【文章內(nèi)容簡介】 址進(jìn)行限制； n 3）絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一； n 4）份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； n 5）具有登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時自動退出等措施； n 6）對網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。 評測方式：專家訪談、人工評測、漏洞掃描、滲透測試評測對象：網(wǎng)絡(luò)管理員,邊界和重要網(wǎng)絡(luò)設(shè)備(包括安全設(shè)備)。評測方法1) 訪談網(wǎng)絡(luò)管理員，詢問邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的防護(hù)措施有哪些；詢問邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的登錄和驗(yàn)證方式做過何種配置；詢問遠(yuǎn)程管理的設(shè)備是否采取措施防止鑒別信息被竊聽； 2) 訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)設(shè)備的口令策略是什么； 3) 評測邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置了對登錄用戶進(jìn)行身份鑒別的功能，口令設(shè)置是否有復(fù)雜度和定期修改要求； 4) 評測邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置了鑒別失敗處理功能； 5) 評測邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置了對設(shè)備遠(yuǎn)程管理所產(chǎn)生的鑒別信息進(jìn)行保護(hù)的功能； 6) 評測邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否對網(wǎng)絡(luò)設(shè)備管理員登錄地址進(jìn)行限制； 7) 對邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備進(jìn)行滲透測試，通過使用各種滲透測試技術(shù)對網(wǎng)絡(luò)設(shè)備進(jìn)行滲透測試，驗(yàn)證網(wǎng)絡(luò)設(shè)備防護(hù)能力是否符合要求。 判定標(biāo)準(zhǔn)：如果3）6）均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評測方法，應(yīng)寫明每種評測方法的評測結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評測項(xiàng)是否符合，如果有多個評測指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評測指標(biāo)不適用，請注明“不適用”并說明原因。）l 主機(jī)安全評估項(xiàng)編號：H1評估項(xiàng)目：身份鑒別評估資產(chǎn)：評估指標(biāo)： n 1)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別； n 2)作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； n 3)啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施； n 4)對服務(wù)器進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽； n 5)為操作系統(tǒng)和數(shù)據(jù)庫的不同用戶分配不同的用戶名，確保用戶名具有唯一性。 評估方式：專家訪談、人工評估、漏洞掃描。評估對象：系統(tǒng)管理員,數(shù)據(jù)庫管理員,重要服務(wù)器操作系統(tǒng),重要數(shù)據(jù)庫管理系統(tǒng),服務(wù)器操作系統(tǒng)文檔,數(shù)據(jù)庫管理系統(tǒng)文檔。評估方法1) 訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員，詢問操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的身份標(biāo)識與鑒別機(jī)制采取何種措施實(shí)現(xiàn)； 2) 訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員， 詢問對操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)是否采用了遠(yuǎn)程管理，如果采用了遠(yuǎn)程管理，查看是否采用了防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽的措施； 3) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)帳戶列表，查看管理員用戶名分配是否唯一； 4) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看是否提供了身份鑒別措施，其身份鑒別信息是否具有不易被冒用的特點(diǎn)，如對用戶登錄口令的最小長度、復(fù)雜度和更換周期進(jìn)行要求和限制； 5) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看是否已配置了鑒別失敗處理功能，設(shè)置了非法登錄次數(shù)的限制值；查看是否設(shè)置登錄連接超時處理功能，如自動退出。 判定標(biāo)準(zhǔn)：如果2）5）均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評估方法，應(yīng)寫明每種評估方法的評估結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評估項(xiàng)是否符合，如果有多個評估指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評估指標(biāo)不適用，請注明“不適用”并說明原因。）評估項(xiàng)編號：H2評估項(xiàng)目：訪問控制評估資產(chǎn)：（寫明被評估資產(chǎn)的信息，機(jī)房應(yīng)寫明機(jī)房名稱，設(shè)備應(yīng)寫明設(shè)備編號，應(yīng)用系統(tǒng)應(yīng)寫明系統(tǒng)名稱，對外服務(wù)系統(tǒng)應(yīng)寫明域名及IP地址）評估指標(biāo)： n 1)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問； n 2)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； n 3)限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令； n 4)及時刪除多余的、過期的帳戶，避免共享帳戶的存在。 