## 目的
评估服务端软件的安全性
记录下各种应用的版本信息，方便后续维护
# 名称含义
【服务器】物理服务器/逻辑服务器（虚拟机等）
【核心代码】实际处理业务的程序代码
【核心代码相关第三方程序】如：apache/nginx/tomcat/Weblogic/MySQL/Oracle等
【核心代码无关第三方程序】如：远程管理(SSH)/文件共享等
# 评测项目说明
【核心代码】安装在【操作系统】中，
【操作系统】安装在【服务器】上，
【服务器】接入【网络】中
所以，除了【核心代码】的自身安全（网络安全部分，代码安全部分，数据安全部分）外还应考虑
【核心代码】所在平台系统的安全（服务器物理安全，操作系统安全）以及
同操作系统上其他软件对【核心代码】的安全影响。
【核心代码无关第三方程序】安全评测结果为的是突出【核心代码 无关程序】对【核心代码】安全的影响，
【核心代码无关第三方程序】评测结果0分，表示不对【核心代码】构成威胁。
【核心代码无关第三方程序】评测结果负分，表示对【核心代码】构成威胁（根据负分大小看出威胁大小）
【核心代码无关第三方程序】评测结果正分，表示对【核心代码】有保护作用（根据正分大小看出保护作用大小，指对特定应用进行保护的程序，对整个系统都进行保护的程序归到【系统安全】【安全防护软件】项）
## 评测套路
本标准以【服务器】为单位进行评测。
多个【服务器】需要对每个【服务器】进行评测。评测结果可以汇总，可以独立。
根据评测结果可选择生成安全指标(多个维度/五个维度/二个维度)进行对比。
# 多个维度
>服务器物理安全得分
>服务器系统安全得分
>核心代码1自身安全得分
>......
>核心代码n自身安全得分
>核心代码相关第三方程序1安全得分
>......
>核心代码相关第三方程序n安全得分
>核心代码无关第三方程序1安全得分
>......
>核心代码无关第三方程序n安全得分
# 五个维度：
1 服务器物理安全得分
2 服务器系统安全得分
3 核心代码自身安全得分（合并多个核心代码得分，取最低分）
4 核心代码相关第三方程序安全得分（合并多个相关第三方程序得分，取最低分）
5 核心代码无关第三方程序安全得分（合并多个无关第三方程序得分，取最低分）
# 二个维度
1 服务器安全得分（合并：服务器物理安全，服务器系统安全，核心代码无关第三方程序安全）
2 核心代码安全得分（合并：核心代码自身安全，核心代码相关第三方程序安全）
测评结果表（excel，内含很多批注，需要在excel软件里查看）嗯......怎么上传excel文件。。。
| 服务端软件安全测评及实施指南 | 评分标准 | 评测说明 | 评测得分 | 得分/满分 | |||||
| 服务器 （物理或逻辑上的独立服务器） | 系统平台 | 物理安全 | 物理位置 | 标准机房（有空调、UPS、监控、门禁等基础设施，只有授权人员可以接触服务器） | 1 | 安放在公司标准机房中 | 1 | 2/2 | |
| 公共场所（非授权人员也可以接触到服务器） | 0 | ||||||||
| 磁盘存储类型 | 普通硬盘 | 0 | 4快600G硬盘组RAID10 | 1 | |||||
| RAID | （多选一）RAID0 | 0 | |||||||
| （多选一）RAID1 | 1 | ||||||||
| （多选一）RAID5 | 1 | ||||||||
| （多选一）RAID10 | 1 | ||||||||
| 系统安全 | 本地登录口令 | 强（黑客密码字典无匹配） | 1 | 强密码 | 1 | 3/4 | |||
| 弱（黑客密码字典有匹配） | 0 | ||||||||
| 无（客户端系统当服务器用且不设置登录密码） | -1 | ||||||||
| 安全防护软件 | 有且开启（如 Linux：SELinux / Windows:360 等） | 1 | SELinux开启强制模式 | 1 | |||||
| 无或关闭（性能问题或已有其他安全防护措施的情况下可以关闭） | 0 | ||||||||
| 系统备份 | 无备份 | 0 | 系统无备份 | 0 | |||||
| 本地备份/异地备份 | 1 | ||||||||
| 本地 漏洞/病毒/木马 检查 | 已全部修补 | 1 | 系统更新至最新 | 1 | |||||
| 在当前环境下可被利用漏洞1 | 高危 | -2 | |||||||
| 中危 | -1 | ||||||||
| 低危 | 0 | ||||||||
| 在当前环境下可被利用漏洞2 | 高危 | -2 | |||||||
| 中危 | -1 | ||||||||
| 低危 | 0 | ||||||||
