您的当前位置：首页各类操作系统安全基线配置

各类操作系统安全基线配置

来源：九壹网

各类操作系统安全配置要求及操作指南

检查模块支持系统版本号 Windows Windows 2000 以上 Solaris Solaris 8 以上 AIX AIX 5.X以上

HP-UNIX HP-UNIX 11i以上 Linux 内核版本 2.6以上 Oracle Oracle 8i以上 SQL Server

Microsoft SQL Server 2000 以上 MySQL MySQL 5.x以上 IIS IIS 5.x以上

Apache Apache 2.x 以上 Tomcat Tomcat 5.x以上

WebLogic WebLogic 8.X以上

Windows操作系统

安全配置要求及操作指南 I

目录 ..................................................................... I 前言 .................................................................... II 1 范围 ....................................................................... 1

2 规范性引用文件 ............................................................. 1 3 缩略语 ..................................................................... 1 4 安全配置要求 ............................................................... 2 4.1 账号 ..................................................................... 2 4.2 口令 ..................................................................... 3 4.3 授权 ..................................................................... 5 4.4 补丁 ..................................................................... 7 4.5 防护软件 ................................................................. 8 4.6 防病毒软件 ............................................................... 8 4.7 日志安全要求 ............................................................. 9 4.8 不必要的服务 ............................................................ 11 4.9 启动项 .................................................................. 12

4.10 关闭自动播放功能 ....................................................... 13 4.11 共享文件夹 ............................................................. 13

4.12 使用 NTFS 文件系统 ..................................................... 14 4.13 网络访问 ............................................................... 15 4.14 会话超时设置 ........................................................... 16

4.15 注册表设置 ............................................................. 17 附录 A：端口及服务 .......................................................... 18 II

前言

为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，编制了一系列的安全配置要求及操作指南，明确了操作系统、数据库、应用中间件在内的通

用安全配置要求及参考操作。

该系列安全配置要求及操作指南的结构及名称预计如下：

（1）《 Windows 操作系统安全配置要求及操作指南》（本规范）（2）《 AIX操作系统安全配置要求及操作指南》（3）《 HP-UX 操作系统安全配置要求及操作指南》（4）《 Linux操作系统安全配置要求及操作指南》（5）《 Solaris操作系统安全配置要求及操作指南》

（6）《 MS SQL server数据库安全配置要求及操作指南》（7）《 MySQL 数据库安全配置要求及操作指南》（8）《 Oracle数据库安全配置要求及操作指南》（9）《 Apache安全配置要求及操作指南》（10）《 IIS安全配置要求及操作指南》

（11）《 Tomcat 安全配置要求及操作指南》（12）《 WebLogic 安全配置要求及操作指南》 1 1 范围

适用于使用 Windows 操作系统的设备。在未特别说明的情况下，均适用于所有运行的 Windows 操作系统，包括 Windows 2000、Windows XP、Windows2003, Windows7 ,

Windows 2008 以及各版本中的 Sever、Professional版本。本规范明确了 Windows操作系统在安全配置方面的基本要求，适用于所有的安全等级，

可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。

由于版本不同，配置操作有所不同，本规范以 Windows 2003 为例，给出参考配置操作。

2 规范性引用文件

GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》 YD/T 1732-2008《固定通信网安全防护要求》 YD/T 1734-2008《移动通信网安全防护要求》

YD/T 1736-2008《互联网安全防护要求》

YD/T 1738-2008《增值业务网—消息网安全防护要求》 YD/T 1740-2008《增值业务网—智能网安全防护要求》 YD/T 1758-2008《非核心生产单元安全防护要求》 YD/T 1742-2008《接入网安全防护要求》 YD/T 1744-2008《传送网安全防护要求》 YD/T 1746-2008《IP 承载网安全防护要求》 YD/T 1748-2008《信令网安全防护要求》 YD/T 1750-2008《同步网安全防护要求》 YD/T 1752-2008《支撑网安全防护要求》

YD/T 1756-2008《电信网和互联网管理安全等级保护要求》 3 缩略语

UDP User Datagram Protocol 用户数据包协议 TCP Transmission Control Protocol 传输控制协议 2

NTFS New Technology File System 新技术文件系统

4 安全配置要求 4.1 账号编号：1

要求内容应按照不同的用户分配不同的账号，避免不同用户间共享账号。避免用户账号和设备间通信使用的账号共享。操作指南 1、参考配置操作

进入“控制面板->管理工具->计算机管理” ，在“系统工具->本地用户和组” ：

根据系统的要求，设定不同的账户和账户组。检测方法 1、判定条件

结合要求和实际业务情况判断符合要求，根据系统的要求，设定不同的账户和账户组 2、检测操作

进入“控制面板->管理工具->计算机管理” ，在“系统工具->本地用户和组” ：

查看根据系统的要求，设定不同的账户和账户组

编号：2 要求内容

应删除与运行、维护等工作无关的账号。操作指南

1．参考配置操作

A）可使用用户管理工具：

开始-运行-compmgmt.msc-本地用户和组-用户 B）也可以通过 net 命令：

删除账号： net user account/de1

停用账号：net user account/active:no

检测方法 1.判定条件

结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的账号。 3

注：无关的账号主要指测试帐户、共享帐号、长期不用账号（半年以上不用）等 2.检测操作

开始-运行-compmgmt.msc-本地用户和组-用户

编号：3

要求内容重命名 Administrator；禁用 guest（来宾）帐号。操作指南 1、参考配置操作

进入“控制面板->管理工具->计算机管理” ，在“系统工具->本地用户和组” ：

Administrator－>属性－> 更改名称 Guest 帐号->属性－> 已停用检测方法 1、判定条件

缺省账户 Administrator名称已更改。 Guest 帐号已停用。 2、检测操作

进入“控制面板->管理工具->计算机管理” ，在“系统工具->本地用户和组” ：

缺省帐户－>属性－> 更改名称 Guest 帐号->属性－> 已停用

4.2 口令编号：1

要求内容密码长度要求：最少 8位

密码复杂度要求：至少包含以下四种类别的字符中的三种： z 英语大写字母 A, B, C, … Z z 英语小写字母 a, b, c, … z z 阿拉伯数字 0, 1, 2, … 9

z 非字母数字字符，如标点符号，@, #, $, %, &, *等 4

操作指南 1、参考配置操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->密码策略” ：

“密码必须符合复杂性要求”选择“已启动” 检测方法 1、判定条件

“密码必须符合复杂性要求”选择“已启动”

