Wiki on ClearSec Wiki

01-MySQL测评命令

Mon, 24 Aug 2026 00:00:00 +0800

MySQL数据库三级等级保护现场核查命令脚本（统一编号版）

适用范围：MySQL 5.7/8.0

基础信息

select version(); -- 查看数据库版本
select @@hostname, @@port; -- 查看实例名与端口
select @@basedir, @@datadir, @@socket; -- 查看安装目录、数据目录、socket
show databases; -- 查看数据库列表
select user(), current_user(); -- 查看当前登录用户

备注：用于确认数据库类型、版本、实例标识和现场连接身份。
预期证据：版本查询结果截图、实例信息截图、数据库列表截图。

示例输出（节选）

mysql> select version();
+-----------+
| version() |
+-----------+
| 8.0.36 |
+-----------+
mysql> select @@hostname, @@port;
+--------------------+-------+
| @@hostname | @@port|
+--------------------+-------+
| db01 | 3306 |
+--------------------+-------+
mysql> show databases;
+--------------------+
| Database |
+--------------------+
| information_schema |
| mysql |
| performance_schema |
| sys |
| appdb |
+--------------------+

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

select user, host from mysql.user order by user, host;
show variables like 'validate_password%';
show plugins;
show variables like 'default_password_lifetime';
select user, host, password_lifetime, password_expired, account_locked from mysql.user;

备注：重点看账户是否唯一、是否存在匿名/共享账户，是否配置口令复杂度与有效期。若未启用复杂度插件，需说明是否由 AD、PAM、堡垒机或统一身份认证平台实现。
预期证据：账户列表截图、validate_password 或等效策略截图、口令有效期截图、账号管理制度或账号台账。

示例输出（节选）

mysql> select user, host from mysql.user order by user, host;
+----------+--------------+
| user | host |
+----------+--------------+
| appuser | 192.168.10.% |
| backup | localhost |
| root | localhost |
+----------+--------------+
mysql> show variables like 'validate_password%';
+--------------------------------------+--------+
| Variable_name | Value |
+--------------------------------------+--------+
| validate_password.policy | MEDIUM |
| validate_password.length | 8 |
| validate_password.mixed_case_count | 1 |
| validate_password.special_char_count | 1 |
+--------------------------------------+--------+
mysql> show variables like 'default_password_lifetime';
+---------------------------+-------+
| Variable_name | Value |
+---------------------------+-------+
| default_password_lifetime | 90 |
+---------------------------+-------+

B. 登录失败处理、会话超时退出

show variables like 'connection_control%';
show variables like 'max_connect_errors';
show global variables like 'wait_timeout';
show global variables like 'interactive_timeout';
show status like 'aborted_connects';

备注：重点看是否具备失败登录限制、账户锁定或外围防暴力破解能力，是否设置超时自动退出。社区版原生能力有限时，应补查堡垒机、WAF、主机策略或中间件控制。
预期证据：相关参数截图、第三方登录失败处理策略截图、运维平台超时配置截图、访谈记录。

示例输出（节选）

mysql> show variables like 'connection_control%';
+-------------------------------------------------+------------+
| Variable_name | Value |
+-------------------------------------------------+------------+
| connection_control_failed_connections_threshold | 5 |
| connection_control_min_connection_delay | 1000 |
+-------------------------------------------------+------------+
mysql> show global variables like 'wait_timeout';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| wait_timeout | 600 |
+---------------+-------+
mysql> show status like 'aborted_connects';
+------------------+-------+
| Variable_name | Value |
+------------------+-------+
| Aborted_connects | 12 |
+------------------+-------+

C. 远程管理传输保密

show variables like 'require_secure_transport';
show variables like 'have_ssl';
show variables like 'ssl_ca';
show variables like 'ssl_cert';
show variables like 'ssl_key';
show status like 'Ssl_cipher';

备注：重点看是否支持并实际启用了 SSL/TLS。仅“支持 SSL”不等于“已强制使用 SSL”，还需结合客户端连接方式和远程管理流程判断。
预期证据：SSL 相关参数截图、当前连接 Ssl_cipher 截图、证书文件配置截图、堡垒机/远程管理链路说明。

示例输出（节选）

mysql> show variables like 'require_secure_transport';
+--------------------------+-------+
| Variable_name | Value |
+--------------------------+-------+
| require_secure_transport | ON |
+--------------------------+-------+
mysql> show variables like 'ssl_cert';
+---------------+-------------------------------+
| Variable_name | Value |
+---------------+-------------------------------+
| ssl_cert | /opt/app/mysql/server-cert.pem|
+---------------+-------------------------------+
mysql> show status like 'Ssl_cipher';
+---------------+--------------------+
| Variable_name | Value |
+---------------+--------------------+
| Ssl_cipher | ECDHE-RSA-AES128-GCM-SHA256 |
+---------------+--------------------+

D. 组合鉴别

show plugins;

备注：MySQL 原生通常不直接实现双因素，现场应核查是否通过 PAM、堡垒机、数据库运维平台、MFA 平台等实现组合鉴别。
预期证据：双因素登录界面截图、堡垒机认证策略截图、统一认证平台策略截图、访谈记录。

示例输出（节选）

mysql> show plugins;
+----------------------------+----------+--------------------+
| Name | Status | Type |
+----------------------------+----------+--------------------+
| caching_sha2_password | ACTIVE | AUTHENTICATION |
| mysql_native_password | ACTIVE | AUTHENTICATION |
| sha256_password | ACTIVE | AUTHENTICATION |
| ... | ... | ... |
+----------------------------+----------+--------------------+

访问控制

A. 账户、角色、权限分配

select user, host, account_locked, password_expired from mysql.user;
show grants for 'root'@'localhost';
select * from information_schema.user_privileges;
select * from information_schema.schema_privileges;
select * from information_schema.table_privileges;
select * from information_schema.column_privileges;

备注：重点核查高危权限、角色划分、管理员权限分离和多人共用 root 的情况。重点关注 ALL PRIVILEGES、GRANT OPTION、高权限业务账户。
预期证据：高权限账户截图、授权结果截图、角色分工说明、账号权限审批记录。

示例输出（节选）

mysql> show grants for 'root'@'localhost';
+------------------------------------------------------------------+
| Grants for root@localhost |
+------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO `root`@`localhost` WITH GRANT OPTION |
+------------------------------------------------------------------+
mysql> select * from information_schema.schema_privileges limit 3;
+-------------+---------------+-------------------------+--------------+
| GRANTEE | TABLE_CATALOG | TABLE_SCHEMA | PRIVILEGE_TYPE|
+-------------+---------------+-------------------------+--------------+
| 'appuser'@'192.168.10.%' | def | appdb | SELECT |
| 'appuser'@'192.168.10.%' | def | appdb | INSERT |
| 'report'@'localhost' | def | appdb | SELECT |
+-------------+---------------+-------------------------+--------------+

B. 默认账户、多余账户、来源地址限制

select user, host from mysql.user order by user, host;
select user, host from mysql.user where user='' or user is null;

备注：重点关注匿名账户、测试账户、过期账户和来源为 % 的账户，确认是否限制了管理来源地址。
预期证据：用户来源地址截图、匿名账户核查结果截图、账号清理记录、来源地址控制策略截图。

示例输出（节选）

mysql> select user, host from mysql.user where user='' or user is null;
Empty set (0.00 sec)
mysql> select user, host from mysql.user;
+----------+--------------+
| user | host |
+----------+--------------+
| appuser | 192.168.10.% |
| root | localhost |
+----------+--------------+

C. 细粒度授权与最小权限

select * from mysql.user\G
select * from mysql.db\G
select * from mysql.tables_priv\G
select * from mysql.columns_priv\G

备注：重点抽查重要业务库、重要表、敏感字段的细粒度授权情况，确认是否按最小权限原则授权。
预期证据：库级/表级/列级授权截图、重要业务账号权限抽查记录、权限申请审批记录。

示例输出（节选）

mysql> select user, host, db from mysql.db\G
*************************** 1. row ***************************
user: appuser
host: 192.168.10.%
 db: appdb
mysql> select user, host, db, table_name from mysql.tables_priv\G
*************************** 1. row ***************************
 user: report
 host: localhost
 db: appdb
table_name: t_order

D. 角色继承与特殊角色

select * from mysql.role_edges;
show grants for 'role_name';

备注：按实际角色名替换 role_name，重点说明角色继承链是否清晰、是否存在过度授权。
预期证据：角色继承关系截图、角色授权截图、角色设计说明。

示例输出（节选）

mysql> select * from mysql.role_edges;
+-----------+-----------+---------+---------+-------------------+
| FROM_HOST | FROM_USER | TO_HOST | TO_USER | WITH_ADMIN_OPTION |
+-----------+-----------+---------+---------+-------------------+
| % | app_read | localhost | appuser | N |
| % | app_write | localhost | appuser | N |
+-----------+-----------+---------+---------+-------------------+
mysql> show grants for 'app_read';
+----------------------------------------------------+
| Grants for app_read@% |
+----------------------------------------------------+
| GRANT SELECT ON `appdb`.* TO `app_read`@`%` |
+----------------------------------------------------+

安全审计

A. 审计功能是否开启

show variables like 'log_error';
show variables like 'general_log';
show variables like 'slow_query_log';
show binary logs;
show plugins;
show variables like 'audit_log%';

备注：重点核查是否启用可用于安全审计的日志或专用审计能力。普通日志可辅助核查，但更建议核查专用审计插件或第三方数据库审计。
预期证据：日志/审计参数截图、审计插件状态截图、第三方数据库审计界面截图。

示例输出（节选）

mysql> show variables like 'general_log';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| general_log | OFF |
+---------------+-------+
mysql> show variables like 'slow_query_log';
+---------------------+-------+
| Variable_name | Value |
+---------------------+-------+
| slow_query_log | ON |
+---------------------+-------+
mysql> show variables like 'audit_log%';
Empty set (0.00 sec)

B. 审计范围与审计对象

show variables like 'log_output';
show variables like 'audit_log_policy';
show variables like 'audit_log_format';

备注：重点看是否覆盖登录、权限变更、关键对象访问、失败操作等关键事件，是否满足安全审计取证要求。
预期证据：审计策略截图、审计事件样例截图、审计对象范围说明。

示例输出（节选）

mysql> show variables like 'audit_log_policy';
Empty set (0.00 sec)
mysql> show variables like 'log_output';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| log_output | FILE |
+---------------+-------+

C. 审计日志保护与留存

show variables like 'log_error';
show variables like 'general_log_file';
show variables like 'slow_query_log_file';
show variables like 'log_bin_basename';

备注：需结合操作系统侧核查日志目录权限、防篡改措施、集中存储和留存周期，一般还要关注是否定期备份。
预期证据：日志路径截图、目录权限截图、日志留存策略、备份策略或日志平台截图。

示例输出（节选）

mysql> show variables like 'log_error';
+---------------+------------------------------+
| Variable_name | Value |
+---------------+------------------------------+
| log_error | /opt/app/mysql/log/error.log |
+---------------+------------------------------+
mysql> show variables like 'general_log_file';
+------------------+--------------------------------------+
| Variable_name | Value |
+------------------+--------------------------------------+
| general_log_file | /opt/app/mysql/log/db01.log |
+------------------+--------------------------------------+

D. 审计失效告警

备注：通常需通过 systemd、监控平台、审计平台告警证明，现场可补查 systemctl status mysqld、日志采集进程状态和告警策略。

02-Oracle测评命令

Mon, 24 Aug 2026 00:00:00 +0800

Oracle数据库三级等级保护现场核查命令脚本（统一编号版）

适用范围：Oracle 11g/12c/19c

基础信息

show user;
select * from v$version;
select * from product_component_version;
select instance_name, instance_number from v$instance;
select name, log_mode from v$database;

备注：用于确认数据库版本、实例状态、归档模式和当前连接身份。
预期证据：版本截图、实例信息截图、数据库状态截图。

示例输出（节选）

SQL> show user
USER is "SYS"
SQL> select * from v$version;

BANNER
--------------------------------------------------------------------------------
Oracle Database 19c Enterprise Edition Release 19.0.0.0.0 - Production

SQL> select instance_name, instance_number from v$instance;

INSTANCE_NAME INSTANCE_NUMBER
---------------- ---------------
orcl 1

SQL> select name, log_mode from v$database;

NAME LOG_MODE
--------- ------------
ORCL ARCHIVELOG

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

select username, user_id, profile, account_status from dba_users order by username;
select profile, resource_name, limit from dba_profiles

where resource_name in (‘PASSWORD_VERIFY_FUNCTION’,‘PASSWORD_LIFE_TIME’,‘PASSWORD_REUSE_TIME’,‘PASSWORD_REUSE_MAX’,‘PASSWORD_GRACE_TIME’)

03-PostgreSQL测评命令

Mon, 24 Aug 2026 00:00:00 +0800

PostgreSQL数据库三级等级保护现场核查命令脚本（统一编号版）

适用范围：PostgreSQL/HGDB/兼容 PostgreSQL 的国产数据库

基础信息

SELECT version();

\du

show data_directory;

备注：用于确认数据库版本、角色、库列表和数据目录位置。
预期证据：版本截图、角色列表截图、数据库列表截图、数据目录截图。

示例输出（节选）

postgres=# SELECT version();
 version
-------------------------------------------------------------------------
 PostgreSQL 15.6 on x86_64-pc-linux-gnu, compiled by gcc (GCC) 4.8.5, 64-bit
(1 row)

postgres=# \du
 List of roles
 Role name | Attributes | Member of
-----------+------------------------------------------------------------+-----------
 appuser | | {}
 postgres | Superuser, Create role, Create DB, Replication, Bypass RLS | {}

postgres=# show data_directory;
 data_directory
------------------------
 /opt/app/pgsql/data
(1 row)

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

select usename, valuntil from pg_shadow;
show password_encryption;
show shared_preload_libraries;

备注：重点看账户状态、口令加密算法、是否启用 passwordcheck 等复杂度控制模块。若原生不支持定期更换，应说明外围实现方式。
预期证据：pg_shadow 截图、password_encryption 参数截图、插件/模块截图、账号制度。

示例输出（节选）

postgres=# select usename, valuntil from pg_shadow;
 usename | valuntil
----------+---------------------
 appuser | 2026-12-31 00:00:00
 postgres |
(2 rows)

postgres=# show password_encryption;
 password_encryption
---------------------
 scram-sha-256
(1 row)

postgres=# show shared_preload_libraries;
 shared_preload_libraries
--------------------------
 passwordcheck
(1 row)

B. 登录失败处理、会话超时退出

show idle_session_timeout;
show idle_in_transaction_session_timeout;
show statement_timeout;
show tcp_keepalives_idle;

备注：PostgreSQL 很多版本对失败登录处理支持有限，应重点说明是否通过外围平台实现。超时参数可作为自动退出的辅助证据。
预期证据：超时参数截图、第三方控制策略截图、访谈记录。

示例输出（节选）

postgres=# show idle_session_timeout;
 idle_session_timeout
----------------------
 10min
(1 row)

postgres=# show idle_in_transaction_session_timeout;
 idle_in_transaction_session_timeout
-------------------------------------
 5min
(1 row)

C. 远程管理传输保密

show ssl;
show ssl_cert_file;
show ssl_key_file;
show ssl_ca_file;

备注：还需结合 postgresql.conf、pg_hba.conf 判断是否对远程管理连接实际启用了安全认证与加密。
预期证据：SSL 参数截图、配置文件截图、证书配置截图、远程连接方式说明。

示例输出（节选）

postgres=# show ssl;
 ssl
-----
 on
(1 row)

postgres=# show ssl_cert_file;
 ssl_cert_file
----------------------
 server.crt
(1 row)

postgres=# show ssl_ca_file;
 ssl_ca_file
-------------
 root.crt
(1 row)

D. 组合鉴别

备注：通常需借助 LDAP、PAM、堡垒机、统一认证平台实现。

04-DB2测评命令

Mon, 24 Aug 2026 00:00:00 +0800

DB2数据库三级等级保护现场核查命令脚本（统一编号版）

适用范围：DB2 LUW

基础信息

su - db2inst1
db2level
db2ilist
db2 get instance
db2 list database directory
db2 list application

备注：用于确认实例、版本、数据库目录和当前活动连接情况。
预期证据：版本截图、实例信息截图、数据库目录截图、活动连接截图。

示例输出（节选）

$ su - db2inst1
$ db2level
DB21085I This instance or install (instance name: "db2inst1") uses 64 bits.
SQL0805N ... (版本标识略)
$ db2ilist
db2inst1
$ db2 get instance

 The current database manager instance is: db2inst1

$ db2 list database directory

 System Database Directory

 Number of entries in the directory = 1

Database 1 entry:

 Database name = NCDB
 Local database directory = /opt/app/db2/ncdb
$ db2 list application
Auth Id Application Appl. Application...
APPUSER db2bp.exe 1234 192.168.10.31...

