信息安全与风险评估第四章
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
注意：测评方法、 步骤一定明确、清晰。
2019/11/26
10
目录
1. 前言 2. 测评准备工作 3. 现场测评内容与方法 4. 总结
2019/11/26
11
现场测评内容与方法
身份鉴别 访问控制 安全审计 剩余信息保护 入侵防范 恶意代码防范 系统资源控制 备份与恢复
2019/11/26
12
现场测评内容与方法——身份鉴别
条款理解
要求系统应具有一定的密码策略，如设置密码历 史记录、设置密码最长使用期限、设置密码最短 使用期限、设置最短密码长度、设置密码复杂性 要求、启用密码可逆加密。
2019/11/26
16
现场测评内容与方法——身份鉴别 检查方法
n Windows:
本地安全策略->帐户策略 ->密码策略中的相关项目
条款理解
要求系统应具有一定的登录控制功能。可以通 过适当的配置“帐户锁定策略 ”来对用户的 登录进行限制。如帐户锁定阈值，帐户锁定时 间等。
2019/11/26
19
现场测评内容与方法——身份鉴别
检查方法 n Windows:
本地安全策略->帐户策略 ->帐户锁定策略中 的相关项目 n Linux:
2019/11/26
26
现场测评内容与方法——身份鉴别
f）应采用两种或两种以上组合的鉴别技术对管理 用户进行身份鉴别。
条款理解
对于三级以上的操作系统应使用两种或两种以上组合 的鉴别技术实现用户身份鉴别，如密码和令牌的组合 使用等。
检查方法
访谈系统管理员，询问系统除用户名口令外有无其他 身份鉴别方法，如有没有令牌等。
2019/11/26
31
现场测评内容与方法——访问控制
b) 应根据管理用户的角色分配权限，实现管 理用户的权限分离，仅授予管理用户所需的 最小权限。
条款理解
根据管理用户的角色对权限作出标准细致的划分， 有利于各岗位细致协调的工作。同时对授权模块 进行一些授权管理，并且系统的授权安全管理工 作要做到细致，仅授予管理用户所需的最小权限， 避免出现权限的漏洞使一些高级用户拥有 过大的 权限。
2019/11/26
37
现场测评内容与方法——访问控制
d) 应严格限制默认账户的访问权限，重命名系统 默认账户，并修改这些账户的默认口令。 检查方法
查看默认用户名是否重命名 查看 guest等默认账户是否已禁用
2019/11/26
38
现场测评内容与方法——访问控制
e）应及时删除多余的、过期的账户，避免共享账户的存在。 条款理解
条款理解
对于系统默认的用户名，由于它们的某些权限与实际系统的要 求可能存在差异，从而造成安全隐患，因此这些默认用户名应 禁用。对于匿名用户的访问原则上是禁止的，查看服务器操作 系统，确认匿名/默认用户的访问权限已被禁用或者严格限制 。依据服务器操作系统访问控制的安全策略，以未授权用户身 份/角色测试访问客体，是否不允许进行访问。
第4章
主机安全测评技术
2019/11/26
1
主要内容
1. 前言 2. 测评准备工作 3. 现场测评内容与方法
2019/11/26
2
什么是主机？
指计算机除去输入输出设备以外的主要机体 部分。也是用于放置主板及其他主要部件的 控制箱体。通常包括 CPU、内存、硬盘、光 驱、电源、以及其他输入输出控制器和接口 。
2019/11/26
3
Hot Tip
主机安全 = 计算机安全?
