【文章內(nèi)容簡介】 安全審計（G3）（操作系統(tǒng)測評、數(shù)據(jù)庫系統(tǒng)測評）a) 審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；（1）b) 審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；（2）c) 審計記錄應(yīng)包括事件的日期、時間、類型、主體標識、客體標識和結(jié)果等； d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；e) 應(yīng)保護審計進程，避免受到未預(yù)期的中斷；（4）f) 應(yīng)保護審計記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。（5）注釋：1） 以root身份登錄進入Linux，查看服務(wù)進程：系統(tǒng)日志服務(wù)service syslog status service audit status或 service statusall|grep auditd2 ）在linux中/etc/audit/、日志超出可用磁盤 空間后如何處理等內(nèi)容。/etc/audit/ 系統(tǒng)調(diào)用是否要審查的規(guī)則。3 ）在linux操作系統(tǒng)中，使用aucat和augrep工具查看審計日志： aucat|tail100 查看最近的100條審計記錄； augrep e TEXT U AUTHsuccess 查看所有成功PAM授權(quán)。 4 )在Linux中，Auditd是審計守護進程，syslogd是日志守護進程，保護好審計進程當事件發(fā)生時，能 及時記錄事件發(fā)生的詳細內(nèi)容。 5 ）非法用戶進入系統(tǒng)后的第一件事情就是去清理系統(tǒng)日志和審計日志，而發(fā)現(xiàn)入侵的最簡單最直接的 方法就是去看系統(tǒng)記錄和安全審計文件。數(shù)據(jù)庫Oracle 查看是否開啟審計功能：select value from v$paramater where name=39。audittrail39?；? Show parmeter audittrail查看是否對所有sys用戶的操作進行了記錄：show parameter auditsysoperation查看是否對 sel，upd，del ins操作進行了審計：select sel，upd，del ins from dbaobjauditopts查看審計是否設(shè)置成功：select * from dbastmtauditopts查看權(quán)限審計選項：select * from dbaprivauditopts剩余信息保護（S3）（操作系統(tǒng)測評）a) 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。入侵防范（G3）（操作系統(tǒng)測評）a) 應(yīng)能夠檢測到對重要服務(wù)器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；b) 應(yīng)能夠?qū)χ匾绦虻耐暾赃M行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施；c) 操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新。（涉及的兩個方面系統(tǒng)服務(wù)和監(jiān)聽端口，補丁升級，對多余的系統(tǒng)服務(wù)可以禁用或卸載）注釋： 1 ）入侵威脅分為：外部滲透、內(nèi)部滲透和不法行為。 入侵行為分為：物理入侵、系統(tǒng)入侵和遠程入侵。 造成入侵威脅的入侵行為主要是系統(tǒng)入侵和遠程入侵兩種。 系統(tǒng)入侵指入侵者在擁有系統(tǒng)的一個低級賬號權(quán)限下進行的破壞活動。（如果系統(tǒng)沒有及時更新最 近的補丁程序，那么擁有低級權(quán)限的用戶就可能利用系統(tǒng)漏洞獲取更高的管理權(quán)限） 遠程入侵指入侵者通過網(wǎng)絡(luò)滲透到一個系統(tǒng)中，這種情況下，入侵者通常不具備任何特殊權(quán)限，他 們要通過漏洞掃描或端口掃描等技術(shù)發(fā)現(xiàn)攻擊目標，再利用相關(guān)技術(shù)執(zhí)行破壞活動。 2 ）查看入侵的重要線索的命令：more/var/log/secure|grep refused 查看是否啟用了主機防火墻、RCP SYN保護機制等設(shè)置的命令： find/namedaemon nameprint 檢查是否安裝了一下主機入侵檢測軟件。 3 ) 監(jiān)聽端口的命令： netstat an 確認系統(tǒng)目前正在運行的服務(wù)：service statusall|grep running 查看補丁安裝情況的命令：rpmqa|grep patch惡意代碼防范（G3）（操作系統(tǒng)測評）a) 應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；b) 主機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。（統(tǒng)一更新，定時查殺）資源控制（A3）（操作系統(tǒng)測評、數(shù)據(jù)庫系統(tǒng)測評a、b、d）a) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；（1）b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定；（2）c) 應(yīng)對重要服務(wù)器進行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；d) 應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度；e) 應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進行檢測和報警。（3）注釋： 1 ）系統(tǒng)資源是指CPU、存儲空間、傳輸帶寬等軟硬件資源。 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄，可以極大地節(jié)省系統(tǒng)資源，保證了 系統(tǒng)的可用性，同時也提高了系統(tǒng)的安全性。 Windows系統(tǒng)可以通過主機防火墻或TCP/IP篩選來實現(xiàn)以上功能，在linux系統(tǒng)中存在 /etc/，它們是tcpd服務(wù)器的配置文件，tcpd服務(wù)器可以控 制外部IP對本機服務(wù)的訪問。其中/etc/,/etc/ 禁止訪問本機的IP，如果兩個文件的配置有沖突，以/etc/。2 ）若是通過遠程終端進行連接windows服務(wù)器系統(tǒng)，可以通過設(shè)置超時連接來限制終端操作超時； 若是本地登錄，則通過開啟帶有密碼功能屏幕保護。