《os操作系统安全管理规范030326v3fd.docx》由会员分享，可在线阅读，更多相关《os操作系统安全管理规范030326v3fd.docx（92页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、os操作系统安全管理规范 030326V3fd编号:PetroChina中国石油中国石油天然气股份有限公司操作系统安全管理规范BearingPoint3原名毕马威管理咨询毕博版本号：V3批阅人：王巍564.5.2 注册表访问授权第5章 WINDOWS操作系统（客户端）58585. 1 用户账号安全5.1.1 用户帐号585.1.2 上一次登录用户清除585.1.3 用户账号数据库加密585.1.4 实施口令安全585.1.5 禁止缓存登录的信任状态信息595.1.6 力口 aE.日寸月艮 60文件系统安全615.2.1 分区格式615.2.2 磁盘分区615.2.3 复制与移动文件615.2.
2、4 文件共享615.2.5 禁用Dump文件生成功能635.2.6 使用加密文件系统功能（EFS） 635.2.7 加密临时文件夹635.2.8 在关机的时候清除页面交换文件635.2.9 禁止软盘启动与光盘启动645.2.10 禁用光盘的自动运行功能645.2.11 加强打印机驱动的安全645.2.12 加强共享系统对象的安全64组件与注册表安全655.2.13 注册表审核功能655.2.14 注册表访问授权65第6章操作系统补丁规程676.1 补丁有关人员架构与职责676.1.1 建立补丁与系统脆弱性监测小组676.1.2 补丁与系统脆弱性监测小组有关职责676.1.3 各个系统管理员的补
3、丁有关的职责70补丁流程716.1.4 补丁程序的获取716.1.5 补丁实施计划考虑726.1.6 补丁测试746.1.7 补丁实施756.1.8 补丁自动分发776.1.9 建立标准化系统设置786.1.10 用户培训78操作系统要紧补丁资源列表 806.1.11 windows系歹！J操作系统补丁歹U表806.1.12 主流 Unix/Lunix操作系统安全补丁站点816.1.13 Unix/Linux系歹U操作系统网站歹U表83附录1参考文献87附录2本规范用词说明89第1章 操作系统安全管理概述1.1 概述操作系统作为计算机系统的基础软件是用来管理计算机资源的，它直接利用计算机硬件
4、并为用户提供使用与编程接口。各类应用软件均建立在操作系统提供的系统软件平台之 上，上层的应用软件要想获得运行的高可靠性与信息的完整性、保密性，务必依靠于操 作系统提供的系统软件基础。脱离了他，任何想像中的应用软件的高安全性都毫无根基 可言。在网络环境中，网络系统的安全性依靠于网络中各主机系统的安全性，而主机系 统的安全性正是由其操作系统的安全性所决定的，没有安全的操作系统的支持，网络安 全也毫无根基可言。本规范通过四个部分对操作系统所需要注意的安全问题与相应的规范进行了具体的阐 述。第一个部分要紧阐述了各类主流的操作系统都需要注意的通用的安全问题与规范。 第二与第三部分分别阐述了目前市场上主流
5、的两大操作系统（Windows系列与Unix系列） 的相对特殊的安全有关问题与规范。最后一个部分要紧阐述了系统实施安全补丁的有关 的规范。1.2 目标本规范的目标为：通过对各类不一致类型的操作系统进行安全方面的规范，保证目前中国石油现有的各类 服务器系统或者用户端信息设备使用的操作系统的安全，防止由于使用了不安全的操作 系统而产生的安全问题或者埋下安全隐患。使得这些操作系统免受未经授权的访问，防 止操作系统遭受如登陆程序问题、口令质量问题、授权用户滥用职权等威胁或者薄弱点 的侵害。1.3 适用范围本套规范适用的范围包含了所有与操作系统有关的安全问题与安全事件。具体来说包含了 操作系统通用的安全
6、规范，主流的操作系统（Windows系列与Unix系列）的安全规范与操作 系统有关的补丁实施安全规范。一些非主流的操作系统如Linux由于其成熟度与安全性相 对较差，且目前中国石油并未大规模的使用，因此没有对其制定有关的安全规范。其中Windows操作系统安全要紧考虑WindowsNT系列的安全，包含Windows NT,与基 于 NT 操作系统的 Windows 2000 Server 与 Windows 2000 Professional 的安全，由于 Windows9x操作系统本身的安全性比较差，无法进行较高等级的安全配置，不应在较重 要的个人电脑或者笔记本电脑中使用。1.4 规范引用的
