系統(tǒng)安全管理規(guī)范

太極計(jì)算機(jī)股ISO20000體系文系統(tǒng)安管標(biāo)準(zhǔn)〔版次：0/A〕編人部：子務(wù)審人批人

日：日：日：年月1日

31日實(shí)

手冊(cè)修履歷版

修日

修人

審人

批人

說(shuō)AA

草案初次發(fā)布2/11

12345

目錄概...........................................................................................................................................4目的................................................................................................................................4適用范圍.........................................................................................................................術(shù)定....................................................................................................................................4角及責(zé)................................................................................................................................4工要....................................................................................................................................5一般要求.........................................................................................................................帳號(hào)管理原那么..............................................................................................................5密碼使用平安原那么.......................................................................................................6提高系統(tǒng)平安原那么和措施............................................................................................6系統(tǒng)設(shè)備物理平安..........................................................................................................7系統(tǒng)補(bǔ)丁管理..................................................................................................................8系統(tǒng)防病毒管理..............................................................................................................9定期進(jìn)展平安檢查和審..............................................................................................10通用軟件的平安管理.....................................................................................................10備份數(shù)據(jù)和介質(zhì)的管..............................................................................................10相文及錄........................................................................................................................相關(guān)文件........................................................................................................................表單和記錄....................................................................................................................3/11

1概述1.1目的本程序的目的是就平安與管理層面，標(biāo)準(zhǔn)系統(tǒng)設(shè)備管理以及系統(tǒng)和數(shù)據(jù)庫(kù)訪問(wèn)行為，以確保信息與系統(tǒng)的訪問(wèn)與權(quán)限能適當(dāng)?shù)氖跈?quán)、配置及維持，防止未獲授權(quán)的訪問(wèn)，并確保系統(tǒng)和重要信息的可用(信息可供訪問(wèn))完整性(信息未被篡改。1.2適用范圍本文檔所規(guī)定IT效是指運(yùn)維效勞部PV部提供的IT效；本文檔所規(guī)定IT效商是指運(yùn)維效勞部PV分；本文檔適用于運(yùn)維效勞部PV分的所有領(lǐng)域。2術(shù)語(yǔ)定計(jì)算機(jī)系統(tǒng)：包括系統(tǒng)主機(jī)、系統(tǒng)設(shè)備及其相關(guān)配套的設(shè)備〔含系統(tǒng)線路〕及相關(guān)軟件等。3角色及責(zé)角使用者使用者單位主管管理員補(bǔ)丁管理員防病毒管理員

職依需求填寫(xiě)賬號(hào)與效勞權(quán)限管理申請(qǐng)表審查賬號(hào)與效勞權(quán)限管理申請(qǐng)表的申請(qǐng)內(nèi)容，符合實(shí)際需求。包含系統(tǒng)管理員和數(shù)據(jù)庫(kù)管理員負(fù)責(zé)系統(tǒng)平安的設(shè)置和執(zhí)行工作依照申請(qǐng)人員提出經(jīng)核準(zhǔn)的賬號(hào)與系統(tǒng)或數(shù)據(jù)庫(kù)權(quán)限管理申請(qǐng)表內(nèi)容，執(zhí)行權(quán)限設(shè)定作業(yè)與檢核作業(yè)結(jié)果。補(bǔ)丁管理效勞器管理補(bǔ)丁測(cè)試環(huán)境管理補(bǔ)丁測(cè)試、分發(fā)等實(shí)施工作防病毒效勞器管理4/11

平安審計(jì)人員系統(tǒng)管理單位主管工作要4.1一般要求

防病毒軟件升級(jí)、分發(fā)等實(shí)施工作審查各項(xiàng)平安設(shè)置和工作執(zhí)行情況檢查復(fù)核賬號(hào)與效勞權(quán)限管理申請(qǐng)表的申請(qǐng)，并督導(dǎo)系統(tǒng)和數(shù)據(jù)庫(kù)權(quán)限設(shè)定作業(yè)的有效進(jìn)展。

