信息系统安全保障-文库吧资料

【正文】

器上远程运行可执行文件 应用平台安全 —— 要求 安全技术要求之 —— 应用软件安全 应用 软件 应具备 身份鉴别、用户管理、访问控制、运行审计 等基本安全功能，并定期进行版本维护及更新。  2023年宁波某政府网站被植入后门 ：黑客利用 IIS6文件名解析漏洞 植入后门， 可以向 WEB目录写入任意内容 ；  2023年 3月杭州某单位门户网站被植入后门 ：网站Tomcat服务后台管理员默认密码 (tomcat)未修改且对外开放，黑客上传后门程序，可随意对网站进行文件下载、删除、修改。  85%的 Oracle数据库 ：都未设 Oralce监听服务的密码，导致局域网内任何人都可随意关闭数据库对外服务 。 操作系统安全 —— 案例 具体安全要求  定期更新操作系统版本，修补漏洞；  关闭与应用无关的服务、启动脚本或网络功能；  对登录用户进行身份标识和鉴别；用户的身份标识唯一；  身份鉴别如采用用户名 /口令方式，应设置口令长度、复杂性和更新周期；  修改默认用户的口令或禁止默认用户访问，禁止匿名访问或限制访问的范围；  具有登录失败处理功能，当登录失败次数达到限制值时，应结束会话、锁定用户； 操作系统安全 —— 要求 具体安全要求  实行特权用户的权限分离，按照最小授权原则，分别授予不同用户各自为完成自身承担任务所需的最小权限，并在他们之间形成相互制约的关系；  对系统内的重要文件（如启动脚本文件、口令文件、服务配置文件）、服务、环境变量、进程等实施访问控制；  系统管理员实施远程登录时，应使用强鉴别机制，且操作系统应记录详细的登录信息；  通过设定终端接入方式、网络地址范围等条件限制终端的登录； 操作系统安全 —— 要求 具体安全要求  对安全事件进行审计，审计事件至少包括：用户管理、审计功能启停及审计策略调整、权限变更、系统资源的异常使用、重要的系统操作、重要用户的各项操作进行审计；  审计记录应包括日期和时间、触发事件的主体与客体、事件的类型、事件成功或失败、事件的结果等；审计记录应受到保护避免受到未预期的删除、修改或覆盖；  用户鉴别信息及与应用信息所在的存储空间，被释放或再分配给其他用户之前应完全清除；  限制单个用户对系统资源的最大使用额度。 (安全审计 ) 网络设备安全 —— 要求 安全技术要求之 —— 操作系统安全 操作 系统 版本更新与漏洞修补 身份鉴别 用户权限分配 口令质量 鉴别失败处理 默认服务开放 终端限制 安全审计 典型案例  某单位内网 Windows服务器 ：内网和 Inter隔离，需手工升级，超过 6个月未进行系统安全补丁升级，2023年 3月，因终端感染 病毒，造成服务器中毒，服务异常。 网络结构安全 —— 要求 安全技术要求之 —— 网络设备安全 网络 设备 根据系统安全策略和维护需求设置合理的设备自身安全配置： 版本更新与漏洞修补 版本信息保护 身份鉴别 链接安全 配置备份 安全审计 典型案例  某单位 Inter防火墙 ：将防火墙所有管理界面（ Web/Tel/SSH）开放至 Inter，且未修改出厂默认管理员密码（天融信： superman/tal）  某单位 Cisco核心交换机 ：使用多年的 Cisco交换机，IOS版本未升级，存在可遭受拒绝服务攻击的漏洞  某单位所有 Cisco交换机 ：未在设备配置中对管理员密码进行加密；且配置文件曾被多人拷贝，可通过配置文件破解管理员密码。  当有重要信息通过公共网络进行传输时，应在传输线路中配置 加密 设备，以保证信息传输的保密性；  禁止内部网络用户未授权与外部网络连接；如提供远程拨号或移动用户连接，应在系统入口处配置 鉴别与认证 服务器。  某单位内网 ：服务器区和终端接入区仅划分了不同VLAN，无访问控制规则，无法防止病毒及蠕虫的传播及内部非授权人员的访问 。 物理环境安全 —— 设备及监控 安全技术要求之 —— 网络结构安全 网络 结构 内部结构 —— 应 根据应用需求在划分内网 /外网 、 终端接入区/服务器区等 区域 ，并在相关网络设备中配置安全策略进行隔离 ； 外部边界 —— 应 根据安全需求在 系统 与 Inter、 政务外网、业务 专网等 外部 网络的互连处配置网关设备实施访问控制，并对通信 及 操作事件进行审计 。 密码产品 —— 对非涉密信息进行加密保护或安全认证时所采用的技术或产品应符合《商用密码管理条例》的要求 安全三原则（ CIA） Confidentiality 保密性  数据库数据泄漏、 …… Integrity 完整性  网站篡改、 …… Availability 可用性  局域网瘫痪、 …… 主要内容 信息安全现状 1 信息系统安全保障体系 2 安全保障技术要求 安全保障管理要求 4 3 安全技术要求之 —— 物理安全 物理 环境 机房建设应满足 ：  GB/T 2887《电子计算机场地通用规范》  GB/T 9361《计算机场地安全要求》 某信息中心机房 —— 消防安全隐患  机房堆放了包装纸箱、文件柜及杂物，易燃  未配备机房专用灭火设备，使用水喷淋灭火 某单位机房 —— 设备及线路安全  机房拥挤，主机摆放随意：地板上、桌子上  设备无标签，布线凌乱，弱电 /强电线路混合 某单位机房 —— 防盗、防尘  机房临街，未安装防盗窗  经常开窗，机房内存在较多灰尘 物理环境安全 —— 案例 物理环境安全 —— 案例 具体安全要