等保知识点

Security Classification: 【C-1】 | Publish Time:2024-04-01 | Category:等保 | Edit
Old Version | Diff | Latest Version
Expiry Notice: The article was published three months ago. Please independently assess the validity of the technical methods and code mentioned within. :)

AI Summary: 本文概述了安全物理环境、通信网络、计算环境及数据安全的各项要求与措施，包括物理位置选择、访问控制、防火、防盗窃、网络架构、身份鉴别、访问控制、审计和入侵防范等，旨在确保系统的安全性和数据完整性。 --- (From Model:gpt-4o-mini-2024-07-18)

# 安全物理环境

#### 物理位置选择

机房场地应选择具有防震、防风和防雨的场地内；应避免在建筑物的顶层或地下室，否则应加强防水和防潮措施

#### 物理访问控制

机房出入口应配置电子门禁，控制、鉴别和记录进出人员；检查电子门禁是否能够正常工作、记录

#### 防盗窃和防破坏

应对机房采取设备固定，安装防盗报警系统、视频监控系统等设施；

检查机房内设备或主要部件是否固定，是否设置了明显且不易除去的标记

应将通信电缆铺设倒隐蔽安全处，防止线缆受损

#### 防雷击

应将各类机柜、设施和设备等通过接地系统安全接地，通常黄绿色相间的电线为接地线

应部署防感应雷设施

#### 防火

应设置火灾自动消除系统，能够自动检测火情，自动报警，自动灭火

检查机房是否采用耐火等级的建筑材料

应对机房划分区域并设置隔离防火措施

#### 防水防潮

机房应采取防渗漏措施，应采取防结露和排水设施

应安装对水敏感的检测仪表或元件，检查是否能够正常工作

#### 防静电

应采用防静电地板或地面采用必要的接地防静电措施（静电消除器、防静电手环）

#### 温湿度控制

应设置温湿度自动控制设备，控制**温度在18-27℃**，**湿度在35-75%**

#### 电力供应

应在机房供电线路上配置稳压器和过电压防护设备，防止电力波动对电子设备造成伤害

应提供短期的备用电力供应，配备ups或备用供电系统

应使用冗余或并行的电力电缆线路为计算机系统供电

#### 电磁防护

电源线和通信线缆应隔离铺设，避免互相干扰

对关键设备实施电磁屏蔽

# 安全通信网络

#### 网络架构

应保证网络设备的业务处理能力满足业务高峰期需要，询问采用何种手段对主要网络设备的运行状态进行监控，内存最大使用率不宜超过70%；访谈是否出现过宕机的情况，查看告警日志

应划分不同的网络区域，并按照方便管理和控制的原则为各网络分配区域分配地址；查看相关网络设备配置信息，验证划分的网络区域是否与划分原则一致

避免将重要网络区域部署在边界处，重要网络区域与其他区域之间应采取可靠的技术隔离手段（网闸、防火墙等）

应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统可用性

#### 通信传输

应采用校验技术或密码技术保证通信过程中数据的完整性

测评方法：（1）应检查是否在通信过程中采取保密措施

（2）应测试验证在通信过程中是否对敏感信息字段或整个报文进行加密；使用burp、wireshark等抓包查看

#### 可信验证

要求：可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。

测评方法：

1. 检查服务器的启动，是否实现可信验证的检测过程，查看对哪些系统引导程序、系统程序等进行可信验证
2. 修改重要的系统程序之一和应用程序之一，检查是否能够检测并告警
3. 是否将验证结果形成审计记录送至安全管理中心

# 安全区域边界

#### 边界防护

1. 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信，保证接口的可控性（热点不可控）

测评方法：

（1）访谈网络管理员，询问采用何种技术手段或管理措施对非授权设备私自连接到内部网络的行为进行管控，并验证其有效性

（2）检查所有路由器和交换机等设备闲置端口是否均已关闭

（3）如通过部署内网安全管理系统实现系统准入，检查各终端设备是否进行了统一部署

（4）如采用ip-mac地址绑定的方式进行准入控制，检查接入层网络设备是否配置了ip/mac地址绑定措施

2. 应能够对内部用户非授权连接到外部网络的行为进行检查或限制，如部署终端安全管理系统、或相关策略

#### 访问控制

1. 应对网络边界或区域之间部署网闸、防火墙、路由器等提供访问控制功能的设备或相关组件，根据访问控制策略设置有效的访问控制规则，访问控制策略使用白名单机制
2. 删除多余或无效的访问控制规则，优化访问控制列表

