第一篇：操作系統(tǒng)安全設(shè)置文檔

操作系統(tǒng)安全設(shè)置

作者

班級(jí)

摘要：本文主要從***幾個(gè)方面闡述了個(gè)人計(jì)算機(jī)的安全設(shè)置，通過這些設(shè)置，可以提高個(gè)人操作系統(tǒng)的安全性。

關(guān)鍵詞：

Abstract:

Keywords:

正文：

1.我的操作系統(tǒng)簡(jiǎn)介

操作系統(tǒng)版本：

存在的用戶：

2． 設(shè)置了哪些安全防護(hù)措施

例如：密碼安全、防火墻的設(shè)置、注冊(cè)表的設(shè)置等

3． 應(yīng)該如何改進(jìn)安全防護(hù)措施

參考文獻(xiàn)：

[1]網(wǎng)址

[2]

第二篇：2003系統(tǒng)安全設(shè)置

Windows Server 2003(企業(yè)版32位)系統(tǒng)安全設(shè)置

系統(tǒng)中最多裝一個(gè)殺毒軟件和RAR解壓縮工具和很小的一個(gè)流量監(jiān)控軟件。其他的無關(guān)軟件也一律不要安裝，甚至不用裝office。多一個(gè)就會(huì)多一份漏洞和不安全隱患。開啟系統(tǒng)自帶防火墻是正確有效的防護(hù)，請(qǐng)相信微軟的智商。通過以下基本安全設(shè)置后，加上服務(wù)器管理員規(guī)范的操作，服務(wù)器一般不會(huì)出現(xiàn)什么意外了，畢竟我們的服務(wù)器不是用來架設(shè)多個(gè)WEB網(wǎng)站的，造成漏洞的可能性大大降低。當(dāng)然，沒有絕對(duì)的事，做好服務(wù)器系統(tǒng)和OA數(shù)據(jù)備份是必須的。

如果對(duì)以下操作不太熟悉，建議先在本地機(jī)器練練，不要拿用戶服務(wù)器測(cè)試，以免造成其他問題。

另贈(zèng)送32位和64位的系統(tǒng)解釋：windows server 200332位和64位操作系統(tǒng)的區(qū)別 問：

1、windows server 2003 32位和64位操作系統(tǒng)的區(qū)別2、32位windows server 2003是否可以用在兩路四核 E5410 2.33GHz處理器和4x2GB內(nèi)存上

答：

1、32位和64位的差別在于如果你的CPU是64位的，64位的OS能夠完全發(fā)揮CPU的性能，而不需要使CPU運(yùn)行在32位兼容模式下。

2、32位windows server 2003可以用在兩路四核 E5410 2.33GHz處理器和4x2GB內(nèi)存上，通過PAE模式也可以支持4G以上內(nèi)存。

另外補(bǔ)充一下，Windows Server 2003的硬件支持特性并不是由32位或64位來決定的，而是由OS本身的版本來決定的。

以Windows Server 2003為例，標(biāo)準(zhǔn)版可以支持的最大CPU數(shù)為4路，最大內(nèi)存數(shù)為4G，而企業(yè)版則可以支持最大CPU數(shù)8路，最大內(nèi)存數(shù)32G。

回正題：

(一)禁用不需要的服務(wù)

Alerter通知選定的用戶和計(jì)算機(jī)管理警報(bào)。

Computer Browser維護(hù)網(wǎng)絡(luò)上計(jì)算機(jī)的更新列表，并將列表提供給計(jì)算機(jī)指定瀏覽。

Error Reporting Service 收集、存儲(chǔ)和向 Microsoft 報(bào)告異常應(yīng)用程序崩潰。

Help and Support啟用在此計(jì)算機(jī)上運(yùn)行幫助和支持中心。

Print Spooler管理所有本地和網(wǎng)絡(luò)打印隊(duì)列及控制所有打印工作。

Remote Registry使遠(yuǎn)程用戶能修改此計(jì)算機(jī)上的注冊(cè)表設(shè)置。

Remote Desktop Help Session Manager 管理并控制遠(yuǎn)程協(xié)助。

Server支持此計(jì)算機(jī)通過網(wǎng)絡(luò)的文件、打印、和命名管道共享。

Task Scheduler使用戶能在此計(jì)算機(jī)上配置和計(jì)劃自動(dòng)任務(wù)。(如果不需要可以禁用)可能需要

TCP/IP NetBIOS Helper 提供 TCP/IP(NetBT)服務(wù)上的 NetBIOS 和網(wǎng)絡(luò)上客戶端的 NetBIOS 名稱解析的支持，從而使用戶能夠共享文件、打印和登錄到網(wǎng)絡(luò)。

Workstation創(chuàng)建和維護(hù)到遠(yuǎn)程服務(wù)的客戶端網(wǎng)絡(luò)連接。

禁用以上列出的服務(wù)，系統(tǒng)默認(rèn)已經(jīng)禁用的服務(wù)如果特殊需要請(qǐng)不要開啟。

(二)本地安全策略設(shè)置

打開【控制面版】，找到【管理工具】，打開【本地安全策略】

帳戶策略—>帳戶鎖定策略 1)

2)

3)

4)將帳戶鎖定閾值，由默認(rèn)值0改為5，即5次無效登錄，帳戶將被鎖定30分鐘?？筛鶕?jù)實(shí)際情況進(jìn)行修改。帳戶鎖定時(shí)間默認(rèn)為30分鐘，可以根據(jù)需要改成更長(zhǎng)或更短的時(shí)間。本地策略—>審核策略 審核策略更改成功 失敗 審核登錄事件成功 失敗 審核對(duì)象訪問失敗 審核過程跟蹤無審核 審核目錄服務(wù)訪問失敗 審核特權(quán)使用失敗 審核系統(tǒng)事件成功 失敗 審核賬戶登錄事件 成功 失敗 審核賬戶管理成功 失敗 本地策略—>用戶權(quán)限分配 關(guān)閉系統(tǒng)只留Administrators組、其它全部刪除。允許通過終端服務(wù)登錄 只留Administrators，Remote Desktop Users組，其他全部刪除。本地策略—>安全選項(xiàng)

交互式登陸: 不顯示上次的用戶名啟用

(Interactive logon: Do not display last user name啟用)

網(wǎng)絡(luò)訪問: 不允許 SAM 帳戶和共享的匿名枚舉啟用

(Network access: Do not allow anonymous enumeration of SAM accounts and shares 啟用)

網(wǎng)絡(luò)訪問: 不允許存儲(chǔ)網(wǎng)絡(luò)身份驗(yàn)證的憑據(jù)或.NET Passports啟用

(Network access: Do not allow storage of credentials or.NET Passports for network authentication 啟

用)

網(wǎng)絡(luò)訪問: 可匿名訪問的共享全部刪除

(Network access: Shares that can be accessed anonymously 全部刪除)

網(wǎng)絡(luò)訪問: 可匿名訪問的命名管道全部刪除

(Network access: Named Pipes that can be accessed anonymously 全部刪除)

網(wǎng)絡(luò)訪問: 可遠(yuǎn)程訪問的注冊(cè)表路徑全部刪除

(Network access: Remotely accessible registry paths 全部刪除)

網(wǎng)絡(luò)訪問: 可遠(yuǎn)程訪問的注冊(cè)表路徑和子路徑全部刪除

(Network access: Remotely accessible registry paths and sub-paths 全部刪除)

