电力公司信息系统等级安全项目三级系统域建设方案.doc

《电力公司信息系统等级安全项目三级系统域建设方案.doc》由会员分享，可在线阅读，更多相关《电力公司信息系统等级安全项目三级系统域建设方案.doc（55页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、电力公司信息系统等级安全项目三级系统域建设方案1.1 概述与建设目标三级系统域是依据等级保护定级标准而将国家电网公司的应用系统定为三级的所有系统的集合，按等级保护方法将等级保护定级为三级的系统独立成域进行安全防护建设。省公司三级系统主要包括电力市场交易系统、财务管理系统，营销管理系统为二级系统，但按照国家电网公司要求需按照三级系统进行防护。省公司三级系统域等级保护建设目标是落实信息安全技术信息安全等级保护基本要求中三级系统各项指标和要求，实现信息系统三级系统独立分域，完善三级系统边界防护、配置合理的网络环境、增强主机系统安全防护及三级系统各应用的安全。针对信息安全技术信息安全等级保护基本要求中

2、三级系统各项指标和要求，为保障其稳定、安全运行，本方案从物理安全、网络安全、主机系统、应用安全和数据安全与备份等五个层面进行等级保护建设。1.2 物理安全根据国家电网公司“三基”建设方案要求，省公司及地市公司物理安全均按照信息安全技术信息安全等级保护基本要求中三级系统要求进行建设。1.2.1 物理安全建设目标省公司及地市公司机房均需按照信息安全技术信息系统安全等级保护基本要求三级系统机房物理环境要求，并参照国家电网公司信息机房设计及建设规范的相关内容，对机房进行等级保护建设和改造，建设目标如下：1) 机房物理位置合适，环境控制措施得当，具有防震、防风、防水、防火、防尘、防盗、防雷、防静电以及温

3、湿度可控等安全防护措施。2) 机房管理措施全面得当，如：出入管理规范、卫生管理规范、值班巡视制度等等，保障各业务系统稳定、安全的运行。3) 电力冗余设计，从而保障公司各业务系统在遇断电、线路故障等突发事件时能正常稳定运行。4) 机房各类指标应满足信息安全技术信息系统安全等级保护基本要求三级系统机房物理环境要求中的必须完成项。1.2.2 机房感应雷防护措施省公司及19个下属公司信息机房均增加防雷保安器，防止感应雷的产生。感应雷的防护措施是对雷云发生自闪、云际闪、云地闪时，在进入建筑物的各类金属管、线上所产生雷电脉冲起限制作用，从而保护建筑物内人员及各种电气设备的安全。1.2.3 物理访问控制根据

4、系统级别、设备类型等将全省各信息机房进行区域划分，分为网络设备区、主机和服务器区等，区域之间应设置物理隔离装置，如隔墙、玻璃墙等；针对等待交付系统应设置过渡区域，与安装运行区域应分开。对于未安装门禁系统的信息机房，在入口处安装电子门禁系统，控制、鉴别和记录进入人员；电子门禁系统应具有安全资质，能够有效的鉴别并记录进入人员的身份。1.2.4 防盗措施根据国家电网公司信息机房管理规范要求，公司信息机房应使用光、电等技术配置机房防盗报警系统，报警系统满足以下要求：5) 防盗监控系统覆盖机房每一个位置，定期对监控画面数据进行查阅和备份；6) 使用光、电技术探测机房内重要设备的物理位置，当物理位置发生变

5、化时，可自动报警；7) 防盗报警系统实现现场报警（如蜂鸣）和远程报警（电话或短信息）。1.2.5 防火措施根据国家电网公司信息机房设计与建设规范的要求，对下属个公司机房进行相应的调整和改造，具体方案如下：8) 主机房、基本工作间应设二氧化碳或卤代烷、七氟丙烷等灭火系统，并按现行有关规范要求执行。9) 机房应设火灾自动报警系统，并符合现行国家标准火灾自动报警系统设计规范的规定。10) 报警系统和自动灭火系统应与空调、通风系统联锁。空调系统所采用的电加热器，应设置无风断电保护。11) 机房安全，除执行以上的规定外，应符合现行国家标准计算站场地安全要求的规定。12) 凡设置二氧化碳或卤代烷、七氟丙烷

