文档介绍：操作系统安全基线技术要求AIX系统安全基线系统管理通过配置操作系统运维管理安全策略,提高系统运维管理安全性,详见表1。表1AIX系统管理基线技术要求序号基线技术要求基线标准点(参数)登录(可选)2使用动态口令令牌登录安装动态口令3配置本机访问控制列表(可选)配置/etc/,/etc/,提高对系统访问控制用户账号与口令通过配置操作系统用户账号与口令安全策略,提高系统账号与口令安全性,详见表2。表2AIX系统用户账户与口令基线技术要求序号基线技术要求基线标准点(参数)说明daemon(禁用)bin(禁用)sys(禁用)adm(禁用)4限制系统无用默认账号登录uucp(禁用)nuucp(禁用)lpd(禁用)guest(禁用)清理多余用户账号,限制系统默认账号登录,同时,针对需要使用的用户,制订用户列表,并妥善保存pconsole(禁用)esaadmin(禁用)sshd(禁用)5控制用户登录超时时间10分钟控制用户登录会话,设置超时时间6口令最小长度8位口令安全策略(口令为超级用户静态口令)7口令中最少非字母数字字符1个口令安全策略(口令为超级用户静态口令)8信息系统的口令的最大周期90天口令安全策略(口令为超级用户静态口令)9口令不重复的次数10次口令安全策略(口令为超级用户静态口令)日志与审计通过对操作系统的日志进行安全控制与管理,提高日志的安全性,详见表3。表3AIX系统日志与审计基线技术要求序号基线技术要求基线标准点(参数)说明10系统日志记录(可选)authlog、sulog、wtmp、failedlogin记录必需的日志信息,以便进行审计11系统日志存储(可选)对接到统一日志服务器使用日志服务器接收与存储主机日志,网管平台统一管理12日志保存要求(可选)6个月等保三级要求日志必须保存6个月13配置日志系统文件保护属性(可选)(可选)400修改日志文件authlog、wtmp、sulog、failedlogin的权限管理员账号只读服务优化通过优化操作系统资源,提高系统服务安全性,详见表4。表4AIX系统服务优化基线技术要求序号基线技术要求基线标准点(参数)说明网络测试服务,丢弃输入,为“拒15discard服务禁止绝服务”攻击提供机会,除非正在测试网络,否则禁用网络测试服务,显示时间,为“拒16daytime服务禁止绝服务”攻击提供机会,除非正在测试网络,否则禁用网络测试服务,回应随机字符串,17chargen服务禁止为“拒绝服务”攻击提供机会,除非正在测试网络,sat通知接收的电子邮件,sat服务禁止root用户身份运行,因此涉及安全性,除非需要接收邮件,否则禁用ntalk允许用户相互交谈,以root19ntalk服务禁止用户身份运行,除非绝对需要,否则禁用20talk服务禁止在网上两个用户间建立分区屏幕,不是必需服务,与talk命令一起使用,在端口517提供UDP服务21tftp服务禁止以root用户身份运行并且可能危及安全22ftp服务(可选)服务禁止远程访问服务24uucp服务禁止除非有使用UUCP的应用程序,否则禁用25dtspc服务(可选)禁止CDE子过程控制不用图形管理则禁用26klogin服务(可选)禁止Kerberos登录,如果站点使用Kerberos认证则启用27kshell服务(可选)禁止Kerberosshell,如果站点使用Kerberos认证则启用访问控制通过对操作系统安全权限参数进行调整,提高系统访问安全性,详见表5。表5AIX系统访问控制基线技术要求序号基线技术要求基线标准点(参数)说明28修改Umask权限022或027要求修改默认文件权限29passwd、group、security的所有者必须是root和security组成员设置/etc/passwd,/etc/group,/etc/security等关键文件和目录的权限30关键文件权限控制audit的所有者必须是root和audit组成员/etc/security/audit的所有者必须是root和audit组成员31/etc/passwdrw-r--r--/etc/passwd目录权限为644所有用户可读,root用户可写32/etc/grouprw-r--r--/etc/grouproot目录权限为644所有用户可读,root用户可写33统一时间接入统一NTP服务器保障生产环境所有系统时间统一Windows系统安全基线用户账号与口令通过配置操作系统用户账号与口令安全策略,提高系统账号与口令安全性,详见表6。表6Windows系统用户账号与口令基线技术要求序号基线技术要求基线标准点(参