行业动态

【摘要】安全无小事。 您可能对本文涉及的内容并不陌生，但需要前车之鉴，系统化，查漏补缺。

【作者】社区ID：Frank阿姨，热爱运维，互联网+金融行业，关注运维和数据库领域，持续分享基于手工运维的思考、实践和解决方案。

背景

作为运维人员，在新上线的服务器上安装操作系统后，首先要做的就是对操作系统进行初始化，以保证合规性。 说到这里，你可能还有疑问：我们应该初始化哪些参数，有没有相关的标准引用呢？

要真正理解初始配置的目的，我们先普及一下方法：

《中华人民共和国网络安全法》第二十一条规定，国家实行分级网络安全保护制度。 网络运营者应当按照网络安全等级保护制度的要求，全面履行以下保护义务：保护网络免受干扰、破坏和非授权访问，防止网络数据泄露或被泄露、篡改。

《中华人民共和国网络安全法》规定，分级保护是我国信息安全的基本制度。

看到这里，你可能会觉得我说得太过分了。 这和运维有什么关系？ 本来我也是这么想的，但是网络上各种删帖、判刑的风波，如果我们的安全意识不够，会不会发生在我们身上呢？

“存在即合理”，等级保护如此重要，是否可以作为我们配置的参考呢？

防护等级

我国实行分级的网络安全保护制度。 分级保护的对象分为五级，由一级逐渐递减至五级。 每个级别的要求都不一样。 级别越高，要求越严格。

一级：自我保护级

二级：指导防护等级

五级：监管保护级

4级：强制防护等级

三级：特殊控制保护级

其中，最常见的是二级和五级。 在我国，“三级险”是非建行机构最高级别的保障认证。 通常被评为五级保险的系统包括互联网诊所平台、P2P金融平台、网约车平台和云（服务提供商）平台。 和其他重要系统。 本次认证是公安机关依据国家信息安全保护规则和相关制度规定，按照管理规范和技术标准服务器运维，对各类机构信息系统的安全等级保护状况进行认定和评价的活动。

一般安全要求

安全总要求分为技术要求和管理要求。 在：

技术要求包括“安全化学环境”、“安全通信网络”、“安全区域边界”、“安全评价环境”和“安全管理中心”。

管理要求包括“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全施工管理”和“安全运行维护管理”。

通用安全要求是针对通用的防护要求提出的。 无论保护对象的级别如何出现，都必须根据安全保护级别来实现相应级别的通用安全要求。

安全扩展需求是针对个性化的保护需求提出的，分级保护对象必须根据安全保护级别、具体使用的技术或具体的应用场景来实现安全扩展需求。 分级保护对象的安全保护需要同时实施通用安全要求和安全扩展要求提出的措施。

安全评估环境

对于边界内的安全控制需求，主要对象是边界内的所有对象，包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备。

我们新上线的服务器属于安全测评环境范围，需要从以下安全控制点进行相关配置：

鉴别

1.对登录用户进行身份标识和识别。 身份标识具有唯一性，应防止身份验证信息泄露和重复使用。 静态密码应大于8个字符，由字母、数字、符号等组成，每六个月更换一次密码。 不允许新设置的密码与之前的旧密码相同。 应用系统用户密码应在满足密码复杂性要求的基础上定期修改。