帳戶：重命名來賓帳戶輸入一個(gè)新的帳戶

帳戶：重命名系統(tǒng)管理員帳戶輸入一個(gè)新的帳戶

(三)改名或卸載最不安全的組件，防止ASP網(wǎng)馬運(yùn)行，（沒有架設(shè)ASP運(yùn)行環(huán)境，這一步可以不做）

1)卸載最不安全的組件

最簡(jiǎn)單的辦法是直接卸載后刪除相應(yīng)的程序文件。將下面的代碼保存為一個(gè).bat文件，然后運(yùn)行一下，WScript.Shell, Shell.application, WScript.Network就會(huì)被卸載了?？赡軙?huì)提示無法刪除文件，不用管它，重啟一下服務(wù)器就可以了。

regsvr32/u C:WINDOWSSystem32wshom.ocx

del C:WINDOWSSystem32wshom.ocx

regsvr32/u C:WINDOWSsystem32shell32.dll

del C:WINDOWSsystem32shell32.dll

2)改名不安全組件(這一步可以不做)

a)Scripting.FileSystemObject可以對(duì)文件和文件夾進(jìn)行常規(guī)操作

禁用該組件并不是最理想的安全措施，禁用后會(huì)導(dǎo)致大部ASP網(wǎng)站無法運(yùn)行

定位到HKEY_CLASSES_ROOTScripting.FileSystemObject將其重命名

定位到HKEY_CLASSES_ROOTScripting.FileSystemObjectCLSID刪除其右側(cè)的默認(rèn)值

禁止Guests組用戶調(diào)用此組件，運(yùn)行中輸入“cacls C:WINDOWSsystem32scrrun.dll /e /d guests” b)WScript.Shell可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令，非常危險(xiǎn)

定位到HKEY_CLASSES_ROOTWScript.Shell將其重命名

定位到HKEY_CLASSES_ROOTWScript.ShellCLSID刪除其右側(cè)的默認(rèn)值

定位到HKEY_CLASSES_ROOTWScript.Shell.1將其重命名

定位到HKEY_CLASSES_ROOTWScript.Shell.1CLSID刪除其右側(cè)的默認(rèn)值

c)Shell.Application可以調(diào)用系統(tǒng)內(nèi)核運(yùn)行DOS基本命令，非常危險(xiǎn)

定位到HKEY_CLASSES_ROOTShell.Application將其重命名

定位到HKEY_CLASSES_ROOTShell.ApplicationCLSID刪除其右側(cè)的默認(rèn)值

定位到HKEY_CLASSES_ROOTShell.Application.1將其重命名

定位到HKEY_CLASSES_ROOTShell.Application.1CLSID刪除其右側(cè)的默認(rèn)值

禁止Guests組用戶調(diào)用此組件，運(yùn)行中輸入“cacls C:WINDOWSsystem32shell32.dll /e /d guests”

d)WScript.Network為ASP程序羅列和創(chuàng)建系統(tǒng)用戶(組)提供了可能

定位到HKEY_CLASSES_ROOTWScript.Network將其重命名

定位到HKEY_CLASSES_ROOTWScript.NetworkCLSID刪除其右側(cè)的默認(rèn)值

定位到HKEY_CLASSES_ROOTWScript.Network.1將其重命名

定位到HKEY_CLASSES_ROOTWScript.Network.1CLSID刪除其右側(cè)的默認(rèn)值0

注：以上操作需要重新啟動(dòng)服務(wù)后才會(huì)生效。

(四)組策略設(shè)置（運(yùn)行中輸入“gpedit.msc”打開）

1)關(guān)閉自動(dòng)播放

有兩處需要修改分別是：

1、計(jì)算機(jī)配置—>管理模板—>系統(tǒng)(System)

2、用戶配置—>管理模板—>系統(tǒng)(System)

將兩處的“關(guān)閉自動(dòng)播放(Turn off Autoplay)”設(shè)置成“已啟用”同時(shí)選擇“所有驅(qū)動(dòng)器(All drives)”

(五)禁止dump file的產(chǎn)生

dump文件在系統(tǒng)崩潰和藍(lán)屏的時(shí)候是一份很有用的查找問題的資料。然而，它也能夠給黑客提供一些敏感信息比如一些應(yīng)用程序的密碼等。

1)右擊【我的電腦】選擇【屬性】打開【系統(tǒng)屬性】，點(diǎn)擊【啟動(dòng)和故障恢復(fù)】的【設(shè)置】，將【寫入調(diào)試信息】由“完全內(nèi)存轉(zhuǎn)儲(chǔ)”改為“(無)”，并刪除C:WINDOWS下的MEMORY.DMP（如果存在這個(gè)文件）

2)關(guān)閉華醫(yī)生Dr.Watson，在運(yùn)行中輸入“drwtsn32”調(diào)出系統(tǒng)里的華醫(yī)生Dr.Watson，只保留“轉(zhuǎn)儲(chǔ)全部線程上下文”選項(xiàng)，否則一旦程序出錯(cuò)，硬盤會(huì)讀很久，并占用大量空間。同時(shí)刪除C:Documents and SettingsAdministratorLocal SettingsApplication DataMicrosoftDr Watson下的user.dmp（如果存在這個(gè)文件）

(六)網(wǎng)絡(luò)連接設(shè)置

1)打開網(wǎng)絡(luò)連接的屬性，去掉“Microsoft網(wǎng)絡(luò)客戶端(Client for Microsoft Networkd)”和“Microsoft網(wǎng)絡(luò)的文件和打印機(jī)共享(File and Printer Sharing for Microsoft Netwoks)”前的勾

2)打開“Internet 協(xié)議(TCP/IP)(Internet Protocol(TCP/IP))”的屬性，點(diǎn)擊【高級(jí)】再點(diǎn)擊【W(wǎng)INS】選項(xiàng)卡，選擇“禁用TCP/IP上的NetBIOS”，這樣可以關(guān)閉139端口。

3)開啟Windwos自帶的防火墻

打開本地連接屬性，點(diǎn)擊【高級(jí)】再點(diǎn)擊【設(shè)置】，會(huì)提示你防火墻沒有運(yùn)行，點(diǎn)擊【是】開啟防火墻，在防火墻設(shè)置對(duì)話框【常規(guī)】選項(xiàng)卡中點(diǎn)擊“啟用”（不要勾選“不允許例外”），然后在【例外】選項(xiàng)卡中點(diǎn)擊【添加端口】，添加需要的端口如21，25，80，110，1433，3306，3389

等，在【高級(jí)】選項(xiàng)卡中點(diǎn)擊ICMP的【設(shè)置】勾選“允許傳入回顯請(qǐng)求”

OA系統(tǒng)一般開啟的端口是80，精靈1188和視頻會(huì)議1935，現(xiàn)在的高百特不知是什么端口了（UDP協(xié)議），遠(yuǎn)程桌面3389，其他不要開。

(七)本地用戶和組設(shè)置

1)禁用Guest（如果之前已經(jīng)重命名了來賓帳戶，則禁用重命名后的帳戶），SUPPORT_388945a0，SQLDebugger（安裝了SQL Server 2000后會(huì)出現(xiàn)這個(gè)帳戶）

2)創(chuàng)建Administrator陷阱帳戶（前題需要已經(jīng)重命名了系統(tǒng)管理員帳戶）并設(shè)置一個(gè)超過10位的超級(jí)復(fù)雜密碼

3)重命名Administrators組，在組里面右擊Administrators選擇重命名(Rename)，然后輸入一個(gè)新的名字。這樣即使系統(tǒng)出現(xiàn)了溢出漏洞，想通過“net localgroup administraots xxx /add”來提權(quán)是根本不可能的了，除非知道重命名后的管理員組的名字。

(八)防止Serv-U權(quán)限提升，（一般OA服務(wù)器中不會(huì)架設(shè)這個(gè)FTP，可不用設(shè)置）

1)用Ultraedit打開ServUDaemon.exe查找“Ascii:LocalAdministrator”和“#l@$ak#.lk;0@P”修改成等長(zhǎng)度的其它字符就可以了，ServUAdmin.exe也一樣處理。

2)另外注意設(shè)置Serv-U所在的文件夾的權(quán)限，不要讓IIS匿名用戶有讀取的權(quán)限，否則人家下走你修改過的文件，照樣可以分析出你的管理員名和密碼。

