广义的安全基线
专注于为中小企业提供成都做网站、成都网站制作服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业梨树免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了上千企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。
安全基线，是借用“基线”的概念。字典上对“基线”的解释是：一种在测量、计算或定位中的基本参照。如海岸基线，是水位到达的水位线。类比于“木桶理论”，可以认为安全基线是安全木桶的最短板，或者说，是最低的安全要求。
计算机中的安全基线
安全基线是微软安全体系中，windows server 2003和ISA server
2004对如何配置和管理计算机的详细描述。安全基线在一台计算机上实现了受信计算机组件。同时，它还描述了实现安全运行的所有相关配置设置。
安全基线的元素包括：
服务和应用程序设置。例如：只有指定用户才有权启动服务或运行应用程序。
操作系统组件的配置。例如：Internet信息服务（IIS）自带的所有样本文件必须从计算机上删除。
权限和权利分配。例如：只有管理员才有权更改操作系统文件。
管理规则。例如：计算机上的administrator密码每30天换一次。
H3C交换机安全配置基线H3C交换机安全配置基线（Version 1.0）2012年12月1 引言 (1)2 适用范围 (1)3 缩略语 (1)4 安全基线要求项命名规则 (2)5 文档使用说明 (2)6 注意事项 (3)7 安全配置要求 (3)7.1 账号管理 (3)7.1.1 运维账号共享管理 (3)7.1.2 删除与工作无关账号 (3)7.2 口令管理 (4)7.2.1 静态口令加密 (4)7.2.2 静态口令运维管理 (4)7.3 认证管理 (5)7.3.1 RADIUS认证（可选） (5)7.4 日志审计 (6)7.4.1 RADIUS记账（可选） (6)7.4.2 启用信息中心 (6)7.4.3 远程日志功能 (7)7.4.4 日志记录时间准确性 (7)7.5 协议安全 (7)7.5.1 BPDU防护 (8)7.5.2 根防护 (8)7.5.3 VRRP认证 (8)7.6 网络管理 (9)7.6.1 SNMP协议版本 (9)7.6.2 修改SNMP默认密码 (9)7.6.3 SNMP通信安全（可选） (10)7.7 设备管理 (10)7.7.1 交换机带内管理方式 (10)7.7.2 交换机带内管理通信 (11)7.7.3 交换机带内管理超时 (11)7.7.4 交换机带内管理验证 (12)7.7.5 交换机带内管理用户级别 (12)7.7.6 交换机带外管理超时 (13)7.7.7 交换机带外管理验证 (13)7.8 端口安全 (13)7.8.1 使能端口安全 (13)7.8.2 端口MAC地址数 (14)7.8.3 交换机VLAN划分 (14)7.9 其它 (15)7.9.1 交换机登录BANNER管理 (15)7.9.2 交换机空闲端口管理 (15)7.9.3 禁用版权信息显示 (16)附录A 安全基线配置项应用统计表 (17)附录B 安全基线配置项应用问题记录表 (19)
附录C 中国石油NTP服务器列表 (20)1 引言本文档规定了中国石油使用的H3C系列交换机应当遵循的交换机安全性设置标准，是中国石油安全基线文档之一。本文档旨在对信息系统的安全配置审计、加固操作起到指导性作用。本文档主要起草人：靖小伟、杨志贤、张志伟、滕征岑、裴志宏、刘磊、叶铭、王勇、吴强。2 适用范围本文档适用于中国石油使用的H3C系列交换机，明确了H3C系列交换机在安全配置方面的基本要求，可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。3 缩略语TCP Transmission Control Protocol 传输控制协议UDP User Datagram Protocol 用户数据报协议SNMP Simple Network Management Protocol 简单网络管理协议ARP Address Resolution Protocol 地址解析协议VLAN Virtual LAN 虚拟局域网STP Spanning Tree Protocol 生成树协议RSTP Rapid Spanning Tree Protocol 快速生成树协议MSTP Multiple Spanning Tree Protocol 多生成树协议BPDU Bridge Protocol Data Unit 桥接协议数据单元VRRP Virtual Router Redundancy Protocol 虚拟路由器冗余协议NTP Network Time Protocol 网络时间协议AAA Authentication，Authorization，Accounting 认证，授权，记账GCC General Computer Controls 信息系统总体控制SBL Security Base Line 安全基线4 安全基线要求项命名规则安全基线要求项是安全基线的最小单位，每一个安全基线要求项对应一个基本的可执行
