一、等级保护常识
1.1 网络等级保护制度发展
等级保护对象的安全保护等级一共分五个级别，从一直到五级别逐渐升高。
- 第一级（自主保护级），等级保shu护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；
- 第二级（指导保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
- 第三级（监督保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；
- 第四级（强制保护级），等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；
- 第五级（专控保护级），等级保护对象受到破坏后，会对国家安全造成特别严重损害。 其中最常见的是第二级和第三级的信息系统，且二级及以上的信息系统需要落实等级保护工作，包括定级、备案、整改、测评、监督检查。
1.2 什么是网络安全等级保护制度
- 网络安全的等级保护是国家网络安全的基本制度，基本国策。
- 网络安全等级保护是网络安全工作的基本方法。
- 网络安全等级保护是指对网络实施分等级保护，分等级监管，对网络中使用的网络安全产品实行按等级管理，对网络中发生的安全事件分等级响应、处置。
注：这里的网络是指由计算机或者其他信息终端及其相关设备组成的按照一定的规则和程序对信息进行采集，存储，传输，交换，处理的系统，包括网络设施，信息系统，数据资源等。
1.3 网络安全等级保护的主要工作环节
1.3.1 定级
等级要素：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
一般步骤为：确定等级对象->初步确定等级->专家评审->主管部门审核->最终确定的等级
流程：
- 1、摸底调查，掌握网络底数，确定定级对象；
- 2、初步确定网络的安全保护等级
- 3、专家评审
- 4、主管部门审核
- 5、公安机关备案审查，最终确定网络的安全保护等级。
1.3.2 备案
1.3.3 建设整改
1.3.4 等级测评
1.3.5 监督检查
二、等级测评之windows server篇（三级）
2.1 身份鉴别
2.1.1 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
主要检查点：
- 1)查看服务器登录是否需要密码
- 2)是否存在空口令用户
- 3)登录密码是否符合复杂度要求，口令密码长度8位以上，包含数字、大小写字母，特殊字符
- 4)密码是否定期更换
符合描述示例：
- 1、用户登录需输入用户名和密码
- 2、尝试使用空口令登录，不会成功
- 3、启用复杂度；密码长度最小值为8位；密码长度最长使用期限不为0；密码最短使用期限不为0；强制密码历史：至少记住五个密码以上
测评方法：
- 1、用户需要输入用户名和密码才能登录
- 2、windows默认用户名具有唯一性
- 3、打开控制面板-》管理工具-》计算机管理-》本地用户机组。检查有哪些用户，并尝试使用空口令登录。
- 4、打开控制面板-》管理工具-》本地安全策略-》账户策略 -》密码策略
2.1.2 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
主要检查点：
- 1、查看是否启动登录失败处理功能
- 2、查看是否配置登录超时自动退出策略
符合描述示例：
- 1、结果如下：账户锁定事件位30分钟；锁定阈值位：5次登录无效
- 2、启用了远程登录超时并自动退出功能
测评方法：
- 1、打开控制面板-》管理工具-》本地安全策略-》账户策略-》密码锁定策略
- 2、右键点击桌面-》个性化-》屏幕保护程序-。查看等待事件的长短以及”在恢复时显示登录屏幕“选项是否打勾。
2.1.3 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听
主要检查点：
- 本地或VM，默认符合
- 远程运维，采取加密的RDP协议
符合描述示例：
- 通过windows远程桌面管理被测服务器，采用证书方式加密鉴别信息。
有问题的案例：
- 通过windows远程桌面管理被测服务器，鉴别信息加密方式兼容低版本远程桌面客户端，加密强度较低。
测评方法：
- 1、如果是本地管理成KVM等硬件管理方式，此要求默认满足，
- 2、如果采用远程管理，则需要采用带加密管理的远程管理方式。在命令行中输入“pgedit.msc”弹出"本地组策略编辑器"窗口，查看“本地计算机策略”-》“计算机配置”-》“管理模板”-》“windows组件”-》“远程桌面服务”-》“远程桌面会话主机”-》“安全” 中的相关项目。
2.1.4 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户身份鉴别，且其中的一种鉴别技术至少应使用密码技术来实现
主要检查点：
- 除口令外，采用了另外一种鉴别机制，此机制采用密码技术，如调用了密码机或采取了SM1-SM4等算法，数字证书Ukey、令牌、指纹等。
符合描述案例：
- 应用登录服务器的用户采用双因子鉴别方式，不仅要求访问者拥有鉴别特征，例如采用令牌、智能卡、手机号、验证码等
测评方法：
- 查看询问管理员在登录操作系统的过程中使用了哪些身份鉴别方法，是否采用两种以上技术，且必须至少有一种密码技术，并记录下来。
2.2 访问控制
2.2.1 a）应对登录的用户分配账户和权限
主要检查点：
- 1、查看各用户是否分配了相应权限
- 2、是否存在匿名用户
- 3、默认用户是否只许可管理员登录
正确案例：
- 分为别操作系统管理员、数据库管理员、运维监控人员分配了不同账号并由专人使用。
错误案例：
- 操作系统管理员账户由多种角色的管理用户共用。
测评方法：
- 访谈系统管理员，操作系统能够登录的账户，以及它们拥有的权限。选择%systemdrive%\windows \system、 %systemroot %\system32\config 等相应的文件夹，右键选择“属性”-》“安全”，查看everyone组、user组和administrators组的权限设置