6、固定灭火系统及火灾探测器的机房，其吊顶的上、下及活动地板下，均应设置探测器和喷嘴。13) 主机房应安装感烟探测器。当设有固定灭火器系统时，使用感烟、感温两种探测器的组合对机房内进行探测。14) 主机房和基本工作间应安装消防系统，主机房应配置灭火设备。15) 机房出口必应向疏散方向开启且能自动关闭的门，门应是防火材料，并应保证在任何情况下都能从机房内打开。16) 凡设有卤代烷灭火装置的机房，应配置专用的空气呼吸器或氧气呼吸器。17) 机房内存放记录介质应使用金属柜或其他能防火的容器。1.2.6 防水和防潮针对地市公司机房存在的防水与防潮安全防护问题，并结合国建电网公司信息机房设计与建设规范中机房

7、给水排水要求，机房防水盒防潮整改方案如下：18) 在机房内应安装水敏感检测仪（水敏感测试仪应按机房建设规范的要求进行安装）；19) 对机房进行防水防护，将水敏感仪器与报警系统相连，对机房水状况进行实时监控。1.2.7 电磁防护针对19个下属公司机房现状与等级保护三级系统物理安全方面存在的差距，结合国家电网公司信息机房管理规范，给出整改方案如下：20) 机房应采用活动静电地板。机房应选用无边活动静电地板，活动地板应符合现行国家标准防静电活动地板通用规范的要求。敷设高度应按实际应要确定，为150500mm，并将地板可靠接地。21) 主机房内的工作台面及坐椅垫套材料应是导静电的，其体积电阻率为 1.

8、01071.01010cm。22) 主机房内的导体必须与大地作可靠的连接，不得有对地绝缘的孤立导体。23) 导静电地面、活动地板、工作台面和坐椅垫套必须进行静电接地。24) 静电接地的连接线要有足够的机械强度和化学稳定性，导静电地面和台面采用导电胶与接地导体黏结时，其接触面积不宜小于10cm2。25) 主机房内绝缘体的静电电位不能大于1kV。26) 将机房内电源线和通信线缆隔离，并采用接地的方式防止外接电磁干扰和设备寄生耦合干扰，可将电源线和通信线缆垂直铺设，进一步减少电磁干扰。1.3 网络安全建设方案根据业务的不同和所涉及的不同等级业务系统，网络建设方案分为省公司和地市公司进行。1.3.1

9、网络安全建设目标按照信息安全技术信息系统安全等级保护基本要求对省公司及地市公司网络安全进行建设，以满足国家电网公司“SG186”工程总体防护方案的设计规范，建设目标如下：27) 满足双网隔离的基本要求，即内外网间采用逻辑强隔离设备进行隔离。28) 边界安全防护措施到位，满足信息安全技术信息系统安全等级保护基本要求，如边界访问控制措施、远程安全接入、入侵检测等。29) 安全域划分合理，内网根据业务系统等级保护定级，将三级系统独立成域，二级系统统一成域，并划分桌面终端域；外网分为应用系统域和桌面终端域。30) 针对网络设备进行安全防护，如：安全接入控制、设备安全管理、设备安全加固、安全日志审计、设

10、备链路冗余等。1.3.2 建设方案根据信息安全测评结果，省公司和下属个公司信息网络中网络设备及技术方面主要存在以下问题：31) 网络设备的远程管理采用明文的Telnet方式；32) 部分网络设备采用出厂时的默认口令；33) 交换机、IDS等未开启日志审计功能，未配置相应的日志服务器；34) IDS为C/S控制模式，管理服务器地址、登录等未作访问控制;35) 防火墙目前为网段级的访问控制，控制粒度较粗；36) IDS登录身份鉴别信息复杂度较低，口令简单并未定期更换；37) 未开启网络设备登录失败处理功能，未限制非法登录次数，当网络登录连接超时时未设置自动退出等措施；38) 缺少对内部网络中出现的