2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->密码策略” ：

查看是否“密码必须符合复杂性要求”选择“已启动”

编号：2

要求内容对于采用静态口令认证技术的设备，账户口令的生存期不长于 90 天。

操作指南 1、参考配置操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->密码策略” ：

“密码最长存留期”设置为“90 天” 检测方法 1、判定条件

“密码最长存留期”设置为“90 天” 2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->密码策略” ：

查看是否“密码最长存留期”设置为“90 天”

编号：3

要求内容对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近 5次（含 5 次）内已使用的口令。操作指南 1、参考配置操作 5

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->密码策略” ：

“强制密码历史”设置为“记住 5个密码” 检测方法 1、判定条件

“强制密码历史”设置为“记住 5个密码” 2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->密码策略” ：

查看是否“强制密码历史”设置为“记住 5 个密码”

编号：4

要求内容对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过 6 次（不含 6 次），锁定该用户使用的账号。操作指南 1、参考配置操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->帐户锁定策略” ：

“账户锁定阀值”设置为 6 次设置解锁阀值：30 分钟检测方法 1、判定条件

“账户锁定阀值”设置为小于或等于 6 次

2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“帐户策略->帐户锁定策略” ：

查看是否“账户锁定阀值”设置为小于等于 6次补充说明：

设置不当可能导致账号大面积锁定，在域环境中应小心设置， Administrator 账号本身不会被锁定。 4.3 授权编号：1 6

要求内容本地、远端系统强制关机只指派给 Administrators 组。操作指南 1、参考配置操作

进入“控制面板->管理工具->本地安全策略” ，在“本地策略->用户权利指派”:

“关闭系统”设置为“只指派给 Administrators组”

“从远端系统强制关机”设置为“只指派给 Administrators组” 检测方法 1、判定条件

“关闭系统”设置为“只指派给 Administrators组”

“从远端系统强制关机”设置为“只指派给 Administrtors组” 2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“本地策略->用户权利指派”:

查看“关闭系统”设置为“只指派给 Administrators 组” 查看是否“从远端系统强制关机”设置为“只指派给 Administrators 组”

编号：2

要求内容在本地安全设置中取得文件或其它对象的所有权仅指派给 Administrators。

操作指南 1、参考配置操作

进入“控制面板->管理工具->本地安全策略” ，在“本地策略->用户权利指派” ：

“取得文件或其它对象的所有权”设置为“只指派给 Administrators 组”

检测方法 1、判定条件

“取得文件或其它对象的所有权”设置为“只指派给 Administrators 组” 2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“本地策略->用 7

户权利指派” ：

查看是否“取得文件或其它对象的所有权”设置为“只指派给 Administrators 组” 编号：3

要求内容在本地安全设置中只允许授权帐号本地、远程访问登陆此计算机。操作指南 1、参考配置操作

进入“控制面板->管理工具->本地安全策略” ，在“本地策略->用户权利指派”

“从本地登陆此计算机”设置为“指定授权用户” “从网络访问此计算机”设置为“指定授权用户” 检测方法 1、判定条件

“从本地登陆此计算机”设置为“指定授权用户” “从网络访问此计算机”设置为“指定授权用户” 2、检测操作

进入“控制面板->管理工具->本地安全策略” ，在“本地策略->用户权利指派”

查看是否“从本地登陆此计算机”设置为“指定授权用户” 查看是否“从网络访问此计算机”设置为“指定授权用户”

4.4 补丁编号：1

要求内容在不影响业务的情况下，应安装最新的 Service Pack 补丁集。对服务器系统应先进行兼容性测试。操作指南 1、参考配置操作

安装最新的 Service Pack补丁集。

例如截止到 2010 年最新版本： Windows XP 的 Service Pack 为 SP3。 Windows2000 的 Service Pack为 SP4,Windows 2003的 Service Pack 为 SP2

检测方法 1、判定条件 8

2、检测操作

进入控制面板->添加或删除程序->显示更新打钩，查看是否 XP 系

统已安装SP3， Win2000系统已安装SP4， Win2003系统已安装SP2。 4.5 防护软件编号：1

要求内容启用自带防火墙或安装第三方威胁防护软件。根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的 IP地址范围。操作指南 1、参考配置操作（以启动自带防火墙为例）

进入“控制面板－>网络连接－>本地连接” ，在高级选项的设置中启用 Windows 防火墙。

在“例外”中配置允许业务所需的程序接入网络。

在“例外->编辑->更改范围”编辑允许接入的网络地址范围。说明：分为服务器和操作终端两种情况：服务器该项为可选，操作终端该项为必选检测方法 1、判定条件启用 Windows 防火墙。

“例外”中允许接入网络的程序均为业务所需。

2、检测操作

进入“控制面板－>网络连接－>本地连接” ，在高级选项的设置中，查看是否启用 Windows 防火墙。

查看是否在“例外”中配置允许业务所需的程序接入网络。

查看是否在“例外->编辑->更改范围”编辑允许接入的网络地址范围。

4.6 防病毒软件编号：1

要求内容安装防病毒软件，并及时更新。操作指南 1、参考配置操作 9

安装防病毒软件，并及时更新。检测方法 1、判定条件

已安装防病毒软件，病毒码更新时间不早于 1个月，各系统病毒码升级时间要求参见各系统相关规定。

注：对于操作终端该项为必选项，对于服务器该项为可选项 2、检测操作

控制面板->添加或删除程序，是否安装有防病毒软件。打开防病毒软件控制面板，查看病毒码更新日期。

4.7 日志安全要求编号：1

要求内容设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的 IP地址。

操作指南 1、参考配置操作

开始->运行-> 执行“ 控制面板->管理工具->本地安全策略->审核策略”

审核登录事件，双击，设置为成功和失败都审核。检测方法 1、判定条件

审核登录事件，设置为成功和失败都审核。 2、检测操作

开始->运行-> 执行“ 控制面板->管理工具->本地安全策略->审核策略”