7、文件或者标准下列文件中的条款通过本标准的引用而成为本标准的条款。本标准出版时，所示版均为有 效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。1. GB/T 9387-1995信息处理系统 开放系统互连基本参考模型(07498:1989)GB17859-1999计算机信息系统安全保护等级划分准则2. GA/T 391-2002计算机信息系统安全等级保护管理要求ISO/IEC TR 13355信息技术安全管理指南3. NIST信息安全系列美国国家标准技术院英国国家信息安全标准BS77994. 信息安全基础保护 IT Baseline Protection Manual
8、(Germany)BearingPoint Consulting内部信息安全标准5. RU Secure安全技术标准信息系统安全专家丛书 Certificate Information Systems Security Professional1.5术语与定义访问操纵access control 一种安全保证手段，即信息系统的资源只能由被授权实体按授权方 式进行访问，防止对资源的未授权使用。可用性availability数据或者资源的特性，被授权实体按要求能及时访问与使用数据或者资 源。生物特征认证biometric authentication是指通过计算机利用人体所固有的生理特征或者行 为
9、特征来进行个人身份识别与(或者)验证目的。常用的生物特征包含：指纹、掌纹、虹膜、 脸像等。保密性confidentiality数据所具有的特性，即表示数据所达到的未提供或者未泄露给未授 权的个人、过程或者其他实体的程度。数字证书digital certificate是一个经证书认证机构(CA)数字签名的包含用户身份信息与公开 密钥信息的电子文件，是各实体在网上进行信息交流及商务活动的电子身份证。身份识别identity authentication使信息处理系统能识别出用户、设备与其他实体的测试 实施过程。同身份验证。例：检验一个口令或者身份权标。入侵检测intrusion detection
10、自动检测网络数据流中潜在入侵、攻击与滥用方式，提供了网络安全保护功 能。它位于被保护的内部网络与不安全的外部网络之间，通过实时截获网络数据流，寻找网络 违规模式与未授权的网络访问尝试。完整性integrity在防止非授权用户修改或者使用资源与防止授权用户不正确地修改或者使用 资源的情况下，信息系统中的数据与在原文档中的相同，并未遭受偶然或者恶意的修改或者破 坏时所具的性质。日志log 一种信息的汇合，记录有关对系统操作与系统运行的全部事项，提供了系统的历史 状况。最小权限minimum privilege主体的访问权限制到最低限度，即仅执行授权任务所必需的那些权利。口令password用来鉴别
11、实体身份的受保护或者秘密的字符串。安全操作系统security operation system为了对所管理的数据与资源提供适当的保护级，而 有效地操纵硬件与软件功能的操作系统。威胁threat 一种潜在的对安全的侵害以破坏、泄漏、数据修改与拒绝服务的方式，可能对系 统造成损害的环境或者潜在事件。(GB9387-95)受信主机(trusted host)提供充分的计算机安全的信息处理能力的主机，它同意具有不一致访 问权的用户并发访问数据，与访问具有不一致安全等级与安全种类的数据。加密encryption通过密码系统把明文变换为不可懂的形式。校验verification将某一活动、处理过程或者产
12、品与相应的要求或者规范相比较。例：将某一规范与安全策略模型相比较，或者者将目标代码与源代码相比较。弱点vulnerability导致破坏系统安全策略的系统安全规程、系统设计、实现、内部操纵等方 面的薄弱环节，在信息系统中能被威胁利用产生风险。PAM 可插拔的认证模块 Pluggable Authentication ModulesNFS网络文件系统PGP最佳隐私加密第2章 操作系统安全管理通则2.1 操作系统安全的通常性原则操作系统通常都提供了充分的安全措施，充分利用这些安全措施可避免出现很多的安全 问题。下文指出了操作系统安全需要遵循的通常性原则，中国石油的系统管理有关人员 务必在系统管理中
13、懂得、遵循与实践这些原则：a）禁用不必要的服务，尽量将系统中不用的服务、特别是网络服务关闭，从而使 攻击的可能性降至最低。b）对等认证原则（Trusted Path）,对等认证原则是指在某一实体（程序、用户等） 直接与系统上的另一实体通讯之前务必相互认证。该原则要紧用于防止木马程 序。c）最小权限原则，最小权限原则是指系统只能授予应用程序与用户必要的权限， 而不能授予额外的权限。（比如关于有些备份程序而言，它务必访问所有文件, 因此通常该程序都被授予root或者者管理员的权限，但是这也意味着备份程序 除了能够做备份以外还能做一些关闭系统，创建用户等root用户具有的功能， 但这些功能显然不是备
