等级保护测评发现的常见问题及建议
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
– 各类管理制度进行定期的评审和修订。
•
2、安全管理机构
– 设置专职的安全管理员，安全管理员大多兼任其他管理岗位； – 安全专责以外的相关人员安全职责不明确，安全责任未分解到个人。
•
3、人员安全管理
– 定期对人员进行岗位技能和安全知识的考核。 – 第三方人员的管控力度欠缺。
•
4、系统建设管理
– 描述对系统的安全保护要求、策略和措施等内容形成系统的安全方案，无法形成能指导 安全系统建设详细设计方案； – Fra Baidu bibliotek统交付时，缺乏安全性测试，无安全测试报告。
主机系统
2、访问控制
• 大多数数据库应用帐户存在DBA权限；整改要点：回收应用帐户DBA权 限，开发商部署系统时，严格控制账户权限。测试账号使用后及时收 回。（高） • 部分主机存在多余的服务如：Telnet、FTP、SendMail服务没有禁用； 整改要点：禁用多余的主机网络服务。在部署时，实施安全测试。 （较高） • 部分非windows操作系统存在多余默认帐户没有锁定。整改要点：禁 用多余的主机默认账户。 • 建议：要求第三方人员对主机、数据库系统运维统一通过运维审计系 统；数据库尽量避免pl-sql方式登录，建议采用加密方式连接到主机， 在本地运维数据库。
信息安全等级保护常 见风险及建议
2009年7月
应用系统
1、身份鉴别 1.1要求点：应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系 统中不存在重复用户身份标识，身份鉴别信息不易被冒用；
要点：密码策略要求：1）管理员帐号口令长度至少设置为8 位，口令必须从字符 （a-z，A-Z）、数字（0-9）、符号（~!@#$%^&*()_<>）中至少选择两种进行组 合设置。2）普通用户帐号口令长度至少设置为6 位，由非纯数字或字母组成，不 能使用容易猜解的口令。应用系统管理员账户的口令至少每半年更改一次；并且 每次更新的口令不得与旧的口令相同。
应用系统
5、容错与资源控制
5.1要求点：应提供数据有效性检验功能，保证通过人机接口输入或通过 通信接口输入的数据格式或长度符合系统设定要求； 要点：对用户上传没有做过滤。建议对用户上传做白名单过滤，应禁 止EXE、jsp、asp等格式文件上传。
主机系统
1、身份鉴别
• 要点：完善主机密码策略，数据库密码策略。 数据库密码策略建议在系统部署时实施。 • 要点:配置加固，启用主机失败处理、超时 退出功能。 • 要点:关闭telnet服务,采用加密方式对主机远 程管理.（高）
•
5、系统运维管理
– 定期对网络设备和系统进行漏洞扫描与生成漏洞扫描报告。
人员安全 运维人员控制
禁止与生产环境的连接，禁止远程维护 专用的开发、测试环境
全程运维审计记录与控制
严格控制管理员权限（最小授权法） 严格的变更申请流程 明确系统管理员与第三方的连带责任
13
谢 谢！
• 大多数用户都加入域，但域的安全 策略未推到终端 • 本机用户权限过高，导致域策略失 效
客户端防病毒分析 • 未能周期性监控病毒报表 • 对大量爆发病毒机器未能及时处理 • 部分中断病毒爆发高风险状态，未 能及时更正 • 个别县局没有企业防病毒、AD域 管理，事件驱动式运维。
总体情况－管理类
• 1、安全管理制度
应用系统
4、保密性
4.1要求点：在通信双方建立连接之前，应用系统应利用密码技术进行 会话初始化验证；
要点：用户鉴别信息明文传输。保密性要求：用户密码和敏感业务信息 应加密传输。