审核登录事件，双击，查看是否设置为成功和失败都审核。

编号：2

要求内容开启审核策略，以便出现安全问题后进行追查操作指南 1、参考配置操作对审核策略进行检查： 10

开始-运行-gpedit.msc

计算机配置-Windows 设置-安全设置-本地策略-审核策略

以下审核是必须开启的，其他的可以根据需要增加： y 审核系统登陆事件成功，失败 y 审核帐户管理成功，失败 y 审核登陆事件成功，失败 y 审核对象访问成功

y 审核策略更改成功，失败 y 审核使用成功，失败 y 审核系统事件成功，失败 2、补充说明

可能会使日志量猛增检测方法 1、判定条件

尝试对被添加了访问审核的对象进行访问，然后查看安全日志中是否会有相关记录，或通过其他手段激化以配置的审核策略，并观察日志中的记录情况，如果存在记录条目，则配置成功。 2、检测操作

编号：3 要求内容

设置日志容量和覆盖规则，保证日志存储操作指南 1、参考配置操作开始-运行-eventvwr

右键选择日志，属性，根据实际需求设置：日志文件大小：可根据需要制定

超过上限时的处理方式（建议日志记录天数不小于 90天） 2、补充说明

建议对每个日志均进行如上操作，同时应保证磁盘空间检测方法 1、判定条件 2、检测操作 11

开始-运行-eventvwr，右键选择日志，属性，查看日志上限及超过上线时的处理方式

4.8 不必要的服务、端口编号：1

要求内容关闭不必要的服务操作指南 1、参考配置操作

进入“控制面板->管理工具->计算机管理” ，进入“服务和应用程序” ：

可根据具体应用情况参考附录 A，筛选不必要的服务。检测方法 1、判定条件

系统管理员应出具系统所必要的服务列表。查看所有服务，不在此列表的服务需关闭。 2、检测操作

进入“控制面板->管理工具->计算机管理” ，进入“服务和应用程序” ：

查看所有服务，不在此列表的服务是否已关闭。

编号： 2

要求内容如需启用SNMP服务，则修改默认的SNMP Community String设置。操作指南 1、参考配置操作打开“控制面板”，打开“管理工具”中的“服务”，找到“SNMP Service”，单击右键打开“属性”面板中的“安全”选项卡，在这个配置界面中，可以修改 community strings，也就是微软所说的“团体名称”。

检测方法 1、判定条件

community strings已改，不是默认的“public” 2、检测操作打开“控制面板”，打开“管理工具”中的“服务”，找到“SNMP 12 Service”，单击右键打开“属性”面板中的“安全”选项卡，在这个配置界面中，查看 community strings，也就是微软所说的“团体名称”。

编号： 3

要求内容如对互联网开放 WindowsTerminial 服务(Remote Desktop)，需修改默认服务端口。

操作指南 1、参考配置操作开始->运行 Regedt32 并转到此项:

HKEY_LOCAL_MACHINESystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp

找到 “PortNumber” 子项，会看到默认值 00000D3D，它是 33 的十六进制表示形式。使用十六进制数值修改此端口号，并保存新值。

检测方法 1、判定条件

找到“PortNumber”子项，设定值非 00000D3D，即十进制 33 2、检测操作

运行 Regedt32 ,找到此项并判断。

4.9 启动项

要求内容关闭无效启动项操作指南 1、参考配置操作

“开始->运行->MSconfig”启动菜单中，取消不必要的启动项。检测方法 1、判定条件 2、检测操作

系统管理员提供业务必须的自动加载进程和服务列表文档。查看“开始->运行->MSconfig”启动菜单：

不需要的自动加载进程是否已禁用和取消。 13

4.10 关闭自动播放功能编号：1

要求内容关闭 Windows自动播放功能操作指南 1、参考配置操作

开始→运行→gpedit.msc，打开组策略编辑器，浏览到计算机配置 →管理模板→系统，在右边窗格中双击“关闭自动播放”，对话框中选择所有驱动器，确定即可。检测方法 1、判定条件

所有驱动器均“关闭自动播放” 2、检测操作

“关闭自动播放”配置已启用，启用范围：所有驱动器。

4.11 共享文件夹编号：1

要求内容在非域环境下，关闭 Windows 硬盘默认共享，例如 C$，D$。操作指南 1、参考配置操作

进入“开始－>运行－>Regedit” ，进入注册表编辑器，更改注册表键值：

HKLM\\System\\CurrentControlSet\\Services\\LanmanServer\\Parameters\\ 下，增加 REG_DWORD 类型的 AutoShareServer 键，值为 0。检测方法 1、判定条件

HKLM\\System\\CurrentControlSet\\

Services\\LanmanServer\\Parameters\\增加了 REG_DWORD 类型的 AutoShareServer 键，值为 0。 2、检测操作

进入“开始－>运行－>Regedit” ，进入注册表编辑器，更改注册表键值： 14

HKLM\\System\\CurrentControlSet\\Services\\LanmanServer\\Parameters\\ ，增加 REG_DWORD类型的 AutoShareServer 键，值为 0。

编号：2

要求内容设置共享文件夹的访问权限，只允许授权的账户拥有权限共享此文件夹。

操作指南 1、参考配置操作

进入“控制面板->管理工具->计算机管理” ，进入“系统工具－>共享文件夹” ：

查看每个共享文件夹的共享权限，只将权限授权于指定账户。检测方法 1、判定条件

查看每个共享文件夹的共享权限仅限于业务需要，不设置成为

“everyone” 。 2、检测操作

进入“控制面板->管理工具->计算机管理” ，进入“系统工具－>共享文件夹” ：

查看每个共享文件夹的共享权限。

4.12 使用NTFS文件系统

要求内容在不毁坏数据的情况下，将ＦＡＴ分区改为ＮＴＦＳ格式操作指南 1、参考配置操作将 FAT 卷转换成 NTFS 分区

CONVERT volume /FS:NTFS[/V] [/CvtArea:filename][/NoSecurity] [/X]