14、份程序应具有的，因此应只给予该备份程序所必需的最 小的权限如读写的权限）。d）强制式文档权限操纵原则（Non-Discretionary Protection）,大多数操作系统都 提供了自主访问操纵，即文档的权限完全由文档作者操纵，他可确定其它所有 用户对该文档的权限，但是在某些情况下需要有集中式文档权限操纵做为补 充，马上部分极其重要的文档的权限操纵集中管理，由安全管理专员负责这些 文档的权限授予。e）通过补丁增进系统安全，补丁程序是弥补系统弱点（vulnerability）的最佳途径, 本文的第五章专门讲述了补丁的重要性与补丁的流程。f）在计算机上安装软件防火墙系统是保证操作系统安全的又一
15、重要保证，需要在 所有重要服务器与重要个人电脑（包含笔记本电脑）中安装软件防火墙系统。目前大多数的防病毒软件具有类似的安全功能。其他的手段还包含安装防病毒 软件、入侵检测软件与弱点扫描工具。g）关于重要的数据有必要进行加密，具体参见文档与数据安全规范h）安全性能评估，关于安全产品的选用上，中国石油需要采取慎重与大胆相结合 的策略，放心使用通过权威第三方认证的安全产品如通过CC或者TCSEC所规 定的B级标准的操作系统。i）系统管理员应随时保持警惕以预防攻击事件的发生或者者将攻击的危害降至 最低。2.2 操作系统访问操纵要求操作系统安全的另一个方面是对系统资源的访问操纵要求。当用户或者者应用程序
16、访问 系统资源时要求操作系统管理员通过设置必要的选项完成下列功能：a）提供适当的身份验证方法。假如使用了 口令管理系统，则应确保使用高质量的口令（参 见本规范2.3、2.4章节用户帐号安全、用户口令安全）。b）识别与验证身份。假如需要，还要验证每个合法用户的终端或者位置。c）记录成功与失败的系统访问（日志信息）。d）根据情况限制用户连接时间。2.2.1 用户终端自动识别功能a）通过终端访问操作系统时应使用终端自动识别功能来验证与其连接的终端的位 置与连接类型。假如会话务必从某一位置或者计算机终端开始，则宜使用终端自 动识别技术。b）终端内部附带的标识可说明是否同意此终端开始或者接收某些具体事务
17、。宜对终端进行物理保护，保护终端标识的安全。2.2.2 登录程序通过安全的登录程序应能够访问信息服务。计算机系统登录程序按其设计应最大限 度地降低非法访问的几率。因而，登录程序应最大限度地减少公开的系统信息，避 免为非法用户提供方便。登录程序应：a）在登录过程未成功之前禁止显示系统或者应用的标识。b）应显示通常性注意事项，提醒用户只有合法用户才能访问计算机。c）登录期间禁止提供帮助消息，以免为非法用户提供方便。d）只有在所有输入数据完成后才验证登录信息。出错时，系统不应说明哪部分数据 正确，哪部分数据错误。e）应限制同意进行的登录的失败次数（宜为3次）并考虑：1）记录失败次数。2）同意再次登录
18、之前务必进行时延，或者者假如未获得明确授权则务必拒绝 再次登录。3）断开数据链路连接。f）限制登录程序同意的时间上限与下限。假如超过限制，则系统务必终止登录过程。g）成功登录完成后，宜显示下列信息、；1）往常成功登录的日期与时间。2）上次成功登录以来登录失败的全面情况。2.2.3 登陆超时a）高风险地域（如组织无法进行安全管理的公共或者外部区域）或者服务于高风 险系统的终端假如处于不工作状态，则务必在设定的不工作时间后予以关闭， 防止非法用户进行访问。中国石油天然股份有F艮公司b）为所有PC提供有限的终端超时功能。当系统超时未激活时，应能够自动锁住 系统，防止非法访问，但不宜关闭应用或者网络会
19、话。c）超时的时间取决于连接的系统的重要程度、终端风险暴露程度与终端上信息的 业务价值。2.2.4 系统有用程序的使用大多数计算机操作系统都有一个或者多个能够越过系统与应用操纵措施的系统有用 程序。应对其使用严加操纵。应考虑使用下列操纵措施：a）务必使用系统有用程序的身份验证程序。b）把系统有用程序从应用软件中分离出来。c）系统有用程序的使用应仅限于最小实际委托授权用户数。d）应对系统有用程序的特殊使用授权。e）应限制系统有用程序的可用性，如授权更换的期限。f）应记录系统有用程序的各类使用情况。g）应对系统有用程序的授权级别进行定义与备案。h）应及时移去所有不必要软件的有用程序与系统软件。2.