• “主机安全”是整个信息系统安全的“ 最后一道防线”。
• 主机安全测评就是计算机和使用人员的 “人-机合一”系统的安全测评。
2019/11/26
4
主机的相关知识点
• 主机按照其规模或系统功能来区分，可分为巨型 、大型、中型、小型、微型计算机和单片机。
2019/11/26
27
现场测评内容与方法——身份鉴别
小结
n 在三级系统中，身份鉴别共有6个检查项， 分别是身份的标识、密码口令的复杂度设置 、 登录失败的处理、远程管理的传输模式、用户 名的唯一性以及身份组合鉴别技术。
2019/11/26
28
现场测评内容与方法
身份鉴别 访问控制 安全审计 剩余信息保护 入侵防范 恶意代码防范 系统资源控制 备份与恢复
条款理解
为方便管理员进行管理操作，众多服务器采 用了网络登录的方式进行远程管理操作，例 如Linux可以使用 telnet登陆，Windows使用远 程终端服务。基本要求规定了这些传输的数 据需要进行加密处理过，目的是为了保障帐 户与口令的安全。
2019/11/26
22
现场测评内容与方法——身份鉴别
n Windows十大安全隐患
– Web服务器和服务 – 工作站服务 – Windows远程访问服务 – 微软SQL服务器 – Windows认证 – Web浏览器
– 文件共享 – LSAS Exposures
– 电子邮件客户端 – 即时信息
n Unix十大安全隐患
– BIND域名系统 – Web服务器
现场测评内容与方法——访问控制
2019/11/26
34
现场测评内容与方法——访问控制
c) 应实现操作系统和数据库系统特权用户的权限分离。 条款理解
操作系统特权用户可能拥有以下一些权限：安装和配置系统的 硬件和软件、建立和管理用户帐户、升级软件、备份和恢复等 业务，从而保证操作系统的可用性、完整性和安全性。数据库 系统特权用户则更多是对数据库的安装、配置、升级和迁移以 及数据库用户的管理，从而保证数据库系统的可用性、完整性 和安全性。将操作系统和数据库系统特权用户的权限分离，能 够避免一些特权用户拥有过大的权限以及减少一些人为的误操 作，做到了职责明确。
用口令对质 询进行散列
发送应答 通过比较决定是否允许登录
SAM
8字节质询
用口令对质询进 行散列并比较
2019/11/26
14
现场测评内容与方法——身份鉴别
a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
检查方法
n Window：
访谈系统管理员系统用户是否已设置密码，并查看 登陆过程中系统账户是否使用了密码进行验证登陆。
a) 应对登录操作系统和数据库系统的用户进 行身份标识和鉴别。 条款理解 用户的身份标识和鉴别，就是用户向系统以 一种安全的方式提交自己的身份证实，然后 由系统确认用户的身份是否属实的过程。
2019/11/26
13
现场测评内容与方法——身份鉴别
Winlogon
明文口令 被散列
客户端请求登录 服务器发出8字节质询
对于系统默认的用户名，由于它们的某些权限与实际系统的要 求可能存在差异，从而造成安全隐患，因此这些默认用户名应 禁用。对于匿名用户的访问原则上是禁止的，查看服务器操作 系统，确认匿名/默认用户的访问权限已被禁用或者严格限制 。依据服务器操作 系统访问控制的安全策略 ，以未授权用户身 份/角色测试访问客体，是否不允许进行访问。
2019/11/26
29
现场测评内容与方法——访问控制
a) 应启用访问控制功能，依据安全策略控制 用户对资源的访问。 条款理解
访问控制是安全防范和保护的主要策略，它不仅 应用于网络层面，同样也适用于主机层面，它的主 要任务是保证系统资源不被非法使用和访问，使用 访问控制的目的在于通过限制用户对特定资源的访 问保护系统资源。对于本项而言，主要涉及到两个 方面的内容，分别是：
– 认证 – 版本控制系统 – 电子邮件传输服务 – 简单网络管理协议 – 开放安全连接通讯层 – 企业NIS/NFS 配置不当
– 数据库 – 内核
2019/11/26
6
测评流程
现场测评准 现场测评和 结果确认和
备
结果记录 资料归还
2019/11/26
7
主要内容
1. 前言 2. 测评准备工作 3. 现场测评内容与方法
2019/11/26
25
现场测评内容与方法——身份鉴别
检查方法 n Windows:
“管理工具”->“计算机管理”->“本地用 户和组”中的“用户” ，检查其中的用户 名是否出现重复.
