1、文檔類型內(nèi)部文檔文檔編號文檔版本保密等級主機(jī)安全 山東城聯(lián)一卡通有限責(zé)任公司目 錄一、身份鑒別1二、主機(jī)訪問控制1三、強(qiáng)訪問控制2四、系統(tǒng)保護(hù)2五、剩余信息保護(hù)4六、入侵防范5七、惡意代碼防范6八、資源控制8一、主機(jī)相關(guān)人員安全管理10二、機(jī)房管理11三、計算機(jī)病毒防范制度12四、數(shù)據(jù)保密及數(shù)據(jù)備份制度13主機(jī)安全管理一、身份鑒別1.系統(tǒng)與應(yīng)用管理員用戶設(shè)置對操作系統(tǒng)進(jìn)行特權(quán)用戶的特權(quán)分離（如系統(tǒng)管理員、應(yīng)用管理員等）并提供專用登陸控制模塊。采用最小授權(quán)原則，進(jìn)行授權(quán)。2.系統(tǒng)與應(yīng)用管理員口令安全啟用密碼口令復(fù)雜性要求，設(shè)置密碼長度最小值為8位，密碼最長使用期限90天，強(qiáng)制密碼歷史等，保證系統(tǒng)

2、和應(yīng)用管理用戶身份標(biāo)識不易被冒用。 3.登陸策略采用用戶名、密碼、密鑰卡令牌實(shí)現(xiàn)用戶身份鑒別。4.非法訪問警示配置賬戶鎖定策略中的選項，如賬戶鎖定時間、賬戶鎖定閾值等實(shí)現(xiàn)結(jié)束會話、限制非法登陸次數(shù)和自動退出功能。二、主機(jī)訪問控制1.主機(jī)信任關(guān)系 在域中設(shè)置信任與被信任關(guān)系，使一個域中的控制器驗證另一個域中的用戶，從而自助控制主機(jī)信任關(guān)系，并配置了數(shù)據(jù)庫主機(jī)信任關(guān)系。2.默認(rèn)過期用戶超過60天沒有更新計算機(jī)賬戶密碼的計算機(jī)賬戶設(shè)置為默認(rèn)過期用戶，為避免共享賬戶存在，及時刪除默認(rèn)過期用戶。3.用戶最小授權(quán)原則根據(jù)管理用戶的角色對權(quán)限做出標(biāo)準(zhǔn)細(xì)致的劃分，并授予管理用戶的最小權(quán)限，每個用戶只能擁有剛夠

3、完成工作的最小權(quán)限。并按角色劃分權(quán)限，每個角色各負(fù)其責(zé)，權(quán)限各自分離，一個管理角色不擁有另一個管理角色的特權(quán)。三、強(qiáng)訪問控制1. 資源訪問記錄通過系統(tǒng)安全日志以及設(shè)置安全審計，記錄和分析各用戶和系統(tǒng)活動操作記錄和信息資料，包括訪問人員、訪問計算機(jī)、訪問時間、操作記錄等信息。2. 重要系統(tǒng)文件強(qiáng)制訪問控制范圍對重要系統(tǒng)文件進(jìn)行敏感標(biāo)記，設(shè)置強(qiáng)制訪問控制機(jī)制。根據(jù)管理用戶的角色分配權(quán)限，并作了細(xì)致劃分，禁授予管理用戶最小權(quán)限，并對用戶及用戶程序進(jìn)行限制，從而達(dá)到更高的安全級別。3. 共享目錄 關(guān)閉系統(tǒng)設(shè)置共享目錄訪問權(quán)限時，指定了一個基于本地“Administrators”組帳戶的權(quán)限，保證共享目

4、錄的訪問安全。4. 遠(yuǎn)程登陸控制 服務(wù)器上啟用“路由和遠(yuǎn)程訪問”服務(wù)，并且依據(jù)服務(wù)器操作系統(tǒng)訪問控制的安全策略，授權(quán)訪問用戶身份/角色，未授權(quán)用戶身份/角色訪問客體，不允許進(jìn)行訪問。四、系統(tǒng)保護(hù)1. 系統(tǒng)備份系統(tǒng)備份策略包括本地和遠(yuǎn)程兩種方式。其中，本地備份主要使用容錯技術(shù)和冗余配置來應(yīng)對硬件故障，采用熱備軟件。系統(tǒng)所有數(shù)據(jù)存在數(shù)據(jù)庫中，實(shí)行遠(yuǎn)程同步和備份數(shù)據(jù)庫2. 故障恢復(fù)策略正常情況下主服務(wù)器由于軟硬件故障（非人為因素）發(fā)生宕機(jī)時，網(wǎng)絡(luò)容錯軟件立即激活備份服務(wù)器保證業(yè)務(wù)過程連續(xù)進(jìn)行，不影響用戶使用。特殊情況下由于網(wǎng)絡(luò)系統(tǒng)遭黑客入侵，或網(wǎng)絡(luò)系統(tǒng)遭病毒攻擊，或系統(tǒng)管理員操作失誤導(dǎo)致服務(wù)器癱瘓，