通过要求：
- 如分别为角色分配了相应的用户名和权限，则该项符合。
- 如未分配用户仅有管理员账户，则该项不符合。
2.2.2 b）应重命名或删除默认账户
主要检查点：
- 应禁用无用的默认账号（Administrator、Guest）；
- 如使用默认账号（Administrator），应更改未默认用户名
- 应更改默认口令（空口令）
正确案例：
- 已禁用无用的默认Guest账户，更改操作系统管理员账户默认用户名：Administrator 未xxx并修改默认口令
测评方法：
- 在命令行输入“lusrmgr.msc”，弹出“本地用户和组” 窗口，查看“本地用户和组”-》“用户”中的相关项目
2.2.3 c) 应及时删除或停用多余的、国企的账户，避免共享账户的存在
主要检查点：
- 应删除无用的默认账户
- 应不存在过期账户
- 应不存在无意义的共享账户
正确案例：
- 操作系统不存在多余的、过期和共享账户
评测方法：
- 在命令行输入“lusmrgr.msc”,弹出“本地用户和组”窗口，查看“本地用户和组”-》“用户”中的相关项目，查看右侧用户列表中的用户，询问各账户的用途，确认账户是否属于多余的 、过期的账户或共享账户名
2.2.4 d）应授予管理用户所需的最小权限，实现管理用户的权限分离
注意检查点：
- 1、应设置系统管理员、安全员、审计员角色
- 2、根据管理员用户的角色分配权限，实现管理员用户的权限分离，角色的权限之间相互制约
正确案例：
- 操作系统创建管理员、安全员、审计员角色
- 根据管理员用户的角色分配权限，仅授予管理用户所需的最小权限，角色的权限之间相互制约
评测方法：
- 在命令行输入“secpol.msc”,弹出“本地安全策略”窗口，查看“安全设置”-》“本地策略”-》“用户权限分配”中的相关项目。右侧的详细信息窗口即可显示可配置的用户权限策略设置
2.2.5 e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则
主要检查点：
- 1、应由安全管理员授权设置规则
- 2、配置主体对客体的访问控制规则，并统一管理
正确案例：
- 访问规则由安全管理员配置完成
- 访问规则应要求主体对客体的访问
错误案例：
- 无访问规则或不算由安全管理员配置访问控制规则
- 访问规则未要求主体对客体的访问
测评方法：
- 访谈系统管理员，能够配置访问控制策略的用户
- 查看重点目录的权限配置，如%systemdrive%\windows\system32, %system32\config, 是否依据安全策略配置访问规则。
2.2.6 f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。
主要检查点：
- 权限设置应合理，用户依据控制策略，对各类文件和数据库表级进行访问
正确案例：
- 访问控制粒度主体达到用户级或进程级
- 客体为文件、数据表级
错误案例：
- 访问控制粒度未达到用户级或进程级
- 客户未达到文件、数据库表级。
测评方法：
- 选择%systemdrive%\Windows\system32\drivers,%systemdrive%\Windows\system32\secpol等重要文件，右键选择“属性”-》"安全",查看访问权限设置。
2.2.7 g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问（不建议整改，成本较高）
主要检查点：
- 1、应对重要信息资源设置敏感标记
- 2、应依据安全策略严格控制用户对由敏感标记重要信息资源的操作
测评方法：
- 询问管理员是否对重要信息资源设置敏感标记
- 询问或查看目前的敏感标记策略的相关设置，如：如何划分敏感标记分类，如何设定访问权限等
2.3 安全审计
2.3.1 a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计
主要审查点：
- 1、应启用安全审核功能或采用主机安全审计系统。
- 2、应启用相对完整的安全审核策略
正确案例：
测评方法：
2.3.2 b） 审计记录应包括事件的日期和事件、用户、事件类型、事件是否成功及其他与审计相关的信息
主要检查点：
正确案例：
测评方法：
2.3.3 c） 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；
主要检查点：
- 1、应对审计记录采取备份等保护措施
- 2、审计记录保留时间达到国家标准（6个月以上）
测评方法：
2.3.4 d） 应对审计进程进行保护，防止未经授权的中断
主要检查点：
- 其他非审计人员不可登录和操作日志
正确案例：
- 审计进程通过操作系统自身提供保护
测评方法：
2.4 入侵规范
2.4.1 a）应遵循最小按照的原则，仅按照需要的组件和应用程序
这一条是比较容易理解的，进安装该服务器需要的组件和应用程序，非必须的组件和应用程序应该删除或者停用，比如多余的程序，qq、微信等软件。
2.4.2 b）应关闭不需要的系统服务、默认共享和高危端口
主要检查点：
-
1、查看是否由多余的服务
-
2、查看是否启用默认共享
-
3、查看是否由不必要的端口
- 4、防火墙规则中阻止访问多余的服务，或高危端口
2.4.3 c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制
2.4.4 d）应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞
2.4.5 e）应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警
2.5 恶意代码规范
符合其一即可：
2.6 可信验证
安全要求：
检查点需要全部符合才能算符合
2.8 剩余信息保护
三、操作系统之Linux篇
四、数据库篇（Mysql）
五、应用系统篇
2.4.1 文件上传漏洞
当文件上传时，若服务端脚本语言未对上传的文件进行严格验证和过滤，若恶意用户上传恶意的文件时，就有可能控制整改网站甚至服务器，这就是文件上传漏洞。