Vo l ume 指定驱动器号（后面加一个冒号）、装载点或卷名 /FS:NTFS 指定要被转换成 NTFS 的卷 /V 指定 CONVERT 应该用详述模式运行

/CvtArea:filename 将根目录中的一个接续文件指定为NTFS系统文件的占位符 15

/NoSecurity 指定每个人都可以访问转换的文件和目录的安全设置 /X 如果必要，先强行卸载卷，有打开的句柄则无效例如：

Covert C：/FS:NTFS 备注：

1、新上线系统必须要求 NTFS 分区，已上线系统在不损坏数据的情况下应用

2、在有其他非 WIN系统访问、存在数据共享的情况下，不建议将ＦＡＴ分区改为ＮＴＦＳ格式检测方法 1、判定条件 2、检测操作

4.13 网络访问编号：1

要求内容禁用匿名访问命名管道和共享 16

操作指南 1、参考配置操作

“控制面板->管理工具->本地安全策略” ，在“本地策略->安全选项”:网络访问：可匿名访问的共享设置为全部删除

“控制面板->管理工具->本地安全策略” ，在“本地策略->安全选项”:网络访问：可匿名访问的命名管道设置为全部删除检测方法 1、判定条件

全部删除匿名访问命名管道和共享 2、检测操作

查看“控制面板->管理工具->本地安全策略” ，在“本地策略->安全选项”:网络访问：可匿名访问的共享、可匿名访问的命名管道是否设置为全部删除

编号：2

要求内容禁用可远程访问的注册表路径和子路径操作指南 1、参考配置操作

“控制面板->管理工具->本地安全策略” ，在“本地策略->安全选项”:网络访问：可远程访问的注册表路径设置为全部删除

“控制面板->管理工具->本地安全策略” ，在“本地策略->安全选项”:网络访问：可远程访问的注册表路径和子路径设置为全部删除

检测方法 1、判定条件

全部删除可远程访问的注册表路径和子路径 3、检测操作

查看“控制面板->管理工具->本地安全策略” ，在“本地策略->安全选项”:网络访问中，查看，可远程访问的注册表路径、可远程访问的注册表路径和子路径是否设置为全部删除

4.14 会话超时设置编号：1 17 要求内容

对于远程登录的账户，设置不活动所连接时间 15 分钟操作指南 1、参考配置操作

进入“控制面板—管理工具—本地安全策略” ，在“安全策略—安全选项” ： “Microsoft 网络服务器”设置为“在挂起会话之前所需的空闲时间”为 15 分钟检测方法 1、判定条件

“Microsoft 网络服务器”设置为“在挂起会话之前所需的空闲时间”为 15 分钟 2、检测操作

进入“控制面板—管理工具—本地安全策略” ，在“安全策略—安全选项” ：查看“Microsoft 网络服务器”设置

4.15 注册表设置编号：1

要求内容在不影响系统稳定运行的前提下，对注册表信息进行更新。操作指南 1、参考配置操作 y 自动登录：

HKLM\\Software\\Microsoft\\WindowsNT\\

CurrentVersion\\Winlogon\\AutoAdminLogon (REG_DWORD) 0 y 源路由欺骗保护：

HKLM\\System\\CurrentControlSet\\

Services\\Tcpip\\Parameters\\DisableIPSourceRouting (REG_DWORD) 2

y 删除匿名用户空链接 HKEY_LOCAL_MACHINE

SYSTEM\\Current\\Control\\Set\\Control\\Lsa

将 restrictanonymous 的值设置为 1，若该值不存在，可以自己创建，类型为 REG_DWORD 修改完成后重新启动系统生效 y 碎片攻击保护：

HKLM\\System\\CurrentControlSet\\ 18

Services\\Tcpip\\Parameters\\EnablePMTUDiscovery (REG_DWORD) 1

y Syn flood 攻击保护：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services 之下，可设置：

TcpMaxPortsExhausted。推荐值：5。 TcpMaxHalfOpen。推荐值数据：500。 TcpMaxHalfOpenRetried。推荐值数据：400 检测方法 1、判定条件 2、检测操作

点击开始->运行，然后在打开行里输入 regedit，然后单击确定，查看相关注册表项进行查看；

使用空连接扫描工具无法远程枚举用户名和用户组

附录 A：端口及服务

服务名称端口服务说明关闭方法处置建议系统服务部分

echo 7/TCP RFC862_回声协议关闭\"Simple TCP/IP Services\"服务。

建议关闭

echo 7/UDP RFC862_回声协议 discard 9/UDP RFC863 废除协议 discard 9/TCP RFC863 废除协议 daytime 13/UDP RFC867 白天协议 daytime 13/TCP RFC867 白天协议 qotd 17/TCP

RFC865 白天协议的引用

qotd 17/UDP

RFC865 白天协议的引用

chargen 19/TCP RFC8 字符产生协议 19

chargen 19/UDP RFC8 字符产生协议

ftp 21/TCP 文件传输协议(控制) 关闭\"FTP

Publishing Service\" 服务。

根据情况选择开放

smtp 25/TCP 简单邮件发送协议关闭\"Simple Mail Transport Protocol\" 服务。建议关闭 nameserver 42/TCP

WINS 主机名服务关闭\"Windows Internet Name Service\"服务。建议关闭 42/UDP domain 53/UDP

域名服务器关闭\"DNS Server\" 服务。

根据情况选择开放 53/TCP

根据情况选择开放

dhcps 67/UDP DHCP 服务器

/Internet 连接共享关闭\"Simple TCP/IP Services\"服务。

建议关闭

dhcpc 68/UDP DHCP协议客户端关闭\"DHCP Client\" 服务。建议关闭 http 80/TCP

HTTP 万维网发布服务

关闭\"World Wide Web Publishing Service\"服务。根据情况选择开放 epmap 135/TCP

RPC服务系统基本服务无法关闭

135/UDP 无法关闭

netbios-ns 137/UDP NetBIOS 名称解析在网卡的 TCP/IP选项中\"WINS\"页勾选\" 禁用 TCP/IP上的 NETBIOS\" 根据情况选择开放

netbios-dgm 138/UDP NetBIOS 数据报服务根据情况选择开放

netbios-ssn 139/TCP NetBIOS 会话服务系统基本服务无法关闭 snmp 161/UDP SNMP 服务关闭\"SNMP \"服务根据情况选择开放

https 443/TCP

安全超文本传输协议关闭\"World Wide Web Publishing Service\"服务根据情况选择开放 20

microsoft-ds 445/UDP

SMB 服务器运行regedit，打开 HKEY_LOCAL_MA

CHINE\\System\\Cur rentControlSet\\Serv ices\\NetBT\\Parame ters 添加名为 \"SMBDeviceEnable d\"的子键，类型 dword，值为0 重新启动计算机根据情况选择开放 445/TCP

