二級(jí)系統(tǒng)安全等級(jí)保護(hù)基本要求與測(cè)評(píng)要求內(nèi)容(已改無(wú)錯(cuò)字)
2022-09-02 02:06:51 本頁(yè)面
【正文】 鍵服務(wù)器操作系統(tǒng)補(bǔ)丁的升級(jí)；d) 應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫(kù)管理系統(tǒng)的補(bǔ)丁是否得到了及時(shí)安裝。惡意代碼防范(G)a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)；b) 應(yīng)支持防惡意代碼軟件的統(tǒng)一管理。a) 應(yīng)訪談系統(tǒng)安全管理員，詢(xún)問(wèn)主機(jī)系統(tǒng)是否采取惡意代碼實(shí)時(shí)檢測(cè)與查殺措施，惡意代碼實(shí)時(shí)檢測(cè)與查殺措施的部署覆蓋范圍如何；b) 應(yīng)檢查關(guān)鍵服務(wù)器，查看是否安裝了實(shí)時(shí)檢測(cè)與查殺惡意代碼的軟件產(chǎn)品并進(jìn)行及時(shí)更新；c) 應(yīng)檢查防惡意代碼產(chǎn)品是否實(shí)現(xiàn)了統(tǒng)一管理。資源控制(A)/a) 應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；c) 應(yīng)限制單個(gè)用戶(hù)對(duì)系統(tǒng)資源的最大或最小使用限度。a) 應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)，查看是否設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；b) 應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)，查看是否設(shè)置了單個(gè)用戶(hù)對(duì)系統(tǒng)資源的最大或最小使用限度；c) 應(yīng)檢查能夠訪問(wèn)關(guān)鍵服務(wù)器的終端是否設(shè)置了操作超時(shí)鎖定的配置。應(yīng)用安全身份鑒別(S)a) 應(yīng)提供專(zhuān)用的登錄控制模塊對(duì)登錄用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別；c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話(huà)、限制非法登錄次數(shù)和自動(dòng)退出等措施；d) 應(yīng)啟用身份鑒別和登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)a) 應(yīng)提供專(zhuān)用的登錄控制模塊對(duì)登錄用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別；b) 應(yīng)提供用戶(hù)身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶(hù)身份標(biāo)識(shí)，身份鑒別信息不易被冒用；c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話(huà)、限制非法登錄次數(shù)和自動(dòng)退出等措施；d) 應(yīng)啟用身份鑒別、用戶(hù)身份標(biāo)識(shí)唯一性檢查、用戶(hù)身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。a) 應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢(xún)問(wèn)應(yīng)用系統(tǒng)是否提供專(zhuān)用的登錄控制模塊對(duì)登錄的用戶(hù)進(jìn)行身份標(biāo)識(shí)和鑒別，具體措施有哪些；系統(tǒng)采取何種措施防止身份鑒別信息被冒用 ；b) 應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢(xún)問(wèn)應(yīng)用系統(tǒng)是否具有登錄失敗處理功能；c) 應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢(xún)問(wèn)應(yīng)用系統(tǒng)對(duì)用戶(hù)標(biāo)識(shí)是否具有唯一性；d) 應(yīng)檢查設(shè)計(jì)或驗(yàn)收文檔，查看其是否有系統(tǒng)采用了保證唯一標(biāo)識(shí)的措施的描述；e) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否提供身份標(biāo)識(shí)和鑒別功能； 查看 其身份鑒別信息是否具有不易被冒用的特點(diǎn)；其鑒別信息復(fù)雜度檢查功能是否能保證系統(tǒng)中不存在弱口令等；f) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其提供的登錄失敗處理功能，是否根據(jù)安全策略配置了相關(guān)參數(shù)；g) 應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)試圖以合法和非法用戶(hù)分別登錄系統(tǒng)，查看是否成功，驗(yàn)證其身份標(biāo)識(shí)和鑒別功能是否有效；h) 應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，驗(yàn)證其登錄失敗處理功能是否有效。