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

db2 get dbm cfg
db2 get db cfg for NCDB

备注：DB2 部分口令策略可能依赖操作系统、LDAP 或插件，应结合数据库与 OS 认证方式综合判定。
预期证据：DBM/DB CFG 参数截图、认证方式说明、OS/LDAP 策略截图。

示例输出（节选）

$ db2 get dbm cfg | grep -i AUTHEN
 (Authentication) = SERVER

$ db2 get db cfg for NCDB | grep -i PASSWOR
Database configuration has been changed...
No password-related parameters found (口令策略依赖 OS/LDAP 时常见)

B. 登录失败处理、会话超时退出

db2 get dbm cfg
db2 get db cfg for NCDB

备注：重点关注失败登录限制、会话超时、连接超时类参数以及外围控制措施。
预期证据：相关参数截图、会话控制策略截图、访谈记录。

示例输出（节选）

$ db2 get dbm cfg | grep -iE 'MAX_CONNECTIONS|KEEPALIVE'
 (Max number of concurrently active databases) = AUTOMATIC(10)
 (KeepDASAlive) = YES

$ db2 get db cfg for NCDB | grep -i TIMEOUT
 No explicit idle timeout parameter（超时多由网络/中间层控制）

C. 远程管理传输保密

db2 get dbm cfg | findstr /I SSL

备注：应结合 SSL、证书和客户端连接配置判断是否对远程管理传输进行了加密保护。
预期证据：SSL 配置截图、证书截图、连接方式说明。

示例输出（节选）

$ db2 get dbm cfg | findstr /I SSL
 SSL server keytab file =
 SSL server keystore = /opt/app/db2/keystore/server.p12
 SSL server stashes =
 SSL client keystore =
 SSL client stashes =

D. 组合鉴别

备注：常依赖域控、LDAP、堡垒机或统一认证实现。

05-SQL Server测评命令

Mon, 24 Aug 2026 00:00:00 +0800

SQL Server三级等级保护现场核查命令与图形界面检查项（统一编号版）

适用范围：SQL Server 2012 及以上

基础信息

select @@version;
select name from sys.databases;

备注：用于确认数据库版本、库列表和现场数据库环境。
预期证据：版本截图、数据库列表截图。

示例输出（节选）

select @@version;
Microsoft SQL Server 2019 (RTM-CU22) 15.0.4355.3 ...

select name from sys.databases;
name
--------------------------------------------------
master
tempdb
model
msdb
AppDB

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

select name, is_disabled,

LOGINPROPERTY(name, ‘IsExpired’) as IsExpired,

LOGINPROPERTY(name, ‘IsLocked’) as IsLocked,

LOGINPROPERTY(name, ‘PasswordLastSetTime’) as PasswordLastSetTime

from sys.sql_logins;

备注：SSMS 路径：安全性 -> 登录名 -> 属性，查看“强制实施密码策略”“强制密码过期”。重点关注 sa、共享账户、长期未更换密码账户。
预期证据：登录名属性截图、登录账户列表截图、账号台账。

示例输出（节选）

name is_disabled IsExpired IsLocked PasswordLastSetTime
-------- ----------- --------- -------- -----------------------
sa 0 0 0 2026-03-12 09:41:02
appuser 0 0 0 2026-05-08 15:20:33
report 0 0 0 2025-11-27 10:05:17

B. 登录失败处理、会话超时退出

select name, LOGINPROPERTY(name, 'BadPasswordCount') as BadPasswordCount,

LOGINPROPERTY(name, ‘BadPasswordTime’) as BadPasswordTime

06-MongoDB测评命令

Mon, 24 Aug 2026 00:00:00 +0800

MongoDB数据库三级等级保护现场核查命令脚本（统一编号版）

适用范围：MongoDB 4.x/5.x/6.x

基础信息

mongo --version

db.version()

db.adminCommand({getCmdLineOpts: 1})

备注：用于确认数据库版本、启动参数和当前部署方式。
预期证据：版本截图、启动参数截图、部署说明。

示例输出（节选）

$ mongo --version
MongoDB shell version v6.0.14
Build Info: {
 "version": "6.0.14",
 "gitVersion": "xxx…",
 "modules": [],
 "openssl": {"running": "OpenSSL 1.0.2k-fips"}
}
> db.version()
6.0.14
> db.adminCommand({getCmdLineOpts: 1})
{
 argv: [ "/opt/app/mongodb/bin/mongod", "--config", "/etc/mongod.conf" ],
 parsed: { net: { port: 27017 }, ... }
}

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

use admin

db.getUsers()

db.system.users.find().pretty()

备注：MongoDB 原生对复杂度与定期更换支持有限，通常需依赖 LDAP/AD 或外围平台。

07-达梦测评命令

Mon, 24 Aug 2026 00:00:00 +0800

达梦数据库三级等级保护现场核查命令脚本（统一编号版）

基础信息

select * from v$version;
select * from dba_users;

备注：用于确认版本、用户和基础运行环境。
预期证据：版本截图、用户列表截图。

示例输出（节选）

SQL> select * from v$version;
行号 BANNER
-------- --------------------------------------------------
1 DM Database Server 64 V8
2 DB Version: 0x7000c
已用时间: 3.120(毫秒). 执行号:1001.
SQL> select username, account_status from dba_users;
USERNAME ACCOUNT_STATUS
---------- --------------
SYS OPEN
SYSDBA OPEN
SYSAUDITOR OPEN
APPUSER OPEN

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

select para_name, para_value from v$dm_ini where para_name like 'PWD_P%';
select t2.username, t1.reuse_max, t1.reuse_time

from sys.sysuser$ t1, sys.all_users t2

08-人大金仓测评命令

Mon, 24 Aug 2026 00:00:00 +0800

人大金仓数据库三级等级保护现场核查命令脚本（统一编号版）

基础信息

select version();
select * from sys_user;

备注：用于确认数据库版本和用户列表。
预期证据：版本截图、用户截图。

示例输出（节选）

test=# select version();
 version
----------------------------------------------------------------------------------------------------------------
 KingbaseES V008R006C007B0012 on x86_64-pc-linux-gnu, compiled by gcc (GCC) 4.8.5, 64-bit
(1 行记录)

test=# select name, rolvalidbegin, rolvaliduntil from sys_user;
 name | rolvalidbegin | rolvaliduntil
-----------+---------------+---------------
 system | |
 sso | |
 sao | |
 appuser | | 2026-12-31

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

打开 kingbase.conf 配置文件，核查口令复杂度、口令有效期。

备注：人大金仓很多安全配置更适合从配置文件和管理工具侧核查。

09-GaussDB测评命令

Mon, 24 Aug 2026 00:00:00 +0800

GaussDB数据库三级等级保护现场核查命令脚本（统一编号版）

基础信息

select version();
select username from db_users;

备注：用于确认版本和数据库用户。
预期证据：版本截图、用户截图。

示例输出（节选）

gaussdb=# select version();
 version
------------------------------------------------------------------------------------------------------------------------------------------
 GaussDB Kernel 505.1.0.SPC0100 build xxx… compiled at 2025-06-10 18:00:00 commit 0000 last_mr 0000
(1 row)

gaussdb=# select username from db_users;
 username
----------
 SYS
 APPUSER
 REPORT
(3 rows)

身份鉴别

A. 身份标识唯一、口令复杂度、定期更换

select resource_name, threshold from adm_profiles

where resource_name in (‘PASSWORD_REUSE_TIME’,‘FAILED_LOGIN_ATTEMPTS’,‘PASSWORD_LOCK_TIME’,‘PASSWORD_LIFE_TIME’)

order by resource_name;

备注：这些参数可直接对应口令有效期、重复使用限制、失败登录处理等控制点。
预期证据：参数截图、用户策略截图、制度材料。

示例输出（节选）

gaussdb=# select resource_name, threshold from adm_profiles
where resource_name in ('PASSWORD_REUSE_TIME','FAILED_LOGIN_ATTEMPTS','PASSWORD_LOCK_TIME','PASSWORD_LIFE_TIME');
 resource_name | threshold
--------------------------+-----------
 FAILED_LOGIN_ATTEMPTS | 5
 PASSWORD_LIFE_TIME | 90
 PASSWORD_LOCK_TIME | 1/48
 PASSWORD_REUSE_TIME | 60
(4 rows)

B. 登录失败处理、会话超时退出

select resource_name, threshold from adm_profiles

where resource_name in (‘FAILED_LOGIN_ATTEMPTS’,‘PASSWORD_LOCK_TIME’)

ActiveMQ-Artemis

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache ActiveMQ Artemis 2.x 单机、主备、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；消息内容和控制插件能力需结合现场实际启用情况判定。

基础信息

核查命令：

./artemis version 2>/dev/null
ps -ef | grep artemis
find . -name broker.xml -o -name bootstrap.xml

备注：确认版本、实例目录、配置目录、控制台地址、端口和数据目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

./artemis version
Apache ActiveMQ Artemis 2.28.0
ps -ef | grep artemis
artemis 5501 java -Xms512M -Xmx2G -jar artemis-boot.jar
./broker0/etc/broker.xml
./broker0/etc/bootstrap.xml

身份鉴别

A. 管理控制台登录

核查命令：

grep -R "console\\|hawtio\\|management" etc 2>/dev/null

备注：核查控制台是否启用、地址和认证方式。
预期证据：控制台截图、地址截图。

示例输出（节选）

grep console/hawtio etc（节选）
etc/bootstrap.xml: <binding uri="http://0.0.0.0:8161" name="artemis">
etc/broker.xml: <web bind="http://192.168.10.51:8161" path="console">
（控制台经 Nginx 反代+SSO 访问，直连仅限内网）

B. 用户与角色

核查命令：

AIX-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：AIX 7.2

说明：IBM 文档可直接支撑 oslevel 与 lssrc 的典型输出格式；对随现场变化的值仅描述关键字段。

系统版本核查

oslevel

预期现象：应输出系统版本级别；IBM 示例格式为 6.1.0.0，在 AIX 7.2 环境中通常表现为 7.2.x.x。

示例输出（节选）

7.2.0.0

oslevel -r

预期现象：应输出技术级别，常见格式类似 5300-02、6100-00。

示例输出（节选）

7200-07

uname -a

预期现象：应显示系统名、节点名、版本、架构等信息。

示例输出（节选）

AIX aixprod 2 7 00F8A3CC4C00

ifconfig -a

预期现象：应显示网络接口和 IP 信息。

示例输出（节选）

en0: flags=1e080863,480<UP,BROADCAST,NOTRAILERS,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
 inet 192.168.10.21 netmask 0xffffff00 broadcast 192.168.10.255
lo0: flags=e08084b,c<UP,BROADCAST,LOOPBACK,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
 inet 127.0.0.1 netmask 0xff000000 broadcast 127.0.0.1

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:!:0:0::/:/usr/bin/ksh
daemon:!:1:1::/etc:
bin:!:2:2::/bin:
sys:!:3:3::/usr/sys:
appuser:!:210:1::/home/appuser:/usr/bin/ksh

cat /etc/security/passwd

预期现象：应列出口令散列相关信息，通常需高权限。

示例输出（节选）

root:
 password = {ssha512}06$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
 lastupdate = 1735689600
 flags = ADMCHG
appuser:
 password = {ssha512}06$yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
 lastupdate = 1722470400

cat /etc/security/user

预期现象：应显示用户口令默认设置。

示例输出（节选）

default:
 admin = false
 login = true
 su = true
 maxage = 12
 minage = 1
 minalpha = 2
 minother = 2
 mindiff = 3
 loginretries = 5
 histexpire = 26
 histsize = 5

cat /etc/security/login.cfg

预期现象：应显示登录策略参数。

示例输出（节选）

default:
 logindelay = 4
 logintimeout = 60
 logininterval = 600
 maxlogins = 32
usw:
 shells = /bin/sh,/bin/bsh,/bin/csh,/bin/ksh,/usr/bin/ksh

lsrole -f ALL

预期现象：应显示角色定义和属性。

示例输出（节选）

ManageAllUsers: authorized_roles=ALL default_roles= screen=NONE visibility=1
Operator: authorized_roles=ManageBasicUsers default_roles= screen=NONE visibility=1
SecurityAdmin: authorized_roles=ALL default_roles= screen=sec_ww visibility=1

lsuser ALL

预期现象：应显示用户属性。

示例输出（节选）

root id=0 pgrp=system groups=system,bin,adm,security home=/ shell=/usr/bin/ksh
daemon id=1 pgrp=staff groups=staff home=/etc shell=/usr/bin/ksh
bin id=2 pgrp=bin groups=bin home=/bin shell=/usr/bin/ksh
appuser id=210 pgrp=staff groups=staff,audit home=/home/appuser shell=/usr/bin/ksh

远程接入与服务核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证方式、算法和访问控制参数。

示例输出（节选）

Port 22
Protocol 2
PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 60
PasswordAuthentication yes
PubkeyAuthentication yes
X11Forwarding no
Subsystem sftp /usr/sbin/sftp-server

ssh -Q cipher

预期现象：安装 OpenSSH 时应列出客户端支持的对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：安装 OpenSSH 时应列出客户端支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96

ssh -Q kex

预期现象：安装 OpenSSH 时应列出客户端支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
curve25519-sha256

ssh -Q key

预期现象：安装 OpenSSH 时应列出客户端支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.1p1, OpenSSL 1.1.1k 25 Mar 2021

lssrc -t ssh

预期现象：IBM 示例格式通常包含 Subsystem、Group、PID、Status 列。

示例输出（节选）

Subsystem Group PID Status
 ssh 4849924 active

lssrc -t sshd

预期现象：应显示 sshd 服务状态。

示例输出（节选）

Subsystem Group PID Status
 sshd 4849924 active

lssrc -t telnet

预期现象：停止时可见 inoperative，运行时可见 active。

示例输出（节选）

Subsystem Group PID Status
 telnet inoperative

lssrc -t ftp

预期现象：应显示 ftp 服务状态。

示例输出（节选）

Subsystem Group PID Status
 ftp inoperative

netstat -an | grep 21

预期现象：启用 FTP 时应看到 21 端口监听或连接信息。

示例输出（节选）

tcp4 0 0 *.21 *.* LISTEN

netstat -an | grep 22

预期现象：启用 SSH 时应看到 22 端口监听或连接信息。

示例输出（节选）

tcp4 0 0 *.22 *.* LISTEN
tcp 0 0 192.168.10.21.22 192.168.10.5.52341 ESTABLISHED

netstat -an | grep 23

预期现象：启用 Telnet 时应看到 23 端口监听或连接信息。

示例输出（节选）

# telnet 未启用时通常无输出

cat /etc/inetd.conf

预期现象：应显示 inetd 管理的服务配置。

示例输出（节选）

#ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd
#telnet stream tcp6 nowait root /usr/sbin/telnetd telnetd
#shell stream tcp6 nowait root /usr/sbin/rshd rshd
#login stream tcp6 nowait root /usr/sbin/rlogind rlogind

lssrc -ls inetd

预期现象：应显示 inetd 当前管理的服务信息。

示例输出（节选）

Subsystem Group PID Status
 inetd tcpip 3768502 active

Source /etc/inetd.conf
Service command status:
ftp comments enabled
telnet comments enabled

安全审计核查

ps -ef | grep syslog

预期现象：运行 syslog 时应看到相关进程。

示例输出（节选）

 root 4849924 1 0 Aug 18 - 0:04 /usr/sbin/syslogd
 root 56623152 58327242 1 09:32:44 pts/0 0:00 grep syslog

lssrc -s syslogd

预期现象：应显示 syslogd 状态。

示例输出（节选）

Subsystem Group PID Status
 syslogd ras 4849924 active

audit query

预期现象：应显示操作系统审计功能状态。

示例输出（节选）

audobjects on
auditbin on
binmode = panic
streammode = dual
stream: /audit/stream.out

/usr/sbin/audit query

预期现象：应显示与 audit query 相同的状态信息。

示例输出（节选）

audobjects on
auditbin on
binmode = panic
streammode = dual

lssrc -s auditd

预期现象：应显示 auditd 状态。

示例输出（节选）

Subsystem Group PID Status
 auditd audit 4630536 active

cat /etc/security/audit/config

预期现象：应显示审计配置。

示例输出（节选）

start:
 binmode = on
 streammode = on

bin:
 trail = /audit/trail
 binsize = 25000

classes:
 general = USER_SU,PASSWORD_Change,FILE_Unlink
 objects = S_PASSWD_READ,/etc/security/user

cat /etc/syslog.conf

预期现象：应显示日志规则和转发配置。

示例输出（节选）

*.err;kern.debug;daemon.notice;mail.crit /var/adm/messages
auth.info /var/adm/authlog
*.notice @loghost.example.local

auditpr -v

预期现象：应显示审计输出或审计格式信息。

示例输出（节选）

event loginstatus
command /usr/sbin/login
result FAILURE
login user=root tty=/dev/lft0 host=UNKNOWN

tail -n 20 /var/adm/sulog

预期现象：应输出最近的 su 操作日志。

示例输出（节选）

su: GOOD su-by root on /dev/pts/0 at 08/24/26 08:31:02
su: BAD su-from appuser to root on /dev/pts/1 at 08/24/26 08:35:47
su: GOOD su-by appuser on /dev/pts/2 at 08/23/26 17:02:11

last -n 20

预期现象：应输出最近登录记录。

示例输出（节选）

appuser pts/1 192.168.10.55 08 24 09:01 still logged in.
root pts/0 192.168.10.30 08 24 08:30 - 08:45 (00:15).
appuser pts/2 192.168.10.55 08 23 17:00 - 19:12 (02:12).

wtmp begins Mon Aug 03 08:00:00 2026

who /etc/security/failedlogin

预期现象：应显示失败登录记录。

示例输出（节选）

appuser pts/1 Aug 24 07:58 192.168.10.99
root pts/0 Aug 24 08:12 192.168.10.77

关键文件权限核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 1521 Mar 12 2025 /etc/passwd

ls -l /etc/security/user

预期现象：应显示关键文件权限。

示例输出（节选）

-rw------- 1 root security 8842 Feb 03 2025 user

ls -l /etc/security/login.cfg

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 3312 Nov 22 2024 login.cfg

ls -l /etc/syslog.conf

预期现象：应显示日志配置文件权限。

示例输出（节选）

-rw-r--r-- 1 root system 612 Jan 15 2025 /etc/syslog.conf

ls -l /var/adm/sulog

预期现象：应显示日志文件权限。

示例输出（节选）

-rw------- 1 root system 10240 Aug 24 09:12 /var/adm/sulog

ls -l /var/adm/wtmp

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-rw-r-- 1 adm adm 1048576 Aug 24 09:01 /var/adm/wtmp

ls -l /etc/utmp

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-rw-r-- 1 bin bin 480 Aug 24 09:01 /etc/utmp

ls -l /etc/security/faillogin

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 1200 Aug 24 08:12 faillogin

ls -l /etc/security/lastlog

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-r--r-- 1 root security 3400 Aug 24 09:01 lastlog