3)

(九)IIS設(shè)置（一般OA服務(wù)器中不會(huì)架設(shè)這個(gè)IIS，可不用設(shè)置）

1)

2)

3)修改默認(rèn)FTP站點(diǎn)的主目錄路徑為C:ftproot 刪除或停用網(wǎng)站目錄下的默認(rèn)網(wǎng)站 在Web服務(wù)擴(kuò)展里面將Active Server Pages設(shè)置為允許

（十）windows2003修改遠(yuǎn)程登陸端口號(hào)

現(xiàn)在利用終端服務(wù)(3389漏洞)結(jié)合輸入法漏洞攻擊Win 2003 Server的案例越來越多，作為一條安全措施，可以修改一下終端服務(wù)所提供的端口，使常規(guī)的掃描器掃描不到。但這個(gè)方法說到底仍然是一個(gè)治標(biāo)不治本的辦法，如果攻擊者知道修改了的端口所提供的服務(wù)后，仍然會(huì)連接上你的終端服務(wù)器的(不過幾率微小)。

具體操作如下：

在服務(wù)器上做如下修改： 開始/運(yùn)行/Regedt32.exe，找到：

KEY＿LOCAL＿M(jìn)ACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcpHKEY＿LOCAL＿M(jìn)ACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp下都有一個(gè)PortNumber值，通常為3389，將其修改為自己的值，如9833(可自己指定端口，但最好不要設(shè)為低端端口，以免沖突).0xd3d，是16進(jìn)制，也就是10進(jìn)制的3389，也就是RDP協(xié)議的端口，改成你欲設(shè)的端口。

完成這兩步操作后，我們就可以使用遠(yuǎn)程桌面通過ip地址加端口號(hào)的方式連接。

注：如果您更改了遠(yuǎn)程登陸的端口請(qǐng)記得在系統(tǒng)或者您自己安裝的防火墻上打開這個(gè)例外端口。

（十一）檢查2003系統(tǒng)是否被建立了隱藏的管理員賬號(hào)：

超級(jí)用戶建立以后，就不能再改密碼了，如果用net user命令來改密碼的話，那么在帳戶管理器中將又會(huì)看這個(gè)隱藏的超級(jí)用戶了，而且不能刪除。

經(jīng)過實(shí)踐，這個(gè)隱藏帳號(hào)是可以刪除的，“開始”→“運(yùn)行”并輸入“regedit.exe” 回車,啟動(dòng)注冊(cè)表編輯器regedit.exe。打開鍵：HKEY_LOCAL_MAICHINESAMSAMDomainsaccountusernames這里刪除你想要?jiǎng)h除的用戶，前提是你需要有這個(gè)注冊(cè)項(xiàng)的權(quán)限！

通達(dá)OA——馬利民

第三篇：操作系統(tǒng)安全 復(fù)習(xí)資料

第三章 windows server 2003 用戶賬號(hào)安全

一、密碼安全設(shè)置原則

1．不可讓賬號(hào)與密碼相同

2．不可使用自己的姓名

3．不可使用英文詞組

4．不可使用特定意義的日期

5．不可使用簡(jiǎn)單的密碼

二、要保證密碼的安全，應(yīng)當(dāng)遵循以下規(guī)則：

1．用戶密碼應(yīng)包含英文字母的大小寫、數(shù)字、可打印字符，甚至是非打印字符。建議將這些符號(hào)排列組合使用，以期達(dá)到最好的保密效果。

2．用戶密碼不要太規(guī)則，不要使用用戶姓名、生日、電話號(hào)碼以及常用單詞作為密碼。

3．根據(jù)Windows系統(tǒng)密碼的散列算法原理，密碼長(zhǎng)度設(shè)置應(yīng)超過7位，最好為14位。

4．密碼不得以明文方式存放在系統(tǒng)中，確保密碼以加密的形式寫在硬盤上并包含密碼的文件是只讀的。

5．密碼應(yīng)定期修改，應(yīng)避免重復(fù)使用舊密碼，應(yīng)采用多套密碼的命名規(guī)則。

6．建立賬號(hào)鎖定機(jī)制。一旦同一賬號(hào)密碼校驗(yàn)錯(cuò)誤若干次，即斷開連接并鎖定該賬號(hào)，經(jīng)過一段時(shí)間才解鎖。

三、在Windows Server 2003系統(tǒng)中，如果在“密碼策略”中啟用了“密碼必須符合復(fù)雜性要求”設(shè)置的話，則對(duì)用戶的密碼設(shè)置有如下要求：

1．不包含全部或部分的用戶賬戶名。

2．長(zhǎng)度至少為7個(gè)字符。

3．包含以下4種類型字符中的3種字符。

(1)英文大寫字母（從A到Z）

(2)英文小寫字母（從a到z）

(3)10個(gè)基本數(shù)字（從0到9）

(4)非字母字符（如!、$、#、%）

四、強(qiáng)密碼則具有以下特征：

1．長(zhǎng)度至少有7個(gè)字符。

2．不包含用戶的生日、電話、用戶名、真實(shí)姓名或公司名等。

3．不包含完整的字典詞匯。

4．包含全部4種類型的字符。

除此之外，管理員賬戶的密碼應(yīng)當(dāng)定期修改，尤其是當(dāng)發(fā)現(xiàn)有不良攻擊時(shí)，更應(yīng)及時(shí)修改復(fù)雜密碼，以免被破解。為避免密碼因過于復(fù)雜而忘記，可用筆記錄下來，并保存在安全的地方，或隨身攜帶避免丟失。

五、賬戶策略包含兩個(gè)子集：密碼策略和賬戶鎖定策略

六、密碼策略包含以下6個(gè)策略：

1．密碼必須符合復(fù)雜性要求。

2．密碼長(zhǎng)度最小值。

3．密碼最長(zhǎng)使用期限。

4．密碼最短使用期限。

5．強(qiáng)制密碼歷史。

6．用可還原的加密來儲(chǔ)存密碼。

七、“強(qiáng)制密碼歷史”策略

該策略通過確保舊密碼不能繼續(xù)使用，從而使管理員能夠增強(qiáng)安全性。重新使用舊密碼之前，該安全設(shè)置確定與某個(gè)用戶賬戶相關(guān)的唯一新密碼的數(shù)量。該值必須為0～24之間的一個(gè)數(shù)值，推薦值為8

八、雙擊“密碼最長(zhǎng)使用期限”，選中“定義這個(gè)策略設(shè)置”復(fù)選框

該安全設(shè)置要求用戶更改密碼之前可以使用該密碼的時(shí)間（單位為天）?？蓪⒚艽a的過期天數(shù)設(shè)置在1～999天之間，或?qū)⑻鞌?shù)設(shè)置為0，可指定密碼永不過期。如果密碼最長(zhǎng)使用期限在1～999天之間，那么密碼最短使用期限必須小于密碼最長(zhǎng)使用期限。如果密碼最長(zhǎng)使用期限設(shè)置為0，則密碼最短使用期限可以是1～998天之間的任意值。

九、雙擊“密碼最短使用期限”，選中“定義這個(gè)策略設(shè)置”復(fù)選框

該安全策略設(shè)置確定用戶可以更改密碼之前必須使用該密碼的時(shí)間（單位為天）。可以設(shè)置1～998天之間的某個(gè)值，或者通過將天數(shù)設(shè)置為0，允許立即更改密碼。

