【文章內(nèi)容簡介】 系統(tǒng)的帳號，等級一的情況下，錯誤的口令、帳號和權(quán)限管理可能導(dǎo)致： ? 給 電信 、客戶或者第三方帶來最小的不便 ? 不會給 電信 、客戶或者第三方帶來直接的經(jīng)濟損失 ? 不會給 電信 、客戶或者第三方帶來不快 ? 不會給 電信 、客戶或者第三方帶來名譽或者地位的損失 ? 不會破壞 電信 、客戶或者第三方需要執(zhí)行的商業(yè)措施或 者交易 ? 不會導(dǎo)致民事或者刑事犯罪 ? 不會向未經(jīng)授權(quán)的組織或個人暴露個人、 電信 、政府、商業(yè)的敏感信息 舉例： ? 一個公司的內(nèi)部交流論壇，不用于任何工作目標，可以自行注冊帳號并發(fā)言，盡管帳號的泄漏會帶來一些不便和偽冒，但是由于不用于工作目的，因此不會造成大的損失。 ? 未驗收和未投入使用的系統(tǒng)，工程過程中的系統(tǒng)（假設(shè)沒有涉及知識產(chǎn)權(quán)，例如軟件代碼泄密的問題的情況下） 等級 2－低保障級別 描述 通過常用的措施即可保護系統(tǒng)的可信認證，必須充分考慮代價和認證安全性的平衡。這種等級的認證被誤用或者破壞可能導(dǎo)致： ? 給 電信 、客戶或 者第三方帶來較小的不便 ? 給 電信 、客戶或者第三方帶來較小直接的經(jīng)濟損失或者沒有直接經(jīng)濟損失 ? 會給 電信 、客戶或者第三方帶來較小的不快 ? 會給 電信 、客戶或者第三方帶來較小名譽或者地位的損失 ? 存在一定的風(fēng)險，可能破壞 電信 、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易 第 9 頁 共 30 頁 ? 不會導(dǎo)致民事或者刑事犯罪 ? 存在一定風(fēng)險，可能少量向未經(jīng)授權(quán)的組織或個人暴露個人、 電信 、政府、商業(yè)的敏感信息 舉例： ? 一臺常用辦公電腦，該電腦上沒有存儲任何機密文件，他的帳號被竊取可能導(dǎo)致公司常用信息例如通訊錄被泄漏。 ? 一個有查詢系統(tǒng)的帳號，用戶可以通過 Inter 注冊來查詢自己的帳單。該帳號失竊可能導(dǎo)致用戶信息的泄漏。 等級 3 – 堅固保障級別 描述 通常等級三意味著正式的業(yè)務(wù)流程使用的帳號，通常需要較高信心來保證身份的認證和正確的授權(quán)，這種等級的認證被誤用或者破壞可能導(dǎo)致： ? 給 電信 、客戶或者第三方帶來較大的不便 ? 給 電信 、客戶或者第三方帶來較大直接的經(jīng)濟損失或者沒有直接經(jīng)濟損失 ? 會給 電信 、客戶或者第三方帶來較大的不快 ? 會給 電信 、客戶或者第三方帶來較大名譽或者地位的損失 ? 存在較大的風(fēng)險，會破壞 電信 、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易 ? 會導(dǎo)致民事或者刑事 犯罪 ? 存在較大風(fēng)險，可能大量向未經(jīng)授權(quán)的組織或個人暴露個人、 電信 、政府、商業(yè)的敏感信息 舉例： ? 一般的主機操作系統(tǒng)、數(shù)據(jù)庫、和路由器的高權(quán)限帳號，例如 root、 administrator、dba 等。 ? 業(yè)務(wù)系統(tǒng)的關(guān)鍵管理帳號，可以讀寫重要的用戶信息、業(yè)務(wù)信息和帳單信息。 等級 4 – 最高保障等級 描述 等級四的保障通常對應(yīng)需要非常大的 信心 保障的系統(tǒng)這種等級的認證被誤用或者破壞第 10 頁 共 30 頁 可能導(dǎo)致： ? 給所有 電信 、客戶或者第三方帶來巨大的不便 ? 給 電信 、客戶或者第三方帶來極大直接的經(jīng)濟損失或者沒有直接經(jīng)濟損失 ? 會給 電信 、客戶 或者第三方帶來極大的不快 ? 會給 電信 、客戶或者第三方帶來巨大名譽或者地位的損失 ? 破壞 電信 、客戶或者第三方需要執(zhí)行的商業(yè)措施或者交易 ? 會導(dǎo)致民事或者刑事犯罪 ? 大量向未經(jīng)授權(quán)的組織或個人暴露個人、 電信 、政府、商業(yè)的敏感信息 舉例： ? 關(guān)鍵系統(tǒng)，例如計費系統(tǒng)數(shù)據(jù)庫主機的操作系統(tǒng)和數(shù)據(jù)庫。 ? 用于存儲公司最高商業(yè)機密或密級為絕密的系統(tǒng)的認證。 第 11 頁 共 30 頁 第三章 帳號管理 職責定義 ? 員工所在班組：負責發(fā)起員工帳號的創(chuàng)建、變更和撤消申請； ? 員工所在部門系統(tǒng)管理員：負責維護和管理業(yè)務(wù)系統(tǒng)，對業(yè)務(wù)系統(tǒng)負全責，具體負責帳號的具體生成、變更和刪除， 并進行定期審計； ? 員工所在部門安全管理人員：負責審批、登記備案用戶權(quán)限。 