密码最短存留期 0天 复位帐户锁定计数器 10分钟 帐户锁定时间 帐户锁定阀值 10分钟 5次 注：设置密码策略后可能导致不符合密码策略的帐号无法登录。在修改密码策略前，需修改不符合帐号策略的密码使其符合策略要求，最后再修改密码策略。
3) 启用登录失败处理功能，设置限制非法登录次数和自动退出等措施。 操作系统 操作方式 1. 配置登录策略：修改/etc/security/login.cfg文件 logindelay=3 失败登录后延迟3秒显示提示符 logindisable=5 5次失败登录后锁定端口 AIX logininterval=60 在60秒内3次失败登录才锁定端口 loginreenable＝15 端口锁定15分钟后解锁 2. 增加或修改/etc/profile文件中如下行： TMOUT=600 ; 1. 修改“账户锁定策略”，设置帐户锁定相关设置： 复位账户锁定计数器 15分钟 WINDOWS 账户锁定时间 15分钟 账户锁定阈值 5次 4) 当对服务器进行远程管理时，对于UNIX类服务器，用当前稳定版本的
SSH等安全工具取代明文传输的telnet，并及时升级，保证传输数据的安全性；对于windows类服务器，关闭不必要的telnet服务，采用加密或认证的方式保证数据才网络传输过程中的保密性、完整性和可用性。 操作系统 root: admin = true SYSTEM = \ loginretries = 0 account_locked = false rlogin=false 操作方式 1. 增加或修改/etc/security/user文件中如下行 AIX
21
如果无法禁用telnet服务，也可使用TCP wrapper、防火墙或包过滤技术禁止不可信IP对telnet服务（例如 23/TCP端口）访问。 1. 禁用不需要的服务，如remote Registry 、telnet等（远程管理注册表，开启此服务带来一定的风险）。 2. 采用其他加密的远程桌面管理软件代替远程桌面管理，或者在远程桌面管理上启用证书认证系统。 WINDOWS
注：应用系统或程序可能对特定的系统服务有依赖关系，在未确定某个服务是否需要前，请勿关闭该服务，否则会影响应用系统或程序的正常运行。 5.3.3
访问控制
省公司及地市公司主机身份鉴别现状与等级保护要求存在一定的差距，应对以下几个方面进行完善：
1) 启用访问控制功能，依据安全策略控制用户对资源的访问； 2) 实现操作系统特权用户的权限分离；
3) 限制默认帐户的访问权限，重命名系统默认帐户，修改帐户的默认口令； 4) 及时删除多余的、过期的帐户，避免共享帐户的存在。 整改措施：
1) 在交换机和防火墙上设置不同网段、不同用户对服务器的访问控制权
限；关闭操作系统开启的默认共享，对于需开启的共享及共享文件夹设置不同的访问权限，对于操作系统重要文件和目录需设置权限要求。 操作系统 /bin； /sbin； 操作方式 1. 修改普通用户对下列文件的权限： AIX /etc； /etc/passwd； /etc/group；
22
/usr/bin； WINDOWS 1. 修改访问控制策略，将注册标中restrictanonymous值改为1； 2. 删除不必要的共享文件夹或修改其权限，重要共享文件夹的权限属性不能为everyone完全控制。 2) 设置不同的管理员对服务器进行管理，分为系统管理员、安全管理员、
安全审计员等以实现操作系统特权用户的权限分离，并对各个帐户在其工作范围内设置最小权限，如系统管理员只能对系统进行维护，安全管理员只能进行策略配置和安全设置，安全审计员只能维护审计信息等。 3) 限制默认帐户的访问权限，重命名系统默认帐户，修改帐户的默认口令；
删除操作系统和数据库中过期或多余的账户，禁用无用帐户或共享帐户。 操作系统 AIX 操作方式 1. 禁用 文件/etc/security/user中，sys, bin, uucp, nuucp, daemon等系统默认帐户。在用户前面加上注释号“#” 1. 修改administrator名称，将原Administrator名称改成不被人熟识的帐户，同时将一个普通帐户名称改成Administrator，登录普通帐户执行系统所有操作； 2. 禁用Guest账号。 WINDOWS 4) 根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理
用户所需的最小权限。 操作系统 AIX WINDOWS 5.3.4
安全审计
操作方式 1. 更改默认口令。使用smit或增加、修改/etc/security/user下各用户的设置： 将su=true更改为su=false 1. 修改管理用户的权限； 省公司及地市公司主机访问控制现状与等级保护要求存在一定的差距，需对
23
以下几个方面进行完善：
1) 审计范围覆盖到服务器和重要客户端上的每个操作系统用户； 2) 审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使
用等系统内重要的安全相关事件；
3) 审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等； 4) 保护审计记录，避免受到未预期的删除、修改或覆盖等。 整改措施：
1) 审计范围覆盖到服务器和重要客户端上的每个操作系统用户和数据库
用户。 操作系统 1. 开启syslog功能： 正在审查 开 bin 处理 开 操作方式 审查事件 开 审查目标 开 审核 启用 AIX 2. ftp审计。缺省情况下，系统不会记录使用ftp连接和传输文件的日志，这会对系统造成安全隐患，尤其在用户使用匿名ftp方式时。为了避免这种情况发生，可用如下的步骤使系统记录ftp的日志： 1）修改/etc/syslog.conf文件，并加入一行： daemon.info ftplog 其中FileName是日志文件的名字， 它会跟踪FTP的活动，包括匿名和其他用户ID。FileName文件必须在做下一步骤前创建。 2）运行\命令刷新syslogd 后台程序。 3）修改/etc/inetd.conf文件，修改下面的数据行： ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd -l 4）运行“refresh -s inetd”命令刷新inetd后台程序。 WINDOWS 1. 开启日志审计功能；
24
2. 修改普通用户对日志等安全审计方式的权限配置，只有管理员用户有查看、修改、删除等权限； 2) 审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使
用等系统内重要的安全相关事件。 操作系统 AIX 操作方式 1. 更改默认口令。使用smit或增加、修改/etc/security/user下各用户的设置： 将su=true更改为su=false 1. 修改安全审计策略： 审核策略更改 审核登录事件 审核对象访问 WINDOWS 审核过程追踪 审核目录服务访问 审核特权使用 审核系统事件 审核帐户登录事件 审核帐户管理 成功 成功, 失败 成功, 失败 无审核 无审核 无审核 成功, 失败 成功, 失败 成功, 失败
3) 审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等； 操作系统 AIX 操作方式 1. 修改日志文件，审核记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； 1. 修改“事件查看器”的属性配置： 日志类型 大小 WINDOWS 应用日志 16384K 安全日志 16384K 覆盖方式 覆盖早于30天的事件 覆盖早于30天的事件 系统日志 16384K 覆盖早于30天的事件 2. 修改“事件类型”、“事件来源”等属性为 “全部”； 4) 保护审计记录，避免受到未预期的删除、修改或覆盖等。
25