（1）对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出

（2）能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力

（3）应对进出网络的数据流实现基于应用协议和应用内容的访问控制（下一代防火墙）

#### 入侵防范

1. 应在关键网络节点检测、防止或限制从外部、内部发起的网络攻击行为

（1）检查系统和设备是否能够检测从外部发起的网络攻击行为

（2）检查系统和设备的规则库是否已经更新到最新的版本

（3）检查系统和设备配置信息或安全策略是否能够覆盖网络所有关键节点

（4）测试相关系统或设备的安全策略是否有效

2. 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析

（1）检查是否部署网络回溯系统或抗APT攻击系统等

（2）检查系统和设备的规则库是否已经更新到最新的版本

（3）测试验证是否为网络行为进行分析，且能够对未知新型网络攻击的检测和分析

3. 当检测到攻击行为时，记录攻击源地址、攻击类型、攻击目标、时间等，并验证ips等是否有效

#### 恶意代码和垃圾邮件防范

1. 在关键网络节点对恶意代码进行检测和清楚，并维护恶意代码防护机制的升级和更新；若网络层面未作防病毒，主机层面也可弥补

（1）应访谈网络管理员和检测网络拓扑结构，查看网络边界处是否部署了防恶意代码产品（防病毒网关等），功能是否正常开启、使用

（2）询问是否对防恶意代码产品的特征库升级情况，是否为最新版本

（3）测试验证安全策略是否有效

2. 应在关键节点对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新；包括部署透明的防垃圾邮件网关、基于转发的防垃圾邮件系统、安装于邮件服务器的防垃圾邮件软件、以及与邮件服务器一体的防垃圾邮件的邮件服务器等

#### 安全审计

1. 应在网络边界、重要网络节点进行安全审计，覆盖到每个用户，对重要的用户行为和重要安全事件进行审计
2. 审计记录应该包括事件的日期和时间、用户、事件类型、事件是否成功的信息
3. 应对审计日志进行保护，定期备份等，日志至少保存六个月
4. 应对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析

#### 可信验证

测评方法：

# 安全计算环境

## 网络设备

### 身份鉴别

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，密码需有一定的复杂度（字母数字大小写，八位以上）并设置定期更换（三个月）

安全设备对用户身份鉴别除密码技术外还需使用使用口令或者生物技术组合鉴别

### 访问控制

不存在密码为空的用户

应禁用或限制匿名用户、默认用户的访问权限，应重命名或者删除默认用户，修改默认账户的默认的口令

删除或停用多余的、过期的账户

应授予管理用户所需的最小权限，实现权限的隔离，应禁止对管理员同时赋予配置管理员和审计管理员的权限

检查是否进行角色划分（网络管理员、安全管理员、系统管理员等）

应由授权主体（管理员）配置访问控制策略，规定主体对客体的访问规则

### 安全审计

是否开启审计功能，是否覆盖到每个用户，重要事件是否被记录（时间、用户、事件类型、结果）

应对审计日志进行保护，定期备份（至少六个月），应用系统界面不可提供删除日志功能，非审计用户不可中断审计过程

关闭不需要的服务、默认共享和高危端口

### 入侵防范

应在网络边界、核心等重要节点部署安全设备，**服务器**上安装防病毒软件

**应用**方面应对输入数据的有效性进行验证（Sql注入、xss等）

## 服务器设备

### Linux

身份鉴别口令强度等同上

#### 密码策略

Linux中**/etc/login.defs**是登录程序的配置文件，包括密码的最大长度、过期天数等

![image-20240326103025402](https://s2.loli.net/2024/03/26/4gxyqMKLITpCOEH.png)

如果存在/etc/pam.d/system-auth文件的话，则以该文件为准

![image-20240326103413217](https://s2.loli.net/2024/03/26/Kz2q4sQF9ng3mbh.png)

查看/etc/shadow里是否有空密码账户

#### 登录失败处理

进入/etc/pam.d/system-auth查看用户密码输错上限、超时、解锁时间，如下

```
auth required pam_tally2.so onerr=fail deny=3 unlock_time=300 even_deny_root root_unlock_time=300
```

>- onerr=fail 表示定义了当出现错误时的缺省返回值；
>- even_deny_root 表示也限制root用户；
>- deny 表示设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户；
>- unlock_time 表示设定普通用户锁定后，多少时间后解锁，单位是秒；
>- root_unlock_time 表示设定root用户锁定后，多少时间后解锁，单位是秒；

