等级保护2.0 三级-Linux 测评指导书

1.1安全计算环境

1.1.1身份鉴别 1.1.2访问控制 1.1.4入侵防范 1.1.5恶意代码防范 1.1.6可信验证 1.1.7数据完整性 1.1.8数据保密性 1.1.9数据备份恢复 1.1.10剩余信息保护 1.1.11个人信息保护

1.1安全计算环境

1.1.1身份鉴别

测评项：
a应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
测评方法：

使用root权限的账户登录操作系统后，使用命令more 查看/etc/shadow文件，核查第二列是否为空，为空即存在空口令账户。
使用命令more查看/etc/login.defs文件，查看是否设置密码长度和定期更换要求，使用命令more查看/etc/pam.d/system-auth文件。查看密码长度和复杂度要求，记录PASS MAX_DAYS、PASS MIN_DAYS、PASS MIN_LEN、PASS WARN_AGE。

测评项：
b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
测评方法：

查看登录失败处理功能相关参数，/etc/pam.d/system-auth 文件中存在"account required/1ib/security/pam tally.so deny=3 no_magic root reset"。
记录在文件/etc/profile中设置了超时锁定参数，在profile 下设置TMOUT=300s。

测评项：
c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
测评方法：

如果是本地管理或KVM等硬件管理方式，此要求默认满足；
以root 身份登录进入Linux查看是否运行了sshd服务，service-status-a11 Igrep sshd 查看相关的端口是否打开，netstat-anlgrep22若未使用SSH方式进行远程管理，则查看是否使用了Telnet方式进行远程管理service--status-al1lgrep running，查看是否存在Telnet服务。

测评项：
d）应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
测评方法：

查看和询问系统管理员在登录操作系统的过程中使用了哪些身份鉴别方法，是否采用了两种或两种以上组合的鉴别技术，如口令、教字证书Ukey、令牌、指纹等，是否有一种鉴别方法在鉴别过程中使用了密码技术
记录系统管理员在登录操作系统使用的身份鉴别方法，同时记录使用密码的鉴别方法。

1.1.2访问控制

测评项：
a）应对登录的用户分配账户和权限。
测评方法：

以有相应权限的身份登录进入Linux，使用“1s-1文件名”命令，查看重要文件和目录权限设置是否合理，如：#1s-1/etc/passwd#744。

测评项：
b）应重命名或删除默认账户，修改默认账户的默认口令。
测评方法：

以有相应权限的身份登录进入Linux，使用more 查看/etc/shadow文件，查看文件中的用户，是否存在adm、1p.sync、shutdown、halt.、mail、uucp、operator，、games.、gopher ftp等默认的、无用的用户。
查看root账户是否能够进行远程登录。

测评项：
c）应及时删除或停用多余的、过期的账户，避免共享账户的存在。
测评方法：

应核查是否不存在多余或过期账户，如查看games、news、ftp、1p等系统默认账户是否被禁用，特权账号halt、shutdown是否被删除
应访谈网络管理员、安全管理员、系统管理员不同用户是否采用不同账户登录系统。

测评项：
d）应授予管理用户所需的最小权限，实现管理用户的权限分离。
测评方法：

以有相应权限的身份登录进入Linux，使用more 查看/etc/passwd文件中的非默认用户，询问各账户的权限，是否实现管理用户的权限分离2）以有相应权限的身份登录进入Linux，使用more查看/etc/sudo.conf文件，核查root级用户的权限都授予哪些账户。

测评项：
e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
测评方法：

访谈系统管理员，是否指定授权人对操作系统访问控制权限进行配置。
核查账户权限配置，是否依据安全策略配置各账户的访问规则。

测评项：
f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。
测评方法：

使用“1s-1文件名”命令，查看重要文件和目录权限设置是否合理，如：#1s-1/etc/passwd#744，应重点查看以下文件和目录权限是否被修改过。

测评项：
g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。
测评方法：

明确系统中是否有敏感信息。
在主体用户或进程划分级别并设置敏感标记，在客体文件设置敏感标记。
应测试是否依据主体、客体安全标记控制主体对客体访问的强制访问控制策略。
以有相应权限的身份登录进入Linux，使用more查看/etc/selinux/config文件中的SELINUX参数的设定。

1.1.3安全审计
测评项：
a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。
测评方法：

以root 身份登录进入Linux，查看服务进程。
若运行了安全审计服务，则查看安全审计的守护进程是否正常。
|#ps-eflgrep auditd
若未开启系统安全审计功能，则确认是否部署了第三方安全审计工具
以root身份登录进入Linux查看安全事件配置：#gerep“@priv-ops"/etc/audit/filter.conf more/etc/audit/audit.rules

测评项：
b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
测评方法：

以有相应权限的身份登录进入Linux，使用命令"ausearch-ts today”，其中，-ts指定时间后的1og，或命令"tail-20/var/log/audit/audit.1og“查看审计日志。

测评项：
c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
测评方法：

访谈审计记录的存储、备份和保护的措施，是否将操作系统日志定时发送到日志服务器上等，并使用sylog方式或smp方式将日志发送到日志服务器。
如果部署了日志服务器，登录日志服务器查看操作系统的日志是否在收集的范围内。

测评项：
d）应对审计进程进行保护，防止未经授权的中断。
测评方法：

访谈对审计进程监控和保护的措施。
测试使用非安全审计员中断审计进程，查看审计进程的访问权限是否设置合理。
查看是否有第三方系统对被测操作系统的审计进程进行监控和保护。

