中国x x公司I T技术规范IT系统安全基线规范
中国xx公司信息技术部
目录
IT系统安全基线规范 (1)
（V3.0) ........................................................ 错误!未定义书签。
1.范围 (6)
2.术语、定义和缩略语 (6)
3.总体说明 (6)
3.1编写背景 (6)
3.2安全基线制定的方法论 (7)
4.安全基线范围及内容概述 (7)
4.1覆盖范围及适用版本 (7)
4.2安全基线编号说明 (8)
4.3安全基线组织及内容 (8)
5.WEB应用安全基线规范 (8)
5.1身份与访问控制 (8)
5.1.1账户锁定策略 (8)
5.1.2登录用图片验证码 (9)
5.1.3口令传输 (9)
5.1.4保存登录功能 (9)
5.1.5纵向访问控制 (10)
5.1.6横向访问控制 (10)
5.1.7敏感资源的访问 (10)
5.2会话管理 (11)
5.2.1会话超时 (11)
5.2.2会话终止 (11)
5.2.3会话标识 (11)
5.2.4会话标识复用 (12)
5.3代码质量 (12)
5.3.1防范跨站脚本攻击 (12)
5.3.2防范SQL注入攻击 (13)
5.3.3防止路径遍历攻击 (13)
5.3.4防止命令注入攻击 (13)
5.3.5防止其他常见的注入攻击 (14)
5.3.6防止下载敏感资源文件 (14)
5.3.7防止上传后门脚本 (14)
5.3.8保证多线程安全 (15)
5.3.9保证释放资源 (15)
5.4内容管理 (15)
5.4.1加密存储敏感信息 (15)
5.4.2避免泄露敏感技术细节 (16)
5.5防钓鱼与防垃圾邮件 (16)
5.5.1防钓鱼 (16)
5.5.2防垃圾邮件 (16)
5.6密码算法 (17)
5.6.1安全算法 (17)
5.6.2密钥管理 (17)
6.中间件安全基线内容 (18)
6.1A PACHE安全配置基线 (18)
6.1.1日志配置 (18)
6.1.2访问权限 (18)
6.1.3防攻击管理 (19)
6.2W EB S PHERE安全配置基线 (22)
6.2.1帐号管理 (22)
6.2.2认证授权 (23)web应用防护系统
6.2.3日志配置 (24)
6.2.4备份容错 (24)
6.2.5安全管理 (25)
6.3T OMCAT W EB安全配置基线 (27)
6.3.1账号管理 (27)
6.3.2口令安全 (28)
6.3.3日志配置 (29)
6.3.4安全管理 (30)
6.4IIS服务安全配置基线 (32)
6.4.1账号管理 (32)
6.4.2口令安全 (33)
6.4.3认证授权 (35)
6.4.4日志配置 (36)
6.4.5IP协议安全 (37)
6.4.6屏幕保护 (39)
6.4.7文件系统及访问权限 (40)
6.4.8补丁管理 (44)
6.4.9IIS服务组件 (45)
6.5W EB L OGIC W EB服务安全配置基线 (46)
6.5.1账号管理 (46)
6.5.2口令安全 (47)
6.5.3日志配置 (48)
6.5.4IP协议安全配置 (48)
6.5.5安全管理 (50)
7.数据库安全基线内容 (51)
7.1DB2数据库安全配置基线 (51)
7.1.1数据库权限 (51)
7.2SQLS ERVER数据库安全配置基线 (54)
7.2.1口令安全 (54)
7.2.2日志配置 (54)
7.2.3更新补丁 (55)
7.3O RACLE数据库系统安全配置基线 (56)
7.3.1账号管理 (56)
7.3.2口令安全 (56)
8.主机安全基线内容 (59)
8.1AIX安全配置基线 (59)
8.1.1账号管理 (59)
8.1.2口令安全 (60)
8.1.3IP协议安全 (61)
8.1.4日志配置 (62)
8.2HP-U NIX安全配置基线 (62)
8.2.1账号管理 (62)
8.2.2口令安全 (63)
8.2.3日志配置 (65)
8.2.4IP协议安全 (65)
8.2.5其他安全配置 (66)
8.3L INUX安全配置基线 (66)
8.3.1账号管理 (66)
8.3.2认证授权 (67)
8.3.3日志配置 (68)
8.4W INDOWS安全配置基线 (68)
8.4.1账号管理 (68)
8.4.2口令安全 (69)
8.4.3认证授权 (70)
8.4.4日志配置 (71)
8.4.5IP协议安全 (74)
8.4.6其他安全配置 (75)
8.5S OLARIS安全配置基线 (76)
8.5.1账号管理 (76)
8.5.2口令安全 (77)
8.5.3认证授权 (78)
8.5.4日志配置 (79)
8.5.5IP协议安全 (80)
9.设备安全基线内容 (81)
9.1C ISCO路由安全配置基线 (81)
9.1.1账号管理 (81)
9.1.2口令安全 (82)
9.1.4日志配置 (84)
9.1.5IP协议安全 (86)
9.1.6功能配置 (87)
9.1.7其他安全配置 (89)
9.2H UAWEI路由安全配置基线 (91)
9.2.1账号管理 (91)
9.2.2口令安全 (92)
9.2.3日志配置 (94)
9.2.4IP协议安全 (95)
9.2.5其他安全配置 (96)
9.3J UNIPER路由安全配置基线 (98)
9.3.1账号管理 (98)
9.3.2口令安全 (100)
9.3.3日志配置 (102)
9.3.4IP协议安全 (105)
9.3.5其他安全配置 (109)
10.安全基线使用要求 (113)
11.文档修订记录 (113)