n 。Linux: 采用查看方式，在 root权限下，使用命令 more、cat或 vi查看 /etc/passwd文件中用 户名信息
n Linux：
采用查看方式，在root权限下，使用命令 more、cat或 vi 查看 /etc/passwd和/etc/shadow文件中各用户名状态。
2019/11/26
15
现场测评内容与方法——身份鉴别
b) 操作系统和数据库系统管理用户身份标识应 具有不易被冒用的特点，口令应有复杂度要求 并定期更换。
2019/11/26
8
测评准备工作
信Байду номын сангаас收集
n 服务器设备名称、型号、所属网络 区域、操作系统版本、 IP地址、安装应 用软件名称、主要业务应用、涉及数据、 是否热备、重要程度、责任部门……
2019/11/26
9
测评准备工作
测评指导书准备
根据信息收集的内容，结合主机所属等 级，编写测评指导书。
2019/11/26
32
现场测评内容与方法——访问控制
b) 应根据管理用户的角色分配权限，实现管理用户 的权限分离，仅授予管理用户所需的最小权限。
检查方法
记录系统是否有完整的安全策略、系统主要有哪些 角色、每个角色的权限是否相互制约、每个系统用 户是否被赋予相应的角色。
2019/11/26
33
n Linux:
采用查看方式 ，在root权限下，使用命令 more、cat 或 vi查看 /etc/login.defs文件中相关配置参数.
2019/11/26
17
现场测评内容与方法——身份鉴别
2019/11/26
18
现场测评内容与方法——身份鉴别
c) 应启用登录失败处理功能，可采取结束会话、 限制非法登录次数和自动退出等措施。
• 主机安全是由操作系统自身安全配置、相关安全 软件以及第三方安全设备等来实现，主机测评则 是依据基本要求对主机安全进行符合性检查。
• 目前运行在主机上的主流的操纵系统有Windows 、Linux、Sun、Solaris 、IBM AIX、HP-UX等等 。
2019/11/26
5
系统漏洞大量存在
文件权限 默认共享
2019/11/26
30
现场测评内容与方法——访问控制
a) 应启用访问控制功能，依据安全策略控制用户 对资源的访问。 检查方法
n Windows:
1、查看everyone组、users组和administrators组的权限设置； 2、在命令行模式下输入net share，查看共享； 并查看注册表： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co ntrol\Lsa\restrictanonymous值是否为“0”（0表示共享开启）
2019/11/26
24
现场测评内容与方法——身份鉴别
e) 为操作系统和数据库的不同用户分配不同的用 户名，确保用户名具有唯一性。 条款理解
对于操作系统来说，用户管理是操作系统应具备的基本 功能。用户管理由创建用户和组以及定义它们的属性构成。 用户的一个主要属性是如何对他们进行认证。用户是系统 的主要代理。 其属性控制他们的访问权 、环境、如何对他 们进行认证以及如何、何时、在哪里可以访问他们的帐户。 因此，用户标识的唯一性至关重要。
2019/11/26
35
现场测评内容与方法——访问控制
c) 应实现操作系统和数据库系统特权用户的权限 分离。 检查方法
结合系统管理员的组成情况，判定是否实现了该项要求
2019/11/26
36
现场测评内容与方法——访问控制
d) 应严格限制默认账户的访问权限，重命名系统默认账户，并修 改这些账户的默认口令。
采用查看方式 ，在root权限下，使用命令 more、cat或 vi查看 /etc/pam.d/system-auth文 件中相关配置参数.
