系统安全管理规定.docx

系统安全管理规定文档号CSLJC_COM_STD_ISMS_1202_P_V0.1密级ISO 27001信息安全管理体系文件系统安全管理规定ISMSMPA.12-01活动签名日期创建成涛2011824审核批准II文档变更历史作者(或修订人）版本号日期修改内容与原因成涛V0。12011-8-24新建评审记录评审方式版本号日期评审意见文档状态:草稿目 录1概述11.1目的11。2定义11.3范围11。4原则12角色与职责13安全要求23.1系统安全规划要求23.2系统运行与维护安全要求23.3操作系统安全配置策略53.3.1Windows系统安全配置管理策略53.3.2UNIX系统安全管理策略84附录101 概述 1.1 目的为了加强公司各类计算机系统的安全运维管理,特制定本规定。1.2 定义本程序引用ISO/IEC 17799：2005标准中的术语。1.3 范围本文档适用于公司建立的信息安全管理体系。1.4 原则本文档将依据信息技术和信息安全技术的不断发展和信息安全风险与信息安全保护目标的不断变化而进行版本升级。2 角色与职责表2-Error! Bookmark not defined.系统安全管理规定的角色和职责序号角色职责1信息安全管理委员会负责对系统安全管理进行指导和检查2系统运维部负责生产环境系统的维护工作3系统支援及维护部负责系统安全管理的落地和实施工作4员工遵守公司系统安全管理规定3 安全要求1.5 系统安全规划要求1、系统在投入使用前需要做好前期的规划和设计,除了要满足公司目前业务需要外还要考虑该业务系统将来的应用需求,使系统具有一定的扩充能力。2、系统服务器操作系统应选用正版软件并且遵守软件规定的最终用户使用协议,禁止使用盗版软件。3、新规划使用系统应考虑和原来系统的兼容性问题。4、在新系统安装之前应有详细的实施计划，并严格按照计划来实施。5、在新系统安装完成，投入使用前,应对所有组件包括设备、服务或应用进行连通性测试、性能测试、安全性测试，并在系统测试记录做详细记录，最终形成测试报告。6、在新系统安装完成,测试通过，投入使用前，应删除测试用户和口令，最小化合法用户的权限,最优化配置,应及时对系统软件、文件和重要数据进行备份。1.6 系统运行与维护安全要求1、各个系统设备应进行资产登记。2、系统的帐号、口令应符合帐号与密码安全管理规定，并定期对帐号口令实施安全评估。3、严格限制操作系统管理员权限帐号和普通账号的数量和使用范围。对于系统管理员的帐号要详细登记备案,编制管理员权限账号记录,每季度对该记录进行审核，更新帐号记录.4、操作系统帐号的申请与变更参考帐号与密码安全管理规定3.5节“账号权限控制流程”.5、严格禁止非本系统管理、维护人员直接进入主机设备进行操作,若在特殊情况下（如系统维修、升级等）需要外部人员(主要是指厂家技术工程师、非本系统技术工程师、安全管理员等)进入主机设备进行操作时，必须由维护人员员亲自登录，并对操作全过程进行记录备案。 6、应尽可能减少主机设备的远程管理方式。7、严禁随意安装、卸载系统组件和驱动程序,如确实需要，应及时评测可能由此带来的影响;如果需要安装补丁程序，参考病毒与补丁安全管理规定进行安装。8、禁止主机系统上开放具有“写”权限的共享目录，如果确实必要，优先考虑建立FTP站点,紧急情况下可临时开放，但要设置强共享口令，并在使用完之后立刻取消共享；应禁止不被系统明确使用的服务、协议和设备的特性，避免使用不安全的服务。9、应严格并且合理的分配服务安装分区或者目录的权限，如果可能的话,给每项服务安装在独立分区;取消或者修改服务的banner信息；避免让应用服务运行在root或者administrator权限下。10、应严格控制重要文件的许可权和拥有权,重要的数据应当加密存放在主机上,取消匿名FTP访问,并合理使用信任关系。