4.2要求点：应采用加密或其他保护措施实现鉴别信息的存储保密性。 要点：鉴别信息在数据库明文存储，建议对用户密码在数据库密文存储。
主机系统
3、入侵防范 • 少数主机、数据库存在高风险漏洞（补丁）；（高） 建议：修复主机、数据库存在的高风险补丁漏洞； • 少数数据库、中间件存在弱口令。（高） 4、资源控制 • 部分主机没有设置操作超时退出；整改建议：配置 timeout参数，进行安全加固。
客户端安全
AD域问题分析
技术上： • 建议统一终端管理策略 • 强化防病毒系统报表的分析和病毒处 理 •制定不同类型域策略模板，并且进行 推送 •完善端点准入 •县局增加终端防护技术手段 管理上： •对各个部门人员进行上网安全培训， 并且进行考核。 •联合安监部门对客户端安全问题进行 通报，纳入绩效考核 禁止内网使用无线网络 定期检查机制
应用系统
2、访问控制 要求点：应由授权主体配置访问控制策略，并严格限制默认账户的访问权限；
要点：admin用户可以参与业务流程，存在多个默认管理员账户。管理员账户不能参 与业务流程、测试工作，一般情况只能有一个最高权限账户，并及时删除测试、过期 帐号。
应用系统
3、安全审计
3.1要求点：应提供覆盖到每个用户的安全审计功能，对应用系统重要安 全事件进行审计 要点：目前日志审计信息不全。要求审计日志应至少包括以下：1.用户登 录、登出失败登录日志；2.管理员账户授权操作日志；3.创建、删除用户日 志；4.重要业务操作日志（如：业务流程跟踪模块）。 3.2要求点：应保证审计记录受到保护，避免受到未预期的删除、修改或 覆盖 要点：取消日志不允许清除。
1.2要求点：应提供登录失败处理功能，可采取结束会话、限制非法登录次数和 自动退出等措施； 要点：没有登录失败处理功能，应及时升级业务基础平台版本，并启用登录失败 处理功能。
应用系统
1、身份鉴别
1.3 要求点：应对同一用户采用两种或两种以上组合的鉴别技 术实现用户身份鉴别；
要点：推广用户名/密码+PKI的双因子认证方式。
•
2、安全管理机构
– 设置专职的安全管理员，安全管理员大多兼任其他管理岗位； – 安全专责以外的相关人员安全职责不明确，安全责任未分解到个人。
•
3、人员安全管理
– 定期对人员进行岗位技能和安全知识的考核。 – 第三方人员的管控力度欠缺。
•
4、系统建设管理
– 描述对系统的安全保护要求、策略和措施等内容形成系统的安全方案，无法形成能指导 安全系统建设详细设计方案； – Fra Baidu bibliotek统交付时，缺乏安全性测试，无安全测试报告。
主机系统
2、访问控制
• 大多数数据库应用帐户存在DBA权限；整改要点：回收应用帐户DBA权 限，开发商部署系统时，严格控制账户权限。测试账号使用后及时收 回。（高） • 部分主机存在多余的服务如：Telnet、FTP、SendMail服务没有禁用； 整改要点：禁用多余的主机网络服务。在部署时，实施安全测试。 （较高） • 部分非windows操作系统存在多余默认帐户没有锁定。整改要点：禁 用多余的主机默认账户。 • 建议：要求第三方人员对主机、数据库系统运维统一通过运维审计系 统；数据库尽量避免pl-sql方式登录，建议采用加密方式连接到主机， 在本地运维数据库。
信息安全等级保护常 见风险及建议
2009年7月
应用系统
1、身份鉴别 1.1要求点：应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系 统中不存在重复用户身份标识，身份鉴别信息不易被冒用；
要点：密码策略要求：1）管理员帐号口令长度至少设置为8 位，口令必须从字符 （a-z，A-Z）、数字（0-9）、符号（~!@#$%^&*()_<>）中至少选择两种进行组 合设置。2）普通用户帐号口令长度至少设置为6 位，由非纯数字或字母组成，不 能使用容易猜解的口令。应用系统管理员账户的口令至少每半年更改一次；并且 每次更新的口令不得与旧的口令相同。
