.服务概述2.1.服务概念基线核查服务是根据相关标准或规范，结合最佳实践，对客户的硬件资产（如：主机设备、网络设备、安全设备、办公终端等）和软件系统（如：操作系统、数据库、中间件和常用服务协议等）进行安全配置的核查，识别出现有安全配置与普适性规范或行业规范的安全配置要求之间的差距，并提供相关优化建议。
2.2.服务必要性基线核查是检验信息系统安全措施中的一种检查方式，信息系统拥有者往往需要在达到相对安全状态下所需要付出的成本与承受安全风险带来的损失之间寻找平衡。
而安全基线正是这个平衡的合理分界线。
基线核查服务，一方面可以根据基线核查的结果进行安全加固提升安全防护能力，减少信息系统的脆弱性，进而降低信息系统面临的安全风险；一方面可以满足合规性检查和国家政策要求。
2.3.服务收益通过以工具为主，人工为辅的方法，对客户的硬件资产和软件系统的安全策略配置进行科学、全面、认真地检查，输出专业的基线核查安全评估报告，通过该服务可以实现包括但不限于以下价值：●帮助客户充分掌握当前 IT 设备的配置情况，了解潜在的 IT 设备、系统的配置隐患和安全风险。
资料1：安全基线配置核查使用工具说明.doc
1.下载基线配置核查工具（附件2）
2.下载完成后，运行安装SblCheckTool.msi。
注：若系统未安装.Net Framework 4.0，会提示安装该软件。
在基线配置核查工具下载页面下载.Net Framework 4.0并安装，该软件为微软公司推出的系统组件。
3.安装完成后，双击打开桌面“基线加固工具”快捷方式，进入软件界面。
4.首先输入自己的姓名，工作单位以及网络管理员提供的IP地址。
5. 资料填写完毕请点击测试连接，若无错误将提示“连接成功”，点击“确认”。
6. 点击开始检查，系统将展示出终端计算机的安全配置（检查过程依据计算机性能存在查
别，请耐心等待，一般不超过1分钟）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
目前我们的关注点是保证业务安全、数 据安全，但所有系统平台的支撑最终还 是落实到设备上，设备安全了，业务支 撑才安全
谁来关注它 们的安全
-目前我们的关注点是保证业务安全、数 据安全，但所有系统平台的支撑最终还 是落实到设备上，设备安全了，业务支 撑才安全
安全基线能给烟草用户带来什么
•能够及时发现 当前业务应用 系统所面临的 安全问题并可 以提供有效的 解决办法
• 可以成为用户 对业务系统进 行等级合规的 有力检查和合 规工具，出具 符合国家局要 求的合规检查 报告
• 依据等保和 “三全”的要 求进行自动化 检查（71个指 标项的检查要 求，35个技术 指标，36个管 理类，共计 380项）
安全技术
物理安全
网络安全 主机安全
应用安全 数据安全 及备份恢复
配置核查是业务系统及所属设备在特定时期内， 根据自身需求、部署环境和承载业务要求应满足 的基本安全配置要求合集。
目录
什么是安全基线 企业面临的困惑与运维挑战 如何建立一套基线管理体系 安全基线检查的技术方法 举例
13
什么是安全基线工具
安全基线 的根本目的是保障业务系统的安全，使业务系统的风险维持在可控范围内，为了 避免人为疏忽或错误，或使用默认的安全配置，给业务系统安全造成风险统达到相对的安全指标要求。安全基线 检查工具是采用技术手段，自动完成安全配置检查的产品，并提供详尽的解决方案。
• 1991年欧共体发布了信息安全评估标准（ITSEC），1999年正式列为 国际标准系列
– ITSEC主要提出了资产的CIA三性：机密性、完整性、可用性的安全属性 ，对国际信息安全研发产生了重要影响，并一直沿用至今。
• 国内的安全基线发展
– 1994年，我国首次颁布《中华人民共和国计算机信息系统安全保护条例》 – 1999年推出《计算机信息系统安全保护等级划分准则》 – 2007年，《信息安全等级保护管理办法》，GB/T22239-2008“基本要求
• 最近一次的安全整改到底有没有效 果呢？
