等级保护三级操作系统安全测评指导书

安装防范软件并升级 8 恶意代码防范
主机和网络防范软件代码 访谈： 库不同 询问系统管理员网络防病毒软件和主机防病毒软件分别采用什么病毒库。 支持统一管理 访谈： 询问系统管理员是否采用统一的病毒更新策略和查杀策略。
第 4 页，共 6 页
序号
测评指标
测评项
检测方法
预期结果
单个用户多重并发会话
访谈： 询问系统管理员是否在系统层面和应用软件层面对单个用户的多重并发会话进行控 对单用户多重并发会话进行限制。 制，并进行核查。 访谈： 询问系统管理员是否有相关策略对系统资源和应用软件的最大并发会话数进行控 制，如用 no 对网络连接数进行限制。 手工检查： 1）查看并记录/etc/security/limits 和/etc/pam.conf。 2）查看是否采用主机防火墙等机制对网络连接数进行限制。
对用户管理启用一定安全策略。
登陆失败处理
对用户登录进行限制。
鉴别警示功能
存在警告性 banner 信息。
对相连设备进行身份标识 访谈： 和鉴别 询问管理员是否使用证书等方式对设备身份进行鉴别。
采取技术手段对相连 设备进行身份鉴别。
远程管理加密
手工检查： 执行命令 ps -ef | grep ssh，或者 netstat -an | grep 22，确认 ssh 服务是 没有使用 telnet、 http 等明文网络协议 否开启； 。 第 1 页，共 6 页 应保证使用加密的网络协议进行远程管理，放弃使 用 telnet 等明文协议。
AIX操作系统安全测评
序号 测评指标 测评项 检测方法 手工检查： 1)在 root 权限下，使用命令 #cat /etc/passwd #cat /etc/security/passwd 查看用户名和对应的 uid，确认是否存在相同 uid 的账户； 手工检查： 方法一： 在 root 权限下，使用命令 #pwdck -n ALL 返回结果应为空； 方法二：在 root 权限下，使用命令 #cat /etc/passwd #cat /etc/security/passwd 查看文件中各用户名状态，记录密码一栏为空的用户名。 预期结果
身份标识唯一性
身份标识唯一，不存在相同 uid 用户。
身份标识和鉴别
不存在密码为空的用户。
组合身份鉴别技术
访谈： 访谈系统管理员，询问系统除用户名口另外有无其他身份鉴别方式，如生物鉴别、 采取组合身份鉴别技术。 令牌、动态口令等。
1
身份鉴别
手工检查： 管理用户身份标识不被冒 在 root 权限下，使用命令 用 # cat /etc/security/user 查看该文件的内容，并对输出内容全部记录。 手工检查： 在 root 权限下，使用命令 #cat /etc/security/login.cfg 查看该文件的内容，记录下全部输出。 手工检查： 在 root 权限下，使用命令 #cat /etc/ssh/sshd_config #cat /etc/motd 查看系统登录时的 banner 信息。
审计进程保护 审计记录保护
5
系统保护
访谈： 系统遭破坏后能以自动或手动方式恢复运 手动或自动方式恢复运行 访谈系统管理员，询问哪些故障或其他原因会导致服务器系统中断，中断后能否以 行。 手动或自动方式恢复运行，是否有相应的操作规程，以前是否有类似事件发生。 访谈，核查： 访谈系统管理员，并检查 AIX 操作系统维护手册： 用户鉴别信息被彻底清除。 查看其是否明确用户的鉴别信息存储空间，被释放或再分配给其他用户前的处理方 法和 过程。
最大并发会话连接数
限制系统的最大并发会话数。
访谈： 询问系统管理员是否有相关策略对系统资源和应用软件的最大并发会话数进行控制 一个时间段内可能的并发 。 限制一个时间段内的并发会话连接数。 会话连接数 手工检查： 1）查看并记录/etc/security/limits 和/etc/pam.conf 的全部条目。 2）查看是否采用主机防火墙等机制对网络连接数进行限制。 9 资源控制 多种方式限制终端登录 手工检查： 1)记录/etc/hosts.deny、/etc/hosts.allow 中相关配置参数。 2)若有其他的方式实现此项要求的，如通过路由 ACL、防火墙配置等，亦记录。 对终端登录进行限制。