11、内部用户未通过准许私自联到外部网络的行为进行检查与监测措施；39) 未限制网络最大流量数及网络连接数。针对以上问题，结合信息安全技术信息安全等级保护基本要求，整改方案如下：40) 关闭防火墙、交换机和IDS的telnet服务，启用安全的管理服务，如SSH和https。部分不支持SSH的交换机应在交换机上限制可telnet远程管理的用户地址，实施配置如下（以思科交换机为例）：Router#config terminalRouter(config)#access-list 10 permit tcp 10.144.99.120 0.0.0.0 eq 23 any（只允许10.144.99.120机

12、器telnet登录，如需配置某一网段可telnet远程管理，可配置为：access-list 10 permit tcp 10.144.99.1 0.0.0.255 eq 23 any）Router(config)#line vty 0 4（配置端口0-4）Router(Config-line)#Transport input telnet（开启telnet协议，如支持ssh，可用ssh替换telnet）Router(Config-line)#exec-timeout 5 0Router(Config-line)#access-class 10 inRouter(Config-line)#en

13、dRouter#config terminalRouter(config)#line vty 5 15Router(Config-line)#no login(建议vty开放5个即可，多余的可以关闭)Router(Config-line)#exitRouter(Config)#exitRouter#write41) 修改网络设备出厂时的默认口令，且修改后的口令应满足长度大于等于8位、含字母数字和字符的强度要求，其它不满足此口令强度要求的，均需要进行修改。IDS验收后，需及时修改口令；交换机需修改其SNMP口令串；防火墙口令应满足口令强度要求。交换机SNMP口令串修改实施步骤如下（以思科交换机为

14、例）：Router#config terminal Router(config)# no snmp-server community COMMUNITY-NAME1 RO （删除原来具有RO权限的COMMUNITY-NAME1）Router(config)# snmp-server community COMMUNITY-NAME RO （如需要通过snmp进行管理，则创建一个具有读权限的COMMUNITY-NAME，若COMMUNITY-NAME权限为RW,则将命令行中RO更改为RW）Router(config)# snmp-server enable traps （允许发出Trap）Rou

15、ter(config)#exitRouter#write42) 交换机、IDS和防火墙等应开启日志审计功能，并配置日志服务器保存交换机、IDS和防火墙的日志信息。以思科交换机为例，日志审计和日志收集存储于服务器实施配置如下：Route#config terminalRoute(config)#logging on （启用日志审计） Route(config)#logging console notification （设置控制等级为5级：notification）Route(config)#!Set a 16K log buffer at information level Route(con

16、fig)#logging buffered 16000 information （设置其大小为16K）Route(config)#!turn on time/date stamps in log messages Route(config)#service timestamp log datetime msec local show-timezone Route(config)#!set monitor logging level to level 6 Route(config)#logging monitor information Route(config)#exit Route#!mak

17、e this session receive log messages Route#terminal monitor Route#config terminal Route(config)#logging trap information （控制交换机发出日志的级别为6级：information）Route(config)#logging 192.168.10.188 （将日志发送到192.168.10.188，如需修改服务器，可采用Route(config)#no logging 192.168.10.188删除，然后重新配置日志服务器）Route(config)#logging facil

18、ity local6 Route(config)#logging source-interface FastEthernet 0/1 （设置发送日志的以太网口）Route(config)#exit Route#config terminal Route(config)#logging trap information Route(config)#snmp-server host 192.168.10.1 traps public （配置发送trap信息主机）Route(config)#snmp-server trap-source Ethernet 0/1 Route(config)#snmp

19、-server enable traps syslog Route(config)#exitRoute# write43) 对IDS管理服务器地址和登录设置访问控制。在交换机和防火墙上配置访问控制策略，限制仅管理员用户可进行管理和登录。交换机上配置访问控制策略ACL，限定仅管理员用户可进行管理和登录IDS服务器；在防火墙上设置策略限制可访问IDS的用户策略。通过交换机和防火墙的策略设置，限制IDS的管理员登录地址。整改防火墙上的访问控制策略粒度，使其从现在的网段级调整为单个用户级。以思科交换机为例，配置IDS管理服务器地址访问策略如下：Router#config terminal Router

