網(wǎng)絡(luò)安全操作規(guī)范

1、一、賬號(hào)管理1.1 賬號(hào)的設(shè)置必須遵循“唯一性、必要性、最小授權(quán)”的原則。唯一性原則是指每個(gè)賬號(hào)對(duì)應(yīng)一個(gè)用戶(hù)，不允許多人共同擁有同一賬號(hào)。必要性原則是指賬號(hào)的建立和分配應(yīng)根據(jù)工作的必要性進(jìn)行分配，不能根據(jù)個(gè)人需要、職位進(jìn)行分配，禁止與所管理主機(jī)系統(tǒng)無(wú)關(guān)的人員在系統(tǒng)上擁有用戶(hù)賬號(hào)，要根據(jù)工作變動(dòng)及時(shí)關(guān)閉不需要的系統(tǒng)賬號(hào)。最小授權(quán)原則是指對(duì)賬號(hào)的權(quán)限應(yīng)進(jìn)行嚴(yán)格限制，其權(quán)限不能大于其工作、業(yè)務(wù)需要。超出正常權(quán)限范圍的，要經(jīng)主管領(lǐng)導(dǎo)審批。1.2 系統(tǒng)中所有的用戶(hù)（包括超級(jí)權(quán)限用戶(hù)和普通用戶(hù)）必須登記備案，并定期審閱。1.3 嚴(yán)禁用戶(hù)將自己所擁有的用戶(hù)賬號(hào)轉(zhuǎn)借他人使用。1.4 員工發(fā)生工作變動(dòng)，必須重新

2、審核其賬號(hào)的必要性和權(quán)限，及時(shí)取消非必要的賬號(hào)和調(diào)整賬號(hào)權(quán)限；如員工離開(kāi)本部門(mén)，須立即取消其賬號(hào)。1.5 在本部門(mén)每個(gè)應(yīng)用系統(tǒng)、網(wǎng)絡(luò)工程驗(yàn)收后，應(yīng)立即刪除系統(tǒng)中所有的測(cè)試賬號(hào)和臨時(shí)賬號(hào)，對(duì)需要保留的賬號(hào)口令重新進(jìn)行設(shè)置。1.6 系統(tǒng)管理員必須定期對(duì)系統(tǒng)上的賬號(hào)及使用情況進(jìn)行審核，發(fā)現(xiàn)可疑用戶(hù)賬號(hào)時(shí)及時(shí)核實(shí)并作相應(yīng)的處理，對(duì)長(zhǎng)期不用的用戶(hù)賬號(hào)進(jìn)行鎖定。1.7 一般情況下不允許外部人員直接進(jìn)入主機(jī)系統(tǒng)進(jìn)行操作。在特殊情況下（如系統(tǒng)維修、升級(jí)等）外部人員需要進(jìn)入系統(tǒng)操作，必須并對(duì)操作過(guò)程進(jìn)行記錄備案。禁止將系統(tǒng)用戶(hù)及口令直接交給外部人員。二、口令管理2.1 口令的選取、組成、長(zhǎng)度、修改周期應(yīng)符合安全

3、規(guī)定。禁止使用名字、姓氏、電話(huà)號(hào)碼、生日等容易猜測(cè)的字符串作為口令，也不要使用單個(gè)單詞作為口令，在口令組成上必須包含大小寫(xiě)字母、數(shù)字、標(biāo)點(diǎn)等不同的字符組合，口令長(zhǎng)度要求在8位以上。2.2 重要的主機(jī)系統(tǒng)，要求至少每個(gè)月修改口令，對(duì)于管理用的工作站和個(gè)人計(jì)算機(jī)，要求至少每?jī)蓚€(gè)月修改口令。2.3 重要的主機(jī)系統(tǒng)應(yīng)逐步采用一次性口令及其它可靠的身份認(rèn)證技術(shù)。2.4 本地保存的用戶(hù)口令應(yīng)加密存放，防止用戶(hù)口令泄密。三、軟件管理：3.1 不安裝和使用來(lái)歷不明、沒(méi)有版權(quán)的軟件。3.2 不得在重要的主機(jī)系統(tǒng)上安裝測(cè)試版的軟件。3.3 開(kāi)發(fā)、修改應(yīng)用系統(tǒng)時(shí)，要充分考慮系統(tǒng)安全和數(shù)據(jù)安全，從數(shù)據(jù)的采集、傳輸、處

4、理、存貯，訪(fǎng)問(wèn)控制等方面進(jìn)行論證，測(cè)試、驗(yàn)收時(shí)也必須進(jìn)行相應(yīng)的安全性能測(cè)試、驗(yàn)收。3.4 操作系統(tǒng)和應(yīng)用軟件應(yīng)根據(jù)其本身存在的安全漏洞及時(shí)進(jìn)行必須的安全設(shè)置、升級(jí)和打安全補(bǔ)丁。3.5 個(gè)人計(jì)算機(jī)上不得安裝與工作無(wú)關(guān)的軟件。在服務(wù)器系統(tǒng)上禁止安裝與服務(wù)器所提供服務(wù)和應(yīng)用無(wú)關(guān)的其它軟件。3.6 系統(tǒng)設(shè)備和應(yīng)用軟件的登錄提示應(yīng)對(duì)可能的攻擊嘗試、非授權(quán)訪(fǎng)問(wèn)提出警告。3.7 主機(jī)系統(tǒng)的服務(wù)器、工作站所使用的操作系統(tǒng)必須進(jìn)行登記。登記記錄上應(yīng)該標(biāo)明廠(chǎng)家、操作系統(tǒng)版本、已安裝的補(bǔ)丁程序號(hào)、安裝和升級(jí)的時(shí)間等內(nèi)容，并進(jìn)行存檔保存。3.8 重要的主機(jī)系統(tǒng)在系統(tǒng)啟用、重新安裝或者升級(jí)時(shí)應(yīng)建立系統(tǒng)鏡像，在發(fā)生網(wǎng)絡(luò)安全問(wèn)題時(shí)利用系統(tǒng)鏡像對(duì)系統(tǒng)進(jìn)行完整性檢查。四、服務(wù)器、網(wǎng)絡(luò)設(shè)備、計(jì)算機(jī)安全系統(tǒng)（如防火墻、入侵檢測(cè)系統(tǒng)等）等應(yīng)具備日志功能并必須啟用。網(wǎng)絡(luò)信息安全管理員要定期分析網(wǎng)絡(luò)安全系統(tǒng)和操作系統(tǒng)日志，在發(fā)現(xiàn)系統(tǒng)遭受攻擊或者攻擊嘗試時(shí)采取安全措施進(jìn)行保護(hù)，對(duì)網(wǎng)絡(luò)攻擊或者攻擊嘗試進(jìn)行