isakmp 500/UDP IPSec ISAKMP 本地安全机构

关闭\"IPSEC Policy Agent\"服务很少使用的服务，如不使用 ipsec，建议关闭

RADIUS 15/UDP 旧式 RADIUS

Internet 身份验证服务

关闭\"Remote

Access Connection Manager\"服务建议关闭

RADIUS 16/UDP 旧式 RADIUS

Internet 身份验证服务

建议关闭

radius 1812/UDP 身份验证 Internet 身份验证服务建议关闭

radacct 1813/UDP 计帐 Internet 身份验证服务建议关闭

MSMQ-RPC 2105/TCP MSMQ-RPC 消息队列

关闭\"Message Queuing\"服务。建议关闭

Termsrv 33/TCP 终端服务关闭\"Terminal Services\"服务。根据情况选择开放

其他常用服务 Apache 80/TCP 8000/TCP

Apache HTTP 服务器

关闭\"Apache2\"服务。

根据情况选择开放 ms-sql-s 1433/TCP 1434/UDP

微软公司数据库关闭

\"MSSQLServer\"服务。

根据情况选择开放

ORACLE 1521/TCP 甲骨文公司数据库关闭

\"OracleOraHome90 TNSListener\"服务。根据情况选择开放 21 remote

administrator 49/TCP

Famatech公司远程控制软件

关闭\"Remote Administrator Service \"服务。

根据情况选择

开放

sybase 5000/TCP Sybase公司数据库关闭\"Sybase SQLServer\"字样开始的服务。根据情况选择开放

pcAnywhere 5631/TCP 5632/UDP

Symantec公司远程控制软件

关闭\"pcAnywhere Host Service\"字样开始的服务。根据情况选择开放

AIX操作系统

安全配置要求及操作指南 xxxx 发布 I

4.6 不必要的服务、端口 ...................................................... 12 4.7 文件与目录权限 .......................................................... 13 4.8 系统 Banner设置 ......................................................... 14 4.9 登陆超时时间设置 ........................................................ 15

4.10 内核调整设置 ........................................................... 15 4.11 SSH 加密协议 ........................................................... 16 4.12 FTP设置 ................................................................ 18 附录 A：端口及服务 .......................................................... 18 II

前言

用安全配置要求及参考操作。

该系列安全配置要求及操作指南的结构及名称预计如下：（1）《 Windows 操作系统安全配置要求及操作指南》

（2）《 AIX操作系统安全配置要求及操作指南》（本规范）（3）《 HP-UX 操作系统安全配置要求及操作指南》（4）《 Linux操作系统安全配置要求及操作指南》（5）《 Solaris操作系统安全配置要求及操作指南》

（11）《 Tomcat 安全配置要求及操作指南》（12）《 WebLogic 安全配置要求及操作指南》

1 范围

适用于使用 AIX 操作系统的设备。本规范明确了安全配置的基本要求，可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。由于版本不同，配置操作有所不同，本规范以 AIX 5.X 为例，给出参考配置操作。 2 规范性引用文件

GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》 YD/T 1732-2008《固定通信网安全防护要求》 YD/T 1734-2008《移动通信网安全防护要求》 YD/T 1736-2008《互联网安全防护要求》

YD/T 1750-2008《同步网安全防护要求》 YD/T 1752-2008《支撑网安全防护要求》

YD/T 1756-2008《电信网和互联网管理安全等级保护要求》

3 缩略语

SSH Secure Shell Protocol 安全外壳协议 FTP File Transfer Protocol 文件传输协议

UDP User Datagram Protocol 用户数据包协议 TCP Transmission Control Protocol 传输控制协议 4 安全配置要求 2

4.1 帐号编号： 1

要求内容应按照不同的用户分配不同的账号。操作指南 1、参考配置操作为用户创建账号：

#useradd username #创建账号 #passwd username #设置密码修改权限：

#chmod 750 directory #其中 750 为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录)

使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。

2、补充操作说明

检测方法 1、判定条件

能够登录成功并且可以进行常用操作； 2、检测操作

使用不同的账号进行登录并进行一些常用操作； 3、补充说明

编号： 2

要求内容应删除或锁定与设备运行、维护等工作无关的账号。

操作指南 1、参考配置操作删除用户：#userdel username; 锁定用户：

1)修改/etc/shadow文件，用户名后加*LK*

2)将/etc/passwd 文件中的shell 域设置成/bin/false 3)#passwd -l username

只有具备超级用户权限的使用者方可使用，#passwd -l username 锁

定用户,用#passwd –d username 解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。 2、补充操作说明

需要锁定的用户：listen,gdm,webservd,nobody,nobody4、noaccess。检测方法 1、判定条件

被删除或锁定的账号无法登录成功； 2、检测操作

使用删除或锁定的与工作无关的账号登录系统； 3、补充说明

需要锁定的用户：listen,gdm,webservd,nobody,nobody4、noaccess。解锁时间：15 分钟

编号： 3

要求内容具备超级管理员权限的用户远程登录。

需要远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号后执行相应操作。操作指南 1、参考配置操作编辑/etc/security/user，加上：

在 root 项上输入 false 作为 rlogin 的值

此项只能 root 用户远程使用 telnet 登录。用 ssh 登录，修改此项不会看到效果的 2、补充操作说明

如果 root 从远程 ssh 登录，修改/etc/ssh/sshd_config 文件，将 PermitRootLogin yes改为PermitRootLogin no，重启sshd 服务。检测方法 1、判定条件

root 远程登录不成功，提示“没有权限” ；

普通用户可以登录成功，而且可以切换到 root用户； 2、检测操作

root 从远程使用 telnet 登录；普通用户从远程使用 telnet 登录； root 从远程使用 ssh 登录；普通用户从远程使用 ssh登录；

3、补充说明

root 从远程 ssh 登录，修改/etc/ssh/sshd_config 文件，将 PermitRootLogin yes改为PermitRootLogin no，重启sshd 服务。

编号：4

要求内容对于使用 IP 协议进行远程维护的设备，设备应配置使用 SSH 等加密协议，并安全配置 SSHD的设置。操作指南 1、参考配置操作

把如下 shell保存后，运行，会修改 ssh 的安全设置项：

unalias cp rm mv

case `find /usr /etc -type f | grep -c ssh_config$` in 0) echo \"Cannot find ssh_config\" ;;

1) DIR=`find /usr /etc -type f 2>/dev/null | \\

grep ssh_config$ | sed -e \"s:/ssh_config::\"` cd $DIR

cp ssh_config ssh_config.tmp

awk '/^#? *Protocol/ { print \"Protocol 2\"; next }; { print }' ssh_config.tmp > ssh_config

if [ \"`grep -El ^Protocol ssh_config`\" = \"\" ]; then echo 'Protocol 2' >> ssh_config fi 4

rm ssh_config.tmp chmod 600 ssh_config ;;

