主機(jī)是信息系統(tǒng)處理流程的起點(diǎn)和終點(diǎn)，是信息產(chǎn)生、存儲(chǔ)和處理的載體，是應(yīng)用服務(wù)程序的運(yùn)行中心和數(shù)據(jù)處理中心。當(dāng)前，針對(duì)主機(jī)的攻擊事件層出不窮，攻擊手段多種多樣。從緩沖區(qū)溢出攻擊、口令破解到惡意代碼攻擊；從用戶(hù)身份偽造、非法提升權(quán)限到重要數(shù)據(jù)完整性破壞；從外部攻擊到內(nèi)部破壞；主機(jī)成為當(dāng)前安全攻防過(guò)程中的關(guān)鍵環(huán)節(jié)。

主機(jī)安全旨在保證主機(jī)在數(shù)據(jù)存儲(chǔ)和處理的保密性、完整性、可用性，它是保證信息系統(tǒng)安全的基礎(chǔ)，直接影響信息系統(tǒng)的整體安全。主機(jī)安全通常由操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)等自身安全配置、相關(guān)安全軟件及設(shè)備等來(lái)實(shí)現(xiàn)。主機(jī)安全測(cè)評(píng)則主要依據(jù)相關(guān)安全要求通過(guò)訪談、現(xiàn)場(chǎng)檢查、測(cè)試等方式對(duì)主機(jī)進(jìn)行安全符合性評(píng)估，它是保障主機(jī)安全的重要方式之一。

一、主機(jī)安全測(cè)評(píng)方法

（一）主機(jī)安全測(cè)評(píng)依據(jù)

主機(jī)安全測(cè)評(píng)的主要依據(jù)是各類(lèi)國(guó)家標(biāo)準(zhǔn)，主要包括以下3個(gè)方面。

（1）《GB 17859?1999計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)劃分準(zhǔn)則》：是我國(guó)信息安全測(cè)評(píng)的基礎(chǔ)類(lèi)標(biāo)準(zhǔn)之一，描述了計(jì)算機(jī)信息系統(tǒng)安全保護(hù)技術(shù)能力等級(jí)的劃分。

（2）《GB/T 18336 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則》等同采用國(guó)際標(biāo)準(zhǔn)ISO/IEC 15408：2005（簡(jiǎn)稱(chēng)CC），是評(píng)估信息技術(shù)產(chǎn)品和系統(tǒng)安全特性的基礎(chǔ)標(biāo)準(zhǔn)。

（3）《GB/T 22239?2008信息安全 技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（簡(jiǎn)稱(chēng)《基本要求》）和《GB/T 28448?2012信息安全 技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》（以下簡(jiǎn)稱(chēng)《測(cè)評(píng)要求》）是國(guó)家信息安全等級(jí)保護(hù)管理制度中針對(duì)信息系統(tǒng)安全開(kāi)展等級(jí)測(cè)評(píng)工作的重要依據(jù)。

（二）主機(jī)安全測(cè)評(píng)對(duì)象及內(nèi)容

《基本要求》針對(duì)信息系統(tǒng)的不同安全等級(jí)對(duì)主機(jī)安全提出不同的基本要求。《測(cè)評(píng)要求》闡述了《基本要求》中各要求項(xiàng)的具體測(cè)評(píng)方法、步驟和判斷依據(jù)等，用來(lái)評(píng)定各級(jí)信息系統(tǒng)的安全保護(hù)措施是否符合《基本要求》。依據(jù)《測(cè)評(píng)要求》，測(cè)評(píng)過(guò)程需要針對(duì)主機(jī)操作系統(tǒng)、虛擬化軟件、數(shù)據(jù)庫(kù)管理系統(tǒng)等測(cè)評(píng)對(duì)象，從身份鑒別、安全標(biāo)記、訪問(wèn)控制等方面分別進(jìn)行測(cè)評(píng)，主要框架如下圖所示。

主機(jī)安全測(cè)評(píng)框架

從測(cè)評(píng)對(duì)象角度來(lái)看，主機(jī)安全測(cè)評(píng)應(yīng)覆蓋主機(jī)上可能存在的主要系統(tǒng)軟件，如操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、虛擬化軟件等。

（1）操作系統(tǒng)直接與硬件設(shè)備打交道，處于軟件系統(tǒng)的底層，是基礎(chǔ)的軟件系統(tǒng)。操作系統(tǒng)的安全性起著至關(guān)重要的基礎(chǔ)作用，缺少操作系統(tǒng)的基礎(chǔ)安全特性，主機(jī)的安全性就無(wú)從可談。

（2）數(shù)據(jù)庫(kù)系統(tǒng)是信息系統(tǒng)中用于存儲(chǔ)和管理數(shù)據(jù)的軟件系統(tǒng)，信息系統(tǒng)中的信息加工與處理通常都圍繞數(shù)據(jù)庫(kù)系統(tǒng)這個(gè)中心進(jìn)行。數(shù)據(jù)庫(kù)的安全程度直接影響著數(shù)據(jù)乃至整個(gè)信息系統(tǒng)安全保護(hù)措施的有效性。

（3）虛擬化軟件是近年來(lái)隨著云計(jì)算技術(shù)發(fā)展而應(yīng)用越來(lái)越廣泛的基礎(chǔ)性主機(jī)軟件，其安全性直接影響到基于云計(jì)算信息系統(tǒng)的總體安全性，但在當(dāng)前的主機(jī)安全測(cè)評(píng)中往往被忽略。

從測(cè)評(píng)內(nèi)容角度來(lái)看，主機(jī)安全測(cè)評(píng)主要包括以下9個(gè)方面。

（1）身份鑒別：從身份鑒別方式、口令復(fù)雜度、鑒別信息傳輸機(jī)密性、登錄失敗處理措施等方面對(duì)主機(jī)安全性進(jìn)行測(cè)評(píng)。

（2）安全標(biāo)記：對(duì)主體和客體的敏感標(biāo)記設(shè)置情況進(jìn)行測(cè)評(píng)。

（3）訪問(wèn)控制：從訪問(wèn)控制主客體、訪問(wèn)控制策略、訪問(wèn)控制粒度等方面對(duì)主機(jī)安全性進(jìn)行測(cè)評(píng)。

（4）可信路徑：對(duì)系統(tǒng)與用戶(hù)之間信息傳輸路徑的安全性進(jìn)行測(cè)評(píng)。

（5）安全審計(jì)：從審計(jì)的策略、范圍、內(nèi)容、記錄、進(jìn)程保護(hù)、日志保護(hù)等方面對(duì)主機(jī)安全性進(jìn)行測(cè)評(píng)。

（6）剩余信息保護(hù)：主要對(duì)鑒別信息、系統(tǒng)文件、目錄和數(shù)據(jù)庫(kù)記錄等客體存儲(chǔ)空間的剩余信息保護(hù)情況進(jìn)行測(cè)評(píng)。

（7）入侵防范：主要對(duì)主機(jī)的入侵防范措施、系統(tǒng)補(bǔ)丁更新等情況進(jìn)行測(cè)評(píng)。

（8）惡意代碼防范：主要對(duì)主機(jī)的惡意代碼防護(hù)措施進(jìn)行測(cè)評(píng)。

（9）資源控制：主要對(duì)系統(tǒng)資源監(jiān)控情況進(jìn)行測(cè)評(píng)。

下表給出了《基本要求》中針對(duì)上述9個(gè)方面需要開(kāi)展測(cè)評(píng)的項(xiàng)目數(shù)量。

主機(jī)安全控制點(diǎn)及其要求項(xiàng)數(shù)量

（三）主機(jī)安全測(cè)評(píng)方式

主機(jī)安全測(cè)評(píng)主要包括訪談、現(xiàn)場(chǎng)檢查和測(cè)試3種方式。

（1）訪談是指測(cè)評(píng)人員通過(guò)引導(dǎo)信息系統(tǒng)相關(guān)人員進(jìn)行有目的的（有針對(duì)性的）交流以幫助測(cè)評(píng)人員理解、澄清或取得證據(jù)的過(guò)程。主機(jī)安全訪談主要由測(cè)評(píng)人員與被測(cè)評(píng)主機(jī)的系統(tǒng)管理員、安全管理員、安全審計(jì)員、主機(jī)使用人員等針對(duì)主機(jī)測(cè)評(píng)所要求的訪談內(nèi)容進(jìn)行詢(xún)問(wèn)和調(diào)查，并根據(jù)訪談收集的信息進(jìn)行主機(jī)安全性的分析判斷。

（2）檢查是指測(cè)評(píng)人員通過(guò)測(cè)評(píng)對(duì)象（如制度文檔、各類(lèi)設(shè)備、安全配置）進(jìn)行觀察、查驗(yàn)、分析以幫助測(cè)評(píng)人員理解、澄清或取得證據(jù)的過(guò)程。主機(jī)安全現(xiàn)場(chǎng)檢查主要是基于訪談?wù){(diào)研情況，依據(jù)主機(jī)安全現(xiàn)場(chǎng)檢查表單和作業(yè)指導(dǎo)書(shū)，對(duì)信息系統(tǒng)中的主機(jī)安全狀況進(jìn)行實(shí)地核查。其中，主要包括2個(gè)方面：一是對(duì)所提供的主機(jī)安全相關(guān)技術(shù)文檔資料進(jìn)行檢查分析；二是針對(duì)主機(jī)安全配置要求，登錄各個(gè)相關(guān)主機(jī)，運(yùn)用主機(jī)操作指令和工具進(jìn)行安全現(xiàn)狀數(shù)據(jù)的提取和分析。對(duì)于大型業(yè)務(wù)系統(tǒng)而言，由于主機(jī)數(shù)量繁多，實(shí)際執(zhí)行時(shí)由于時(shí)間和人力投入有限，可采用抽查的方式進(jìn)行現(xiàn)場(chǎng)檢查。

（3）測(cè)試是指測(cè)評(píng)人員使用預(yù)定的方法/工具使測(cè)評(píng)對(duì)象（各類(lèi)設(shè)備或安全配置）產(chǎn)生特定的結(jié)果，以將運(yùn)行結(jié)果與預(yù)期的結(jié)果進(jìn)行比對(duì)的過(guò)程。主機(jī)安全測(cè)試主要包括主機(jī)漏洞掃描、主機(jī)安全基線(xiàn)檢測(cè)和主機(jī)滲透測(cè)試等3種方式。主機(jī)漏洞掃描主要針對(duì)被測(cè)評(píng)的主機(jī)實(shí)現(xiàn)操作系統(tǒng)脆弱性?huà)呙?，重要文件、目錄脆弱性?huà)呙瑁瑸g覽器脆弱性?huà)呙?，Web服務(wù)脆弱性?huà)呙瑁渌ㄓ梅?wù)脆弱性?huà)呙?，用?hù)、組、注冊(cè)表脆弱性?huà)呙?，文件共享脆弱性?huà)呙?，?shù)據(jù)庫(kù)脆弱性?huà)呙璧劝踩珳y(cè)試工作；主機(jī)安全基線(xiàn)檢測(cè)主要對(duì)被測(cè)評(píng)的主機(jī)進(jìn)行安全配置檢查，檢查主機(jī)操作系統(tǒng)、數(shù)據(jù)庫(kù)、虛擬化軟件等是否符合用戶(hù)的安全基線(xiàn)要求；主機(jī)滲透測(cè)試完全模擬黑客可能使用的攻擊技術(shù)和漏洞發(fā)現(xiàn)技術(shù)，對(duì)被測(cè)評(píng)的主機(jī)做深入的安全探測(cè)，以發(fā)現(xiàn)主機(jī)所存在的安全問(wèn)題。

在上述測(cè)評(píng)方式的基礎(chǔ)上，應(yīng)開(kāi)展綜合的結(jié)果分析，即將訪談結(jié)果、現(xiàn)場(chǎng)檢查結(jié)果與測(cè)試結(jié)果進(jìn)行匯總，對(duì)獲得的各類(lèi)信息進(jìn)行綜合分析，通過(guò)各類(lèi)測(cè)評(píng)結(jié)果之間的相互印證，判斷結(jié)果的正確性，避免由于人為疏漏以及測(cè)試工具自身缺陷導(dǎo)致的測(cè)評(píng)結(jié)果錯(cuò)誤。

