【正文】 ? 口令長度少于 8 個字符 ； ? 口令是可以在英文字典中直接發(fā)現(xiàn)的英文單詞； ? 口令比較常見，例如： ? 家人名字、朋友名字、同事名字等等 ? 計(jì)算機(jī)名字、術(shù)語、公司名字、地名、硬件或軟件名稱 ? 生日、個人信息、家庭地址、電話 ? 某種模式的，例如 aaabbb、 asdfgh、 12345 123321 等等 ? 任何上面一種方式倒過來寫 ? 任何上面一種方式帶了一個數(shù)字 ? 強(qiáng)壯的口令具備以下特征： ? 同時(shí)具備大寫和小寫字符 ? 同 時(shí) 具 備 字 母 、 數(shù) 字 和 特 殊 符 號 ， 特 殊 符 號 舉 例 如下 !@$%^amp。*()_+|~=\`{}[]:。39。?,./) ? 8 個字符或者以上 ? 不是 字典上的單詞或者漢語拼音 ? 不基于個人信息、名字和家庭信息 ? 口令不應(yīng)該記在非經(jīng)特別保護(hù)的紙面上，不能未經(jīng)加密存儲在電子介質(zhì)中?？诹畈粦?yīng)該太難記憶。 口令保護(hù)指南 ? 工作中的賬號口令不要和個人其他賬號口令相同。盡量做到不同用途使用不同口令，例如： Unix 系統(tǒng)口令和 NT 系統(tǒng)口令最好不同。 ? 不要把自己口令共享給他人。 ? 這是一個禁止的行為的清單 ? 不要在 中寫口令 ? 不要給你上司口令（特權(quán)賬號口令備份是個例外） ? 在別人面前談?wù)摰臅r(shí)候，不要提到口令 ? 不要暗示自己口令的格式 ? 不要在調(diào)查中給出口令 第 23 頁 共 30 頁 ? 不要告訴家人口 令 ? 休假時(shí)不要把自己口令告訴他人 ? 如果有任何人需要口令，請他參照本文檔。 ? 不要使用非 電信 公司授權(quán)和許可的口令記憶軟件。 ? 如果口令可能被破解了，應(yīng)立即報(bào)告網(wǎng)絡(luò)與信息安全辦公室，并且變更所有口令。 ? 網(wǎng)絡(luò)與信息安全小組將不定期進(jìn)行口令猜測嘗試，如果口令被猜出，則用戶必需立即更換。 第 24 頁 共 30 頁 第五章 權(quán)限管理 概述 電信 的帳號和口令管理包括基于帳號的操作或訪問控制權(quán)限的管理。帳號是作為訪問的主體。而基于帳號進(jìn)行操作的目標(biāo)就是訪問的客體。通常這個客體被稱為資源。對資源的訪問控制權(quán)限的設(shè)定依不同的系統(tǒng)而不同。從 電信 帳號管理的角度，可以 進(jìn)行基于角色的訪問控制權(quán)限的設(shè)定。即對資源的訪問控制權(quán)限是以角色或組為單位進(jìn)行授予。 根據(jù)工作需要確定最小權(quán)限 對帳號的授權(quán)，應(yīng)以其能進(jìn)行系統(tǒng)管理、操作的最小權(quán)限進(jìn)行授權(quán)。比如這個帳號作為系統(tǒng)帳號只能進(jìn)行數(shù)據(jù)備份的操作，那就只授權(quán)其可以進(jìn)行數(shù)據(jù)備份操作的命令。別的諸如進(jìn)行系統(tǒng)網(wǎng)絡(luò)狀態(tài)監(jiān)控的命令則不授權(quán)其可以進(jìn)行。 對于授權(quán)，應(yīng)該支持一定的授權(quán)粒度控制，從而控制用戶的訪問對象和訪問行為，保證用戶的最小授權(quán)。 