3 ）如磁盤空間不足、CPU利用率過高、硬件發(fā)生故障等，通過報警機制，將問題現(xiàn)象發(fā)送給相關(guān)負責人， 及時定位引起問題的原因和對異常情況進行處理，從而避免故障的發(fā)生或?qū)⒂绊憸p小到最低。數(shù)據(jù)庫Sql查看是否設(shè)置了超時時間:在查詢分析器中執(zhí)行命令spconfigure 39。remote login timeout(s)39。 Oracle查看空閑超時設(shè)置：select limit from dbaprofiles where profile=“DEFAULT” and resourcename=IDLETIME(值為unlimited表示沒有限制) 確定用戶使用的profile，針對指定用戶的profile，查看其限制（以defaut為例）： select username，profile from dbausers 查看是否對每個用戶所允許的并行會話數(shù)進行了限制：select limit from dbaprofiles where profile=“DEFAULT” and resourcename=SESSIONPERUSERS(值為unlimited表示沒有限制) 查看是否對一個會話可以使用的CPU時間進行了限制：select limit from dbaprofiles where profile=“DEFAULT” and resourcename=CPUPERSESSION(值為unlimited表示沒有限制) 查看是否對允許空閑會話的時間進行了限制：select limit from dbaprofiles where profile=“DEFAULT” and resourcename=IDLETIME(值為unlimited表示沒有限制)第三章 應(yīng)用安全 身份鑒別（S3）a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別； b) 應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別；c) 應(yīng)提供用戶身份標識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標識，身份鑒別信息不易被冒用；d) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；e) 應(yīng)啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 訪問控制（S3）a) 應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴格限制默認帳戶的訪問權(quán)限；d) 應(yīng)授予不同帳戶為完成各自承擔任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。e) 應(yīng)具有對重要信息資源設(shè)置敏感標記的功能；f) 應(yīng)依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作； 安全審計（G3）a) 應(yīng)提供覆蓋到每個用戶的安全審計功能，對應(yīng)用系統(tǒng)重要安全事件進行審計；b) 應(yīng)保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；(1)c) 審計記錄的內(nèi)容至少應(yīng)包括事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；d) 應(yīng)提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。注釋：1 )應(yīng)用系統(tǒng)應(yīng)對審計進程或功能進行保護，如果處理審計的事務(wù)是一個單獨的進程，那么應(yīng)用系統(tǒng)對審 計進程進行保護，不允許非授權(quán)用戶對進程進行中斷；如果審計是一個獨立的功能，則應(yīng)用系統(tǒng)應(yīng)防 止非授權(quán)用戶關(guān)閉審計功能。應(yīng)用系統(tǒng)應(yīng)對審計記錄進行保護，防止非授權(quán)刪除、修改或覆蓋審計記錄。 剩余信息保護（S3）a) 應(yīng)保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全清除。注釋：1 ）有的應(yīng)用系統(tǒng)將用戶的鑒別信息放在內(nèi)存中進行處理，處理完成后沒有及時將其清除，這樣其他的 用戶通過一些非正常手段就有可能獲取該用戶的鑒別信息。2 ）有的應(yīng)用系統(tǒng)在使用過程中可能會產(chǎn)生一些臨時文件，這些臨時文件中可能會記錄一些敏感信息， 當將這些資源分配給其他用戶是我，其他用戶就可能獲取到這些敏感信息。 通信完整性（S3）應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。注釋：為了防止數(shù)據(jù)在傳輸時被修改或破壞，應(yīng)用系統(tǒng)必須確保通信過程中的數(shù)據(jù)完整性，通信雙方利用密碼算法，來保證數(shù)據(jù)的完整性。 通信保密性（S3）a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進行會話初始化驗證；b) 應(yīng)對通信過程中的整個報文或會話過程進行加密。 抗抵賴（G3）a) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。 軟件容錯（A3）a) 應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；b) 應(yīng)提供自動保護功能，當故障發(fā)生時自動保護當前所有狀態(tài)，保證系統(tǒng)能夠進行恢復(fù)。（A3）a) 當應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動結(jié)束會話；b) 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進行限制；c) 應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進行限制；d) 應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進行限制；e) 應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；f) 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進行檢測和報警；g) 應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。第四章 數(shù)據(jù)安全（S3）a) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施；（重傳或其他方式）b) 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)