系統(tǒng)安全管理制度
總則
本策略適用于系統(tǒng)管理員等使用。
本策略建立了系統(tǒng)層的規(guī)劃、建設(shè)、運行、變更、廢棄等各階段的安全保障要求。
安全要求
2.1 系統(tǒng)安全規(guī)劃策略
信息系統(tǒng)主機設(shè)備、網(wǎng)絡設(shè)備、通訊線路及網(wǎng)控中心等的運行、維護經(jīng)費從相關(guān)經(jīng)費中支出，其他設(shè)備的維護經(jīng)費由各單位從相關(guān)經(jīng)費中支出。
系統(tǒng)硬件采購須符合杭州市長征中學的信息安全策略或其他策略，并符合長期需求。
系統(tǒng)硬件采購須考慮：新設(shè)備在滿足功能需要的同時，應有優(yōu)秀的能和足夠的容量，以避免影響數(shù)據(jù)處理；數(shù)據(jù)須有適當?shù)谋Ｗo策略，以避免丟失或意外/不可預測的破壞；系統(tǒng)須有較大的冗余（電源、CPU以及其他組件）來避免出現(xiàn)突然的意外事件。
系統(tǒng)硬件采購時，須通過結(jié)構(gòu)評估，應盡量獲得好的價格，能，可靠，容錯和售后技術(shù)支持，包括相應的技術(shù)文檔或IT使用文檔，以降低購買硬件設(shè)備的風險。
系統(tǒng)服務器操作系統(tǒng)應選用正版軟件并且遵守軟件規(guī)定的終用戶使用協(xié)議，禁止使用盜版軟件。
關(guān)鍵業(yè)務系統(tǒng)服務器的操作系統(tǒng)選型須符合國際B1（如UNIX）以上標準，客戶端操作系統(tǒng)須符合國際C2（如Windows）以上標準。
系統(tǒng)服務器操作系統(tǒng)應該避免選用新開發(fā)的、尚未成熟穩(wěn)定的系統(tǒng)軟件。
應充分考慮所選主機硬件、操作系統(tǒng)和業(yè)務軟件的兼容 。
在新系統(tǒng)安裝之前應有詳細的實施計劃，包括：時間進度計劃，人力資源分配計劃，應急響應計劃；應充分考慮新系統(tǒng)接入網(wǎng)絡時對原網(wǎng)絡中系統(tǒng)的影響，并制定詳細的應急計劃，避免因新系統(tǒng)的接入出現(xiàn)意外情況造成原網(wǎng)絡中系統(tǒng)的損失。
在新系統(tǒng)的安裝過程中，應嚴格按照實施計劃進行，并對每一步實施，都進行詳細記錄，終形成實施報告。
在新系統(tǒng)安裝完成，投入使用前，應對所有組件包括設(shè)備、服務或應用進行連通測試、能測試、安全測試，并做詳細記錄，終形成測試報告。測試機構(gòu)應由業(yè)的信息安全測試機構(gòu)或三方安全咨詢機構(gòu)進行。
在新系統(tǒng)安裝完成，測試通過，投入使用前，應刪除測試用戶和口令，小化合法用戶的權(quán)限，優(yōu)化配置。
新系統(tǒng)安裝后，應及時對系統(tǒng)軟件、文件和重要數(shù)據(jù)進行備份。
新系統(tǒng)安裝后，應立即更改操作系統(tǒng)以及應用服務默認的配置和策略，并進行備份。
2.2 系統(tǒng)運行與維護安全策略
應對日常運維，監(jiān)控、配置管理和變更管理在職責上進行分離，由不同的人員負責；應對各個主機設(shè)備上擁有用戶賬號的人員、權(quán)限以及賬號的認證和管理方式做出明確規(guī)定；對于重要主機設(shè)備應使用RADIUS或者TACACS+的方式實現(xiàn)對用戶的集中管理；應對服務器上的用戶賬號，RADIUS或者TACACS+服務器上的用戶賬號進行審查，在發(fā)現(xiàn)有可疑的用戶賬號時向系統(tǒng)管理員進行核實并采取相應的措施；在用戶權(quán)限的設(shè)置時應遵循小授權(quán)和權(quán)限分割的原則，只給系統(tǒng)用戶、數(shù)據(jù)庫系統(tǒng)用戶或其它應用系統(tǒng)用戶授予業(yè)務所需的小權(quán)限，應禁止為所管理主機系統(tǒng)無關(guān)的人員提供主機系統(tǒng)用戶賬號，并且關(guān)閉一切不需要的系統(tǒng)賬號；對兩個月以上不使用的用戶賬號進行鎖定；應對主機設(shè)備中所有用戶賬號進行登記備案。