口令應(yīng)該以 用戶角色定義 電信 的帳號應(yīng)基于統(tǒng)一的角色進行管理。帳號的角色可以從 電信 業(yè)務(wù)角度分或從 IT 管理角度分。如果從 IT 管理角度可以分為以下部分。 系統(tǒng)管理員 /超級用戶 系統(tǒng)管理員和超級用戶是有權(quán)限對系統(tǒng)的配置、系統(tǒng)最核心信息進行變更帳號的角色，通常每個系統(tǒng)至少具有一個或者一組該類帳號，該類帳號的管理應(yīng)該最為嚴格，因為這些帳號可以對系統(tǒng)產(chǎn)生重大影響。超級用戶和系統(tǒng)管理員帳號又可以分為以下二種： ? 系統(tǒng)自帶超級用戶：例如 unix 的 root， windows 的 administrator，數(shù)據(jù)庫的 dba，這類用戶由于系統(tǒng)缺省使用，通常是口令攻擊者的攻擊目標，因此必須妥善加以保護。 ? 手工定義的超級用戶：基本上所有系統(tǒng)都可以定義基本與系統(tǒng)缺省超級用戶等同權(quán)限的用戶（一般在權(quán)限方面略又差別）。 普通帳號 普通用戶是用戶用于訪問業(yè)務(wù)系統(tǒng)，實現(xiàn)日常業(yè)務(wù)操作的用戶，是最為常見的用戶類型，例如 帳號、 BOSS 系統(tǒng)帳號、操作系統(tǒng)普通用戶等。該類用戶主要包括以下二類： ? 系統(tǒng)缺省普通帳號，例如 unix 中的 lp、 nobody 等，這些帳號是系統(tǒng)為了第 12 頁 共 30 頁 提供服務(wù)存在的特殊帳號，常常成為黑客的攻擊目標，因此必須進行特別的安全設(shè)置和審計。 ? 普通帳號：用于實現(xiàn)業(yè)務(wù)操作和訪問的帳號。 第三方用戶帳號 第三方帳號通常指由于某種特殊情況，系統(tǒng)允許 電信 以外的人員和組織訪問的帳號。這類帳號通常包括代維用戶帳號、臨時故障登錄帳號、客戶登錄帳號。這些帳號必須進行嚴格的權(quán)限管理和定期審計。其中客戶登錄帳號（例如網(wǎng)上營業(yè)廳）應(yīng)給予特別保護。 安全審計員帳號 在核心系統(tǒng)中，應(yīng)該設(shè)置安全審計員帳號，該帳號可以對 系統(tǒng)安全設(shè)置和日志信息進行專門的審計。 對于各類帳號的要求 對于我們的四級保障體系，每一級別存在的不同用戶類型和需求如下： 系統(tǒng)管理員帳號 普通帳號 第三方帳號 安全審計帳號 第一級別 采用比較復(fù)雜的口令，定期修改 無要求 無要求 不需要存在 第二級別 采用比較復(fù)雜的口令，定期修改 采用比較復(fù)雜的口令，定期修改 采用比較復(fù)雜的口令，定期修改 不需要存在 第三級別 建議采用增強口令認證 采用比較復(fù)雜的口令，定期修改 采用比較復(fù)雜的口令，定期修改 必須存在 第四級別 建議采用增強口令認證 建議采用增強 口令認證 不允許存在 必須存在 第 13 頁 共 30 頁 帳號管理基本要求 保障等級一需要遵守的規(guī)范 ? 設(shè)備或者應(yīng)用系統(tǒng)由系統(tǒng)維護部門的系統(tǒng)管理員自行管理和劃分權(quán)限。 ? 系統(tǒng)的帳號管理應(yīng)該支持用戶名和口令的機制，口令的存儲盡量采用加密的方式； ? 系統(tǒng)管理員自行審計和處理帳號的存在和啟用是否合理。 保障等級二需要遵守的規(guī)范 ? 本級別的需求應(yīng)至少包括并高于其下等級的所有規(guī)范要求； ? 非經(jīng)部門系統(tǒng)管理員授權(quán)，不允許匿名賬號的存在； ? 口令應(yīng)該以加密方式存儲； ? 不允許共享賬號和口令，除非由部門經(jīng)理授權(quán)，不允許將個人使用的口令告訴他人； ? 系統(tǒng)必須打開 安全日志，并保存 1 個月以上的安全日志。 保障等級三需要遵守的規(guī)范 ? 本級別的需求應(yīng)至少包括并高于其下等級的所有規(guī)范要求； ? 要求必須在帳號相關(guān)備注字段或者一個集中的數(shù)據(jù)庫中明確帳號的詳細信息，至少包括名字、聯(lián)系電話、 ； ? 由于系統(tǒng)存在缺省帳號例如 root、 administrator 帳號可能給口令猜測和系統(tǒng)漏洞利用提供方便，因此在可能的情況下可以不使用該類帳號。在條件許可的情況下，開發(fā)并使用一些工具（ routine），避免向用戶授予超級權(quán)限； ? 超級用戶口令應(yīng)盡可能采用一次性口令或者雙要素口令認證。超級用戶 口令要求每個月不定期變更兩次以上，普通用戶口令要求每個月變更一次；對于 3 個月沒有使用的帳號應(yīng)該評估是否刪除； ? 用戶賬號授權(quán)應(yīng)該滿足最小授權(quán)和必需知道的原則。必需知道原則指應(yīng)該讓用戶有權(quán)限訪問他工作中需要用到的信息；最小授權(quán)原則指僅