20、3 用户账号安全2.3.1 用户身份识别与验证a）中国石油的所有信息系统用户都应拥有个人专用的唯一标识符（用户ID,以便 操作能够追溯到具体责任人。但是在认证与授权体系没有建立之前，特定操作系统内所有的用户务必有一个唯一的ID,同时该ID名称不能让人猜测到该用 户权限级别，如管理员、主管。b）关于每一个系统的所有用户，应要求填写账号申请表，并在表格中包含公司的 密码安全政策规范，明确违反该规范的后果与责任，同时要求用户签名产生法 律效力。c）关于用户提供的身份，宜使用多种身份验证程序来加以证实。口令是一种很常 见的身份识别与验证方法。同样也可使用加密方法与身份验证协议达到同样的 效果。也可使用
21、用户的内存标记或者智能卡等进行身份识别与验证。也可使用 基于个人唯一特点或者特性的生物统计学身份验证技术来验证用户身份。将安 全技术与安全机制结合起来可进行更为严格的身份验证。具体参见中国石油 认证与授权技术方案。2.3.2 用户账号过期关于中国石油这样的大型企业而言，系统中很容易存有过期的用户账号（如用户账 号所代表的个人已经离开中国石油，但是该员工所属的用户账号却还留在系统中）， 这种过期用户账号的存在关于中国石油而言是一个巨大的威胁、，由于这些用户账号 没有人关注，其次万一这些用户账号被人利用，很难被人发现。a）应设置用户账号的有效日期。（比如中国石油可设置用户账号的有效期为一 年）。b
22、）当某一个用户账号过期的时候，系统务必检查确认该用户账号所对应的员工是 否还继续留在公司，假如不是则将该用户账号自动删除，否则继续激活该用户 账号。c）假如用户账号过期了但是用户无法联系到（比如正在度假），可先将其用户账 号锁住，等用户回来以后激活。2.3.3 Guest用户账号Guest用户账号是操作系统安全的又一安全隐患：a）中国石油应禁止长期保留Guest用户账号。b）当系统安装完成以后务必马上删除Guest用户账号，当用户确实需要Guest用 户账号进行临时的访问时，才将Guest用户账号激活。c）应确保Guest用户账号的口令安全。可参见2.4章节用户口令安全。2.3.4 无口令用户
23、账号在很多系统中，通常都会默认存在很多系统级的无口令的用户账号，这些用户账号只 用于执行特定的命令，为了方便用户的使用，通常这些用户账号不设口令，当攻击者 攻破系统以后，就有可能通过该帐号执行他们自己的恶意程序，从而操纵或者者破坏 整个系统。a）中国石油所使用的所有操作系统中禁止存在无口令的用户账号。2.3.5 用户组除非有极为特殊的要求，不应有多个用户共享一个用户ID与口令，而应使用用户组 的概念来代替。2.3.6 用户账号安全其它事项a）宜考虑使用SmartCard生物特征认证等强认证方式，Window2000提供该功能的支持，但是需要在事先考虑投入的成本是否合理。b）系统管理员应具有两个
24、用户账号，一个作为系统的常规用户，执行阅读文档， 收发电子邮件等常规性操作，另一个用作管理，即真正具有管理员效力的用户 账号。C）用户账号重命名，就是对默认的帐号重命名。包含administrator、guest与其它 一些由安装软件时（如Ils）所自动建立的帐号，可起到一定的阻止作用。d）建立伪管理员用户账号，宜在系统建立用户名为administrator”的用户，并设定 一个难以推测的口令，但是不给予其真正的管理员权限。2.4 用户口令安全通常而言，应强制用户账号的口令需要采取什么策略来保证安全，同时需要操作系统管 理员来保证用户账号密码的安全。关于口令的安全标准可详见口令安全管理标准，
25、下列列举了一些与操作系统密切有关的口令的安全规范。2.4.1 口令选择口令选择的目标在于使密码易记难猜。即关于口令的主人而言密码非常容易记住， 但是关于攻击者而言，却很难通过密码主人的特征、习惯等来推测密码。所有中国 石油的用户在选择密码的时候应遵循如下的原则。a）禁止使用登录用户账号或者者登录用户账号的任何变形（比如大写、反序等） 做为口令b） 口令不应包含任何的个人信息，比如名字、生日、电话号码、身份证号码、门 牌号等c）禁止使用全部是数字或者者相同字母的口令d）不应使用常规的单词，比如英文辞典中查得到的单词e） 口令长度务必大于6个字符f）务必同时包含大小写字母g） 口令中务必包含非字母