最小安装与补丁核查

lslpp -la | more

预期现象：应列出已安装软件清单。

示例输出（节选）

 Fileset Level State Type Description
 ----------------------------------------------------------------------------
Path: /usr/lib/objrepos
 bos.rte 7.2.5.0 COMMITTED R Base Operating System Runtime
 openssh.base.client 8.1.102.1700 COMMITTED R Open Secure Shell Commands
 openssh.base.server 8.1.102.1700 COMMITTED R Open Secure Shell Server
State codes:
 A -- Applied.
 C -- Committed.

instfix -i

预期现象：应显示补丁安装情况。

示例输出（节选）

All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.
Not all filesets for 7200-02_AIX_ML were found.

instfix -i | grep AIX_ML

预期现象：应筛出 AIX_ML 级别补丁条目。

示例输出（节选）

All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

sshd : 192.168.10.0/255.255.255.0 : ALLOW

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

# 未配置拒绝规则时通常为空或仅有注释行

cat /etc/profile

预期现象：应显示登录环境和超时控制参数。

示例输出（节选）

export PATH=/usr/bin:/etc:/usr/sbin:$HOME/bin:/sbin
TMOUT=600 ; export TMOUT
umask 022

时钟同步与计划任务核查

lsattr -El sys0

预期现象：应显示系统时钟、时区或相关系统属性配置。

示例输出（节选）

maxbuf 20 Maximum number of pages in block I/O BUFFER CACHE True
modelname IBM,9000-32E Machine name False
systemid Hardware system identifier False
tz Asia/Shanghai Time zone (TZ) variable with DST suitability True

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。

示例输出（节选）

#0 2 * * 0 /usr/local/scripts/backup.sh >/dev/null 2>&1
30 1 * * * /usr/local/scripts/logclean.sh >/dev/null 2>&1

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
AllowUsers opsadmin deploy

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

permitrootlogin no
logingracetime 60
maxauthtries 4
allowusers opsadmin deploy

安全基线与完整性核查

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

******************************************************************
* 本系统为生产环境受控主机，仅限授权人员操作，操作将被审计。 *
******************************************************************

lslpp -L | head

预期现象：应显示已安装软件包摘要信息。

示例输出（节选）

 Fileset Level State Type Description
 ----------------------------------------------------------------------------
 bos.rte 7.2.5.0 C F Base Operating System Runtime
 openssh.base.client 8.1.102.1700 C F Open Secure Shell Commands
 openssh.base.server 8.1.102.1700 C F Open Secure Shell Server

ApacheHTTPServer

Mon, 24 Aug 2026 00:00:00 +0800

Apache HTTP Server三级现场标准核查脚本

适用范围：Apache HTTP Server 2.2/2.4、含反向代理、静态站点、SSL 网关场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；如 Apache 仅承担代理或静态分发能力，不直接处理个人信息或不具备独立登录机制，则相关控制点可按边界判定不适用。

基础信息

核查命令：

httpd -v
apachectl -V
ps -ef | grep httpd
find / -name httpd.conf -o -name apache2.conf 2>/dev/null

备注：优先确认版本、主配置文件、虚拟主机目录、模块、日志路径、运行用户和监听端口。
预期证据：版本截图、配置路径截图、模块截图、进程与端口截图。

示例输出（节选）

httpd -v
Server version: Apache/2.4.57 (CentOS Stream)
Server built: Apr 20 2024 08:12:00
apachectl -V | grep SERVER_CONFIG_FILE
SERVER_CONFIG_FILE: "conf/httpd.conf"
ps -ef | grep httpd（节选）
root 7701 /usr/sbin/httpd -DFOREGROUND
apache 7702 /usr/sbin/httpd -DFOREGROUND

身份鉴别

A. 管理入口识别

核查命令：

grep -R "server-status\\|server-info" /etc/httpd /etc/apache2 /usr/local/apache2/conf 2>/dev/null

备注：重点识别 server-status、server-info、WebDAV、管理目录和状态页。
预期证据：状态页配置截图、访问结果截图。

示例输出（节选）

/etc/httpd/conf.modules.d/00-base.conf: LoadModule status_module modules/mod_status.so
/etc/httpd/conf.d/status.conf: <Location /server-status>
/etc/httpd/conf.d/status.conf: SetHandler server-status

B. 认证机制

核查命令：

Apusic-金蝶

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apusic Application Server、金蝶中间件相关部署场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；如产品功能由厂商二次封装或由业务系统承接，应按照实际处理边界做不适用判定。

基础信息

核查命令：

find . -name aas-version.properties -o -name domain.xml
ps -ef | grep apusic

备注：根据原始资料，重点确认 ApusicAS/aas/config/aas-version.properties、domains/mydomain/config、logs、applications 目录。
预期证据：版本文件截图、配置目录截图、日志目录截图、部署目录截图。

示例输出（节选）

find . -name aas-version.properties
ApusicAS/aas/config/aas-version.properties
ps -ef | grep apusic（节选）
apusic 14101 java -Daas.domain=/opt/ApusicAS/aas/domains/mydomain
product.version=6.5.2 build=20240415

身份鉴别

A. 管理控制台登录

核查命令：

find . -type f | grep -i "admin\\|console\\|login"

备注：优先确认是否存在管理控制台、登录地址、认证方式和运维入口保护措施。
预期证据：登录页截图、地址截图、HTTPS 截图。

示例输出（节选）

find . | grep admin|console|login
domains/mydomain/applications/console.war
（管理控制台为 console 应用，路径经反代改写并限源）

B. 本地账户与外部认证

核查命令：

grep -R "user\\|role\\|ldap\\|auth" ApusicAS/aas/domains/mydomain/config 2>/dev/null

备注：核查本地账户、默认管理员、共享账户和外部认证接入情况。
预期证据：账户配置截图、账号台账、访谈记录。

示例输出（节选）

grep user/role/ldap domains/mydomain/config（节选）
config/twusers.xml: <user name="apuadmin" password="{AES}***"/>
<realm type="ldap" url="ldap://192.168.20.10:389"/>
（管理员实名账户+LDAP 联合认证可选）

C. 口令与失败处理

核查命令：

Arista

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Arista 7xxx/72xx/75xx 等交换设备和采用 EOS 命令体系的路由交换平台。

使用说明：

本脚本适用于 EOS CLI 场景，命令风格接近 Cisco，但管理、日志和 API 能力更偏数据中心设备。
现场应同时关注 CLI 配置、show running-config、eAPI/管理 API、MLAG 和 VXLAN/EVPN 等特性。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
若设备仅承担二三层转发而不承载 NAC、802.1X、Portal、用户身份认证等业务，“个人信息保护”可按对象边界说明不适用。
若现场未部署 MLAG、VXLAN、eAPI 或高级防护特性，对应增强核查项可判定为“未启用/不适用”，但基础访问控制、日志和管理面防护仍需核查。

基础信息

核查命令：

show version
show inventory
show interfaces status
show ip route summary
show running-config

备注：确认 EOS 版本、序列号、接口状态、Leaf/Spine 角色和 MLAG/EVPN 架构。
预期证据：版本截图、资产截图、接口摘要截图、运行配置截图。

示例输出（节选）

SW-demo#show version
Arista Networks EOS version 4.27.3F running on an Arista 7050SX3-48YC8
Hardware version: 11.02
System uptime: 32 weeks, 1 days, 4 hours, 12 minutes
Total memory: 16307380 kB
Free memory: 8123456 kB

身份鉴别

A. 认证方式

核查命令：

Cisco

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Cisco Catalyst、ISR/ASR 路由器及常见 IOS/IOS-XE 平台网络设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

show running-config
show version
show ip interface brief
show ip route
show vlan brief

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

示例输出（节选）

SW-demo#show version
Cisco IOS XE Software, Version 17.06.04
Cisco IOS Software [Bangalore Valley], Catalyst L3 Switch Software (CAT9K_IOSXE), Version 17.6.4
SW-demo uptime is 32 weeks, 1 day, 4 hours, 12 minutes
System image file is "flash:packages.conf"
cisco C9300-48T (X86) processor with 1616719K/6147K bytes of memory.
SW-demo#show ip interface brief
Interface IP-Address OK? Method Status Protocol
GigabitEthernet1/0/1 unassigned YES unset up up
Vlan10 192.168.10.1 YES manual up up
Vlan99 unassigned YES unset administratively down down

身份鉴别

A. 认证方式

核查命令：

Cisco防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 Cisco ASA、Firepower Threat Defense(Firepower/FTD) 等常见系统。ASA 与 FTD 命令体系不同，现场先识别版本和管控方式。

基础信息

核查命令：

show version
show running-config
show inventory
show failover

备注：
- 记录型号、版本、补丁、授权、FMC 纳管与否。
预期证据：
- 版本截图

示例输出（节选）

Cisco Adaptive Security Appliance Version 9.16(3)
...
Serial Number: JAD23xxxxxxx
up 45 days 8 hours
Failover : Active

身份鉴别

A. 管理员账户与角色

核查命令：

show aaa-server
show running-config username
show running-config aaa

备注：
- ASA 侧重点在 username/aaa，FTD/FMC 场景还需平台取证。
预期证据：
- 账号截图

示例输出（节选）

aaa-server RAD-SVR protocol radius
 radius-common-pw *****
username admin password ***** pbkdf2 privilege 15

B. 口令策略

核查命令：

Dell

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Dell PowerConnect、OS6/OS9/OS10 交换机及相关网络设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

show version
show running-config
show running-configuration
show interface brief
show ip route

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

示例输出（节选）

SW-demo# show version
Dell EMC Networking OS10 Enterprise
System Type : S4148F-ON
Software Version : 10.5.4.2
Up Time : 32 weeks, 1 days, 4 hours, 12 minutes

身份鉴别

A. 认证方式

核查命令：

show running-configuration aaa
show local-user
show ip ssh
show ssh server status

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

B. 账号与权限主体

核查命令：

Docker

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Docker Engine、单机容器部署、通过 Docker 承载中间件/应用的场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019“按测评对象实际功能、是否直接处理数据、是否具备该类安全机制判定”的原则；Docker 主要是容器运行平台，很多业务性控制点需转由容器内应用或上层平台测评。

基础信息

核查命令：

docker version
docker info
docker ps -a
docker inspect <容器名>

备注：先确认 Docker 版本、数据根目录、容器清单、镜像来源、宿主机路径映射、网络模式和日志驱动。
预期证据：版本截图、容器清单截图、镜像截图、宿主机路径与端口截图。

示例输出（节选）

Client: Docker Engine - Community
 Version: 24.0.7
Server: Docker Engine - Community
 Engine Version: 24.0.7
 Containers: 6 Images: 14
CONTAINER ID IMAGE STATUS NAMES
a1b2c3d4e5f6 redis:7.2-alpine Up 30 days demo-redis
f6e5d4c3b2a1 nginx:1.24-alpine Up 30 days demo-web

身份鉴别

A. Docker API 与管理入口

核查命令：

EMQX

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：EMQX 4.x/5.x Broker 单节点、集群和企业版场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；EMQX 既可能只是协议接入层，也可能直接承载用户设备身份和消息内容，需按现场实际角色判定。

基础信息

核查命令：

emqx version 2>/dev/null
ps -ef | grep emqx
find . -name emqx.conf -o -name cluster.hocon -o -name emqx_dashboard.conf

备注：先识别版本、部署模式、节点角色、Dashboard 地址、监听端口、配置目录和日志目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

emqx version
EMQ X Enterprise 5.4.1
ps -ef | grep emqx（节选）
emqx 12101 beam.smp -emqx etc /opt/emqx/etc
find .
etc/emqx.conf etc/cluster.hocon data/configs/cluster.hocon

身份鉴别

A. Dashboard 登录鉴别

核查命令：

grep -R "dashboard" etc data/config 2>/dev/null

备注：重点核查 Dashboard 是否开启、是否要求密码、是否通过 HTTPS、是否限制来源。
预期证据：Dashboard 登录截图、配置截图。

示例输出（节选）

grep dashboard etc
etc/emqx.conf: dashboard.listeners.http.bind = "192.168.10.101:18083"
（Dashboard 仅内网绑定，经堡垒机映射访问）

B. 客户端认证方式

核查命令：

Extreme

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Extreme Networks 交换路由设备，主要覆盖 ExtremeXOS / EXOS 与 VOSS 常见现场命令体系。

使用说明：

Extreme 设备现场需先确认是 EXOS/ExtremeXOS 还是 VOSS/Fabric Engine，命令和高可用口径差异较大。
对不支持的命令，优先以 show configuration、Web/平台截图和运维材料补证。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
若设备不承载认证接入、Portal、NAC 或个人身份映射业务，可将“个人信息保护”控制点按对象边界说明不适用。
若设备型号未启用 Fabric、堆叠、DoS Protect、NetLogin 等特性，可将相关增强核查项标注为“未启用/不适用”，但管理面防护和日志联动不得省略。

基础信息

核查命令：

show version
show switch
show ports information
show iproute summary
show configuration

备注：确认型号、系统版本、槽位/堆叠、Fabric/MLT 形态、接口与路由角色。
预期证据：版本截图、交换机摘要截图、接口截图、配置截图、资产台账。

身份鉴别

A. 认证方式

核查命令：

show mgmt
show radius
show tacacs
show ssh2

备注：核查本地用户、RADIUS、TACACS+、SSH 和管理平面认证方式。
预期证据：AAA 截图、SSH 截图、堡垒机材料。

B. 账号与权限主体

核查命令：

show accounts
show management access-list

备注：核查本地账号、权限级别、共享管理员和来源限制。
预期证据：账号截图、权限截图、账号台账。

C. 口令复杂度与失败处理

核查命令：

H3C

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：H3C S 系列、MSR/MSR 路由器、IRF 场景及同类 Comware 平台设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

display current-configuration
display version
display device
display interface brief
display ip routing-table

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

示例输出（节选）

<SW-demo>display version
H3C Comware Software, Version 7.1.070, Release 6639P10
Copyright (c) 2004-2024 New H3C Technologies Co., Ltd.
H3C S6520X-54QC-HI uptime is 30 weeks, 2 days, 11 hours, 25 minutes

身份鉴别

A. 认证方式

核查命令：

display local-user
display ssh server
display telnet server
display ldap scheme

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

示例输出（节选）

<SW-demo>display ssh server
 Stelnet server : Enabled
 SFTP server : Disabled
 SCP server : Disabled
 SSH server port : 22

B. 账号与权限主体

核查命令：

H3C防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 H3C SecPath/NGFW 常见系统。建议先执行 display version、display current-configuration。

基础信息

核查命令：

display version
display device
display current-configuration
display interface brief

备注：
- 先确认型号、版本、补丁、主备和管理地址。
预期证据：
- 版本截图
- 配置摘要截图

示例输出（节选）

H3C SecPath F100-C-G5 uptime is 12 days, 3:25:11
H3C Comware Software, Version 7.1.070, Release 0821P21

身份鉴别

A. 管理员账户与角色

核查命令：

display local-user
display user-role

备注：
- 排查默认账号、共享账号和高权账号过多问题。
预期证据：
- 本地用户截图
- 用户角色截图

示例输出（节选）

Username: secadmin Role: security-admin State: Enable
Username: audadmin Role: audit-admin State: Enable

B. 口令策略

核查命令：

display password-control
display current-configuration | include password

备注：

HP-UX-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：HP-UX 11i v3（11.31 / B.11.31）

说明：HPE 官方资料可直接支撑 11i v3 对应版本号 11.31；对随安装介质变化的 OE 名称仅保留关键字段预期。

系统版本核查

uname -r

预期现象：示例输出关键字段为 B.11.31。
示例输出（节选）
```
B.11.31
```

ifconfig

预期现象：应显示网络接口和 IP 信息。

示例输出（节选）

lan0: flags=843<UP,BROADCAST,RUNNING,MULTICAST>
 inet 192.168.10.21 netmask ffffff00 broadcast 192.168.10.255

swlist HPUX*OE*

预期现象：关键字段通常包含 B.11.31，完整 OE 名称随已安装介质而异。
示例输出（节选）
```
HPUX11i-OE B.11.31 HP-UX 11i v3 Operating Environment
```

账户与口令策略核查

cat /etc/hosts.equiv

预期现象：部分主机该文件可能不存在；如存在则应显示信任主机配置。
示例输出（节选）
```
cat: 该文件不存在（部分主机未部署此文件）
```

find / -name .rhosts

预期现象：存在 .rhosts 文件时应输出路径。
示例输出（节选）
```
/users/app/.rhosts
```

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:3:superuser:/:/sbin/sh
bin:x:2:2:bin:/usr/bin:/sbin/sh
appadm:x:101:20::/home/appadm:/usr/bin/sh

cat /etc/group

预期现象：应列出本地组。
示例输出（节选）
```
root::0:root,other
users::20:appadm,dev01
```

cat /etc/default/security

预期现象：应显示安全策略配置。

示例输出（节选）

# /etc/default/security（节选）
MIN_PASSWORD_LENGTH=8
PASSWORD_HISTORY_DEPTH=5
AUTH_MAXTRIES=5
PASSWORD_MIN_DAYS=1

cat /etc/default/passwd

预期现象：应显示口令策略；部分资产可能无该文件。
示例输出（节选）
```
HISTSIZE=5
MIN_PASSWORD_LENGTH=8
# PASSWORD_WARNDAYS=7
```

cat /etc/profile

预期现象：应显示登录超时控制参数。
示例输出（节选）
```
# Set login timeout
TMOUT=600 ; export TMOUT
```

远程接入与服务核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证与算法参数。

示例输出（节选）

# sshd_config（节选）
PermitRootLogin no
MaxAuthTries 4
PasswordAuthentication yes
Protocol 2

ssh -Q cipher

预期现象：安装 OpenSSH 客户端时应列出支持的对称加密算法。
示例输出（节选）
```
3des-cbc
aes128-cbc,aes192-cbc,aes256-cbc
aes128-ctr,aes256-ctr,...
```

ssh -Q mac

预期现象：安装 OpenSSH 客户端时应列出支持的 MAC 算法。
示例输出（节选）
```
hmac-sha1
hmac-sha2-256
hmac-sha2-512
```

ssh -Q kex

预期现象：安装 OpenSSH 客户端时应列出支持的密钥交换算法。
示例输出（节选）
```
diffie-hellman-group-exchange-sha256
diffie-hellman-group14-sha256
ecdh-sha2-nistp256
```

ssh -Q key

预期现象：安装 OpenSSH 客户端时应列出支持的主机密钥/公钥算法。
示例输出（节选）
```
ssh-rsa,rsa-sha2-256,rsa-sha2-512,ecdsa-sha2-nistp256
```