的安全规范明细，安全基线要求项命名规则为“安全基线–一级分类–二级分类–类型编号–明细编号”，如SBL-Switch-H3C-01-01，代表“安全基线–交换机– H3C –账号类–运维账号共享管理“。5 文档使用说明1 随着信息技术发展，路由器与交换机在功能上逐渐融合，具有共同点，部分路由器上配有交换板卡，可以实现服务器与终端计算机接入；部分交换机配有路由引擎，可以实现路由功能。虽然两者具有一定共同点，但从路由器与交换机在生产环境中的应用定位出发，本系列文档分为路由器安全基线（侧重于路由协议等）和交换机安全基线（侧重于局域网交换与端口安全等）。2 H3C交换机可以通过命令行、Web、NMS等多种方式管理，本文档中涉及的操作，均在命令行下完成。3 命令行中需要用户定义的名称与数值，文档中均以标出，用户根据需要自行定义。例如local-user ，表示创建账号名称为name1的本地用户，password cipher password1，表示本地用户name1的密码为passowrd1。4 由于各信息系统对于H3C系列交换机的要求不尽相同，因此对于第7章安全配置要求中的安全基线要求项，各信息系统根据实际情况选择性进行配置，并填写附录A《安全基线配置项应用统计表》。5 在第7章安全配置要求中，部分安全基线要求项提供了阈值，如“交换机带内管理设置登录超时，超时时间不宜设置过长，参考值为5分钟。”，此阈值为参考值，通过借鉴GCC、中国石油企标、国内外大型企业信息安全最佳实践等资料得出。各信息系统如因业务需求无法应用此阈值，在附录A《安全基线配置项应用统计表》的备注项进行说明。6 注意事项由于H3C系列交换机普遍应用于重要生产环境，对于本文档中安全基线要求项，实施前需要在测试环境进行验证后应用。在应用安全基线配置项的过程中，如遇到技术性问题，填写附录B《安全基线配置项应用问题记录表》。在应用安全基线配置前需要备份交换机的配置文件，以便出现故障时进行
回退。7 安全配置要求7.1 账号管理7.1.1 运维账号共享管理安全基线编号SBL-Switch- H3C-01-01安全基线名称运维账号共享安全基线要求项安全基线要求按照用户分配账号，避免不同用户间共享运维账号检测操作参考[Switch]dis current | i local-user安全判定依据1）网络管理员列出交换机运维人员名单；2）查看dis current | i local-user结果：local-userlocal-userlocal-user3）对比命令显示结果与运维人员账号名单，如果运维人员之间不存在共享运维账号，表明符合安全要求。基线配置项重要度高中低操作风险评估高中低7.1.2 删除与工作无关账号安全基线编号SBL- Switch- H3C-01-02安全基线名称账号整改安全基线要求项安全基线要求删除与工作无关的账号，提高系统账号安全检测操作参考[Switch]dis current | i local-user安全判定依据1）网络管理员列出交换机运维人员的账号名单；2）查看dis current | i local-user结果：local-userlocal-userlocal-user3）对比显示结果与账号名单，如果发现与运维无关的账号，表明不符合安全要求。备注无关账号主要指测试账号、共享账号、长期不用账号（半年以上）等。基线配置项重要度高中低操作风险评估高中低7.2 口令管理7.2.1 静态口令加密安全基线编号SBL- Switch- H3C-02-01安全基线名称静态口令加密安全基线要求项安全基线要求1）配置本地用户口令使用“cipher”关键字2）配置super口令使用“cipher”关键字检测操作参考1）[Switch]dis current | b local-user2）[Switch]dis current | i super password