十、雙擊“最小密碼長(zhǎng)度”，選中“定義這個(gè)策略設(shè)置”復(fù)選框

將“密碼必須至少是”的值設(shè)置為 8, 然后雙擊“確定”。通過將字符數(shù)設(shè)置為0，可設(shè)置不需要密碼。

十一、賬戶鎖定閾值

該安全設(shè)置確定造成用戶賬戶被鎖定的登錄失敗嘗試的次數(shù)。在鎖定時(shí)間內(nèi)，無法使用鎖定的賬戶，除非管理員進(jìn)行了重新設(shè)置或該賬戶的鎖定時(shí)間已過期。登錄嘗試失敗的范圍可設(shè)置為0～999之間，建議值為3～5，既允許用戶輸或記憶錯(cuò)誤，又避免惡意用戶反復(fù)嘗試用不同密碼登錄系統(tǒng)。如果將鎖定閾值設(shè)為0，將無法鎖定賬戶。對(duì)于使用Ctrl+Alt+Delete組合鍵或帶有密碼保護(hù)的屏幕保護(hù)程序鎖定的計(jì)算機(jī)上，失敗的密碼嘗試計(jì)入失敗的登錄嘗試次數(shù)中。

十二、賬戶鎖定時(shí)間

該安全設(shè)置確定鎖定的賬戶在自動(dòng)解鎖前保持鎖定狀態(tài)的分鐘數(shù)。有效范圍從0～99，999分鐘。如果將賬戶鎖定時(shí)間設(shè)置為0，那么在管理員明確將其解鎖前，該賬戶將一直被鎖定。如果定義了賬戶鎖定閾值，則賬戶鎖定時(shí)間必須大于或等于重置時(shí)間。

十三、復(fù)位賬戶鎖定計(jì)數(shù)器

確定在登錄嘗試失敗計(jì)數(shù)器被復(fù)位為0（即0次失敗登錄嘗試）之前，嘗試登錄失敗之后所需的分鐘數(shù)。有效范圍為1～99，999分鐘之間。如果定義了賬戶鎖定閾值，則該復(fù)位時(shí)間必須小于或等于賬戶鎖定時(shí)間

十四、系統(tǒng)管理員設(shè)置原則

1．更改管理員賬戶名

2．禁用Administrator賬戶

3．強(qiáng)密碼設(shè)置

十五、除非有特殊應(yīng)用，否則Guest賬戶應(yīng)當(dāng)被禁用。事實(shí)上，許多網(wǎng)絡(luò)攻擊就是借助Guest用戶來實(shí)現(xiàn)的。即使啟用Guest賬戶，也應(yīng)當(dāng)為其指定最低的訪問權(quán)限

十六、共享文件夾權(quán)限

當(dāng)將文件夾設(shè)置為共享資源時(shí)，除了必須為文件和文件夾指定NTFS訪問權(quán)限以外，還應(yīng)當(dāng)為共享文件夾指定相應(yīng)的訪問權(quán)限。共享文件夾權(quán)限比NTFS權(quán)限簡(jiǎn)單一些，而且NTFS權(quán)限的優(yōu)先級(jí)要高于共享文件夾權(quán)限。因此，共享文件夾的權(quán)限可以粗略設(shè)置，而NTFS權(quán)限則必須詳細(xì)劃分

十七、為用戶組指定權(quán)限時(shí)，有以下兩點(diǎn)需要注意

1．權(quán)限是疊加的用戶可以同時(shí)屬于多個(gè)用戶組，用戶所擁有的權(quán)限，是其所屬組權(quán)限的總和。對(duì)組指派的用戶權(quán)限應(yīng)用到該組的所有成員（在它們還是成員的時(shí)候）。如果用戶是多個(gè)組的成員，則用戶權(quán)限是累積的，這意味著用戶有多組權(quán)限。

2．拒絕權(quán)限優(yōu)先

無論用戶在其他組擁有怎樣大的權(quán)限，只要其所屬組中有一個(gè)明確設(shè)置了“拒絕”權(quán)限，那么該權(quán)限及其包含的權(quán)限也都將被拒絕。

第四章 文件訪問安全

一、多重NTFS權(quán)限

1)權(quán)限的積累

用戶對(duì)資源的有效權(quán)限是分配給該個(gè)人用戶帳戶和用戶所屬的組的所有權(quán)限的總和。如果用戶對(duì)文件具有“讀取”權(quán)限，該用戶所屬的組又對(duì)該文件具有“寫入”的權(quán)限，那么該用戶就對(duì)該文件同時(shí)具有“讀取”和“寫入”的權(quán)限，舉例如下：

假設(shè)情況如下所示：有一個(gè)文件叫FILE。USER1用戶屬于GROUP1組

2)文件權(quán)限高于文件夾權(quán)限

意思就是說NTFS文件權(quán)限對(duì)于NTFS文件夾權(quán)限具有優(yōu)先權(quán)，假設(shè)用戶能夠訪問一個(gè)文件，那么即使該文件位于用戶不具有訪問權(quán)限的文件夾中，也可以進(jìn)行訪問（前提是該文件沒有繼承它所屬的文件夾的權(quán)限）。

舉例說明如下：假設(shè)用戶對(duì)文件夾FOLDER沒有訪問權(quán)限，但是該文件夾下的文件FILE.TXT沒有繼承FOLDER的權(quán)限，也就是說用戶對(duì)FILE.TXT文件是有權(quán)限訪問的，只不過無法用資源管理器之類的東西來打開FOLDER文件夾，無法看到文件FILE而已（因?yàn)閷?duì)FOLDER沒有訪問權(quán)限），但是可以通過輸入它的完整的路徑來訪問該文件。比如可以用 c:folderfile.txt來訪問FILE文件（假設(shè)在C盤）。

3)拒絕高于其他權(quán)限

拒絕權(quán)限可以覆蓋所有其他的權(quán)限。甚至作為一個(gè)組的成員有權(quán)訪問文件夾或文件，但是該組被拒絕訪問，那么該用戶本來具有的所有權(quán)限都會(huì)被鎖定而導(dǎo)致無法訪問該文件夾或文件。也就是說上面第一點(diǎn)的權(quán)限累積原則將失效。舉例說明如下：

假設(shè)情況如下：有一個(gè)文件叫FILE。USER1用戶屬于GROUP1組

有一個(gè)文件叫FILE。

USER1用戶屬于GROUP1組，同時(shí)也屬于GROUP2組，二、NTFS 權(quán)限繼承

1．在同一NTFS分區(qū)間復(fù)制或移動(dòng)

2．在不同NTFS分區(qū)間復(fù)制或移動(dòng)

3．從NTFS分區(qū)復(fù)制或移動(dòng)到FAT格式分區(qū)

三、創(chuàng)建配額

可以創(chuàng)建兩種方式的配額：

普通配額：普通配額只是應(yīng)用到某個(gè)卷或文件夾，并限制整個(gè)文件夾樹（此文件夾本身和它的所有子文件夾）所使用的磁盤空間；比如可以使用普通配額來限制用戶在某個(gè)文件夾中存儲(chǔ)的數(shù)據(jù)大??；

自動(dòng)配額：自動(dòng)配額允許用戶為某個(gè)卷或文件夾指派一個(gè)配額模板，F(xiàn)SRM將基于此配額模板自動(dòng)為現(xiàn)有子文件夾或任何將來創(chuàng)建的新子文件夾生成普通配額，但是FSRM并不會(huì)針對(duì)此文件夾本身創(chuàng)建普通配額。自動(dòng)配額通常使用在以下場(chǎng)景：用戶數(shù)據(jù)分別按子目錄存放在一個(gè)公用的文件夾中，那么可以針對(duì)公用文件夾啟用自動(dòng)配額。

第五章 網(wǎng)絡(luò)通信安全

一、在網(wǎng)絡(luò)技術(shù)中，端口（Port）大致有兩種意思：一是物理意義上的端口，比如，ADSL Modem、集線器、交換機(jī)、路由器用于連接其他網(wǎng)絡(luò)設(shè)備的接口，如RJ-45端口、SC端口等等。二是邏輯意義上的端口，一般是指TCP/IP協(xié)議中的端口，端口號(hào)的范圍從0到65535，比如用于瀏覽網(wǎng)頁服務(wù)的80端口，用于FTP服務(wù)的21端口等等