因業(yè)務(wù)需要而產(chǎn)生對(duì)信息的訪問(wèn)，其管理的要求于以下各章節(jié)進(jìn)展約定，使用者僅限于訪問(wèn)授權(quán)范圍內(nèi)的信息、系統(tǒng)與數(shù)據(jù)庫(kù)，不得作未經(jīng)授權(quán)的訪問(wèn)。職責(zé)區(qū)域：系統(tǒng)開(kāi)發(fā)人員負(fù)責(zé)系統(tǒng)開(kāi)發(fā)與測(cè)試；系統(tǒng)管理員負(fù)責(zé)系統(tǒng)及設(shè)備管理；數(shù)據(jù)庫(kù)管理員負(fù)責(zé)數(shù)據(jù)庫(kù)管(相關(guān)硬安審計(jì)人員負(fù)責(zé)平安審核述類(lèi)人員均應(yīng)于授權(quán)責(zé)任范圍內(nèi)運(yùn)作，以降低信息或效勞遭受未授權(quán)的修改或誤用。所有的系統(tǒng)和數(shù)據(jù)庫(kù)的重要配置參包括系統(tǒng)和數(shù)據(jù)庫(kù)密碼各統(tǒng)管理員負(fù)責(zé)設(shè)定與管含數(shù)據(jù)保存及備)。重要配置的修改，需按變更管理程序展。核心系統(tǒng)和信息的訪問(wèn)必需盡可能經(jīng)過(guò)審計(jì)，要設(shè)置自動(dòng)審記〔日志每次訪問(wèn)的用戶、時(shí)間、操作內(nèi)容等，妥善保管并定期審查這些日志。所有業(yè)務(wù)系統(tǒng)數(shù)據(jù)包括備份數(shù)據(jù)，特別是用戶信息，應(yīng)加以妥善保管，非經(jīng)授權(quán)不得訪問(wèn)。所有信息處理和設(shè)備的使用，均需經(jīng)適當(dāng)?shù)氖跈?quán)，以防止該設(shè)備的不當(dāng)使用。4.2帳號(hào)管理原那么為確保系統(tǒng)和數(shù)據(jù)庫(kù)的訪問(wèn)與權(quán)限均能適當(dāng)?shù)厥跈?quán)配和管理對(duì)統(tǒng)的帳號(hào)要進(jìn)展分級(jí)管理，具體如下：

系統(tǒng)訪問(wèn)權(quán)限分為系統(tǒng)管理員帳號(hào)和普通用戶帳號(hào)，系統(tǒng)管理員帳號(hào)由系統(tǒng)管理員管理和使用，普通用戶由系統(tǒng)管理員建立，所需要權(quán)限由系統(tǒng)管理員審查其必要性后授予，確保只授予必要的權(quán)限；對(duì)于數(shù)據(jù)庫(kù)的帳號(hào)分為管理帳號(hào)、屬主帳號(hào)、應(yīng)用帳號(hào)和只讀帳號(hào)，數(shù)據(jù)庫(kù)管理帳號(hào)由數(shù)據(jù)庫(kù)管理員管理和使用，屬主帳號(hào)是數(shù)據(jù)庫(kù)中具體應(yīng)用的屬主，用于管理數(shù)據(jù)庫(kù)中的具體應(yīng)用，如備份、復(fù)原等，應(yīng)用帳號(hào)和只讀帳號(hào)可用于效器上連接數(shù)據(jù)庫(kù)的配置，原那么上不能將數(shù)據(jù)庫(kù)的帳號(hào)授權(quán)給非系統(tǒng)運(yùn)維人員，特殊情況下經(jīng)過(guò)領(lǐng)導(dǎo)審批，可授予個(gè)別表的只讀權(quán)限。數(shù)據(jù)庫(kù)上的帳號(hào)由數(shù)據(jù)庫(kù)管理員管理和授權(quán)。使用者需要進(jìn)展系統(tǒng)與數(shù)據(jù)庫(kù)訪問(wèn)時(shí)，均需向該系統(tǒng)的系統(tǒng)管理員或數(shù)據(jù)庫(kù)管理員申請(qǐng)并經(jīng)相關(guān)的使用者單位主管核準(zhǔn)授權(quán)后始得使用，在申請(qǐng)時(shí)必需說(shuō)明必要的權(quán)限和5/11

i.