*) echo \"You have multiple sshd_config files. Resolve\"

echo \"before continuing.\" ;; esac

#也可以手动编辑 ssh_config，在 \"Host *\"后输入 \"Protocol 2\"，

cd $DIR

cp sshd_config sshd_config.tmp

awk '/^#? *Protocol/ { print \"Protocol 2\"; next }; /^#? *X11Forwarding/ \\

{ print \"X11Forwarding yes\"; next }; /^#? *IgnoreRhosts/ \\

{ print \"IgnoreRhosts yes\"; next }; /^#? *RhostsAuthentication/ \\

{ print \" RhostsAuthentication no\"; next }; /^#? *RhostsRSAAuthentication/ \\

{ print \"RhostsRSAAuthentication no\"; next }; /^#? *HostbasedAuthentication/ \\

{ print \"HostbasedAuthentication no\"; next }; /^#? *PermitRootLogin/ \\

{ print \"PermitRootLogin no\"; next }; /^#? *PermitEmptyPasswords/ \\

{ print \"PermitEmptyPasswords no\"; next }; /^#? *Banner/ \\

{ print \"Banner /etc/motd\"; next };

{print}' sshd_config.tmp > sshd_config rm sshd_config.tmp chmod 600 sshd_config

Protocol 2 #使用 ssh2 版本

X11Forwarding yes #允许窗口图形传输使用 ssh 加密 IgnoreRhosts yes#完全禁止 SSHD 使用.rhosts 文件

RhostsAuthentication no #不设置使用基于 rhosts的安全验证

RhostsRSAAuthentication no #不设置使用 RSA算法的基于rhosts 的安全验证

HostbasedAuthentication no #不允许基于主机白名单方式认证 PermitRootLogin no #不允许 root 登录 PermitEmptyPasswords no #不允许空密码

Banner /etc/motd #设置 ssh 登录时显示的 banner 2、补充操作说明

查看 SSH服务状态： # ps –elf|grep ssh

检测方法 1、判定条件 # ps –elf|grep ssh

是否有 ssh 进程存在 2、检测操作

查看 SSH服务状态： # ps –elf|grep ssh

查看 telnet 服务状态： # ps –elf|grep telnet

4.2 口令编号：1

要求内容对于采用静态口令认证技术的设备，口令长度至少 8 位，并包括数字、小写字母、大写字母和特殊符号 4 类中至少 3 类。操作指南 1、参考配置操作

chsec -f /etc/security/user -s default -a minlen=8 chsec -f /etc/security/user -s default -a minalpha=1 chsec -f /etc/security/user -s default -a mindiff=1 chsec -f /etc/security/user -s default -a minother=1

chsec –f /etc/security/user –s default -a pwdwarntime=5

minlen=8 #密码长度最少 8 位 minalpha=1 #包含的字母最少 1 个 mindiff=1 #包含的唯一字符最少 1 个 minother=1#包含的非字母最少 1 个

pwdwarntime=5 #系统在密码过期前 5 天发出修改密码的警告信息

给用户

2、补充操作说明

检测方法 1、判定条件

不符合密码强度的时候，系统对口令强度要求进行提示；符合密码强度的时候，可以成功设置； 2、检测操作

1、检查口令强度配置选项是否可以进行如下配置： i. 配置口令的最小长度； ii. 将口令配置为强口令。

2、创建一个普通账号，为用户配置与用户名相同的口令、只包含字符或数字的简单口令以及长度短于 8 位的口令，查看系统是否对 6

口令强度要求进行提示；输入带有特殊符号的复杂口令、普通复杂口令，查看系统是否可以成功设置。

编号： 2

要求内容对于采用静态口令认证技术的设备，帐户口令的生存期不长于 90 天。

操作指南 1、参考配置操作方法一：

chsec -f /etc/security/user -s default -a histexpire=13 方法二：

用 vi 或其他文本编辑工具修改 chsec -f /etc/security/user 文件如下值：

histexpire=13

histexpire=13 #密码可重复使用的星期为 13 周（91天）

2、补充操作说明

检测方法 1、判定条件密码过期后登录不成功； 2、检测操作

使用超过 90天的帐户口令登录会提示密码过期；

编号： 3

要求内容对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近 5次（含 5 次）内已使用的口令。操作指南 1、参考配置操作方法一：

chsec -f /etc/security/user -s default -a histsize=5 方法二：

用 vi 或其他文本编辑工具修改 chsec -f /etc/security/user 文件如下值： histsize=5

histexpire=5 #可允许的密码重复次数

检测方法 1、判定条件设置密码不成功 2、检测操作

cat /etc/security/user，设置如下

histsize=5 3、补充说明

默认没有 histsize 的标记，即不记录以前的密码。

编号： 4

要求内容对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过 6 次（不含 6 次），锁定该用户使用的账号。操作指南 1、参考配置操作查看帐户帐户属性： #lsuser username

设置 6 次登陆失败后帐户锁定阀值： #chuser loginretries=6 username 备注：root账户不在锁定范围内检测方法 1、判定条件

运行 lsuser uasename 命令，查看帐户属性中是否设置了 6 次登陆失败后帐户锁定阀值的策略。如未设置或大于 6 次，则进行设置

4.3 授权编号： 1

要求内容在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。

操作指南 1、参考配置操作

通过 chmod 命令对目录的权限进行实际设置。 2、补充操作说明

chown -R root:security /etc/passwd /etc/group /etc/security chown -R root:audit /etc/security/audit chmod 4 /etc/passwd /etc/group chmod 750 /etc/security

chmod -R go-w,o-r /etc/security

/etc/passwd /etc/group /etc/security 的所有者必须是 root 和 security 组成员

/etc/security/audit的所有者必须是 iroot和 audit 组成员 /etc/passwd 所有用户都可读，root用户可写 –rw-r—r— /etc/shadow 只有 root 可读 –r--------

/etc/group 必须所有用户都可读，root 用户可写 –rw-r—r— 使用如下命令设置： chmod 4 /etc/passwd chmod 4 /etc/group 8