20、(config)# access-list 101 permit tcp 172.16.3.128 0.0.0.255 172.16.0.252 0.0.0.3 eq 8080 log（注：主机地址为假设，实际整改中按真实地址）44) 根据国家电网公司信息系统口令管理规定制定或沿用其以管理省公司网络设备口令。国家电网公司信息系统口令管理规定具体内容如下：第四条口令必须具有一定强度、长度和复杂度，长度不得小于8位字符串，要求是字母和数字或特殊字符的混合，用户名和口令禁止相同。第五条个人计算机必须设置开机口令和操作系统管理员口令，并开启屏幕保护中的密码保护功能。第六条口令要及时更新，要建立定期修改

21、制度，其中系统管理员口令修改间隔不得超过3个月，并且不得重复使用前3次以内的口令。用户登录事件要有记录和审计，同时限制同一用户连续失败登录次数，一般不超过3次。45) 所有网络设备均应开启网络设备登录失败处理功能、限制非法登录次数、当网络登录连接超时时自动退出等措施。以思科交换机为例，网络登录连接超时时自动退出实施如下：Router#config terminalRouter(Config)#line con 0 配置控制口Router(Config-line)#exec-timeout 5 0 设置超时5分钟Router(Config-line)#exitRouter(Config)#exi

22、tRouter#write46) 部署桌面管理系统，对内部网络中的用户网络连接状态进行实时监控，以保证内部用户不可私自联到外部网络；配置桌面管理系统策略，对私自连接到外网的内部用户进行准确定位并阻断内外网互通。47) 在交换机上限制网络最大流量数及网络连接数。以思科交换机为例，实施配置如下：Router#config terminal Router(config)# access-list 101 deny tcp 172.16.3.0 0.0.0.255 any www（禁止172.16.3.0网段访问Internet）Router(config)# access-list 102 deny

23、 tcp 172.16.5.0 0.0.0.255 any ftp（禁止172.16.5.0网段ftp服务）Router(config)# ip nat translation max-entries 172.16.55.0 0.0.0.255 200（限制172.16.55.0网段的主机NAT的条目为200条）Route(config)#exitRoute# write48)1.4 主机安全1.4.1 主机安全建设目标公司三级系统分别为财务管理系统、营销系统和电力市场交易系统等共3个三级系统。针对省公司及地市公司三级系统主机存在的问题，结合信息安全技术信息安全等级保护基本要求，从主机身份鉴别

24、、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范和资源控制等方面给出三级系统主机等级保护建设方案，对主机操作系统、数据库系统进行安全加固，使之满足信息安全技术信息安全等级保护基本要求中关于主机的安全防护要求。1.4.2 主机身份鉴别省公司及地市公司主机身份鉴别现状与等级保护要求存在一定的差距，需完善以下几点：49) 对登录操作系统的用户进行身份标识和鉴别；50) 操作系统系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；51) 启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；52) 对服务器进行远程管理时，应采取必要措施，防止鉴别信息在

25、网络传输过程中被窃听；53) 应使用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。整改措施：54) 应对登录操作系统的管理员用户和普通用户均设置口令；删除操作系统中过期的账户，修改操作系统中默认帐户和口令，检查操作系统中是否存在相同用户名的账户。操作系统操作方式AIX1. 检查/etc/passwd:密码域中存在“*”的帐户，删除不必要的账户，或增设口令；WINDOWS1. 删除非法帐号或多余帐号，更改默认管理员帐号，将原Administrator名称改成不被人熟识的帐户，新建一个普通用户，将其重命名为Administrator，并将其权限设为最低，口令复杂度为32位以上；2. 选择“本