安全判定依据如果显示“cipher”关键字，如：1）local-userpassword cipher 密文password2）super password level cipher 密文password 表明符合安全要求。基线配置项重要度高中低操作风险评估高中低7.2.2 静态口令运维管理安全基线编号SBL- Switch- H3C-02-02安全基线名称静态口令运维管理安全基线要求项安全基线要求1）采用静态口令认证技术的设备，口令最小长度不少于8个字符2）采用静态口令认证技术的设备，口令生存期最长为90天基线配置项重要度高中低7.3 认证管理7.3.1 RADIUS认证（可选）安全基线编号SBL- Switch- H3C-03-01安全基线名称RADIUS认证安全基线要求项安全基线要求配置RADIUS认证，确认远程用户身份，判断访问者是否为合法的网络用户检测操作参考1）[Switch]dis current | b radius scheme 2）[Switch]dis current | b domain3）[Switch]dis current | b user-interface vty安全判定依据如果显示类似：1）配置RADIUS方案radius schemeprimary authenticationkey authenticationuser-name-format without-domain2）配置域domainauthentication login radius-scheme local 3）配置本地用户user-interface vty 0 4protocol inbound sshauthentication-mode scheme表明符合安全要求。基线配置项重要度高中低操作风险评估高中低7.4 日志审计7.4.1 RADIUS记账（可选）
安全基线编号SBL- Switch- H3C-04-01安全基线名称RADIUS记账安全基线要求项安全基线要求与记账服务器配合，设备配置日志功能：1）对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址；2）对用户设备操作进行记录，如账号创建、删除和权限修改，口令修改等，记录需要包含用户账号，操作时间，操作内容以及操作结果。检测操作参考1）[Switch]dis current | b radius scheme2）[Switch]dis current | b domain安全判定依据如果显示类似：1）配置RADIUS方案radius schemeprimary accountingkey accountinguser-name-format without-domain2）配置域domainaccounting login radius-scheme local 表明符合安全要求。基线配置项重要度高中低操作风险评估高中低7.4.2 启用信息中心安全基线编号SBL- Switch- H3C-04-02安全基线名称信息中心启用安全基线要求项安全基线要求启用信息中心，记录与设备相关的事件检测操作参考[Switch]dis info-center安全判定依据如果显示类似：Information Center: enabled 表明符合安全要求。基线配置项重要度高中低操作风险评估高中低7.4.3 远程日志功能安全基线编号SBL- Switch- H3C-04-03安全基线名称远程日志功能安全基线要求项安全基线要求配置远程日志功能，使设备日志能通过远程日志功能传输到日志服务器检测操作参考[Switch]dis current | i info-center loghost安全判定依据如果显示类似：info-center loghost 表明符合安全要求。
￥
5
百度文库VIP限时优惠现在开通,立享6亿+VIP内容
立即获取
H3C交换机安全配置基线
H3C交换机安全配置基线
H3C交换机安全配置基线（Version 1.0）
2012年12月
1 引言 (1)
2 适用范围 (1)
3 缩略语 (1)
4 安全基线要求项命名规则 (2)
5 文档使用说明 (2)
6 注意事项 (3)
7 安全配置要求 (3)
“金无足赤,人无完人”任何事物都没有十全十美的,微软Windows 2003也是如此，照样存在着系统漏洞、存在着不少安全隐患.不管是你用计算机欣赏音乐、上网冲浪、运行游戏，还是编写文档都不可避免的面临着各种病毒的威胁,如何让Windows Server 2003更加安全，成为广大用户十分关注的问题。 下面让我们来讨论如何让Windows Server 2003更加安全。
理解你的角色
理解服务器角色绝对是安全进程中不可或缺的一步。Windows Server可以被配置为多种角色，Windows Server 2003 可以作为域控制器、成员服务器、基础设施服务器、文件服务器、打印服务器、IIS服务器、IAS服务器、终端服务器等等。一个服务器甚至可以被配置为上述角色的组合。
