哈尔滨等保测评知识分享（三）

41.主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计的内容是什么?

（1）巨型、大型、中型、小型、微型计算机及单片机。

（2）Windows, Linux,Sun Solaris,IBM AIX,HP-UX等等。

（3）结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护、恢复与备份。

（4）有以下四条：

a、应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志 记录。

b、审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及 其他与审计相关的信息。

c、应能够根据记录数据进行分析，并生成审计报表。

d、应对审计记录进行保护、避免受到未预期的删除、修改或覆盖等。

42.数据库常见威胁有哪些？数据库测评属于哪个安全层面的？数据库测评有哪些控制点？针对于工具测试需要注息哪些内容?

（1）非授权访问、特权提升、SQL注入、针对漏洞进行攻击、绕过访问控制进行非授权访问等。

（2）属于安全计算环境层面。

（3）身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据备份恢复、剩余信息保护、个人信息保护。

（4）工具测试接入测试设备之前，首先要有被测系统人员确定测试条件是否具备。测试条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时间段 等等。接入系统的设备、工具和 IP 地址等配置要经过被测系统相关人员确认。对于测试过 程可能造成的对目标系统的网络流量及主机性能等方面的影响，要事先告知被测系统相关人 员对于测试过程中的关键步骤、重要证据要及时利用抓图工具取证。对于测试过程中出现的 异常情况要及时记录，需要被测方人员确认被测系统状态正常并签字后离场。

43.请根据《基本要求》中对于主机的相关要求，按照你的理解，写出由问题可能导致的安全风险，并给出相应的解决方案或给出一张（主机测评）检查表，有8条不符合项目，请结合等级保护要求，及你的理解，描述存在的风险，并给出解决建议、解决方案及分析策略。

序号	安全问题
1	未采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别；（攻击人员可能通过伪造身份鉴别信息的方式对系统进行入侵或破坏。建议设备用户身份鉴别信息至少存在一种不可伪造的形式，如：指纹、人脸等。）
2	重要设备未实现硬件冗余。
3	主机系统和数据库系统未重命名系统默认账户。（可能导致外部能猜测系统用户名口令，造成信息泄露。建议重命名系统默认账户。）
4	主机系统未启动审计功能，或审计范围不足，不能记录用户对操作系统的操作和对文件访问情况。（操作系统无法对重要用户行为进行审计记录，不便于安全事件的追溯，不易发现系统安全隐患。建议开启操作系统安全审计策略，并对重要系统安全事件及用户操作行为进行日志审计。）
5	未采用最小安装原则，开启了多余服务如HP-UNIX系统的tftf、exec、ntalk等等，Windows系统的Remote Register、DHCP clinet 、DNS client 等等（多余组件或服务可能存在安全漏洞，或影响数据库性能，造成业务中断。建议加强操作系统的管理，卸载或禁用多余的组件或服务。）
6	Windows服务器均开启了系统默认共享如：C$ D$ 等等
7	Windows 服务器使用系统自带的远程终端管理软件进行远程管理，未采取必要措施
8	1、系统未指定口令过期时间和设置口令复杂度等；(口令可能被恶意用户猜测获得，合法用户身份被仿冒，导致系统被非授权访问。建议强化系统的密码策略，加强用户口令长度与复杂度要求，并定期更换，降低受到口令猜测、非授权访问的风险。)2、未设置登录超时或设置不合理；（存在非授权访问，造成系统信息泄露的的风险，配置账户锁定时间和账户锁定阈值。）3、未设置登录失败处理功能(恶意用户可进行口令暴力猜测，合法用户身份可能被仿冒，导致数据库被非授权访问。建议开启失败登录处理功能，如限制非法登录次数、自动退出功能、锁定时间等。)。

44.信息安全等级保护的五个标准步骤是什么？信息安全等级保护的定义是什么？信息安全等级保护五个等级是怎样定义的?

（1）信息系统定级、备案、安全建设整改、等级测评、监督检查。

（2）对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

（3）第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后， 会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造 成损害

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安 全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害

45.数据备份和恢复控制项

（1）数据备份恢复

·应提供重要数据的本地数据备份与恢复功能 ；

·应提供异地实时备份功能， 利用通信网络将重要数据 实时备份至备份场地；

·应提供重要数据处理系统的热冗余，保证系统的高可用性。

46.三级系统安全审计

（1）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。

（2）审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

（3）应能够根据记录数据进行分析，并生成审计报表。

（4）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

（5）应定义审计跟踪极限的阈值，当存储空间接近极限时，能采取必要的措施，当存储空间被耗尽时，终止可审计事件的发生。

（6）应根据信息系统的统一安全策略，实现集中审计，时钟保持与时钟服务器同步。

47.应急预案

应急预案是指针对等级保护对象可能遭受的突发事件，为保障网络安全、数据安全、系统安全而制定的一项应急响应计划。应急预案的目的是在发生突发事件时，能够迅速、有效地采取应急措施，最大程度地减少损失，保障关键业务和数据的正常运行。应急预案应包括以下内容：

（1）应急组织机构：明确应急响应的组织结构、职责、流程和联系方式等。

（2）应急响应流程：明确应急响应的流程，包括发现安全事件、报告、评估、采取措施、恢复等环节。

（3）应急预案技术：明确应急响应所需的技术手段，如备份恢复机制、容灾备份、网络安全监测等。

（4）应急预案培训：为相关人员提供应急预案培训，提高其应急响应能力和技能。

（5）应急预案演练：定期进行应急演练，检验应急预案的有效性和可行性。

（6）应急预案文档管理：记录应急响应过程中的各种文档，包括事件报告、评估记录、措施记录等，以便事后分析和总结经验教训。

48.网络设备的安全审计中三级比二级多哪些？

应对审计进程进行保护，防止未经授权的中断。

49.请简述在三级系统中对网络设备的测评内容。

身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据备份恢复、剩余信息保护、个人信息保护。

50.给你第一个场景，提出安全加固的建议。

（1）完善安全管理制度：建立完善的安全管理制度，包括安全责任制度、安全审查制度、安全培训制度等，确保各项安全措施得到有效执行。

（2）强化身份认证和访问控制：采用强化的身份认证和访问控制措施，如使用数字证书、动态口令等，限制用户的访问权限，防止未经授权的访问和操作。

（3）配置安全设备：配置合适的安全设备，如防火墙、入侵检测和防御系统、安全审计系统等，以保护网络和系统的安全。

（4）漏洞扫描和修复：定期进行漏洞扫描和风险评估，发现潜在的安全隐患，及时修复漏洞和防范措施，减少安全风险。

（5）数据备份和恢复：建立完善的数据备份和恢复机制，确保数据的安全性和可靠性，防止数据丢失和损坏。

（6）加强安全教育和培训：加强安全教育和培训，提高用户的安全意识和技能水平，增强安全意识和防范能力。

（7）实时监测和应急响应：建立实时监测和应急响应机制，及时发现和处理安全事件，确保系统的稳定性和可靠性。