應對口令的選取、組成、長度、保存、修改周期做出明確規(guī)定；禁止使用名字、姓氏、電話號碼、生日等容易猜測的字符作為口令，也不要使用單個單詞或命令作為口令，組成口令的字符應包含大小寫英文字母、數(shù)字、標點、控制字符等，口令長度要求在8位以上；嚴禁將口令存放在個人計算機文件中，或?qū)懙饺菀妆黄渌双@取的地方；如果存儲，也應將用戶賬號口令以加密方式存儲，如MD5方式；口令文件（如：系統(tǒng)中的/etc/shadow）及其所有拷貝的訪問權(quán)限應該嚴格限制為用戶可讀，并且定期檢查；對于重要的主機系統(tǒng)，要求至少每個月修改一次口令，或者使用一次口令設(shè)備；對于管理用的工作站和個人計算機，要求至少每兩個月修改一次口令；若掌握口令的管理人員調(diào)離本職工作時，須立即更改所有相關(guān)口令；應定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱口令后及時采取強制的補救修改措施。
嚴格禁止非本系統(tǒng)管理人員直接進入主機設(shè)備進行操作，若在特殊情況下（如系統(tǒng)維修、升等）需要外部人員（主要是指廠技術(shù)工程師、非本系統(tǒng)技術(shù)工程師、安全管理員等）進入主機設(shè)備進行操作時，須由本系統(tǒng)管理員登錄，并對操作全過程進行記錄備案；禁止將系統(tǒng)用戶賬號及口令直接交給外部人員，在緊急情況下需要為外部人員開放臨時賬號時，須向安全管理機構(gòu)和相關(guān)領(lǐng)申請，在申請中寫明開放臨時賬號的原因、時間、期限、對外部人員操作的監(jiān)控方法、負責開放和注銷臨時賬號的人員等內(nèi)容，并嚴格根據(jù)安全管理機構(gòu)的批復進行臨時賬號的開放、注銷、監(jiān)控，并記錄備案。
應盡可能減少主機設(shè)備的遠程管理方式，例如Telnet等，如果的確需要進行遠程管理，應使用SSH代替Telnet，并且限定遠程登錄的時時間，遠程管理的用戶數(shù)量，遠程管理的終端IP地址，同時按照“系統(tǒng)安全配置管理策略”中的規(guī)定進行嚴格的身份認證和訪問權(quán)限的授予，并在配置完后，立刻關(guān)閉此類遠程管理功能；應盡可能避免使用SNMP協(xié)議進行管理，如果的確需要，應使用V3版本替代V1、V2版本，并啟用MD5等校驗功能；進行遠程管理時，應設(shè)置控制口和遠程登錄口的idle timeout時間，讓控制口和遠程登錄口在空閑一定時間后自動斷開；對于訪問服務器的桌面機，為了保護獲得訪問的信息，應采取和服務器相同的保護能力，防止獲得的信息被其他桌面機竊取。
嚴禁隨意安裝、卸載系統(tǒng)組件和驅(qū)動程序，如確實需要，應及時評測可能由此帶來的影響，在獲得信息安全工作組的批準下，對生產(chǎn)環(huán)境實施評測過的對策，并將整個過程記錄備案；禁止隨意下載、安裝和使用來歷不明，沒有版權(quán)的軟件，嚴禁安裝本地或網(wǎng)絡游戲以及即時通訊程序（ICQ，MSN，QQ等），在服務器系統(tǒng)上禁止安裝與該服務器所提供服務和應用無關(guān)的其它軟件；禁止在重要的主機系統(tǒng)上瀏覽外部網(wǎng)站網(wǎng)頁、接收電子郵件、編輯文檔以及進行與主機系統(tǒng)維護無關(guān)的其它操作。如果需要安裝補丁程序，補丁程序須通過日常維護管理用的工作站或PC機進行下載，然后再移到相應的主機系統(tǒng)安裝。