现在的问题是每种服务器角色都有相应的安全需求。例如，如果你的服务器将作为IIS服务器，那么你将需要开启IIS服务。然而，如果服务器将作为独立的文件或者打印服务器，启用IIS服务则会带来巨大的安全隐患。
我之所以在这里谈到这个的原因是我不能给你一套在每种情况下都适用的步骤。服务器的安全应该随着服务器角色和服务器环境的改变而改变。
因为有很多强化服务器的方法，所以我将以配置一个简单但安全的文件服务器为例来论述配置服务器安全的可行性步骤。我将努力指出当服务器角色改变时你将要做的。请谅解这并不是一个涵盖每种角色服务器的完全指南。
物理安全
为了实现真正意义上的安全，你的服务器必须被放置在一个安全的位置。通常地，这意味着将将服务器放置在上了锁的门后。物理安全是相当重要的，因为现有的许多管理和灾难恢复工具同样也可以被黑客利用。任何拥有这样工具的人都能在物理接入到服务器的时候攻击服务器。唯一能够避免这种攻击的方法是将服务器放置在安全的地点。对于任何角色的Windows Server 2003，这都是必要的。
创建基线
除了建立良好的物理安全以外，我能给你的最佳建议是，在配置一系列Windows Server 2003的时候，应该确定你的安全需求策略，并立即部署和执行这些策略 。
实现这一目的最好的方法是创建一个安全基线(security baseline)。安全基线是文档和公认安全设置的清单。在大多数情况下，你的基线会随着服务器角色的不同而产生区别。因此你最好创建几个不同的基线，以便将它们应用到不同类型的服务器上。例如，你可以为文件服务器制定一个基线，为域控制器制定另一个基线，并为IAS服务器制定一个和前两者都不同的基线。
windows 2003包含一个叫"安全配置与分析"的工具。这个工具让你可以将服务器的当前安全策略与模板文件中的基线安全策略相比较。你可以自行创建这些模板或是使用内建的安全模板。
安全模板是一系列基于文本的INF文件，被保存在%SYSTEMROOT%SECURITY|TEMPLATES 文件夹下。检查或更改这些个体模板最简单的方法是使用管理控制台(MMC)。
要打开这个控制 台，在RUN提示下输入MMC命令，在控制台加载后，选择添加/删除管理单元属性命令，Windows就会显示添加/删除管理单元列表。点击"添加"按钮，你将会看到所有可用管理单元的列表。选择安全模板管理单元，接着依次点击添加，关闭和确认按钮。
在安全模板管理单元加载后，你就可以察看每一个安全模板了。在遍历控制台树的时候，你会发现每个模板都模仿组策略的结构。模板名反映出每个模板的用途。例如，HISECDC模板就是一个高安全性的域控制器模板。
如果你正在安全配置一个文件服务器，我建议你从SECUREWS模板开始。在审查所有的模板设置时，你会发现尽管模板能被用来让服务器更加安全，但是不一定能满足你的需求。某些安全设置可能过于严格或过于松散。我建议你修改现有的设置，或是创建一个全新的策略。通过在控制台中右击C:WINDOWSSecurityTemplates文件夹并在目标菜单中选择新建模板命令，你就可以轻轻松松地创建一个新的模板。
在创建了符合需求的模板后，回到添加/删除管理单元属性面板，并添加一个安全配置与分析的管理单元。在这个管理单元加载后，右击"安全配置与分析"容器，接着在结果菜单中选择"打开数据库"命令，点击"打开"按钮，你可以使用你提供的名称来创建必要的数据库。
接下来，右击"安全配置与分析"容器并在快捷菜单中选择"导入模板"命令。你将会看到所有可用模板的列表。选择包含你安全策略设置的模板并点击打开。在模板被导入后，再次右击"安全配置与分析"容器并在快捷菜单中选择"现在就分析计算机"命令。Windows将会提示你写入错误日志的.位置，键入文件路径并点击"确定"。
在这样的情况下，Windows将比较服务器现有安全设置和模板文件里的设置。你可以通过"安全配置与分析控制台"看到比较结果。每一条组策略设置显示现有的设置和模板设置。
在你可以检查差异列表的时候，就是执行基于模板安全策略的时候了。右击"安全配置与分析"容器并从快捷菜单中选择"现在就配置计算机"命令。这一工具将会立即修改你计算机的安全策略，从而匹配模板策略。
组策略实际上是层次化的。组策略可以被应用到本地计算机级别、站点级别、域级别和OU级别。当你实现基于模板的安全之时，你正在在修改计算机级别的组策略。其他的组策略不会受到直接影响，尽管最终策略可能会反映变化，由于计算机策略设置被更高级别的策略所继承。
修改内建的用户账号
多年以来，微软一直在强调最好重命名Administrator账号并禁用Guest账号，从而实现更高的安全。在Windows Server 2003中，Guest 账号是缺省禁用的，但是重命名Administrator账号仍然是必要的，因为黑客往往会从Administrator账号入手开始进攻。
