信息系统安全基线.doc

操作系统安全基线技术要求 AIX系统安全基线 系统管理 通过配置操作系统运维管理安全策略，提高系统运维管理安全性，详见表1。 表1 AIX系统管理基线技术要求 序号基线技术要求基线标准点（参数）说明限制超级管理员权限的用户远程登录PermitRootLogin no限制root用户远程使用telnet登录（可选）使用动态口令令牌登录安装动态口令配置本机访问控制列表（可选）配置/etc/hosts.allow, /etc/hosts.deny安装TCP Wrapper，提高对系统访问控制用户账号与口令 通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表2。 表2 AIX系统用户账户与口令基线技术要求 序号基线技术要求基线标准点（参数）说明限制系统无用默认账号登录daemon（禁用） bin（禁用） sys（禁用） adm（禁用） uucp（禁用） nuucp（禁用） lpd（禁用） guest（禁用） pconsole（禁用） esaadmin（禁用） sshd（禁用） 清理多余用户账号，限制系统默认账号登录，同时，针对需要使用的用户，制订用户列表，并妥善保存控制用户登录超时时间10分钟控制用户登录会话，设置超时时间口令最小长度8位口令安全策略（口令为超级用户静态口令）口令中最少非字母数字字符1个口令安全策略（口令为超级用户静态口令）信息系统的口令的最大周期90天口令安全策略（口令为超级用户静态口令）口令不重复的次数10次口令安全策略（口令为超级用户静态口令）日志与审计 通过对操作系统的日志进行安全控制与管理，提高日志的安全性，详见表3。 表3 AIX系统日志与审计基线技术要求 序号基线技术要求基线标准点（参数）说明系统日志记录（可选）authlog、sulog、wtmp、failedlogin记录必需的日志信息，以便进行审计系统日志存储（可选)对接到统一日志服务器使用日志服务器接收与存储主机日志，网管平台统一管理日志保存要求（可选）6个月等保三级要求日志必须保存6个月 配置日志系统文件保护属性（可选）400修改配置文件syslog.conf权限为管理员账号只读修改日志文件保护权限（可选）400修改日志文件authlog、wtmp、sulog、failedlogin的权限管理员账号只读服务优化 通过优化操作系统资源，提高系统服务安全性，详见表4。 表4 AIX系统服务优化基线技术要求 序号基线技术要求基线标准点（参数）说明discard 服务禁止网络测试服务，丢弃输入, 为“拒绝服务”攻击提供机会, 除非正在测试网络，否则禁用daytime 服务禁止网络测试服务，显示时间, 为“拒绝服务”攻击提供机会, 除非正在测试网络，否则禁用chargen 服务禁止网络测试服务，回应随机字符串, 为“拒绝服务”攻击提供机会, 除非正在测试网络，否则禁用comsat 服务禁止comsat通知接收的电子邮件，以 root 用户身份运行，因此涉及安全性, 除非需要接收邮件，否则禁用ntalk 服务禁止ntalk允许用户相互交谈，以 root 用户身份运行，除非绝对需要，否则禁用talk 服务禁止在网上两个用户间建立分区屏幕，不是必需服务，与 talk 命令一起使用，在端口 517 提供 UDP 服务tftp 服务禁止以 root 用户身份运行并且可能危及安全ftp 服务（可选）禁止防范非法访问目录风险telnet服务禁止远程访问服务uucp 服务禁止除非有使用 UUCP 的应用程序，否则禁用dtspc 服务（可选）禁止CDE 子过程控制不用图形管理则禁用klogin 服务（可选）禁止Kerberos 登录，如果站点使用 Kerberos 认证则启用kshell 服务（可选）禁止Kerberos shell，如果站点使用 Kerberos 认证则启用访问控制 通过对操作系统安全权限参数进行调整，提高系统访问安全性，详见表5。 表5 AIX系统访问控制基线技术要求 序号基线技术要求基线标准点（参数）说明修改Umask权限022或027要求修改默认文件权限关键文件权限控制passwd、group、security的所有者必须是root和security组成员设置/etc/passwd，/etc/group， /etc/security等关键文件和目录的权限audit的所有者必须是root和