（四）主機(jī)安全測(cè)評(píng)工具

開(kāi)展主機(jī)安全測(cè)評(píng)的工具主要有以下類(lèi)型。

（1）主機(jī)自身提供的檢測(cè)工具：包括系統(tǒng)命令、系統(tǒng)自帶工具等，如ping、netstat、route、ps等命令，Windows操作系統(tǒng)的管理、任務(wù)管理器等工具。這一類(lèi)檢測(cè)工具能夠協(xié)助測(cè)評(píng)人員對(duì)系統(tǒng)配置、系統(tǒng)狀態(tài)、系統(tǒng)性能、系統(tǒng)用戶(hù)行為等信息進(jìn)行有效收集。

（2）端口掃描工具：用來(lái)檢測(cè)主機(jī)開(kāi)放了哪些對(duì)外端口以及端口對(duì)應(yīng)的服務(wù)，一般端口掃描器還具有主機(jī)狀態(tài)掃描功能。典型的端口掃描工具包括Nmap、Super Scan等?？梢源媸褂孟到y(tǒng)自帶的命令對(duì)系統(tǒng)開(kāi)放端口/服務(wù)的檢查，也可以檢查經(jīng)過(guò)安全設(shè)備或軟件保護(hù)后的主機(jī)對(duì)外端口。端口掃描類(lèi)型主要是TCP端口掃描，為躲避安全設(shè)備對(duì)掃描工具的攔截和監(jiān)控，掃描工具開(kāi)發(fā)者還設(shè)計(jì)了秘密掃描、慢速掃描、亂序掃描等端口掃描技術(shù)。

（3）漏洞掃描工具：通過(guò)端口掃描得知目標(biāo)主機(jī)開(kāi)啟的端口以及對(duì)應(yīng)的服務(wù)后，利用漏洞掃描工具進(jìn)行進(jìn)一步的探測(cè)，包括主機(jī)系統(tǒng)的版本號(hào)、系統(tǒng)信息、系統(tǒng)文件、應(yīng)用配置信息等，將這些信息與漏洞掃描工具提供的漏洞庫(kù)進(jìn)行匹配，查看是否有滿(mǎn)足匹配條件的漏洞存在。常見(jiàn)的漏洞掃描工具均包含了端口掃描工具，同時(shí)也包含了大量已有主機(jī)漏洞的檢查策略。

（4）滲透測(cè)試工具：提供用于針對(duì)主機(jī)開(kāi)展?jié)B透性測(cè)試工作的工具包，包括字典攻擊、暴力破解、緩沖區(qū)溢出、腳本注入、拒絕服務(wù)、木馬植入等攻擊工具，通過(guò)模擬黑客的攻擊手法，以入侵者的思維與技術(shù)，模擬可能被利用的漏洞途徑，發(fā)現(xiàn)隱藏的安全隱患，驗(yàn)證主機(jī)漏洞是否真實(shí)存在。

（5）主機(jī)安全配置核查工具：對(duì)系統(tǒng)各類(lèi)安全策略的配置情況進(jìn)行自動(dòng)檢查，包括日志策略、審計(jì)策略、用戶(hù)身份鑒別策略、訪問(wèn)控制策略、數(shù)據(jù)備份策略、應(yīng)用服務(wù)開(kāi)啟配置等，使用工具代替人工記錄各類(lèi)系統(tǒng)檢查命令的執(zhí)行結(jié)果，并對(duì)結(jié)果進(jìn)行自動(dòng)分析，如安全配置核查系統(tǒng)（BVS）。

二、主機(jī)安全測(cè)評(píng)的實(shí)施

按照操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)和虛擬化軟件這三類(lèi)重點(diǎn)的主機(jī)測(cè)評(píng)對(duì)象分類(lèi)，詳細(xì)介紹針對(duì)主機(jī)安全的身份鑒別、安全標(biāo)記、訪問(wèn)控制、可信路徑、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制等方面的測(cè)評(píng)過(guò)程。

主機(jī)安全測(cè)評(píng)需要綜合采用訪談、檢查和測(cè)試的測(cè)評(píng)方式。其中，訪談通常是首先開(kāi)展的工作。應(yīng)在測(cè)評(píng)方與被測(cè)評(píng)方充分溝通的基礎(chǔ)上，確定訪談的計(jì)劃安排，包括訪談部門(mén)、訪談對(duì)象、訪談時(shí)間及訪談配合人員等。在主機(jī)安全訪談過(guò)程中，測(cè)評(píng)方應(yīng)確保所訪談的信息能滿(mǎn)足主機(jī)安全測(cè)評(píng)的信息采集要求，如果有信息遺漏的情況，可以安排進(jìn)行補(bǔ)充訪談，確保能獲取到所需要的信息。測(cè)評(píng)方應(yīng)填寫(xiě)資料接收單，并做好資料的安全保管。主機(jī)安全訪談中的主機(jī)情況調(diào)查至少應(yīng)包括主機(jī)的名稱(chēng)、品牌、型號(hào)、物理位置、IP地址、系統(tǒng)版本/補(bǔ)丁、承載的業(yè)務(wù)應(yīng)用、重要程度、管理員等信息，并根據(jù)具體的主機(jī)安全測(cè)評(píng)項(xiàng)進(jìn)行擴(kuò)充。

（一）Windows服務(wù)器操作系統(tǒng)的測(cè)評(píng)實(shí)施

此處以Windows 2008 Server為例，說(shuō)明如何實(shí)施主機(jī)安全測(cè)評(píng)。其他版本的Windows服務(wù)器操作系統(tǒng)與其類(lèi)似。

在針對(duì)操作系統(tǒng)訪談結(jié)果的基礎(chǔ)上，應(yīng)采用現(xiàn)場(chǎng)檢查和測(cè)試相結(jié)合的方式進(jìn)行測(cè)評(píng)。由于等級(jí)保護(hù)三級(jí)信息系統(tǒng)的重要性和廣泛代表性，這里以等級(jí)保護(hù)三級(jí)信息系統(tǒng)中的主機(jī)為例，對(duì)操作系統(tǒng)的測(cè)評(píng)實(shí)施進(jìn)行描述。其他等級(jí)系統(tǒng)中的主機(jī)可根據(jù)對(duì)應(yīng)級(jí)別的基本要求，參照此內(nèi)容進(jìn)行調(diào)整，以滿(mǎn)足自身的安全測(cè)評(píng)需求。

1、身份鑒別機(jī)制測(cè)評(píng)

（1）檢查系統(tǒng)是否對(duì)登錄用戶(hù)進(jìn)行了身份標(biāo)識(shí)和鑒別。可在命令提示符中輸入“net user”或運(yùn)行“l(fā)usrmgr.msc”檢查用戶(hù)標(biāo)識(shí)符列表，檢查系統(tǒng)是否提供了身份標(biāo)識(shí)。通過(guò)模擬登錄的方式，檢查登錄過(guò)程中系統(tǒng)賬號(hào)是否進(jìn)行登錄驗(yàn)證。

（2）檢查系統(tǒng)口令是否有復(fù)雜度和定期更換的要求?？稍凇氨镜亟M策略編輯器”中依次打開(kāi)“計(jì)算機(jī)配置”→“Windows設(shè)置”→“安全設(shè)置”→“賬戶(hù)策略”→“密碼策略”，查看被測(cè)主機(jī)操作系統(tǒng)的密碼復(fù)雜性要求、密碼長(zhǎng)度最小值和密碼最長(zhǎng)使用期限等設(shè)置情況。

（3）檢查系統(tǒng)是否啟用了登錄失敗處理功能?？蛇M(jìn)入“本地組策略編輯器”，依次打開(kāi)“計(jì)算機(jī)配置”→“Windows設(shè)置”→“安全設(shè)置”→“賬戶(hù)策略”→“賬戶(hù)鎖定策略”，查看被測(cè)主機(jī)操作系統(tǒng)的賬戶(hù)鎖定閾值和賬戶(hù)鎖定時(shí)間。

（4）檢查遠(yuǎn)程管理是否具備防竊聽(tīng)措施。對(duì)于采用了遠(yuǎn)程管理的操作系統(tǒng)，可打開(kāi)“控制面板”，依次進(jìn)入“管理工具”→“遠(yuǎn)程桌面服務(wù)”→“遠(yuǎn)程桌面會(huì)話(huà)主機(jī)配置”→“RDP-TCP屬性”→“常規(guī)”，查看“安全層”是否選擇了SSL。

（5）檢查用戶(hù)名是否具有唯一性，是否存在過(guò)期或多余的用戶(hù)名?？蛇M(jìn)入DOS命令提示符，輸入“l(fā)usrmgr.msc”并按“回車(chē)”，單擊“用戶(hù)”，查看其中的用戶(hù)名是否具有唯一性，并查看是否存在過(guò)期或多余的用戶(hù)名。

（6）檢查是否采用了2種或以上組合的鑒別技術(shù)對(duì)管理用戶(hù)進(jìn)行身份鑒別。以遠(yuǎn)程方式登錄主要服務(wù)器操作系統(tǒng)，查看身份鑒別是否采用2個(gè)或以上身份鑒別技術(shù)的組合來(lái)進(jìn)行身份鑒別。通過(guò)本地控制臺(tái)管理主機(jī)設(shè)備操作系統(tǒng)，查看是否采用2種或以上身份鑒別技術(shù)。結(jié)合訪談和文檔查閱的結(jié)果進(jìn)行綜合判定。

（7）測(cè)試用戶(hù)口令是否易被破解。使用fgdump工具提取服務(wù)器的SAM文件，使用John the Ripper（Windows版）嘗試破解登錄口令，嘗試用破解出的口令登錄服務(wù)器。

（8）測(cè)試系統(tǒng)是否存在認(rèn)證方式可被繞過(guò)的漏洞。使用nc監(jiān)聽(tīng)端口，利用ms06040rpc.exe漏洞溢出工具對(duì)目標(biāo)主機(jī)進(jìn)行溢出攻擊，查看nc界面確認(rèn)溢出是否成功獲得操作系統(tǒng)的控制權(quán)限。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

（1）檢查是否啟用了訪問(wèn)控制功能。訪談系統(tǒng)管理員，了解操作系統(tǒng)是否配置了操作系統(tǒng)的安全策略；進(jìn)入“控制面板”→“管理工具”→“服務(wù)”，查看“遠(yuǎn)程桌面服務(wù)”是否關(guān)閉；檢查Administrators組中的用戶(hù)，查看是否有普通用戶(hù)、應(yīng)用賬戶(hù)等非管理員賬戶(hù)屬于管理員組；檢查重要文件夾的用戶(hù)訪問(wèn)權(quán)限，查看系統(tǒng)是否對(duì)重要文件的訪問(wèn)權(quán)限進(jìn)行了限制，特別是users組和Administrator組對(duì)重要是否對(duì)重要文件的訪問(wèn)權(quán)限進(jìn)行了限制，特別是users組和Administrator組對(duì)重要文件夾訪問(wèn)權(quán)限的區(qū)別（訪問(wèn)權(quán)限分為完全控制、修改、讀取和運(yùn)行、讀取、寫(xiě)入等）；使用DOS命令行模式下的“net share”，檢查是否存在默認(rèn)共享文件，包括所有的邏輯盤(pán)（C$，D$，E$…）、系統(tǒng)目錄Windows（admin$）以及命名管道資源（IPC$）；使用注冊(cè)表編輯器，依次打開(kāi)“HKEY_LOCAL_MACHINE”→“SYSTEM”→“Current Control Set”→“Control”→“Lsa”，查看“restrictanonymous”的值是否為1，以檢查共享是否開(kāi)啟。

