各类操作系统安全基线配置及操作指引

各类操作系统安全配各类操作系统安全配 置要求及操作指南置要求及操作指南 检查模块支持系统版本号 WindowsWindows 2000 以上 SolarisSolaris 8 以上 AIXAIX 5.X 以上 HP-UNIXHP-UNIX 11i 以上 Linux内核版本 2.6 以上 OracleOracle 8i 以上 SQL Server Microsoft SQL Server 2000 以上 MySQLMySQL 5.x 以上 IISIIS 5.x 以上 ApacheApache 2.x 以上 TomcatTomcat 5.x以上 WebLogicWebLogic 8.X 以上 1 / 174 Windows 操作系统 安全配置要求及操作指南 I 目录 目录. I 前言 II 1范围. 1 2规范性引用文件. 1 3缩略语. 1 4安全配置要求. 2 4.1账号 . 2 4.2口令 . 3 4.3授权 . 5 4.4补丁 . 7 4.5防护软件 . 8 4.6防病毒软件 . 8 4.7日志安全要求 . 9 4.8不必要的服务 11 4.9启动项 12 4.10关闭自动播放功能. 13 4.11共享文件夹 . 13 4.12使用 NTFS 文件系统 . 14 4.13网络访问 . 15 4.14会话超时设置 . 16 2 / 174 4.15注册表设置 . 17 附录 A端口及服务 18 II 前言 为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求， 编制了一系列的安全配置要求及操作指南，明确了操作系统、数据库、应用中间 件在内的通 用安全配置要求及参考操作。 该系列安全配置要求及操作指南的结构及名称预计如下 （1） Windows操作系统安全配置要求及操作指南 （本规范） （2） AIX 操作系统安全配置要求及操作指南 （3） HP-UX 操作系统安全配置要求及操作指南 （4） Linux 操作系统安全配置要求及操作指南 （5） Solaris 操作系统安全配置要求及操作指南 （6） MS SQL server 数据库安全配置要求及操作指南 （7） MySQL 数据库安全配置要求及操作指南 （8） Oracle 数据库安全配置要求及操作指南 （9） Apache 安全配置要求及操作指南 （10） IIS 安全配置要求及操作指南 （11） Tomcat 安全配置要求及操作指南 （12） WebLogic 安全配置要求及操作指南 1 1 范围 适用于使用 Windows 操作系统的设备。在未特别说明的情况下，均适用于所 有运行的 Windows 操作系统， 包括 Windows 2000、 Windows XP、 Windows2003, Windows7 , Windows 2008 以及各版本中的 Sever、Professional版本。 本规范明确了 Windows 操作系统在安全配置方面的基本要求，适用于所有的安 全等级， 可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。 由于版本不同，配置操作有所不同，本规范以 Windows 2003 为例，给出参考配 置操作。 2 规范性引用文件 GB/T22239-2008信息安全技术 信息系统安全等级保护基本要求 YD/T 1732-2008固定通信网安全防护要求 YD/T 1734-2008移动通信网安全防护要求 3 / 174 YD/T 1736-2008互联网安全防护要求 YD/T 1738-2008增值业务网消息网安全防护要求 YD/T 1740-2008增值业务网智能网安全防护要求 YD/T 1758-2008非核心生产单元安全防护要求 YD/T 1742-2008接入网安全防护要求 YD/T 1744-2008传送网安全防护要求 YD/T 1746-2008IP 承载网安全防护要求 YD/T 1748-2008信令网安全防护要求 YD/T 1750-2008同步网安全防护要求 YD/T 1752-2008支撑网安全防护要求 YD/T 1756-2008电信网和互联网管理安全等级保护要求 3 缩略语 UDP User Datagram Protocol 用户数据包协议 TCP Transmission Control Protocol 传输控制协议 2 NTFSNew Technology File System新技术文件系统 4 安全配置要求 4.1 账号 编号1 要求内容应按照不同的用户分配不同的账号，避免不同用户间共享账号。避 免用户账号和设备间通信使用的账号共享。 操作指南1、参考配置操作 进入“控制面板-管理工具-计算机管理” ，在“系统工具-本地用 户和组” 根据系统的要求，设定不同的账户和账户组。 检测方法1、 判定条件 结合要求和实际业务情况判断符合要求，根据系统的要求，设定不 同的账户和账户组 2、检测操作 进入“控制面板-管理工具-计算机管理” ，在“系统工具-本地用 户和组” 查看根据系统的要求，设定不同的账户和账户组 编号2 要求内容 应删除与运行、维护等工作无关的账号。 操作指南 1．参考配置操作 A）可使用用户管理工具 开始-运行-compmgmt.msc-本地用户和组-用户 B）也可以通过 net 命令 删除账号 net user account/de1 4 / 174 停用账号net user account/activeno 检测方法 1.判定条件 结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护 等与工作无关的账号。 3 注无关的账号主要指测试帐户、共享帐号、长期不用账号（半年以上 不用）等 2.检测操作 开始-运行-compmgmt.msc-本地用户和组-用户 编号3 要求内容重命名 Administrator；禁用 guest（来宾）帐号。 操作指南1、参考配置操作 进入“控制面板-管理工具-计算机管理” ，在“系统工具-本地用 户和组” Administrator－属性－ 更改名称 Guest 帐号-属性－已停用 检测方法1、判定条件 缺省账户 Administrator名称已更改。 Guest 帐号已停用。 2、检测操作 进入“控制面板-管理工具-计算机管理” ，在“系统工具-本地用 户和组” 缺省帐户－属性－更改名称 Guest 帐号-属性－已停用 4.2 口令 编号1 要求内容密码长度要求最少 8 位 密码复杂度要求至少包含以下四种类别的字符中的三种 z英语大写字母 A, B, C, Z z英语小写字母 a, b, c, z z阿拉伯数字 0, 1, 2, 9 z非字母数字字符，如标点符号，, , , , 锁定用户 1修改/etc/shadow文件，用户名后加*LK* 2将/etc/passwd 文件中的 shell 域设置成/bin/false 3passwd -l username 只有具备超级用户权限的使用者方可使用，