linux(一) 应等保三级要求整改清单

一、身份鉴别

1.1 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

建议操作系统对登录的用户进行身份标识和鉴别，身份鉴别信息配置复杂度要求开启定期更换策略，避免使用弱口令，至少包含字母和数字，密码长度至少8位。密码最长适用90天，5次内不重复。

1.2 应具有登录失败处理功能，应配置并开启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

建议操作系统开启登录失败处理功能配置登录失败5次及锁定时间30分钟。

1.3 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

建议对操作系统进行远程管理时，采取必要措施防止鉴别信息在网络传输过程中被窃听。

1.4 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现

建议操作系统采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现，可使用CA技术实现或通过堡垒机实现。

二、访问控制

2.1 应对登录的用户分配账户和权限

建议操作系统对登录的用户分配账户和权限；

2.2 应重命名或删除默认账户，修改默认账户的默认口令

建议操作系统重命名或删除默认账户，修改默认账户的默认口令，如操作系统由统一镜像模板生成用户名密码应及时修改；

2.3 应及时删除或停用多余的、过期的账户，避免共享账户的存在

建议操作系统及时删除或停用多余的、过期的账户，避免共享账户的存在；

2.4 应授予管理用户所需的最小权限，实现管理用户的权限分离

建议操作系统授予管理用户所需的最小权限，实现管理用户的权限分离建立系统管理员、审计管理员、安全管理员并分配最小权限

2.5 应由授权主体配置访问控制策略，访间控制策略规定主体对客体的访间规则

建议操作系统由授权主体配置访问控制策略，授权主体为安全管理员，访问控制策略规定主体对客体的访问规则

2.6 访间控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

建议操作系统访问控制的粒度达到主体为用户级或进程级，客体为文件、数据库表级，重要文件权限按照需求进行细化

2.7 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

建议未来考虑更换操作系统实现对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。不建议整改，成本较高

三、安全审计

3.1 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

建议操作系统启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

3.2 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

建议操作系统启用安全审计功能审计记录包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

3.3 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等

建议操作系统启用安全审计功能并部署日志审计系统并对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等

3.4 应对审计进程进行保护，防止未经授权的中断

建议操作系统启用安全审计功能对审计进程进行保护，防止未经授权的中断，限制除审计员外的审计控制权限

四、入侵防范

4.1 应遵循最小安装的原则，仅安装需要的组件和应用程序

建议操作系统遵循最小安装的原则，仅安装需要的组件和应用程序

4.2 应关闭不需要的系统服务、默认共享和高危端口

建议操作系统关闭不需要的系统服务、默认共享和高危端口，如FTP、DHCP等不必要服务

4.3 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

建议操作系统通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

4.4 应能发现可能存在的已知浦洞，并在经过充分测试评估后，及时修补漏洞

建议进行周期性漏洞扫描发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

4.5 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

建议操作系统部署+F18:F23主机安全软件检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

五、恶意代码防范

应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断

建议操作系统采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断，部署杀毒软件或内核加固系统

六、可信验证

可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

建议未来考虑操作系统可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。不建议整改，成本较高

七、数据完整性

应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

建议在操作系统采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

建议在操作系统采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

八、数据保密性

应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等

建议在操作系统采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等

九、数据备份恢复

应提供重要数据的本地数据备份与恢复功能

建议对操作系统提供重要数据的本地数据备份与恢复功能

应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

建议对操作系统提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

应提供重要数据处理系统的热冗余，保证系统的高可用性

建议对操作系统提供重要数据处理系统的热冗余，保证系统的高可用性，操作系统可基于虚拟化平台，虚拟操作系统多台负载

十、剩余信息保护

应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除

建议在将来考虑更换操作系统保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除不建议整改，成本较高

应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除

建议在未来更换操作系统保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。不建议整改，成本较高