評估方式：專家訪談、人工評估。評估對象：重要服務(wù)器操作系統(tǒng),重要數(shù)據(jù)庫管理系統(tǒng),安全策略。評估方法：1) 評估關(guān)鍵服務(wù)器操作系統(tǒng)的安全策略，查看是否對重要文件的訪問權(quán)限進(jìn)行了限制，對系統(tǒng)不需要的服務(wù)、共享路徑等進(jìn)行了禁用或刪除； 2) 評估關(guān)鍵數(shù)據(jù)庫服務(wù)器的數(shù)據(jù)庫管理員與操作系統(tǒng)管理員是否由不同管理員擔(dān)任； 3) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看匿名/默認(rèn)用戶的訪問權(quán)限是否已被禁用或者嚴(yán)格限制，是否刪除了系統(tǒng)中多余的、過期的以及共享的帳戶； 4) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)的權(quán)限設(shè)置情況，查看是否依據(jù)安全策略對用戶權(quán)限進(jìn)行了限制。 判定標(biāo)準(zhǔn)：如果1）4)均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評估方法，應(yīng)寫明每種評估方法的評估結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評估項(xiàng)是否符合，如果有多個評估指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評估指標(biāo)不適用，請注明“不適用”并說明原因。）評估項(xiàng)編號：H3評估項(xiàng)目：安全審計(jì)評估資產(chǎn)：評估指標(biāo)： n 1)審計(jì)范圍應(yīng)覆蓋到服務(wù)器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶； n 2)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件； n 3)審計(jì)記錄應(yīng)包括事件的日期、時間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等； n 4)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。 評估方式：專家訪談、人工評估、漏洞掃描。評估對象：安全審計(jì)員,重要服務(wù)器操作系統(tǒng),重要數(shù)據(jù)庫管理系統(tǒng)。評估方法：1) 訪談安全審計(jì)員，詢問主機(jī)系統(tǒng)的安全審計(jì)策略是否包括系統(tǒng)內(nèi)重要用戶行為、系統(tǒng)資源的異常和重要系統(tǒng)命令的使用等重要的安全相關(guān)事件； 2) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看安全審計(jì)配置是否符合安全審計(jì)策略的要求； 3) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看審計(jì)記錄信息是否包括事件發(fā)生的日期與時間、觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、事件的結(jié)果等內(nèi)容； 4) 評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看是否對審計(jì)記錄實(shí)施了保護(hù)措施，使其避免受到未預(yù)期的刪除、修改或覆蓋等； 判定標(biāo)準(zhǔn)：如果2）4）均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評估方法，應(yīng)寫明每種評估方法的評估結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評估項(xiàng)是否符合，如果有多個評估指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評估指標(biāo)不適用，請注明“不適用”并說明原因。）評估項(xiàng)編號：H4評估項(xiàng)目：入侵防范評估資產(chǎn)：（寫明被評估資產(chǎn)的信息，機(jī)房應(yīng)寫明機(jī)房名稱，設(shè)備應(yīng)寫明設(shè)備編號，應(yīng)用系統(tǒng)應(yīng)寫明系統(tǒng)名稱，對外服務(wù)系統(tǒng)應(yīng)寫明域名及IP地址）評估指標(biāo)： 1)操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時得到更新。 評估方式：專家訪談、人工評估、漏洞掃描、滲透測試。評估對象：系統(tǒng)管理員,重要服務(wù)器操作系統(tǒng)。評估方法：1) 訪談系統(tǒng)管理員，詢問操作系統(tǒng)中所安裝的系統(tǒng)組件和應(yīng)用程序是否都是必須的，詢問操作系統(tǒng)補(bǔ)丁更新的方式和周期； 2) 評估關(guān)鍵服務(wù)器操作系統(tǒng)中所安裝的系統(tǒng)組件和應(yīng)用程序是否都是必須的； 3) 評估是否設(shè)置了專門的升級服務(wù)器實(shí)現(xiàn)對關(guān)鍵服務(wù)器操作系統(tǒng)補(bǔ)丁的升級； 4) 應(yīng)評估關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)的補(bǔ)丁是否得到了及時安裝。 判定標(biāo)準(zhǔn)：如果2)4)均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評估方法，應(yīng)寫明每種評估方法的評估結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評估項(xiàng)是否符合，如果有多個評估指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評估指標(biāo)不適用，請注明“不適用”并說明原因。）評估項(xiàng)編號：H5評估項(xiàng)目：惡意代碼防范評估資產(chǎn)：評估指標(biāo)： n 1)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫； n 2)支持防惡意代碼軟件的統(tǒng)一管理。 評估方式：專家訪談、人工評估。評估對象：系統(tǒng)管理員,重要服務(wù)器操作系統(tǒng)。評估方法：1) 訪談系統(tǒng)安全管理員，詢問主機(jī)系統(tǒng)是否采取惡意代碼實(shí)時檢測與查殺措施，惡意代碼實(shí)時檢測與查殺措施的部署覆蓋范圍如何； 2) 評估關(guān)鍵服務(wù)器，查看是否安裝了實(shí)時檢測與查殺惡意代碼的軟件產(chǎn)品并進(jìn)行及時更新； 3) 評估防惡意代碼產(chǎn)品是否實(shí)現(xiàn)了統(tǒng)一管理。 