如果是有写权限，就需移去组及其它用户对/etc 的写权限（特殊情况除外）

执行命令#chmod -R go-w,o-r /etc 检测方法 1、判定条件

1、设备系统能够提供用户权限的配置选项，并记录对用户进行权限配置是否必须在用户创建时进行； 2、记录能够配置的权限选项内容；

3、所配置的权限规则应能够正确应用，即用户无法访问授权范围之外的系统资源，而可以访问授权范围之内的系统资源。 2、检测操作

1、利用管理员账号登录系统，并创建 2 个不同的用户；

2、创建用户时查看系统是否提供了用户权限级别以及可访问系统资源和命令的选项；

3、为两个用户分别配置不同的权限， 2 个用户的权限差异应能够分别在用户权限级别、可访问系统资源以及可用命令等方面予以体现；

4、分别利用 2 个新建的账号访问设备系统，并分别尝试访问允许访问的内容和不允许访问的内容，查看权限配置策略是否生效。 3、补充说明

编号：2

要求内容控制 FTP 进程缺省访问权限，当通过 FTP 服务创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。操作指南 1、参考配置操作

a. 某些系统帐户不准 ftp 登录: 通过修改 ftpusers 文件，增加帐户 #vi /etc/ftpusers

b. 用户可使用 FTP不能用 Telnet，假如用户为 ftpxll 创建一个/etc/shells文件, 添加一行 /bin/true;

修改/etc/passwd 文件，ftpxll:x:119:1::/home/ftpxll:/bin/true

注：还需要把真实存在的 shell 目录加入/etc/shells 文件，否则没有用户能够登录 ftp

以上两个步骤可参考如下 shell 自动执行：

sort -u /etc/ftpusers.new > /etc/ftpusers rm /etc/ftpusers.new

chown root:system /etc/ftpusers chmod 600 /etc/ftpusers

c. ftp 用户登陆后在自己当前目录下活动

编辑 ftpaccess，加入如下一行 restricted-uid *(所有)， restricted-uid username（特定用户）

ftpaccess 文件与 ftpusers文件在同一目录

d. 设置 ftp 用户登录后对文件目录的存取权限，可编辑 /etc/ftpaccess。

chmod no guest,anonymous delete no guest,anonymous overwrite no guest,anonymous rename no guest,anonymous umask no anonymous

2、补充操作说明查看# cat ftpusers

说明: 在这个列表里边的用户名是不允许 ftp 登陆的。 root daemon bin sys adm lp uucp nuucp listen nobody noaccess nobody4

检测方法 1、判定条件

权限设置符合实际需要；不应有的访问允许权限被屏蔽掉； 2、检测操作

查看新建的文件或目录的权限，操作举例如下：

#more /etc/ftpusers #more /etc/passwd

#more /etc/ftpaccess 3、补充说明查看# cat ftpusers

说明: 在这个列表里边的用户名是不允许 ftp 登陆的。 root daemon bin sys adm lp uucp 10 nuucp listen nobody noaccess nobody4 4.4 补丁编号：1

要求内容应根据需要及时进行补丁装载。对服务器系统应先进行兼容性测试。

操作指南 1、参考配置操作

先把补丁集拷贝到一个目录，如/08update，然后执行 #smit update_all

选择安装目录/08update 默认

SOFTWARE to update [_update_all]

选择不提交，保存被覆盖的文件，可以回滚操作，接受许可协议 COMMIT software updates? no SAVE replaced files? yes ACCEPT new license agreements? yes 然后回车执行安装。 2、补充操作说明

检测方法 1、判定条件

查看最新的补丁号，确认已打上了最新补丁； 2、检测操作

检查某一个补丁，比如 LY59082 是否安装 #instfix –a –ivk LY59082

检查文件集（filesets）是否安装 #lslpp –l bos.adt.libm

3、补充说明

补丁下载 http://www-933.ibm.com/eserver/support/fixes/

4.5 日志编号：1

操作指南 1、参考配置操作

修改配置文件 vi /etc/syslog.conf，加上这几行： auth.info\\/var/adm/authlog

*.info;auth.none\\/var/adm/syslog\\n\" 建立日志文件，如下命令：

touch /var/adm/authlog /var/adm/syslog chown root:system /var/adm/authlog

重新启动 syslog 服务，依次执行下列命令： stopsrc -s syslogd startsrc -s syslogd

AIX 系统默认不捕获登录信息到 syslogd，以上配置增加了验证信息发送到/var/adm/authlog和/var/adm/syslog 2、补充操作说明

检测方法 1、判定条件

列出用户账号、登录是否成功、登录时间、远程登录时的 IP地址。 2、检测操作

cat /var/adm/authlog cat /var/adm/syslog 3、补充说明

编号： 2（可选）

要求内容启用记录cron行为日志功能和cron/at的使用情况操作指南 1、参考配置操作

cron/At的相关文件主要有以下几个：

/var/spool/cron/crontabs 存放cron任务的目录

/var/spool/cron/cron.allow 允许使用crontab命令的用户 /var/spool/cron/cron.deny 不允许使用crontab命令的用户 /var/spool/cron/atjobs 存放at任务的目录 /var/spool/cron/at.allow 允许使用at的用户 /var/spool/cron/at.deny 不允许使用at的用户

使用crontab和at命令可以分别对cron和at任务进行控制。

#crontab -l 查看当前的cron任务 #at -l 查看当前的 at 任务检测方法 1、判定条件 2、检测操作

查看/var/spool/cron/目录下的文件配置是否按照以上要求进行了安全配置。如未配置则建议按照要求进行配置。

编号：3

要求内容设备应配置权限，控制对日志文件读取、修改和删除等操作。操作指南 1、参考配置操作 12

配置日志文件权限，如下命令： chmod 600 /var/adm/authlog chmod 0 /var/adm/syslog

并设置了权限为其他用户和组禁止读写日志文件。检测方法 1、判定条件

没有相应权限的用户不能查看或删除日志文件 2、检测操作

查看 syslog.conf文件中配置的日志存放文件： more /etc/syslog.conf

使用 ls –l /var/adm 查看的目录下日志文件的权限，如：authlog、 syslog 的权限应分别为 600、4。 3、补充说明

对于其他日志文件，也应该设置适当的权限，如登录失败事件的日志、操作日志，具体文件查看 syslog.conf 中的配置。

4.6 不必要的服务、端口编号：1

要求内容列出所需要服务的列表(包括所需的系统服务)，不在此列表的服务需关闭。

操作指南 1、参考配置操作查看所有开启的服务： #ps –e -f

方法一：手动方式操作

在inetd.conf中关闭不用的服务首先复制/etc/inet/inetd.conf。 #cp /etc/inet/inetd.conf /etc/inet/inetd.conf.backup 然后用vi编辑器编辑 inetd.conf文件，对于需要注释掉的服务在相应行开头标记\"#\"字符，重启inetd服务,即可。