使用期限使者單位主管應(yīng)考申請(qǐng)者的實(shí)際業(yè)務(wù)需要確保只授予必要的權(quán)限，任務(wù)解除或人員離職時(shí)亦須向該系統(tǒng)管理員或數(shù)據(jù)庫(kù)管理員辦理注銷(xiāo)。系統(tǒng)管理員授與使用者的初次密碼，應(yīng)以適當(dāng)方式交付使用者個(gè)人，并要求使用者獲得初次密碼后，應(yīng)立即更改成自訂的密碼，并定期修改密碼，如果不能自行修改密碼的，需要系統(tǒng)管理員定期修改后通知使用者。正式投入運(yùn)行使用的系統(tǒng)及數(shù)據(jù)庫(kù)，相關(guān)密碼由責(zé)任系統(tǒng)管理員和系統(tǒng)管理單位主管保管和管理。無(wú)特殊需要，在系統(tǒng)正式使用后，一般的工程組成員及系統(tǒng)集成人員，不賦予正式的系統(tǒng)設(shè)備的訪問(wèn)權(quán)限。如有特殊需要由工程經(jīng)理通過(guò)OA工作聯(lián)絡(luò)單申請(qǐng)，責(zé)任系統(tǒng)管理員可在短期內(nèi)開(kāi)設(shè)臨時(shí)普通帳號(hào)〔只賦予必要的權(quán)限組用，在規(guī)定時(shí)間內(nèi)及使用完畢后要及時(shí)收回權(quán)限。4.3密碼使用平安原那么管理員和使用者應(yīng)負(fù)責(zé)其口令及信息處理設(shè)備的使用符合以下要求，以防止其口令及信息處理設(shè)備招致誤用。

對(duì)口令的使用應(yīng)符合以下規(guī)定：密碼長(zhǎng)度至少為六個(gè)字符。密碼中應(yīng)包含至少四個(gè)英文大小寫(xiě)字母。密碼中應(yīng)包含至少一個(gè)非英文字母的字符。不得選取使用者賬號(hào)、姓名、生日、身分證字號(hào)或單位代名等與個(gè)人或單位相關(guān)的信息做為密碼。不得選取英文單詞為密碼。密碼一般三月更換一次，管理員可根據(jù)系統(tǒng)情況對(duì)周期進(jìn)展調(diào)整。使用者應(yīng)負(fù)責(zé)確保所使用的信息設(shè)備在處于無(wú)人看管的狀態(tài)(例如使用時(shí)中途離開(kāi))時(shí)有適當(dāng)?shù)谋Ｗo(hù)。4.4提高系統(tǒng)平安原那么和措施為保證系統(tǒng)的平安性，在安裝配置操作系統(tǒng)時(shí)要注意以下問(wèn)題：第1：只啟動(dòng)必要的效勞除了當(dāng)前必要的效勞，其他效勞都應(yīng)該取消第2：及時(shí)安裝系統(tǒng)補(bǔ)丁為了加強(qiáng)系統(tǒng)平安，一定要及時(shí)安裝系統(tǒng)補(bǔ)丁，特別是涉及系統(tǒng)平安漏洞的補(bǔ)丁。第3：安裝和啟動(dòng)防火墻核心系統(tǒng)還需要借助防火墻等其他平安工具，只開(kāi)放使用的端口，共同防御黑客入侵。第3：限制系統(tǒng)的出入在進(jìn)入系統(tǒng)之前，所有用戶都需要登錄，也就是說(shuō)，用戶需要輸入用戶賬號(hào)和密碼，只有它們6/11