• 安全状况同比和环比有什么变化呢？ • 以上问题我们通过什么方式验证呢？
问题分析
何处下手，怎 么查
• 如何保证 效率
• 如何保证 质量
怎么衡量安全 与否
• 安全业务 数据价值
• 为安全决 策提供支 持
如何呈现安全 效果
• 体系安全 工作效果
• 安全成果 的可视化
心 网络安全管理 系统安全管理
恶意代码防范管理
计算机应用管理 密码管理 变更管理
备份与恢复管理 安全事件处置 应急预案管理
安全基线与配置核查
安全基线（BaseLine）是保持信息系统安全的 机密性、完整性、可用性的最小安全控制，是系 统的最小安全保证，最基本的安全要求。
安全基线包含配置核查，是人员、技术、组织、 标准的综合的最低标准要求，同时也还涵盖管理 类和技术类两个层面。
目标业务系统
支持业务所需要的支撑系统及应用软件，例如： Tomcat、weblogic、IIS、Apache、Oracle、 Mysql
操作系统及一些设备，例如：Windows Linux、交换路由设备、防火墙设备
安全基线与漏洞的区别
相同点
同属于扫描类产品，同属主动安全范畴，主动安全的核心是 弱点管理，弱点有两类： •漏洞：系统自身固有的安全问题，软硬件BUG •配置缺陷：也叫暴露，一般是配置方面的错误，并会被攻击者利用
我们忽略了什么
为了保证业务安全，信息系统及数 据安全，我们部署了很多安全设备 ，防火墙、入侵检测、网络设备、 审计系统、安全平台等等，那么这 些安全设备的自身安全谁来管理呢 ，端口、进程、帐号安全？
数据库、中间件是支持业务的重要 组件，是不是都按照默认配置，使 用出厂设置，这些配置是否适用于 我们企业的安全要求，如何发现潜 在的风险呢？
不同点 来源不同
• 漏洞：系统自身固有的安全问题，软硬件BUG，是供应商的 技术问题，用户是无法控制的，与生俱来的
• 配置缺陷：配置是客户自身的管理问题，配置不当，主要包括 了账号、口令、授权、日志、IP通信等方面内容
”和GB/T28448-2012“测评要求” – 2010年，公安部发布《关于推动信息安全等级保护测评体系建设和开展等
级测评工作的通知》，觉得在全国部署开展信息安全等保测评工作。
3
国内外信息安全评估标准演化视图
4
目录
什么是安全基线 企业面临的困惑与运维挑战 如何建立一套基线管理体系 安全基线检查的技术方法 举例
物理位置的选择 物理访问控制
防盗窃和防破坏 防雷击 防火
防水和防潮 防静电
温湿度控制 电力供应 电磁防护 结构安全 访问控制 安全审计 入侵防范
恶意代码防范 网络设备防护
身份鉴别 访问控制 安全审计 剩余信息保护 入侵防范 恶意代码防范 资源控制 身份鉴别 访问控制 安全审计 剩余信息保护 通信完整性 通信保密性 抗抵赖 软件容错 资源控制 数据完整性 数据保密性 备份和恢复
安全管理
安全管理制度 安全管理机构 人员安全管理
管理制度 制订和发布 评审和修订
岗位设置 人员配备 授权和审批 沟通和合作 审核和检查 人员录用 人员离岗 人员考核
安全意识教育和培训
系统建设管理 系统运维管理
外部人员访问管理
系统定级 安全方案设计 产品采购和使用
软件开发 工程实施 测试验收 系统交付 系统备案 等级测评 环境管理 资产管理 介质管理 设备管理 监控管理和安全管理中
5
安全运维的困境一
我又不是安全专家，我怎 么知道哪些是安全的？
这么多的设备,难道要我 一台一台手工来查吗？
漏洞、配置、端口，进程、 文件，账号口令，这些都 怎么查啊?
何处开始，有什么工具 能帮助我吗？
安全运维的困境二
老大，这是上个月的报告。 系统有X个高危漏洞，Y个配置问题。
• 当前的系统到底是安全还是不安全 呢？
安全基线与配置核查 技术与方法
公安部第一研究所 2014年5月
目录
什么是安全基线 企业面临的困惑与运维挑战 如何建立一套基线管理体系 安全基线检查的技术方法 举例
2
安全基线的发展历程
• 最早的安全基线
– 安全基线最早可以追溯到上个实际的六十年代《美国军服保密制度》，九 十年代初期等级保护立法成为国家法律。