網(wǎng)站建設(shè)安全大全
時(shí)間: 2016-11-15 分享新聞到
1.http://www.www.discountsoftwarelist.com門戶網(wǎng)站制作應(yīng)用數(shù)據(jù)庫服務(wù)器
安全控制點(diǎn) 測評指標(biāo) 問題列表 整改建議 備注
身份鑒別（S2） a) 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別； 操作系統(tǒng)采用默認(rèn)賬戶 不得使用默認(rèn)用戶和默認(rèn)口令。 通過加固完成
b) 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換； 1、操作系統(tǒng)口令策略配置如下：
密碼必須符合復(fù)雜性要求->禁用
密碼長度小值->0
密碼長使用期限->0天
密碼短使用期限->0天
強(qiáng)制密碼歷史->0次
2、未配置HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Policies\Network\HideSharePwds值 密碼必須符合復(fù)雜性要求->啟用
密碼長度小值->8
密碼長使用期限->180天
密碼短使用期限->1天
強(qiáng)制密碼歷史->5次
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ Policies\Network\HideSharePwds的DWORD值為1 通過加固完成
c) 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施； 1、操作系統(tǒng)登錄失敗處理策略配置如下：
復(fù)位帳戶鎖定計(jì)數(shù)器->不適用
帳戶鎖定時(shí)間->不適用
帳戶鎖定閥值->0次無效登錄 賬戶鎖定策略為:
復(fù)位帳戶鎖定計(jì)數(shù)器->3分鐘
帳戶鎖定時(shí)間->5分鐘
帳戶鎖定閥值->10次無效登錄 通過加固完成
訪問控制（G2） a) 應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問； 操作系統(tǒng)訪問控制安全策略如下：
1 、不存在多余的默認(rèn)共享及其它文件共享如：C$、D$、E$、F$、H$、inage
2、操作系統(tǒng)未關(guān)閉不必要端口：123、137、138
3、未禁用服務(wù)：Computer Browser、Print Spooler 關(guān)閉多余的默認(rèn)共享及其它文件共享。
關(guān)閉不必要的端口
137，138，139，123，1900
禁用多余服務(wù)：
Computer Browser、Print Spooler 通過加固完成
c) 廣州網(wǎng)站設(shè)計(jì)應(yīng)限制默認(rèn)賬戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令； 默認(rèn)賬戶administrator帳戶未進(jìn)行重命名 對administrator帳戶進(jìn)行重命名 通過加固完成
安全審計(jì)（G2） b) 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件； 操作系統(tǒng)審計(jì)策略配置如下：
1) 審計(jì)帳戶登錄事件：無審核
2) 審計(jì)帳戶管理： 無審核
3) 審計(jì)目錄服務(wù)訪問：無審核
4) 審計(jì)登錄事件： 無審核
5) 審計(jì)對象訪問： 無審核
6) 審計(jì)策略更改： 無審核
7) 審計(jì)特權(quán)使用： 無審核
8) 審計(jì)系統(tǒng)事件： 無審核
9）審計(jì)過程追蹤： 無審核
2、通過運(yùn)維審計(jì)系統(tǒng)進(jìn)行用戶操作審計(jì)和記錄。 配置審計(jì)策略：
1) 審計(jì)帳戶登錄事件： 成功，失敗
2) 審計(jì)帳戶管理： 成功，失敗
3) 審計(jì)目錄服務(wù)訪問： 成功，失敗
4) 審計(jì)登錄事件： 成功，失敗
5) 審計(jì)對象訪問： 成功，失敗
6) 審計(jì)策略更改： 成功，失敗
7) 審計(jì)特權(quán)使用： 成功，失敗
8) 審計(jì)系統(tǒng)事件： 成功，失敗
9）審計(jì)過程追蹤： 失敗 通過加固完成
d）應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。 1、操作系統(tǒng)采取對審計(jì)記錄存儲措施如下：
運(yùn)維審計(jì)和日志記錄：
應(yīng)用日志 16M、安全日志 16M、系統(tǒng)日志 7M。
