网站等级保护测评问题笔记

一些难懂的专业描述的实际含义：

1. 未提供鉴别信息复杂度校验功能（即密码强度显示功能）。
2. 未提供登录失败处理功能（即登陆失败指定次数之后锁定一段时间用户的功能）。
3. 未采用密码技术保证通信过程中数据的完整性（即需要使用SSL，亦即至少登陆使用https链接）。
4. 在通信双方建立连接之前，未利用密码技术进行会话初始化验证（同上，使用SSL）。
5. 未对通信过程中的敏感信息字段进行加密（同上，使用SSL）。
6. 未采取措施对鉴别信息和重要业务数据在传输过程中完整性受到的破坏进行检测（同上，使用SSL）。
7. 应用系统未提供自动保护功能（文件断点续传）。
8. 未采用加密或其他保护措施实现鉴别信息的存储保密性（密码加密存储）。
9. 存在跨站脚本高风险漏洞（Cross Site Scripting，主要指直接将数据显示在页面中，未使用HtmlEncode处理显示的文本）。

我们的测评问题中暴露的一些值得大家注意的问题（括号中为我的补充说明）：

1. 数据库服务器操作系统未重命名administrator帐号，SQL Server数据库未重命名sa帐号（不要使用sa）。
2. WEB服务器和数据库服务器操作系统帐户口令长度小于8位，均未设置口令强度策略，帐户勾选了密码永不过期属性。
3. 服务器操作系统和SQL Server数据库未设置用户权限表，未依据安全策略控制用户对资源的访问。
4. 数据库服务器操作系统仅开启对登录事件、帐户登录事件成功的审计；SQL Server数据库仅对失败的登录进行审计，未启用c2审核跟踪。
5. WEB服务器和数据库服务器开启了Remote Registry服务，数据库服务器补丁未更新至最新，未采取措施保持系统补丁得到及时更新。
6. 未限制单个用户对服务器和数据库系统资源的最大或最小使用限度。
7. 数据库服务器未安装防病毒软件。WEB服务器安装360杀毒软件，不支持防恶意代码的统一管理。
8. 操作系统和数据库系统存在补丁未更新等高风险漏洞。
9. 操作系统管理员与SQL Server数据库管理员不为同一人，但SQL Server数据库直接使用Windows身份验证，以administrator登录，不输入口令即可登录，未实现操作系统和数据库系统特权用户的权限分离(禁用BUILTIN用户即可)。
10. 未对上传文件大小、上传文件格式提出要求，可上传exe等格式的文件（文件上传模块设计漏洞，比较好的解决方法是使用上传控件）。
11. 应用系统存在URL旁路情况，低权限用户登录后，可通过输入高权限用户才可访问的网址访问相关内容（权限设计的漏洞，补救方法可以考虑使用实现IHttpModule接口的类来统一处理）。
12. 已对重要信息进行备份，但未做过数据恢复性测试。