二、端口分類

1.按端口號(hào)分布劃分

（1）知名端口（Well-Known Ports）

知名端口即眾所周知的端口號(hào)，范圍從0到1023，這些端口號(hào)一般固定分配給一些服務(wù)。比如21端口分配給FTP服務(wù)，25端口分配給SMTP（簡(jiǎn)單郵件傳輸協(xié)議）服務(wù)，80端口分配給HTTP服務(wù)，135端口分配給RPC（遠(yuǎn)程過程調(diào)用）服務(wù)等等。

（2）動(dòng)態(tài)端口（Dynamic Ports）

動(dòng)態(tài)端口的范圍從1024到65535，這些端口號(hào)一般不固定分配給某個(gè)服務(wù)，也就是說許多服務(wù)都可以使用這些端口。只要運(yùn)行的程序向系統(tǒng)提出訪問網(wǎng)絡(luò)的申請(qǐng)，那么系統(tǒng)就可以從這些端口號(hào)中分配一個(gè)供該程序使用。比如1024端口就是分配給第一個(gè)向系統(tǒng)發(fā)出申請(qǐng)的程序。在關(guān)閉程序進(jìn)程后，就會(huì)釋放所占用的端口號(hào)。

2.按協(xié)議類型劃分

按協(xié)議類型劃分，可以分為TCP、UDP、IP和ICMP（Internet控制消息協(xié)議）等端口。下面主要介紹TCP和UDP端口：

（1）TCP端口

TCP端口，即傳輸控制協(xié)議端口，需要在客戶端和服務(wù)器之間建立連接，這樣可以提供可靠的數(shù)據(jù)傳輸。常見的包括FTP服務(wù)的21端口，Telnet服務(wù)的23端口，SMTP服務(wù)的25端口，以及HTTP服務(wù)的80端口等等。

（2）UDP端口

UDP端口，即用戶數(shù)據(jù)包協(xié)議端口，無需在客戶端和服務(wù)器之間建立連接，安全性得不到保障。常見的有DNS服務(wù)的53端口，SNMP（簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議）服務(wù)的161端口，QQ使用的8000和4000端口等等。

第六章 應(yīng)用程序和服務(wù)安全

一、IIS 6.0版本支持以下6種身份驗(yàn)證方法，使用這些方法可以確認(rèn)任何請(qǐng)求訪問網(wǎng)站的用

戶的身份，以及授予訪問站點(diǎn)公共區(qū)域的權(quán)限，同時(shí)又可防止未經(jīng)授權(quán)的用戶訪問專用文件和目錄。

匿名身份驗(yàn)證。允許網(wǎng)絡(luò)中的任意用戶進(jìn)行訪問，不需要使用用戶名和密碼登錄。

基本身份驗(yàn)證。需要用戶鍵入用戶名和密碼，然后通過網(wǎng)絡(luò)“非加密”將這些信息傳送到服務(wù)器，經(jīng)過驗(yàn)證后方可允許用戶訪問。

摘要式身份驗(yàn)證。與“基本身份驗(yàn)證”非常類似，所不同的是將密碼作為“哈?！敝蛋l(fā)送。摘要式身份驗(yàn)證僅用于Windows域控制器的域。

高級(jí)摘要式身份驗(yàn)證。與“摘要式身份驗(yàn)證”基本相同，所不同的是，“高級(jí)摘要式身份驗(yàn)證”將客戶端憑據(jù)作為MD5哈希存儲(chǔ)在Windows Server 2003域控制器的Active Directory（活動(dòng)目錄）服務(wù)中，從而提高了安全性。

集成Windows身份驗(yàn)證。使用哈希技術(shù)來標(biāo)識(shí)用戶，而不通過網(wǎng)絡(luò)實(shí)際發(fā)送密碼。證書?？梢杂脕斫踩捉幼謱樱⊿SL）連接的數(shù)字憑據(jù)，也可以用于驗(yàn)證。

當(dāng)不允許用戶匿名訪問時(shí)，就應(yīng)當(dāng)為IIS用戶賬戶設(shè)置強(qiáng)密碼以實(shí)現(xiàn)IIS的訪問安全。

第四篇：操作系統(tǒng)安全實(shí)驗(yàn)報(bào)告

云終端:安全訪地問來自不可靠系統(tǒng)的敏感應(yīng)用程序

摘要：

目前的電腦和基于web的應(yīng)用程序提供安全不足的信息訪問,因?yàn)槿魏温┒丛谝粋€(gè)大的客戶端軟件堆棧都可以威脅機(jī)密性和完整性。我們提出一種新的安全的應(yīng)用程序架構(gòu),云終端,其中唯一運(yùn)行在端主機(jī)的軟件是一個(gè)輕量級(jí)的安全終端,最薄的應(yīng)用程序邏輯是在一個(gè)偏遠(yuǎn)的云的渲染引擎。安全瘦終端有一個(gè)非常小的TCB(23 KLOC)和不依賴不可信操作系統(tǒng),所以它可以很容易地檢查和遠(yuǎn)程證明。終端也是通用的:它只提供一個(gè)到遠(yuǎn)程軟件的安全的顯示和輸入路徑。云渲染引擎在一個(gè)受限制的VM主辦的提供者上運(yùn)行一個(gè)現(xiàn)成的應(yīng)用程序,但是資源共享可以讓一臺(tái)服務(wù)器之間VM支持?jǐn)?shù)以百計(jì)的用戶。我們實(shí)現(xiàn)了一個(gè)安全的瘦終端,運(yùn)行在標(biāo)準(zhǔn)的PC硬件和應(yīng)用程序提供了一個(gè)靈活的界面,如銀行業(yè)、電子郵件和文檔編輯。我們也表明,我們的云渲染引擎可以提供安全的網(wǎng)上銀行業(yè)務(wù),每用戶每月5-10美分。｛瘦客戶端（Thin Client）指的是在客戶端-服務(wù)器網(wǎng)絡(luò)體系中的一個(gè)基本無需應(yīng)用程序的計(jì)算機(jī)終端。它通過一些協(xié)議和服務(wù)器通信，進(jìn)而接入局域網(wǎng)。作為應(yīng)用程序平臺(tái)的Internet的到來為企業(yè)應(yīng)用程序提供了一個(gè)全新的領(lǐng)域：一個(gè)基于Internet/intranet的應(yīng)用程序運(yùn)用一個(gè)只包含一個(gè)瀏覽器的瘦客戶端。這個(gè)瀏覽器負(fù)責(zé)解釋、顯示和處理應(yīng)用程序的圖形用戶界面（GUI）和它的數(shù)據(jù)。這樣的一個(gè)應(yīng)用程序只需要被安裝在一個(gè)Web服務(wù)器上，用戶可以自動(dòng)接收升級(jí)。一個(gè)解決方案只需要部署一次，甚至對(duì)成千的用戶也是如此，這種想法的確很吸引人，尤其是Internet技術(shù)幫我們緩解了一些傳統(tǒng)的應(yīng)用程序的障礙，比如防火墻和對(duì)多平臺(tái)的支持。｝

二、概述，包括使用的情況，我們的威脅模型，與現(xiàn)有系統(tǒng)的比較，和設(shè)計(jì)的概述等

2.1使用情況。云終端是專為公眾和企業(yè)提高信息安全的應(yīng)用程序，但不做密集的計(jì)算或渲染

公共服務(wù)

通過使用一個(gè)單一的安全的瘦終端，最終用戶和機(jī)構(gòu)有激勵(lì)措施，以防止攻擊，用戶界面的要求很簡(jiǎn)單

公司情況：

通過使用一個(gè)安全的瘦終端，員工可以減少數(shù)據(jù)盜竊和惡意軟件的攻擊面。

2.2目標(biāo)和威脅模型

目標(biāo)