2、日志保存小于2個(gè)月。 部署統(tǒng)一日志服務(wù)器對服務(wù)器日志進(jìn)行統(tǒng)一存儲管理；
應(yīng)用日志容量 50M-1024M、安全日志容量 50M-1024M、系統(tǒng)日志容量 50M-1024M；
日志保存2個(gè)月以上。 通過加固完成
惡意代碼防范（G2） a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫； 惡意代碼庫更新（手動(dòng)更新），未為版本。 病毒庫需及時(shí)更新。 通過加固完成
b) 應(yīng)支持惡意代碼軟件的統(tǒng)一管理。 操作系統(tǒng)未安裝防惡意代碼軟件。 安裝網(wǎng)絡(luò)版/企業(yè)版（國產(chǎn)）防惡意代碼的殺毒軟件，并實(shí)現(xiàn)統(tǒng)一管理。 通過采購防病毒系統(tǒng)實(shí)現(xiàn)
資源控制（A2） a) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 操作系統(tǒng)限制終端登錄策略配置如下：
1、未配置IP安全策略限制管理地址；
2、網(wǎng)絡(luò)安全設(shè)備未通過acl限制。 Windows Server 2000/2003 TCP/IP協(xié)議屬性 啟用TCP/IP篩選”；
通過配置本地策略中的IP安全策略進(jìn)行限制管理登錄地址；
網(wǎng)絡(luò)安全設(shè)備acl限制訪問本機(jī)的IP地址
通過IT運(yùn)維審計(jì)系統(tǒng)統(tǒng)一集中管理。 通過加固完成
b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定； 未啟用連接超時(shí)策略。 設(shè)置“Microsoft 網(wǎng)絡(luò)服務(wù)器：在掛起會(huì)話之前所需的空閑時(shí)間”為15分鐘；
屏幕保護(hù)時(shí)間為10分鐘，勾選喚醒服務(wù)器密碼。 通過加固完成
c) 應(yīng)限制單個(gè)用戶對系統(tǒng)資源的或小使用限度； 1、操作系統(tǒng)未使用工具或系統(tǒng)限制單用戶對系統(tǒng)資源的或小使用限度；
2、操作系統(tǒng)未對用戶啟用磁盤配額限制。 操作系統(tǒng)使用工具限制單用戶對系統(tǒng)資源的或小使用限度操作系統(tǒng)對用戶啟用磁盤配額限制。 通過加固完成
應(yīng)用安全問題
安全控制點(diǎn) 測評指標(biāo) 問題列表 整改建議 備注
身份鑒別（S2） a) 應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別； 應(yīng)用系統(tǒng)采用默認(rèn)賬戶 不得使用默認(rèn)用戶 通過加固完成
b) 應(yīng)提供用戶身份標(biāo)識和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用； 1、應(yīng)用系統(tǒng)未使用標(biāo)識，可存在重名的用戶；
2、應(yīng)用系統(tǒng)未提供用戶口令復(fù)雜功能模塊，用戶名與口令相同，口令由純數(shù)字組成，容易被猜解
3、用戶口令未設(shè)置定期更改，如從來沒改過用戶的密碼
4、應(yīng)用系統(tǒng)用戶口令明文存儲。 1、設(shè)置用戶標(biāo)識，防止存在重名用戶存在；
2、提供用戶口令復(fù)雜檢測功能，規(guī)定用戶口令由數(shù)字、大小寫字母、特殊字符組成
3、設(shè)置用戶口令定期更改（如30天更改一次）；
4、建議應(yīng)用系統(tǒng)用戶口令采用加密進(jìn)行存儲（如MD5、base64等） 通過開發(fā)廠商調(diào)整代碼完成
c) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施； 應(yīng)用系統(tǒng)未提供登錄失敗處理功能，無登錄次數(shù)限制。 1、建議應(yīng)用系統(tǒng)提供用戶登錄失敗處理功能；
2、限制用戶連續(xù)登錄10次錯(cuò)誤，結(jié)束用戶會(huì)話、鎖定用戶帳號、鎖定IP等在一段時(shí)間內(nèi)（如10分鐘）自動(dòng)解鎖，或由管理員進(jìn)行解鎖等。 通過開發(fā)廠商調(diào)整代碼完成
d) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。 1、應(yīng)用系統(tǒng)存在重名用戶（標(biāo)識無效）
2、應(yīng)用系未統(tǒng)提供非法登錄失敗處理攻能；