通過(guò)系統(tǒng)驗(yàn)證之后，用戶才能進(jìn)入系統(tǒng)。防止空口令和弱口令。對(duì)核心系統(tǒng)還要防止明文在網(wǎng)絡(luò)傳輸口令。第4：設(shè)定用戶賬號(hào)的平安等級(jí)除密碼之外，用戶賬號(hào)也有平安等級(jí)，系統(tǒng)管理員應(yīng)該根據(jù)需要賦予該賬號(hào)不同的權(quán)限，并且歸并到不同的用戶組中。每個(gè)賬號(hào)應(yīng)該有專(zhuān)人負(fù)責(zé)。第5：定期檢查登錄密碼和日志審記設(shè)定登錄密碼是一項(xiàng)非常重要的平安措施，如果用戶的密碼設(shè)定不適宜，就很容易被破譯，尤其是擁有超級(jí)用戶使用權(quán)限的用戶，如果沒(méi)有良好的密碼，將給系統(tǒng)造成很大的平安漏洞。系管理員要經(jīng)常提高警覺(jué)，隨時(shí)注意各種可疑狀況，并且按時(shí)檢查各種系統(tǒng)日志文件，包括一般信日志、網(wǎng)絡(luò)連接日志、文件傳輸日志以及用戶登錄日志等。在檢查這些日志時(shí)，要注意是否有不常理的時(shí)間記載。對(duì)于WINDOWS統(tǒng)，應(yīng)該注意以下問(wèn)題：1.2.3.4.5.6.7.8.9.

驗(yàn)證所有磁盤(pán)分區(qū)是否都用NTFS格式化驗(yàn)證管理員帳戶是否有強(qiáng)密碼禁用不必要的效勞禁用或刪除不必要的帳戶保護(hù)文件和目錄確保禁用來(lái)賓帳戶防止注冊(cè)表被匿名訪問(wèn)應(yīng)用適當(dāng)?shù)淖?cè)表ACL限制對(duì)公用本地平安機(jī)構(gòu)(LSA)信息進(jìn)展訪問(wèn)10.設(shè)置較強(qiáng)的密碼策略11.設(shè)置帳戶鎖定策略12.配置管理員帳戶13.刪除所有不必要的文件共享14.對(duì)所有必要的文件共享設(shè)置適當(dāng)?shù)腁CL15.安裝防病毒軟件和更新16.安裝最新的Pack17.安裝適當(dāng)?shù)腜ack后平安修補(bǔ)程序針對(duì)微軟操作系統(tǒng)，要求安裝完關(guān)鍵補(bǔ)丁后，立即聯(lián)網(wǎng)配置SUS，承受其補(bǔ)丁分發(fā)管理，繼續(xù)完成補(bǔ)丁安裝，確保系統(tǒng)不會(huì)因?yàn)槁┒炊桓腥静《净蛘弑缓诳凸簟?.5系統(tǒng)設(shè)備物理平安所有人員應(yīng)遵守房環(huán)境平安管理標(biāo)中系統(tǒng)設(shè)備物理訪問(wèn)控制的規(guī)定。7/11

機(jī)房管理人員應(yīng)嚴(yán)格執(zhí)行對(duì)人員設(shè)進(jìn)入IT房等平安敏感區(qū)域的控制防止無(wú)關(guān)人員進(jìn)入?yún)^(qū)域，接觸系統(tǒng)設(shè)備或鏈路。應(yīng)加強(qiáng)對(duì)系統(tǒng)設(shè)備的質(zhì)量控制、安裝維護(hù)的質(zhì)量控制，以及建立系統(tǒng)的冗余機(jī)制和應(yīng)急機(jī)制，防止設(shè)備缺陷、故障或突發(fā)事件引起的系統(tǒng)癱瘓。不允許進(jìn)展任何干擾其他系統(tǒng)用戶，破壞系統(tǒng)效勞和系統(tǒng)設(shè)備的活動(dòng)，違反者將按公司相關(guān)規(guī)定予以處分。員工不得損壞所在區(qū)域內(nèi)的插槽、跳線、標(biāo)簽等。4.6系統(tǒng)補(bǔ)丁管理補(bǔ)丁管理員建立統(tǒng)一的補(bǔ)丁管理機(jī)制，進(jìn)展補(bǔ)丁管理，配置專(zhuān)門(mén)的補(bǔ)丁管理效勞器，并建立補(bǔ)丁測(cè)試環(huán)境。具體工作內(nèi)容如下：1．補(bǔ)丁分析分析漏洞的影響為了根據(jù)漏洞和漏洞對(duì)應(yīng)用系統(tǒng)的影響制定相應(yīng)的方案，在分析補(bǔ)丁之前一定要先分析一下漏洞的威脅、成因和嚴(yán)重性。漏洞等級(jí)定義：等緊急