判定標(biāo)準(zhǔn)：如果2）3）均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評估方法，應(yīng)寫明每種評估方法的評估結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評估項(xiàng)是否符合，如果有多個評估指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評估指標(biāo)不適用，請注明“不適用”并說明原因。）評估項(xiàng)編號：H6評估項(xiàng)目：資源控制評估資產(chǎn)：評估指標(biāo)： 1)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 2)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定； 3)限制單個用戶對系統(tǒng)資源的最大或最小使用限度。 評估方式：專家訪談、人工評估。評估對象：系統(tǒng)管理員,重要服務(wù)器操作系統(tǒng)。評估方法：1) 評估關(guān)鍵服務(wù)器操作系統(tǒng)，查看是否設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 2) 評估關(guān)鍵服務(wù)器操作系統(tǒng)，查看是否設(shè)置了單個用戶對系統(tǒng)資源的最大或最小使用限度； 3) 評估能夠訪問關(guān)鍵服務(wù)器的終端是否設(shè)置了操作超時鎖定的配置。 判定標(biāo)準(zhǔn)：如果1）3）均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。測試結(jié)果：（根據(jù)評估方法，應(yīng)寫明每種評估方法的評估結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評估項(xiàng)是否符合，如果有多個評估指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評估指標(biāo)不適用，請注明“不適用”并說明原因。）l 應(yīng)用安全評測項(xiàng)編號：A1評測項(xiàng)目：身份鑒別評測資產(chǎn)：評測指標(biāo)： n 1)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別； n 2)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度評測功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用； n 3)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施； n 4)啟用身份鑒別、用戶身份標(biāo)識唯一性評測、用戶身份鑒別信息復(fù)雜度評測以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 評測方式： 專家訪談、人工評測、漏洞掃描、滲透測試。評測對象： 系統(tǒng)管理員,應(yīng)用系統(tǒng),總體規(guī)劃/設(shè)計(jì)文檔。評測方法：1) 訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否提供專用的登錄控制模塊對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，具體措施有哪些；系統(tǒng)采取何種措施防止身份鑒別信息被冒用； 2) 訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否具有登錄失敗處理功能； 3) 訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)對用戶標(biāo)識是否具有唯一性； 4) 評測設(shè)計(jì)或驗(yàn)收文檔，查看其是否有系統(tǒng)采用了保證唯一標(biāo)識的措施的描述； 5) 評測關(guān)鍵應(yīng)用系統(tǒng)，查看其是否提供身份標(biāo)識和鑒別功能；查看其身份鑒別信息是否具有不易被冒用的特點(diǎn)；其鑒別信息復(fù)雜度評測功能是否能保證系統(tǒng)中不存在弱口令等； 6) 評測關(guān)鍵應(yīng)用系統(tǒng)，查看其提供的登錄失敗處理功能，是否根據(jù)安全策略配置了相關(guān)參數(shù)； 7) 測試關(guān)鍵應(yīng)用系統(tǒng)，可通過試圖以合法和非法用戶分別登錄系統(tǒng)，查看是否成功，驗(yàn)證其身份標(biāo)識和鑒別功能是否有效； 8) 測試關(guān)鍵應(yīng)用系統(tǒng)，驗(yàn)證其登錄失敗處理功能是否有效。 判定標(biāo)準(zhǔn)： 1) 如果4）中相關(guān)文檔有系統(tǒng)采用了保證用戶唯一性標(biāo)識的措施的描述，則為肯定； 2) 如果4）8）均為肯定，則信息系統(tǒng)符合本單元評估指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元評估指標(biāo)要求。 測試結(jié)果：（根據(jù)評測方法，應(yīng)寫明每種評測方法的評測結(jié)果，最后根據(jù)判定標(biāo)準(zhǔn)寫明本評測項(xiàng)是否符合，如果有多個評測指標(biāo)，每個指標(biāo)都應(yīng)當(dāng)說明是否符合。如果根據(jù)信息系統(tǒng)實(shí)際情況，相關(guān)評測指標(biāo)不適用，請注明“不適用”并說明原因。）評測項(xiàng)編號：A2評測項(xiàng)目：訪問控制評測資產(chǎn)：評測指標(biāo)： n 1)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問； n 2)問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作； n 3)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限； n 4)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。 評測方式： 專家訪談、人工評測、漏洞掃描、滲透測試。評測對象： 系統(tǒng)管理員,應(yīng)用系統(tǒng)。評測方法：1) 訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否提供訪問控制措施，以及具體措施和訪問控制策略有哪些，訪問控制的粒度如何； 2) 評測關(guān)鍵應(yīng)用系統(tǒng)，查看系統(tǒng)是否提供訪問控制機(jī)制；是否依據(jù)安全策略控制用戶對客體的訪問； 3) 評測關(guān)