3、應(yīng)用系統(tǒng)未提供密碼復(fù)雜度功能。 1、建議應(yīng)用系統(tǒng)采用用戶名、員工號等作為用戶的標(biāo)識，防止出現(xiàn)重名用戶；
2、提供用戶登錄失敗處理功能，連續(xù)登錄10次錯(cuò)誤鎖定帳號、結(jié)束會(huì)話等；
3、提供用戶口令復(fù)雜度檢測功能，規(guī)定用戶口令由數(shù)字、大小寫字母、特殊字符組成。 通過開發(fā)廠商調(diào)整代碼完成
訪問控制(S2 a) 應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問； 應(yīng)用系統(tǒng)未限制用戶的訪問權(quán)限，或?qū)τ脩舻臋?quán)限限制不嚴(yán)格，存在普通用戶越權(quán)訪問敏感資源。 設(shè)置用戶的對系統(tǒng)資源的訪問權(quán)限，根據(jù)不同用戶權(quán)限級別訪問對應(yīng)的資源，防止普通用戶越權(quán)訪問敏感資源。 通過開發(fā)廠商調(diào)整代碼完成
b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作； 應(yīng)用系統(tǒng)未設(shè)置訪問控制策略，未根據(jù)不同的用戶權(quán)限要求對系統(tǒng)主體和客體資源的訪問控制，訪問控制粒度未達(dá)到用戶級。 1、建議應(yīng)用系統(tǒng)設(shè)置訪問控制策略，根據(jù)不同的用戶權(quán)限要求對系統(tǒng)主體和客體資源（主體可能是應(yīng)用系統(tǒng)進(jìn)程或用戶，客體可能是應(yīng)用系統(tǒng)功能、文件或數(shù)據(jù)庫表等）的訪問控制，訪問控制粒度要達(dá)到用戶級。
2、建議通過安全檢測或滲透測試等方法，檢測應(yīng)用系統(tǒng)是否存在越權(quán)訪問的弱點(diǎn)。 通過開發(fā)廠商調(diào)整代碼完成
c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限； 應(yīng)用系統(tǒng)存在默認(rèn)的帳戶，（如：admin且未禁止默認(rèn)帳號對系統(tǒng)的資源的訪問。 1、建議應(yīng)用系統(tǒng)設(shè)置訪問控制策略，限制用戶對資源的訪問權(quán)限；
2、修改應(yīng)用系統(tǒng)默認(rèn)帳號的名稱，（不能使用：admin、root、manager等名稱）禁止默認(rèn)帳號對系統(tǒng)的資源的訪問。 通過開發(fā)廠商調(diào)整代碼完成
d) 應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的小權(quán)限，并在它們之間形成相互制約的關(guān)系。 應(yīng)用系統(tǒng)未根據(jù)系統(tǒng)的需求設(shè)立系統(tǒng)使用人員、維護(hù)人員、審計(jì)人員等，未根據(jù)用戶的需要分配不同的權(quán)限；
2、應(yīng)用系統(tǒng)未實(shí)現(xiàn)“三權(quán)分立”，各用戶之間未形成相互制約的關(guān)系，如：文件審批流程要未經(jīng)過不同的用戶審批后才能完成。 1、建議應(yīng)用系統(tǒng)根據(jù)系統(tǒng)的需求設(shè)立管理員用戶、審計(jì)員用戶、維護(hù)員用戶，并根據(jù)用戶的需求分配不同的權(quán)；
2、建議設(shè)置的用戶權(quán)限形成相互制約的關(guān)系。 通過開發(fā)廠商調(diào)整代碼完成
安全審計(jì)(G2) a) 應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)； 應(yīng)用系統(tǒng)未提供日志審計(jì)功能，未部署日志審計(jì)系統(tǒng)。 1、建議應(yīng)用系統(tǒng)提供日志審計(jì)功能，或部署第三方日志審計(jì)系統(tǒng)；
2、開啟應(yīng)用系統(tǒng)日志審計(jì)功能，審計(jì)記錄覆蓋到每個(gè)用戶。 通過開發(fā)廠商調(diào)整代碼完成
b) 應(yīng)保證無法刪除、修改或覆蓋審計(jì)記錄； 應(yīng)用系統(tǒng)未提供日志審計(jì)功能，未部署日志審計(jì)系統(tǒng)。 1、去除應(yīng)用系統(tǒng)的普通用戶刪除、修改、覆蓋日志審計(jì)記錄的操作權(quán)限；
2、建議應(yīng)用系統(tǒng)日志保存的時(shí)間在三個(gè)月以上，并支持日志生成報(bào)表導(dǎo)出的功能。 通過開發(fā)廠商調(diào)整代碼完成