（2）檢查是否為不同的用戶(hù)指派不同的權(quán)限，并實(shí)現(xiàn)管理用戶(hù)的權(quán)限分離和最小權(quán)限原則。進(jìn)入“控制面板”→“管理工具”→“本地安全策略”→“安全設(shè)置”→“本地策略”→“用戶(hù)權(quán)限分配”，查看“安全設(shè)置”一欄中是否設(shè)置了不同的用戶(hù)。

（3）檢查是否嚴(yán)格限制了默認(rèn)賬戶(hù)的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)賬戶(hù)并修改默認(rèn)口令。進(jìn)入“控制面板”→“管理工具”→“計(jì)算機(jī)管理”→“系統(tǒng)工具”→“本地用戶(hù)和組”→“用戶(hù)”，右擊“Guest”選擇“屬性”，檢查操作系統(tǒng)中匿名/默認(rèn)用戶(hù)的訪問(wèn)權(quán)限是否已被禁用或者嚴(yán)格限制；進(jìn)入“控制面板”→“管理工具”→“計(jì)算機(jī)管理”→“系統(tǒng)工具”→“本地用戶(hù)和組”→“用戶(hù)”，檢查默認(rèn)用戶(hù)名Administrator是否重命名。

（4）檢查是否對(duì)重要信息資源設(shè)置了敏感標(biāo)記及標(biāo)記方法。主要通過(guò)訪談和文檔查閱的方式。

（5）檢查是否依據(jù)安全策略嚴(yán)格控制用戶(hù)對(duì)有敏感標(biāo)記重要信息資源的操作。主要通過(guò)訪談和文檔查閱的方式，檢查是否對(duì)敏感標(biāo)記進(jìn)行策略設(shè)置，是否對(duì)敏感標(biāo)記進(jìn)行分類(lèi)，是否對(duì)敏感標(biāo)記設(shè)定了訪問(wèn)權(quán)限。

（6）檢查是否存在不必要的服務(wù)?？墒褂枚丝趻呙韫ぞ邔?duì)操作系統(tǒng)進(jìn)行掃描或使用telnet等命令來(lái)探測(cè)主機(jī)是否開(kāi)放了不必要的服務(wù)，如Web、FTP等。

（7）檢查所有進(jìn)出操作系統(tǒng)的網(wǎng)絡(luò)訪問(wèn)是否得到了有效控制。可使用“ipconfig”命令查看網(wǎng)卡配置，使用“route print”命令查看路由配置，以判斷操作系統(tǒng)在網(wǎng)絡(luò)中的訪問(wèn)路徑。

3、安全審計(jì)機(jī)制測(cè)評(píng)

（1）檢查是否啟用了安全審計(jì)功能以及審計(jì)覆蓋范圍。在 DOS 命令提示符下輸入secpol.msc，依次進(jìn)入“安全設(shè)置”→“本地策略”→“審核策略”，查看審核策略的安全設(shè)置是否設(shè)置為“成功，失敗”，以覆蓋各類(lèi)重要安全事件。

（2）檢查審計(jì)日志配置是否符合安全要求。依次進(jìn)入“控制面板”→“管理工具”→“服務(wù)器管理器”→“診斷”→“事件查看器”→“Windows日志”，右擊“安全”選擇“屬性”，查看審計(jì)日志的存儲(chǔ)路徑、日志最大大小、日志覆蓋策略等信息。

（3）檢查事件記錄的內(nèi)容，判斷審計(jì)內(nèi)容是否包括事件的日期、時(shí)間、類(lèi)型、主客體標(biāo)識(shí)、結(jié)果等信息。依次進(jìn)入“控制面板”→“管理工具”→“服務(wù)器管理器”→“診斷”→“事件查看器”，查看事件記錄的具體內(nèi)容。

（4）檢查是否為授權(quán)用戶(hù)提供了瀏覽和分析審計(jì)記錄的功能，是否可以根據(jù)需要自動(dòng)生成不同格式的審計(jì)報(bào)表。通過(guò)訪談、文檔查閱，結(jié)合Windows系統(tǒng)服務(wù)器管理器中的事件查看器，判斷系統(tǒng)是否具備上述功能，或提供了相應(yīng)的審計(jì)工具。

（5）檢查是否對(duì)審計(jì)進(jìn)程進(jìn)行了保護(hù)，避免受到未預(yù)期的中斷。通過(guò)訪談和文檔查閱，檢查主要服務(wù)器操作系統(tǒng)、重要終端操作系統(tǒng)是否可通過(guò)非審計(jì)員的其他賬戶(hù)試圖中斷審計(jì)進(jìn)程，判斷檢查審計(jì)進(jìn)程是否受到保護(hù)以及是否有相應(yīng)的審計(jì)保護(hù)工具。

（6）檢查是否對(duì)審計(jì)記錄進(jìn)行了保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋。通過(guò)訪談和文檔查閱，檢查是否有對(duì)審計(jì)記錄的存儲(chǔ)、備份和保護(hù)的措施，檢查是否有日志服務(wù)器。以普通賬號(hào)登錄操作系統(tǒng)，執(zhí)行刪除系統(tǒng)審計(jì)記錄的操作，查看系統(tǒng)是否顯示日志無(wú)法刪除，表明審計(jì)記錄受到保護(hù)。

4、剩余信息保護(hù)機(jī)制測(cè)評(píng)

（1）檢查系統(tǒng)用戶(hù)鑒別信息所在的存儲(chǔ)空間（包括硬盤(pán)和內(nèi)存），被釋放或再分配給其他用戶(hù)前是否得到了完全清除。打開(kāi)“本地安全策略”→“安全設(shè)置”→“本地策略”→“安全選項(xiàng)”，查看“不顯示最后的用戶(hù)名”是否已啟用，結(jié)合針對(duì)系統(tǒng)管理員的訪談結(jié)果進(jìn)行判斷。

（2）檢查系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶(hù)前是否得到了完全清除。通過(guò)訪談和文檔查閱，檢查主要操作系統(tǒng)維護(hù)操作手冊(cè)中是否明確文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間被釋放或重新分配給其他用戶(hù)前的處理方法和過(guò)程；打開(kāi)“本地安全策略”→“安全設(shè)置”→“本地策略”→“安全選項(xiàng)”，查看“關(guān)機(jī)清除虛擬內(nèi)存頁(yè)面文件”是否已啟用；打開(kāi)“本地安全策略”→“安全設(shè)置”→“賬戶(hù)策略”→“密碼策略”，查看“用可還原的加密來(lái)存儲(chǔ)密碼”選項(xiàng)是否已啟用。

5、入侵防范機(jī)制測(cè)評(píng)

（1）檢查系統(tǒng)是否能夠檢測(cè)到嚴(yán)重的入侵行為，是否能夠記錄入侵的源 IP、攻擊類(lèi)型、攻擊目標(biāo)、攻擊時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警。具體包括系統(tǒng)是否采取了入侵防范措施，是否安裝了主機(jī)入侵檢測(cè)軟件或第三方入侵檢測(cè)系統(tǒng)，是否有入侵檢測(cè)記錄，系統(tǒng)管理員是否經(jīng)常查看日志。

（2）檢查系統(tǒng)是否能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施。通過(guò)訪談和文檔查閱的方式，檢查系統(tǒng)是否提供對(duì)重要程序的完整性進(jìn)行檢測(cè)，是否使用了文件完整性檢查工具對(duì)重要文件的完整性進(jìn)行檢查，是否對(duì)重要的配置文件進(jìn)行了備份。

（3）檢查操作系統(tǒng)是否遵循了最小安裝原則。進(jìn)入“控制面板”→“所有控制面板項(xiàng)”→“管理工具”→“服務(wù)”，檢查系統(tǒng)已安裝的服務(wù)，結(jié)合訪談和文檔查閱的方式，判斷系統(tǒng)是否僅安裝了必要的組件和應(yīng)用程序，是否啟動(dòng)了不必要的服務(wù)，如 Alerter、Remote Registry Service、Messenger等。

（4）檢查系統(tǒng)是否設(shè)置了升級(jí)服務(wù)器保證及時(shí)更新補(bǔ)丁。進(jìn)入“控制面板”→“卸載程序”→“查看已安裝的更新”，查看所安裝的補(bǔ)丁名稱(chēng)、安裝時(shí)間等信息，判斷操作系統(tǒng)補(bǔ)丁是否及時(shí)安裝，結(jié)合訪談和文檔查閱方式，檢查是否設(shè)置了專(zhuān)門(mén)的升級(jí)服務(wù)器，實(shí)現(xiàn)對(duì)操作系統(tǒng)補(bǔ)丁的升級(jí)，如WSUS服務(wù)器。

（5）檢查是否開(kāi)啟了不必要的端口。在命令提示符下輸入“netstat -an”查看本機(jī)各端口的網(wǎng)絡(luò)連接情況，查看是否存在處于“LISTENING”狀態(tài)的端口，關(guān)閉其中不必要的服務(wù)。

（6）測(cè)試系統(tǒng)是否能及時(shí)檢測(cè)到攻擊行為。使用掃描工具對(duì)目標(biāo)主機(jī)進(jìn)行掃描攻擊，查看入侵防范系統(tǒng)是否及時(shí)報(bào)警并記錄攻擊信息。

6、惡意代碼防范機(jī)制測(cè)評(píng)

（1）檢查是否安裝防惡意代碼軟件，并及時(shí)更新軟件版本和惡意代碼庫(kù)。查看任務(wù)欄和隱藏的圖標(biāo)，查看防病毒軟件是否處于開(kāi)啟狀態(tài)，結(jié)合訪談和文檔查閱方式，判斷系統(tǒng)是否采取惡意代碼實(shí)時(shí)檢測(cè)與查殺措施，并檢查病毒庫(kù)的更新方法。

（2）檢查主機(jī)防惡意代碼產(chǎn)品是否具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫(kù)。通過(guò)訪談和文檔查閱方式，檢查兩者惡意代碼庫(kù)的區(qū)別。

（3）檢查是否支持防惡意代碼的統(tǒng)一管理。通過(guò)訪談和文檔查閱方式，檢查防惡意代碼產(chǎn)品是否具有統(tǒng)一的管理平臺(tái)，是否采用了統(tǒng)一的病毒更新策略和病毒查殺策略。

7、資源控制機(jī)制測(cè)評(píng)

（1）檢查是否通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄。打開(kāi)“控制面板”→“查看網(wǎng)絡(luò)狀態(tài)和任務(wù)”→“本地連接”→“屬性”→“Internet協(xié)議版本4”并單擊“屬性”→“高級(jí)”→“選項(xiàng)”→“TCP/IP篩選”查看是否對(duì)端口進(jìn)行了限制；打開(kāi)“開(kāi)始”→“管理工具”→“本地安全策略”→“IP安全策略”，查看是否使用了IP安全策略來(lái)實(shí)現(xiàn)對(duì)遠(yuǎn)程訪問(wèn)的地址限制；打開(kāi)“開(kāi)始”→“管理工具”→“高級(jí)安全Windows防火墻”，查看防火墻策略配置，判斷內(nèi)置防火墻是否能夠?qū)Τ稣?、入站通信進(jìn)行雙向過(guò)濾；結(jié)合訪談和文檔查閱，判斷系統(tǒng)是否設(shè)定了終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄，是否有硬件防火墻限制終端接入、網(wǎng)絡(luò)地址范圍等。