禁止主機系統(tǒng)上開放具有“寫”權(quán)限的共享目錄，如果確實要，可臨時開放，但要設(shè)置強共享口令，并在使用完之后立刻取消共享；應禁止不被系統(tǒng)明確使用的服務、協(xié)議和設(shè)備的特，避免使用不安全的服務，例如：SNMP、RPC、Telnet、Finger、Echo、Chargen、Remote Registry、Time、NIS、NFS、R系列服務等。
應嚴格并且合理的分配服務安裝分區(qū)或者目錄的權(quán)限，如果可能的話，給每項服務安裝在立分區(qū)；取消或者修改服務的banner信息；避免讓應用服務運行在root或者administrator權(quán)限下。
應嚴格控制重要文件的許可權(quán)和擁有權(quán)，重要的數(shù)據(jù)應當加密存放在主機上，取消匿名FTP訪問，并合理使用信任關(guān)系。
應對日志功能的啟用、日志記錄的內(nèi)容、日志的管理形式、日志的審查分析做出明確的規(guī)定；對于重要主機系統(tǒng)，應建立集中的日志管理服務器，實現(xiàn)對重要主機系統(tǒng)日志的統(tǒng)一管理，以利于對主機系統(tǒng)日志的審查分析；應保證各設(shè)備的系統(tǒng)日志處于運行狀態(tài)，并每兩周對日志做一次的分析，對登錄的用戶、登錄時間、所做的配置和操作做檢查，在發(fā)現(xiàn)有異常的現(xiàn)象時應及時向信息安全工作組報告。
應及時監(jiān)視、收集主機設(shè)備操作系統(tǒng)生產(chǎn)廠商公布的軟件以及補丁更新，要求下載補丁程序的站點須是相應的官方站點，并對更新軟件或補丁進行評測，在獲得信息安全工作組的批準下，對生產(chǎn)環(huán)境實施軟件更新或者補丁安裝；須訂閱CERT (計算機緊急響應小組)公告或其他業(yè)安全機構(gòu)提供的安全漏洞信息的相關(guān)資源，應立即提醒信息安全工作組任何可能影響網(wǎng)絡正常運行的漏洞；及時評測對漏洞采取的對策，在獲得信息安全工作組的批準下，對生產(chǎn)環(huán)境實施評測過的對策，并將整個過程記錄備案；軟件更新或者補丁安裝應盡量安排在非業(yè)務繁忙時段進行，操作須由兩人以上完成，由一人監(jiān)督，一人操作，并在升（或修補）前后做好數(shù)據(jù)和軟件的備份工作，同時將整個過程記錄備案；軟件更新或者補丁安裝后應重新對系統(tǒng)進行安全設(shè)置，并進行系統(tǒng)的安全檢查。
中新網(wǎng)7月26日電 綜合消息，國防部新聞發(fā)言人任國強今日在回應涉臺問題時表示，中方堅決反對任何國與臺灣開展任何形式的官方往來和軍事聯(lián)系，這一立場清晰明確。挾洋自重沒有出路，以臺制華注定徒勞。
國際在線報道（記者 喬全興）：12日，中國國際廣播電臺與中國航空集團有限公司在北京舉行了戰(zhàn)略合作協(xié)議簽署儀式。根據(jù)協(xié)議，雙方將發(fā)揮各自優(yōu)勢，在文化傳播、文化內(nèi)容制作、文化內(nèi)容平臺建設(shè)、文化海外傳播等多方面開展合作，共同開啟中國航空文化產(chǎn)業(yè)新局面。同時，隨著機上互聯(lián)網(wǎng)時代的來臨，中航集團將加快國航機上網(wǎng)絡平臺的建設(shè)，雙方在航空互聯(lián)網(wǎng)領(lǐng)域也將進行度合作。中航集團總經(jīng)理、國航股份總裁宋志勇，中國國際廣播電臺臺長王庚年等出席簽約儀式。