26、字符，比如数字与标点h）宜使用一个可很快输入的口令要找到满足上述的限制的密码看起来比较困难,但是还是有一些可行的方法, 比如: 选择一篇英文诗词并将其中每一句的第一个字母挑出来构成密码将两个简单的单词用字符或者者数字联接在一起,比如dog;rain book+mug, kid?goat.2.4.1.1 口令政策中国石油的口令安全除了要求用户选择安全性高的口令之外，还需要有一系列的口令政策保证口令的安全，要紧包含：a）中国石油所有操作系统中的口令，用户只能记在心里，不应以任何形式出现 在纸面上，也不应出现在计算机文档中。b）不应将口令给其它人。（大部分的计算机用户都有这样的经验，为了贪图方 便，
27、而将口令告诉给其它人）c） 口令务必定期更新，系统宜自动提示用户定期更换口令。d）应使用个人口令，明确责任。e）根据情况可让用户更换自己的口令，还可让用户使用一种确认程序，同意出 现输入错误。f）用户首次登录时要求用户务必更换临时口令。g）应记录用户往常的口令记录（如过去12个月的记录）防止重复使用。h）安装软件后更换默认的供应商口令。2.4.1.2 检查口令安全除了使用系统功能强制用户使用规范的口令以外，系统管理员应对口令安全进行 定期的检查，以保证安全政策的落实。中国石油的系统管理员可使用口令破解程 序对系统口令进行检查，假如能够用这些工具破解系统口令，则务必责令用户修 改口令。2.4.1
28、.3 口令的其它事项a）输入时屏幕上不显示口令。b） 口令文件与应用系统数据应分开存储。C）利用单向加密算法以加密方式存储口令。2.5 操作系统网络安全操作系统的网络安全要紧是指操作系统本身提供的网络服务的安全性，比如电子邮件服 务、Web服务、FTP服务、命名服务等，与网络功能设置的安全，比如网络协议等。由 于网络安全与具体的操作系统密切有关，因此关于网络安全规范需请具体参见本规范3.2 与4.2章节中关于UNIX与Windows有关的内容。2.6 文件系统安全本规范所指的文件系统的安全不仅仅是只系统中所有文件的安全同时也包含所有操作系 统管理的设备资源的安全问题，比如打印机。文件系统的安全
29、是系统安全的最后防线， 要紧通过两种方式实现文件系统的安全，即通过文件权限系统操纵杜绝文件被恶意地访 问或者者在任何未经适当授权的情况下被访问。第二种方式则是通过对文件进行适当地 加密进行实现。在中国石油文档与数据安全管理规范中谈到了文档加密的机制，因 此关于文件加密的机制、方法与规范可参见该管理规范。本文的重点要紧在于文件系统 的访问权限设置方面的规范。由于这个问题也与不一致类型的操作系统密切有关，因此 关于文件系统安全规范需要具体参见本规范3.3与4.3章节中关于UNIX与Windows有关 的内容。2.7 系统监控系统监控是操作系统安全的又一保证。操作系统监控的任务要紧有：确定什么内容是
30、系 统监控的对象，即决定日志的内容，系统监控的对象通常包含对系统的任何未经授权的 访问与操作系统本身是否存在安全漏洞等两个方面；关于系统监控的记录即日志应做什 么分析，即怎么利用日志内容。操作系统需要监控的对象要紧可分为用户账号安全、网 络安全与文件系统安全三个方面。对用户账号安全进行定期的盘查要紧用于发现两个问 题：不应出现的访问（比如当某一用户账号所属的用户在度假，根本不可能登录系统， 但系统中却有该用户账号在该时刻的登录信息）；用户登录以后是否执行了不应执行的 命令，比如有些命令该用户没有执行权限。而网络安全监控非常困难但又非常重要，由 于关于系统的攻击大部分是从网络上发起的。文件系统安
