前文;
看过之前文章的都应该了解到测评项都是一样的,只是针对的对象不同,那么接下来我就直接写在实际现场中该怎么测,可能每个地方的测评方法都不一样,若有不正确的地方希望大家能及时指出;

身份鉴别

a)应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;
测评方法;

查看/etc/security/passwd中passwd字段是否为空
查看UID是否相同 ; pwck -r
查看.rhosts和/etc/hosts.equiv中的用户或主机是否删除
查看/etc/security/user
maxage:口令最长有效期;
maxrepeats:3;(字符重复出现次数)
minalpha:口令中最少包含字母字符数;
mindiff:4;
minlen:口令最短长度;
minother:口令中最少包含非字母数字字符数;
查看/etc/security/passwd中的flags是否为NOCHECK
flags不为NOCHECK。

b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;
测评方法;

登录失败及限制非法登录次数;查看/etc/security/login.cfg文件
1、logindisable:5;
2、logininterval:60;
3、loginreenable:30;
超时连接自动退出;查看/etc/security/user文件
4、loginretries=5。

c)当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
测评方法;

询问管理员采用什么远程方法连接的,并查看是否开启telnet。
ps –elf|grep telnet 或是netstat -an|grep 23
注;需要禁用telnet服务,若是仅本地管理此项不适用

d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。
测评方法;

询问并验证管理员是否采用双因子鉴别方式,且其中一种采用了密码技术。

访问控制

a)应对登录的用户分配账户和权限;
测评方法;

此项基本是算默认符合,只要你能登录系统,说明就给你分配有账户及其权限,可能一些是root账户,一些是普通账户

b)应重命名或删除默认账户,修改默认账户的默认口令;
测评方法;

操作系统已将默认管理账户XX重命名为XX,修改了/未修改它的默认口令
#cat /etc/passwd
#cat /etc/security/passwd
检查默认用户是否被禁用

c)应及时删除或停用多余的、过期的账户,避免共享账户的存在;
测评方法;

查看 /etc/security/passwd询问管理员是否存在多余的,过期的账户,并且是否有多人共用一个账户的情况。

d)应授予管理用户所需的最小权限,实现管理用户的权限分离;
测评方法;

询问并查看是否进行“三权分立”即设置系统管理员账户、审计管理员账户、安全管理员账户

e)应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;
测评方法;

检查以下目录和文件的权限是否只用root用户读写权限:
ls -l /etc/passwd
ls -l /etc/security/passwd
ls -l /var/log/messages
权限是否合理

f)访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表级;
测评方法;

操作系统通常情况下为主体用户级,客体文件级

g)应对重要主体和客体设置安全标记,并控制主体对有安全标记信息资源的访问。
测评方法;

操作系统是不具有此功能的,仅能依靠第三方加固软件,如椒图、网盾、中超伟业等。

安全审计

a)应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;
测评方法;

lssrc –s syslogd 查看日志服务是否运行
ps –ef|grep syslog 查看是否开启syslog
audit qurey 查看是否开启audit审计
查看/etc/syslog.conf是否包括
*.info;mail.none;news.none;authpriv.none;cron.none /var/log/messages等内容
查看/etc/security/audit/events 审计配置为文件中是否包括用户登录、文件权限修改等重要安全相关事件
检查审计对象是否覆盖每个用户:
/etc/security/audit/config

b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
测评方法;

cat /var/adm/authlog
cat /var/adm/syslog
auditpr -v /audit/trail | more
查看审计记录是否包括事件、主客体标识和事件结果等信息。若有第三方审计工具或系统,则查看其审计日志是否包括必要的审计要素。

c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;
测评方法;

ls -l /var/adm/authlog 查看其权限是否为600
ls -l/var/adm/syslog 查看其权限是否为640,访谈审计记录的存储、备份和保护的措施,如配置日志服务器等。
检查/etc/syslog.conf文件中是否存在如下内容:
auth.info\t\t@loghost
*.info;auth.none\t\t@loghost
.emerg\t\t@loghost
local7.\t\t@loghost

d)应对审计进程进行保护,防止未经授权的中断。
测评方法;

切换到普通用户看是否能切断审计进程

入侵防范

a)应遵循最小安装的原则,仅安装需要的组件和应用程序;
测评方法;

检查系统是否是最小安装

b)应关闭不需要的系统服务、默认共享和高危端口;
测评方法;

netstat -an;查看是否开启高危漏洞

c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制;
测评方法;

询问管理员是否对登录终端的方式进行限制

d)应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求;
测评方法;

由于是由应用系统对外提供输入接口,并通过源代码设置或其他硬件措施实现数据有效性校验功能,故服务器层面不适用此测评项

e)应能发现可能存在的已知漏洞,并在经过充分测试评估后,及时修补漏洞;
测评方法;

询问管理员系统是否定期做过漏洞扫描,

f)应能够检测到对重要节点进行入侵的行为,并在发生严重入侵事件时提供报警。
测评方法;

询问管理员并查看网络拓扑图是否部署主机入侵型检测软件,如椒图,中超伟业,网盾,HIDS等

恶意代码防范

a)应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为,并将其有效阻断。
测评方法;

询问并查看系统是否安装有杀毒软件

可信验证

测评方法;
a)可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证,并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。
测评方法;

操作系统未涉及可信技术的使用

数据完整性

a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等;
测评方法;

根据身份鉴别C项来写,涉及到别的例如审计数据的传输再另看

b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
测评方法;

操作系统能够保证自身数据存储的完整性

数据保密性

a)应采用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等;
测评方法;

根据身份鉴别C项来写

b)应采用密码技术保证重要数据在存储过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等。
测评方法;

操作系统能够保证自身数据存储的保密性

数据备份恢复

a)应提供重要数据的本地数据备份与恢复功能;
测评方法;

操作系统都不写,只写数据库,例如:该服务器无重要数据的备份需求,还要关注是否存在恢复测试记录

b)应提供异地实时备份功能,利用通信网络将重要数据实时备份至备份场地;
测评方法;

操作系统此项都不适用,操作系统的数据不涉及异地备份的需求,只测数据库和应用

c)应提供重要数据处理系统的热冗余,保证系统的高可用性。
测评方法;

询问运维人员并查看系统是否做了热冗余

剩余信息保护

a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除;
测评方法;

操作系统自身能够保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除

b)应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。
测评方法;

操作系统自身能够保证存有敏感数据的存储空间被释放或重新分配前得到完全清除
文档更新时间: 2020-07-21 12:03   作者:李延召