應定期進行安全漏洞掃描和病毒查殺工作，平均頻率應不低于每2周一次，重大安全漏洞發(fā)布后，應在3個工作日內(nèi)進行；為了防止網(wǎng)絡安全掃描以及病毒查殺對網(wǎng)絡能造成影響，應根據(jù)業(yè)務的實際情況對掃描時間做出規(guī)定，應一般安排在非業(yè)務繁忙時段；當發(fā)現(xiàn)主機設(shè)備上存在病毒、異常開放的服務或者開放的服務存在安全漏洞時應及時上報信息安全工作組，并采取相應措施。
應至少每天1次，對所有主機設(shè)備進行檢查，確保各設(shè)備都能正常工作；應通過各種手段監(jiān)控主機系統(tǒng)的CPU利用率、進程、內(nèi)存和啟動腳本等的使用狀況，在發(fā)現(xiàn)異常系統(tǒng)進程或者系統(tǒng)進程數(shù)量異常變化時，鋼絞線或者CPU利用率，內(nèi)存占用量等突然異常時，應立即上報信息安全工作組，并同時采取適當控制措施，并記錄備案。
當主機系統(tǒng)出現(xiàn)以下現(xiàn)象之一時，須進行安全問題的報告和診斷：
系統(tǒng)中出現(xiàn)異常系統(tǒng)進程或者系統(tǒng)進程數(shù)量有異常變化。
系統(tǒng)突然不明原因的能下降。
系統(tǒng)不明原因的重新啟動。
系統(tǒng)崩潰，不能正常啟動。
系統(tǒng)中出現(xiàn)異常的系統(tǒng)賬號
系統(tǒng)賬號口令突然失控。
系統(tǒng)賬號權(quán)限發(fā)生不明變化。
系統(tǒng)出現(xiàn)來源不明的文件。
系統(tǒng)中文件出現(xiàn)不明原因的改動。
系統(tǒng)時鐘出現(xiàn)不明原因的改變。
系統(tǒng)日志中出現(xiàn)非正常時間系統(tǒng)登錄，或有不明IP地址的系統(tǒng)登錄。
發(fā)現(xiàn)系統(tǒng)不明原因的在掃描網(wǎng)絡上其它主機。
系統(tǒng)能跟蹤各種非法請求并記錄某些文件的使用情況。根據(jù)系統(tǒng)的位置，若錯誤的口令被連續(xù)地使用若干次后，系統(tǒng)應采取相應措施，如封鎖那個終端，記錄所用終端及用戶名，并立即報警。
應及時報告任何已知的或可疑的信息安全問題、違規(guī)行為或緊急安全事件，并在采取適當措施的同時，應向信息安全工作組報告細節(jié)；并不得試圖干擾、防止、阻礙或勸阻其他員工報告此類事件；同時禁止以任何形式報復報告或調(diào)查此類事件的個人；應定期提交安全事件和相關(guān)問題的管理報告，以備管理層檢查。
設(shè)備發(fā)生故障時，操作人員應立即停止使用，詳細記錄故障發(fā)生時間、現(xiàn)象等情況，并及時通知本單位的信息員，由本單位信息員解決。本單位沒信息員的通知拱墅區(qū)智慧教育發(fā)展中心，維護人員須及時到現(xiàn)場排故，對能夠處理的，須立即進行處理；對無法處理的，通知設(shè)備維修商到現(xiàn)場處理。
應根據(jù)“須知道”原則嚴格限制泄漏安全違規(guī)行為、安全事件或安全漏洞。如果須向任何杭州市長征中學外部方（包括任何合法的機構(gòu)）泄漏這類受限信息，應先咨詢相關(guān)法律部門。
系統(tǒng)軟件安裝之后，應立即進行備份；在后續(xù)使用過程中，在系統(tǒng)軟件的變更以及配置的修改之前和之后，也應立即進行備份工作；應至少每年1次對重要的主機系統(tǒng)進行災難影響分析，并進行災難恢復演習。