（2）檢查是否根據(jù)安全策略設(shè)置了登錄終端的操作超時(shí)鎖定。進(jìn)入“控制面板”→“顯示”→“更改屏幕保護(hù)程序”，查看“在恢復(fù)時(shí)顯示登錄屏幕”是否已勾選以及等待時(shí)間的設(shè)置情況，判斷系統(tǒng)是否設(shè)置了屏幕鎖定；在DOS命令行模式下輸入“gpedit.msc”打開(kāi)“組策略”，進(jìn)入“計(jì)算機(jī)配置”→“管理模板”→“Windows 組件”→“遠(yuǎn)程桌面服務(wù)”→“遠(yuǎn)程桌面會(huì)話(huà)主機(jī)”→“會(huì)話(huà)時(shí)間限制”，查看是否設(shè)置了達(dá)到時(shí)間限制時(shí)終止會(huì)話(huà)；同時(shí)按下“Ctrl＋Alt＋Delete”鍵，打開(kāi)“Windows任務(wù)管理器”→“性能”→“資源監(jiān)視器”，查看系統(tǒng)是否資源進(jìn)行了監(jiān)視，包括主機(jī)的CPU、硬盤(pán)、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；結(jié)合訪談和文檔查閱，檢查系統(tǒng)管理員是否經(jīng)常查看“系統(tǒng)資源監(jiān)控器”，是否有相關(guān)工具實(shí)現(xiàn)登錄終端的操作超時(shí)鎖定要求。

（3）檢查是否限制單個(gè)用戶(hù)對(duì)系統(tǒng)資源的最大或最小使用限度。通過(guò)訪談和文檔查閱，檢查是否通過(guò)安全策略設(shè)置了單個(gè)用戶(hù)對(duì)系統(tǒng)資源的最大或最小使用限度；打開(kāi)“計(jì)算機(jī)”，右擊要為其啟用磁盤(pán)配額的磁盤(pán)分區(qū)，“屬性”→“配額”→“配額項(xiàng)”，查看系統(tǒng)是否設(shè)置了用戶(hù)對(duì)磁盤(pán)的使用配額。

（4）檢查是否使用了第三方軟件來(lái)監(jiān)控操作系統(tǒng)資源使用情況，并能夠在操作系統(tǒng)資源使用異常時(shí)提供報(bào)警。

（二）Windows終端操作系統(tǒng)的測(cè)評(píng)實(shí)施

Windows終端與Windows服務(wù)器的測(cè)評(píng)內(nèi)容相類(lèi)似，但由于終端不直接對(duì)外提供網(wǎng)絡(luò)服務(wù)，因此面臨的安全威脅也相對(duì)較少。此處，以Windows 7為例，說(shuō)明如何實(shí)施針對(duì)Windows終端操作系統(tǒng)的安全測(cè)評(píng)。其他版本的Windows操作系統(tǒng)與其類(lèi)似。

1、身份鑒別機(jī)制測(cè)評(píng)

（1）通過(guò)“開(kāi)始”→“控制面板”→“管理工具”→“本地安全策略”→“賬戶(hù)策略”→“密碼策略”檢查密碼策略配置情況，包括密碼符合復(fù)雜性要求、密碼長(zhǎng)度要求、密碼使用期限、密碼加密存儲(chǔ)等。

（2）通過(guò)“開(kāi)始”→“控制面板”→“管理工具”→“本地安全策略”→“賬戶(hù)策略”→“賬戶(hù)鎖定策略”檢查賬戶(hù)鎖定策略配置情況，包括賬戶(hù)鎖定時(shí)間、賬戶(hù)鎖定閾值、賬戶(hù)重置時(shí)間等。

（3）檢查是否重命名Administrator賬戶(hù)和禁用Guest賬戶(hù)。通過(guò)“開(kāi)始”→“控制面板”→“管理工具”→“計(jì)算機(jī)管理”→“本地用戶(hù)和組”→“用戶(hù)”進(jìn)行查看。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

（1）檢查是否存在多余賬戶(hù)，賬戶(hù)權(quán)限分配是否合理。查看操作系統(tǒng)中存在哪些可登錄賬戶(hù)，詢(xún)問(wèn)各賬戶(hù)用途，判斷是否存在多余賬戶(hù)。選擇各在用賬戶(hù)，右擊查看賬戶(hù)屬性，看賬戶(hù)隸屬于哪些組，根據(jù)賬戶(hù)用途判斷所賦予權(quán)限是否合理。

（2）對(duì)重要系統(tǒng)文件和數(shù)據(jù)文件權(quán)限的查看、默認(rèn)共享配置的查看、“用戶(hù)權(quán)限分配”和“安全選項(xiàng)”的查看、網(wǎng)卡和路由配置查看等方法與Windows服務(wù)器操作系統(tǒng)相同，在測(cè)評(píng)過(guò)程中需要逐一關(guān)注。

3、安全審計(jì)機(jī)制測(cè)評(píng)

（1）檢查操作系統(tǒng)審計(jì)策略配置情況。通過(guò)“開(kāi)始”→“控制面板”→“管理工具”→“本地安全策略”→“本地策略”→“審核策略”，查看操作系統(tǒng)審計(jì)策略配置是否齊全，具體內(nèi)容與Windows服務(wù)器相同。

（2）檢查系統(tǒng)審計(jì)日志。通過(guò)“開(kāi)始”→“控制面板”→“管理工具”→“計(jì)算機(jī)管理”→“事件查看器”→“Windows 日志”，查看安全管理員是否定期對(duì)各類(lèi)日志進(jìn)行查看和分析；日志可追溯的時(shí)間范圍是否達(dá)到安全策略要求，通過(guò)定期備份日志等方式防止日志可追溯時(shí)間不足和未預(yù)期刪除日志等事件發(fā)生，具體內(nèi)容與Windows服務(wù)器相同。

4、資源控制機(jī)制測(cè)評(píng)

檢查系統(tǒng)是否設(shè)置了需輸入密碼的屏幕保護(hù)程序。通過(guò)在桌面空白處右擊，選擇“個(gè)性化”→“屏幕保護(hù)程序”，查看是否勾選了“在恢復(fù)時(shí)顯示登錄屏幕”及設(shè)定的等待時(shí)間。

（三）Linux操作系統(tǒng)的測(cè)評(píng)實(shí)施

此處以Cent OS、Redhat Linux和中標(biāo)麒麟等典型的Linux操作系統(tǒng)為例，說(shuō)明如何實(shí)施主機(jī)安全測(cè)評(píng)。其他版本的Linux操作系統(tǒng)與其類(lèi)似。

此處仍然依據(jù)等級(jí)保護(hù)三級(jí)信息系統(tǒng)的主機(jī)安全要求，其他等級(jí)系統(tǒng)中的主機(jī)可根據(jù)對(duì)應(yīng)級(jí)別的基本要求，參照此內(nèi)容進(jìn)行調(diào)整，以滿(mǎn)足自身的安全測(cè)評(píng)需求。

1、身份鑒別機(jī)制測(cè)評(píng)

（1）檢查是否存在空口令的賬戶(hù)。使用“cat”命令打開(kāi)“ /etc/shadow”文件，查看各個(gè)可登錄用戶(hù)的口令字段是否為空，謹(jǐn)防賬戶(hù)設(shè)置空密碼。

（2）檢查是否設(shè)置了口令長(zhǎng)度和有效期要求。訪談系統(tǒng)管理員，詢(xún)問(wèn)是否對(duì)操作系統(tǒng)用戶(hù)登錄的口令設(shè)置一定的復(fù)雜度，口令應(yīng)包含大小寫(xiě)字母、數(shù)字和特殊字符，長(zhǎng)度8位以上；使用“cat”命令查看“/etc/login.defs”文件，檢查PASS_MIN_LEN變量的設(shè)置情況，確認(rèn)口令最小長(zhǎng)度是否符合安全要求；檢查“l(fā)ogin.defs”文件中 PASS_MAX_DAYS 變量和PASS_MIN_DAYS變量的設(shè)置情況，確認(rèn)是否符合口令有效期要求。

（3）檢查是否設(shè)置登錄超時(shí)注銷(xiāo)功能。使用“cat”命令查看“/etc/profile”文件（cat/etc/profile |grep TMOUT），檢查是否對(duì)TMOUT變量進(jìn)行設(shè)置，如果命令的輸出結(jié)果為空，表明系統(tǒng)沒(méi)有設(shè)置登錄超時(shí)注銷(xiāo)功能。

（4）檢查是否設(shè)置登錄失敗鎖定策略。使用“cat”命令查看“/etc/pam.d/system-auth”文件，檢查是否設(shè)置了“auth required”，并配置了deny和unlock_time參數(shù)，用于防止非法訪問(wèn)者對(duì)賬戶(hù)信息進(jìn)行暴力破解嘗試。

（5）檢查是否有其他用戶(hù)擁有root權(quán)限。使用“cat”命令查看“/etc/passwd”文件，命令格式如下圖所示。從下圖可以看出執(zhí)行結(jié)果只有root用戶(hù)，表明只有root用戶(hù)具有root權(quán)限，符合安全要求。

檢查具有root權(quán)限的用戶(hù)情況

（6）檢查系統(tǒng)是否提供了不安全的登錄方式，例如telnet，rlogin等。這些登錄方式在傳輸用戶(hù)名和口令時(shí)未進(jìn)行加密，用戶(hù)鑒別信息有可能被惡意人員截獲，可使用“service--status-all|grep running”命令查看在運(yùn)行的服務(wù)中有無(wú)telnet和rlogin服務(wù)。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

（1）檢查是否運(yùn)行了不必要的系統(tǒng)服務(wù)。使用“chkconfig”命令輸出系統(tǒng)所有服務(wù)，篩選出處于開(kāi)啟狀態(tài)的服務(wù)，查看是否存在不必要的系統(tǒng)服務(wù)如bluetooth、cups、isdn等。

（2）檢查是否使用了ssh代替telnet進(jìn)行遠(yuǎn)程管理。使用“ps”命令輸出所有進(jìn)程的運(yùn)行狀態(tài)，篩選出sshd進(jìn)程的信息，查看sshd進(jìn)程是否分配了PID，以確認(rèn)sshd服務(wù)進(jìn)程正在運(yùn)行。

（3）檢查是否存在所有用戶(hù)都可寫(xiě)的目錄，命令格式如下圖所示。從下圖中可以看出存在所有系統(tǒng)用戶(hù)都可寫(xiě)的目錄。

檢查是否存在所有用戶(hù)都可寫(xiě)的目錄

（4）檢查匿名/默認(rèn)用戶(hù)的訪問(wèn)權(quán)限是否已被禁用或者嚴(yán)格限制。Linux操作系統(tǒng)中存在很多默認(rèn)賬戶(hù)，如bin、daemon、adm、lp、mail、ftp等，這些賬戶(hù)默認(rèn)是不能直接登錄系統(tǒng)的，可使用“cat”命令查看“/etc/passwd”文件，查看每個(gè)匿名/默認(rèn)用戶(hù)的最后一個(gè)字段值是否設(shè)置為/sbin/nologin，或使用cat命令查看“/etc/shadow”文件，查看默認(rèn)賬戶(hù)的密碼字段是否為*、??！或！。

（5）檢查是否合理設(shè)置了重要文件的讀寫(xiě)權(quán)限?？墒褂谩發(fā)s-l”命令查看重要系統(tǒng)文件的訪問(wèn)權(quán)限，包括/etc目錄下的shadow、passwd、profile、hosts.deny、hosts.allow、syslog.conf、services等，/etc/ssh/目錄下的sshd_config，/etc/audit目錄下的auditd.conf、audit.rules，/var/log目錄下的各日志文件等。

（6）檢查是否禁止root賬戶(hù)遠(yuǎn)程登錄。由于默認(rèn)root賬戶(hù)具有所有權(quán)限，一旦被惡意攻擊者掌握，后果將不堪設(shè)想，因此建議禁止root賬戶(hù)直接遠(yuǎn)程登錄，通過(guò)設(shè)置專(zhuān)用登錄賬戶(hù)，然后使用“su root”命令切換至root賬戶(hù)的方法進(jìn)行遠(yuǎn)程管理。該設(shè)置位于“/etc/ssh/ssd_config”文件中，檢查文件中Permit Root Login參數(shù)是否設(shè)置為“no”，并將注釋符“#”去除。

3、安全審計(jì)機(jī)制測(cè)評(píng)

（1）檢查系統(tǒng)是否運(yùn)行了審計(jì)相關(guān)的服務(wù)進(jìn)程syslogd和auditd。使用“service”命令查看系統(tǒng)中正在運(yùn)行的服務(wù)，查看syslogd和auditd是否分配了PID，并確認(rèn)2個(gè)進(jìn)程正在運(yùn)行中。