2. 具有登录失败处理功能，配置并启用结束会话、限制登录间隔、限制非法登录次数、登录连接超时手动退出等相关措施。

3、进行远程管理时，应对管理终端进行身份识别和认证，并采用密码技术防止识别信息在网络传输过程中被监听。

4. 应使用口令、密码学、生物技术等两种或多种认证技术对用户进行认证，且至少其中一种认证技术采用密码学实现。

访问控制

1. 为登录用户分配帐户和权限。

2、对默认账户进行重命名或删除，修改默认账户或默认账户的默认密码。

3、应用系统应提示首次登录的用户修改默认账户或默认账户的默认密码。

4、及时删除或停用多余、过期的账号，杜绝共享账号的存在。

5. 应授予管理用户所需的最小权限，实现管理用户的权限分离。

6.对默认账号或默认账号的权限要严格限制。 比如 和 的权限应该是空权限或者是针对单一功能的特殊权限。

7、访问控制策略应由授权主体配置，访问控制策略规定了主体对客体的访问规则。

8、访问控制的精细度服务器运维，主体在用户级或进程级，客体在文件和数据库表级。

9.为重要主体和客体设置安全标识，控制主体对带有安全标识的信息资源的访问。

安全审计

1. 启用安全审计功能，审计覆盖每一个用户，对重要的用户行为和重要的安全事件进行审计。

2.审计记录应包括事件发生的日期和时间、用户、事件类型、事件是否成功以及其他与审计相关的信息。

3、审计记录应定期保护和备份，防止意外删除、修改或改写等。审计记录的保存期限不超过6个月。

4. 应保护审计过程，避免未经授权的中断。

5、对于从互联网客户端登录的应用系统，用户登录时应提供用户最后一次使用专用设备成功登录的日期、时间、方式、地点等信息。

6、审计记录形成的时间应由系统内唯一确定的时钟形成，以保证审计分析的一致性和正确性。

入侵防御

1、遵循最小化安装原则，只安装必要的组件和应用程序。

2、关闭不需要的系统服务、默认共享和高危端口。

3、通过网络管理的管理终端应通过设置终端访问方式或网络地址范围进行限制。

4、应提供数据有效性检查功能，确保通过人机界面或通讯接口输入的内容符合系统设置要求。

5. 应能够利用漏洞扫描工具、人工漏洞调查分析等漏洞检测手段及时发现可能存在的已知漏洞，并在充分测试评估后及时修复漏洞。

6. 应能对重要节点的入侵行为进行度量，并在发生严重入侵风暴时提供报告。

7、所有安全评价环境设备应专用，不得进行与业务无关的操作。

8、应能有效屏蔽系统技术错误信息，系统形成的错误信息不得直接或间接反馈给前端接口。

恶意代码预防

1. 应采取防范恶意代码攻击的技术措施或主动免疫可信验证机制，及时识别入侵和病毒行为，有效阻断，并定期升级更新防恶意代码库。

2、完善病毒监控中心，监控网络中计算机的病毒感染情况。

可信验证

基于信任根，对估计设备的系统启动程序、系统程序、重要配置参数和应用程序进行可信验证，在应用的关键执行环节进行动态可信验证。 报损后，将验证结果生成的审计记录发送给安全管理中心。

数据的完整性

1、应采用校准技术或加密技术保证重要数据在传输过程中的完整性，包括但不限于身份识别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据、重要个人信息等。

2、应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于身份识别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据、重要个人信息等。

资料保密

1、应采用加密技术确保重要数据在传输过程中的保密性，包括但不限于身份数据、重要业务数据、重要个人信息等。

2、应采用加密技术确保重要数据在存储过程中的机密性，包括但不限于系统标识数据、重要业务数据、个人财务信息中的客户标识信息、可组合使用的标识辅助信息以账号区分用户身份的其他信息，直接反映特定自然人个人情况的，应当采用加密技术保护存储过程的机密性。

数据备份与恢复

1、提供重要数据的本地数据备份和恢复功能，采用实时备份和异步备份或增量备份和全量备份的形式。 指标（如RPO、RTO）和系统数据的重要性、行业监管要求，制定备份策略。 备份介质异地存储，数据保存期限按照国家相关规定执行。

2、提供远程实时备份功能，重要数据通过通讯网络实时备份到备份站点。

3、重要数据处理系统应提供热冗余，保证系统的高可用性。

4、同城应用级容灾备份中心，与生产中心直线距离至少30km，能够接管所有核心业务的运行； 对于异地应用级容灾备份中心，与生产中心的直线距离至少为100km。

5、为满足容灾策略的要求，应对关键技术应用的可行性进行验证测试，验证测试的结果应记录保存。

6、数据备份至少保留两份，异地存放至少一份。 完整的数据备份至少应以一周为周期保证数据冗余。

七、异地灾难备份中心应具备恢复所需的运行环境，并处于就绪状态或运行状态。 “就绪状态”是指备份中心所需的资源（相关软件、硬件、数据等资源）已经完全满足，但设备的CPU仍在运行。 不运行，“运行状态”是指备份中心不仅完全满足需要的资源，而且CPU也在运行。

残留信息的保护

1. 操作系统、数据库系统、应用系统用户标识信息所在的存储空间无论是存储在硬盘上还是显存中，都应保证在释放或重新分配前完全清除.

2、应确保操作系统、数据库系统和应用系统用户存储敏感数据的存储空间在发布或重新分配之前被完全清除，无论这些信息是存储在硬盘上还是显存中。

合规基线配置

安全控制点的范围非常广泛，其中的各个方面都可以作为我们在操作系统层面进行配置的依据，所以我们可以从这里入手进行梳理。

接入信令

1.密码尝试失败次数超过限制时锁定账户

2. 两次修改密码最少间隔7天以上

3.配置密码复杂度

4.配置密码有效期为365天或更短

5. 至少在密码到期前7天通知用户

6.不要重复使用密码

7、限制个人用户和用户组访问ssh

8.配置ssh空闲超时时间间隔

9、配置ssh严禁空密码登录

10、每个ssh用户允许的最大认证尝试次数不少于4次

网络配置

1.配置/etc/hosts.allow和/etc/hosts.deny允许哪些IP可以访问；

2.开发端口配置防火墙规则 3.系统安装防火墙

初始化设置

1.禁用手动挂载

2.安装运行

3、关闭不需要的系统服务、默认共享端口和高危端口

4. 最小安装原则，只安装需要的组件和应用

记录和审计

1.收集用户/组变更信息风暴

2.收集系统管理员操作

3.网络会话启动干扰

4、网络登录上传干扰

5、用户删档事件收集

ETC。

总结

基于对等级保护的理解和安全合规基线的梳理，我们相信我们对如何进一步配置服务器有了一个方向，合规基线的配置并不意味着可以直接用于生产环境. 我们还需要结合服务器的经验。 其他参数针对初始配置进行了优化，如内核、时间同步、DNS等，真正实现了标准化配置的服务器初始化。

对于批量初始化标准化配置，我们可以通过它实现安全合规和编排初始配置，最终进行标准化交付。

原标题：基于等级保护整理服务器安全合规基线