安全標(biāo)記(S)//訪問(wèn)控制(S)a) 應(yīng)提供訪問(wèn)控制功能控制用戶(hù)組/用戶(hù)對(duì)系統(tǒng)功能和用戶(hù)數(shù)據(jù)的訪問(wèn)；c) 應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，并嚴(yán)格限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限a) 應(yīng)提供訪問(wèn)控制功能，依據(jù)安全策略控制用戶(hù)對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問(wèn)；b) 訪問(wèn)控制的覆蓋范圍應(yīng)包括與資源訪問(wèn)相關(guān)的主體、客體及它們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，并嚴(yán)格限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限；d) 應(yīng)授予不同帳戶(hù)為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。a) 應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢(xún)問(wèn)應(yīng)用系統(tǒng)是否提供訪問(wèn)控制措施，以及具體措施和訪問(wèn)控制策略有哪些，訪問(wèn)控制的粒度如何；b) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看系統(tǒng)是否提供訪問(wèn)控制機(jī)制；是否依據(jù)安全策略控制用戶(hù)對(duì)客體的訪問(wèn)；c) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其訪問(wèn)控制的覆蓋范圍是否包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；訪問(wèn)控制的粒度是否達(dá)到主體為用戶(hù)級(jí)，客體為文件、數(shù)據(jù)庫(kù)表級(jí)；d) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否有由授權(quán)用戶(hù)設(shè)置其它用戶(hù)訪問(wèn)系統(tǒng)功能和用戶(hù)數(shù)據(jù)的權(quán)限的功能，是否限制默認(rèn)用戶(hù)的訪問(wèn)權(quán)限；e) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng) ，查看系統(tǒng)是否授予不同帳戶(hù)為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，特權(quán)用戶(hù)的權(quán) 限是否分離，權(quán)限之間是否相互制約；f) 應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)以不同權(quán)限的用戶(hù)登錄系統(tǒng)，查看其擁有的權(quán)限是否與系統(tǒng)賦予的權(quán)限一致，驗(yàn)證應(yīng)用系統(tǒng)訪問(wèn)控制功能是否有效；g) 應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)以默認(rèn)用戶(hù)登錄系統(tǒng)，并進(jìn)行一些合法和非法操作，驗(yàn)證系統(tǒng)是否嚴(yán)格限制了默認(rèn)帳戶(hù)的訪問(wèn)權(quán)限?？尚怕窂?S)//安全審計(jì)(G)/a) 應(yīng)提供覆蓋到每個(gè)用戶(hù)的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；b) 應(yīng)保證無(wú)法刪除、修改或覆蓋審計(jì)記錄；c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件日期、時(shí)間、發(fā)起者信息、類(lèi)型、描述和結(jié)果等。a) 應(yīng)訪談安全審計(jì)員，詢(xún)問(wèn)應(yīng)用系統(tǒng)是否有安全審計(jì)功能；對(duì)事件進(jìn)行審計(jì)的選擇要求和策略是什么；對(duì)審計(jì)日志的處理方式有哪些；b) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其當(dāng)前審計(jì)范圍是否覆蓋到每個(gè)用戶(hù)；c) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其審計(jì)策略是否覆蓋系統(tǒng)內(nèi)重要的安全相關(guān)事件，例如，用戶(hù)標(biāo)識(shí)與鑒別、訪問(wèn)控制的所有操作記錄、重要用戶(hù)行為、系統(tǒng)資源的異常使用、重要系統(tǒng)命令的使用等；d) 應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其審計(jì)記錄信息是否包括事件發(fā)生的日期與時(shí)間、觸發(fā)事件的主體與客體、事件的類(lèi)型、事件成功或失敗、身份鑒別事件中請(qǐng)求的來(lái)源、事件的結(jié)果等內(nèi)容；e) 應(yīng)測(cè)試重要應(yīng)用系統(tǒng)，在應(yīng)用系統(tǒng)上試圖產(chǎn)生一些重要的安全相關(guān)事件（如用戶(hù)登錄、修改用戶(hù)權(quán)限
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1