（2）檢查審計(jì)策略是否合理設(shè)置。審計(jì)策略配置情況需要查看配置文件，其中，“syslog”日志配置位于“/etc/rsyslog.conf”文件中，audit審計(jì)策略配置位于“etc/audit/audit.rules”文件中。

（3）檢查是否設(shè)置了日志文件的訪問(wèn)權(quán)限。使用“l(fā)s-l”命令顯示“/var/log/syslog”文件的詳細(xì)信息，查看是否只有管理賬戶(hù)root對(duì)syslog日志文件有讀寫(xiě)權(quán)，其他賬戶(hù)對(duì)該文件沒(méi)有任何權(quán)限；可使用系統(tǒng)中其他用戶(hù)身份嘗試讀取syslog日志文件，查看是否被禁止訪問(wèn)。

（4）檢查系統(tǒng)日志的存放位置。日志文件默認(rèn)存放在/var/log目錄下，使用ls命令查看該目錄下的所有日志文件。

（5）檢查審計(jì)子系統(tǒng)是否正常工作。在系統(tǒng)上以某個(gè)用戶(hù)試圖產(chǎn)生一些重要的安全相關(guān)事件（如鑒別失敗等），檢查安全審計(jì)的覆蓋情況和記錄情況與要求是否一致。

（6）檢查審計(jì)記錄的保護(hù)措施是否有效。在系統(tǒng)上以某個(gè)系統(tǒng)用戶(hù)試圖刪除、修改或覆蓋審計(jì)記錄，檢查安全審計(jì)的保護(hù)情況與要求是否一致。

4、剩余信息保護(hù)機(jī)制測(cè)評(píng)

（1）檢查用戶(hù)目錄下的登錄歷史文件是否有異常操作記錄。查看“.bash_history”文件，檢查該文件中是否存在“sudo su root”這樣的命令，如果有，則表明普通用戶(hù)使用“su”命令進(jìn)行過(guò)用戶(hù)身份切換。

（2）檢查錯(cuò)誤的提示信息是否會(huì)泄露系統(tǒng)信息。使用錯(cuò)誤的口令嘗試登錄系統(tǒng)，查看系統(tǒng)給出的錯(cuò)誤提示信息中是否包含了賬戶(hù)或系統(tǒng)的敏感信息從而導(dǎo)致信息泄露。

5、入侵防范機(jī)制測(cè)評(píng)

（1）檢查所安裝的系統(tǒng)組件和應(yīng)用程序是否必須，多余服務(wù)是否已禁用。使用“chkconfig”指令顯示系統(tǒng)的各種服務(wù)，并終止不必要的服務(wù)，如chargen-dgram、chargen-stream、cvs、daytime-dgram、daytime-stream等。

（2）檢查系統(tǒng)補(bǔ)丁是否及時(shí)更新。使用“rpm-aq”命令查看系統(tǒng)中所有已安裝的軟件包，檢查是否存在未及時(shí)更新的部分。

6、惡意代碼防范機(jī)制測(cè)評(píng)

針對(duì)Linux操作系統(tǒng)的惡意代碼防范機(jī)制，測(cè)評(píng)內(nèi)容與Windows服務(wù)器操作系統(tǒng)的內(nèi)容相同。

7、資源控制機(jī)制測(cè)評(píng)

（1）檢查是否限制了服務(wù)器的訪問(wèn)地址。使用“cat”命令查看操作系統(tǒng)的相關(guān)配置文件，包括/etc/hosts.allow和/etc/hosts.deny，查看是否有允許訪問(wèn)或禁止訪問(wèn)的主機(jī)地址。

（2）檢查系統(tǒng)的防火墻配置策略是否合理。防火墻安全配置中可以根據(jù)協(xié)議、端口和 IP地址等進(jìn)行訪問(wèn)限制，并可以對(duì)ICMP協(xié)議包進(jìn)行過(guò)濾，可使用“iptables -L”命令查看Linux系統(tǒng)內(nèi)置的iptables防火墻的策略配置情況。

（3）檢查是否對(duì)CPU、內(nèi)存、硬盤(pán)等資源的訪問(wèn)進(jìn)行了合理限制。使用“ulimit -a”指令顯示當(dāng)前對(duì)各種資源的使用限制信息。在測(cè)試中也可以檢查是否部署了專(zhuān)用的資源監(jiān)控軟件，以實(shí)時(shí)監(jiān)控主機(jī)資源使用情況，查看監(jiān)控軟件管理控制臺(tái)是否能夠?qū)χ鳈C(jī)的CPU、硬盤(pán)、內(nèi)存、網(wǎng)絡(luò)等使用情況進(jìn)行實(shí)時(shí)顯示，能否設(shè)置各類(lèi)資源使用情況的報(bào)警閾值，在主機(jī)資源使用異常時(shí)進(jìn)行報(bào)警。

（4）檢查是否設(shè)置了超時(shí)鎖定機(jī)制。使用“cat”命令查看“/etc/profile”文件中是否對(duì)TMOUT變量進(jìn)行了設(shè)置，確認(rèn)超時(shí)鎖定的時(shí)間是否合理。

（四）Mac OS X系統(tǒng)的測(cè)評(píng)實(shí)施

1、身份鑒別機(jī)制測(cè)評(píng)

（1）檢查是否設(shè)置了登錄密碼。打開(kāi)“系統(tǒng)偏好設(shè)置”，選擇“個(gè)人”→“安全性與隱私”，查看是否勾選了“已經(jīng)給此用戶(hù)設(shè)定登錄密碼”以及“停用自動(dòng)登錄”選項(xiàng)。

（2）檢測(cè)密碼強(qiáng)度。在Mac OS X操作系統(tǒng)中，不強(qiáng)制為賬戶(hù)設(shè)置復(fù)雜密碼，但可以通過(guò)檢測(cè)得知所設(shè)密碼的安全程度。在“系統(tǒng)偏好設(shè)置”→“系統(tǒng)”→“用戶(hù)與群組”中為賬戶(hù)更改密碼時(shí)，單擊新密碼右側(cè)的鑰匙圖標(biāo)（即密碼助理），檢查當(dāng)前所設(shè)密碼的安全程度及建議。

（3）檢查是否設(shè)置了屏幕鎖定。打開(kāi)“應(yīng)用程序”→“實(shí)用工具”→“鑰匙串訪問(wèn)”，點(diǎn)擊選擇菜單中的“偏好設(shè)置”→“通用”，查看是否勾選“在菜單欄中顯示狀態(tài)”選項(xiàng)，此時(shí)在桌面邊欄中即可出現(xiàn)小鎖圖標(biāo)，單擊小鎖圖標(biāo)，選擇“鎖定屏幕”即可實(shí)現(xiàn)鎖屏。

（4）檢查是否設(shè)置了屏幕保護(hù)后的使用限制。打開(kāi)“系統(tǒng)偏好設(shè)置”，選擇“個(gè)人”→“安全性與隱私”，查看是否勾選了“進(jìn)入睡眠或開(kāi)始屏幕保護(hù)程序后要求輸入密碼”，并確認(rèn)所設(shè)置的啟動(dòng)時(shí)間是否合適。

（5）檢查是否禁用root賬戶(hù)。默認(rèn)情況下，Mac OS X操作系統(tǒng)的超級(jí)賬戶(hù)——root處于禁用狀態(tài)，若無(wú)必要不建議將其啟用。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

（1）檢查系統(tǒng)中是否存在無(wú)用的賬戶(hù)，是否存在多人共用賬戶(hù)的情況。選擇“系統(tǒng)偏好設(shè)置”→“系統(tǒng)”→“用戶(hù)與群組”，查看系統(tǒng)中已設(shè)置的賬戶(hù)。Mac OS X操作系統(tǒng)中除擁有超級(jí)管理權(quán)的賬戶(hù)root外，其他賬戶(hù)類(lèi)型分為“管理員”、“普通”、“僅限共享”、“客人用戶(hù)”等。其中，“管理員”賬戶(hù)可以創(chuàng)建、刪除和修改賬戶(hù)、安裝軟件、更改系統(tǒng)設(shè)置，以及更改其他用戶(hù)的設(shè)置。測(cè)評(píng)過(guò)程中，需要關(guān)注可用賬戶(hù)的類(lèi)型，并詢(xún)問(wèn)管理員每個(gè)賬戶(hù)的用途，從而判斷賬戶(hù)授權(quán)情況是否合理，應(yīng)僅授予每個(gè)用戶(hù)工作所需最小權(quán)限，以免越權(quán)訪問(wèn)。

（2）檢查是否使用了File Vault加密個(gè)人文件夾中的文件。File Vault為個(gè)人文件夾創(chuàng)建獨(dú)立的宗卷并采用128位密鑰的算法（AES-128）加密其內(nèi)容。因此，當(dāng)終端上保存有敏感信息時(shí)，應(yīng)考慮開(kāi)啟File Vault。選擇“系統(tǒng)偏好設(shè)置”→“個(gè)人”→“安全性與隱私”→“File Vault”，查看相關(guān)的配置情況。

（3）檢查是否開(kāi)啟了系統(tǒng)自帶的防火墻功能，防止來(lái)自互聯(lián)網(wǎng)或其他網(wǎng)絡(luò)的不必要的訪問(wèn)，實(shí)現(xiàn)僅允許外部連接終端中指定的應(yīng)用程序和服務(wù)。防火墻的設(shè)置位置：“系統(tǒng)偏好設(shè)置”→“個(gè)人”→“安全性與隱私”→“防火墻”。

（4）檢查系統(tǒng)開(kāi)啟的共享。Mac OS X操作系統(tǒng)的共享設(shè)置位于：“系統(tǒng)偏好設(shè)置”→“Internet與無(wú)線(xiàn)”→“共享”中，包含“文件共享”“打印機(jī)共享”“遠(yuǎn)程登錄”“遠(yuǎn)程管理”等。測(cè)評(píng)過(guò)程中需要查看被測(cè)終端開(kāi)啟了哪類(lèi)共享，詢(xún)問(wèn)開(kāi)啟用途，避免開(kāi)啟不必要共享給系統(tǒng)帶來(lái)的風(fēng)險(xiǎn)。

3、安全審計(jì)機(jī)制測(cè)評(píng)

檢查系統(tǒng)記錄的日志類(lèi)型和日志文件內(nèi)容。Mac OS X操作系統(tǒng)默認(rèn)能夠記錄“電源管理日志”“診斷信息”“打印機(jī)訪問(wèn)日志”“應(yīng)用程序防火墻日志”“文件系統(tǒng)修復(fù)日志”“內(nèi)核日志”“系統(tǒng)事件日志”等。通過(guò)“應(yīng)用程序”→“實(shí)用工具”→“控制臺(tái)”可查看日志內(nèi)容。測(cè)評(píng)時(shí)應(yīng)詢(xún)問(wèn)管理員對(duì)日志的查看和分析情況。

（五）iOS系統(tǒng)的測(cè)評(píng)實(shí)施

1、身份鑒別機(jī)制測(cè)評(píng)

（1）檢查密碼設(shè)置情況。單擊“工具”→“設(shè)置”→“密碼”，進(jìn)入“密碼鎖定”界面，單擊“打開(kāi)密碼”，進(jìn)入“設(shè)置密碼”界面，設(shè)置4位數(shù)字密碼。在測(cè)評(píng)時(shí)需要查看在“密碼鎖定”界面中是否關(guān)閉“簡(jiǎn)單密碼”，設(shè)置由數(shù)字和字母組成的密碼；在“密碼鎖定”界面中單擊“更改密碼”可修改密碼，在測(cè)評(píng)時(shí)查看修改密碼前是否需輸入舊密碼，且修改后的密碼不能與舊密碼一致。