2019/11/26
20
现场测评内容与方法——身份鉴别
2019/11/26
21
现场测评内容与方法——身份鉴别
d) 当对服务器进行远程管理时，应采取必要措 施，防止鉴别信息在网络传输过程中被窃听。
检查方法
n Windows: 确认操作系统版本 确认终端服务器使用了SSL加密 确认RDP客户端使用 SSL加密
2019/11/26
23
现场测评内容与方法——身份鉴别
n Linux:
在root权限下，使用命令more、cat或查看是否运 行了sshd服务：service –status-all | grep sshd 若未使用ssh方式进行远程管理，则查看是否使 用了telnet方式进vi行远程管理：service – status-all | grep running
2019/11/26
10
目录
1. 前言 2. 测评准备工作 3. 现场测评内容与方法 4. 总结
2019/11/26
11
现场测评内容与方法
身份鉴别 访问控制 安全审计 剩余信息保护 入侵防范 恶意代码防范 系统资源控制 备份与恢复
2019/11/26
12
现场测评内容与方法——身份鉴别
条款理解
要求系统应具有一定的密码策略，如设置密码历 史记录、设置密码最长使用期限、设置密码最短 使用期限、设置最短密码长度、设置密码复杂性 要求、启用密码可逆加密。
2019/11/26
16
现场测评内容与方法——身份鉴别 检查方法
n Windows:
本地安全策略->帐户策略 ->密码策略中的相关项目
条款理解
要求系统应具有一定的登录控制功能。可以通 过适当的配置“帐户锁定策略 ”来对用户的 登录进行限制。如帐户锁定阈值，帐户锁定时 间等。
2019/11/26
19
现场测评内容与方法——身份鉴别
检查方法 n Windows:
本地安全策略->帐户策略 ->帐户锁定策略中 的相关项目 n Linux:
2019/11/26
26
现场测评内容与方法——身份鉴别
f）应采用两种或两种以上组合的鉴别技术对管理 用户进行身份鉴别。
条款理解
对于三级以上的操作系统应使用两种或两种以上组合 的鉴别技术实现用户身份鉴别，如密码和令牌的组合 使用等。
检查方法
访谈系统管理员，询问系统除用户名口令外有无其他 身份鉴别方法，如有没有令牌等。
2019/11/26
31
现场测评内容与方法——访问控制
b) 应根据管理用户的角色分配权限，实现管 理用户的权限分离，仅授予管理用户所需的 最小权限。
条款理解
根据管理用户的角色对权限作出标准细致的划分， 有利于各岗位细致协调的工作。同时对授权模块 进行一些授权管理，并且系统的授权安全管理工 作要做到细致，仅授予管理用户所需的最小权限， 避免出现权限的漏洞使一些高级用户拥有 过大的 权限。
2019/11/26
37
现场测评内容与方法——访问控制
d) 应严格限制默认账户的访问权限，重命名系统 默认账户，并修改这些账户的默认口令。 检查方法
查看默认用户名是否重命名 查看 guest等默认账户是否已禁用
2019/11/26
38
现场测评内容与方法——访问控制
e）应及时删除多余的、过期的账户，避免共享账户的存在。 条款理解
条款理解
对于系统默认的用户名，由于它们的某些权限与实际系统的要 求可能存在差异，从而造成安全隐患，因此这些默认用户名应 禁用。对于匿名用户的访问原则上是禁止的，查看服务器操作 系统，确认匿名/默认用户的访问权限已被禁用或者严格限制 。依据服务器操作系统访问控制的安全策略，以未授权用户身 份/角色测试访问客体，是否不允许进行访问。
第4章
主机安全测评技术
2019/11/26
1
主要内容
1. 前言 2. 测评准备工作 3. 现场测评内容与方法
2019/11/26
2
什么是主机？
指计算机除去输入输出设备以外的主要机体 部分。也是用于放置主板及其他主要部件的 控制箱体。通常包括 CPU、内存、硬盘、光 驱、电源、以及其他输入输出控制器和接口 。
2019/11/26
3
Hot Tip
主机安全 = 计算机安全?