31、全的监控要紧在于确定是否存 在关于文件系统的非法访问与监控文件备份政策与规范是否得到了切实的执行。系统监控的其它问题，我们一直强调系统安全的问题不仅仅是一个技术问题，更重要的 是一个管理问题，管理员关于所掌握的系统的熟悉非常重要。要求管理员在平常使用一 些常见的命令与工具随时熟悉系统的运行状况；同时操作系统的风险可降低但是不能完 全消除，因此需要管理员时刻保持警醒。由于不一致的操作系统，各自的安全监控功能不尽相同，因此关于系统监控安全规范需 要具体参见本规范3.4与4.4章节中关于UNIX与Windows有关的内容。第3章UNIX操作系统用户账号安全3.1.1 用户账号策略a）务必确保中国石油
32、实施严格的口令安全策略，参见本规范的2.3章节。b）应使用UNIX的口令检查工具如anlpasswd检查口令设置是否安全。c） UNIX中通常会提供可插拔的认证模块（Pluggable Authentication Modules , PAM）可实施更严格的口令安全，要求UNIX假如存在该模块则务必使用。d）中国石油的管理员宜使用sudo给予通常用户部分root用户的权限，具体参见 连接。e）应实施基于角色的安全操纵机制。3.1.2 用户账号管理a）应确保所有用户账号的口令的安全性。b）应确保所有用户目录都完整进行了备份与归档。C）应定期检查日志中的SU记录。d）应定期检查登录失败记录。e）应
33、定期检查登录拒绝日志。f）应限制同时登录的用户账号。a）禁用所有供应商设置的缺省帐户，务必在系统升级与应用程序安装以后检查。b）关于部分不用的系统账号，比如bin, daemon等账号，赋给他们没有具体功能 的权限，从而保证这些命令不可能被误操作与攻击，注意务必保证是确实无用 的系统账号。c）根据情况禁用系统帐户,如 root, bin, uucp, ingres, daemon, news, nobody 与所 有供应商帐户的FTP功能。3.1.3 超级用户账户a）应限制明白root用户口令的人数，保证最多4个人明白root 口令。b）禁止在网络中以root登录，除非有安全措施保证，比如VP
34、N。c）不宜以root用户登录，而是使用su命令临时切换。d）确保当前目录不是root的搜索路径。e）确保root的登录文件只有root具有所有权限。f） Root务必使用绝对路径执行命令，以免受到木马的攻击。3.1.4 普通用户账户a）当用户通过不安全的网络或者者不安全网络协议（FTP, Telnet）登录时，应只 同意用户登录一次。b）禁止在不安全的连接与协议中生成口令列表，只能在本地甚至本机上生成。c）禁出用户将用户口令储存在不安全的地点。3.1.5 UNIX 口令安全3.1.5.1 口令文件安全a)在UNIX中加密后的口令信息是存在一个文件里，通常是/ etc / passwd。保护
35、好这个文件的安全性是非常重要的。该文件务必保证只有root用户才能访问。b) 口令文件在显示的时候应是加密的：这种显示叫做Shadow 口令，“/etc/ shadow”文件应只有root有权访问。3.1.5.2 口令时效目前已有更强大的硬件大大地缩短了利用自动运行的程序来猜测口令的时间。因 此在UNIX系统中防止口令被攻击的另一个方法就是要经常地改变口令。a)应强制用户定期更换口令(比如3个月更换一次)。可通过建立一种机制来强 制用户规律性的更换口令。3.1.6 搜索路径(PATH)限制在UNIX里，在不一致的环境下查找一组特殊的目录的命令称做PATH。想要运行 当前目录包含的命令时是不需要
36、加上一长串路径名的。在UNIX中用户经常使用” 来表示当前的目录。假如作为shell环境变量的一部分时，一个全局目录下的 shell脚本或者公用命令就有可能被相同目录的伪程序所解释，而这个命令可能包含 一段代码，一旦被执行后果可能是较严重的，比如是一个木马程序。因此务必关于 搜索路径(path)进行限制。前 言随着中国石油天然气股份有限公司（下列简称“中国石油”）信息化建设的稳步推进，信息安全日 益受到中国石油的广泛关注，加强信息安全的管理与制度无疑成为信息化建设得以顺利实施的重要保 障。中国石油需要建立统一的信息安全管理政策与标准，并在集团内统一推广、实施。本规范是根据中国石油信息安全的现状