1。此解決方案應(yīng)該是可安裝在現(xiàn)有的pc和一個(gè)潛在的破壞商品操作系統(tǒng),而不需要用戶重新形象她的系統(tǒng)。

2。該解決方案應(yīng)該不需要信任主機(jī)操作系統(tǒng)。

3。解決方案應(yīng)該能夠證明它的存在,兩個(gè)用戶和應(yīng)用程序提供商,以防止欺騙和釣魚。

4。系統(tǒng)應(yīng)該支持廣泛的敏感的應(yīng)用程序。

5。TCB的系統(tǒng)應(yīng)該小。

一些假設(shè)。

我們的目標(biāo)是防止攻擊者查看和修改用戶和安全的應(yīng)用程序之間的相互作用，并把它作為用戶登錄

云終端也防止一些社會(huì)工程攻擊,如用戶被騙來運(yùn)行一個(gè)假的客戶,通過遠(yuǎn)程認(rèn)證。此外,它提供了兩種防御網(wǎng)絡(luò)釣魚:共享密鑰之間的用戶和安全的薄的形式終端,終端圖形主題的UI,并能夠使用用戶的TPM作為第二,un-phishable身份驗(yàn)證因素和檢測(cè)登錄從一個(gè)新的設(shè)備。這些機(jī)制類似于常見的機(jī)制在web應(yīng)用程序(例如。,SiteKey[32]和cookies來檢測(cè)登錄從新的機(jī)),重要的區(qū)別,這個(gè)秘密圖像和TPM私有密鑰不能被檢索到的惡意軟件或通過中間人攻擊。然而,我們認(rèn)識(shí)到,有開放的問題對(duì)社會(huì)工程保護(hù)用戶和我們不旨在創(chuàng)新在這一點(diǎn)上,問題是我們所關(guān)注的正交設(shè)計(jì)好孤立的客戶端。

云終端必須與不受信任的操作系統(tǒng)共存

2.3現(xiàn)有方法

我們比較現(xiàn)有的幾種建議，并解釋我們的方法，讓它符合目標(biāo)的元素。

建議的做法是使用虛擬機(jī)隔離敏感的應(yīng)用，包括內(nèi)部的應(yīng)用程序在TCB可信的虛擬機(jī)（例如，一個(gè)Web瀏覽器）?；谔摂M機(jī)的系統(tǒng)增加對(duì)用戶的管理負(fù)擔(dān)。相比之下，Chrome OS的瀏覽器的操作系統(tǒng)，限制他們的攻擊面不允許二進(jìn)制應(yīng)用程序，并提供強(qiáng)大的Web應(yīng)用程序之間的隔離。但是，這意味著他們不能運(yùn)行現(xiàn)有的傳統(tǒng)用戶的軟件或訪問非Web

瘦客戶端系統(tǒng)允許組織集中管理他們的臺(tái)式機(jī)和消除感染,他們?nèi)匀辉馐芑鞠拗圃平K端相比,用戶的所有應(yīng)用程序運(yùn)行在同一個(gè)虛擬機(jī)并不是互相隔絕遠(yuǎn)程認(rèn)證是最具挑戰(zhàn)性的基于虛擬機(jī)的方法

這些方法錯(cuò)過這樣一個(gè)大好機(jī)會(huì),提供強(qiáng)大的安全保證通過TPM認(rèn)證。

云終端實(shí)現(xiàn)現(xiàn)有系統(tǒng)，支持一般的應(yīng)用，遠(yuǎn)程認(rèn)證，并通過兩個(gè)設(shè)計(jì)元素來完成一個(gè)小任務(wù)。

小,一般客戶:云終端訪問所有敏感的應(yīng)用程序通過相同,簡(jiǎn)單的組件:一個(gè)安全瘦終端能夠顯示任意遠(yuǎn)程ui。因此,用戶不需要管理多個(gè)vm,服務(wù)提供者可以運(yùn)行他們的應(yīng)用程序在他們自己的數(shù)據(jù)中心的嚴(yán)格控制。不像在虛擬桌面系統(tǒng)、敏感的應(yīng)用程序也互相隔離的(而不是運(yùn)行在同一個(gè)VM),瘦終端保護(hù),免受不可信主機(jī)操作系統(tǒng)。

Microvisor:安全瘦終端隔離本身從操作系統(tǒng)通過hypervisor像層,但這種“Microvisor”規(guī)模遠(yuǎn)小于一個(gè)完整的管理程序,因?yàn)樗皇潜辉O(shè)計(jì)來運(yùn)行多個(gè)虛擬機(jī)。例如,訪問網(wǎng)絡(luò)和存儲(chǔ)microvisor設(shè)備通過可信操作系統(tǒng)(但它加密數(shù)據(jù)),利用操作系統(tǒng)現(xiàn)有的司機(jī)不必信任他們。同樣,它不需要代碼來管理多個(gè)vm,甚至對(duì)于啟動(dòng)不可信操作系統(tǒng),它可以自動(dòng)安裝下面的運(yùn)行實(shí)例操作系統(tǒng),只需要保護(hù)一個(gè)內(nèi)存區(qū)域的操作系統(tǒng)。這個(gè)設(shè)計(jì)可以讓云終端實(shí)現(xiàn)一個(gè)“甜點(diǎn)”安全之間,信任代碼大小和普遍性:它可以通過一個(gè)小的，孤立的，和遠(yuǎn)程核查客戶端訪問廣泛的應(yīng)用.2.4結(jié)構(gòu)

云終端體系結(jié)構(gòu)安全的瘦終端上的客戶端和服務(wù)器上的云的渲染引擎.我們現(xiàn)在描述這些抽象和展示他們?nèi)绾闻c其它系統(tǒng)組件交互。安全的瘦終端(STT)。軟件運(yùn)行的STT是在用戶的電腦和提供安全訪問遠(yuǎn)程應(yīng)用程序,而不需要任何其他軟件的信任在設(shè)備上。暫時(shí)接管的STT通用系統(tǒng),并將其轉(zhuǎn)化為一個(gè)較為有限,但值得信賴的設(shè)備訪問通用遠(yuǎn)程應(yīng)用程序。這個(gè)STT具有以下特點(diǎn):

STT提供了一個(gè)通用的圖形終端的功能，可用于許多應(yīng)用程序。

STT隔離本身，所以，不信任的系統(tǒng)無法訪問其數(shù)據(jù)。

STT實(shí)現(xiàn)是輕量級(jí)的，使其更容易檢查校正.安全的STT來自于它的簡(jiǎn)單性:它僅僅關(guān)注提供一個(gè)接口,其他地方運(yùn)行的應(yīng)用程序。它提供了這個(gè)接口僅僅通過繼電保護(hù)輸入事件和遠(yuǎn)程呈現(xiàn)的位圖。共同存在于一個(gè)預(yù)先存在的STT不可信操作系統(tǒng),但不依賴于不可信系統(tǒng)安全至關(guān)重要的功能。使用硬件虛擬化,STT隔離本身的不可信操作系統(tǒng):操作系統(tǒng)從未加密的訪問的數(shù)據(jù),當(dāng)STT是活躍的不能讀取輸入事件或訪問視頻內(nèi)存。

一種硬件信任根，可以開始遠(yuǎn)程各方證明機(jī)器的完全控制，即它的代碼是未經(jīng)修改的，它直接訪問一個(gè)真正的（非仿真）的CPU。STT由微鏡，它提供了從操作系統(tǒng)隔離；云終端客戶，這與遠(yuǎn)程應(yīng)用程序，使其顯示；和一個(gè)不受信任的用戶空間輔助隧道加密的數(shù)據(jù)通過不可信操作系統(tǒng)。云的渲染引擎（CRE）。CRE STT的服務(wù)器端。它具有以下屬性：幾乎所有的CRE包含應(yīng)用程序功能,重要的位圖顯示的生產(chǎn)。