5、就要恢復(fù)數(shù)據(jù)和系統(tǒng)。 故障恢復(fù)可分為數(shù)據(jù)還原和系統(tǒng)還原。3. 安全配置新建用戶時賬戶便于記憶使用，并且密碼有一定復(fù)雜度；對不同賬戶進(jìn)行授權(quán)，擁有相應(yīng)權(quán)限；停用GUEST賬戶；將管理員賬戶權(quán)限設(shè)置最低；將共享文件權(quán)限改為授權(quán)用戶；登陸時不顯示上次登陸名；限制用戶數(shù)量并開啟用戶策略。采用安全密碼；開啟密碼策略；加密重要的文件和文件夾。系統(tǒng)采用NTFS格式化分區(qū)；鎖定注冊表；配置安全策略，并禁止從軟盤和光驅(qū)啟動系統(tǒng)。4. 磁盤空間安全采用存儲區(qū)域網(wǎng)絡(luò)的方式集中化管理存儲網(wǎng)絡(luò)，包含來自多個廠商的存儲服務(wù)器、存儲管理軟件、應(yīng)用服務(wù)器和網(wǎng)絡(luò)硬件設(shè)備，隨時隨地的實(shí)現(xiàn)信息的存儲、訪問、共享和保護(hù)。機(jī)房備有不間

6、斷電源(UPS)，保證磁盤的正常工作。做好病毒防護(hù)以及系統(tǒng)升級工作 操作系統(tǒng)都存在著很多已知和未知的漏洞，加之現(xiàn)在病毒攻擊的范圍也越來越廣泛，而硬盤作為計算機(jī)的信息存儲基地，通常都是計算機(jī)病毒攻擊的首選目標(biāo)。及時更新系統(tǒng)補(bǔ)丁，升級病毒庫，做好病毒防護(hù)工作，同時要注意對重要的數(shù)據(jù)進(jìn)行保護(hù)和經(jīng)常性的備份。在需要做硬件維護(hù)時，不進(jìn)行帶電操作。服務(wù)器7*24小時開啟，會長時間頻繁的對硬盤進(jìn)行讀寫，會對磁盤造成一定的損害，每月作一次到兩次磁盤碎片整理，使硬盤的讀寫速度保持在最佳狀態(tài)，保證磁盤空間安全。5. 主機(jī)加固系統(tǒng)按照安全策略實(shí)施，減少對外開放的端口，在MMC中關(guān)閉不需要的服務(wù)，禁止Messenge

7、r服務(wù)、禁止Telnet服務(wù)等；切斷主機(jī)與應(yīng)用管理的聯(lián)系，不授予主機(jī)的全局管理權(quán)限；在管理員對主機(jī)進(jìn)行訪問時，須提供用戶名，密碼才能登陸，并對密碼強(qiáng)度和密碼使用時間進(jìn)行限定；主機(jī)采用了linux操作系統(tǒng)，增加系統(tǒng)安全性，并有針對性的修改系統(tǒng)參數(shù)，如：禁止自動登錄、禁止在藍(lán)屏后自動啟動機(jī)器、刪除服務(wù)器上的管理員共享等；設(shè)置防病毒系統(tǒng)升級策略，凌晨2:00下載病毒代碼并分發(fā)升級，并根據(jù)病毒軟件來更新病毒庫。五、剩余信息保護(hù)采用安全級別的操作系統(tǒng)操作系統(tǒng)級別LinuxC2Windows server2003C2為保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的鑒別信息所用的存儲空間，被釋放或分配給其他用戶前被釋放，做了如