建立基于角色的權(quán)限體系 各系統(tǒng)應(yīng)該盡力建立基于以下角色模型的授權(quán)體系，如由于系統(tǒng)本身的功能限制不能建立 模型，則應(yīng)該盡力向本模型靠攏： 第 25 頁 共 30 頁 每個應(yīng)用的操作、命令和數(shù)據(jù)都可以進(jìn)行針對角色的分別授權(quán)，我們先根據(jù)這些操作、命令和數(shù)據(jù)劃分出一些最基本的細(xì)分角色，例如對于系統(tǒng)管理員可以細(xì)分為數(shù)據(jù)管理員、備份管理員、用戶和角色管理員、開 /關(guān)機(jī)管理員、日常操作維護(hù)管理員、災(zāi)難恢復(fù)管理員等等，然后根據(jù)實(shí)際的工作崗位建立集成的高級角色，用戶可以被賦予一個或者多個高級角色。具體規(guī)范和原則如下： ? 細(xì)分角色根據(jù)應(yīng)用的特性和功能長期存在，基本不隨人員和管理崗位的變更而變更 ? 角色對應(yīng) 部門崗位，不對應(yīng)人員，人員的更換不對角色產(chǎn)生影響，崗位變化導(dǎo)致高級角色的變化 ? 一個用戶根據(jù)實(shí)際情況可以分配多個高級角色 審計(jì)人員權(quán)限的界定 應(yīng)用系統(tǒng)和業(yè)務(wù)系統(tǒng)應(yīng)該設(shè)置審計(jì)用戶的權(quán)限，審計(jì)用戶應(yīng)當(dāng)具備比較完整的讀權(quán)限，審計(jì)用戶應(yīng)當(dāng)能夠讀取系統(tǒng)關(guān)鍵文件，檢查系統(tǒng)設(shè)置、系統(tǒng)日志等，盡量避免審計(jì)用戶有寫、變更或者執(zhí)行的權(quán)限。審計(jì)人員分為二種： 內(nèi)部審計(jì)人員：此種用戶長期存在，通常為系統(tǒng)管理員，授權(quán)方法同樣采用最小授權(quán)原則，管理方法等同內(nèi)部帳號管理。 外部審計(jì)人員（例如安全評估人員和審計(jì)公司）：外部審計(jì)人員應(yīng)該提供審 計(jì)帳號需要的權(quán)限，該權(quán)限應(yīng)符合最小授權(quán)原則，審計(jì)人員需明確審計(jì)的方案，包括具體可能執(zhí)行的審用戶 A 用戶 B 高級角色 1 細(xì)分角色 1 細(xì)分角色 2 細(xì)分角色 3 細(xì)分角色 4 應(yīng)用 1 應(yīng)用 2 高級角色 2 第 26 頁 共 30 頁 計(jì)命令，該帳號應(yīng)明確設(shè)置過期時(shí)間，并注意不應(yīng)選擇弱口令。審計(jì)過程中，我方人員應(yīng)該全程陪同。 第三方人員權(quán)限設(shè)定 第三方人員開發(fā)權(quán)限管理應(yīng)滿足以下： ? 第三方人員擁有 電信 任何系統(tǒng)上的權(quán)限的前提是其所屬的公司必須與 電信 簽署保密協(xié)議，保證該第三方不濫用權(quán)限和帳號。 ? 第三方人員必須認(rèn)真閱讀本規(guī)范，保證遵守本規(guī)范涉及的所有原則。 ? 第三方人員帳號的申請同樣需要遵守帳號的申請、變更和撤消的流程。第三方人員的帳號必須設(shè)置到期時(shí)間。 ? 在代 維的情況下，代維人員可以在生產(chǎn)系統(tǒng)上擁有帳號，但超級用戶權(quán)限應(yīng)該由 電信 人員管理，應(yīng)該明確代維人員如何使用帳號以及必須遵守的規(guī)則，明確 電信 公司如何進(jìn)行考核審計(jì)。