应用系统
5、容错与资源控制
5.1要求点：应提供数据有效性检验功能，保证通过人机接口输入或通过 通信接口输入的数据格式或长度符合系统设定要求； 要点：对用户上传没有做过滤。建议对用户上传做白名单过滤，应禁 止EXE、jsp、asp等格式文件上传。
主机系统
1、身份鉴别
• 要点：完善主机密码策略，数据库密码策略。 数据库密码策略建议在系统部署时实施。 • 要点:配置加固，启用主机失败处理、超时 退出功能。 • 要点:关闭telnet服务,采用加密方式对主机远 程管理.（高）
•
5、系统运维管理
– 定期对网络设备和系统进行漏洞扫描与生成漏洞扫描报告。
人员安全 运维人员控制
禁止与生产环境的连接，禁止远程维护 专用的开发、测试环境
全程运维审计记录与控制
严格控制管理员权限（最小授权法） 严格的变更申请流程 明确系统管理员与第三方的连带责任
13
谢 谢！
• 大多数用户都加入域，但域的安全 策略未推到终端 • 本机用户权限过高，导致域策略失 效
客户端防病毒分析 • 未能周期性监控病毒报表 • 对大量爆发病毒机器未能及时处理 • 部分中断病毒爆发高风险状态，未 能及时更正 • 个别县局没有企业防病毒、AD域 管理，事件驱动式运维。
总体情况－管理类
• 1、安全管理制度
应用系统
4、保密性
4.1要求点：在通信双方建立连接之前，应用系统应利用密码技术进行 会话初始化验证；
要点：用户鉴别信息明文传输。保密性要求：用户密码和敏感业务信息 应加密传输。
4.2要求点：应采用加密或其他保护措施实现鉴别信息的存储保密性。 要点：鉴别信息在数据库明文存储，建议对用户密码在数据库密文存储。
主机系统
3、入侵防范 • 少数主机、数据库存在高风险漏洞（补丁）；（高） 建议：修复主机、数据库存在的高风险补丁漏洞； • 少数数据库、中间件存在弱口令。（高） 4、资源控制 • 部分主机没有设置操作超时退出；整改建议：配置 timeout参数，进行安全加固。
客户端安全
AD域问题分析
技术上： • 建议统一终端管理策略 • 强化防病毒系统报表的分析和病毒处 理 •制定不同类型域策略模板，并且进行 推送 •完善端点准入 •县局增加终端防护技术手段 管理上： •对各个部门人员进行上网安全培训， 并且进行考核。 •联合安监部门对客户端安全问题进行 通报，纳入绩效考核 禁止内网使用无线网络 定期检查机制
应用系统
2、访问控制 要求点：应由授权主体配置访问控制策略，并严格限制默认账户的访问权限；
要点：admin用户可以参与业务流程，存在多个默认管理员账户。管理员账户不能参 与业务流程、测试工作，一般情况只能有一个最高权限账户，并及时删除测试、过期 帐号。
应用系统
3、安全审计
3.1要求点：应提供覆盖到每个用户的安全审计功能，对应用系统重要安 全事件进行审计 要点：目前日志审计信息不全。要求审计日志应至少包括以下：1.用户登 录、登出失败登录日志；2.管理员账户授权操作日志；3.创建、删除用户日 志；4.重要业务操作日志（如：业务流程跟踪模块）。 3.2要求点：应保证审计记录受到保护，避免受到未预期的删除、修改或 覆盖 要点：取消日志不允许清除。
1.2要求点：应提供登录失败处理功能，可采取结束会话、限制非法登录次数和 自动退出等措施； 要点：没有登录失败处理功能，应及时升级业务基础平台版本，并启用登录失败 处理功能。
应用系统
1、身份鉴别
1.3 要求点：应对同一用户采用两种或两种以上组合的鉴别技 术实现用户身份鉴别；
要点：推广用户名/密码+PKI的双因子认证方式。