c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等； 應(yīng)用系統(tǒng)未提供日志審計(jì)功能，未部署日志審計(jì)系統(tǒng)。 提供應(yīng)用系統(tǒng)日志審計(jì)功能，審計(jì)日志記錄內(nèi)容要包括：用戶名、時(shí)間、日期、發(fā)起者信息、IP地址、類型、描述、操作結(jié)果等。 通過開發(fā)廠商調(diào)整代碼完成
通信完整性（S2） a) 應(yīng)采用校驗(yàn)碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。 應(yīng)用系統(tǒng)在通信過程中未采用校驗(yàn)碼技術(shù)進(jìn)行通信，未能保證通信過程數(shù)據(jù)的完整性。 建議應(yīng)用系統(tǒng)在通信過程中采用加密技術(shù)（https、MD5、base64等）保證通信過程中數(shù)據(jù)的完整性。 通過開發(fā)廠商調(diào)整代碼完成
通信保密性（S2） a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證； 應(yīng)用系統(tǒng)在通信雙方建議連接之前未采用加密技術(shù)進(jìn)行會(huì)話初始化。 建議應(yīng)用系統(tǒng)在通信雙方建立連接之前采用加密技術(shù)（如：https、MD5、base64等加密技術(shù)）進(jìn)行會(huì)話初始化。 通過開發(fā)廠商調(diào)整代碼完成
b) 應(yīng)對通信過程中的敏感信息字段進(jìn)行加密。 應(yīng)用系統(tǒng)在通信過程中未采用加密技術(shù)對整個(gè)報(bào)文或會(huì)話進(jìn)行加密。 建議應(yīng)用系統(tǒng)在通信過程中采用加密技術(shù)（如：https、MD5、base64、加密機(jī)等加密技術(shù)）對整個(gè)報(bào)文或會(huì)話進(jìn)行加密。 通過開發(fā)廠商調(diào)整代碼完成
軟件容錯(cuò)（A2） b) 在故障發(fā)生時(shí)，應(yīng)用系統(tǒng)應(yīng)能夠繼續(xù)提供一部分功能，確保能夠?qū)嵤┍匾拇胧?應(yīng)用系統(tǒng)未采用模塊化的設(shè)計(jì)方式，當(dāng)系統(tǒng)出現(xiàn)模塊故障時(shí)，影響業(yè)務(wù)的正常使用。 建議應(yīng)用系統(tǒng)采用模塊化結(jié)構(gòu)，或采用集群、雙機(jī)熱備模式，防止系統(tǒng)出現(xiàn)單故障里影響正常業(yè)務(wù)使用。 通過開發(fā)廠商調(diào)整代碼完成
資源控制（A2） a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會(huì)話； 應(yīng)用系統(tǒng)未對用戶登錄超時(shí)限制，當(dāng)雙方在通過程中的一方在一段時(shí)間內(nèi)未做任何響應(yīng)時(shí)，未自動(dòng)結(jié)束會(huì)話退出登錄。 建議應(yīng)用系統(tǒng)提供用戶登錄超時(shí)退出功能，當(dāng)雙方在通信過程中一方在一段時(shí)間內(nèi)（20分）未做任何響應(yīng)時(shí)自動(dòng)結(jié)束會(huì)話退出登錄。 通過開發(fā)廠商調(diào)整代碼完成
b) 應(yīng)能夠?qū)?yīng)用系統(tǒng)的并發(fā)會(huì)話連接數(shù)進(jìn)行限制； 應(yīng)用系統(tǒng)未限制并發(fā)會(huì)話連接數(shù)。 1、建議應(yīng)用系統(tǒng)限制并發(fā)會(huì)話連接數(shù)，建議設(shè)置為1000到2000；
2、建議通過配置中間件（如：IIS、apache、tomcat等），或數(shù)據(jù)庫限制并發(fā)會(huì)話連接數(shù)。 通過加固完成
c) 應(yīng)能夠?qū)蝹€(gè)帳戶的多重并發(fā)會(huì)話進(jìn)行限制； 應(yīng)用系統(tǒng)未對用戶多重登錄進(jìn)行限制，同一個(gè)帳號在同一個(gè)時(shí)間內(nèi)可以在不同的地方進(jìn)行登錄操作。 建議應(yīng)用系統(tǒng)限制單個(gè)用戶進(jìn)行多重會(huì)話登錄，限制同一個(gè)帳號在同一個(gè)時(shí)間內(nèi)只允許在一個(gè)地方登錄。 通過開發(fā)廠商調(diào)整代碼完成
粵公網(wǎng)安備 44010602006226號