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.4p1 HP-UX Secure Shell-A.08.40.001, OpenSSL 1.1.1t 30 Apr 2023

ps -elf | grep ftp

预期现象：运行 FTP 时应显示 ftp 相关进程。
示例输出（节选）
```
 appadm 4722 1 0 08:00:01 ? 0:00 /usr/lbin/ftpd -l -a
```

ps -elf | grep ssh

预期现象：运行 SSH 时应显示 ssh 相关进程。
示例输出（节选）
```
 root 3810 1 0 Mar 14 ? 0:02 /opt/ssh/sbin/sshd -D
```

ps -elf | grep telnet

预期现象：运行 Telnet 时应显示 telnet 相关进程。
示例输出（节选）
```
 appadm 5120 3801 0 08:15:22 pts/tb 0:00 grep telnet
```

netstat -an | grep 21

预期现象：启用 FTP 时应看到 21 端口监听或连接信息。
示例输出（节选）
```
tcp 0 0 *.21 *.* LISTEN
```

netstat -an | grep 22

预期现象：启用 SSH 时应看到 22 端口监听或连接信息。
示例输出（节选）
```
tcp 0 0 *.22 *.* LISTEN
```

netstat -an | grep 23

预期现象：启用 Telnet 时应看到 23 端口监听或连接信息。
示例输出（节选）
```
tcp 0 0 *.23 *.* LISTEN
```

cat /etc/inetd.conf

预期现象：应显示 inetd 管理的服务配置。

示例输出（节选）

telnet stream tcp nowait root /usr/lbin/telnetd telnetd
ftp stream tcp nowait root /usr/lbin/ftpd ftpd -l -a

cat /var/adm/inetd.sec

预期现象：应显示 inetd 安全控制配置。
示例输出（节选）
```
ftp allow 192.168.10.*
telnet deny *
```

cat /etc/securetty

预期现象：应显示 root 可登录终端定义。
示例输出（节选）
```
console
/dev/pts/*
```

安全审计核查

ps -ef | grep syslog

预期现象：运行 syslog 时应显示相关进程。
示例输出（节选）
```
 root 2744 1 0 Mar 14 ? 0:05 /usr/sbin/syslogd -D
```

cat /etc/syslog.conf

预期现象：应显示日志记录和转发配置。

示例输出（节选）

# syslog.conf（节选）
*.info;mail.none /var/adm/syslog/syslog.log
*.alert /dev/console
*.debug @logsvr.example.internal

ls -l /etc/syslog.conf

预期现象：应显示日志配置文件权限。
示例输出（节选）
```
-rw-r--r-- 1 root root 412 Nov 10 2023 /etc/syslog.conf
```

ls -l /var/.audit/audfile1

预期现象：应显示审计文件权限；文件不存在时应结合现场确认审计实现方式。
示例输出（节选）
```
-rw-r----- 1 root audit 2048 Aug 21 09:30 /var/.audit/audfile1
```

ls -l /var/.audit/audfile2

预期现象：应显示审计文件权限；文件不存在时应结合现场确认审计实现方式。
示例输出（节选）
```
-rw-r----- 1 root audit 2048 Aug 21 09:45 /var/.audit/audfile2
```

ls -l /var/adm/syslog/*.log

预期现象：应显示日志文件权限。

示例输出（节选）

-rw-rw-rw- 1 root root 5242880 Aug 21 18:00 /var/adm/syslog/syslog.log
-rw-r--r-- 1 root root 262144 Aug 20 23:55 /var/adm/syslog/mail.log

tail -100 /var/adm/syslog/syslog.log

预期现象：应输出最近 100 行 syslog 日志。

示例输出（节选）

Aug 21 08:00:03 demo-hpux01 sshd[4122]: Accepted password for appadm from 192.168.10.33 port 51244 ssh2
Aug 21 08:02:11 demo-hpux01 vmunix: Ethernet lan0 link up at 1000 Mbps

tail -20 /var/adm/sulog

预期现象：应输出最近 su 日志。
示例输出（节选）
```
SU 08/21 09:12 + pts/tb appadm-root
```

tail -20 /var/adm/messages

预期现象：应输出最近系统日志。

示例输出（节选）

Aug 21 06:25:01 demo-hpux01 cron[3011]: (root) CMD (/usr/bin/find /var/tmp -atime +7 -delete)

访问控制与最小安装核查

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。
示例输出（节选）
```
# 未配置时文件可能为空或不存在
```

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。
示例输出（节选）
```
# 未配置时文件可能为空或不存在
```

swlist -l bundle

预期现象：应列出已安装的软件包束。

示例输出（节选）

BUNDLE SOFTWARE STATE REV
HPUX11i-OE B.11.31.2209 applied
GNUSW-Utils B.11.31.0706 configured

时间同步与计划任务核查

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。
示例输出（节选）
```
crontab: you are not authorized to use cron.
```

ps -ef | grep xntpd

预期现象：启用 NTP 服务时通常会看到 xntpd 进程；未启用时通常无有效结果。
示例输出（节选）
```
 root 2980 1 0 Mar 14 ? 0:00 /usr/sbin/xntpd
```

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
```
PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
```

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
```
permitrootlogin no
logingracetime 60
maxauthtries 4
```

安全基线与完整性核查

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

******************************************************************
* 本系统仅供授权人员使用，操作将被审计并记录。 *
******************************************************************

HPE-Aruba

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：HPE Aruba CX 交换机、ArubaOS-Switch 设备及同类园区交换平台。

使用说明：

现场需先识别是 AOS-CX 还是 ArubaOS-Switch/ProVision，二者命令风格不同。
同一控制点优先执行主命令，若不支持，再使用配置全文、Web 管理或 Aruba Central 截图补证。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
若设备未接入 NAC、访客网络、Portal 或 802.1X 认证体系，可将与个人身份数据直接处理相关的核查项判定为不适用。
若设备型号不支持 VSF、VSX、ARP Protect、DHCP Snooping 等增强防护功能，可按具体型号说明“命令不支持/特性不适用”，并补基础加固证据。

基础信息

核查命令：

show version
show system
show interface brief
show ip route summary
show running-config

备注：确认型号、系统版本、管理地址、接口状态、堆叠/VSF/VSX 形态和网管接入情况。
预期证据：版本截图、系统摘要截图、接口截图、配置截图、资产台账。

身份鉴别

A. 认证方式

核查命令：

show aaa authentication
show tacacs
show radius
show ssh

备注：核查本地认证、RADIUS、TACACS+、SSH 和集中管理认证方式。
预期证据：AAA 截图、SSH 截图、堡垒机或 Central 材料。

B. 账号与权限主体

核查命令：

IIS

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Windows IIS 7.5/8/8.5/10，含站点、应用程序池、反向代理和 WebDAV 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；IIS 常作为站点容器或代理网关，涉及业务型控制点时应结合站点和上层应用判定。

基础信息

核查命令：

Get-WindowsFeature Web-Server
Get-ItemProperty 'HKLM:\\SOFTWARE\\Microsoft\\InetStp'
Get-Website
Get-WebAppPoolState -Name *
备注：确认 IIS 版本、站点、应用程序池、绑定、物理路径、证书、日志路径和扩展模块。
预期证据：版本截图、站点列表截图、应用池截图、绑定截图。

示例输出（节选）

Get-Website（节选）
Name State PhysicalPath Bindings
DemoSite Started C:\inetpub\wwwroot http *:80:, https *:443:
appcmd list sites
SITE "DemoSite" (id:1,bindings:http/*:80:,https/*:443:,state:Started)
Get-WindowsFeature Web-Server：InstallState=Installed
版本：IIS 10.0（HKLM:\SOFTWARE\Microsoft\InetStp VersionString=10.0.20348）

身份鉴别

A. 管理入口识别

核查命令：

Get-WindowsFeature | Where-Object {$_.Name -like 'Web-*' -and $_.InstallState -eq 'Installed'}

备注：管理主要依赖 IIS 管理器、远程管理服务、Web Deploy、站点内认证配置。
预期证据：功能列表截图、远程管理配置截图。

示例输出（节选）

Name Display Name Install State
---- ------------- -------------
Web-WebServer Installed
Web-Asp-Net45 Installed
Web-Mgmt-Console Installed
（管理控制台仅本机/堡垒机使用，远程管理服务未安装）

B. 认证机制

核查命令：

JBoss

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：JBoss AS、JBoss EAP、WildFly 单机和域模式场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的测评对象边界原则；若控制能力由上位平台、业务系统或主机层实现，应明确记录后再作不适用判断。

基础信息

核查命令：

ps -ef | grep -E "jboss|wildfly"
find . -name standalone.xml -o -name domain.xml
bin/standalone.sh --version 2>/dev/null

备注：先确认安装路径、运行用户、版本、独立模式或域模式、管理地址、日志目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

ps -ef | grep jboss（节选）
jboss 11101 java -D[Standalone] -jar jboss-modules.jar
find . -name standalone.xml
standalone/configuration/standalone.xml
bin/standalone.sh --version
JBoss EAP 7.4.12.GA (WildFly Core 15.0.18.Final)

身份鉴别

A. 管理控制台与 CLI 入口

核查命令：

grep -R "management-interfaces\\|http-interface" standalone/configuration domain/configuration 2>/dev/null

备注：重点核查管理控制台、CLI 端口和管理地址是否受控。
预期证据：管理地址截图、登录页截图、配置截图。

示例输出（节选）

grep management-interfaces standalone/configuration（节选）
<management-interfaces>
 <http-interface security-realm="ManagementRealm" http-upgrade-enabled="true">
 <socket-binding http="management-http"/>
（管理接口绑定 management-http，仅 127.0.0.1/内网可达）

B. 管理账户

核查命令：

Jetty

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Eclipse Jetty 9/10/11，独立部署、嵌入式部署和容器内 Jetty 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；Jetty 作为运行容器时，业务型控制点需结合上层应用判定。

基础信息

核查命令：

java -jar start.jar --version 2>/dev/null
ps -ef | grep jetty
find . -name start.ini -o -name jetty.xml -o -name start.d

备注：确认版本、启动方式、配置目录、WebApp 目录、日志目录、监听端口和运行用户。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

java -jar start.jar --version（节选）
Jetty Server Classpath:
Version Information
 9.4.53.v20231009 - org.eclipse.jetty.server.Server
ps -ef | grep jetty
jetty 8801 java -jar start.jar jetty.base=/opt/jetty-base
./start.ini ./etc/jetty.xml

身份鉴别

A. 管理入口识别

核查命令：

find . -type f | grep -E "realm|login|jaas|jetty-realm"

备注：重点核查是否启用管理页面、JAAS、Realm、JMX 等管理入口。
预期证据：配置截图、管理入口截图。

示例输出（节选）

find . | grep realm|jaas
etc/jetty-realm.properties
webapps/demo/WEB-INF/web.xml
（HashLoginService 用于控制台认证，业务应用经 SSO）

B. 认证机制

核查命令：

Juniper

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Juniper EX、QFX、MX、SRX 中承担交换与路由功能的设备，主要覆盖 Junos 命令体系现场核查。

使用说明：

本脚本适用于 show configuration / show system / show security 一类 Junos 命令体系。
Juniper 设备较强调 candidate config 与 committed config，现场需同时关注运行配置、提交历史和回滚能力。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
若设备未承载 AAA、Portal、订阅用户、访客接入或个人信息处理功能，则“个人信息保护”相关控制点可按对象边界说明不适用。
若设备版本或授权未启用特定攻击防护功能，可将“入侵防范”中的部分增强项判定为部分不适用，但需保留管理 ACL、日志告警和基础防护证据。

基础信息

核查命令：

show version
show chassis hardware
show interfaces terse
show route summary
show configuration | display set | no-more

备注：确认型号、Junos 版本、RE/LC 状态、接口摘要、路由角色、虚拟机箱或 VC/MC-LAG 形态。
预期证据：版本截图、硬件截图、接口摘要截图、配置首页截图、资产台账。

示例输出（节选）

admin@SW-demo> show version
Hostname: SW-demo
Model: ex4300-48t
Junos: 21.4R3-S4.9
JUNOS EX Software Suite [21.4R3-S4.9]

身份鉴别

A. 认证方式

核查命令：

Kafka

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache Kafka 2.x/3.x、KRaft 或 ZooKeeper 架构场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019“按测评对象实际处理流程和安全边界判定”的原则；Kafka 多为消息中间件，很多个人信息保护项需先确认消息内容和平台功能边界。

基础信息

核查命令：

ps -ef | grep kafka
grep -n "broker.id\\|node.id\\|listeners" config/server.properties 2>/dev/null
bin/kafka-topics.sh --version 2>/dev/null

备注：确认版本、Broker 角色、集群模式、监听地址、日志目录、数据目录和配置文件路径。
预期证据：版本截图、进程截图、配置文件截图、集群节点截图。

示例输出（节选）

ps -ef | grep kafka
kafka 2201 java -Xmx4G -server kafka.Kafka config/server.properties
config/server.properties:
broker.id=1
listeners=SASL_SSL://192.168.10.21:9093
bin/kafka-topics.sh --version
2.8.1 (Commit:839b886f9b732b15)

身份鉴别

A. 管理与客户端认证方式

核查命令：

grep -n "security.inter.broker.protocol\\|sasl.enabled.mechanisms\\|listeners\\|listener.security.protocol.map" config/server.properties 2>/dev/null

备注：核查是否启用 SASL、SSL、双向证书、Kerberos 等身份鉴别机制。
预期证据：认证配置截图、证书或 JAAS 配置截图。

示例输出（节选）

security.inter.broker.protocol=SASL_SSL
sasl.enabled.mechanisms=SCRAM-SHA-256
listener.security.protocol.map=SASL_SSL:SASL_SSL,PLAINTEXT:PLAINTEXT

B. 用户与主体

核查命令：

Linux(RHEL_CentOS)-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：RHEL 7.9 / CentOS 7.9

系统版本核查

cat /etc/redhat-release

预期现象：输出中通常包含 release 7.9 等版本关键字。

示例输出（节选）

CentOS Linux release 7.9.2009 (Core)

cat /proc/version

预期现象：输出中通常包含 3.10.0-1160 等内核关键字段。

示例输出（节选）

Linux version 3.10.0-1160.el7.x86_64 (builder@kbuilder.dev.centos.org) (gcc version 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) ) #1 SMP Mon Oct 19 16:18:59 UTC 2020

hostnamectl

预期现象：通常可见 Static hostname、Operating System、Kernel 等字段。

示例输出（节选）

 Static hostname: web01
 Icon name: computer-server
 Chassis: server
Operating System: CentOS Linux 7 (Core)
 CPE OS Name: cpe:/o:centos:centos:7
 Kernel: Linux 3.10.0-1160.el7.x86_64
 Architecture: x86-64

网络配置核查

ip addr

预期现象：应能看到网卡、IP 地址、掩码等信息；实际地址随主机而异。

示例输出（节选）

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
 inet 192.168.10.21/24 brd 192.168.10.255 scope global noprefixroute eth0

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户信息，每行一个账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
...
appuser:x:1000:1000::/home/appuser:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和口令状态，通常需要 root 权限。

示例输出（节选）

root:$6$rounds=4096$AbCdEf$XyZ1234567890abcdef…::0:99999:7:::
bin:*:17832:0:99999:7:::
...
appuser:$6$rounds=4096$GhIjKl$0987654321fedcba…:19876:0:90:7:30:::

cat /etc/login.defs

预期现象：应能看到 PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_MIN_LEN 等口令老化字段。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	14

cat /etc/pam.d/system-auth

预期现象：应能看到口令复杂度或认证模块配置，如 pam_pwquality、pam_unix 等。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password requisite pam_pwquality.so try_first_pass local_users_only retry=3
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...

cat /etc/pam.d/password-auth

预期现象：应能看到登录认证与失败处理相关模块，如 faillock 或等效配置。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...
session required pam_loginuid.so

cat /etc/security/pwquality.conf

预期现象：应能看到 minlen、ucredit、lcredit、dcredit 等复杂度参数。

示例输出（节选）

minlen = 12
dcredit = -1
ucredit = -1
lcredit = -1
ocredit = -1
maxrepeat = 3

chage -l root

预期现象：应显示最近改密时间、失效时间、最短/最长口令使用期限等。

示例输出（节选）

最近一次密码修改时间：3月 15, 2026
密码过期时间：6月 13, 2026
密码失效时间：从不
...
最少数量的天数：密码修改之间间隔的天数：7
最多数量的天数：密码修改之间间隔的最大天数：90