| 核心代码1 （根据实际情况 增减检测项目） | 网络安全部分 | 外部网络安全 （从外部到达网卡） | 防火墙 | 无相关规则 | 0 | 防火墙使用DNAT，只开放服务器8080端口到外网 防火墙策略限制，只允许中国地区IP访问服务器8080端口" 内网无限制 未使用VPN 无其他安全设备 | 1 | 2/3 | |
| 有相关规则 | 1 | ||||||||
| 路由器/交换机 | 无相关规则 | 0 | |||||||
| 有相关规则 | 1 | ||||||||
| VPN | 无 | 0 | |||||||
| 有 | 1 | ||||||||
| 其他安全设备 | 无相关规则 | 0 | |||||||
| 有相关规则 | 1 | ||||||||
| 系统网络安全 （从网卡进入系统） | 系统防火墙（允许/拒绝 进入系统） | 关闭 | 0 | 系统防火墙开启： 允许任意地址访问本机8080端口 | 1 | ||||
| 有规则限制 | 1 | ||||||||
| 系统路由（允许/拒绝 离开系统） | 默认路由 | 0 | |||||||
| 静态路由 | 1 | ||||||||
| 程序网络安全 （从系统转给程序） | 程序侦听（允许/拒绝 进入程序） | 127.0.0.1 | 1 | 使用0.0.0.0侦听全部网卡 程序内部无源地址限制 | 0 | ||||
| X.X.X.X | 0 | ||||||||
| 0.0.0.0 | 0 | ||||||||
| 程序内部过滤（允许/拒绝 接受请求） | 无限制 | 0 | |||||||
| 有限制 | 1 | ||||||||
| 程序安全部分 | 程序运行权限 | 普通用户 | 1 | 程序以普通用户XXX权限运行 | 1 | 4/5 | |||
| 特权用户 | 0 | ||||||||
| 程序功能授权 | 无验证 | 0 | 用户请求中必须含KEY才能使用服务 KEY复杂不易破解 | 1 | |||||
| 有验证 (密码/KEY/账号密码验证) | 强 | 1 | |||||||
| 弱 | 0 | ||||||||
| 错误尝试限制 | 无限制 | 0 | 无限制 | 0 | |||||
| 有限制 | 1 | ||||||||
| 代码安全测试 （代码审计/漏洞扫描） | 未发现可被利用的已知漏洞 | 1 | 用XXX工具未发现漏洞 | 1 | |||||
| 在当前环境下可被利用漏洞1 | 高危 | -2 | |||||||
| 中危 | -1 | ||||||||
| 低危 | 0 | ||||||||
| 在当前环境下可被利用漏洞2 | 高危 | -2 | |||||||
| 中危 | -1 | ||||||||
| 低危 | 0 | ||||||||
| 程序日志 | 记录异常请求 | 有记录 | 1 | 程序日志文件有记录 | 1 | ||||
| 无记录 | 0 | ||||||||
| 数据安全部分 | 数据在服务端 | 传输过程安全（防被盗和篡改) | 有加密 | 1 | 明文传输 | 0 | 0/3 | ||
| 无加密（普通数据） | 0 | ||||||||
| 无加密（重要数据） | -1 | ||||||||
| 本地存储安全（防被盗、篡改和丢失) | 有加密 | 1 | 数据以文本格式明文存放在本地，数据重要性不高 | 0 | |||||
| 无加密（普通数据） | 0 | ||||||||
| 无加密（重要数据） | -1 | ||||||||
| 加密备份 | 1 | 明文备份，数据重要性不高 | 0 | ||||||
| 明文备份（普通数据） | 0 | ||||||||
| 明文备份（重要数据） | -1 | ||||||||
| 无备份 | -1 | ||||||||
| 核心代码2 | 网络安全部分 | ||||||||
| 程序安全部分 | |||||||||
| 数据安全部分 | |||||||||
| 核心代码 相关第三方程序1 apache/nginx/tomcat/Weblogic/等 | 网络安全部分 | ||||||||
| 程序安全部分 | |||||||||
| 数据安全部分 | |||||||||
| 核心代码 相关第三方程序2 MySQL/Oracle/等 | 网络安全部分 | ||||||||
| 程序安全部分 | |||||||||
| 数据安全部分 | |||||||||
| 核心代码 无关程序第三方程序1 远程管理 | 网络安全部分 | ||||||||
| 程序安全部分 | |||||||||
| 数据安全部分 | |||||||||
| 核心代码 无关程序第三方程序2 共享文件 | 网络安全部分 | ||||||||
| 程序安全部分 | |||||||||
| 数据安全部分 | |||||||||
432
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