26、地用户和组”的“用户”，可设置口令、删除或禁用非必需账户或禁用Guest账户。注：管理员账号Administrator重命名后，可能会导致某些服务不能用，如SQL Server数据库可能无法启动，修改前，需在备机上进行测试运行一周时间，无任何问题，再在主机上进行修改。55) 增强操作系统口令强度设置： 操作系统操作方式AIX1. 修改passwd参数：/etc/security/user- maxage=30 口令最长生存期30天- maxrepeat=4 每个口令在系统中重复出现的次数- minalpha=4 口令中最小含有的字符个数- mindiff=2 新口令不同于旧口令的最小个数 -

27、minlen = 8 口令最短长度（包含字母、数字和特殊字符）WINDOWS1. 修改“密码策略”，开启复杂性要求，设置口令最小长度等：密码复杂性要求启用密码长度最小值8字符密码最长存留期30天密码最短存留期0天复位帐户锁定计数器10分钟帐户锁定时间10分钟帐户锁定阀值5次注：设置密码策略后可能导致不符合密码策略的帐号无法登录。在修改密码策略前，需修改不符合帐号策略的密码使其符合策略要求，最后再修改密码策略。56) 启用登录失败处理功能，应设置限制非法登录次数和自动退出等措施。操作系统操作方式AIX1. 配置登录策略：修改/etc/security/login.cfg文件logindelay=

28、3 失败登录后延迟3秒显示提示符logindisable=5 5次失败登录后锁定端口logininterval=60 在60秒内3次失败登录才锁定端口loginreenable15 端口锁定15分钟后解锁2. 增加或修改/etc/profile文件中如下行：TMOUT=600 ;WINDOWS1. 修改“账户锁定策略”，设置帐户锁定相关设置：复位账户锁定计数器 15分钟账户锁定时间 15分钟账户锁定阈值 5次57) 当对服务器进行远程管理时，对于UNIX类服务器，用当前稳定版本的SSH等安全工具取代明文传输的telnet，并及时升级，保证传输数据的安全性；对于windows类服务器，关闭不必要

29、的telnet服务，采用加密或认证的方式保证数据才网络传输过程中的保密性、完整性和可用性。操作系统操作方式AIX1. 增加或修改/etc/security/user文件中如下行root: admin = true SYSTEM = compat loginretries = 0 account_locked = false rlogin=false如果无法禁用telnet服务，也可使用TCP wrapper、防火墙或包过滤技术禁止不可信IP对telnet服务（例如 23/TCP端口）访问。WINDOWS1. 禁用不需要的服务，如remote Registry 、telnet等（远程管理注册表，

30、开启此服务带来一定的风险）2. 采用其他加密的远程桌面管理软件代替远程桌面管理，或者在远程桌面管理上启用证书认证系统。注：应用系统或程序可能对特定的系统服务有依赖关系，在未确定某个服务是否需要前，请勿关闭该服务，否则会影响应用系统或程序的正常运行。58) 使用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。对于操作系统和数据库管理员帐户采用以下两种以上身份鉴别技术的组合来进行身份的鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备、生物识别技术和数字证书方式的身份鉴别技术中的任意两个组合），并且有一种是不易伪造的（如数字证书或生物识别技术）。1.4.3 访问控制省公司及地市公司主机身份

31、鉴别现状与等级保护要求存在一定的差距，应完善以下几点：59) 启用访问控制功能，依据安全策略控制用户对资源的访问；60) 根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；61) 实现操作系统特权用户的权限分离；62) 限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；63) 及时删除多余的、过期的帐户，避免共享帐户的存在；64) 对重要信息资源设置敏感标记；65) 依据安全策略严格控制用户对有敏感标记重要信息资源的操作。整改措施：66) 在交换机和防火墙上设置不同网段、不同用户对服务器的访问控制权限；关闭操作系统开启的默认共享，对于需开启的共

32、享及共享文件夹设置不同的访问权限，对于操作系统重要文件和目录应设置权限要求。操作系统操作方式AIX1. 修改普通用户对下列文件的权限：/bin；/sbin；/etc；/etc/passwd；/etc/group；/usr/bin；WINDOWS1. 修改访问控制策略，将注册标中restrictanonymous值改为1；2. 删除不必要的共享文件夹或修改其权限，重要共享文件夹的权限属性不能为everyone完全控制。67) 设置不同的管理员对服务器进行管理，如可分为系统管理员、安全管理员、安全审计员等以实现操作系统特权用户的权限分离，并对各个帐户在其工作范围内设置最小权限，如系统管理员只能对系

