等保二级测评问题修复文档
目录
1
操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换； ........ 5 1.1 Centos操作系统用户口令未有复杂度要求并定期更换 ................................................................................... 5
1.1.1 提升系统口令复杂度 ............................................................................................................................... 5 1.1.2 提升密码复杂度 ....................................................................................................................................... 5 1.2 Windows（跳板机）操作系统未根据安全策略配置口令的复杂度和更换周期 ............................................ 6 1.3 数据库系统用户口令未定期更换 ....................................................................................................................... 6 2 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； ........................................ 6
2.1 Centos操作系统未设置合理的登陆失败处理功能，未设置设备登录失败超时时间 .................................... 6
2.1.1 修改远程登录用户 ................................................................................................................................... 6 2.1.2 修改客户端登录用户 ............................................................................................................................... 6 2.2 Windows操作系统未设置合理的登陆失败处理功能，未设置设备登录失败超时时间 ............................... 7 2.3 数据库系统登录失败处理功能配置不满足要求，登录失败次数为100次，未设置非法登录锁定措施 .... 7 3 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听； ........................ 7 4 应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。 ........................................ 7 5 Windows（跳板机）应启用访问控制功能，依据安全策略控制用户对资源的访问； ............................................ 7 6 应实现操作系统和数据库系统特权用户的权限分离 ................................................................................................... 9
6.1 Centos操作系统未实现特权用户的权限分离，如可分为：系统管理员、安全管理员、安全审计员等 .... 9
6.1.1 添加不同角色的人员 ............................................................................................................................... 9 6.1.2 为sysadmin添加sudo权限 .................................................................................................................... 9 6.2 Window操作系统未实现特权用户的权限分离，如可分为：系统管理员、安全管理员、安全审计员等 . 9 6.3 数据库账户和系统管理员账户的权限一致 ..................................................................................................... 10 7 应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令 .................................................. 11
7.1 Centos操作系统未限制默认账户的访问权限，未重命名默认账户 ............................................................. 11 7.2 Windows操作系统未限制默认账户的访问权限，未重命名默认账户 ......................................................... 11 7.3 数据库系统未限制默认账户的访问权限，未重命名默认账户...................................................................... 11 8 应及时删除多余的、过期的帐户，避免共享帐户的存在 ......................................................................................... 12
8.1 Centos操作系统未限制默认账户的访问权限，未删除多余、过期的账户（adm、 lp、sync、 shutdown、 halt、mail、operator、games ） ................................................................................................................................. 12
8.1.1 注释掉不需要的用户 ............................................................................................................................. 12 8.1.2 注释掉不需要的组 ................................................................................................................................. 13 8.2 Windows操作系统未限制默认账户的访问权限 ............................................................................................. 14 8.3 数据库系统未限制默认账户的访问权限，未删除多余、过期和共享的账户 .............................................. 15 9 审计范围应覆盖到服务器上的每个操作系统用户和数据库用户 ............................................................................. 15
9.1 Centos操作系统未开启日志审计功能，审计范围未覆盖到每个用户，未使用第三方安全审计产品实现审计要求 ............................................................................................................................................................................. 15 9.2 Windows操作系统审计日志未覆盖到用户所有重要操作 ............................................................................. 15 9.3 数据库系统未开启审计进程；未使用第三方审计系统对系统进行操作审计，审计范围未覆盖到抽查的用户 15 10 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件 16
10.1 Centos审计内容未包括重要用户行为，系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件 ......................................................................................................................................................................... 16 10.2 Windows审计内容未包括系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件.. 18 10.3 数据库系统的审计内容未包括：重要用户行为、系统资源的异常使用和重要系统命令的使用等 ...... 18 11 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等 .................................................. 19
Centos审计记录未包括事件的日期、事件、类型、主体标识、客体标识和结果等 .................................. 19 数据库系统审计记录未包括事件的日期、时间、类型、主体标识、客体标识和结果等 ...................... 19
12 应保护审计记录，避免受到未预期的删除、修改或覆盖等 ............................................................................. 19
12.1 Centos审计记录未受到保护，未能避免受到未预期的删除、修改或覆盖等.............................................. 19 12.2 数据库系统未对审计记录进行保护 ............................................................................................................. 19 13 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新 ................................................................................................................................................................. 19