远程接入控制核查

cat /etc/ssh/sshd_config

预期现象：应能核查 PermitRootLogin、PermitEmptyPasswords、ClientAliveInterval 等参数。

示例输出（节选）

PermitRootLogin no
PermitEmptyPasswords no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的加密算法、MAC、密钥交换和主机密钥算法。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group14-sha256
hostkeyalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256
pubkeyacceptedalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

aes128-cbc
aes128-ctr
aes192-ctr
aes256-ctr
...
aes128-gcm@openssh.com
aes256-gcm@openssh.com

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha2-256
hmac-sha2-512
...
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ssh-rsa
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_7.4p1, OpenSSL 1.0.2k-fips 26 Jan 2017

update-crypto-policies --show

预期现象：在支持该机制的系统中应显示系统级密码策略，如 DEFAULT、FUTURE、FIPS；旧版系统可能无此命令。

示例输出（节选）

DEFAULT

ps -ef | grep sshd

预期现象：启用 SSH 时通常可见 sshd 进程。

示例输出（节选）

root 1123 1 0 2025 ? 00:01:23 /usr/sbin/sshd -D
root 456789 123456 0 10:02 ? 00:00:00 sshd: appuser [priv]
appuser 456791 456789 0 10:02 ? 00:00:00 sshd: appuser@pts/0

ps -ef | grep telnet

预期现象：未启用 Telnet 时通常除 grep 本身外无有效结果。

示例输出（节选）

root 567890 456789 0 10:03 pts/0 00:00:00 grep --color=auto telnet

systemctl status telnet.socket

预期现象：应显示 active、inactive、disabled 等状态之一。

示例输出（节选）

● telnet.socket
 Loaded: loaded (/usr/lib/systemd/system/telnet.socket; disabled; vendor preset: disabled)
 Active: inactive (dead)
 Listen: [::]:23 (Stream)

cat /etc/profile

预期现象：应能核查 TMOUT 等登录超时参数。

示例输出（节选）

if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
 umask 002
else
 umask 022
fi
export TMOUT=600
readonly TMOUT

安全审计核查

service rsyslog status

预期现象：应显示日志服务运行状态，常见为 running 或 active。

示例输出（节选）

Redirecting to /bin/systemctl status rsyslog.service
● rsyslog.service - System Logging Service
 Loaded: loaded (/usr/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:11 CST; 2h 15min ago
 Main PID: 1088 (rsyslogd)

service auditd status

预期现象：应显示审计服务运行状态，常见为 running 或 active。

示例输出（节选）

Redirecting to /bin/systemctl status auditd.service
● auditd.service - Security Auditing Service
 Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:10 CST; 2h 15min ago

auditctl -l

预期现象：启用审计规则时应逐条输出规则；未配置时可能为空。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor

cat /etc/audit/rules.d/audit.rules

预期现象：应看到审计规则文件内容。

示例输出（节选）

## First rule - delete all
-D
...
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor
-e 2

cat /etc/rsyslog.conf

预期现象：应看到本地日志规则和远程转发配置。

示例输出（节选）

#### RULES ####
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
...
# 远程转发示例（如已配置）
*.* @@192.168.20.10:514

ls -l /var/log/messages

预期现象：应显示文件权限、属主、属组、大小、时间。

示例输出（节选）

-rw-------. 1 root root 1048576 Aug 24 10:20 /var/log/messages

ls -l /var/log/secure

预期现象：应显示安全日志文件权限信息。

示例输出（节选）

-rw-------. 1 root root 262144 Aug 24 09:58 /var/log/secure

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限信息。

示例输出（节选）

-rw-------. 1 root root 2097152 Aug 24 10:22 /var/log/audit/audit.log

tail -n 20 /var/log/messages

预期现象：应输出最近 20 条系统日志。

示例输出（节选）

Aug 24 10:18:02 web01 systemd: Started Session 342 of user root.
Aug 24 10:18:35 web01 kernel: TCP: request_sock_TCP: Possible SYN flooding on port 80. Sending cookies.
...
Aug 24 10:22:41 web01 rsyslogd: [origin software="rsyslogd" swVersion="8.24.0-57.el7"] exit on signal 2.

tail -n 20 /var/log/audit/audit.log

预期现象：应输出最近 20 条审计日志。

示例输出（节选）

type=USER_AUTH msg=audit(1771893601.231:8812): pid=456789 uid=0 auid=1000 msg='op=PAM:authentication acct="appuser" exe="/usr/sbin/sshd" hostname=203.0.113.50 addr=203.0.113.50 terminal=ssh res=success'
type=CRED_ACQ msg=audit(1771893601.240:8813): pid=456789 uid=0 auid=1000 msg='op=PAM:setcred acct="appuser" exe="/usr/sbin/sshd" hostname=? addr=? terminal=ssh res=success'
...

last

预期现象：应显示成功登录记录。

示例输出（节选）

opsadmin pts/0 203.0.113.50 Mon Aug 24 10:02 still logged in
root pts/1 192.168.10.5 Sun Aug 23 17:44 - 19:02 (01:17)
reboot system boot 3.10.0-1160.el7. Mon Aug 24 08:29 - 10:25 (01:55)
...
wtmp begins Tue Jan 6 09:00:01 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

root ssh:notty 203.0.113.77 Mon Aug 24 04:12 - 04:12 (00:00)
root ssh:notty 203.0.113.77 Mon Aug 24 04:11 - 04:11 (00:00)
admin ssh:notty 198.51.100.9 Sun Aug 23 22:40 - 22:40 (00:00)

btmp begins Fri Jul 31 00:01:02 2026

访问控制与地址限制核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r--. 1 root root 1024 Aug 3 2025 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

----------. 1 root root 896 Aug 3 2025 /etc/shadow
(常见亦为 -rw-r----- 或 400，以现场为准)

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r--. 1 root root 512 Aug 3 2025 /etc/group

cat /etc/hosts.allow

预期现象：应看到允许地址配置；未配置时可能为空。

示例输出（节选）

# 示例：仅允许运维网段访问 sshd
sshd: 192.168.10.0/255.255.255.0

cat /etc/hosts.deny

预期现象：应看到拒绝地址配置；部分基线常见 ALL，但应以现场为准。

示例输出（节选）

sshd: ALL

服务、端口与边界防护核查

systemctl list-units --type service --all | grep running

预期现象：应列出当前运行中的服务。

示例输出（节选）

auditd.service loaded active running Security Auditing Service
crond.service loaded active running Command Scheduler
firewalld.service loaded active running firewalld - dynamic firewall daemon
rsyslog.service loaded active running System Logging Service
sshd.service loaded active running OpenSSH server daemon

chkconfig --list

预期现象：应列出开机启动项；旧版系统更常见。

示例输出（节选）

Note: This output shows SysV services only. ...
netconsole 	0:off	1:off	2:off	3:off	4:off	5:off	6:off
network 	0:off	1:off	2:on	3:on	4:on	5:on	6:off

netstat -ntlp

预期现象：应显示监听端口、本地地址、PID/程序名等信息。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1123/sshd
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 2101/mysqld
tcp6 0 0 :::80 :::* LISTEN 2205/nginx: master

systemctl status firewalld

预期现象：应显示 firewalld 当前状态，如 active 或 inactive。

示例输出（节选）

● firewalld.service - firewalld - dynamic firewall daemon
 Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:12 CST; 2h ago

firewall-cmd --list-all

预期现象：应显示 zone、services、ports、rich rules 等规则信息。

示例输出（节选）

public (active)
 target: default
 interfaces: eth0
 sources:
 services: dhcpv6-client ssh
 ports: 80/tcp 443/tcp
 protocols:
 masquerade: no
 forward-ports:
 rich rules:

iptables -nvL

预期现象：应按链输出规则、计数器和匹配条件。

示例输出（节选）

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target prot opt in out source destination
 120K 12M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
 350 24560 ACCEPT tcp -- * * 192.168.10.0/24 0.0.0.0/0 tcp dpt:22
...
Chain OUTPUT (policy ACCEPT 98765 packets, 45M bytes)

最小安装、补丁与中间件核查

rpm -aq

预期现象：应按行列出已安装软件包。

示例输出（节选）

kernel-3.10.0-1160.el7.x86_64
openssh-server-8.8p1-1.el7.x86_64
...
nginx-1.20.1-9.el7.x86_64
(实际输出按字母序逐行列出全部已安装包，通常上千行)

yum list installed

预期现象：应列出已安装软件清单，通常包含包名、版本、仓库信息。

示例输出（节选）

Loaded plugins: fastestmirror, langpacks
Installed Packages
NetworkManager.x86_64 1:1.18.8-2.el7 @anaconda
OpenIPMI-modalias.x86_64 2.0.27-1.el7 @base
...
zlib.x86_64 1.2.7-20.el7_9 @updates

rpm -qa | grep patch

预期现象：如存在相关命名规则，通常会筛出补丁相关包。

示例输出（节选）

patch-2.7.1-12.el7_7.x86_64

rpm -qi samba

预期现象：安装 Samba 时应显示 Name、Version、Release、Summary 等字段。

示例输出（节选）

Name : samba
Version : 4.10.16
Release : 25.el7_9
Architecture: x86_64
Install Date: Sat 06 Jun 2026 09:12:33 AM CST
...
Summary : Server and Client software to interoperate with Windows machines

ps -ef | grep 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server\|weblogic'

预期现象：存在对应中间件时应显示相关进程。

示例输出（节选）

root 2205 1 0 2025 ? 00:02:11 nginx: master process /usr/sbin/nginx
nginx 2206 2205 0 2025 ? 00:05:43 nginx: worker process
mysql 2101 1 0 2025 ? 00:30:12 /usr/libexec/mysqld --basedir=/usr
root 567890 456789 0 10:05 pts/0 00:00:00 grep --color=auto nginx|apache|tomcat|...

时钟与计划任务核查

netstat -tlunp | grep ntp

预期现象：启用 NTP 服务时通常可见 123 端口监听；如无时钟服务可不执行。

示例输出（节选）

udp 0 0 192.168.10.21:123 0.0.0.0:* 1305/ntpd
udp 0 0 127.0.0.1:123 0.0.0.*:* 1305/ntpd

ntpq -p

预期现象：应显示上级时钟源与对时状态；如无 NTP 服务可不执行。

示例输出（节选）

 remote refid st t when poll reach delay offset jitter
==============================================================================
*203.0.113.100 .GPS. 1 u 32 64 377 0.512 -0.102 0.021
+192.168.20.10 203.0.113.100 2 u 45 64 377 0.301 -0.055 0.013

timedatectl status

预期现象：应显示本地时间、时区、NTP 同步状态等信息。

示例输出（节选）

 Local time: Mon 2026-08-24 10:28:33 CST
 Universal time: Mon 2026-08-24 02:28:33 UTC
 RTC time: Mon 2026-08-24 02:28:32
 Time zone: Asia/Shanghai (CST, +0800)
 NTP enabled: yes
NTP synchronized: yes

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

*/5 * * * * /usr/bin/curl -s http://192.168.10.30/healthcheck > /dev/null
0 2 * * * /opt/scripts/log_clean.sh >> /var/log/log_clean.log 2>&1

groups 用户名

预期现象：应显示该用户所属组列表。

示例输出（节选）

appuser : appuser wheel docker

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 30
AllowUsers appuser opsadmin

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

allowgroups none
allowusers appuser opsadmin
denygroups none
denyusers none
logingracetime 30
maxauthtries 4
permitrootlogin no

rpm -qa | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

fail2ban-firewall-0.11.2-1.el7.noarch
fail2ban-sendmail-0.11.2-1.el7.noarch
fail2ban-server-0.11.2-1.el7.noarch

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/usr/lib/systemd/system/fail2ban.service; enabled; vendor preset: disabled)
 Active: active (running) since Mon 2026-08-24 08:30:20 CST; 2h ago
 Main PID: 1420 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.
CentOS Linux release 7.9.2009 (Core)
Kernel \r on an \m

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

Authorized access only. Unauthorized use is prohibited.
CentOS Linux release 7.9.2009 (Core)

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

*** 本系统仅限授权人员使用，操作行为将被审计记录。 ***
*** For authorized personnel only. Activities are audited. ***

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

(无空口令账户时无输出；存在时应仅输出账号名，例如)
svcbackup

rpm -Va

预期现象：如存在被篡改文件，通常会输出校验不一致项；无异常时无输出或输出很少。

示例输出（节选）

missing /usr/libexec/abrt-hook-ccpp
S.5....T. c /etc/ssh/sshd_config
.M....... /usr/local/bin/custom-tool
(无篡改时通常无输出或仅有少量预期变更项)

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

AIDE found differences between database and filesystem!!
added: /root/.bash_history.new
removed: /tmp/old.lock
changed: /etc/passwd
...
File: /etc/passwd
 Size: 1024 -> 1032

macOS-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：macOS Ventura 13

说明：Apple 官方支持文档可直接支撑“远程登录”使用 SSH 或 SFTP；“软件更新”用于检查系统更新；macOS 内置应用防火墙支持 Block all incoming connections、自动允许签名软件和 stealth mode 等配置。

系统版本核查

sw_vers

预期现象：应显示 ProductName、ProductVersion、BuildVersion 等字段。

示例输出（节选）

ProductName:		macOS
ProductVersion:		13.5.2
BuildVersion:		22G91

system_profiler SPSoftwareDataType

预期现象：应显示 System Version、Kernel Version、Boot Volume、Secure Virtual Memory 等软件信息。

示例输出（节选）

Software:

 System Software Overview:

 System Version: macOS 13.5.2 (22G91)
 Kernel Version: Darwin 22.6.0
 Boot Volume: Macintosh HD
 Secure Virtual Memory: Enabled

uname -a

预期现象：应显示 Darwin 内核版本、主机名、架构等信息。

示例输出（节选）

Darwin demo-mac 22.6.0 Darwin Kernel Version 22.6.0: Wed Jul 26 21:31:31 PDT 2023; root:xnu-8796.141.3~1/RELEASE_X86_64 x86_64

网络配置核查

ifconfig

预期现象：应显示网络接口、IPv4/IPv6、MAC 地址等信息。

示例输出（节选）

en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500
	ether a1:b2:c3:d4:e5:f6
	inet 192.168.1.10 netmask 0xffffff00 broadcast 192.168.1.255
	inet6 fe80::1234:5678:90ab:cdef%en0 prefixlen 64 secured scopeid 0x6
	media: autoselect
	status: active

networksetup -listallnetworkservices

预期现象：应列出当前配置的网络服务名称。

示例输出（节选）

An asterisk (*) denotes that a network service is disabled.
Wi-Fi
Thunderbolt Ethernet

scutil --dns

预期现象：应显示当前 DNS 解析器配置。

示例输出（节选）

DNS configuration

resolver #1
 nameserver[0] : 192.168.1.1
 nameserver[1] : 192.168.1.2
 if_index : 6 (en0)

账户与口令策略核查

dscl . list /Users

预期现象：应列出本地用户对象。

示例输出（节选）

daemon
nobody
root
admin
devuser

dscl . -read /Users/root

预期现象：应显示 root 账户属性；若未启用 root，仍可用于核查账户对象信息。

示例输出（节选）

AppleMetaNodeLocation: /Local/Default
GeneratedUID: FFFFEEEE-DDDD-CCCC-BBBB-AAAA00000000
NFSHomeDirectory: /var/root
RecordName: root
UniqueID: 0
UserShell: /bin/sh

pwpolicy -getaccountpolicies

预期现象：已配置账户口令策略时应输出策略 XML/plist；未配置时可能为空。

示例输出（节选）

Getting global account policies

+-------------------------------------------------------------------------------+
policyCategoryPasswordContent:
 policyIdentifier: maxFailedLoginAttempts
 policyContent: policyAttributeCurrentFailedAttempts < 5 ...

sysadminctl -secureTokenStatus 用户名

预期现象：应显示指定用户是否具有 Secure Token。

示例输出（节选）

Secure token is ENABLED for user devuser

cat /etc/pam.d/authorization

预期现象：应显示本地认证相关 PAM 配置。

示例输出（节选）

auth optional pam_kanji.so
auth optional pam_cknso.so
auth required pam_opendirectory.so use_first_pass
account required pam_opendirectory.so

远程接入服务核查

systemsetup -getremotelogin

预期现象：应显示 Remote Login: On 或 Off。Apple 官方说明远程登录使用 SSH 或 SFTP。

示例输出（节选）

Remote Login: On

systemsetup -getremoteappleevents

预期现象：应显示 Remote Apple Events: On 或 Off。

示例输出（节选）

Remote Apple Events: Off

lsof -iTCP -sTCP:LISTEN -n -P

预期现象：应显示当前监听端口及对应进程。

示例输出（节选）

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xa1b2c3d4e5f6 0t0 TCP *:22 (LISTEN)
rapportd 512 user 4u IPv4 0xf6e5d4c3b2a1 0t0 TCP *:59241 (LISTEN)

launchctl list | grep ssh

预期现象：启用 SSH 时通常可见 sshd 相关服务或进程标识。

示例输出（节选）

-	0	com.openssh.sshd

远程连接协议与算法核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证、访问控制和算法参数。

示例输出（节选）

#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#PermitRootLogin prohibit-password
#MaxAuthTries 6
#PubkeyAuthentication yes
Subsystem	sftp	internal-sftp

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers chacha20-poly1305@openssh.com,aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-ctr,aes256-ctr
macs umac-64-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

chacha20-poly1305@openssh.com
aes128-gcm@openssh.com
aes256-gcm@openssh.com
aes128-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

curve25519-sha256
curve25519-sha256@libssh.org
ecdh-sha2-nistp256
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
rsa-sha2-512
rsa-sha2-256
ssh-rsa

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_9.0p1, LibreSSL 3.3.6

安全审计核查

ls -l /var/audit

预期现象：启用 BSM 审计时应显示审计日志目录及文件。

示例输出（节选）

total 24
drwx------ 3 root wheel 96 Aug 20 09:00 .
drwxr-xr-x 6 root wheel 192 Aug 20 09:00 ..
-rw-r----- 1 root wheel 8192 Aug 21 17:32 20260821093000.not_terminated.demo-mac

praudit /var/audit/current

预期现象：当前审计日志文件存在时应输出可读审计记录；文件不存在时需结合现场确认审计状态。

示例输出（节选）

header,133,11,user authentication,0,Fri Aug 21 17:32:01 2026, + 120 msec
subject,devuser,root,wheel,devuser,501,99,,0,0,192.168.1.10
return,success,0
trailer,133

log show --last 1d

预期现象：应输出最近一天统一日志；输出通常较长。

示例输出（节选）

Timestamp Thread Type Activity PID
2026-08-21 09:00:12.345001+0800 0x1a2b Default 0x0 111 launchd: Bootstrapping com.apple.sshd
2026-08-21 09:00:13.456002+0800 0x3c4d Default 0x0 222 sshd: Server listening on 0.0.0.0 port 22.

last

预期现象：应显示登录记录。

示例输出（节选）

devuser pts/1 192.168.1.55 Fri Aug 21 16:02 still logged in
devuser console Fri Aug 21 09:00 still logged in
reboot ~ Fri Aug 21 08:58
shutdown ~ Thu Aug 20 19:30

边界防护核查

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate

预期现象：应显示应用防火墙开关状态。

示例输出（节选）

Firewall is enabled. (State = 1)

/usr/libexec/ApplicationFirewall/socketfilterfw --getblockall

预期现象：应显示是否启用 Block all incoming connections。

示例输出（节选）

Block all incoming connections is disabled

/usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode

预期现象：应显示 stealth mode 是否启用。

示例输出（节选）

Stealth mode enabled

pfctl -s info

预期现象：启用 PF 时应显示包过滤器状态信息。

示例输出（节选）

Status: Enabled for 5 days 03:12, Debug: Urgent
State Table Total Rate
 current entries 4
Searches 18234567 41.15/s
Matches 23451 0.05/s
Invalid Packets 0 0.00/s

pfctl -sr

预期现象：存在 PF 规则时应输出规则集。

示例输出（节选）

scrub-anchor "com.apple/*" all fragment reassemble
block drop in log proto tcp from any to any port = 23
pass out on en0 all

系统完整性与本地安全增强核查

csrutil status

预期现象：应显示 System Integrity Protection status: enabled 或 disabled。

示例输出（节选）

System Integrity Protection status: enabled.

spctl --status

预期现象：应显示 assessments enabled 或 disabled，用于核查 Gatekeeper 状态。

示例输出（节选）

assessments enabled

fdesetup status

预期现象：应显示 FileVault 是否开启。

示例输出（节选）

FileVault is On.