1.1.4入侵防范

测评项：
a）应遵循最小安装的原则，仅安装需要的组件和应用程序。
测评方法：

访谈安装系统时是否遵循最小化安装原则，查看安装操作手册。
使用命令“yum 1ist installed”查看操作系统中已安装的程序包，询问是否有目前不需要的组件和应用程序。

测评项：
b）应关闭不需要的系统服务、默认共享和高危端口。
测评方法：

以有相应权限的身份登录进入Linux，使用命令"service-status-al1l grep running"查看是否已经关闭危险的网络服务。
以有相应权限的身份登录进入Linux，使用命令"netstat-nt1p”查看并确认是否开放的端口都为业务需要端口，是否已经关闭非必需的端口，Linux不存在共享问题。

测评项：
c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。
测评方法：

查看在/etc/hosts.deny中是否有“ALL:ALL"，禁止所有的请求：在/etc/hosts.allow中，是否有如下配置（举例）：sshd：192.168.1.10/255.255.255.02）如果安装有主机防火墙则查看有无登录地址限制。

测评项：
d）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
不适用描述：
由应用系统对外提供输入接口，通过源代码设置或其他硬件措施实现数据有效性校验功能，故服务器不适用此测评项。

测评项：
e）应能发现可能存在的已知浦洞，并在经过充分测试评估后，及时修补漏洞。
测评方法：

访谈并查看入侵检测的措施，如经常通过如下命令查看入侵的重要线索（试图Telnet.FTP等），涉及命令“#more/var/log/securelgrep refused"。
查看是否启用了主机防火墙、TCPSYN保护机制等设置。
访谈系统管理员是否安装了主机入侵检测软件。查看已安装的主机入侵，检查系统的配置情况，是否具备报警功能。可执行命令：find/-namie <daemonname>-print 检查是否安装了主机入侵检测软件，如Dragon Squire by Enterasys Networks，ITA by Symantec.Hostsentry by Psionic Software.Logcheck by Psiomc Software.RealSecure-agent by ISS。
查看网络拓扑图，查看网络上是否部署了网络入侵检测系统，如IDS。

测评项：
f）应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
测评方法：

访谈系统管理员是否安装了主机入侵检测软件，查看已安装的主机入侵检查系统的配置情况，是否具备报警功能。
查看网络拓扑图，查看网络上是否部署了网络入侵检测系统，如IDS。

1.1.5恶意代码防范

测评项：
a）应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。
测评方法：

查看操作系统中安装的防病毒软件，查看病毒库的最新版本更新日期是否超过一个月。
询问系统管理员是否有统一的病毒更新策略和查杀策略
询问系统管理员网络防病毒软件和主机防病毒软件分别采用什么病毒库。
询问系统管理员当发现病毒入侵行为时，如何发现，如何有效阻断等，报警机制等。
查看系统中采取何种可信验证机制，访谈管理员实现原理等。

1.1.6可信验证

测评项：
a）可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
测评方法：

核查服务器的启动，是否实现可信验证的检测过程，查看对那些系统引导程序、系统程序或重要配置参数进行可信验证。
修改其中的重要系统程序之一和应用程序之一，核查是否能够检测到并进行报警。
是否将验证结果形成审计记录送至安全管理中心。

1.1.7数据完整性

测评项：
a）应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限千鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
不适用描述：
由应用系统、数据库系统等软件使用https、ssh等安全协议传输数据实现传输过程中的完整性，故服务器不适用此测评项。

测评项：
b）应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
不适用描述：
由应用系统、数据库系统等软件使用sha256等加密算法存储数据实现存储过程中的完整性，故服务器不适用此测评项。

1.1.8数据保密性

测评项：
a）应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
不适用描述：
由应用系统、数据库系统等软件使用https、ssh等安全协议传输数据实现传输过程中的保密性，故服务器不适用此测评项。

测评项：
b）应采用密码技术保证重要数据在存储过程中的保密性，包括但不限千鉴别数据、重要业务数据和重要个人信息等。
不适用描述：
由数据库系统等软件使用sha256等加密算法存储数据实现存储过程中的保密性，故服务器不适用此测评项。

1.1.9数据备份恢复

测评项：
a）应提供重要数据的本地数据备份与恢复功能；不适用描述：
|通过对应用系统和数据库进行备份和恢复测试来实现数据备份和恢复功能，故|
|服务器不适用此测评项。
测评项：
b）应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；不适用描述：
通过对应用系统和数据库进行备份和恢复测试来实现数据备份和恢复功能，故服务器不适用此测评项。

测评项：
c）应提供重要数据处理系统的热冗余，保证系统的高可用性。
测评方法：

查看网络拓扑结构图，访谈管理员并查看资产列表，了解网络线路上核心交换机、应用服务器、数据库服务器等重要节点是否采用热备、集群等高可用方式部署。
访谈管理员并查看资产列表，了解服务器等重要节点有无其他高可用方式。

1.1.10剩余信息保护

测评项：
a）应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。
测评方法：

询问系统管理员，系统是否采取措施保证对存储介质（如硬盘或内存）防止其他用户非授权获取该用户的鉴别信息。

测评项：
b）应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。
测评方法：

询问系统管理员，系统是否采取措施保证对存储介质（如硬盘或内存）中的敏感数据进行及时清除，防止其他用户非授权获取敏感数据。

1.1.11个人信息保护

测评项：
a）应仅采集和保存业务必需的用户个人信息。
不适用描述：
个人信息须通过应用系统或数据库采集和保存，服务器无法直接查看个人信息，故服务器不适用此测评项。

测评项：
b）应禁止未授权访问和非法使用用户个人信息。
不适用描述：
个人信息须通过应用系统或数据库采集和保存，服务器无法直接查看个人信息，故服务器不适用此测评项。

等级保护2.0