33、统进行维护，安全管理员只能进行策略配置和安全设置，安全审计员只能维护审计信息等。68) 限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；删除操作系统和数据库中过期或多余的账户，禁用无用帐户或共享帐户。操作系统操作方式AIX1. 禁用 文件/etc/security/user中，sys, bin, uucp, nuucp, daemon等系统默认帐户。WINDOWS1. 修改administrator名称，将原Administrator名称改成不被人熟识的帐户，同时将一个普通帐户名称改成Administrator，登录普通帐户执行系统所有操作；2. 禁用Guest账号。69)

34、 根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。操作系统操作方式AIX1. 更改默认口令。使用smit或增加、修改/etc/security/user下各用户的设置：将su=true更改为su=falseWINDOWS1. 修改管理用户的权限70) 必须对重要信息资源设置敏感标记，满足国家电网公司三级系统域安全防护方案中敏感信息防护要求。必须依据安全策略严格控制用户对有敏感标记重要信息资源的操作，要求如下：u 在数据连接访问建立之前必须进行接口认证，认证方式可采用共享口令、用户名口令等方式；u 共享口令或用户名口令认证时，应对口令长度、复杂度、生存周期等进行

35、强制要求（按照国家电网公司信息系统口令管理规定设置各项要求）；u 在认证过程中所经网络传输的口令信息应当禁止明文传送；可通过哈希（HASH）单向运算、SSL加密、SSH加密等方式实现；u 应具有在请求的情况下为数据原发者或接收者提供数据原发或接收证据的功能，使用PKI或其他技术实现。1.4.4 安全审计省公司及地市公司主机安全审计现状与等级保护要求存在一定的差距，其不符合等级保护要求项主要以下几点：71) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；72) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；73) 审计记录应包

36、括事件的日期、时间、类型、主体标识、客体标识和结果等；74) 应保护审计记录，避免受到未预期的删除、修改或覆盖等。75) 应能够根据记录数据进行分析，并生成审计报表；76) 应保护审计进程，避免受到未预期的中断。整改措施：77) 审计范围必应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。操作系统操作方式AIX1. 开启syslog功能：正在审查 关bin 处理 关审查事件 无审查目标 无审核未启用1. ftp审计。缺省情况下，系统不会记录使用FTP连接和传输文件的日志，这会对系统造成安全隐患，尤其在用户使用匿名ftp方式时。为了避免这种情况发生，可用如下的步骤使系统记录FTP的日志

37、：1）修改/etc/syslog.conf文件，并加入一行：daemon.info ftplog其中FileName是日志文件的名字， 它会跟踪FTP的活动，包括匿名和其他用户ID。FileName文件必须在做下一步骤前创建。2）运行refresh -s syslogd命令刷新syslogd 后台程序。3）修改/etc/inetd.conf文件，修改下面的数据行：ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd -l4）运行“refresh -s inetd”命令刷新inetd后台程序。WINDOWS1. 开启日志审计功能；修改普通用户对日志等安全

38、审计方式的权限配置，只有管理员用户有查看、修改、删除等权限；78) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件。操作系统操作方式AIX1. 更改默认口令，防止su。使用smit或增加、修改/etc/security/user下各用户的设置：将su=true更改为su=falseWINDOWS1. 修改安全审计策略：审核策略更改成功审核登录事件成功, 失败审核对象访问成功, 失败审核过程追踪无审核审核目录服务访问无审核审核特权使用无审核审核系统事件成功, 失败审核帐户登录事件成功, 失败审核帐户管理成功, 失败79) 审计记录包括事件的日期、时间