最小安装与补丁核查

softwareupdate --list

预期现象：应列出可用更新；若无更新，通常会提示未发现新软件。

示例输出（节选）

Software Update found the following new or updated software:
 * Label: macOS Ventura 13.6-22G120
	Title: macOS Ventura 13.6, Size: 1832476KiB, Recommended: YES,

softwareupdate --history

预期现象：应显示历史安装更新记录。

示例输出（节选）

Display Name Version Date Source
macOS Ventura 13.5 13.5 2026-07-28 10:12:34 Apple
Safari 16.6 2026-07-28 10:05:01 Apple
XProtectPlistDataUpdate 2026-08-18 04:30:00 Apple

system_profiler SPApplicationsDataType

预期现象：应列出已安装应用信息；输出通常较长。

示例输出（节选）

 Terminal:
 Version: 2.13
 Obtained from: Identified Developer
 Last Modified: 2026/8/1, 09:30
 Kind: Intel
 Signed by: Software Signing, Apple Code Signing Certification Authority...

时间同步与计划任务核查

systemsetup -getusingnetworktime

预期现象：应显示是否使用网络时间同步。

示例输出（节选）

Network Time: On

systemsetup -getnetworktimeserver

预期现象：应显示当前网络时间服务器。

示例输出（节选）

Network Time Server: time.internal.example.com

systemsetup -gettimezone

预期现象：应显示当前时区。

示例输出（节选）

Time Zone: Asia/Shanghai

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

*/5 * * * * /usr/local/bin/healthcheck.sh >> ~/healthcheck.log 2>&1

launchctl list

预期现象：应列出当前 launchd 管理的任务和服务；输出通常较长。

示例输出（节选）

PID	Status	Label
-	0	com.apple.coreservices.uiagent
512	0	com.apple.rapportd
-	78	com.openssh.ssh-agent

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
LoginGraceTime 30
MaxAuthTries 4
AllowUsers devuser audituser

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

permitrootlogin no
logingracetime 30
maxauthtries 4
allowusers devuser audituser
denyusers none
allowgroups none
denygroups none

log show --predicate 'eventMessage contains "Failed password"' --last 1d

预期现象：如有 SSH 失败登录事件，应在统一日志中出现匹配记录；无事件时可能为空。

示例输出（节选）

2026-08-21 14:22:31.102004+0800 0x5e6f Default 0x0 333 sshd: Failed password for invalid user admin from 203.0.113.77 port 51234 ssh2
2026-08-21 14:22:38.210115+0800 0x5e70 Default 0x0 333 sshd: Failed password for invalid user admin from 203.0.113.77 port 51236 ssh2

安全基线与完整性核查

defaults read /Library/Preferences/com.apple.loginwindow LoginwindowText

预期现象：如配置了登录告警文本，应输出对应内容；未配置时可能报错或无输出。

示例输出（节选）

本系统仅限授权人员使用，操作将被审计。

launchctl list | grep auditd

预期现象：启用审计时应显示 auditd 相关服务；未启用时可能无结果。

示例输出（节选）

245	0	com.apple.auditd

Nginx

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Nginx 开源版、Tengine、OpenResty，以及作为反向代理/负载均衡/HTTPS 网关使用的现场。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019“按测评对象实际功能与数据处理范围判定”的原则；Nginx 常作为代理或网关，若某控制由认证平台、业务系统、WAF 或负载均衡实现，应注明边界后判定不适用或转由上位组件核查。

基础信息

核查命令：

nginx -v
nginx -t
ps aux | grep nginx
find / -name nginx.conf 2>/dev/null

备注：先确认二进制版本、主配置路径、站点配置目录、日志路径、运行用户、监听端口；若部署在容器中，应同步记录容器信息。
预期证据：版本截图、配置路径截图、进程截图、端口截图。

示例输出（节选）

nginx version: nginx/1.24.0
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
root 1204 0.0 0.1 nginx: master process nginx
www 1205 0.0 0.3 nginx: worker process
/etc/nginx/nginx.conf

身份鉴别

A. 管理入口识别

核查命令：

grep -R "stub_status\\|status" /etc/nginx /usr/local/nginx/conf 2>/dev/null

备注：Nginx 通常没有完整管理控制台，重点核查状态页、管理 API、配置发布入口是否受控。
预期证据：状态页配置截图、访问结果截图。

示例输出（节选）

/etc/nginx/conf.d/status.conf: location /stub_status {
/etc/nginx/conf.d/status.conf: stub_status;

B. 认证机制

核查命令：

openEuler-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：openEuler 22.03 LTS-SP3

系统版本核查

cat /etc/os-release

预期现象：官方示例关键字段包括 NAME=“openEuler”、VERSION=“22.03 (LTS-SP3)"、PRETTY_NAME=“openEuler 22.03 (LTS-SP3)"。

示例输出（节选）

NAME="openEuler"
VERSION="22.03 (LTS-SP3)"
ID="openEuler"
VERSION_ID="22.03"
PRETTY_NAME="openEuler 22.03 (LTS-SP3)"
ANSI_COLOR="0;31

cat /etc/openEuler-release

预期现象：官方示例为 openEuler release 22.03 (LTS-SP3)。

示例输出（节选）

openEuler release 22.03 (LTS-SP3)

cat /etc/openEuler-latest

预期现象：应看到 openeulerversion=openEuler-22.03-LTS-SP3、kernelversion=5.10.0-136.12.0.86.oe2203sp3 等字段。

示例输出（节选）

openeulerversion=openEuler-22.03-LTS-SP3
kernelversion=5.10.0-136.12.0.86.oe2203sp3
...

hostnamectl

预期现象：应显示主机名、内核、架构等信息。

示例输出（节选）

 Static hostname: demo-web01
 Icon name: computer-server
 Chassis: server
Operating System: openEuler 22.03 (LTS-SP3)
 Kernel: Linux 5.10.0-136.12.0.86.oe2203sp3.x86_64
 Architecture: x86-64

网络与默认权限掩码核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 inet 127.0.0.1/8 scope host lo
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
 inet 192.168.10.23/24 brd 192.168.10.255 scope global noprefixroute eth0

umask

预期现象：应输出当前 shell 的权限掩码值，实际值随系统配置而异。

示例输出（节选）

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
...
appuser:x:1000:1000::/home/appuser:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和口令状态。

示例输出（节选）

root:$6$rounds=4096$AbCdEf$XyZ1234567890abcdef…::0:99999:7:::
bin:*:19375:0:99999:7:::
...
appuser:$6$rounds=4096$GhIjKl$0987654321fedcba…:19876:0:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	14
...
UMASK		027

cat /etc/pam.d/system-auth

预期现象：应显示口令复杂度相关模块配置。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password requisite pam_pwquality.so try_first_pass local_users_only retry=3
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...

cat /etc/pam.d/password-auth

预期现象：应显示登录失败锁定或认证策略配置。

示例输出（节选）

auth required pam_faillock.so preauth audit silent deny=5 unlock_time=600
...
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
...
session required pam_loginuid.so

cat /etc/pam.d/login

预期现象：应显示本地登录相关 PAM 配置。

示例输出（节选）

#%PAM-1.0
auth required pam_sepermit.so
auth substack password-auth
...
session required pam_selinux.so open
session required pam_limits.so

chage -l root

预期现象：应显示 root 账户口令期限信息。

示例输出（节选）

最近一次密码修改时间：3月 15, 2026
密码过期时间：6月 13, 2026
密码失效时间：从不
...
最少数量的天数：密码修改之间间隔的天数：7
最多数量的天数：密码修改之间间隔的最大天数：90

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 登录控制参数。

示例输出（节选）

PermitRootLogin no
PermitEmptyPasswords no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes128-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group14-sha256
hostkeyalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256
pubkeyacceptedalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

aes128-cbc
aes128-ctr
aes256-ctr
...
aes128-gcm@openssh.com
aes256-gcm@openssh.com

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha2-256
hmac-sha2-512
...
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group14-sha1
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ecdsa-sha2-nistp256
...
ssh-rsa
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_9.3p1, OpenSSL 1.1.1w 11 Sep 2023
(实际版本随 openEuler 小版本而异)

update-crypto-policies --show

预期现象：在支持该机制的系统中应显示系统级密码策略；若未集成该机制则可能无此命令。

示例输出（节选）

DEFAULT

cat /etc/profile

预期现象：应能核查 TMOUT 等会话控制参数。

示例输出（节选）

if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
 umask 002
else
 umask 022
fi
export TMOUT=600
readonly TMOUT

安全审计核查

service rsyslog status

预期现象：应显示日志服务状态。

示例输出（节选）

Redirecting to /bin/systemctl status rsyslog.service
● rsyslog.service - System Logging Service
 Loaded: loaded (/usr/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:11 CST; 2h ago
 Main PID: 1088 (rsyslogd)

service auditd status

预期现象：应显示审计服务状态。

示例输出（节选）

Redirecting to /bin/systemctl status auditd.service
● auditd.service - Security Auditing Service
 Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:10 CST; 2h ago

auditctl -l

预期现象：应逐条列出当前审计规则。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor

cat /etc/audit/rules.d/audit.rules

预期现象：应显示审计规则文件内容。

示例输出（节选）

## First rule - delete all
-D
...
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor
-e 2

cat /etc/rsyslog.conf

预期现象：应显示日志规则和转发配置。

示例输出（节选）

#### RULES ####
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
...
# 远程转发示例（如已配置）
*.* @@192.168.20.10:514

ls -l /var/log/messages

预期现象：应显示日志文件权限、属主、大小、时间。

示例输出（节选）

-rw-------. 1 root root 1048576 Aug 24 10:20 /var/log/messages

ls -l /var/log/secure

预期现象：应显示安全日志文件权限。

示例输出（节选）

-rw-------. 1 root root 262144 Aug 24 09:58 /var/log/secure

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限。

示例输出（节选）

-rw-------. 1 root root 2097152 Aug 24 10:22 /var/log/audit/audit.log

tail -n 20 /var/log/messages

预期现象：应输出最近 20 条系统日志。

示例输出（节选）

Aug 24 10:18:02 demo-web01 systemd: Started Session 342 of user root.
Aug 24 10:18:35 demo-web01 kernel: TCP: request_sock_TCP: Possible SYN flooding on port 80. Sending cookies.
...
Aug 24 10:22:41 demo-web01 rsyslogd: [origin software="rsyslogd" swVersion="8.2302.0"] exit on signal 2.

tail -n 20 /var/log/audit/audit.log

预期现象：应输出最近 20 条审计日志。

示例输出（节选）

type=USER_AUTH msg=audit(1771893601.231:8812): pid=456789 uid=0 auid=1000 msg='op=PAM:authentication acct="appuser" exe="/usr/sbin/sshd" hostname=203.0.113.50 addr=203.0.113.50 terminal=ssh res=success'
type=CRED_ACQ msg=audit(1771893601.240:8813): pid=456789 uid=0 auid=1000 msg='op=PAM:setcred acct="appuser" exe="/usr/sbin/sshd" hostname=? addr=? terminal=ssh res=success'
...

last

预期现象：应显示成功登录记录。

示例输出（节选）

opsadmin pts/0 203.0.113.50 Mon Aug 24 10:02 still logged in
root pts/1 192.168.10.5 Sun Aug 23 17:44 - 19:02 (01:17)
reboot system boot 5.10.0-136.12.0. Mon Aug 24 08:29 - 10:25 (01:55)
...
wtmp begins Tue Jan 6 09:00:01 2026

lastb

预期现象：应显示失败登录记录。

示例输出（节选）

root ssh:notty 203.0.113.77 Mon Aug 24 04:12 - 04:12 (00:00)
admin ssh:notty 203.0.113.77 Mon Aug 24 04:11 - 04:11 (00:00)

btmp begins Fri Jul 31 00:01:02 2026

安全增强与边界防护核查

sestatus

预期现象：应显示 SELinux status、Current mode 等字段。

示例输出（节选）

SELinux status: enforcing
Loaded policy name: targeted
Current mode: enforcing
Mode from config file: enforcing
Policy MLS status: enabled
Memory protection checking: actual (secure)

getenforce

预期现象：通常为 Enforcing、Permissive 或 Disabled。

示例输出（节选）

Enforcing

systemctl status firewalld

预期现象：应显示 firewalld 状态。

示例输出（节选）

● firewalld.service - firewalld - dynamic firewall daemon
 Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:12 CST; 2h ago

firewall-cmd --list-all

预期现象：应显示 zone、services、ports 等规则。

示例输出（节选）

public (active)
 target: default
 interfaces: eth0
 services: dhcpv6-client ssh
 ports: 80/tcp 443/tcp
 protocols:
 masquerade: no
 forward-ports:
 rich rules:

iptables -nvL

预期现象：应按链输出规则和计数器。

示例输出（节选）

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target prot opt in out source destination
 120K 12M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
 350 24560 ACCEPT tcp -- * * 192.168.10.0/24 0.0.0.0/0 tcp dpt:22
...
Chain OUTPUT (policy ACCEPT 98765 packets, 45M bytes)

netstat -ntlp

预期现象：应显示监听端口及程序名。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1123/sshd
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 2101/mysqld
tcp6 0 0 :::80 :::* LISTEN 2205/nginx: master

最小安装、补丁与中间件核查

rpm -aq

预期现象：应逐行列出已安装软件包。

示例输出（节选）

kernel-5.10.0-136.12.0.86.oe2203sp3.x86_64
openssh-server-9.3p1-4.oe2203sp3.x86_64
...
nginx-1.21.5-1.oe2203sp3.x86_64
(实际输出按字母序逐行列出全部已安装包，通常上千行)

dnf list installed

预期现象：应列出软件包清单。

示例输出（节选）

Installed Packages
NetworkManager.x86_64 1:1.38.0-1.oe2203sp3 @anaconda
audit.x86_64 3.0.7-3.oe2203sp3 @System
...
zlib.x86_64 1.2.11-26.oe2203sp3 @System

rpm -qa | grep patch

预期现象：如命名匹配，应筛出补丁相关包。

示例输出（节选）

patch-2.7.6-13.oe2203sp3.x86_64

rpm -qa | grep -i 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server'

预期现象：安装对应中间件时应输出包名。

示例输出（节选）

nginx-1.21.5-1.oe2203sp3.x86_64
nginx-filesystem-1.21.5-1.oe2203sp3.noarch

ps -ef | grep 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server\|weblogic'

预期现象：运行对应中间件时应输出进程信息。

示例输出（节选）

root 2205 1 0 2025 ? 00:02:11 nginx: master process /usr/sbin/nginx
nginx 2206 2205 0 2025 ? 00:05:43 nginx: worker process
mysql 2101 1 0 2025 ? 00:30:12 /usr/libexec/mysqld --basedir=/usr
root 567890 456789 0 10:05 pts/0 00:00:00 grep --color=auto nginx|apache|tomcat|...

chkconfig --list

预期现象：应显示开机启动项。

示例输出（节选）

Note: This output shows SysV services only. ...
netconsole 	0:off	1:off	2:off	3:off	4:off	5:off	6:off
network 	0:off	1:off	2:on	3:on	4:on	5:on	6:off

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 30
AllowUsers appuser opsadmin