一個(gè)孤立的CRE運(yùn)行應(yīng)用程序的實(shí)例為每個(gè)STT,在一個(gè)單獨(dú)的虛擬機(jī)

執(zhí)行應(yīng)用程序的實(shí)例為每個(gè)用戶會(huì)話在一個(gè)單獨(dú)的虛擬機(jī)提供強(qiáng)大的隔離 最后 CRE作為“云”虛擬機(jī)的主機(jī)。瘦終端和云安全的渲染引擎和網(wǎng)絡(luò)使用云終端協(xié)議。云終端協(xié)議擴(kuò)展了現(xiàn)有的幀緩沖級(jí)遠(yuǎn)程桌面協(xié)議(VNC)通過添加額外的級(jí)別的安全性。具體地說,云終端協(xié)議使用端到端加密在云終端客戶和CRE STT,執(zhí)行遠(yuǎn)程認(rèn)證的客戶端,并提供之間的相互認(rèn)證用戶和應(yīng)用程序

公共設(shè)施服務(wù)：目錄服務(wù)、驗(yàn)證服務(wù)

第五篇：操作系統(tǒng)安全保障措施

操作系統(tǒng)安全保障措施

系統(tǒng)安全防護(hù)能力 一．文件訪問控制

1.所有辦公終端的命名應(yīng)符合公司計(jì)算機(jī)命名規(guī)范。2.所有的辦公終端應(yīng)加入公司的域管理模式，正確是使用公司的各項(xiàng)資源。

3.所有的辦公終端應(yīng)正確安裝防病毒系統(tǒng)，確保及時(shí)更新病毒碼。

4.所有的辦公終端應(yīng)及時(shí)安裝系統(tǒng)補(bǔ)丁，應(yīng)與公司發(fā)布的補(bǔ)丁保持一致。

5.公司所有辦公終端的密碼不能為空，根據(jù)《云南地方IT系統(tǒng)使用手冊(cè)》中的密碼規(guī)定嚴(yán)格執(zhí)行。

6.所有辦公終端不得私自裝配并使用可讀寫光驅(qū)、磁帶機(jī)、磁光盤機(jī)和USB硬盤等外置存儲(chǔ)設(shè)備。

7.所有辦公終端不得私自轉(zhuǎn)借給他人使用，防止信息的泄密和數(shù)據(jù)破壞。

8.所有移動(dòng)辦公終端在外出辦公時(shí)，不要使其處于無人看管狀態(tài)。

9.辦公終端不得私自安裝盜版軟件和與工作無關(guān)的軟件，不得私自安裝掃描軟件或黑客攻擊工具。

10.未經(jīng)公司IT服務(wù)部門批準(zhǔn)，員工不得在公司使用modem進(jìn)行撥號(hào)上網(wǎng)。

11.員工不允許向外面發(fā)送涉及公司秘密、機(jī)密和絕密的信息。二.用戶權(quán)限級(jí)別

1.各系統(tǒng)應(yīng)根據(jù)“最小授權(quán)”的原則設(shè)定賬戶訪問權(quán)限，控制用戶僅能夠訪問到工作需要的信息。

2.從賬號(hào)管理的角度，應(yīng)進(jìn)行基于角色的訪問控制權(quán)限的設(shè)定，即對(duì)系統(tǒng)的訪問控制權(quán)限是以角色或組為單位進(jìn)行授予。

3.細(xì)分角色根據(jù)系統(tǒng)的特性和功能長(zhǎng)期存在，基本不隨人員和管理崗位的變更而變更。

4.一個(gè)用戶根據(jù)實(shí)際情況可以分配多個(gè)角色。

5.各系統(tǒng)應(yīng)該設(shè)置審計(jì)用戶的權(quán)限，審計(jì)用戶應(yīng)當(dāng)具備比較完整的讀權(quán)限，審計(jì)用戶應(yīng)當(dāng)能夠讀取系統(tǒng)關(guān)鍵文件，檢查系統(tǒng)設(shè)置、系統(tǒng)日志等信息。

三．防病毒軟件/硬件

1.所有業(yè)務(wù)系統(tǒng)服務(wù)器、生產(chǎn)終端和辦公電腦都應(yīng)當(dāng)按照公司要求安裝了相應(yīng)的病毒防護(hù)軟件或采用了相應(yīng)的病毒防護(hù)手段。

2.應(yīng)當(dāng)確保防止病毒軟件每天進(jìn)行病毒庫(kù)更新，設(shè)置防病毒軟件定期（每周或沒月）對(duì)全部硬盤進(jìn)行病毒掃描。

3.如果自己無法對(duì)病毒防護(hù)措施的有效性進(jìn)行判斷，應(yīng)及時(shí)通知公司IT服務(wù)部門進(jìn)行解決。4.各系統(tǒng)防病毒系統(tǒng)應(yīng)遵循公司病毒防護(hù)系統(tǒng)整體規(guī)劃。5.如果發(fā)現(xiàn)個(gè)人辦公終端感染病毒，應(yīng)首先拔掉網(wǎng)線，降低可能對(duì)公司網(wǎng)絡(luò)造成的影響，然后進(jìn)行殺毒處理。

6.各系統(tǒng)管理員在生產(chǎn)和業(yè)務(wù)網(wǎng)絡(luò)發(fā)現(xiàn)病毒，應(yīng)立即進(jìn)行處理。操作日志記錄

一、對(duì)各項(xiàng)操作均應(yīng)進(jìn)行日志記錄，內(nèi)容包括操作人、操作時(shí)間和操作內(nèi)容等詳細(xì)信息。各級(jí)維護(hù)部門維護(hù)人員每日對(duì)操作日志、安全日志進(jìn)行審查，對(duì)異常事件及時(shí)跟進(jìn)解決，并每周形成日志審查匯總意見報(bào)上級(jí)維護(hù)主管部門審核。安全日志包括但不局限于以下內(nèi)容：

1、對(duì)于應(yīng)用系統(tǒng)，包括系統(tǒng)管理員的所有系統(tǒng)操作記錄、所有的登錄訪問記錄、對(duì)敏感數(shù)據(jù)或關(guān)鍵數(shù)據(jù)有重大影響的系統(tǒng)操作記錄以及其他重要系統(tǒng)操作記錄的日志；

2、對(duì)于操作系統(tǒng)，包括系統(tǒng)管理員的所有操作記錄、所有的登錄日志；

3、對(duì)于數(shù)據(jù)庫(kù)系統(tǒng)，包括數(shù)據(jù)庫(kù)登錄、庫(kù)表結(jié)構(gòu)的變更記錄。

二、系統(tǒng)的日常運(yùn)行維護(hù)由專人負(fù)責(zé)，定期進(jìn)行保養(yǎng)，并檢查系統(tǒng)運(yùn)行日志。

1.對(duì)于應(yīng)用程序級(jí)別的備份有運(yùn)維部制定工程師做每周的備份，重大變更前要整體做備份。

2.對(duì)于操作系統(tǒng)的日志備份通過定制計(jì)劃任務(wù)定期執(zhí)行，并有制定人員檢查運(yùn)行情況，并登記在案。

3.對(duì)于數(shù)據(jù)庫(kù)系統(tǒng)的日志備份有DBA制定計(jì)劃任務(wù)定期執(zhí)行，并有DBA人員檢查運(yùn)行情況，并登記在案。

三、各級(jí)維護(hù)部門針對(duì)所維護(hù)系統(tǒng)，依據(jù)數(shù)據(jù)變動(dòng)的頻繁程度以及業(yè)務(wù)數(shù)據(jù)重要性制定備份計(jì)劃，經(jīng)過上級(jí)維護(hù)主管部門批準(zhǔn)后組織實(shí)施。

四.備份數(shù)據(jù)包括系統(tǒng)軟件和數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、操作日志。