8、下設(shè)置：在本地安全策略中的安全選項中，啟用“不顯示上次的用戶名”。 為及時釋放系統(tǒng)內(nèi)文件、目錄、數(shù)據(jù)庫等所占用的存儲空間，進(jìn)行如下設(shè)置：在本地安全策略中的安全選項中，啟用“清除虛擬內(nèi)存頁面文件”；在本地安全設(shè)置，賬戶策略中的密碼策略中，啟用“用可還原的加密來存儲密碼”。六、入侵防范為有效應(yīng)對網(wǎng)絡(luò)入侵，公司在網(wǎng)絡(luò)邊界處部署防火墻、IPS各一臺，用于應(yīng)對端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等各類網(wǎng)絡(luò)攻擊；通過防火墻對指定接口所連接的網(wǎng)絡(luò)中主機(jī)的 IP 和MAC 地址進(jìn)行綁定，防止IP 盜用，并對非法IP 的訪問提供詳細(xì)的記錄，同時在路由器上進(jìn)行

9、重要服務(wù)器的ip/mac的綁定，進(jìn)一步保證服務(wù)器的安全。 通過對防火墻、IPS的配置，結(jié)合防毒軟件，及早發(fā)現(xiàn)入侵行為并采取相應(yīng)的應(yīng)對措施，減少通過網(wǎng)絡(luò)竊取信息的的可能。并結(jié)合公司的規(guī)章制度，進(jìn)一步加強(qiáng)對信息竊取事件的防范。防火墻能夠識別并防范對網(wǎng)絡(luò)和主機(jī)的掃描攻擊、異常網(wǎng)絡(luò)協(xié)議攻擊、IP 欺騙攻擊、源IP攻擊、IP 碎片攻擊、DoS/DDoS 攻擊等；實(shí)時應(yīng)用層內(nèi)容過濾，在防火墻內(nèi)核協(xié)議棧中實(shí)現(xiàn)。支持HTTP、FTP、SMTP 協(xié)議，具體包括URL 過濾、網(wǎng)頁關(guān)鍵字過濾、FTP 文件下載過濾、FTP 文件上傳過濾、SMTP收件人過濾、SMTP 發(fā)件人過濾、郵件主題過濾、反郵件中轉(zhuǎn)過濾、Inte

10、rnet 蠕蟲過濾。根據(jù)入侵檢測結(jié)果自動地調(diào)整防火墻的安全策略，及時阻斷入侵的網(wǎng)絡(luò)連接，并可通過郵件的方式向管理員報警。封閉了以下端口，主要有：TCP137、139、445、593、1025端口和UDP 135、137、445端口，后門端口(如TCP 2745、3127、6129端口)，以及遠(yuǎn)程服務(wù)訪問端口3389。并關(guān)閉了計算機(jī)中高危服務(wù)：如Alerterclipbook、remote registry、Messenger、Task Scheduler等服務(wù)。操作系統(tǒng)的安裝遵循最小安裝原則，僅開啟需要的服務(wù)，安裝需要的組件和程序，可以極大的降低系統(tǒng)遭受攻擊的可能性。并且及時更系統(tǒng)丁，可以避遭

11、由系統(tǒng)漏洞帶來的風(fēng)險是在裝有Linux的操作系統(tǒng)中關(guān)閉危險的網(wǎng)絡(luò)服務(wù)如echo、shell login、 finger、 r命令等，關(guān)閉非必需的網(wǎng)絡(luò)服務(wù)ntalk、pop-2、Sendmail、Imapd、Pop3d等。七、惡意代碼防范安裝了卡巴斯基企業(yè)版殺毒軟件和防火墻，具有升級方便、更新及時等特點(diǎn)，并能夠?qū)崟r更新版本升級病毒庫，可以手動或者按照計劃自動地，從卡巴斯基實(shí)驗室的互聯(lián)網(wǎng)服務(wù)器或本地更新服務(wù)器來更新威脅特征數(shù)據(jù)庫和程序模塊。杜絕因版本不一致而可能造成的安全漏洞和安全隱患。病毒數(shù)據(jù)庫自動更新。具有病毒檢測及清除能力。防病毒軟件能對普通文件監(jiān)控、內(nèi)存監(jiān)控、網(wǎng)頁監(jiān)控、引導(dǎo)區(qū)和注冊表監(jiān)控功

12、能；具有間諜軟件防護(hù)功能；可檢測并清除隱藏于電子郵件、公共文件夾及數(shù)據(jù)庫中的計算機(jī)病毒、惡性程序和垃圾郵件功能，能夠自動隔離感染而暫時無法修復(fù)的文件；具有全網(wǎng)漏洞掃描和管理功能，可以通過掃描系統(tǒng)中存在的漏洞和不安全的設(shè)置，提供相應(yīng)的解決方案，支持共享文件、OFFICE文檔的病毒查殺、能夠?qū)崿F(xiàn)立體的多層面的病毒防御體系。實(shí)時保護(hù)。該程序會獲取文件系統(tǒng)請求，對被訪問的文件進(jìn)行惡意代碼掃描，清除或刪除被感染對象，或隔離可疑對象以供進(jìn)一步分析和處理。手動文件系統(tǒng)掃描。該程序可以在指定時間（或按照管理員指令）對指定區(qū)域進(jìn)行掃描，檢測被感染和可疑對象。它可以分析對象，清除、刪除被感染對象，或?qū)⒖梢蓪ο蟾綦x