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

allowgroups none
allowusers appuser opsadmin
denygroups none
denyusers none
logingracetime 30
maxauthtries 4
permitrootlogin no

rpm -qa | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

aide-0.16.2-3.oe2203sp3.x86_64
fail2ban-0.11.2-3.oe2203sp3.noarch

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/usr/lib/systemd/system/fail2ban.service; enabled; vendor preset: disabled)
 Active: active (running) since Mon 2026-08-24 08:30:20 CST; 2h ago
 Main PID: 1420 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.
openEuler release 22.03 (LTS-SP3)
Kernel \r on an \m

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

Authorized access only. Unauthorized use is prohibited.
openEuler release 22.03 (LTS-SP3)

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

*** 本系统仅限授权人员使用，操作行为将被审计记录。 ***
*** For authorized personnel only. Activities are audited. ***

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

(无空口令账户时无输出；存在时应仅输出账号名，例如)
svcbackup

rpm -Va

预期现象：如存在被篡改文件，通常会输出校验不一致项；无异常时无输出或输出很少。

示例输出（节选）

missing /usr/libexec/abrt-hook-ccpp
S.5....T. c /etc/ssh/sshd_config
.M....... /usr/local/bin/custom-tool
(无篡改时通常无输出或仅有少量预期变更项)

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

AIDE found differences between database and filesystem!!
added: /root/.bash_history.new
removed: /tmp/old.lock
changed: /etc/passwd
...
File: /etc/passwd
 Size: 1024 -> 1032

Palo Alto防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 PAN-OS 常见单机、防火墙集群和 Panorama 纳管场景。CLI 与 Web 管理界面并用时，以最能稳定保留证据的方式为准。

基础信息

核查命令：

show system info
show config running
show high-availability state

备注：
- 记录型号、PAN-OS 版本、内容库版本、Panorama 纳管与否。
预期证据：
- 系统信息截图

示例输出（节选）

hostname: PA-demo
model: PA-440
serial: 012345678901
sw-version: 11.0.2
uptime: 32 days, 4:12:08

身份鉴别

A. 管理员账户与角色

核查命令：

show admins
show config running | match admin

备注：
- 注意本地管理员、角色模板和 Panorama 管理员。
预期证据：
- 管理员截图

示例输出（节选）

admin superuser yes

B. 口令策略

核查命令：

show password-profile
show config running | match password-profile

备注：

RabbitMQ

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：RabbitMQ 3.x 单机、镜像队列、集群和管理插件场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；RabbitMQ 属于消息中间件，业务型控制点需结合消息内容和管理插件启用情况判定。

基础信息

核查命令：

rabbitmqctl version
rabbitmq-diagnostics server_version
ps -ef | grep beam
find / -name rabbitmq.conf 2>/dev/null

备注：确认版本、节点、集群、端口、配置目录、数据目录、日志目录和管理插件。
预期证据：版本截图、节点截图、配置路径截图、端口截图。

示例输出（节选）

rabbitmqctl version
3.12.12
rabbitmq-diagnostics server_version
3.12.12
ps -ef | grep beam
rabbitmq 3301 beam.smp -K true -A 128 -- root
/etc/rabbitmq/rabbitmq.conf

身份鉴别

A. 管理控制台登录

核查命令：

rabbitmq-plugins list | grep management

备注：核查管理插件是否启用、控制台地址、认证方式和来源限制。
预期证据：插件截图、登录页截图、地址截图。

示例输出（节选）

rabbitmq-plugins list | grep management
[E*] rabbitmq_management
（管理插件已启用，15672 端口经内网+堡垒机访问）

B. 用户与虚拟主机

核查命令：

Redis

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Redis 5/6/7 单机、主从、哨兵、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；Redis 作为缓存、会话库或消息缓冲时，部分控制点需要按其是否实际处理个人信息、是否提供独立交互账户体系来判断。

基础信息

核查命令：

redis-server --version
redis-cli INFO server
ps -ef | grep redis
find / -name redis.conf 2>/dev/null

备注：确认版本、实例角色、监听地址、端口、配置文件、持久化目录、日志目录和部署模式。
预期证据：版本截图、配置路径截图、实例信息截图、端口截图。

示例输出（节选）

Redis server v=7.2.4 sha=00000000 malloc=jemalloc-5.3.0 bits=64
# Server
redis_version:7.2.4
redis_mode:standalone
os:Linux 4.19.90 x86_64
run_id:5f2a...c81d
ps：redis 1101 redis-server *:6379
/etc/redis/redis.conf

身份鉴别

A. 认证方式

核查命令：

redis-cli CONFIG GET requirepass
redis-cli ACL LIST

备注：Redis 6 及以上应重点核查 ACL；旧版本主要看 requirepass 和访问源限制。
预期证据：认证配置截图、ACL 截图、账号台账。

示例输出（节选）

requirepass（CONFIG GET，需认证后执行）
NOAUTH Authentication required.
ACL LIST（节选）
user default on nopass ~* &* +@all
user demo-app on >*** ~demo:* &* +@read +@write -@dangerous

B. 用户与权限账户

核查命令：

RocketMQ

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache RocketMQ 4.x/5.x NameServer、Broker、Proxy、Dashboard 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；需先区分 NameServer、Broker 和 Dashboard 的控制边界。

基础信息

核查命令：

mqbroker -v 2>/dev/null
mqnamesrv -v 2>/dev/null
ps -ef | grep rocketmq
find . -name broker.conf -o -name logback_*.xml

备注：确认版本、角色、监听端口、集群、存储目录、日志目录和 Dashboard。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

mqbroker -v
RocketMQ Broker 5.1.4
mqnamesrv -v
RocketMQ NameServer 5.1.4
ps -ef | grep rocketmq
rocketmq 6601 NamesrvStartup rocketmq 6620 BrokerStartup
conf/broker.conf conf/logback_broker.xml

身份鉴别

A. Dashboard 与管理接口登录

核查命令：

find . -type f | grep -i "dashboard\\|auth\\|login"

备注：核查是否启用 Dashboard、地址和认证方式。
预期证据：控制台截图、配置截图。

示例输出（节选）

find . | grep dashboard|auth|login
（未部署 console/dashboard 组件；管理操作经 CLI+堡垒机完成并留痕）

B. 用户与 ACL

核查命令：

Solaris-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：Oracle Solaris 11.4

说明：Oracle 文档可直接支撑 uname -r 为 5.11、cat /etc/release 示例以及 svcs 的状态列格式。

系统版本核查

uname -r

预期现象：Oracle 示例为 5.11。
示例输出（节选）
```
5.11
```

cat /etc/release

预期现象：Oracle 示例可见 Oracle Solaris 11.4 SPARC 等版本标识。

示例输出（节选）

 Oracle Solaris 11.4 SPARC
 Copyright (c) 1983, 2022, Oracle and/or its affiliates.
 Assembled 14 March 2023

cat /etc/hosts.equiv

预期现象：部分主机该文件可能不存在；如存在则应显示信任主机配置。
示例输出（节选）
```
cat: 该文件不存在（部分主机未部署此文件）
```

账户与口令策略核查

cat /etc/default/login | grep passreq

预期现象：目标状态示例为 PASSREQ=YES。
示例输出（节选）
```
PASSREQ=YES
```

logins -p

预期现象：应显示没有密码的账户；无空口令账户时通常无结果或结果为空。
示例输出（节选）
```
# 无匹配输出（无空口令账户时通常无结果）
```

cat /etc/default/passwd

预期现象：应显示密码复杂度要求。

示例输出（节选）

#ident "@(#)default_passwd.dfl"
MAXWEEKS=12
MINWEEKS=1
PASSLENGTH=8
MINDIGIT=2 MINUPPER=1 MINLOWER=1 MINSPECIAL=0

cat /etc/default/security

预期现象：应显示缺省密码长度和复杂度限制。
示例输出（节选）
```
CRYPT_DEFAULT=6
```

cat /etc/security/policy.conf

预期现象：应显示登录失败处理参数，如 LOCK_AFTER_RETRIES。
示例输出（节选）
```
# policy.conf（节选）
LOCK_AFTER_RETRIES=YES
CRYPT_DEFAULT=6
```

cat /etc/default/login | grep retries

预期现象：应显示重试次数配置。
示例输出（节选）
```
RETRIES=5
```

cat /etc/profile

预期现象：应显示 TMOUT 等登录超时参数。
示例输出（节选）
```
TMOUT=600 ; export TMOUT
```

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:Super-User:/:/usr/bin/bash
daemon:x:1:1::/:/sbin/noshell
bin:x:2:2::/usr/bin:/sbin/noshell
appadm:x:1001:10::/export/home/appadm:/usr/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$5$rounds=10000$xxxxxxxx$H4sIAPxxxx...:19602::::::
daemon:NP:6445::::::
appadm:$5$rounds=10000$yyyyyyyy$Q2xhVxxxx...:19580:7:84:7:::

ls -l /etc/passwd

预期现象：应显示关键文件权限。
示例输出（节选）
```
-rw-r--r-- 1 root sys 1029 Mar 14 2023 /etc/passwd
```

ls -l /etc/group

预期现象：应显示关键文件权限。
示例输出（节选）
```
-rw-r--r-- 1 root sys 398 Mar 14 2023 /etc/group
```

ls -l /etc/shadow

预期现象：应显示关键文件权限。
示例输出（节选）
```
-rw------- 1 root sys 512 Mar 14 2023 /etc/shadow
```

远程接入与服务核查

cat /etc/ssh/sshd_config

预期现象：应显示 SSH 服务端配置，可核查认证与算法参数。

示例输出（节选）

# sshd_config（节选）
PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 60
Subsystem sftp internal-sftp

ssh -Q cipher

预期现象：安装 OpenSSH 客户端时应列出支持的对称加密算法。
示例输出（节选）
```
aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-ctr,...
```

ssh -Q mac

预期现象：安装 OpenSSH 客户端时应列出支持的 MAC 算法。
示例输出（节选）
```
hmac-sha2-256,hmac-sha2-512,hmac-sha1,hmac-sha2-256-etm@openssh.com
```

ssh -Q kex

预期现象：安装 OpenSSH 客户端时应列出支持的密钥交换算法。
示例输出（节选）
```
curve25519-sha256,diffie-hellman-group-exchange-sha256,diffie-hellman-group16-sha512
```

ssh -Q key

预期现象：安装 OpenSSH 客户端时应列出支持的主机密钥/公钥算法。
示例输出（节选）
```
ecdsa-sha2-nistp256,ssh-ed25519,rsa-sha2-512,rsa-sha2-256
```

ssh -V

预期现象：应输出 OpenSSH 版本号。
示例输出（节选）
```
OpenSSH_8.4, OpenSSL 1.1.1q 5 Jul 2022
```

svcs telnet

预期现象：输出通常包含 STATE、STIME、FMRI 列，状态列常见 online、disabled、maintenance。
示例输出（节选）
```
STATE STIME FMRI
disabled Mar_14 svc:/network/telnet:default
```

svcs ssh

预期现象：输出通常包含 STATE、STIME、FMRI 列。
示例输出（节选）
```
STATE STIME FMRI
online Mar_14 svc:/network/ssh:default
```

svcs -a

预期现象：Oracle 示例关键状态包括 legacy_run、disabled、online。

示例输出（节选）

online Mar_14 svc:/network/ssh:default
disabled Mar_14 svc:/network/telnet:default
legacy_run Mar_14 lrc:/etc/rc2_d/S70uucp
...

netstat -na | grep -i listen

预期现象：应显示当前监听端口。

示例输出（节选）

*.22 *.* 0 0 65535 LISTEN
*.111 *.* 0 0 65535 LISTEN
192.168.10.5.443 *.* 0 0 65535 LISTEN

cat /etc/ftpd/ftpusers

预期现象：应显示禁止访问 FTP 的用户列表。
示例输出（节选）
```
root
daemon
bin
sys
...
```

安全审计核查

svcs | grep auditd

预期现象：启用审计服务时应显示 auditd 服务项。
示例输出（节选）
```
online Mar_14 svc:/system/auditd:default
```

cat /etc/default/login | grep syslog

预期现象：目标状态示例为 SYSLOG=YES。
示例输出（节选）
```
SYSLOG=YES
```

cat /etc/syslog.conf

预期现象：应显示日志配置和远程转发设置。

示例输出（节选）

auth.notice @logsvr.example.internal
*.err;kern.debug;daemon.notice;mail.crit /var/adm/messages

ls -l /var/adm/messages

预期现象：应显示日志文件权限；原始文档给出建议值 600。
示例输出（节选）
```
-rw------- 2 root sys 286720 Aug 21 09:32 /var/adm/messages
```

ls -l /var/adm/wtmpx

预期现象：应显示日志文件权限；原始文档给出建议值 644。
示例输出（节选）
```
-rw-rw-rw- 1 adm adm 10485760 Aug 21 18:00 /var/adm/wtmpx
```

ls -l /var/adm/utmpx

预期现象：应显示日志文件权限；原始文档给出建议值 644。
示例输出（节选）
```
-rw-r--rw- 1 adm bin 96304 Aug 21 18:00 /var/adm/utmpx
```

访问控制核查

cat /etc/default/login | grep console

预期现象：应显示 root 本地终端登录控制参数。
示例输出（节选）
```
CONSOLE=/dev/console
```

cat /etc/hosts.allow

预期现象：应显示允许地址限制规则；未配置时可能为空。
示例输出（节选）
```
sshd: 192.168.10., 203.0.113.20
```

cat /etc/hosts.deny

预期现象：应显示拒绝地址限制规则；未配置时可能为空。
示例输出（节选）
```
ALL: ALL
```

cat /etc/security/audit_control

预期现象：应显示审计控制配置。

示例输出（节选）

## audit_control（节选）
dir:/var/audit
flags:lo,ad,ex
minfree:20
naflags:lo

cat /etc/security/audit_class

预期现象：应显示审计类别定义。

示例输出（节选）

fr:no-class,fm:no-class,cl:no-class,pc:process creation,ap:application
...

cat /etc/security/audit_event

预期现象：应显示审计事件定义。

示例输出（节选）

AUE_ACCT:acct:ad:as:na
AUE_LOGIN:login:ss:ss:ss
AUE_SU:su:ss:as:ss
...

cat /etc/security/audit_user

预期现象：应显示审计用户配置。
示例输出（节选）
```
admin:lo,ad
```

最小安装与时间同步核查

pkg info

预期现象：应显示已安装软件包信息；输出通常较长。

示例输出（节选）

NAME (PUBLISHER) VERSION DATE
compress/bzip2 1.0.8-11.4.0.0.1.117.3 ...
network/ssh 8.4.0-11.4.42.0.0.118.0 ...
...

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。
示例输出（节选）
```
crontab: can't open your crontab file.
```

svcs ntp

预期现象：启用 NTP 服务时应显示对应服务状态；未启用时可能为 disabled 或无结果。
示例输出（节选）
```
STATE STIME FMRI
online Mar_14 svc:/network/ntp:default
```

入侵防范核查

grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
```
PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
```

sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
```
permitrootlogin no
logingracetime 60
maxauthtries 4
```

安全基线与完整性核查

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

******************************************************************
* 本系统仅供授权人员使用，操作将被审计并记录。 *
******************************************************************

pkg verify

预期现象：如存在被篡改或缺失文件，通常会输出校验异常项；无异常时无输出或输出很少。
示例输出（节选）
```
pkg verify: No errors were found.
```

Tomcat

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Tomcat 7/8.5/9/10，适用于 Linux、Windows 和容器内 Tomcat 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据统一采用 GB/T 28448-2019 三级要求的“按测评对象实际承载功能、处理数据和安全机制进行判定”原则；若控制能力由上层应用、统一认证平台、前置代理、WAF、堡垒机或操作系统实现，应记录为“本组件原生不承载，按系统整体或上位组件另行测评”，不得机械按缺失判不符合。

基础信息

核查命令：

ps -ef | grep tomcat
./bin/catalina.sh version
pwd、ls
find . -maxdepth 2 -type f | grep -E "server.xml|web.xml|context.xml|tomcat-users.xml|logging.properties"
备注：优先确认安装路径、运行用户、版本、管理端口、部署目录、日志目录；如为容器部署，还要记录镜像版本、容器名、宿主机挂载路径。
预期证据：版本截图、安装路径截图、运行进程截图、配置目录截图、端口监听截图。

示例输出（节选）

Server version: Apache Tomcat/9.0.83
Server built: Oct 12 2023 08:12:00 UTC
Server number: 9.0.83.0
OS Name: Linux
java -version: OpenJDK 11.0.21

身份鉴别

A. 管理入口与登录要求

核查命令：

grep -R "manager\\|host-manager" conf webapps server.xml

备注：若 manager/host-manager 未部署或已删除，可直接记为“管理控制台默认关闭”；该情况通常优于开放控制台。
预期证据：管理应用目录截图、管理入口访问截图或未部署截图。

示例输出（节选）

conf/server.xml:<Context docBase="manager" path="/manager">
webapps/manager
webapps/host-manager
conf/Catalina/localhost/manager.xml

B. 本地账户与角色

核查命令：

TongWeb

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：东方通 TongWeb 应用服务器常见版本，单机、集群、控制台管理场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；如某类控制由统一认证平台或上层应用实现，应明确边界后判定。

基础信息

核查命令：

ps -ef | grep tongweb
find . -name server.xml -o -name tongweb.xml -o -name domain.xml
find . -name version*

备注：确认版本、安装目录、域/实例目录、控制台地址、日志目录和部署目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

ps -ef | grep tongweb（节选）
tongweb 13101 java -Dtongweb.home=/opt/TongWeb7 ...
find . -name server.xml
/opt/TongWeb7/conf/tongweb.xml
find . -name version*
/opt/TongWeb7/bin/version.txt
（版本 TongWeb 7.0.E.6_P2，详见 version.txt）

