等級保護2.0 三級-Linux 測評指導書

1.1安全計算環境

1.1.1身份鑒別

測評項：
a應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求並定期更換。
測評方法：

使用root權限的賬戶登錄操作系統后，使用命令more 查看/etc/shadow文件，核查第二列是否為空，為空即存在空口令賬戶。
使用命令more查看/etc/login.defs文件，查看是否設置密碼長度和定期更換要求，使用命令more查看/etc/pam.d/system-auth文件。查看密碼長度和復雜度要求，記錄PASS MAX_DAYS、PASS MIN_DAYS、PASS MIN_LEN、PASS WARN_AGE。

測評項：
b）應具有登錄失敗處理功能，應配置並啟用結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施。
測評方法：

查看登錄失敗處理功能相關參數，/etc/pam.d/system-auth 文件中存在"account required/1ib/security/pam tally.so deny=3 no_magic root reset"。
記錄在文件/etc/profile中設置了超時鎖定參數，在profile 下設置TMOUT=300s。

測評項：
c）當進行遠程管理時，應采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽。
測評方法：

如果是本地管理或KVM等硬件管理方式，此要求默認滿足；
以root 身份登錄進入Linux查看是否運行了sshd服務，service-status-a11 Igrep sshd 查看相關的端口是否打開，netstat-anlgrep22若未使用SSH方式進行遠程管理，則查看是否使用了Telnet方式進行遠程管理service--status-al1lgrep running，查看是否存在Telnet服務。

測評項：
d）應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。
測評方法：

查看和詢問系統管理員在登錄操作系統的過程中使用了哪些身份鑒別方法，是否采用了兩種或兩種以上組合的鑒別技術，如口令、教字證書Ukey、令牌、指紋等，是否有一種鑒別方法在鑒別過程中使用了密碼技術
記錄系統管理員在登錄操作系統使用的身份鑒別方法，同時記錄使用密碼的鑒別方法。

1.1.2訪問控制

測評項：
a）應對登錄的用戶分配賬戶和權限。
測評方法：

以有相應權限的身份登錄進入Linux，使用“1s-1文件名”命令，查看重要文件和目錄權限設置是否合理，如：#1s-1/etc/passwd#744。

測評項：
b）應重命名或刪除默認賬戶，修改默認賬戶的默認口令。
測評方法：

以有相應權限的身份登錄進入Linux，使用more 查看/etc/shadow文件，查看文件中的用戶，是否存在adm、1p.sync、shutdown、halt.、mail、uucp、operator，、games.、gopher ftp等默認的、無用的用戶。
查看root賬戶是否能夠進行遠程登錄。

測評項：
c）應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。
測評方法：

應核查是否不存在多余或過期賬戶，如查看games、news、ftp、1p等系統默認賬戶是否被禁用，特權賬號halt、shutdown是否被刪除
應訪談網絡管理員、安全管理員、系統管理員不同用戶是否采用不同賬戶登錄系統。

測評項：
d）應授予管理用戶所需的最小權限，實現管理用戶的權限分離。
測評方法：

以有相應權限的身份登錄進入Linux，使用more 查看/etc/passwd文件中的非默認用戶，詢問各賬戶的權限，是否實現管理用戶的權限分離2）以有相應權限的身份登錄進入Linux，使用more查看/etc/sudo.conf文件，核查root級用戶的權限都授予哪些賬戶。

測評項：
e）應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則。
測評方法：

訪談系統管理員，是否指定授權人對操作系統訪問控制權限進行配置。
核查賬戶權限配置，是否依據安全策略配置各賬戶的訪問規則。

測評項：
f）訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數據庫表級。
測評方法：

使用“1s-1文件名”命令，查看重要文件和目錄權限設置是否合理，如：#1s-1/etc/passwd#744，應重點查看以下文件和目錄權限是否被修改過。

測評項：
g）應對重要主體和客體設置安全標記，並控制主體對有安全標記信息資源的訪問。
測評方法：

明確系統中是否有敏感信息。
在主體用戶或進程划分級別並設置敏感標記，在客體文件設置敏感標記。
應測試是否依據主體、客體安全標記控制主體對客體訪問的強制訪問控制策略。
以有相應權限的身份登錄進入Linux，使用more查看/etc/selinux/config文件中的SELINUX參數的設定。