（2）檢查是否設(shè)置自動(dòng)鎖定。單擊“工具”→“設(shè)置”→“通用”→“自動(dòng)鎖定”，進(jìn)入“自動(dòng)鎖定”界面，查看是否設(shè)置操作空閑等待時(shí)間。超過(guò)該設(shè)置時(shí)間，當(dāng)前會(huì)話(huà)中斷，要求用戶(hù)重新輸入密碼方可進(jìn)入系統(tǒng)管理界面。

（3）檢查是否啟用登錄失敗處理。在“密碼鎖定”界面中查看是否開(kāi)啟“抹掉數(shù)據(jù)”選項(xiàng)，在連續(xù)10次輸入錯(cuò)誤密碼后，將抹掉此系統(tǒng)中所有數(shù)據(jù)，且所有設(shè)置都會(huì)被還原。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

（1）檢查系統(tǒng)對(duì)應(yīng)用程序的安裝、使用、刪除等操作的權(quán)限設(shè)置。單擊“設(shè)置”→“通用”→“訪問(wèn)限制”，進(jìn)入“訪問(wèn)限制”界面，查看是否啟用“訪問(wèn)限制”功能，進(jìn)入“設(shè)置密碼”界面，輸入訪問(wèn)限制的密碼后，可選擇允許或拒絕某些程序、內(nèi)容、參數(shù)配置行為等。在“訪問(wèn)限制”界面中點(diǎn)擊“停用訪問(wèn)限制”，進(jìn)入“關(guān)閉密碼”界面，輸入訪問(wèn)限制的密碼，可停用訪問(wèn)限制功能。

（2）檢查隱私保護(hù)功能是否啟用。隱私保護(hù)功能用于控制哪些應(yīng)用程序可以訪問(wèn)定位服務(wù)、通信錄、日歷、提醒事項(xiàng)和照片等。單擊“設(shè)置”→“隱私”→“定位服務(wù)”，進(jìn)入“定位服務(wù)”界面，可設(shè)置阻止某些或所有應(yīng)用程序和服務(wù)來(lái)使用“定位服務(wù)”；單擊“設(shè)置”→“隱私”，進(jìn)入“隱私”界面，可以設(shè)置阻止應(yīng)用程序和功能對(duì)通信錄、日歷、提醒事項(xiàng)、照片、藍(lán)牙共享等信息的訪問(wèn)。在系統(tǒng)測(cè)評(píng)過(guò)程中應(yīng)檢查系統(tǒng)是否根據(jù)業(yè)務(wù)情況設(shè)置了訪問(wèn)控制策略，僅授予各應(yīng)用程序和功能所需的最小訪問(wèn)權(quán)限。

3、惡意代碼防范機(jī)制測(cè)評(píng)

由于iOS平臺(tái)對(duì)應(yīng)用軟件的嚴(yán)格審核機(jī)制，目前，針對(duì)iOS系統(tǒng)的惡意軟件數(shù)量較少，但是隨著iOS智能移動(dòng)終端的流行，應(yīng)關(guān)注iOS系統(tǒng)上的惡意代碼防范技術(shù)的發(fā)展。WireLurker是歷史上第一個(gè)能在未越獄iOS設(shè)備上安裝第三方軟件的惡意軟件。Wire Lurkerer能夠收集各種用戶(hù)信息，包括聯(lián)絡(luò)人和iMessages，并且能向黑客發(fā)送升級(jí)請(qǐng)求。在系統(tǒng)測(cè)評(píng)過(guò)程中可檢查iOS系統(tǒng)是否安裝并啟用了防惡意代碼軟件。

（六）Android系統(tǒng)的測(cè)評(píng)實(shí)施

1、身份鑒別機(jī)制測(cè)評(píng)

Android系統(tǒng)可設(shè)置為需成功解鎖設(shè)備后方可登錄系統(tǒng)，也可以通過(guò)啟動(dòng)屏幕鎖定功能來(lái)鎖定設(shè)備，單擊“設(shè)定”→“鎖定屏幕”→“屏幕鎖定”，系統(tǒng)測(cè)評(píng)過(guò)程中，查看“選擇屏幕鎖”界面中是否設(shè)置了通過(guò)面部解鎖、密碼、PIN碼、圖案等方式解鎖設(shè)備。Android系統(tǒng)也可使用SIM或USIM卡提供的PIN碼來(lái)鎖定設(shè)備，單擊“設(shè)定”→“安全”→“設(shè)置SIM卡鎖”→“鎖定SIM卡”，輸入PIN碼并選擇確定。如果啟動(dòng)SIM或USIM卡鎖，必須在每次開(kāi)機(jī)或進(jìn)入需要PIN碼的應(yīng)用程序時(shí)輸入PIN碼。測(cè)評(píng)中還應(yīng)檢查登錄過(guò)程中是否需要解鎖設(shè)備進(jìn)行登錄驗(yàn)證。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

Android系統(tǒng)可設(shè)置密碼以加密保存在設(shè)備上的數(shù)據(jù)，每次開(kāi)機(jī)時(shí)必須輸入密碼解密數(shù)據(jù)。單擊“設(shè)定”→“安全”，在安全界面中單擊“加密設(shè)備”，可對(duì)設(shè)備數(shù)據(jù)進(jìn)行加密。測(cè)評(píng)中應(yīng)訪談管理員系統(tǒng)是否有加密設(shè)備數(shù)據(jù)的需求，如需要，則檢查系統(tǒng)是否設(shè)置了上述加密設(shè)備選項(xiàng)。

3、惡意代碼防范機(jī)制測(cè)評(píng)

Android 系統(tǒng)由于其開(kāi)放性，存在軟件安全方面的問(wèn)題，用戶(hù)很難辨別下載的軟件是否為惡意的病毒程序，一旦用戶(hù)手機(jī)不小心安裝了惡意程序，就會(huì)面臨著個(gè)人隱私被泄露、手機(jī)系統(tǒng)遭破環(huán)等風(fēng)險(xiǎn)，Android 系統(tǒng)可安裝防病毒軟件查殺已知的病毒。測(cè)評(píng)中應(yīng)檢查系統(tǒng)是否安裝了相應(yīng)的防病毒軟件。

（七）Oracle系統(tǒng)的測(cè)評(píng)實(shí)施

數(shù)據(jù)庫(kù)管理系統(tǒng)的安全保護(hù)策略實(shí)現(xiàn)了對(duì)數(shù)據(jù)庫(kù)管理系統(tǒng)本身和數(shù)據(jù)庫(kù)中數(shù)據(jù)的有效保護(hù)。安全測(cè)評(píng)中對(duì)數(shù)據(jù)庫(kù)管理系統(tǒng)的現(xiàn)場(chǎng)檢查主要集中在身份鑒別、訪問(wèn)控制、安全審計(jì)、入侵防范和備份恢復(fù)等方面。

1、身份鑒別機(jī)制測(cè)評(píng)

Oracle系統(tǒng)在身份管理方面可能存在的問(wèn)題主要包括部分用戶(hù)權(quán)限過(guò)大、不用用戶(hù)數(shù)據(jù)信息保密性差、存在默認(rèn)賬戶(hù)和口令等。針對(duì)Oracle系統(tǒng)身份鑒別機(jī)制的測(cè)評(píng)工作主要有以下方面。

（1）通過(guò)訪談，詢(xún)問(wèn)是否設(shè)置有專(zhuān)門(mén)的安全管理員和數(shù)據(jù)庫(kù)管理員。

（2）通過(guò)與管理員的訪談，詢(xún)問(wèn)是否為應(yīng)用程序設(shè)置單獨(dú)的數(shù)據(jù)庫(kù)賬戶(hù)，詢(xún)問(wèn)數(shù)據(jù)庫(kù)的身份標(biāo)識(shí)與鑒別機(jī)制采取何種措施實(shí)現(xiàn)，目前系統(tǒng)提供了哪些身份鑒別措施和鑒別失敗處理措施。

（3）檢查是否存在空口令用戶(hù)。使用SQL語(yǔ)句執(zhí)行查詢(xún)命令，結(jié)果如下圖所示，可以看出有3個(gè)用戶(hù)的口令為空，存在安全隱患。

檢查是否存在空口令用戶(hù)

（4）檢查數(shù)據(jù)庫(kù)系統(tǒng)口令策略的配置情況。進(jìn)入$ORACLE_HOME/RDBMS/ADMIN目錄下查看“utlpwdmg”文件，確認(rèn)口令最長(zhǎng)使用期限、嘗試口令次數(shù)限制等參數(shù)設(shè)置是否合理。

（5）檢查具有管理權(quán)限的用戶(hù)名單和擁有DBA角色的用戶(hù)，確認(rèn)這些用戶(hù)是否符合系統(tǒng)安全策略。

（6）查看public角色的權(quán)限。創(chuàng)建test用戶(hù)，然后賦予該用戶(hù)public角色權(quán)限，然后登錄test并查看test用戶(hù)的所有權(quán)限，確認(rèn)是否符合系統(tǒng)安全策略。

（7）檢查數(shù)據(jù)庫(kù)中是否存在無(wú)用的、測(cè)試的、廢棄的、多余的賬戶(hù)。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

Oracle系統(tǒng)使用監(jiān)聽(tīng)器保證客戶(hù)終端和服務(wù)器端的連接，監(jiān)聽(tīng)器是Oracle基于服務(wù)器端的一種網(wǎng)絡(luò)服務(wù)，主要監(jiān)聽(tīng)客戶(hù)端向服務(wù)器端提出的連接請(qǐng)求。Oracle監(jiān)聽(tīng)器存在安全問(wèn)題，如果不設(shè)置一定的安全措施，遠(yuǎn)程訪問(wèn)用戶(hù)將可能關(guān)閉監(jiān)聽(tīng)器。許多Oracle系統(tǒng)都存在監(jiān)聽(tīng)器安全配置問(wèn)題，尤其是一些監(jiān)聽(tīng)器根本沒(méi)有設(shè)置口令。另外，Oracle系統(tǒng)中一些網(wǎng)絡(luò)參數(shù)的調(diào)整將影響網(wǎng)絡(luò)層的性能。網(wǎng)絡(luò)參數(shù)調(diào)整涉及的文件包括如sqlnet.ora中的automatic_ipc參數(shù)、protocol.ora文件中的tcp.nodelay參數(shù)等。針對(duì)Oracle訪問(wèn)控制機(jī)制的測(cè)評(píng)工作主要有如下4個(gè)方面。

（1）檢查是否對(duì)外屏蔽了數(shù)據(jù)庫(kù)監(jiān)聽(tīng)端口。通過(guò)在DOS命令下輸入“netstat -an”查看哪些端口處于開(kāi)啟狀態(tài)，檢查Oracle的默認(rèn)端口1521是否處于“LISTENING”狀態(tài)，是，則表明服務(wù)器主機(jī)沒(méi)有對(duì)外屏蔽Oracle的監(jiān)聽(tīng)端口。

（2）檢查是否為遠(yuǎn)程客戶(hù)端登錄進(jìn)行角色分配。在 SQL Plus 中執(zhí)行 show parameter remote_os_roles，如果顯示VALUE值為“FALSE”，表明沒(méi)有為遠(yuǎn)程客戶(hù)端登錄進(jìn)行角色分配。

（3）檢查是否對(duì)遠(yuǎn)程連接訪問(wèn)進(jìn)行了認(rèn)證及加密。查看“sqlnet.ora”文件，以確認(rèn)是否進(jìn)行了遠(yuǎn)程連接的認(rèn)證及加密設(shè)置。

（4）檢查是否存在監(jiān)聽(tīng)器的安全問(wèn)題。嘗試使用空口令或弱口令連接監(jiān)聽(tīng)器，驗(yàn)證系統(tǒng)是否存在上述問(wèn)題。

3、安全審計(jì)機(jī)制測(cè)評(píng)

Oracle的審計(jì)功能為數(shù)據(jù)庫(kù)管理員提供了記錄和監(jiān)視數(shù)據(jù)活動(dòng)的功能，一般用于對(duì)重要的數(shù)據(jù)庫(kù)活動(dòng)進(jìn)行監(jiān)視，收集特定的對(duì)數(shù)據(jù)庫(kù)進(jìn)行操作的信息。針對(duì)Oracle安全審計(jì)機(jī)制的測(cè)評(píng)工作主要有以下4個(gè)方面。