安装了主机 IDS 软件，或启用了 IDS 功 能。
对重要程序定期进行完整性检测，并保存 备份。
访谈： 1)访谈系统管理员系统目前是否采取了最小安装原则。 系统遵循最小安装和及时更新的原则。 2)记录系统中多余和危险服务，记录系统补丁升级方式和已安装的最新补丁名称。 访谈，核查： 防病毒软件，病毒库更新是否及时，更新周期，是否强制安装。 安装杀毒软件，并合理配置。 存在网络杀毒手段，且和系统杀毒软件病 毒库不相同。 防恶意代码软硬件，应支持统一管理。
预期结果
文件权限、默认共享
重要文件和共享的权限设置合理。
访谈： 覆盖范围：主体、客体、 访谈系统管理员，访问控制的覆盖范围是否包括用户和文件、数据库表，以及它们 访问控制覆盖主体、客体和操作。 操作 之间的读、写或执行操作。 手工检查： 粒度:主体为用户级客体 应检查主要服务器操作系统和主要数据库系统的访问控制列表，查看授权用户中是 访问控制粒度满足要求。 为文件、数据库表级 否存在过期的帐号和无用的帐号等； 访问控制列表中的用户和权限，是否与安全策略相一致。 2 自主访问控制 授权的主体 手工检查： 应检查主要服务器操作系统和主要数据库系统，查看客体（如文 件,数据库表、视 主体得到明确授权。 图、存储过程和触发器等）的所有者是否可以改变其相应访问控制列表的属性，得 到授权的用户是否可以改变相应客体访问控制列表的属性。
访谈： 最小授权原则，且相互制 访谈系统管理员，询问系统是否有完整的安全策略、是否遵循权限分离和最小权限 遵循最小授权原则，且相互制约。 约 原则、系统主要有哪些角色、每个角色的权限是否相互制约、每个系统用户是否被 赋予相应的角色。 特权用户权限分离 帐户整理 访谈： 结合系统管理员的组成情况，判断是否实现了该项要求。 手工检查： 查看是否有多余的、过期的账户，避免共享账户，进行记录。 手工检查： 在 root 权限下，使用命令 #cat /etc/passwd #cat /etc/security/passwd 文件的内容，记录没有被禁用的系统默认用户名。 实现权限分离。 定期对账户进行整理。
4
安全审计
审计记录包含各要素。
审计报表连续、可读且有备份。
特定事件提供实时报警
访谈： 访谈系统管理员，主要服务器操作系统、重要终端操作系统和主要数据库系统能否 支持实时报警。 对特定事件指定实时报警方式（如声音、EMAIL、短信等），并查看对应措施。 访谈： 访谈对审计进程监控和保护的措施。 访谈： 访谈是否采取专用日志服务器等措施，对审计记录进行存储、备份和保护。 对审计进程有保护措施。 审计记录被合理保护。
主机资源监视
对资源使用情况进行监视和记录。
资源报警阀值 特定进程监控 主机账户监控
系统资源达到一定阀值，能够报警。 对重要进程进行监控，对非法进程提供报 警。 对主机账户进行监控和提供告警。
7
入侵防范
访谈，手工检查： 1.访谈并查看入侵检测的措施，如经常通过如下命令查看入侵的重要线索，涉及命 令 主机 IDS #who /etc/security/failedlogin； 2.查看是否开启了防火墙、TCP SYN 保护机制等设置； 3.是否具备 rootkit 检查工具，定期进行 rootkit 检查； 4.询问是否有第三方入侵检测系统，如 IDS，是否开启报警功能。 访谈，核查： 重要程序完整性检测并恢 访谈是否使用一些文件完整性检查工具对重要文件的完整性进行检查，是否对重要 复 的配置文件进行备份。查看备份演示。 系统最小安装并更新
功能开启
开启审计功能。
审计内容：重要用户行为 手工检查： 、系统资 源的异常使用 1)在 root 权限下，查看 auditd 服务的配置文件，即/etc/security/audit/ 目 重要行为等得到审计。 和重要系统命令的使 用 录下文件，记录其内容，重点查看 config 文件，确认重要的行为是否得到记录。 手工检查： 审计记录：日期和时间、 1)检查 audit 日志文件，需要根据 syslog.conf 的定义查看对应的日志文件， 类型、主 体标识、客体 确认是否记录了必要的审计要素。 标识、事件的结果等 2)若有第三方审计工具或系统，则查看其审wk.baidu.com日志是否包括必要的审计要 素。 审计报表 访谈，核查： 访谈并查看对审计记录的查看、分析和生成审计报表情况。