1.1.3安全審計
測評項：
a）應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計。
測評方法：

以root 身份登錄進入Linux，查看服務進程。
若運行了安全審計服務，則查看安全審計的守護進程是否正常。
|#ps-eflgrep auditd
若未開啟系統安全審計功能，則確認是否部署了第三方安全審計工具
以root身份登錄進入Linux查看安全事件配置：#gerep“@priv-ops"/etc/audit/filter.conf more/etc/audit/audit.rules

測評項：
b）審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息。
測評方法：

以有相應權限的身份登錄進入Linux，使用命令"ausearch-ts today”，其中，-ts指定時間后的1og，或命令"tail-20/var/log/audit/audit.1og“查看審計日志。

測評項：
c）應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。
測評方法：

訪談審計記錄的存儲、備份和保護的措施，是否將操作系統日志定時發送到日志服務器上等，並使用sylog方式或smp方式將日志發送到日志服務器。
如果部署了日志服務器，登錄日志服務器查看操作系統的日志是否在收集的范圍內。

測評項：
d）應對審計進程進行保護，防止未經授權的中斷。
測評方法：

訪談對審計進程監控和保護的措施。
測試使用非安全審計員中斷審計進程，查看審計進程的訪問權限是否設置合理。
查看是否有第三方系統對被測操作系統的審計進程進行監控和保護。

1.1.4入侵防范

測評項：
a）應遵循最小安裝的原則，僅安裝需要的組件和應用程序。
測評方法：

訪談安裝系統時是否遵循最小化安裝原則，查看安裝操作手冊。
使用命令“yum 1ist installed”查看操作系統中已安裝的程序包，詢問是否有目前不需要的組件和應用程序。

測評項：
b）應關閉不需要的系統服務、默認共享和高危端口。
測評方法：

以有相應權限的身份登錄進入Linux，使用命令"service-status-al1l grep running"查看是否已經關閉危險的網絡服務。
以有相應權限的身份登錄進入Linux，使用命令"netstat-nt1p”查看並確認是否開放的端口都為業務需要端口，是否已經關閉非必需的端口，Linux不存在共享問題。

測評項：
c）應通過設定終端接入方式或網絡地址范圍對通過網絡進行管理的管理終端進行限制。
測評方法：

查看在/etc/hosts.deny中是否有“ALL:ALL"，禁止所有的請求：在/etc/hosts.allow中，是否有如下配置（舉例）：sshd：192.168.1.10/255.255.255.02）如果安裝有主機防火牆則查看有無登錄地址限制。

測評項：
d）應提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內容符合系統設定要求。
不適用描述：
由應用系統對外提供輸入接口，通過源代碼設置或其他硬件措施實現數據有效性校驗功能，故服務器不適用此測評項。

測評項：
e）應能發現可能存在的已知浦洞，並在經過充分測試評估后，及時修補漏洞。
測評方法：

訪談並查看入侵檢測的措施，如經常通過如下命令查看入侵的重要線索（試圖Telnet.FTP等），涉及命令“#more/var/log/securelgrep refused"。
查看是否啟用了主機防火牆、TCPSYN保護機制等設置。
訪談系統管理員是否安裝了主機入侵檢測軟件。查看已安裝的主機入侵，檢查系統的配置情況，是否具備報警功能。可執行命令：find/-namie <daemonname>-print 檢查是否安裝了主機入侵檢測軟件，如Dragon Squire by Enterasys Networks，ITA by Symantec.Hostsentry by Psionic Software.Logcheck by Psiomc Software.RealSecure-agent by ISS。
查看網絡拓撲圖，查看網絡上是否部署了網絡入侵檢測系統，如IDS。

測評項：
f）應能夠檢測到對重要節點進行入侵的行為，並在發生嚴重入侵事件時提供報警。
測評方法：

訪談系統管理員是否安裝了主機入侵檢測軟件，查看已安裝的主機入侵檢查系統的配置情況，是否具備報警功能。
查看網絡拓撲圖，查看網絡上是否部署了網絡入侵檢測系統，如IDS。