#### 访问控制

对登录的用户分配账户和权限，检查主要目录的权限设置情况，读：（r，4），写：（w，2），执行：（x，1），空：（-，0），文件的权限分为属主，属组，其他用户和用户组权限。

配置文件权限值不能大于644，可执行文件不能大于755

![image-20240326111220532](https://s2.loli.net/2024/03/26/nTmUhdc6RBC3aNI.png)

查看**/etc/shadow**中是否存在adm、lp、shutdown等默认或无用账户，应禁用或删除

各类管理员使用自己分配的特定权限账户登录，不存在多余、过期的账户

**/etc/ssh/sshd_config**中**PermitRootLogin**为yes表示允许root远程登陆

![image-20240326111419745](https://s2.loli.net/2024/03/26/Q8jT1Fr6bxMwlmS.png)

**/etc/sudo.conf**核查root级用户的权限都授予哪些用户

应对重要主体和客体设置安全标记，并控制主体对安全标记信息资源的访问。首先应该明确系统是否有敏感信息，在主体用户或进程划分级别并设置敏感标记，在客体文件设置敏感标记；查看**/etc/selinux/config**文件中的selinux（安全增强型Linux）参数设定

> selinux有三种工作模式
>
> enforcing：强制模式。违反 SELinux规则的行为将阻止并记录到日志中。
> permissive：宽容模式。违反SELinux规则的行为只会记录到日志中，一般为调试用。
> disabled：关闭SELinux

![image-20240326132805440](https://s2.loli.net/2024/03/26/Z64kwNmf8uo7gCM.png)

#### 安全审计

Linux的audit进程主要用来记录安全信息，用于对系统安全事件的追溯。rsyslog进程用来记录系统的各种信息，如硬件告警和软件日志

![image-20240326133627564](https://s2.loli.net/2024/03/26/F541XmsKtjkwx2b.png)

审计日志应包括事件的日期和事件、用户、事件类型等，Linux可以使用**ausearch**查找审计事件

```
ausearch -ts today
```

![image-20240326134010718](https://s2.loli.net/2024/03/26/jJMS9YgUtWvKTQX.png)

审计日志保存等同上

#### 入侵防范

关闭不需要的系统服务、默认共享和高危端口

```
netstat -ntlp 查看端口开放情况
```

/etc/hosts.allow和/etc/hosts.deny控制外部ip对本机的访问，查看上述文件判断是否设置对接入终端的限制

应及时对操作系统进行漏洞扫描、更新补丁。查看漏扫报告，有无高风险漏洞，查看补丁更新事件是否为最新

访问是否安装主机入侵检测软件，是否开启防火墙等，如主机未安装，可以查看网络链路上的安全设备是否能够覆盖

询问安装了某种防病毒软件，病毒库更新时间、版本

#### 可信验证

测评方法：

#### 数据备份

访问哪些是重要数据处理系统，是否有备份机制，是否采用本机热备份站点或异地活动互援备份

### Windows

#### 身份鉴别

1. 身份标识具有唯一性，用户需要输入用户名和密码进行登录；

2. “控制面板->管理工具->计算机管理->本地用户和组”查看有哪些用户，并尝试空口令登录

3. “控制面板->管理工具->本地安全策略->账户策略->密码策略”查看密码策略，密码长度最小值为8，密码长度使用期限不为0

4. “控制面板->管理工具->本地安全策略->账户策略->锁定策略”查看登陆失败处理

5. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

（1）如果本地管理的话，本项默认满足

（2）如果远程管理的话，则需要采用带加密管理的远程管理方式。命令行输入“gpedit.msc”，在弹出的“本地组策略编辑器”查看“本地计算机 -> 计算机配置 -> 管理模板 -> Windows组件 -> 远程桌面服务 -> 远程桌面会话主机 -> 安全”中的策略，采取加密的RDP协议

![image-20240401111313968](笔记.assets/image-20240401111313968.png)

#### 访问控制

**lusrmgr.msc**查看有哪些用户，查看默认administrator用户是否被禁用或者重命名，是否禁用guest用户，是否删除或停用过期、多余用户

**secpol.msc**查看“安全设置->本机策略->用户权限分配”中的策略配置

应授予管理用户所需的最小权限，实现权限的隔离，应禁止对管理员同时赋予配置管理员和审计管理员的权限

检查是否进行角色划分（网络管理员、安全管理员、系统管理员等）

应由授权主体（管理员）配置访问控制策略，规定主体对客体的访问规则

#### 安全审计

查看系统是否开启了审计功能：**secpol.msc**查看“安全设置->本机策略->安全策略”中的策略配置

审计日志应包括事件的日期和事件、用户、事件类型等，**eventvwr.msc**打开事件查看器，查看Windows日志下面的内容是否满足要求

应对审计日志进行保护、定期备份等，**eventvwr.msc**打开事件查看器，右击查看“应用程序、安全、系统”等的属性查看日志策略

![image-20240326141256760](https://s2.loli.net/2024/03/26/7pYFkJ3aQXojbmA.png)