應至少每年1次對整個網(wǎng)絡進行風險評估，每次風險評估時，手工檢查的比例應不低于10％，滲透測試的比例應不低于5％；風險評估后應在10個工作日內(nèi)完成對網(wǎng)絡的修補和加固，并進行二次評估。
手機號碼：133020711302.3 系統(tǒng)變更安全策略
系統(tǒng)維護人員應在主機設(shè)備接入、系統(tǒng)配置變更、廢棄等變更操作前進行數(shù)據(jù)備份，為一些關(guān)鍵的主機設(shè)備準備備件，保證一些常用主機設(shè)備的庫存，以便在不成功的情況下及時進行恢復。
新的主機設(shè)備的接入應先向相關(guān)部門提出申請，由該部門根據(jù)實際業(yè)務需要進行審核，確定佳接入方案，才可以進行實施，如果接入后對系統(tǒng)有影響，則由應急響應小組進行響應解決接入帶來的故障。禁止私自安裝或移動網(wǎng)絡設(shè)備；業(yè)務系統(tǒng)人員如果需要使用主機設(shè)備，要求主機系統(tǒng)配置變更，應先向系統(tǒng)維護人員提出申請，并由信息安全員進行安全確認簽字后由系統(tǒng)維護人員負責安排實施，禁止私自變更主機系統(tǒng)配置；主機系統(tǒng)的廢棄應先向相關(guān)部門提出申請，由該部門根據(jù)實際業(yè)務需要進行審核，確定佳廢棄方案，禁止私自廢棄或移動主機設(shè)備。
應對所有新接入的主機系統(tǒng)進行資產(chǎn)登記，登記記錄上應該標明硬件型號，廠，操作系統(tǒng)版本，已安裝的補丁程序號，安裝和升的時間等內(nèi)容。
任何新的主機系統(tǒng)的接入都應進行記錄備案，記錄內(nèi)容應包括：接入人，接入時間，接入原因等；任何主機系統(tǒng)的配置變更情況都應進行記錄，記錄內(nèi)容應包括：變更人，變更時間，變更原因，變更內(nèi)容等，以便后期問題的查詢分析；任何主機系統(tǒng)的廢棄都應進行記錄備案，記錄內(nèi)容應包括：廢棄人，廢棄時間，廢棄原因。
任何新的主機系統(tǒng)接入、配置變更、廢棄前，都應做好詳細的應急預案，以備緊急情況時的應用，這些重大變更須做到一人操作一人監(jiān)督的管理。
新的主機系統(tǒng)在正式上架運行前應由系統(tǒng)維護人員進行功能測試，由信息安全員進行安全測試并確認簽字后方能正式運行使用。嚴禁在不測試或測試不成功的情況下接入網(wǎng)絡。信息安全員需要測試的內(nèi)容如下：
查看硬件和軟件系統(tǒng)的運行情況是否正常、穩(wěn)定；
查看OS版本和補丁是否新；
OS是否存在已知的系統(tǒng)漏洞或者其他安全缺陷。
新的主機系統(tǒng)在正式上架運行前，應嚴格按照相關(guān)系統(tǒng)安全配置管理規(guī)定中的內(nèi)容進行配置，并記錄備案。
新的主機系統(tǒng)在正式上架運行后，應經(jīng)過一段時間的試運行，在試運行階段，應嚴密監(jiān)控其運行情況；當發(fā)現(xiàn)網(wǎng)絡運行不穩(wěn)定或者出現(xiàn)明顯可疑情況時，應立即啟動應急預案；試運行階段后，應按照相關(guān)日常運維管理規(guī)定進行管理。
任何主機系統(tǒng)的配置變更前，應嚴格按照相關(guān)系統(tǒng)安全管理規(guī)定中的內(nèi)容進行配置檢查，主機系統(tǒng)的軟件變更或配置變更后，應經(jīng)過一段時間的試運行，在試運行階段，同時還應嚴密監(jiān)控其運行情況；當發(fā)現(xiàn)網(wǎng)絡運行不穩(wěn)定或者出現(xiàn)明顯可疑情況時，應立即啟動應急預案；試運行階段后，應按照相關(guān)日常運維管理規(guī)定進行管理。