有很多工具通过检查账号的SID来寻找账号的真实名称。不幸的是，你不能改变用户的SID，也就是说基本上没有防止这种工具来检测Administrator账号真实名称的办法。即便如此，我还是鼓励每个人重命名Administrator 账号并修改账号的描述信息，有两个原因:
首先，诳椭械男率挚赡懿恢?勒饫喙ぞ叩拇嬖诨蛘卟换崾褂盟?恰F浯危?孛?鸄dministrator账号为一个独特的名称让你能更方便的监控黑客对此账号的进攻。
另一个技巧适用于成员服务器。成员服务器有他们自己的内建本地管理员账号，完全独立于域中的管理 员账号。你可以配置每个成员服务器使用不同的用户名和密码。如果某人猜测出你的本地用户名和密码，你肯定不希望他用相同的账号侵犯其他的服务器。当然，如果你拥有良好的物理安全，谁也不能使用本地账号取得你服务器的权限。
服务账号
Windows Server 2003在某种程度上最小化服务账号的需求。即便如此，一些第三方的应用程序仍然坚持传统的服务账号。如果可能的话，尽量使用本地账号而不是域账号作为服务账号，因为如果某人物理上获得了服务器的访问权限，他可能会转储服务器的LSA机密，并泄露密码。如果你使用域密码，森林中的任何计算机都可以通过此密码获得域访问权限。而如果使用本地账户，密码只能在本地计算机上使用，不会给域带来任何威胁。
系统服务
一个基本原则告诉我们，在系统上运行的代码越多，包含漏洞的可能性就越大。你需要关注的一个重要安全策略是减少运行在你服务器上的代码。这么做能在减少安全隐患的同时增强服务器的性能。
在Windows 2000中，缺省运行的服务有很多，但是有很大一部分服务在大多数环境中并派不上用场。事实上，windows 2000的缺省安装甚至包含了完全操作的IIS服务器。而在Windows Server 2003中，微软关闭了大多数不是绝对必要的服务。即使如此，还是有一些有争议的服务缺省运行。
其中一个服务是分布式文件系统(DFS)服务。DFS服务起初被设计简化用户的工作。DFS允许管理员创建一个逻辑的区域，包含多个服务器或分区的资源。对于用户，所有这些分布式的资源存在于一个单一的文件夹中。
我个人很喜欢DFS，尤其因为它的容错和可伸缩特性。然而，如果你不准备使用DFS，你需要让用户了解文件的确切路径。在某些环境下，这可能意味着更强的安全性。在我看来，DFS的利大于弊。
另一个这样的服务是文件复制服务(FRS)。FRS被用来在服务器之间复制数据。它在域控制器上是强制的服务，因为它能够保持SYSVOL文件夹的同步。对于成员服务器来说，这个服务不是必须的，除非运行DFS。
如果你的文件服务器既不是域控制器，也不使用DFS，我建议你禁用FRS服务。这么做会减少黑客在多个服务器间复制恶意文件的可能性。
另一个需要注意的服务是Print Spooler服务(PSS)。该服务管理所有的本地和网络打印请求，并在这些请求下控制所有的打印工作。所有的打印操作都离不开这个服务，它也是缺省被启用的。
不是每个服务器都需要打印功能。除非服务器的角色是打印服务器，你应该禁用这个服务。毕竟，专用文件服务器要打印服务有什么用呢?通常地，没有人会在服务器控制台工作，因此应该没有必要开启本地或网络打印。
我相信通常在灾难恢复操作过程中，打印错误消息或是事件日志都是十分必要的。然而，我依然建议在非打印服务器上简单的关闭这一服务。
信不信由你，PSS是最危险的Windows组件之一。有不计其数的木马更换其可执行文件。这类攻击的动机是因为它是统级的服务，因此拥有很高的特权。因此任何侵入它的木马能够获得这些高级别的特权。为了防止此类攻击，还是关掉这个服务吧。
Windows Server 2003作为Microsoft 最新推出的服务器操作系统，相比Windows 2000/XP系统来说，各方面的功能确实得到了增强，尤其在安全方面，总体感觉做的还算不错.但如果你曾经配置过Windows NT Server或是windows 2000 Server，你也许发现这些微软的产品缺省并不是最安全的。但是,你学习了本教程后,你可以让你的windows 2003系统变得更安全.
安全等级提示其实跟服务器的安全基线的设置有关系。安全基线不够严格，就会导致服务器存在漏洞。网站源码不够严谨也会导致漏洞的出现。一旦漏洞被利用了、或者被检测出来。那么网站的危险等级也就出现告警了。对于网站安全等级提示中危的情况，个人建议使用360或者安全狗的网站安全云中心对网站进行下检测，根据检测报告来修复网站存在的漏洞。如果是网站源码的问题的话，建议找专业的团队进行下源码审计工作，找出存在的漏洞及时修复它，才能确保服务器及网站安全稳定运行。
