杭州某電子政務(wù)系統(tǒng)安全技術(shù)規(guī)范(編輯修改稿)
2025-05-14 22:29 本頁面
【文章內(nèi)容簡介】 的網(wǎng)絡(luò)服務(wù)，關(guān)閉與應(yīng)用無關(guān)的網(wǎng)絡(luò)接口；c) 對登錄交換機的用戶進行身份標識和鑒別，身份標識唯一，不反饋鑒別信息；d) 修改交換機默認用戶的口令或禁止默認用戶訪問，用戶口令應(yīng)滿足長度和復(fù)雜性要求，并對配置口令進行加密保護；e) 當用戶登錄連接超時，應(yīng)自動斷開連接，并要求重新鑒別；f) 對能夠登錄交換機的遠程地址進行限制，關(guān)閉與應(yīng)用無關(guān)的遠程訪問接口；g) 對登錄提示信息進行設(shè)置，不顯示交換機的型號、軟件、所有者等信息；h) 對交換機配置進行備份，且對備份文件的讀取實施訪問控制；i) 開啟交換機日志功能，對修改訪問控制列表、交換機配置等操作行為進行審計記錄。 . 系統(tǒng)軟件. 操作系統(tǒng)信息系統(tǒng)應(yīng)根據(jù)應(yīng)用需求、安全需求選擇操作系統(tǒng)，并實施安全配置。具體要求如下：a) 定期更新操作系統(tǒng)版本，修補漏洞；b) 關(guān)閉與應(yīng)用無關(guān)的服務(wù)、啟動腳本或網(wǎng)絡(luò)功能；c) 對登錄用戶進行身份標識和鑒別；用戶的身份標識唯一；d) 身份鑒別如采用用戶名/口令方式，應(yīng)設(shè)置口令長度、復(fù)雜性和更新周期；e) 修改默認用戶的口令或禁止默認用戶訪問，禁止匿名訪問或限制訪問的范圍；f) 具有登錄失敗處理功能，當?shù)卿浭〈螖?shù)達到限制值時，應(yīng)結(jié)束會話、鎖定用戶；g) 實行特權(quán)用戶的權(quán)限分離，按照最小授權(quán)原則，分別授予不同用戶各自為完成自身承擔任務(wù)所需的最小權(quán)限，并在他們之間形成相互制約的關(guān)系；h) 對系統(tǒng)內(nèi)的重要文件（如啟動腳本文件、口令文件、服務(wù)配置文件）、服務(wù)、環(huán)境變量、進程等實施訪問控制；i) 系統(tǒng)管理員實施遠程登錄時，應(yīng)使用強鑒別機制，且操作系統(tǒng)應(yīng)記錄詳細的登錄信息；j) 通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端的登錄；k) 對操作系統(tǒng)的安全事件進行審計，審計事件至少包括：用戶的添加和刪除、審計功能的啟動和關(guān)閉、審計策略的調(diào)整、權(quán)限變更、系統(tǒng)資源的異常使用、重要的系統(tǒng)操作（如修改文件、目錄的訪問控制、更改系統(tǒng)或服務(wù)的配置文件）、重要用戶（如系統(tǒng)管理員、系統(tǒng)安全員、系統(tǒng)審計員）的各項操作進行審計；l) 審計記錄應(yīng)包括日期和時間、觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、事件的結(jié)果等；審計記錄應(yīng)受到保護避免受到未預(yù)期的刪除、修改或覆蓋；m) 用戶鑒別信息及與應(yīng)用信息所在的存儲空間，被釋放或再分配給其他用戶之前應(yīng)完全清除；n) 限制單個用戶對系統(tǒng)資源的最大使用額度。. 數(shù)據(jù)庫信息系統(tǒng)應(yīng)根據(jù)應(yīng)用需求、安全需求選擇數(shù)據(jù)庫，并實施安全配置。具體要求如下：a) 定期更新數(shù)據(jù)庫版本，修補漏洞；b) 禁用或刪除數(shù)據(jù)庫不需要的存儲過程；c) 對訪問數(shù)據(jù)庫的用戶進行身份標識和鑒別，身份標識唯一；d) 身份鑒別如采用用戶名/口令方式，應(yīng)設(shè)置口令長度、復(fù)雜性和定期更新周期；e) 當?shù)卿涍B接超時，自動退出登錄會話并要求重新鑒別；f) 修改默認用戶的口令或禁止默認用戶訪問，防止數(shù)據(jù)庫對象被Public權(quán)限用戶訪問；g) 實行特權(quán)用戶的權(quán)限分離，按照最小授權(quán)原則，分別授予不同用戶各自為完成自身承擔任務(wù)所需的最小權(quán)限，并在他們之間形成相互制約的關(guān)系；h) 通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端的登錄；i) 對數(shù)據(jù)庫的安全事件進行審計，審計事件至少包括：用戶的添加和刪除、審計功能的啟動和關(guān)閉、審計策略的調(diào)整、權(quán)限變更、數(shù)據(jù)字典訪問、管理員用戶實施的各項操作、對存儲重要信息的數(shù)據(jù)表的各項操作；j) 審計記錄應(yīng)包括：事件發(fā)生的時間、觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、事件的結(jié)果等；k) 審計記錄應(yīng)受到保護，避免受到未預(yù)期的刪除、修改或覆蓋。如果審計記錄允許授權(quán)用戶刪除，應(yīng)對刪除操作予以記錄；當審計記錄存儲空間接近極限時，應(yīng)采取必要的措施，以保護所存儲的記錄；l) 限制單個用戶對系統(tǒng)資源的最大使用額度。 . 應(yīng)用軟
公司管理相關(guān)推薦
鄂ICP備17016276號-1