39、、类型、主体标识、客体标识和结果等；操作系统操作方式AIX1. 修改日志文件，审核记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；WINDOWS1. 修改“事件查看器”的属性配置：日志类型大小覆盖方式应用日志16384K覆盖早于30天的事件安全日志16384K覆盖早于30天的事件系统日志16384K覆盖早于30天的事件修改“事件类型”、“事件来源”等属性为 “全部”；80) 保护审计记录，避免受到未预期的删除、修改或覆盖等。操作系统操作方式AIX1. 利用chmod命令修改审计记录文件的操作权限，以保证日志记录文件仅root用户可访问和修改。WINDOWS1. 修改“事件查看器”

40、的安全属性配置：“组或用户名称”：修改为只有系统管理用户，删除Everyone；“用户权限” ：根据需要进行“完全控制”、“修改”、“写入”等权限的配置；81) 审计记录必应能根据记录数据进行分析，并生成审计报表；操作系统操作方式AIX1. 对审计记录进行备份，根据日志分析的需求，使日志生成报表，报表需对日志记录进行分类，以便日志的分析。WINDOWS1. 对审计记录进行备份，根据日志分析的需求，使日志可生成报表，报表需对日志记录进行分类，以便日志的分析。82) 应保护审计进程，避免受到未预期的中断；操作系统操作方式AIX修改审计进程权限，使其仅可root用户进行访问和操作；WINDOWS启用

41、“本地安全设置”中“本地策略”“安全选项”中：“审计：对备份和还原权限的使用进行审计”“审计：对全局系统对象的访问进行审计”“审计：如果无法记录安全审计则立即关闭系统”1.4.5 剩余信息保护省公司及地市公司主机剩余信息保护现状与等级保护要求存在一定的差距，其不符合等级保护要求项主要以下几点：83) 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；84) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。整改措施：采用剩余信息保护系统完全清除系统中的残余信息

42、，确保数据不被恶意恢复而造成信息泄露。剩余信息保护系统必须对数据完全擦除，不留痕迹，可以对单个文件、文件夹以及磁盘剩余空间做完全清除。保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除；确保系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。1.4.6 入侵防范省公司及地市公司主机入侵防范现状与等级保护要求存在一定的差距，应完善以下几点：85) 操作系统需遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。86) 检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目

43、的、攻击的时间，并在发生严重入侵事件时提供报警；87) 应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施。整改措施：88) 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。操作系统操作方式AIX1. 最新补丁可以在下面的URL里找到：http:/ 禁用TCP/UDP 小服务：在 /etc/inetd.conf 中，对不需要的服务前加#，表示注释此行，格式如下：#echo stream tcp nowait root internal#echo dgram udp wait root internal#dis

44、card stream tcp nowait root internal#discard dgram udp wait root internal#daytime stream tcp nowait root internal#daytime dgram udp wait root internal#chargen stream tcp nowait root internal#chargen dgram udp wait root internal按上述方法，注释fingerd、uucp、tftp、talk、ntalk、rquotad、rexd、rstatd、rusersd、rwalld、s

45、prayd、pcnfsd、ttdbserver、cmsd等服务。3. 禁用Sendmail、SNMP服务：编辑文件/etc/rc.tcpip 中，在Sendmail、SNMP服务前加#，表示注释此行，格式如下：#start /usr/lib/sendmail $src_running -bd -q$qpi#start up snmp#start /usr/sbin/snmp $src_runningWINDOWS1. 安装最新的补丁。使用WSUS或从http:/ 下载最新的安装补丁进行安装。2. 关闭非必需服务：常见的非必需服务有：Alerter 远程发送警告信息Computer Browser 计算机浏览器：维护网络上更新的计算机清单Messenger 允许网络之间互相传送提示信息的功能，如 net sendremote Registry 远程管理注册表，开启此服务带来一定的风险Print Spooler 如果相应服务器没有打印机，可以关闭此服务Task Scheduler 计划任务，查看“控制面板”的“任务计划”中是否有计划，若有，则不关闭。SNMP 简单网管协议，如启用网管应用则不关闭。3. 关闭空连接：编辑注册表如下键值：HKLMSYSTEMCurrentControlSetControlLsa“restrictanonymous”的值修改为“1”，类型为REG_DW