在非代維的情況下，第三方人員不應(yīng)在生產(chǎn)系統(tǒng)上長期擁有任何帳號和權(quán)限。 ? 第三方人員需要使用超級用戶權(quán)限時(shí)，應(yīng)該在 電信 人員的陪同下進(jìn)行操作，操作完畢后，系統(tǒng)管理員應(yīng)當(dāng)立即變更用戶口令，應(yīng)該盡量避免該類行為。 ? 第三方人員應(yīng)該明確提出需要的權(quán)限供 電信 批準(zhǔn)，第三方公司人員應(yīng)該保證每個人員擁有單獨(dú)帳號，而不混用，這要求第三方公司配合人員較為固定，便于審計(jì)和事故追查 。 ? 在專用開發(fā)和測試系統(tǒng)上，可以較為寬松地對第三方開發(fā)人員設(shè)定對操作系統(tǒng)、數(shù)據(jù)庫、中間件系統(tǒng)、應(yīng)用相關(guān)的帳號和權(quán)限，但也應(yīng)滿足本規(guī)范的要求。 ? 對于基于研發(fā)的四級保障系統(tǒng)，生產(chǎn)系統(tǒng)和開發(fā)系統(tǒng)必須嚴(yán)格隔離。開發(fā)者不允許對生產(chǎn)系統(tǒng)有長期訪問權(quán)限，如果需要處理故障，應(yīng)該臨時(shí)申請帳號進(jìn)行故障處理，但是不允許在生產(chǎn)系統(tǒng)直接修改和調(diào)試。 ? 對于基于研發(fā)的需要三級保障的系統(tǒng)也建議隔離生產(chǎn)和開發(fā)系統(tǒng)。三級保障系統(tǒng)如果不能分離生產(chǎn)系統(tǒng)和開發(fā)系統(tǒng)，應(yīng)該采用全程控制的開發(fā)管理，開發(fā)人員不允許自行創(chuàng)建新的 schema 對象。所有需要的表 、索引、進(jìn)程等均應(yīng)該由開發(fā)者提出申請，數(shù)據(jù)庫的系統(tǒng)管理員創(chuàng)建。根據(jù)具體情況，可以開放一些存儲過程的權(quán)限，但是應(yīng)該明確進(jìn)行定義。第 27 頁 共 30 頁 附件 表格一：帳號生成申請表 申請人 所屬班組 帳號申請目的 需要申請帳號的業(yè)務(wù)系統(tǒng) 帳號名及需要權(quán)限描述 系統(tǒng)管理員意見及簽字 部門安全管理員意見及簽字 部門經(jīng)理意見及簽字 系統(tǒng)管理員帳號生成完畢簽字 帳號接收完畢簽字 第 28 頁 共 30 頁 表格二：帳號變更申請表 申請人 所屬班組 工作崗位描述 需要變更帳號的業(yè)務(wù)系統(tǒng) 帳號名及需要變更 權(quán)限描述 系統(tǒng)管理員意見及簽字 部門安全管理員意見及簽字 部門經(jīng)理及意見及簽字 系統(tǒng)管理員帳號變更完畢簽字 帳號接收完畢簽字 第 29 頁 共 30 頁 表格三：帳號撤銷申請表 申請人 所屬班組 撤消原因描述 需要撤消帳號的業(yè)務(wù)系統(tǒng) 帳號名及需要撤銷權(quán)限描述 系統(tǒng)管理員意見及簽字 部門安全管理人員意見及簽字 系統(tǒng)管理員帳號撤消完畢簽字 第 30 頁 共 30 頁 表格四：帳號登記表（實(shí)際操作建議使用電子管理系統(tǒng)實(shí)現(xiàn)） 申請人 變更原因 帳號名稱 所屬業(yè)務(wù)系統(tǒng) 系統(tǒng)管理員 變更詳細(xì)內(nèi) 容描述 變更時(shí)間 備注 備注 可選的記錄字段還包括：聯(lián)系電話、聯(lián)系郵件、批準(zhǔn)人、審核人、