6
剩余信息保护
彻底清除用户鉴别信息
第 3 页，共 6 页
序号
测评指标
测评项
检测方法
预期结果
彻底清除系统敏感信息
手工检查： 检查 AIX 操作系统维护手册： 用户敏感信息被彻底清除。 系统内的文件、目录等资源所在的存储空间，被释放或重新分配给其他用户前的处 理方法和过程。 访谈： 访谈系统管理员，是否对主机的 CPU、硬盘、内存、网络等资源的使 用情况进行监视，并给出资源使用历史记录。 手工检查： cpu 性能：使用 vmstat,topas 来检查内存使用情况： 也是使用 topas，vmstat 来检查 检查 io 平衡使用情况： 使用 iostat 来检查 交换空间使用情况：使用 df -k 来检查 访谈： 系统资源阀值告警。 访谈： 非法进程监视和控制。 访谈： 监视和管理账户变化。
测评指标 强制访问控制
测评项
检测方法
预期结果
访谈： 覆盖范围：主体、客体、 符合强制访问要求，且有明确配置或文档 询问或查看目前的敏感标记策略的相关设置，如：如何划分敏感标记分类，如何设 操作 。 定访问权限等。 手工检查： 粒度：主体为用户级客体 应检查服务器操作系统和主要数据库系统文档，查看强制访问控制是否与用户身份 符合强制访问要求，且有明确配置或文档 为文件、 数据库表级 鉴别、标识等安全功能密切配合，并且控制粒度达到主体为用户级，客体为文件和 。 数据库表级。 手工检查： 1)在 root 权限下，查看系统日志服务 #ps -ef | grep syslog， 和审计服务 #/usr/sbin/audit query， 记录日志服务和安全审计服务是否正常。 2)若有第三方审计工具或系统则记录其运行状态是否正常。
序号
测评指标
测评项
检测方法 手工检查： 在 root 权限下，查看文件权限是否满足以下要求： /etc/filesystems 权限为 664， /etc/hosts 权限为 664， /etc/inittab 权限为 600， /etc/vfs 权限为 644， /etc/security/failedlogin 权限为 644， /etc/security/audit/hosts 权限为 660，记录权限存在问题的目录或文件。
对超时进行处理。
手工检查： 同一用户账号同一时间内 1)查看并记录/etc/security/limits，可以对同一用户在同一时间并发登录进行限 对同一账号并发登陆进行限制。 并发登录 制。 2)查看并记录/etc/pam.conf，pam 用来增强认证机制。 单个用户对系统资源的最 手工检查： 对系统资源的使用进行限制。 大或最小 使用限度 查看并记录/etc/security/limits，可以对单个用户使用的系统 资源进行限制。 访谈，手工检查： 1.了解系统账户的资源分配情况，查看各个分区磁盘占用情况：#df -k，询 问高 对服务水平进行日常检测，并报警。 峰期 CPU 和内存使用情况，询问管理员日常如何监控系统服务水平； 2.第三方监控程序。 访谈： 访谈系统管理员，是否对进程优先级进行区分，并保证高优先级可用，如 nice、 renice 等命令。 区分不同进程的优先级，保证重要进程的 手工检查： 资源得到保证。 查看并记录/etc/security/limit、/etc/security/login.cfg 中 的 auth 字段、 /etc/pam.conf，利用 pam 第 机制可以对不同用户的进程优先级 进行限制。 5 页，共 6 页
手工检查： 操作超时锁定和鉴别失败 查看并记录/etc/profile、/etc/environment、 锁定，解锁或终止方式 /etc/security/.profile 中的 TMOUT 环境变量，查看用户目录中 的.bash_rc 、.bash_profile、.profile 文件中的 TMOUT 环境变量。
限制默认用户访问权限
默认用户的权限合理控制。
重要主体设置敏感标记
手工检查： 1.查看操作系统功能手册或相关文档，确认操作系统是否具备能对信息资源设置敏 符合强制访问要求，且有明确配置或文档 感标记功能； 。 2.询问系统管理员是否对重要信息资源设置敏感标记。
3
强制访问控制
第 2 页，共 6 页
序号 3