37、，参照国际、国内与行业有关技术标准及规范，结合中国石 油自身的应用特点，制定的适合于中国石油信息安全的标准与规范。目标在于通过在中国石油范围内建 立信息安全有关标准与规范，提高中国石油信息安全的技术与管理能力。信息技术安全总体框架如下：信息安全技术标准物叫环境安全管理物叫环境安全管理硬件设备安全管理网络安全 管理规范操作系统安全管理数据和文档安全管理应用系统安全管理通用安全管理标准区域安全管理规范机房安全管理规范硬件设备管理规范网络安全管理概述通用网络安全管理规范内部网络安全管理规范外部网络安全管理规范操作系统安全管 理规范数据和文档安全 管理规范应用系统使用安 全管理标准通则应用系统开发安
38、全管理标准通则商业软件购买管 理标准电子邮件安全管 理规范web系统安全管 理规范电子商务安全规范防御恶意代码和 计算机犯罪管理规范通用安全管理标准概述认证管理通用标准授权管理通用标准加固管理通用标准加密管理通用标准日忐管理通用标准系统登陆管理通用标准1)整体信息技术安全架构从逻辑上共分为7个部分，分别为：物理环境、硬件设备、网络、操作系统、数据与文档、应用系统与通用安全管理标准。图中带阴影的方框中带书名号的为单独成 册的部分，共有13本规范与1本通用标准。2）关于13个规范中具有一定共性的内容我们整理出了 7个标准横向贯穿整个架构，这 7个标准的组合也根据了信息安全生命周期的理论模型。每个标
39、准都会对所有的规 范中有关涉及到的内容产生指导作用，但每个标准应用在不一致的规范中又会有相 应不一致的具体的内容。我们在行文上将这六个标准组合成一本通用的安全管理标准单独成 册。3）全文以信息安全生命周期的方法论作为基本指导，规范与标准的内容基本都根据预防保护一一检测跟踪一一响应恢复的理论基础行文。3.2 网络安全3.2.1 受信主机（trusted host）UNIX系统上可设置信任主机，关于从确定为可信任的主机上发起的登录与命令执 行，不需再输入用户名与口令。这种方式可能带来潜在的威胁。a）所有关于受信主机的信息都在/etc/hosts.equiv中，应保证该文件的安全，b）应慎重配置授权
40、的主机。c）在UNIX系统中还有.rhosts文件与hosts.equiv具有类似的功能，不一致之处在 于从务必是通过授权的用户从该文件指定的主机上登录的时候才可不用身份 验证，同时该文件还有一个问题就是任何用户都可未经管理员的授权创建该文 件，因此在UNIX系统中务必禁用该文件。3.2.2 安全终端a）可通过文件/c/肛功力配置同意root登录的安全终端，该文件通常如下形式：A console n/usr/etc/getty std.9600n sun off secureA tty a 11 / usr/etc/getty std. 9600n unknown off secureA tt
41、yb 11 /usr/etc/getty std. 9600 unknown off secure ttypO none network off secure ttypl none network off secure ttyp2 none network off secureb）关键词secure表示该类型的终端是安全的，同意root用户登录。c）务必保证该文件只能由root可访问，务必保证文件权限为600,务必保证将其 设置为不能远程登录。3.2.3 网络文件系统（NFS）网络文件系统的意义在于可在多个相互信任的主机之间共享文件存储空间，这关于 一些无盘工作站具有特别重要的意义。当时NFS
