1 范围
本规范适用于中国XX电网有限责任公司及所属单位管理信息大区所有信息系统相关主流支撑平台设备。 2
规范性引用文件
下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。
——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定
——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南
——公通字[2007]43号 信息安全等级保护管理办法
——GB/T 21028-2007 信息安全技术 服务器安全技术要求 ——GB/T 20269-2006 信息安全技术 信息系统安全管理要求
——GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南 3
术语和定义
安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。
管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 4
总则
4.1 指导思想
围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2 目标
管理信息大区内IT主流设备安全配置所应达到的安全基线规范，主要包括针对AIX系统、Windows系统、Linux系统、HP UNIX系统、Oracle数据库系统、MS SQL数据库系统,WEB Logic中间件、Apache HTTP Server中间件、Tomcat中间件、IIS中间件、Cisco路由器/
交换机、华为网络设备、Cisco防火墙、Juniper防火墙和Nokia防火墙等的安全基线设置规范。通过该规范的实施，提升管理信息大区内的信息安全防护能力。 5
安全基线技术要求
5.1 操作系统
5.1.1 AIX系统安全基线技术要求 5.1.1.1 设备管理
应通过配置系统安全管理工具，预防远程访问服务攻击或非授权访问，提高主机系统远程管理安全。
基线技术要求 管理远程工具 基线标准点（参数） 安装SSH 理过程中传输数据的安全 安装TCP Wrapper，配置配置本机访问控制列表，提高对主机系统访访问控制 /etc/hosts.allow,/etc/hos问控制 ts.deny 说明 OpenSSH为远程管理高安全性工具，可保护管5.1.1.2 用户账号与口令安全
应通过配置用户账号与口令安全策略，提高主机系统账户与口令安全。
基线技术要求 1) 2) 3) 4) 5) 限制系统无用的默认账号登录 6) 7) 8) 9) 基线标准点（参数） Daemon Bin Sys Adm Uucp 清理多余用户账号，限制系统默认账号登录，Nuucp 同时，针对需要使用的用户，制订用户列表Lpd 进行妥善保存 Imnadm Ldap 说明 10) Lp 11) Snapp 12) invscout root远程登录 禁止 禁止root远程登录 基线技术要求 1) 2) 3) 4) 口令策略 5) 6) 7) 8) FTP用户账号控制 基线标准点（参数） maxrepeats=3 minlen=8 minalpha=4 minother=1 mindiff=4 minage=1 maxage=25（可选） histsize=10 1) 2) 3) 4) 5) 6) 7) 8) 说明 口令中某一字符最多只能重复3次 口令最短为8个字符 口令中最少包含4个字母字符 口令中最少包含一个非字母数字字符 新口令中最少有4个字符和旧口令不同 口令最小使用寿命1周 口令的最大寿命25周 口令不重复的次数10次 /etc/ftpusers 禁止root用户使用FTP 5.1.1.3 日志与审计
应对系统的日志进行安全控制与管理，保护日志的安全与有效性。
基线技术要求 日志记录 sulog、failedlogin 日志必须存储在日志服务器日志存储(可选) 中 日志保存要求 日志系统配置文件保护 2个月 文件属性400（管理员账号只修改日志配置文件（syslog.conf）权限为400 读） 文件属性400（管理员账号只日志文件保护 读） failedlogin的权限为400 修改日志文件authlog、wtmp.log、sulog、日志必须保存2个月 使用日志服务器接受与存储主机日志 基线标准点（参数） 记录authlog、wtmp.log、记录必需的日志信息，以便进行审计 说明 5.1.1.4 服务优化
应提高系统服务安全，优化系统资源。
基线技术要求 Finger 服务 telnet 服务 ftp 服务（可选） sendmail 服务（可选） Time 服务 基线标准点（参数） 禁止 禁止 禁止 禁止 禁止 说明 Finger允许远程查询登陆用户信息 远程访问服务 文件上传服务（需要经过批准才启用） 邮件服务 远程查询登陆用户信息服务 网络测试服务，回显字符串, 为“拒绝服务”Echo 服务 禁止 攻击提供机会, 除非正在测试网络，否则禁用 基线技术要求 基线标准点（参数） 说明 网络测试服务，丢弃输入, 为“拒绝服务”Discard 服务 禁止 攻击提供机会, 除非正在测试网络，否则禁用 网络测试服务，显示时间, 为“拒绝服务”Daytime 服务 禁止 攻击提供机会, 除非正在测试网络，否则禁用 网络测试服务，回应随机字符串, 为“拒绝Chargen 服务 禁止 服务”攻击提供机会, 除非正在测试网络，否则禁用 comsat通知接收的电子邮件，以 root 用户comsat 服务 禁止 身份运行，因此涉及安全性, 很少需要的,禁用 Kerberos 登录，如果您的站点使用 klogin 服务（可选） 禁止 Kerberos 认证则启用（需要经过批准才启用） Kerberos shell，如果您的站点使用 kshell 服务（可选） 禁止 Kerberos 认证则启用（需要经过批准才启用） ntalk允许用户相互交谈，以 root 用户身份ntalk 服务 禁止 运行，除非绝对需要，否则禁用 在网上两个用户间建立分区屏幕，不是必需talk 服务 禁止 服务，与 talk 命令一起使用，在端口 517 提供 UDP 服务 tftp 服务 uucp 服务 dtspc 服务（可选） 禁止 禁止 禁止 以 root 用户身份运行并且可能危及安全 除非有使用 UUCP 的应用程序，否则禁用 CDE 子过程控制，不用图形管理则禁用 5.1.1.5 安全防护
应对系统安全配置参数进行调整，提高系统安全。
基线技术要求 Umask权限 控制用户登录会话 基线标准点（参数） 022 设置为600秒 修改默认文件权限 设置超时时间，控制用户登录会话 说明 5.1.1.6 其他
应对关键文件进行权限调整，提高关键文件的安全。
基线技术要求 a) 关键文件的安全保护 b) c) 基线标准点（参数） /etc/passwd 说明 设置passwd、group、security等关键文件和/etc/group 目录的权限 /etc/security目录 5.1.2 Windows系统安全基线技术要求 5.1.2.1 补丁管理
应使Windows操作系统的补丁达到管理基线。
基线技术要求 安全服务包 安全补丁 基线标准点（参数） win2003 SP2，win2000 SP4 更新到最新 说明 安装微软最新的安全服务包 补丁更新至最新 5.1.2.2 用户账号与口令安全
应配置用户账号与口令安全策略，提高主机系统账户与口令安全。
基线技术要求 密码必须符合复杂性启用 要求（可选） 密码长度最小值 密码最长使用期限（可180天 选） 密码最短使用期限 强制密码历史 复位帐户锁定计数器 帐户锁定时间 帐户锁定阀值 guest账号 administrator（可选） 帐号检查与管理 1天 5次 3分钟 5分钟 5次无效登录 密码安全策略 密码安全策略 帐户锁定策略 帐户锁定策略 帐户锁定策略 禁用guest用户使用 加强administrator使用 禁用无需使用帐号 密码安全策略 8 密码安全策略 密码安全策略 基线标准点（参数） 说明 禁止 重命名 禁用无需使用帐号 5.1.2.3 日志与审计
应对系统的日志进行安全控制与管理，保护日志的安全与有效性。
基线技术要求 审核帐号登录事件 审核帐号管理 审核目录服务访问 基线标准点（参数） 成功与失败 成功与失败 成功 日志审核策略 日志审核策略 日志审核策略 说明