五、重要系統(tǒng)的運(yùn)行日志定期異地備份。說明：除在本地備份，每天晚上同步到異地機(jī)房。

六、對(duì)系統(tǒng)的操作、使用進(jìn)行詳細(xì)記錄。

七、各級(jí)維護(hù)部門按照備份計(jì)劃，對(duì)所維護(hù)系統(tǒng)進(jìn)行定期備份，原則上對(duì)于在線系統(tǒng)應(yīng)實(shí)施每天一次的增量備份、每月一次的數(shù)據(jù)庫(kù)級(jí)備份以及每季度一次的系統(tǒng)級(jí)備份。對(duì)于需實(shí)施變更的系統(tǒng)，在變更實(shí)施前后均進(jìn)行數(shù)據(jù)備份，必要時(shí)進(jìn)行系統(tǒng)級(jí)備份。

八、各級(jí)維護(hù)部門定期對(duì)備份日志進(jìn)行檢查，發(fā)現(xiàn)問題及時(shí)整改補(bǔ)救。

備份操作人員須檢查每次備份是否成功，并填寫《備份工作匯總記錄》，對(duì)備份結(jié)果以及失敗的備份操作處理需進(jìn)行記錄、匯報(bào)及跟進(jìn)。

九、備份介質(zhì)由專人管理，與生產(chǎn)系統(tǒng)異地存放，并保證一定的環(huán)境條件。除介質(zhì)保管人員外，其他人員未經(jīng)授權(quán)，不得進(jìn)入介質(zhì)存放地點(diǎn)。介質(zhì)保管應(yīng)建立檔案，對(duì)于介質(zhì)出入庫(kù)進(jìn)行詳細(xì)記錄。對(duì)于承載備份數(shù)據(jù)的備份介質(zhì)，確保在其安全使用期限內(nèi)使用。對(duì)于需長(zhǎng)期保存數(shù)據(jù)，考慮通過光盤等方式進(jìn)行保存。對(duì)于有安全使用期限限制的存儲(chǔ)介質(zhì)，在安全使用期限內(nèi)更換，確保數(shù)據(jù)存儲(chǔ)安全。

十、對(duì)網(wǎng)站的運(yùn)行情況做到每日一統(tǒng)計(jì)，每周一報(bào)告。

十一、各級(jí)維護(hù)部門按照本級(jí)維護(hù)工作相關(guān)要求，根據(jù)業(yè)務(wù)數(shù)據(jù)的性質(zhì)，確定備份數(shù)據(jù)保存期限，根據(jù)備份介質(zhì)使用壽命至少每年進(jìn)行一次恢復(fù)性測(cè)試，并記錄測(cè)試結(jié)果。

十二、信息技術(shù)部負(fù)責(zé)人制定相應(yīng)的備份日志審查計(jì)劃，包括由于業(yè)務(wù)需求發(fā)起的備份日志審查以及日志文件的格式時(shí)間的內(nèi)容審查。計(jì)劃中遵循數(shù)據(jù)重要性等級(jí)分類，保證按照優(yōu)先級(jí)對(duì)備份日志審查。

十三、需要備份日志審查數(shù)據(jù)時(shí)，需求部門應(yīng)填寫《備份日志審查表》，內(nèi)容包括數(shù)據(jù)內(nèi)容、備份時(shí)間、數(shù)據(jù)來源、操作系統(tǒng)時(shí)間等，由需求部門以及信息技術(shù)部門相關(guān)負(fù)責(zé)人審批。

十四、備份管理員按照備份恢復(fù)計(jì)劃制定詳細(xì)的備份恢復(fù)操作手冊(cè)，手冊(cè)包含備份恢復(fù)的操作步驟、恢復(fù)前的準(zhǔn)備工作、恢復(fù)失敗的處理方法和跟進(jìn)步驟、驗(yàn)收標(biāo)準(zhǔn)等。備份功能

1.各系統(tǒng)管理員對(duì)本系統(tǒng)的設(shè)備、系統(tǒng)等IT資產(chǎn)的配置進(jìn)行記錄，并備份配置記錄信息。

2.各系統(tǒng)在發(fā)生變更操作時(shí)，根據(jù)《地方信息安全管理流程-安全配置變更管理流程》進(jìn)行審批、測(cè)試。

3.各系統(tǒng)執(zhí)行變更操作前，要對(duì)變更操作進(jìn)行測(cè)試；確定無不利影響后，提交系統(tǒng)測(cè)試結(jié)果、系統(tǒng)配置變更實(shí)施方案和回退方案，由本部門三級(jí)經(jīng)理和公司相關(guān)主管部門提出配置變更申請(qǐng)。

4.申請(qǐng)審批通過后，才可以進(jìn)行配置變更操作；進(jìn)行配置變更操作前，需要對(duì)變更設(shè)備進(jìn)行配置備份。

5.各系統(tǒng)管理員對(duì)變更操作的具體步驟進(jìn)行記錄并保存。6.各系統(tǒng)管理員進(jìn)行配置變更操作后，將變更后的配置信息進(jìn)行記錄。

7.各系統(tǒng)發(fā)生配置變更后，在公司信息安全小組進(jìn)行備案。

專人定時(shí)負(fù)責(zé)軟件升級(jí)和補(bǔ)丁

已配備專人負(fù)責(zé)進(jìn)行軟件升級(jí)，查看最新的系統(tǒng)安全公告，隨時(shí)為系統(tǒng)打補(bǔ)?。ㄏ到y(tǒng)補(bǔ)丁公布之后，會(huì)在 1 周之內(nèi)完成升級(jí)工作）等工作。

弱口令管理

1.系統(tǒng)管理員對(duì)系統(tǒng)帳號(hào)使用情況進(jìn)行統(tǒng)一管理，并對(duì)每個(gè)帳號(hào)的使用者信息、帳號(hào)權(quán)限、使用期限進(jìn)行記錄。

2.禁止隨意使用系統(tǒng)默認(rèn)賬號(hào)，系統(tǒng)管理員為每一個(gè)系統(tǒng)用戶設(shè)置一個(gè)帳號(hào)，堅(jiān)決杜絕系統(tǒng)內(nèi)部存在共享帳號(hào)。

3.各系統(tǒng)管理員對(duì)系統(tǒng)中存在的賬號(hào)進(jìn)行定期檢查，確保系統(tǒng)中不存在無用或匿名賬號(hào)。

4.部門信息安全組定期檢查各系統(tǒng)帳號(hào)管理情況，內(nèi)容應(yīng)包含如下幾個(gè)方面：

（1）員工離職或帳號(hào)已經(jīng)過期，相應(yīng)的帳號(hào)在系統(tǒng)中仍然存在上；

（2）用戶是否被授予了與其工作職責(zé)不相符的系統(tǒng)訪問權(quán)限；

（3）帳號(hào)使用情況是否和系統(tǒng)管理員備案的用戶賬號(hào)權(quán)限情況一致；

（4）是否存在非法賬號(hào)或者長(zhǎng)期未使用賬號(hào)；

（5）是否存在弱口令賬號(hào)。

5.各系統(tǒng)具有系統(tǒng)安全日志功能，能夠記錄系統(tǒng)帳號(hào)的登錄和訪問時(shí)間、操作內(nèi)容、IP地址等信息。

6.系統(tǒng)在創(chuàng)建賬號(hào)、變更賬號(hào)以及撤銷賬號(hào)的過程中，應(yīng)到得到部門經(jīng)理的審批后才可實(shí)施。漏洞掃描

至少兩周進(jìn)行一次系統(tǒng)漏洞掃描,包括操作系統(tǒng)漏洞和系統(tǒng)下軟件漏洞,發(fā)現(xiàn)最新系統(tǒng)漏洞應(yīng)及時(shí)打上修復(fù)補(bǔ)丁。配備專人負(fù)責(zé)查看最新的病毒公告。出現(xiàn)破壞力強(qiáng)的病毒會(huì)及時(shí)向公司相關(guān)部門通告。