設(shè)備在修復過程中需要更換主要部件的，經(jīng)拱墅區(qū)智慧教育發(fā)展中心按規(guī)定報批同意后方可進行。當主機系統(tǒng)的硬件存在變更情況時，應遵循“先廢棄，再接入”的策略。
主機系統(tǒng)廢棄的安全考慮應有一套完整的流程，防止廢棄影響到其他系統(tǒng)。
任何主機系統(tǒng)廢棄后，應經(jīng)過一段時間的試運行，在試運行階段，應嚴密監(jiān)控網(wǎng)絡中其他系統(tǒng)的運行情況；當發(fā)現(xiàn)網(wǎng)絡運行不穩(wěn)定或者出現(xiàn)明顯可疑情況時，應立即啟動應急預案；試運行階段后，應對廢棄的主機系統(tǒng)進行妥善保管或者按照有關(guān)規(guī)定對系統(tǒng)內(nèi)的內(nèi)容進行銷毀。
2.4 操作系統(tǒng)安全配置策略
1．Windows系統(tǒng)安全配置管理策略
在應用以下安全策略之前應根據(jù)業(yè)務系統(tǒng)的實際情況進行操作，注意實施操作后對業(yè)務的風險。
物理安全策略
應設(shè)置 BIOS 口令以增加物理安全。
應禁止遠程用戶使用光驅(qū)和軟驅(qū)。
補丁管理策略
對于不能訪問 Internet 的 Windows 系統(tǒng)，應采用手工打補丁的方式。
帳戶與口令策略
所有帳戶均應設(shè)置口令。
應將系統(tǒng)管理員賬號 administrator 重命名。
應禁止 Guest 賬號。
應啟用“密碼須符合復雜要求”，設(shè)置“密碼長度小值”、“密碼長存留期”、“密碼短存留期”、“密碼強制歷史”，停用“為域中用戶使用可的加密來存儲”。
應設(shè)置“賬戶鎖定時間”，“賬戶鎖定閾值”，“復位賬戶鎖定計數(shù)器”來防止遠程密碼猜測攻擊。
在信息安全組批準下，應定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱口令后及時通告并采取強制的補救修改措施。
網(wǎng)絡服務策略
應盡可能減少網(wǎng)絡服務，關(guān)閉不要的服務。
應通過修改注冊表項，調(diào)整優(yōu)化 TCP/IP 參數(shù)，來提系統(tǒng)抵抗 DoS 攻擊的能力。
應限制使用 SNMP 服務。如果的確需要，應使用 V3 版本替代 V1、V2 版本，并啟用 MD5 校驗等功能。
文件系統(tǒng)策略
所有分區(qū)均應使用 NTFS。
盡量使用磁盤配額管理、文件加密（EFS）等功能。
應卸載 OS/2 和 POSIX 操作環(huán)境子系統(tǒng)。
應將所有常用的管理工具放在 %systemroot% 外的特殊目錄下，并對其進行嚴格的訪問控制，保證只有管理員才具有執(zhí)行這些工具的權(quán)限。
應關(guān)閉 NTFS 生成 8.3 文件名格式。
應設(shè)置訪問控制列表（ACL），對重要的目錄、文件進行訪問權(quán)限的限制。
日志策略
應啟用系統(tǒng)和文件審核功能，包括應用程序日志、安全日志、系統(tǒng)日志、以及各種服務的日志。
應更改日志存放的目錄，并及時監(jiān)控，特別是安全日志、系統(tǒng)日志。對于重要主機設(shè)備，應建立集中的日志管理服務器，實現(xiàn)對重要主機設(shè)備日志的統(tǒng)一管理，以利于對主機設(shè)備日志的審查分析。
安全增強策略