13、以供進(jìn)一步分析和處理。隔離。在服務(wù)器文件系統(tǒng)中發(fā)現(xiàn)的被感染對象，可疑對象或受損對象均可被移動至隔離文件夾，在那里可對其進(jìn)行進(jìn)一步操作，如清除、刪除等。備份存儲。該解決方案在受感染對象被清除或刪除前會將其副本保存至備份存儲區(qū)，如果原文件在處理過程中受損，還可以手動對其進(jìn)行恢復(fù)。設(shè)置了每5天對系統(tǒng)進(jìn)行漏洞掃描，掃描出系統(tǒng)所存在的漏洞，并能及時下載安裝系統(tǒng)補(bǔ)丁，修復(fù)系統(tǒng)存在的漏洞。八、資源控制系統(tǒng)資源概念是指CPU、儲存空間、傳輸帶寬等軟硬件資源。通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄，可以極大的節(jié)省系統(tǒng)資源，保證了系統(tǒng)的可用性，同時也提高了系統(tǒng)的安全性。對于Windows系統(tǒng)自身來說

14、，可以通過主機(jī)防火墻或TCP/IP篩選來實(shí)現(xiàn)以上功能。在“終端服務(wù)配置”中指定“限制每個用戶只使用一個會話”，限制用戶以桌面模式登錄的用戶的同時只保留一個會話。但是若用戶以特定應(yīng)用程序（在登錄時自動啟動某個應(yīng)用程序，該應(yīng)用程序關(guān)閉時連接即注銷）模式登錄時，該設(shè)置則無效。為了使在該模式下也能保證一個用戶同時只有一個會話，通過使用登錄腳本來進(jìn)行限制。啟用了TCP/IP篩選，創(chuàng)建IP篩選器并進(jìn)行IP篩選器設(shè)置，限定出相應(yīng)的IP地址上的終端可進(jìn)行登錄。并且根據(jù)公司的具體情況，在路由器上做了相關(guān)設(shè)置，僅允許特定IP地址進(jìn)行終端登錄。在本地安全策略的安全選項中啟用了“在超過登錄時間后強(qiáng)制注銷”選項。保證系

15、統(tǒng)安全。服務(wù)器運(yùn)行著后臺系統(tǒng)服務(wù)和業(yè)務(wù)應(yīng)用，需要保持247不間斷運(yùn)行并提供持續(xù)的服務(wù)，其運(yùn)行狀態(tài)的好壞直接影響了網(wǎng)絡(luò)用戶的使用，因此，讓服務(wù)器保持健康狀態(tài)就成為服務(wù)器管理的重中之重。比較桌面設(shè)備管理更加關(guān)注桌面系統(tǒng)和上層應(yīng)用自身的應(yīng)用狀態(tài)而言，服務(wù)器管理的首要目標(biāo)就是保證服務(wù)器的穩(wěn)定性和可靠性。利用網(wǎng)管平臺管理器提供的各種管理功能，服務(wù)器的可靠性和可用性將得到有效保證。 網(wǎng)管平臺能夠247地監(jiān)控服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況。實(shí)時系統(tǒng)警報功能，無論是硬件組件的預(yù)警，還是系統(tǒng)資源告急，都能在第一時間通知到管理員并采取及時的應(yīng)對策略。主機(jī)安全維護(hù)管理制度一、主機(jī)相關(guān)人員安全管理第

16、一條 辦公室應(yīng)備案主機(jī)安全管理員為加強(qiáng)公司涉密服務(wù)器及終端、存儲介質(zhì)等相關(guān)設(shè)備的保密管理工作，結(jié)合公司實(shí)際業(yè)務(wù)工作，制定本制度。第二條 公司應(yīng)指定政治可靠，具有責(zé)任心，作風(fēng)正派，品行端正，無不良嗜好，精通計算機(jī)技術(shù)的人員擔(dān)任主機(jī)安全管理員，原則上至少配備兩人。第三條 為保障公司業(yè)務(wù)的連續(xù)性，設(shè)立了2名或以上主機(jī)安全管理員，即主機(jī)安全管理員A和主機(jī)安全管理員B，一般情況下由A管理服務(wù)器及終端、存儲介質(zhì)等，若A不在時由B管理。第四條 本制度所稱計算機(jī)安全保密員是指管理涉密服務(wù)器及終端、存儲介質(zhì)等相關(guān)設(shè)備（以下簡稱設(shè)備）的管理人員。第五條 主機(jī)安全管理員原則上應(yīng)確定為重要涉密人員。第六條 主機(jī)安全管