13.1 Centos操作系统未及时更新系统补丁，未禁用多余服务端口：123 ........................................................... 19
13.1.1 更新openssl ............................................................................................................................................ 19 13.1.2 更新openssh ........................................................................................................................................... 19 13.2 Windows操作系统未遵循最小安装原则，存在多余软件：谷歌浏览器、notepad++，未及时更新系统补丁，未禁用多余服务：Print Spooler，未禁用多余端口：135、137、139、445、123 .......................................... 20 14 应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库 ...................................................... 20
14.1 Centos .................................................................................................................................................................. 20 14.2 Windows .............................................................................................................................................................. 20 15
应支持防恶意代码软件的统一管理 ..................................................................................................................... 21 15.1 Centos .................................................................................................................................................................. 21 15.2 Windows .............................................................................................................................................................. 21
11.1 11.2
16
应通过设定终端接入方式、网络地址范围等条件限制终端登录...................................................................... 22 16.1 Centos作系统未设定终端接入方式、网络地址范围等条件限制终端登录 ................................................. 22 16.2 数据库系统未通过设定终端接入方式、网络地址范围等条件限制终端登录 .......................................... 23 17 应根据安全策略设置登录终端的操作超时锁定 ................................................................................................. 23
17.1 Centos操作系统未根据安全策略设置登录终端的操作超时锁定 ................................................................. 23
17.1.1 修改ssh终端用户 .................................................................................................................................. 23 17.1.2 修改系统用户 ......................................................................................................................................... 23 17.2 windows操作系统未根据安全策略设置登录终端的操作超时锁定和屏幕保护时间 .................................. 24
17.2.1 为断开的会话设置时间限制:10分钟 ................................................................................................... 24 17.2.2 屏幕保护 ................................................................................................................................................. 25 17.3 数据库系统未根据安全策略设置终端的操作超时锁定 ............................................................................. 25 18 应限制单个用户对系统资源的最大或最小使用限度 ......................................................................................... 25 19 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用 ................................................................................................................................................................. 26 20 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； .............................. 26 21 应由授权主体配置访问控制策略，并严格限制默认账户的访问权限； .......................................................... 27 22 应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系； .................. 27 23 应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计 .............................................. 27
23.1 应用系统未启用审计功能 ............................................................................................................................. 27 23.1 中间件已提供覆盖到抽查用户的安全审计功能，未对增加用户、删除用户、修改用户权限、系统资源异常等操作进行记录 ..................................................................................................................................................... 27 24 应采用校验码技术保证通信过程中数据的完整性。 ......................................................................................... 27 25 中间件未提供登录超时退出功能，空闲20分钟，自动退出系统.................................................................... 27 26 应用系统未对系统的最大并发会话连接数进行限制 ......................................................................................... 28 27 中间件未对系统的最大并发会话连接数进行限制 ............................................................................................. 28 28 应用系统同一台机器未对系统单个账号的多重并发会话进行限制，不同机器未对系统单个账号的多重并发会话进行限制 ......................................................................................................................................................................... 28 29 系统通过SSH1、VPN和HTTP方式进行数据传输，部分管理数据、鉴别数据、重要业务数据在传输过程中未能检测到完整性遭到破坏，未能够对数据在遭到传输完整性破 ................................................................................. 28 30 建议系统采用通信加密或者其他措施实现管理数据、鉴别数据、重要业务数据的存储保密性 .................. 29 31 建议系统提供每天至少一次的数据完全备份，并对备份介质进行场外存放 .................................................. 29
32
建议提供数据库系统硬件冗余，保证系统的高可用性 ..................................................................................... 29