（1）訪談數(shù)據(jù)庫(kù)管理員，詢(xún)問(wèn)數(shù)據(jù)庫(kù)審計(jì)數(shù)據(jù)的備份策略及采取的相關(guān)安全措施。

（2）檢查審計(jì)功能是否開(kāi)啟。指令執(zhí)行結(jié)果示意如下圖所示。從下圖中可以看出“audit_trail”的值為“DB”，表明審計(jì)功能已經(jīng)開(kāi)啟，如為“TRUE”同樣代表審計(jì)功能已經(jīng)開(kāi)啟。審計(jì)文件存放在D：APPLSADMINORCLADUMP文件夾下。

檢查審計(jì)功能是否開(kāi)啟

（3）檢查安全審計(jì)的覆蓋范圍，包括是否對(duì)所有用戶(hù)登錄數(shù)據(jù)庫(kù)的行為都進(jìn)行了審計(jì)，哪些用戶(hù)或角色擁有審計(jì)表的操作權(quán)限，是否對(duì)相關(guān)安全屬性值的更改及撤銷(xiāo)操作進(jìn)行了審計(jì)。

（4）驗(yàn)證安全審計(jì)機(jī)制的效果。使用不同的用戶(hù)登錄數(shù)據(jù)庫(kù)系統(tǒng)并進(jìn)行不同的操作，查看審計(jì)記錄是否滿(mǎn)足要求。

4、入侵防范機(jī)制測(cè)評(píng)

Oracle數(shù)據(jù)庫(kù)入侵防范方面的測(cè)評(píng)主要集中在檢查數(shù)據(jù)庫(kù)版本、安裝配置情況等方面，其中，部分內(nèi)容涉及對(duì)數(shù)據(jù)庫(kù)系統(tǒng)資源的限制和數(shù)據(jù)庫(kù)字典的保護(hù)，都是為了實(shí)現(xiàn)有效防范入侵，因此將其統(tǒng)一歸為入侵防范機(jī)制。具體的測(cè)評(píng)工作有以下7個(gè)方面。

（1）訪談數(shù)據(jù)庫(kù)管理員，詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)補(bǔ)丁安裝或版本升級(jí)情況。

（2）檢查數(shù)據(jù)庫(kù)管理系統(tǒng)的版本。SQL語(yǔ)句執(zhí)行結(jié)果示意如下圖所示，可以看出當(dāng)前Oracle為11.2.0.1.0 企業(yè)版。

檢查系統(tǒng)版本

（3）檢查是否安裝了最新的數(shù)據(jù)庫(kù)補(bǔ)丁。執(zhí)行“opatch”命令，查詢(xún)當(dāng)前OPatch版本，與Oracle網(wǎng)站公布的最新OPatch版本進(jìn)行對(duì)比。

（4）檢查程序文件存放路徑的訪問(wèn)權(quán)限，確認(rèn)僅Oracle用戶(hù)對(duì)程序文件擁有所有權(quán)限。

（5）檢查Oracle安裝路徑，確認(rèn)沒(méi)有安裝在系統(tǒng)分區(qū)上。

（6）檢查數(shù)據(jù)庫(kù)數(shù)據(jù)文件的存放路徑及訪問(wèn)路徑，確認(rèn)都存放在 ORADATAORCL目錄下，并且僅Oracle用戶(hù)對(duì)數(shù)據(jù)文件有讀寫(xiě)權(quán)限。

（7）其他入侵防范機(jī)制的檢查，包括：檢查是否開(kāi)啟了對(duì)系統(tǒng)資源的限制，是否為歸檔模式，是否對(duì)數(shù)據(jù)庫(kù)字典進(jìn)行保護(hù)。

5、備份恢復(fù)機(jī)制測(cè)評(píng)

相比操作系統(tǒng)和虛擬化軟件等系統(tǒng)軟件，數(shù)據(jù)庫(kù)管理系統(tǒng)對(duì)于備份恢復(fù)機(jī)制的要求更為嚴(yán)格。針對(duì)Oracle數(shù)據(jù)庫(kù)系統(tǒng)應(yīng)至少提供一份本地完全數(shù)據(jù)備份，備份介質(zhì)要場(chǎng)外存放，對(duì)重要的數(shù)據(jù)更應(yīng)該能提供異地?cái)?shù)據(jù)備份功能，并利用通信網(wǎng)絡(luò)技術(shù)將關(guān)鍵數(shù)據(jù)定時(shí)批量的傳輸?shù)絺溆脠?chǎng)地。針對(duì)備份恢復(fù)機(jī)制的測(cè)評(píng)工作主要有以下4個(gè)方面。

（1）訪談數(shù)據(jù)庫(kù)管理員，詢(xún)問(wèn)現(xiàn)有的備份/恢復(fù)策略、備份方法、備份情況和應(yīng)急方案。

（2）訪談數(shù)據(jù)庫(kù)管理員，詢(xún)問(wèn)數(shù)據(jù)庫(kù)當(dāng)前的容災(zāi)能力情況，如是否具有UPS電源、雙機(jī)熱備、集群機(jī)制、均衡負(fù)載等。

（3）檢查備份數(shù)據(jù)的安全性是否能得到保證。如是否為本地備份、本地保存的冷/熱備份，還是本地?zé)嵴緜浞莼虍惖鼗顒?dòng)互援備份方式。

（4）檢查數(shù)據(jù)庫(kù)服務(wù)器的物理安全情況，備份機(jī)也應(yīng)該具有同樣的物理安全措施。

（八）SQL Server系統(tǒng)的測(cè)評(píng)實(shí)施

1、身份鑒別機(jī)制測(cè)評(píng)

針對(duì)SQL Server數(shù)據(jù)庫(kù)管理系統(tǒng)的身份鑒別機(jī)制，安全測(cè)評(píng)工作主要有以下6個(gè)方面。

（1）通過(guò)訪談，詢(xún)問(wèn)是否設(shè)置有專(zhuān)門(mén)的安全管理員和數(shù)據(jù)庫(kù)管理員。

（2）通過(guò)與管理員的訪談，詢(xún)問(wèn)是否為應(yīng)用程序設(shè)置了單獨(dú)的賬戶(hù)。

（3）通過(guò)與管理員的訪談，詢(xún)問(wèn)是否在安裝SQL Server數(shù)據(jù)庫(kù)時(shí)為sa設(shè)置了復(fù)雜口令。

（4）訪談數(shù)據(jù)庫(kù)管理員，詢(xún)問(wèn)數(shù)據(jù)庫(kù)的身份標(biāo)識(shí)與鑒別機(jī)制采取何種措施實(shí)現(xiàn)，目前，系統(tǒng)提供了哪些身份鑒別措施和鑒別失敗處理措施。

（5）檢查是否存在禁用的guest賬號(hào)。

（6）檢查用戶(hù)口令設(shè)置情況，如下圖所示，確認(rèn)是否存在空口令的用戶(hù)。

檢查用戶(hù)口令設(shè)置情況

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

SQL Server數(shù)據(jù)庫(kù)在訪問(wèn)控制方面的測(cè)評(píng)內(nèi)容主要涉及數(shù)據(jù)庫(kù)終端非授權(quán)訪問(wèn)、不必要服務(wù)、默認(rèn)端口等方面。測(cè)評(píng)工作主要有以下5個(gè)方面。

（1）訪談管理員，詢(xún)問(wèn)終端訪問(wèn)是否設(shè)置了超時(shí)鎖定功能，如果超過(guò)時(shí)限則數(shù)據(jù)庫(kù)自動(dòng)斷開(kāi)連接，此項(xiàng)措施用于防止數(shù)據(jù)庫(kù)終端的非授權(quán)訪問(wèn)。

（2）檢查SQL郵件功能是否啟用。單擊“管理”→“SQL Server日志”→“數(shù)據(jù)庫(kù)郵件”，查看“數(shù)據(jù)庫(kù)郵件配置向?qū)А笔欠駨棾觥笆欠褚獑⒂么斯δ堋睂?duì)話(huà)框。

（3）檢查SQL Server使用的網(wǎng)絡(luò)協(xié)議。單擊“開(kāi)始”→“所有程序”→“Microsoft SQL Server 2012”→“配置工具”→“SQL Server 配置管理器”→“SQL Server 網(wǎng)絡(luò)配置”→“MSSQLSERVER的協(xié)議”，確認(rèn)SQLServer使用的網(wǎng)絡(luò)協(xié)議為T(mén)CP/IP。

（4）檢查是否啟用了強(qiáng)制協(xié)議加密。單擊“開(kāi)始”→“所有程序”→“Microsoft SQL Server 2012”→“配置工具”→“SQL Server 配置管理器”→“SQL Server 網(wǎng)絡(luò)配置”→右擊“MSSQLSERVER的協(xié)議”選擇“屬性”，查看“強(qiáng)行加密”后面的字段是否為“是”。

（5）測(cè)試強(qiáng)制協(xié)議加密是否生效。通過(guò)使用網(wǎng)絡(luò)抓包工具進(jìn)行數(shù)據(jù)分組分析，檢查口令或賬號(hào)等敏感信息是否存在明文傳輸情況。

3、安全審計(jì)機(jī)制測(cè)評(píng)

SQL Server數(shù)據(jù)庫(kù)在安全審計(jì)方面的測(cè)評(píng)內(nèi)容主要涉及系統(tǒng)的審計(jì)級(jí)別設(shè)置、日志記錄情況、日志目錄和日志文件的訪問(wèn)權(quán)限設(shè)置等方面。測(cè)評(píng)工作主要有以下2個(gè)方面。

（1）訪談管理員，詢(xún)問(wèn)數(shù)據(jù)庫(kù)審計(jì)數(shù)據(jù)的備份策略及采取的相關(guān)安全措施。

（2）檢查登錄審核設(shè)置及審計(jì)級(jí)別。右擊“**-PC”，選擇“屬性”，單擊“安全性”，從下圖中可以看出本數(shù)據(jù)庫(kù)僅對(duì)失敗的登錄做記錄，“啟用C2審核跟蹤”選項(xiàng)已被勾選，表明審計(jì)級(jí)別為二級(jí)。

檢查登錄審核設(shè)置及審計(jì)級(jí)別

（3）驗(yàn)證安全審計(jì)機(jī)制的效果。使用不同的用戶(hù)登錄數(shù)據(jù)庫(kù)系統(tǒng)并進(jìn)行不同的操作，查看審計(jì)記錄是否滿(mǎn)足要求。

4、入侵防范機(jī)制測(cè)評(píng)

SQL Server數(shù)據(jù)庫(kù)在入侵防范方面的測(cè)評(píng)內(nèi)容主要涉及主機(jī)系統(tǒng)及補(bǔ)丁安裝情況、數(shù)據(jù)庫(kù)版本、不必要的存儲(chǔ)過(guò)程等方面，測(cè)評(píng)工作主要包括以下3個(gè)方面。

（1）訪談數(shù)據(jù)庫(kù)管理員，詢(xún)問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)補(bǔ)丁安裝或版本升級(jí)情況。

（2）檢查數(shù)據(jù)庫(kù)版本，并與官方網(wǎng)站的最新版本進(jìn)行對(duì)比。

（3）檢查是否存在不必要的存儲(chǔ)過(guò)程。

5、備份恢復(fù)機(jī)制測(cè)評(píng)

針對(duì)SQL Server系統(tǒng)備份恢復(fù)機(jī)制的測(cè)評(píng)工作與Oracle系統(tǒng)類(lèi)似。

（九）虛擬化軟件的測(cè)評(píng)實(shí)施

針對(duì)虛擬化軟件的測(cè)評(píng)實(shí)施工作主要針對(duì)身份鑒別機(jī)制、訪問(wèn)控制機(jī)制、入侵防范機(jī)制、資源控制機(jī)制4個(gè)方面。