定利用漏洞可以遠(yuǎn)程獲

成堆、棧溢出

允修時(shí)2

修方用非補(bǔ)丁方式修補(bǔ)，取管理員權(quán)限

如用防火墻或者限制功能等方式,同時(shí)增加監(jiān)控嚴(yán)重

結(jié)

堆、棧溢出

天

補(bǔ)丁方式修補(bǔ)合，形成蠕蟲(chóng)中等

獲取普通用戶訪問(wèn)權(quán)/提升權(quán)/遠(yuǎn)程拒

棧溢出、競(jìng)爭(zhēng)條件、

10－30天

限制使用程序丁方式絕效勞

協(xié)議設(shè)計(jì)低等

信息泄漏、本地拒絕

返回信息過(guò)多

30天90天

補(bǔ)丁方式效勞針對(duì)Microsoft的軟件系統(tǒng)平角度考慮點(diǎn)關(guān)注平安修補(bǔ)程序安更新更新匯總、ServicePack。其平安修補(bǔ)程序是對(duì)特定的某一個(gè)平安漏洞的補(bǔ)丁，因此可以參照其對(duì)應(yīng)的漏洞嚴(yán)重等級(jí)進(jìn)展補(bǔ)丁安裝；平安更新是針對(duì)多個(gè)平安漏洞的補(bǔ)丁，因此可以參照其對(duì)應(yīng)的最嚴(yán)漏洞的嚴(yán)重等級(jí)進(jìn)展補(bǔ)丁安裝；更新匯總是平安修補(bǔ)程序、重要更新、更新和修補(bǔ)程序的集合，此比擬適合重新安裝系統(tǒng)或者階段性安裝ServicePack包了從產(chǎn)品發(fā)布至今，累積的一系列修補(bǔ)程序、平安修補(bǔ)程序、重要更新和更新，因此比擬適合重新安裝系統(tǒng)或者階段性安裝。在日常工作中可以根據(jù)廠商的平安公告和平安補(bǔ)丁信息，確定符合企業(yè)自己的補(bǔ)丁嚴(yán)重等級(jí)，針對(duì)系統(tǒng)制定出補(bǔ)丁的修補(bǔ)方案，包括修補(bǔ)時(shí)間、修補(bǔ)方式等。2．測(cè)試補(bǔ)丁雖然軟件廠商在發(fā)布補(bǔ)丁前已經(jīng)對(duì)補(bǔ)丁進(jìn)展了測(cè)試，但是測(cè)試永遠(yuǎn)是不充分的，從實(shí)際經(jīng)歷來(lái)看，目前軟件廠商為了解決平安問(wèn)題，都會(huì)盡量壓制測(cè)試補(bǔ)丁時(shí)間，而且每個(gè)應(yīng)用系8/11