42、系统本身的安全性能比较差，需要 在使用中注意下列的问题：a）应监控路由器的TCP/UDP的111端口与2049端口，以防止网络文件系统被子 网之外的主机访问。b）不宜使用NFS功能。c）在使用NFS的情况下，应对NFS端口进行监控。d）只将必要的文件系统export成为网络文件系统，并将权限设为可读。e）应严格操纵网络文件系统的信任主机，不得将本机包含在信任主机中。f）应确保配置文件/etc/exports的安全。3.2.4 FTPa）应建立专门的FTP帐户，将其对应的目录用作FTP服务。b）应检查FTP服务器的默认配置，确保delete, overwrite, rename, chmod与
43、umask选项不被匿名用户与Guest用户执行，原则上，匿名用户不得有任何的 特权。c）应禁用SITE EXEC命令。d）应禁用系统帐户，如 root, bin, uucp, ingres, daemon, news, nobody 与所有供应 商帐户的FTP功能。e）应在与ftp有关的bin目录中包含shell等命令解释器。f）应限制ftp根目录的权限为可读。g）应建立与保护FTP的用户口令，并限制该文件的权限。h）应确保FTP帐户只拥有FTP文件系统的权限,不能有任何其它文件系统的权限。i）应确保匿名用户只能浏览公共区域的内容。j）可上载目录不得同时具有写与读权限，限制可上载目录的数量与权
44、限，宜在单 独的分区中建立可上载目录。k）应限制匿名连接的连接数，限制匿名用户的权限、设置限制匿名用户的登录IP 范围。3.2.5 电子邮件（具体关于电子邮件安全有关规范可参见电子邮件安全管理规范）UNIX系统提供了 sendmail命令用于电子邮件服务，本节要紧规范sendmail的安全 事宜。a）应确保sendmail不转发未知地址的邮件。b）应将电子邮件日志等级设为最高级（9）。3.2.6 FingerFinger服务可获得用户系统用户的信息，比如全名、根目录、最近登录时间与登录邮 件的信息等。关于Finger服务应：a）禁止使用该功能。b）假如务必使用该功能，确保该服务是最新版本。c）
45、应限制Finger服务能够提供的信息内容。d）禁止使用反向finger服务。e）禁止使用间接finger服务。327 关闭不必要的端口可通过限定开放的端口达到安全操纵的目的，Unix系统当前可用的端口列表如下:功能端口号tcpmux1/tcpecho7/tcp/udpdiscard9/tcp/udpsystat11/tcpdaytime13/tcp/udpnetstat15/tcpchargen19/tcp/udpftp21/tcpssh22/tcptelnet23/tcpsmtp25/tcpdomain (DNS)53/tcp/udpbootps67/tcp/udpbootpc68/tcp/
46、udptf tp69/udpfinger79/tcp80/tcppop2109/tcpPOP3110/tcpsunrpc111/tcpnetbios-ns137/tcp/udpnetbios-dgm138/tcpnetbios-dgm138/udpnetbios-ssn139/tcp/udpimap143/tcpsnmp161/udpsnmp-trap162/udpxdmcp177/udpexec512/tcpbiff512/udp功能端口号login513/tcpwho513/udpshell514/tcpsyslog514/udpprinter515/tcptalk517/udpntalk518/udproute520/udpklogind543/tcpsocks1080/tcpnf s204 9/tcp/udpXll6000 to 6000+n/tcp3.3 文件系统安全UNIX文件系统安全机制UNIX文件系统具有丰富的功能与安全特性。在UNIX系统中，对文件系统而言所有 的用户分为三类，文件属主，即