1.1.5惡意代碼防范

測評項：
a）應采用免受惡意代碼攻擊的技術措施或主動免疫可信驗證機制及時識別入侵和病毒行為，並將其有效阻斷。
測評方法：

查看操作系統中安裝的防病毒軟件，查看病毒庫的最新版本更新日期是否超過一個月。
詢問系統管理員是否有統一的病毒更新策略和查殺策略
詢問系統管理員網絡防病毒軟件和主機防病毒軟件分別采用什么病毒庫。
詢問系統管理員當發現病毒入侵行為時，如何發現，如何有效阻斷等，報警機制等。
查看系統中采取何種可信驗證機制，訪談管理員實現原理等。

1.1.6可信驗證

測評項：
a）可基於可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進行可信驗證，並在應用程序的關鍵執行環節進行動態可信驗證，在檢測到其可信性受到破壞后進行報警，並將驗證結果形成審計記錄送至安全管理中心。
測評方法：

核查服務器的啟動，是否實現可信驗證的檢測過程，查看對那些系統引導程序、系統程序或重要配置參數進行可信驗證。
修改其中的重要系統程序之一和應用程序之一，核查是否能夠檢測到並進行報警。
是否將驗證結果形成審計記錄送至安全管理中心。

1.1.7數據完整性

測評項：
a）應采用校驗技術或密碼技術保證重要數據在傳輸過程中的完整性，包括但不限千鑒別數據、重要業務數據、重要審計數據、重要配置數據、重要視頻數據和重要個人信息等。
不適用描述：
由應用系統、數據庫系統等軟件使用https、ssh等安全協議傳輸數據實現傳輸過程中的完整性，故服務器不適用此測評項。

測評項：
b）應采用校驗技術或密碼技術保證重要數據在存儲過程中的完整性，包括但不限於鑒別數據、重要業務數據、重要審計數據、重要配置數據、重要視頻數據和重要個人信息等。
不適用描述：
由應用系統、數據庫系統等軟件使用sha256等加密算法存儲數據實現存儲過程中的完整性，故服務器不適用此測評項。

1.1.8數據保密性

測評項：
a）應采用密碼技術保證重要數據在傳輸過程中的保密性，包括但不限於鑒別數據、重要業務數據和重要個人信息等。
不適用描述：
由應用系統、數據庫系統等軟件使用https、ssh等安全協議傳輸數據實現傳輸過程中的保密性，故服務器不適用此測評項。

測評項：
b）應采用密碼技術保證重要數據在存儲過程中的保密性，包括但不限千鑒別數據、重要業務數據和重要個人信息等。
不適用描述：
由數據庫系統等軟件使用sha256等加密算法存儲數據實現存儲過程中的保密性，故服務器不適用此測評項。

1.1.9數據備份恢復

測評項：
a）應提供重要數據的本地數據備份與恢復功能；不適用描述：
|通過對應用系統和數據庫進行備份和恢復測試來實現數據備份和恢復功能，故|
|服務器不適用此測評項。
測評項：
b）應提供異地實時備份功能，利用通信網絡將重要數據實時備份至備份場地；不適用描述：
通過對應用系統和數據庫進行備份和恢復測試來實現數據備份和恢復功能，故服務器不適用此測評項。

測評項：
c）應提供重要數據處理系統的熱冗余，保證系統的高可用性。
測評方法：

查看網絡拓撲結構圖，訪談管理員並查看資產列表，了解網絡線路上核心交換機、應用服務器、數據庫服務器等重要節點是否采用熱備、集群等高可用方式部署。
訪談管理員並查看資產列表，了解服務器等重要節點有無其他高可用方式。

1.1.10剩余信息保護

測評項：
a）應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除。
測評方法：

詢問系統管理員，系統是否采取措施保證對存儲介質（如硬盤或內存）防止其他用戶非授權獲取該用戶的鑒別信息。

測評項：
b）應保證存有敏感數據的存儲空間被釋放或重新分配前得到完全清除。
測評方法：

詢問系統管理員，系統是否采取措施保證對存儲介質（如硬盤或內存）中的敏感數據進行及時清除，防止其他用戶非授權獲取敏感數據。

1.1.11個人信息保護

測評項：
a）應僅采集和保存業務必需的用戶個人信息。
不適用描述：
個人信息須通過應用系統或數據庫采集和保存，服務器無法直接查看個人信息，故服務器不適用此測評項。

測評項：
b）應禁止未授權訪問和非法使用用戶個人信息。
不適用描述：
個人信息須通過應用系統或數據庫采集和保存，服務器無法直接查看個人信息，故服務器不適用此測評項。