統(tǒng)都有自己的特殊應(yīng)用環(huán)境，因此補(bǔ)丁往往不穩(wěn)定，會(huì)造成很多未知問(wèn)題。因此必須根據(jù)應(yīng)用統(tǒng)的實(shí)際應(yīng)用環(huán)境進(jìn)展補(bǔ)丁測(cè)試，以判斷該補(bǔ)丁在現(xiàn)有應(yīng)用系統(tǒng)環(huán)境下的兼容狀況。3．分發(fā)補(bǔ)丁補(bǔ)丁測(cè)試后，如果沒(méi)有問(wèn)題，那么要根據(jù)緊急程度制定分發(fā)方案。方案中關(guān)鍵要根據(jù)企業(yè)的環(huán)境分批安裝，原那么是業(yè)務(wù)重要、資產(chǎn)價(jià)值大、威脅等級(jí)高的系統(tǒng)優(yōu)先安裝，確定順序后，提變更，組織相關(guān)人員進(jìn)展補(bǔ)丁安裝。微軟的補(bǔ)丁發(fā)布由補(bǔ)丁管理員在WSUS效勞器上進(jìn)展審核批準(zhǔn)，通過(guò)WSUS將丁自動(dòng)下推到windows客戶，系統(tǒng)管理員根各自管理的應(yīng)用系統(tǒng)情況選擇安裝方式和時(shí)間。原那么上，所有效勞器都必須承受統(tǒng)一的WSUS管因特殊的原因無(wú)法承受管理的要統(tǒng)管理員根據(jù)情況選安裝補(bǔ)丁，并填?補(bǔ)丁檢查記錄表。4．補(bǔ)丁安裝檢查為了確認(rèn)補(bǔ)丁安裝情況，各系統(tǒng)管理員應(yīng)對(duì)負(fù)責(zé)的系統(tǒng)在補(bǔ)丁發(fā)布和安裝后進(jìn)展檢查。5.異常處理和記錄在補(bǔ)丁的安裝過(guò)程中，由于系統(tǒng)的多樣性和負(fù)責(zé)性，經(jīng)常會(huì)發(fā)生很多異常，一般可以分為兩種情況：

不能安裝補(bǔ)丁，這時(shí)就需要確定一個(gè)臨時(shí)的解決方法消除漏洞的威脅，或者暫時(shí)承受這個(gè)風(fēng)險(xiǎn)。安裝上補(bǔ)丁后系統(tǒng)或者應(yīng)用不能正常運(yùn)行，這時(shí)就需要采用應(yīng)急方案，采用備份系統(tǒng)或者卸載補(bǔ)丁等臨時(shí)方法解決。在處理上述的異常中，補(bǔ)丁管理員及時(shí)收集異常和解決方案，組織異常的提交和跟蹤，并且將信息及時(shí)公布給系統(tǒng)工程師和桌面工程師。針對(duì)一般微軟操作系統(tǒng)，要求安裝完關(guān)鍵補(bǔ)丁后，立即聯(lián)網(wǎng)配置WSUS，承受其補(bǔ)丁分發(fā)管理，繼續(xù)完成補(bǔ)丁安裝，確保系統(tǒng)不會(huì)因?yàn)槁┒炊桓腥静《净蛘弑缓诳凸?。特殊系統(tǒng)按要求進(jìn)補(bǔ)丁安裝。4.7系統(tǒng)防病毒管理防病毒管理員建立集中式的防病毒機(jī)制，進(jìn)展防病毒系統(tǒng)管理，配置專(zhuān)門(mén)的防病毒效勞器，所有微軟操作系統(tǒng)必須先安裝防病毒軟件客戶端，方可連入局域網(wǎng)。防病毒日常管理工作內(nèi)容如下：1、每天檢查防病毒效勞器上病定義碼下載情況是否正常；2、每天檢查防病毒效勞器上病定義碼下發(fā)情況是否正常，如有未正常下發(fā)的客戶端，通知防病毒管理員查找原因；3、每周檢查防病毒效勞器上防墻日志中記錄的病毒發(fā)作情況，每周進(jìn)展分析并發(fā)出?病毒分析報(bào)告。對(duì)于出現(xiàn)集中式的防病毒無(wú)法處理的新病毒，管理員及時(shí)提取病毒樣本，上傳到防病毒廠家，并跟進(jìn)處理。如得到防病毒廠家的專(zhuān)殺工具，及時(shí)進(jìn)展下發(fā)，防止更大損失。9/11

4.8定期進(jìn)展平安檢查和審計(jì)開(kāi)啟所有系統(tǒng)中必要的平安審計(jì)，建立集中式的日志保存機(jī)制，配置專(zhuān)門(mén)的日志處理效勞器，自動(dòng)對(duì)日志進(jìn)展初步的過(guò)濾，緊急的平安事件自動(dòng)向管理員發(fā)出通知。

對(duì)于WINDOWS系建議使用平安模板，擴(kuò)大平安日志文件大小〔建議最小如果啟用了登陸事件、策略更改、賬戶登陸、系統(tǒng)事件的成功失敗的審核