• “主机安全”是整个信息系统安全的“ 最后一道防线”。
• 主机安全测评就是计算机和使用人员的 “人-机合一”系统的安全测评。
2019/11/26
4
主机的相关知识点
• 主机按照其规模或系统功能来区分，可分为巨型 、大型、中型、小型、微型计算机和单片机。
2019/11/26
27
现场测评内容与方法——身份鉴别
小结
n 在三级系统中，身份鉴别共有6个检查项， 分别是身份的标识、密码口令的复杂度设置 、 登录失败的处理、远程管理的传输模式、用户 名的唯一性以及身份组合鉴别技术。
2019/11/26
28
现场测评内容与方法
身份鉴别 访问控制 安全审计 剩余信息保护 入侵防范 恶意代码防范 系统资源控制 备份与恢复
条款理解
为方便管理员进行管理操作，众多服务器采 用了网络登录的方式进行远程管理操作，例 如Linux可以使用 telnet登陆，Windows使用远 程终端服务。基本要求规定了这些传输的数 据需要进行加密处理过，目的是为了保障帐 户与口令的安全。
2019/11/26
22
现场测评内容与方法——身份鉴别
n Windows十大安全隐患
– Web服务器和服务 – 工作站服务 – Windows远程访问服务 – 微软SQL服务器 – Windows认证 – Web浏览器
– 文件共享 – LSAS Exposures
– 电子邮件客户端 – 即时信息
n Unix十大安全隐患
– BIND域名系统 – Web服务器
现场测评内容与方法——访问控制
2019/11/26
34
现场测评内容与方法——访问控制
c) 应实现操作系统和数据库系统特权用户的权限分离。 条款理解
操作系统特权用户可能拥有以下一些权限：安装和配置系统的 硬件和软件、建立和管理用户帐户、升级软件、备份和恢复等 业务，从而保证操作系统的可用性、完整性和安全性。数据库 系统特权用户则更多是对数据库的安装、配置、升级和迁移以 及数据库用户的管理，从而保证数据库系统的可用性、完整性 和安全性。将操作系统和数据库系统特权用户的权限分离，能 够避免一些特权用户拥有过大的权限以及减少一些人为的误操 作，做到了职责明确。
用口令对质 询进行散列
发送应答 通过比较决定是否允许登录
SAM
8字节质询
用口令对质询进 行散列并比较
2019/11/26
14
现场测评内容与方法——身份鉴别
a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
检查方法
n Window：
访谈系统管理员系统用户是否已设置密码，并查看 登陆过程中系统账户是否使用了密码进行验证登陆。
a) 应对登录操作系统和数据库系统的用户进 行身份标识和鉴别。 条款理解 用户的身份标识和鉴别，就是用户向系统以 一种安全的方式提交自己的身份证实，然后 由系统确认用户的身份是否属实的过程。
2019/11/26
13
现场测评内容与方法——身份鉴别
Winlogon
明文口令 被散列
客户端请求登录 服务器发出8字节质询
对于系统默认的用户名，由于它们的某些权限与实际系统的要 求可能存在差异，从而造成安全隐患，因此这些默认用户名应 禁用。对于匿名用户的访问原则上是禁止的，查看服务器操作 系统，确认匿名/默认用户的访问权限已被禁用或者严格限制 。依据服务器操作 系统访问控制的安全策略 ，以未授权用户身 份/角色测试访问客体，是否不允许进行访问。
2019/11/26
29
现场测评内容与方法——访问控制
a) 应启用访问控制功能，依据安全策略控制 用户对资源的访问。 条款理解
访问控制是安全防范和保护的主要策略，它不仅 应用于网络层面，同样也适用于主机层面，它的主 要任务是保证系统资源不被非法使用和访问，使用 访问控制的目的在于通过限制用户对特定资源的访 问保护系统资源。对于本项而言，主要涉及到两个 方面的内容，分别是：
– 认证 – 版本控制系统 – 电子邮件传输服务 – 简单网络管理协议 – 开放安全连接通讯层 – 企业NIS/NFS 配置不当
– 数据库 – 内核
2019/11/26
6
测评流程
现场测评准 现场测评和 结果确认和
备
结果记录 资料归还
2019/11/26
7
主要内容
1. 前言 2. 测评准备工作 3. 现场测评内容与方法
2019/11/26
25
现场测评内容与方法——身份鉴别
检查方法 n Windows:
“管理工具”->“计算机管理”->“本地用 户和组”中的“用户” ，检查其中的用户 名是否出现重复.