1、身份鑒別機(jī)制測(cè)評(píng)

虛擬化軟件的root用戶(hù)具有最大權(quán)限，虛擬化軟件直接控制虛擬機(jī)，因此良好的身份鑒別機(jī)制對(duì)保證虛擬機(jī)的安全有很大的幫助。虛擬化軟件身份鑒別機(jī)制的測(cè)評(píng)工作主要以下2個(gè)方面。

（1）檢查用戶(hù)/組的權(quán)限配置，檢查 root 及普通用戶(hù)權(quán)限是否采用最小授權(quán)原則。登錄v Sphere，單擊“權(quán)限”選項(xiàng)卡，顯示所有用戶(hù)的名稱(chēng)及權(quán)限，查看是否有多個(gè)管理員權(quán)限的用戶(hù)，從而違背了最小授權(quán)原則。

（2）檢查虛擬化軟件用戶(hù)賬戶(hù)身份鑒別信息，包括用戶(hù)口令長(zhǎng)度、復(fù)雜度、更新周期等。有效密碼應(yīng)該包含盡可能多的字符種類(lèi)的組合。字符種類(lèi)包括小寫(xiě)字母、大寫(xiě)字母、數(shù)字和特殊字符。可打開(kāi)ESXi賬戶(hù)策略配置文件（默認(rèn)保存路徑為/etc/pam.d/passwd），查看以下參數(shù)的設(shè)置情況。

1）retry=3：用戶(hù)有3次機(jī)會(huì)輸入合格的密碼。

2）N=8：包含一類(lèi)字符的密碼的長(zhǎng)度必須至少為8個(gè)字符。

3）N1=8：包含兩類(lèi)字符的密碼的長(zhǎng)度必須至少為8個(gè)字符。

4）N2=8：密碼短語(yǔ)包含的每個(gè)單詞的長(zhǎng)度必須至少為8個(gè)字符。

5）N3=7：包含三類(lèi)字符的密碼的長(zhǎng)度必須至少為7個(gè)字符。

6）N4=6：包含全部四類(lèi)字符的密碼的長(zhǎng)度必須至少為6個(gè)字符。

2、訪問(wèn)控制機(jī)制測(cè)評(píng)

虛擬化軟件的訪問(wèn)控制可以有效防止非法主體訪問(wèn)受保護(hù)的資源，或防止合法用戶(hù)對(duì)受保護(hù)的資源進(jìn)行非授權(quán)的訪問(wèn)。測(cè)評(píng)工作主要有以下4個(gè)方面。

（1）檢查管理員用戶(hù)是否禁用SSH服務(wù)，并禁用所有用戶(hù)的授權(quán)（SSH）密鑰。查看SSH配置文件（缺省路徑/etc/ssh/keys-root/authorized_keys），驗(yàn)證其是否為空且未將任何SSH密鑰添加到該文件中。

（2）檢查是否設(shè)置Shell可用性超時(shí)及會(huì)話(huà)超時(shí)。在v Sphere client中選擇目標(biāo)主機(jī)，單擊“配置”選項(xiàng)卡，在“軟件”下，選擇“高級(jí)設(shè)置”，在左面板中選擇“User Vars”，查看User Vars.ESXi Shell Time Out 字段值是否為“0”，如為“0”則表明未設(shè)置可用性超時(shí)；查看User Vars.ESXi Shell Interactive Time Out字段值是否大于“0”，如為“0”則表明未設(shè)置會(huì)話(huà)超時(shí)。

（3）檢查是否限制允許遠(yuǎn)程控制臺(tái)連接的數(shù)量。在vsphere的Web client中右擊“虛擬機(jī)”，單擊“編輯設(shè)置”，選擇“虛擬機(jī)”選項(xiàng)，單擊“高級(jí)”→“編輯配置”。檢查參數(shù)Remote Display.max Connections值是否為“1”。如果大于1，則表明允許多個(gè)遠(yuǎn)程管理控制臺(tái)。

（4）檢查部署的防火墻情況。下圖所示為v Sphere Client與ESXi主機(jī)之間的防火墻部署情況。

檢查v Sphere Client與ESXi主機(jī)之間的防火墻部署

3、入侵防范機(jī)制測(cè)評(píng)

針對(duì)虛擬化軟件入侵防范機(jī)制的測(cè)評(píng)工作主要有以下5個(gè)方面。

（1）檢查有無(wú)不必要或額外的功能。檢查是否連接無(wú)用的物理設(shè)備，如CD/DVD 光驅(qū)、軟驅(qū)或者USB適配器；檢查是否關(guān)閉屏幕保護(hù)程序，如果使用的是Linux，BSD或Solaris客戶(hù)機(jī)操作系統(tǒng)，則盡量不要運(yùn)行桌面系統(tǒng)；檢查是否禁用未使用的服務(wù)，例如，如果系統(tǒng)作為文件服務(wù)器運(yùn)行，則確保關(guān)閉所有Web服務(wù)。

（2）檢查是否禁止遠(yuǎn)程控制平臺(tái)的復(fù)制粘貼功能，防止將敏感數(shù)據(jù)拷貝到虛擬機(jī)中。使用v Sphere Client登錄到v Center Server系統(tǒng)并選擇虛擬機(jī)。在“摘要”選項(xiàng)卡中，單擊“編輯”設(shè)置。選擇“選項(xiàng)”→“高級(jí)”→“常規(guī)”，然后單擊“配置參數(shù)”。檢查isolation.tools.copy.disable 和 isolation.tools.paste.disable 這 2 個(gè)參數(shù)的值是否為“TRUE”。isolation.tools.copy.disable 值為“TRUE”表明禁止了遠(yuǎn)程控制平臺(tái)的復(fù)制功能， isolation.tools.paste.disable值為“TRUE”表明禁止了遠(yuǎn)程控制平臺(tái)的粘貼功能。

（3）檢查虛擬機(jī)操作系統(tǒng)安裝和配置類(lèi)型是否匹配、文件的操作權(quán)限是否恰當(dāng)。

（4）檢查是否禁用虛擬磁盤(pán)壓縮。在v Center或v Sphere Web Client中，依次單擊虛擬機(jī)的“摘要”→“編輯設(shè)置”，選擇“選項(xiàng)”→“高級(jí)”→“常規(guī)”，單擊“配置參數(shù)”，檢查isolation.tools.disk Shrink.disable參數(shù)的值是否為“TRUE”，值為“TRUE”表明禁止虛擬機(jī)通過(guò)VMware后門(mén)程序直接調(diào)用disk Shrink實(shí)現(xiàn)磁盤(pán)壓縮。

（5）檢查是否禁用未公開(kāi)的功能。VMware 虛擬機(jī)在v Sphere系統(tǒng)與托管虛擬化平臺(tái)上都能運(yùn)行。在 v Sphere系統(tǒng)上運(yùn)行虛擬機(jī)時(shí)，無(wú)需啟用某些 VMX 參數(shù)。禁用這些參數(shù)可降低出現(xiàn)漏洞的可能性。檢查虛擬機(jī)的“.vmx”文件，核查以下參數(shù)值是否為“TRUE”：

1）isolation.tools.unity.push.update.disable

2）isolation.tools.ghi.launchmenu.change

3）isolation.tools.mem Sched Fake Sample Stats.disable

4）isolation.tools.get Creds.disable

5）isolation.tools.ghi.autologon.disable

6）isolation.tools.hgfs Server Set.disable

4、資源控制機(jī)制測(cè)評(píng)

針對(duì)虛擬化軟件入侵防范機(jī)制的測(cè)評(píng)工作主要有以下6個(gè)方面。

（1）檢查虛擬機(jī)列表，查看是否存在“退役”虛擬機(jī)。

（2）檢查虛擬機(jī)列表，查看是否存在非法虛擬機(jī)。

（3）檢查是否限制客戶(hù)機(jī)操作系統(tǒng)寫(xiě)入主機(jī)內(nèi)存。如客戶(hù)機(jī)操作系統(tǒng)進(jìn)程會(huì)通過(guò) VMware Tools 向主機(jī)發(fā)送信息性消息。如果不限制主機(jī)存儲(chǔ)這些消息的數(shù)據(jù)量，則無(wú)限的數(shù)據(jù)流將為攻擊者提供發(fā)起拒絕服務(wù)（DoS）攻擊的機(jī)會(huì)。具體檢查內(nèi)容包括以下2個(gè)方面。

1）檢查客戶(hù)機(jī)操作系統(tǒng)的可變內(nèi)存限制的設(shè)置。在v Center Server或v Sphere Web Client中選擇虛擬機(jī)。在“摘要”選項(xiàng)卡中，單擊“編輯設(shè)置”，選擇“選項(xiàng)”→“高級(jí)”→“常規(guī)”，單擊“配置參數(shù)”，查看參數(shù)tools.set Info.size Limit的值是否為“TRUE”，如為“TRUE”則表明設(shè)置了可變內(nèi)存限制。

2）檢查是否阻止客戶(hù)機(jī)操作系統(tǒng)進(jìn)程向主機(jī)發(fā)送配置消息。檢查虛擬機(jī)的“.vxm”文件，檢查是否存在參數(shù)isolation.tools.setinfo.disable，其值是否為“TRUE”。

（4）檢查是否啟用主機(jī)資源管理功能，控制虛擬機(jī)消耗的服務(wù)器資源。包括檢查是否共享或預(yù)留保證資源分配給關(guān)鍵的虛擬機(jī)、是否對(duì)虛擬機(jī)的資源消耗進(jìn)行約束限制。

（5）啟動(dòng)虛擬機(jī)，查看是否存在未預(yù)留足夠的CPU或內(nèi)存現(xiàn)象。在 v Sphere Client 中，選擇主機(jī)，然后單擊配置選項(xiàng)卡→選擇“處理器”?？梢圆榭从嘘P(guān)物理處理器數(shù)量和類(lèi)型以及邏輯處理器數(shù)量的信息。在 v Sphere Client 中，選擇主機(jī)，然后單擊配置選項(xiàng)卡→單擊“內(nèi)存”，顯示有關(guān)主機(jī)內(nèi)存分配的信息。

（6）檢查是否啟用存儲(chǔ)I/O控制。在 v Sphere Client 清單中選擇數(shù)據(jù)存儲(chǔ)→配置選項(xiàng)卡→屬性→在“存儲(chǔ) I/O 控制”下，查看是否選中“已啟用”復(fù)選框。

三、結(jié)語(yǔ)

本文介紹了主機(jī)安全測(cè)評(píng)的內(nèi)容、方法和實(shí)施過(guò)程，重點(diǎn)參照等級(jí)保護(hù)三級(jí)信息系統(tǒng)的主機(jī)安全測(cè)評(píng)要求，針對(duì)主機(jī)操作系統(tǒng)（Windows服務(wù)器、Windows終端、Linux、Mac OS、iOS、Android）、數(shù)據(jù)庫(kù)管理系統(tǒng)（Oracle、SQL Server）、虛擬化軟件（VMware系列）等測(cè)評(píng)對(duì)象，采用含訪談、現(xiàn)場(chǎng)檢查和測(cè)試等測(cè)評(píng)方法，從身份鑒別、訪問(wèn)控制、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制等方面介紹了主機(jī)安全測(cè)評(píng)的具體工作。

由于篇幅所限，只是涵蓋了主機(jī)安全測(cè)評(píng)中的主要測(cè)評(píng)對(duì)象及其測(cè)評(píng)內(nèi)容，實(shí)際測(cè)評(píng)中所面臨的操作系統(tǒng)、數(shù)據(jù)庫(kù)和虛擬化軟件類(lèi)型遠(yuǎn)遠(yuǎn)不止這些，具體的安全測(cè)評(píng)方法和手段還可以更加豐富。因此，在實(shí)際應(yīng)用中，需要根據(jù)主機(jī)安全合規(guī)性要求對(duì)測(cè)評(píng)方法進(jìn)行針對(duì)性的補(bǔ)充和完善，以滿(mǎn)足自身的主機(jī)安全測(cè)評(píng)需要。