11、应对日志功能的启用、日志记录的内容、日志的管理形式、日志的审查分析做出明确的规定;对于重要主机系统，应建立集中的日志管理服务器,实现对重要主机系统日志的统一管理，以利于对主机系统日志的审查分析；应保证各设备的系统日志处于运行状态，并定期对日志做一次全面的分析,对登录的用户、登录时间、所做的配置和操作做检查，在发现有异常的现象时应及时向相关人员报告，日志审核要求详见安全审计管理规定.12、应及时监视、收集主机设备操作系统生产厂商公布的软件以及补丁更新，要求下载补丁程序的站点必须是相应的官方站点，并对更新软件或补丁进行评测,在获得部门领导的批准下，对实际环境实施软件更新或者补丁安装；必须订阅CERT (计算机紧急响应小组)公告或其他专业安全机构提供的安全漏洞信息的相关资源，应立即提醒信息安全工作组任何可能影响网络正常运行的漏洞；及时评测对漏洞采取的对策，在获得部门领导的批准下，对实际环境实施评测过的对策，并将整个过程记录备案；软件更新或者补丁安装应尽量安排在非业务繁忙时段进行，操作必须由两人以上完成,由一人监督，一人操作，并在升级(或修补）前后做好数据和软件的备份工作,同时将整个过程记录备案;软件更新或者补丁安装后应重新对系统进行安全设置，并进行系统的安全检查。13、应定期进行安全漏洞扫描和病毒查杀工作，平均频率应不低于每月一次，并在月度网络安全扫描记录中详细记录评估扫描结果。重大安全漏洞发布后，应在3个工作日内进行；为了防止网络安全扫描以及病毒查杀对网络性能造成影响,应根据业务的实际情况对扫描时间做出规定，应一般安排在非业务繁忙时段;当发现主机设备上存在病毒、异常开放的服务或者开放的服务存在安全漏洞时应及时上报信息安全工作组,并采取相应措施。14、应至少每周1次，对所有主机设备进行检查,确保各设备都能正常工作;应通过各种手段监控主机系统的CPU利用率、进程、内存和启动脚本等的使用状况，在发现异常系统进程或者系统进程数量异常变化时，或者CPU利用率，内存占用量等突然异常时，应立即上报信息安全工作组，并同时采取适当控制措施，并记录备案。15、当主机系统出现以下现象之一时，必须进行安全问题的报告和诊断：l 系统中出现异常系统进程或者系统进程数量有异常变化。l 系统突然不明原因的性能下降.l 系统不明原因的重新启动。l 系统崩溃，不能正常启动。l 系统中出现异常的系统账号l 系统账号口令突然失控。l 系统账号权限发生不明变化.l 系统出现来源不明的文件。l 系统中文件出现不明原因的改动.l 系统时钟出现不明原因的改变。l 系统日志中出现非正常时间系统登录，或有不明IP地址的系统登录.l 发现系统不明原因的在扫描网络上其它主机。16、应及时报告任何已知的或可疑的信息安全问题、违规行为或紧急安全事件，并在采取适当措施的同时，应向信息安全工作组报告细节；应定期提交安全事件和相关问题的管理报告，以备管理层检查。17、应根据“知所必需原则严格限制泄漏安全违规行为、安全事件或安全漏洞。如果必须向任何公司外部方（包括任何合法的权威机构)泄漏这类受限信息，应先咨询公司相关法律部门。18、系统软件安装之后，应立即进行备份；在后续使用过程中，在系统软件的变更以及配置的修改之前和之后,也应立即进行备份工作；应至少每年1次对重要的主机系统进行灾难影响分析,并进行灾难恢复演习。19、应至少每年1次对整个网络进行风险评估，每次风险评估时,手工检查的比例应不低于10，渗透测试的比例应不低于5%；风险评估后应在10个工作日内完成对网络的修补和加固，并进行二次评估。1.7 操作系统安全配置策略3.1.1 Windows系统安全配置管理策略在应用以下安全策略之前应根据业务系统的实际情况进行操作,注意实施操作后对业务的风险。1、物理安全策略l 应设置 BIOS 口令以增加物理安全。l 应禁止远程用户使用光驱和软驱。2、补丁管理策略l 应启动 Windows 自动更新功能,及时安装 Windows 补丁（SP、hotfix）。l 对于不能访问 Internet 的 Windows 系统，应采用手工打补丁的方式.3、帐户与口令策略l 所有帐户均应设置口令.l 应将系统管理员账号 administrator 重命名.l 应禁止 Guest 账号.l 应启用“密码必须符合复杂性要求”,设置“密码长度最小值、“密码最长存留期”、“密码最短存留期”、“密码强制历史,停用“为域中用户使用可还原的加密来存储”。l 应设置“账户锁定时间”,“账户锁定阈值，“复位账户锁定计数器”来防止远程密码猜测攻击。l 在信息安全组批准下，应定期利用口令破解软件进行口令模拟破解测试，在发现脆弱性口令后及时通告并采取强制性的补救修改措施。4、网络服务策略l 应尽可能减少网络服务,关闭不必要的服务。