应对日志进行保护，**secpol.msc**查看“安全设置->本机策略->用户权限分配”，右击查看策略中的“管理审核和安全日志”，查看是否只有系统审计员或者审计员所在的组

#### 入侵防范

1. netstat -an查看端口，关闭默认共享和高危端口（如135、139、445等）
2. services.msc查看系统服务管理界面查看是否有多余服务
3. net share查看共享信息，查看是否开启了默认共享，如C$，D$
4. firewall.cpl查看防火墙策略，是否开启防火墙，查看高级设置里面的入站规则，是否阻止访问多余的服务
5. 询问是否安装了主机入侵检测软件，查看已安装的主机入侵检查系统的配置情况，是否具有报警功能；查看网络拓扑图，是否部署了网络入侵检测系统。

#### 可信验证

测评方法：

#### 数据备份

访问哪些是重要数据处理系统，是否有备份机制，是否采用本机热备份站点或异地活动互援备份

### Oracle

#### 密码策略

1. 检查数据库的口令策略配置，如口令长度、强度（大小写、数字、特殊字符），定期更新等
2. 查看是否启用口令复杂度函数：

```
select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD VERIFY FUNCTION'
```

3. 检查utlpwdmg.sql中“--Check for the minimum length of the password“部分中“length(password)<”后的值
4. dba_profiles策略中的password_life_time不为unlimited

#### 登录失败处理

1. 查看是否启用登录失败限制策略，不应为UNLIMITED

```
   select limit from dba_profiles where profile='DEFAULT' and resource_name='FAILED_LOGIN_ATTEMPTS'
   ```

2. 查看是否启用登陆失败锁定策略，不能为UNLIMITED

```
   select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_LOCK_TIME'
   ```

3. 查看是否启用登录超时退出策略，不能为UNLIMITED

```
select limit from dba_profiles where profile='DEFAULT' and resource_name='IDLE_TIME'
```

远程管理时应防止鉴别信息被窃听，测评方法：

1. 查看initSID.ora(%ORACLE HOME\db idatabaseREMOTEOS AUTHENT的赋值，如果值为**false**则符合
2. 查看listener.ora(%ORACLE HOME\db_1\NETWORK\ADMIN)文件中的“LISTENER”-"DESCRIPTION”-"ADDRESS LIST"_"ADDRESS"-"PROTOCOL"项目的SECUBITY PRO赋值；应存在PROTOCOL=TCPS
3. 执行show parameter remote login passwordfile；结果应该为none，远程无法登录

#### 访问控制

1. 应重命名或删除默认账户，修改默认账户的默认口令

（1）.Oracle安装时存在默认口令，如：

SYS：CHANGE_ON_INSTALL

SYSTEM : MANAGER

（2）常用口令:
oracle:oracle/admin/ora92(ora+版本)

sys:oracle/admin

system:oralce/admin

dbsnmp:dbsnmp

2. 应及时删除多余、过期账户，查看是否有返回scott、outln等数据库示例账户及过期账户

```
select username,account_status from dba_users
```

3. 应配置数据库访问策略，根据角色限制账户权限；访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。

4. 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

测评方法：（1）查看是否安装Oracle label security模块

（2）查看是否创建策略，**返回的用户中应存在“LBACSYS”，存在状态为“ENABLE”的标签策略**

```
select policy_name,status from DBA_SA_POLICIES
```

(3)查看是否创建级别，返回结果**不为空**

```
select * from dbs_Sa_levels ORDER BY level_num
```

(4)查看标签创建情况。返回结果**不为空**

```
select * from dba_sa_labels
```

（5）查看策略与模式、表的对应关系，判断是否针对重要资源设置敏感标签，**返回结果不为空****

```
select * from dba_sa_tables_policies
```

#### 安全审计

1. 数据库需开启安全审计功能，并覆盖到每个用户，结果**不为none**

```
select value from v%parameter where name = 'audit_trail'
```