對于立服務器應直接檢查本地的策略和配置。對于屬于域的服務器，應檢查域控制器上對計算機的域管理策略。檢查內(nèi)容主要為用戶、用戶組及其權(quán)限管理策略。
應限制對注冊表的訪問，嚴禁對注冊表的匿名訪問，嚴禁遠程訪問注冊表，并對關(guān)鍵注冊表項進行訪問控制，以防止它們被攻擊者用于啟動特洛伊木馬等惡意程序。
應定期檢查注冊表啟動項目，避免系統(tǒng)被安裝非法的自啟動程序。
應隱含后登陸用戶名，避免攻擊者猜測系統(tǒng)內(nèi)的用戶信息。
在登錄系統(tǒng)時應顯示告警信息，防止用戶對遠程終端服務口令進行自動化的腳本猜測，并刪除關(guān)機按鈕。
應刪除 Windows 主機上所有默認的網(wǎng)絡共享。
應關(guān)閉對 Windows 主機的匿名連接。
對于不需要共享服務的主機，應關(guān)閉文件和打印機共享服務。
應限制 Pcanywhere 等遠程管理工具的使用，如確實需要，應使用新版本，完整安裝補丁程序并經(jīng)過評測，獲得信息安全工作組的許可；并使用 Pcanywhere 加密方式進行管理。
應安裝防病毒軟件，并及時更新軟件版本和病毒庫。
盡量安裝防火墻。
2．UNIX系統(tǒng)安全管理策略
補丁管理策略
應及時安裝系統(tǒng)新補丁。
應及時升服務至新版本。
帳戶與口令策略
所有帳戶均應設(shè)置口令。
去除不需要的帳戶、修改默認帳號的 shell 變量。
除 root 外，不應存在其他 uid=0 的帳戶。
應設(shè)置時自動注銷登陸，減少安全隱患。
應限制可以 su 為 root 的組。
應禁止 root 遠程登陸。
在信息安全組批準下，應定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱口令后及時通告并采取強制的補救修改措施。
網(wǎng)絡服務策略
應盡可能減少網(wǎng)絡服務，關(guān)閉不要的服務。
應啟用 inetd 進站連接日志記錄，增強審計功能。
應調(diào)整優(yōu)化 TCP/IP 參數(shù)，來提系統(tǒng)抵抗 DoS 攻擊的能力。
應調(diào)整TCP/IP 參數(shù)，禁止 IP 源路由。
應限制使用 SNMP 服務。如果的確需要，應使用 V3 版本替代 V1、V2 版本，并啟用 MD5 校驗等功能。
應調(diào)整內(nèi)核參數(shù)打開“TCP隨機序列號”功能。
文件系統(tǒng)策略
盡量使系統(tǒng) root 用戶初始創(chuàng)建權(quán)限(umask)為077。
盡量使用磁盤配額管理功能。
去除適當文件的 set-uid 和 set-gid 位。
應限制 /etc 目錄的可寫權(quán)限。
增強對關(guān)鍵文件的執(zhí)行權(quán)限控制。
為不同的掛載點指派不同的屬。
日志策略
應對 ssh、su 登陸日志進行記錄。
除日志服務器外，應禁止 syslogd 網(wǎng)絡監(jiān)聽514端口。
對于重要主機設(shè)備，應建立集中的日志管理服務器，實現(xiàn)對重要主機設(shè)備日志的統(tǒng)一管理，以利于對主機設(shè)備日志的審查分析。
安全增強策略
只允許 root 執(zhí)行 crontab 命令。
應保證 bash shell 保存少量的（或不保存）命令。
應禁止 GUI 登陸。
應隱藏系統(tǒng)提示信息。
盡量安裝三方安全增強軟件。
操作系統(tǒng)在作業(yè)正?；蚍钦＝Y(jié)束以后，能清除分配給該作業(yè)的全部臨時工作區(qū)域。
系統(tǒng)能像保護信息的原件一樣宜昌預應力鋼絞線價格，精確地保護信息的拷貝。