n 。Linux: 采用查看方式，在 root权限下，使用命令 more、cat或 vi查看 /etc/passwd文件中用 户名信息
n Linux：
采用查看方式，在root权限下，使用命令 more、cat或 vi 查看 /etc/passwd和/etc/shadow文件中各用户名状态。
2019/11/26
15
现场测评内容与方法——身份鉴别
b) 操作系统和数据库系统管理用户身份标识应 具有不易被冒用的特点，口令应有复杂度要求 并定期更换。
2019/11/26
8
测评准备工作
信Байду номын сангаас收集
n 服务器设备名称、型号、所属网络 区域、操作系统版本、 IP地址、安装应 用软件名称、主要业务应用、涉及数据、 是否热备、重要程度、责任部门……
2019/11/26
9
测评准备工作
测评指导书准备
根据信息收集的内容，结合主机所属等 级，编写测评指导书。
2019/11/26
32
现场测评内容与方法——访问控制
b) 应根据管理用户的角色分配权限，实现管理用户 的权限分离，仅授予管理用户所需的最小权限。
检查方法
记录系统是否有完整的安全策略、系统主要有哪些 角色、每个角色的权限是否相互制约、每个系统用 户是否被赋予相应的角色。
2019/11/26
33
n Linux:
采用查看方式 ，在root权限下，使用命令 more、cat 或 vi查看 /etc/login.defs文件中相关配置参数.
2019/11/26
17
现场测评内容与方法——身份鉴别
2019/11/26
18
现场测评内容与方法——身份鉴别
c) 应启用登录失败处理功能，可采取结束会话、 限制非法登录次数和自动退出等措施。
• 主机安全是由操作系统自身安全配置、相关安全 软件以及第三方安全设备等来实现，主机测评则 是依据基本要求对主机安全进行符合性检查。
• 目前运行在主机上的主流的操纵系统有Windows 、Linux、Sun、Solaris 、IBM AIX、HP-UX等等 。
2019/11/26
5
系统漏洞大量存在
文件权限 默认共享
2019/11/26
30
现场测评内容与方法——访问控制
a) 应启用访问控制功能，依据安全策略控制用户 对资源的访问。 检查方法
n Windows:
1、查看everyone组、users组和administrators组的权限设置； 2、在命令行模式下输入net share，查看共享； 并查看注册表： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co ntrol\Lsa\restrictanonymous值是否为“0”（0表示共享开启）
2019/11/26
24
现场测评内容与方法——身份鉴别
e) 为操作系统和数据库的不同用户分配不同的用 户名，确保用户名具有唯一性。 条款理解
对于操作系统来说，用户管理是操作系统应具备的基本 功能。用户管理由创建用户和组以及定义它们的属性构成。 用户的一个主要属性是如何对他们进行认证。用户是系统 的主要代理。 其属性控制他们的访问权 、环境、如何对他 们进行认证以及如何、何时、在哪里可以访问他们的帐户。 因此，用户标识的唯一性至关重要。
2019/11/26
35
现场测评内容与方法——访问控制
c) 应实现操作系统和数据库系统特权用户的权限 分离。 检查方法
结合系统管理员的组成情况，判定是否实现了该项要求
2019/11/26
36
现场测评内容与方法——访问控制
d) 应严格限制默认账户的访问权限，重命名系统默认账户，并修 改这些账户的默认口令。
采用查看方式 ，在root权限下，使用命令 more、cat或 vi查看 /etc/pam.d/system-auth文 件中相关配置参数.
2019/11/26
20
现场测评内容与方法——身份鉴别
2019/11/26
21
现场测评内容与方法——身份鉴别
d) 当对服务器进行远程管理时，应采取必要措 施，防止鉴别信息在网络传输过程中被窃听。
检查方法
n Windows: 确认操作系统版本 确认终端服务器使用了SSL加密 确认RDP客户端使用 SSL加密
2019/11/26
23
现场测评内容与方法——身份鉴别
n Linux:
在root权限下，使用命令more、cat或查看是否运 行了sshd服务：service –status-all | grep sshd 若未使用ssh方式进行远程管理，则查看是否使 用了telnet方式进vi行远程管理：service – status-all | grep running