重新启用该服务，使用命令： refresh –s inetd

方法二：自动方式操作

A.把以下复制到文本里：

for SVC in ftp telnet shell kshell login klogin exec \\

echo discard chargen daytime time ttdbserver dtspc; do echo \"Disabling $SVC TCP\" chsubserver -d -v $SVC -p tcp done

for SVC in ntalk rstatd rusersd rwalld sprayd pcnfsd \\ echo discard chargen daytime time cmsd; do echo \"Disabling $SVC UDP\"

chsubserver -d -v $SVC -p udp done

refresh -s inetd

B.执行命令： #sh dis_server.sh 2、补充操作说明

参考附录A，根据具体情况禁止不必要的基本网络服务。注意：改变了“inetd.conf”文件之后，需要重新启动inetd。对必须提供的服务采用tcpwapper来保护

并且为了防止服务取消后断线，一定要启用SSHD服务，用以登录操作和文件传输。

检测方法 1、判定条件所需的服务都列出来；没有不必要的服务； 2、检测操作

查看所有开启的服务:cat /etc/inet/inetd.conf,cat /etc/inet/services 3、补充说明

在/etc/inetd.conf文件中禁止下列不必要的基本网络服务。 Tcp服务如下：

ftp telnet shell kshell login klogin exec UDP服务如下：

ntalk rstatd rusersd rwalld sprayd pcnfsd

注意：改变了“inetd.conf”文件之后，需要重新启动inetd。对必须提供的服务采用tcpwapper来保护

4.7 文件与目录权限编号：1

要求内容控制用户缺省访问权限，当在创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高。

操作指南 1、参考配置操作 A.设置所有存在账户的权限：

lsuser -a home ALL | awk '{print $1}' | while read user; do chuser umask=077 $user done

vi /etc/default/login 在末尾增加 umask 027

B.设置默认的 profile，用编辑器打开文件/etc/security/user，找到 umask 这行，修改如下： Umask=077 14

2、补充操作说明

如果用户需要使用一个不同于默认全局系统设置的 umask，可以在需要的时候通过命令行设置，或者在用户的 shell 启动文件中配置。检测方法 1、判定条件

权限设置符合实际需要；不应有的访问允许权限被屏蔽掉； 2、检测操作

查看新建的文件或目录的权限，操作举例如下： #ls -l dir ; #查看目录 dir的权限

#cat /etc/default/login 查看是否有 umask 027 内容 3、补充说明

umask 的默认设置一般为 022，这给新创建的文件默认权限 755 （777-022=755），这会给文件所有者读、写权限，但只给组成员和其他用户读权限。 umask 的计算：

umask 是使用八进制数据代码设置的，对于目录，该值等于八进制数据代码 777 减去需要的默认权限对应的八进制数据代码值；对于文件，该值等于八进制数据代码 666减去需要的默认权限对应的八进制数据代码值。编号： 2

要求内容对文件和目录进行权限设置，合理设置重要目录和文件的权限操作指南 1、参考配置操作查看重要文件和目录权限：ls –l 更改权限：

对于重要目录，建议执行如下类似操作： # chmod -R 750 /etc/init.d/*

这样只有 root 可以读、写和执行这个目录下的脚本。 2、补充操作说明

检测方法 1、判定条件

用 root 外的其它帐户登录，对重要文件和目录进行删除、修改等操作不能够成功即为符合。

2、检测操作

查看重要文件和目录权限：ls –l

用 root 外的其它帐户登录，对重要文件和目录进行删除、修改等操作

3、补充说明

4.8 系统Banner设置

要求内容修改系统 banner，避免泄漏操作系统名称，版本号，主机名称等，并且给出登陆告警信息

操作指南 1、参考配置操作

设置系统 Banner的操作如下：

在/etc/security/login.cfg 文件中，在 default 小节增加：

herald = \"ATTENTION:You have logged onto a secured server..All accesses logged.\\n\\nlogin:\"

检测方法查看/etc/security/login.cfg文件中的配置是否按照以上要求进行了配置

4.9 登陆超时时间设置

要求内容对于具备字符交互界面的设备，配置定时帐户自动登出操作指南 1、参考配置操作

设置登陆超时时间为 300 秒，修改/etc/security/.profile文件，增加一行：

TMOUT＝300；TIMEOUT=300；export readonly TMOUT TIMEOUT

2、补充操作说明

检测方法 1、判定条件

查看/etc/security/.profile文件中的配置，是否存在登陆超时时间的设置。如未设置，则建议应按照要求进行配置

4.10 内核调整设置

要求内容防止堆栈缓冲溢出操作指南 1、参考配置操作

编辑/etc/security/limits 并且改变 core 值为 0，并增加一行在后面，如下：

core 0

core_hard = 0

保存文件后退出，执行命令：

echo \"# Added by Nsfocus Security Benchmark\" >> /etc/profile echo \"ulimit -c 0\" >> /etc/profile chdev -l sys0 -a fullcore=false 1、补充操作说明

应用程序在发生错误的时候会把自身的敏感信息从内存里 DUMP 16

到文件，一旦被攻击者获取容易引发攻击。注：内核参数改动后需要重启服务器才生效。检测方法 1、判定条件能够防止 core 文件产生 2、检测操作

查看/etc/security/limits文件：

cat /etc/security/limits是否有如下两行： core 0

core_hard = 0

查看/etc/ profile 文件：

cat /etc/security/limits是否有如下行： ulimit –c 0

4.11 SSH加密协议

要求内容对于使用 IP 协议进行远程维护的设备，设备应配置使用 SSH 等加密协议，并安全配置 SSHD的设置。操作指南 1、参考配置操作

把如下 shell保存后，运行，会修改 ssh 的安全设置项： unalias cp rm mv

case `find /usr /etc -type f | grep -c ssh_config$` in 0) echo \"Cannot find ssh_config\" ;;

1) DIR=`find /usr /etc -type f 2>/dev/null | \\

grep ssh_config$ | sed -e \"s:/ssh_config::\"` cd $DIR

cp ssh_config ssh_config.tmp

awk '/^#? *Protocol/ { print \"Protocol 2\"; next }; { print }' ssh_config.tmp > ssh_config

if [ \"`grep -El ^Protocol ssh_config`\" = \"\" ]; then echo 'Protocol 2' >> ssh_config fi

rm ssh_config.tmp chmod 600 ssh_config

;;