17、理員的具體職責(zé)如下：(一) 負(fù)責(zé)為公司內(nèi)的涉密服務(wù)器和辦公計算機(jī)安裝防護(hù)系統(tǒng)、審計系統(tǒng)、涉密移動存儲介質(zhì)管理系統(tǒng)和非法外聯(lián)監(jiān)控系統(tǒng)，并正確設(shè)置安全保密策略。(二) 負(fù)責(zé)對服務(wù)器、安全防護(hù)設(shè)備的管理員用戶進(jìn)行日常管理維護(hù)和使用登記；控制設(shè)備的訪問權(quán)限及端口，保證使用完畢后及時退出。(三) 負(fù)責(zé)公司內(nèi)安全U盤、涉密移動硬盤的入庫和發(fā)放，正確設(shè)置非法外聯(lián)監(jiān)控報警信息。(四) 負(fù)責(zé)設(shè)置涉密便攜式計算機(jī)、涉密存儲介質(zhì)外出攜帶的權(quán)限，并進(jìn)行檢查登記。(五) 負(fù)責(zé)根據(jù)所制定的安全保密策略，完成涉密設(shè)備的風(fēng)險評估報告。(六) 負(fù)責(zé)對發(fā)生重大變化的、出現(xiàn)違規(guī)操作的、保密檢查發(fā)現(xiàn)問題的設(shè)備重新進(jìn)行風(fēng)險評估，并調(diào)整

18、安全保密策略。(七) 負(fù)責(zé)指導(dǎo)公司內(nèi)涉密設(shè)備的配置和使用。(八) 負(fù)責(zé)監(jiān)控公司網(wǎng)絡(luò)的安全狀況，并根據(jù)實(shí)際運(yùn)營情況提出整改建議。(九) 嚴(yán)格按照主機(jī)安全管理制度和機(jī)房安全管理制度做好設(shè)備的安全管理工作。(十) 安全產(chǎn)品管理二、機(jī)房管理 第七條 路由器、交換機(jī)和服務(wù)器以及通信設(shè)備是網(wǎng)絡(luò)的關(guān)鍵設(shè)備，須放置計算機(jī)機(jī)房內(nèi)，不得自行配置或更換，更不能挪作它用。 第八條 計算機(jī)房要保持清潔、衛(wèi)生，并由專人7*24負(fù)責(zé)管理和維護(hù)(包括溫度、濕度、電力系統(tǒng)、網(wǎng)絡(luò)設(shè)備等)，無關(guān)人員未經(jīng)管理人員批準(zhǔn)嚴(yán)禁進(jìn)入機(jī)房。 第九條 嚴(yán)禁易燃易爆和強(qiáng)磁物品及其它與機(jī)房工作無關(guān)的物品進(jìn)入機(jī)房。 第十條 建立機(jī)房登記制度，對本地局域網(wǎng)絡(luò)、廣域網(wǎng)的運(yùn)行，建立檔案。未發(fā)生故障或故障隱患時當(dāng)班人員不可對中繼、光纖、網(wǎng)線及各種設(shè)備進(jìn)行任何調(diào)試，對所發(fā)生的故障、處理過程和結(jié)果等做好詳細(xì)登記。 第十一條 網(wǎng)管人員應(yīng)做好網(wǎng)絡(luò)安全工作，服務(wù)器的各種帳號嚴(yán)格保密。監(jiān)控網(wǎng)絡(luò)上的數(shù)據(jù)流，從中檢測出攻擊的行為并給予響應(yīng)和處理。 第十二條 做好操作系統(tǒng)的補(bǔ)丁修正工作。 第十三條 網(wǎng)管人員統(tǒng)一管理計算機(jī)及其相關(guān)設(shè)備，完整保存計算機(jī)及其相關(guān)設(shè)備的驅(qū)動程序、保修卡及重要隨機(jī)文件。 第十四條 計算機(jī)及其相關(guān)設(shè)備的報廢需經(jīng)過管理部門或?qū)Ｂ毴藛T鑒定，確認(rèn)不符合使用要求后方可申請報廢。 第十五條 制定數(shù)據(jù)管理制度。對