操作系统安全测评指导书LIＮUX1概述1.１适用范围本测评指导书适用于信息系统等级为三级的主机Linux操作系统测评。1.2说明本测评指导书基于《信息系统安全等级保护基本要求》的基础上进行设计。本测评指导书是主机安全对于Liｎux操作系统身份鉴别、访问控制、安全审计、剩余信息保护、备份与恢复安全配置要求，对Ｌinux操作系统主机的安全配置审计作起到指导性作用。1．4保障条件1)需要相关技术人员（系统管理员)的积极配合2)需要测评主机的管理员帐户和口令3)提前备份系统及配置文件第2页/共10页序号测评指标测评项操作步骤预期记录实际情况记录1身份鉴别(Ｓ3)ａ)应为操作系统的不同用户分配不同的用户名，确保用户名具有唯一性。查看用户名与UIＤcat/etc/passwd、ｃaｔ／etc／ｓhａdow分别查看用户名(第1列)与ＵＩD（第3列)是否有重复项b)应对登录操作系统的用户进行身份标识和鉴别。查看登录是否需要密码ｃａt/ｅtc／passｗd、ｃat/etc/shadｏw所有用户具有身份标识和鉴别，用户密码栏项（第２项）带有X，表示登陆都需要密码验证。若留空则表示空密码。第1页/共7页序号测评指标测评项操作步骤预期记录实际情况记录c)操作系统管理用户身份标识应具有不易被冒用的特点，系统的静态口令应在8位以上并由字母、数字和符号等混合组成并每三个月更换口令。①查看登录配置文件ｃａt/ｅtc/login.defs②查看密码策略配置文件(CｅntOS、Fedｏrａ、ＲHEL系统)cat/etc/ｐam.ｄ／ｓyｓtem－auth(Debian、Ｕbｕｎｔu或LｉnuｘMinｔ系统)cａｔ/etc/pam.ｄ／common-passｗｏrｄ①登录相关配置内容:PAＳS_MAX_ＤAＹS=９0＃登陆密码有效期9０天ＰASS_ＭIN_DAＹS=2#登陆密码最短修改时间,增加可以防止非法用户短期更改多次PASS＿MIＮ＿LEN＝７#登陆密码最小长度７位ＰＡSS＿WARN_ＡGＥ=１0#登陆密码过期提前10天提示修改②密码策略相关配置passwｏrｄｒequisｉtｅｐam＿cracklib.soreｔry=3minleｎ=7ｄifok=3ucｒedit=-１lcredｉt＝-1ｄcｒedit=-１ocreｄｉｔ=－1#“ｍinｌｅｎ=7”表示最小密码长度为７#“ｄifok=3”启用３种类型符号#“ucrｅdｉt＝-1”至少１个大写字符#“lcreｄiｔ=-1”至少１个小写字符#“dcreｄit=-1”至少1个数字字符＃“uｃｒedit=－1”至少1个标点字符第2页/共10页序号测评指标测评项操作步骤预期记录实际情况记录ｆ)宜采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别,例如以密钥证书、动态口令卡、生物特征等作为身份鉴别信息。访谈系统管理员,询问系统除用户名口令外有无其他身份鉴别方法,查看身份鉴别是否采用两个及两个以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、PKＩ物理设备、生物识别技术和数字证书方式的身份鉴别技术中的任意两个组合）使用xxx方式和xｘｘ方式进行登录。2访问控制(S3）ａ）应启用访问控制功能，依据安全策略控制用户对资源的访问。根据不同ｌinｕｘ操作系统路径,查看系统重要文件权限,检查其权限不大于6６４:ls–l/etｃ/ｐassｗdlｓ–ｌ／etc／shadｏwls–l／eｔc/security/paｓsｗdls–l/eｔｃ/secuｒitｙ／login.cfgls–l／ect／security/ｕseｒ并查看相应业务软件目录的用户及权限系统重要文件及业务软件目录权限设置均符合要求。b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。查看系统用户，访谈管理员是否有完整的安全策略、系统主要有哪些角色、每个角色的权限是否相互制约、每个系统用户是否被赋予相应的角色。系统具有完整的安全策略,系统分为ｘｘx个角色:xxx、xxx、……,xxx角色的权限为：xxxxxｘ角色的权限为:ｘｘx系统用户均被赋予相应的角色。c）应实现操作系统特权用户的权限分离。访谈系统管理员,主机是否装有数据库,若有，结合系统管理员的组成情况,判定是否实现了该项要求。数据库用户和操作系统用户为不同的人员和操作账号。第3页/共10页序号测评指标测评项操作步骤预期记录实际情况记录ｄ)应禁用或严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令。查看是否限制了系统默认帐号的访问权限,是否修改了这些帐户的...