2. 审计日志应包括事件的日期和事件、用户、事件类型等，测评方法：

```
   1)show parmeter audit trail. 不应为none
   2)show parameter audit_sys_operations. 应为true
   3)select sel,upd,del,ins,gra from dba obj audit opts. 返回对象审计选项，应不全部为“-/-”
   4)select sel,upd,del,ins,gra from dba stmt audit opts. 返回语句审计选项，应不全部为“-/-”
   5)select sel,upd,del,ins,gra from dba priv_audit_opts. 返回特权审计选项，应不全部为“-/-”
   ```

3. 应对审计日志进行保护，定期备份，避免被删除覆盖等，备份应六个月及以上

4. 对审计进行进行保护，防止未授权的中断

#### 入侵防范

1. 通过设定终端接入方式或网络地址范围对网咯进行管理的终端进行限制，查看sqlnet.ora文件中是否配置参数：tcp_calidnode_checking=**yes**，tcp.invited_nodes中已配置参数ip列表

2. 应对可能存在的已知漏洞进行修复，查看Oracle补丁安装情况：

```
   cd $ORACLE_HOME/Opatch
   opatch lsinventory
   ```

####

#### 数据库备份

询问备份和恢复策略以及是否进行异地备份

### MySQL

#### 密码策略

1. 检查数据库的口令策略配置，如口令长度、强度（大小写、数字、特殊字符），定期更新等
2. 查看是否存在相同用户名

```
select user,host from mysql.user
```

3. 查看是否存在空口令账户

```
   select * from mysql.user where length(password)=0 or password is null
   ```

4. 查看口令复杂度

```
   show variables like 'validate%'; 或者 show variables like 'password%';
   ```

#### 登录失败处理

1. 询问管理员是否采取其他手段配置数据库登录失败处理功能

2. ```
   show variables like%max connect errors%
   ```

或核查 my.conf文件应设置：max_connects_errors =100

3. show variables like'%timeout%查看返回值

远程管理时应防止鉴别信息被窃听，测评方法：

1. 是否采用加密方式对系统进行远程管理

2. ```
   show variables like "%have_ssl%" 是否支持ssl的连接特性
   ```

#### 访问控制

1. 应对登录的用户分配账户和权限

```
   select user,host from mysql.user
   ```

2. 查看网络管理员、系统管理员等账户的权限，权限之间是否分离并制约

```
   show grants for 'xxx@localhost'
   ```

3. root默认账户需要更改默认口令

4. 停用多余、过期的账户，sqlplus中执行，应不存在示例账户

```
   select username,account_status from dba_users
   ```

5. 查看是否指定了访问控制策略，输出的权限列是否与管理员制定的访问控制策略及规则一致

```
   select*from mysql.userG--检查用户权限列。
   select*from mysql.dbG--检查数据库权限列。
   select*from mysql.tables_priv\G--检查用户表权限列。
   select*from mysql.columns priv\G--检查列权限列管理员
   ```

#### 安全审计

1. 数据库需开启安全审计功能，并覆盖到每个用户

```
show variables like '%log_%'
```

2. 审计日志应包括事件的日期和事件、用户、事件类型等，测评方法：

3. 应对审计日志进行保护，定期备份，避免被删除覆盖等，备份应六个月及以上
4. 对审计进行进行保护，防止未授权的中断

#### 入侵防范

1. 通过设定终端接入方式或网络地址范围对网咯进行管理的终端进行限制：

```
   show grants for root@localhost; 查看用户登录的ip，是否给所有的用户加上ip限制，拒绝所有未知主机的连接
   ```

> 当user 表中的Host值不为本地主机时，应指定特定IP地址,不应为%；或将 user 表中的 Host 值为空，而在 host 表中指定用户帐户允许登陆访问的若干主机；在非信任的客户端以数据库账户登录应被提示拒绝，用户从其他子网登录，应被拒绝。

2. 查看补丁的安装情况

```
   show variables where variables_name like "version"
   ```

#### 数据库备份

询问备份和恢复策略以及是否进行异地备份

## 终端设备

### Windows

#### 身份鉴别

1. 身份标识具有唯一性，用户需要输入用户名和密码进行登录；

2. “控制面板->管理工具->计算机管理->本地用户和组”查看有哪些用户，并尝试空口令登录

3. “控制面板->管理工具->本地安全策略->账户策略->密码策略”查看密码策略，密码长度最小值为8，密码长度使用期限不为0

4. “控制面板->管理工具->本地安全策略->账户策略->锁定策略”查看登陆失败处理

5. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

（1）如果本地管理的话，本项默认满足

![image-20240401111313968](笔记.assets/image-20240401111313968.png)