l 应通过修改注册表项,调整优化 TCP/IP 参数，来提高系统抵抗 DoS 攻击的能力.l 应限制使用 SNMP 服务。如果的确需要，应使用 V3 版本替代 V1、V2 版本,并启用 MD5 校验等功能.5、文件系统策略l 所有分区均应使用 NTFS。l 尽量使用磁盘配额管理、文件加密（EFS）等功能。l 应卸载 OS/2 和 POSIX 操作环境子系统。l 应将所有常用的管理工具放在 systemroot 外的特殊目录下，并对其进行严格的访问控制，保证只有管理员才具有执行这些工具的权限。l 应关闭 NTFS 生成 8。3 文件名格式。l 应设置访问控制列表(ACL），对重要的目录、文件进行访问权限的限制。6、日志策略l 应启用系统和文件审核功能,包括应用程序日志、安全日志、系统日志、以及各种服务的日志。l 应更改日志存放的目录，并及时监控，特别是安全日志、系统日志。对于重要主机设备,应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理，以利于对主机设备日志的审查分析。7、安全性增强策略l 对于独立服务器应直接检查本地的策略和配置。对于属于域的服务器，应检查域控制器上对计算机的域管理策略。检查内容主要为用户、用户组及其权限管理策略。l 应限制对注册表的访问，严禁对注册表的匿名访问，严禁远程访问注册表，并对关键注册表项进行访问控制，以防止它们被攻击者用于启动特洛伊木马等恶意程序。l 应定期检查注册表启动项目，避免系统被安装非法的自启动程序.l 应隐含最后登陆用户名，避免攻击者猜测系统内的用户信息。l 在登录系统时应显示告警信息，防止用户对远程终端服务口令进行自动化的脚本猜测，并删除关机按钮。l 应删除 Windows 主机上所有默认的网络共享.l 应关闭对 Windows 主机的匿名连接.l 对于不需要共享服务的主机,应彻底关闭文件和打印机共享服务。l 应限制 Pcanywhere 等远程管理工具的使用,如确实需要，应使用最新版本，完整安装补丁程序并经过评测，获得信息安全工作组的许可；并使用 Pcanywhere 加密方式进行管理。l 应安装防病毒软件，并及时更新软件版本和病毒库。l 尽量安装防火墙。3.1.2 UNIX系统安全管理策略1、补丁管理策略l 应及时安装系统最新补丁.l 应及时升级服务至最新版本。2、帐户与口令策略l 所有帐户均应设置口令。l 去除不需要的帐户、修改默认帐号的 shell 变量。l 除 root 外，不应存在其他 uid=0 的帐户。l 应设置超时自动注销登陆，减少安全隐患。l 应限制可以 su 为 root 的组.l 应禁止 root 远程登陆。l 在信息安全组批准下,应定期利用口令破解软件进行口令模拟破解测试,在发现脆弱性口令后及时通告并采取强制性的补救修改措施。3、网络服务策略l 应尽可能减少网络服务，关闭不必要的服务。l 应启用 inetd 进站连接日志记录，增强审计功能。l 应调整优化 TCP/IP 参数，来提高系统抵抗 DoS 攻击的能力。l 应调整TCP/IP 参数,禁止 IP 源路由。l 应限制使用 SNMP 服务.如果的确需要，应使用 V3 版本替代 V1、V2 版本，并启用 MD5 校验等功能.l 应调整内核参数打开“TCP随机序列号功能.4、文件系统策略l 尽量使系统 root 用户初始创建权限(umask)为077.l 尽量使用磁盘配额管理功能。l 去除适当文件的 setuid 和 set-gid 位。l 应限制 /etc 目录的可写权限。l 增强对关键文件的执行权限控制.l 为不同的挂载点指派不同的属性.5、日志策略l 应对 ssh、su 登陆日志进行记录.l 除日志服务器外，应禁止 syslogd 网络监听514端口。l 对于重要主机设备，应建立集中的日志管理服务器，实现对重要主机设备日志的统一管理,以利于对主机设备日志的审查分析。6、安全性增强策略l 应保证 bash shell 保存少量的(或不保存)命令。l 应禁止 GUI 登陆.l 应隐藏系统提示信息。l 尽量安装第三方安全增强软件。4 附录附录一：相关文件信息安全管理体系手册系统测试记录操作系统管理员权限帐号记录操作系统普通权限账号记录操作系统账号开通申请月度网络安全扫描记录10