#### 访问控制

**lusrmgr.msc**查看有哪些用户，查看默认administrator用户是否被禁用或者重命名，是否禁用guest用户，是否删除或停用过期、多余用户

**secpol.msc**查看“安全设置->本机策略->用户权限分配”中的策略配置

应授予管理用户所需的最小权限，实现权限的隔离，应禁止对管理员同时赋予配置管理员和审计管理员的权限

检查是否进行角色划分（网络管理员、安全管理员、系统管理员等）

应由授权主体（管理员）配置访问控制策略，规定主体对客体的访问规则

#### 入侵防范

1. 基于终端的入侵检测，重点检测终端安装的组件、端口等

（1）查看和询问组件的安装情况

命令行输入**dcomcnfg**，打开组件服务界面，打开“控制台根节点 -> 组件服务 -> 计算机 -> 我的电脑”，查看右侧组件列表中的组件内容，有无多余的组件

（2）查看和询问安装的应用程序情况

**appwiz.cpl**打开程序和功能界面，查看是否安装非必要的程序

2. 应关闭不需要的系统服务、默认共享和高危端口

netstat -an查看端口，关闭默认共享和高危端口（如135、139、445等）

services.msc查看系统服务管理界面查看是否有多余服务

net share查看共享信息，查看是否开启了默认共享，如C$，D$

firewall.cpl查看防火墙策略，是否开启防火墙，查看高级设置里面的入站规则，是否阻止访问多余的服务

#### 恶意代码防范

Windows系统应采取避免恶意代码攻击的技术措施或采取可信验证技术。防病毒系统应有统一的病毒管理策略，统一更新病毒库，定时查杀，及时发现入侵行为并阻断等。

1. 查看系统中安装的**防病毒软件**。询问更新策略，查看病毒库的更新版本是否超过**一星期**
2. 查看系统采用的可信验证机制，访谈实现原理（基于可信根TPM技术等）
3. 询问网络防病毒软件和主机防病毒软件使用的病毒库（应具备不同的病毒库，**异构特点**）
4. 是否采用统一的病毒更新策略和查杀策略
5. 当发现病毒入侵时如何发现、如何优先阻断、报警机制等

#### 可信验证

测评方法：

## 应用系统

### 身份鉴别

1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，密码需有一定的复杂度（字母数字大小写，八位以上）并设置定期更换（三个月）

测评方法：

（1）用户在登录过程中是否采用了身份鉴别措施

（2）在未登录状态下直接访问任一错做界面或者功能

（3）检查用户身份标识的设置策略

（4）核查鉴别信息复杂度和更换周期的设置策略

（5）扫描应用系统，是否存在空口令或者弱口令用户

2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施
3. 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别

### 访问控制

不存在密码为空的用户

应禁用或限制匿名用户、默认用户的访问权限，应重命名或者删除默认用户，修改默认账户的默认的口令

删除或停用多余的、过期的账户

应授予管理用户所需的最小权限，实现权限的隔离，应禁止对管理员同时赋予配置管理员和审计管理员的权限

检查是否进行角色划分（网络管理员、安全管理员、系统管理员等）

应由授权主体（管理员）配置访问控制策略，规定主体对客体的访问规则

### 安全审计

是否开启审计功能，是否覆盖到每个用户，重要事件是否被记录（时间、用户、事件类型、结果）

应对审计日志进行保护，定期备份（至少六个月），应用系统界面不可提供删除日志功能，非审计用户不可中断审计过程

关闭不需要的服务、默认共享和高危端口

### 入侵防范

应在网络边界、核心等重要节点部署安全设备，**服务器**上安装防病毒软件

**应用**方面应对输入数据的有效性进行验证（Sql注入、xss等）

## 数据安全

数据完整性主要保证各种重要数据在存储和传输过程中免受未授权的破坏，这种保护包括对完整性破坏的检测和恢复

Comment List

Comment

© Copyright: This article is an original work and the copyright belongs to the Panacea's blog unless marked as Reproduced

Please contact the blogger for authorization to reprint

等保知识点

© Copyright: This article is an original work and the copyright belongs to the Panacea's blog unless marked as ReproducedPlease contact the blogger for authorization to reprint

© Copyright: This article is an original work and the copyright belongs to the Panacea's blog unless marked as Reproduced

Please contact the blogger for authorization to reprint