身份鉴别

A. 管理控制台登录

核查命令：

grep -R "admin\\|console\\|login" . 2>/dev/null

备注：核查控制台地址、认证方式和管理访问路径。
预期证据：登录页截图、地址截图。

示例输出（节选）

grep admin/console/login .（节选）
conf/tongweb.xml: console-context-root=/twconsole
（管理控制台路径已改写，经 Nginx 反代+SSO 访问）

B. 用户与角色

核查命令：

Ubuntu_Debian-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：Ubuntu 22.04 LTS（Jammy Jellyfish）

系统版本核查

lsb_release -a

预期现象：关键字段通常为 Description: Ubuntu 22.04 LTS、Release: 22.04、Codename: jammy。

示例输出（节选）

No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 22.04.4 LTS
Release:	22.04
Codename:	jammy

cat /proc/version

预期现象：应显示内核与编译信息。

示例输出（节选）

Linux version 5.15.0-91-generic (buildd@lcy02-amd64-021) (gcc (Ubuntu 11.4.0-1ubuntu1~22.04) 11.4.0, GNU ld (GNU Binutils for Ubuntu) 2.38) #102-Ubuntu SMP Thu Nov 16 14:41:53 UTC 2023

网络配置核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
 inet 127.0.0.1/8 scope host lo
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
 inet 192.168.10.22/24 metric 100 brd 192.168.10.255 scope global ens33

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...
appuser:x:1000:1000::/home/appuser:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$y$j9T$AbCdEf123456$XyZ0987654321abcdef…:19876:7:90:7:30:::
daemon:*:19375:0:99999:7:::
...
appuser:$y$j9T$GhIjKl654321$fedcba0987654321abcde…:19876:7:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_WARN_AGE	14
...
UMASK		027

cat /etc/pam.d/common-password

预期现象：应显示口令复杂度或密码模块配置。

示例输出（节选）

password	requisite			pam_pwquality.so retry=3
password	[success=1 default=ignore]	pam_unix.so obscure yescrypt
...
# 示例（启用复杂度后）：
# password	requisite			pam_pwquality.so minlen=12 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

cat /etc/pam.d/common-auth

预期现象：应显示认证与登录失败处理相关配置。

示例输出（节选）

auth	[success=2 default=ignore]	pam_faildelay.so delay=3000000
auth	[default=ignore]			pam_tally2.so deny=5 unlock_time=600
auth	required				pam_unix.so nullok
...

cat /etc/pam.d/login

预期现象：应显示本地登录相关 PAM 配置。

示例输出（节选）

session optional pam_keyinit.so force revoke
auth optional pam_group.so
...
session required pam_env.so readenv=1 user_readenv=1
session required pam_limits.so

cat /etc/ssh/sshd_config

预期现象：应能核查 root 远程登录、地址限制、超时等参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

cat /etc/profile

预期现象：应能核查 TMOUT 等登录超时参数。

示例输出（节选）

# ~/.profile: executed by Bourne-compatible login shells.
if [ "$BASH" ]; then
 if [ -f ~/.bashrc ]; then
 . ~/.bashrc
 fi
fi
mesg n 2> /dev/null || true
export TMOUT=600
readonly TMOUT

远程连接协议与算法核查

cat /etc/ssh/sshd_config

预期现象：应能核查 root 远程登录、地址限制、超时以及算法配置项。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers appuser opsadmin
...

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512
hostkeyalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519
pubkeyacceptedalgorithms rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

aes128-cbc
aes128-ctr
...
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha2-256
hmac-sha2-512
...
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
diffie-hellman-group18-sha512
curve25519-sha256
curve25519-sha256@libssh.org
sntrup761x25519-sha512@openssh.com

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-ed25519
ecdsa-sha2-nistp256
...
rsa-sha2-512
sk-ssh-ed25519@openssh.com

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.9p1 Ubuntu-3ubuntu0.10, OpenSSL 3.0.2 15 Mar 2022

安全审计核查

service rsyslog status

预期现象：应显示 rsyslog 状态。

示例输出（节选）

● rsyslog.service - System Logging Service
 Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:05 CST; 2h ago
 Docs: man:rsyslogd(8)
 Main PID: 945 (rsyslogd)

service auditd status

预期现象：应显示 auditd 状态；部分系统可能未安装该服务。

示例输出（节选）

/lib/systemd/system/auditd.service 不存在或未安装时：
Unit auditd.service could not be found.
(安装 auditd 后)
● auditd.service - Security Auditing Service
 Loaded: loaded (/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:06 CST; 2h ago

auditctl -l

预期现象：启用审计规则时应逐条输出规则；未配置时可能为空。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-a always,exit -F arch=b64 -S execve -k exec_monitor

cat /etc/rsyslog.conf

预期现象：应显示日志规则和转发配置。

示例输出（节选）

/############ RULES ###########/
*.*;auth,authpriv.none		-/var/log/syslog
auth,authpriv.*;			/var/log/auth.log
...
# 远程转发示例（如已配置）
*.* @@192.168.20.10:514

cat /etc/rsyslog.d/50-default.conf

预期现象：该文件通常作为默认日志配置文件，内容中应包含常见 facility/priority 到日志文件的映射规则。

示例输出（节选）

auth,authpriv.* /var/log/auth.log
*.*;auth,authpriv.none -/var/log/syslog
cron.* /var/log/cron.log
daemon.* -/var/log/daemon.log
kern.* -/var/log/kern.log
...

cat /etc/logrotate.conf

预期现象：应显示日志轮转与保留配置。

示例输出（节选）

weekly
rotate 4
create
include /etc/logrotate.d
...
/var/log/syslog
{
	rotate 7
	daily
	missingok
	notifempty
	delaycompress
	compress
	postrotate
		invoke-rc.d rsyslog rotate > /dev/null
	endscript
}

ls -l /var/log/syslog

预期现象：应显示 syslog 文件权限和属主信息。

示例输出（节选）

-rw-r----- 1 syslog adm 1048576 Aug 24 10:20 /var/log/syslog

tail -n 20 /var/log/syslog

预期现象：应输出最近 20 条 syslog 日志。

示例输出（节选）

Aug 24 10:18:02 demo-web01 systemd[1]: Started Session 342 of user appuser.
Aug 24 10:18:35 demo-web01 CRON[456700]: (root) CMD (/opt/scripts/log_clean.sh)
...
Aug 24 10:22:41 demo-web01 systemd[1]: logrotate.service: Deactivated successfully.

last

预期现象：应显示成功登录记录。

示例输出（节选）

opsadmin pts/0 203.0.113.50 Mon Aug 24 10:02 still logged in
appuser pts/1 192.168.10.5 Sun Aug 23 17:44 - 19:02 (01:17)
reboot system boot 5.15.0-91-generi Mon Aug 24 08:29 - 10:25 (01:55)
...
wtmp begins Tue Jan 6 09:00:01 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

root ssh:notty 203.0.113.77 Mon Aug 24 04:12 - 04:12 (00:00)
admin ssh:notty 203.0.113.77 Mon Aug 24 04:11 - 04:11 (00:00)

btmp begins Fri Jul 31 00:01:02 2026

访问控制与服务核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 1024 Aug 3 2025 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r----- 1 root shadow 896 Aug 3 2025 /etc/shadow

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 512 Aug 3 2025 /etc/group

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

# 示例：仅允许运维网段访问 sshd
sshd: 192.168.10.0/255.255.255.0

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

sshd: ALL

netstat -ntlp

预期现象：应显示监听端口与程序名。

示例输出（节选）

(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN -
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN -

service --status-all

预期现象：应显示全部服务状态，通常包含 +、-、? 等标记。

示例输出（节选）

 [ + ] cron
 [ - ] open-iscsi
 [ ? ] alsa-utils
 [ + ] ssh
 [ + ] ufw

ps aux | grep ssh

预期现象：启用 SSH 时通常应看到 ssh/sshd 相关进程。

示例输出（节选）

root 950 0.0 0.1 15432 8212 ? Ss 08:30 0:00 sshd: /usr/sbin/sshd -D [listener] 0 of 10-100 startups
appuser 456791 0.0 0.0 7368 4812 ? S 10:02 0:00 sshd: appuser@pts/0
root 567890 0.0 0.0 6472 2200 pts/0 S+ 10:05 0:00 grep --color=auto ssh

ps aux | grep telnet

预期现象：未启用 Telnet 时通常无有效结果。

示例输出（节选）

appuser 567890 0.0 0.0 6472 2100 pts/0 S+ 10:06 0:00 grep --color=auto telnet

ps aux | grep tomcat

预期现象：运行 Tomcat 时应显示相关 Java 进程。

示例输出（节选）

tomcat 3105 1.2 12.4 3562000 248968 ? Sl 08:31 1:52 /usr/bin/java ... org.apache.catalina.startup.Bootstrap start
appuser 567891 0.0 0.0 6472 2100 pts/0 S+ 10:07 0:00 grep --color=auto tomcat

ps aux | grep nginx

预期现象：运行 Nginx 时应显示 nginx master/worker 进程。

示例输出（节选）

root 2205 0.0 0.1 10244 5120 ? Ss 08:31 0:00 nginx: master process nginx -g daemon on; master_process on;
www-data 2206 0.1 0.2 12288 8832 ? S 08:31 0:03 nginx: worker process
appuser 567892 0.0 0.0 6472 2100 pts/0 S+ 10:08 0:00 grep --color=auto nginx

ufw status

预期现象：启用 UFW 时应显示 Status 以及允许/拒绝规则；未安装时可能提示命令不存在。

示例输出（节选）

Status: active

To Action From
-- ------ ----
22/tcp LIMIT Anywhere
80/tcp ALLOW Anywhere
443/tcp ALLOW Anywhere

最小安装、补丁与中间件核查

dpkg --list

预期现象：表头通常包含 Desired、Status、Name、Version、Architecture、Description。

示例输出（节选）

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/
ii adduser 3.118ubuntu5 all add and remove users and groups
...
ii openssh-server 1:8.9p1-3ubuntu0.10 amd64 secure shell (SSH) server

dpkg -l | grep -i 'nginx\|apache\|tomcat\|redis-server\|mongod\|postgresql\|mysql\|mariadb\|memcached\|mongodb-server\|rabbitmq-server'

预期现象：安装对应组件时应输出软件包名和版本。

示例输出（节选）

ii nginx 1.18.0-6ubuntu14.5 amd64 small, powerful, scalable web/proxy server
ii redis-server 5:6.0.16-1ubuntu1.3 amd64 persistent key-value database with network interface

apt list --installed

预期现象：应显示已安装软件包清单；输出通常较长。

示例输出（节选）

Listing...
adduser/jammy,now 3.118ubuntu5 all [installed]
bash/jammy-updates,now 5.1-6ubuntu1.2 amd64 [installed]
curl/jammy-updates,now 7.81.0-1ubuntu1.19 amd64 [installed]
...
zstd/jammy,now 1.4.8+dfsg-3build1 amd64 [installed]

apt list --upgradable

预期现象：存在待更新补丁时应显示可升级软件包；无待升级时通常为空。

示例输出（节选）

Listing...
openssh-client/jammy-security,jammy-updates 1:8.9p1-3ubuntu0.11 amd64 [upgradable from: 1:8.9p1-3ubuntu0.10]
openssh-server/jammy-security,jammy-updates 1:8.9p1-3ubuntu0.11 amd64 [upgradable from: 1:8.9p1-3ubuntu0.10]
(无待升级时仅输出 Listing...)

时钟同步与计划任务核查

timedatectl status

预期现象：应显示本地时间、时区、NTP 同步状态等信息。

示例输出（节选）

 Local time: Mon 2026-08-24 10:28:33 CST
 Universal time: Mon 2026-08-24 02:28:33 UTC
 RTC time: Mon 2026-08-24 02:28:33
 Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
 NTP service: active

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

*/5 * * * * /usr/bin/curl -s http://192.168.10.30/healthcheck > /dev/null
0 2 * * * /opt/scripts/log_clean.sh >> /var/log/log_clean.log 2>&1

groups 用户名

预期现象：应显示指定用户所属组列表。

示例输出（节选）

appuser : appuser sudo docker

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 30
AllowUsers appuser opsadmin

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

allowgroups none
allowusers appuser opsadmin
denygroups none
denyusers none
logingracetime 30
maxauthtries 4
permitrootlogin no

dpkg -l | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

ii fail2ban 0.11.2-6ubuntu0.1 all ban hosts that cause multiple authentication errors

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled; vendor preset: enabled)
 Active: active (running) since Mon 2026-08-24 08:30:20 CST; 2h ago
 Main PID: 1420 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.
Ubuntu 22.04 LTS \n \l

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

Authorized access only. Unauthorized use is prohibited.
Ubuntu 22.04 LTS

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

*** 本系统仅限授权人员使用，操作行为将被审计记录。 ***
*** For authorized personnel only. Activities are audited. ***

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

(无空口令账户时无输出；存在时应仅输出账号名，例如)
svcbackup

debsums -s

预期现象：已安装 debsums 时会输出校验异常包；无异常时无输出。

示例输出（节选）

(无异常时无输出；存在校验异常时应输出被修改的包，例如)
debsums: changed file /usr/sbin/sshd (from openssh-server package)

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

AIDE found differences between database and filesystem!!
added: /root/.bash_history.new
removed: /tmp/old.lock
changed: /etc/passwd
...
File: /etc/passwd
 Size: 1024 -> 1032

WebLogic

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Oracle WebLogic 10.3、12c、14c 单机、域、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的“按对象实际提供的安全功能和业务处理能力判定”原则；若控制能力由统一认证、日志平台、堡垒机或业务系统实现，应明确边界。

基础信息

核查命令：

ps -ef | grep weblogic
find . -name config.xml
grep -n "WebLogic" registry.xml 2>/dev/null

备注：优先识别域目录、管理服务器地址、受管服务器、端口、版本、日志目录和安全领域。
预期证据：进程截图、域目录截图、版本截图、控制台首页截图。

示例输出（节选）

ps -ef | grep weblogic（节选）
weblogic 9901 java -Dweblogic.Name=AdminServer ... -Dweblogic.home=/opt/wls
find . -name config.xml
domains/demo_domain/config/config.xml
grep WebLogic registry.xml
<version>14.1.1.0.0</version>

身份鉴别

A. 管理控制台登录

核查命令：

grep -n "<console-context-path>" config/config.xml 2>/dev/null

备注：核查控制台是否启用密码、是否通过 HTTPS 访问、是否仅允许运维网访问。
预期证据：登录页截图、登录地址截图、HTTPS 截图。

示例输出（节选）

grep console-context-path config.xml
<console-context-path>console</console-context-path>
（控制台路径已改为非默认 /console，并限制来源）

B. 用户与安全领域

核查命令：

WebSphere

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：传统 WebSphere Application Server、Network Deployment 和 Liberty 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；控制点是否适用取决于 WebSphere 是否实际提供该安全功能或直接处理相应数据。

基础信息

核查命令：

versionInfo.sh 2>/dev/null
find . -name security.xml -o -name serverindex.xml
ps -ef | grep websphere

备注：先识别是否为传统 WAS 还是 Liberty，再确认 Profile、Cell、Node、Server、控制台地址、日志目录。
预期证据：版本截图、Profile 目录截图、控制台首页截图、进程截图。

示例输出（节选）

./bin/versionInfo.sh（节选）
Installed Product: IBM WebSphere Application Server V9.0.5.17
OS Name: Linux
ps -ef | grep websphere
wasadmin 10101 java com.ibm.ws.runtime.WsServer
profiles/AppSrv01/config/cells/demoCell01/security.xml

身份鉴别

A. 控制台登录

核查命令：

grep -R "adminconsole" profiles 2>/dev/null

备注：核查控制台登录是否需要密码、是否通过 HTTPS、是否仅限运维网络访问。
预期证据：登录页截图、地址截图、HTTPS 截图。

示例输出（节选）

grep adminconsole profiles（节选）
profiles/AppSrv01/installedApps/demoCell01/isclite.ear/adminconsole.war
（管理控制台为 isclite 企业应用，仅经堡垒机映射访问）

B. 用户仓库与账户

核查命令：

Windows_Server-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：Windows Server 2019

说明：Microsoft Learn 可直接支撑 Get-MpComputerStatus 示例中 AMRunningMode : Normal，以及 RDP SecurityLayer 默认值 1 表示 Negotiate。

系统版本与网络信息核查

systeminfo

预期现象：应显示主机名、OS 名称、版本、补丁、启动时间、域/工作组等摘要信息。

示例输出（节选）

Host Name: WEB01
OS Name: Microsoft Windows Server 2019 Standard
OS Version: 10.0.17763 N/A Build 17763
System Type: x64-based PC
Domain: corp.local
System Boot Time: 2026/8/24, 06:02:11
Hotfix(s): N/A

winver

预期现象：应弹出当前 Windows 版本窗口。

示例输出（节选）

（弹出「关于 Windows」窗口，显示 Windows Server 2019 Standard，版本 1809，内部版本 17763.xxxx）

ipconfig /all

预期现象：应显示网卡、IPv4/IPv6、网关、DNS、MAC 等信息。

示例输出（节选）

Ethernet adapter 以太网:
 Physical Address. . . . . . . . . : 00-0C-29-XX-XX-XX
 IPv4 Address. . . . . . . . . . . : 192.168.1.20(Preferred)
 Subnet Mask . . . . . . . . . . . : 255.255.255.0
 Default Gateway . . . . . . . . . : 192.168.1.254
 DNS Servers . . . . . . . . . . . : 192.168.1.100
 192.168.1.101

hostname

预期现象：应输出当前主机名。

示例输出（节选）

WEB01

账户与身份鉴别核查

net user

预期现象：应列出本地用户或指定用户详细信息。

示例输出（节选）

\\WEB01 的用户帐户

-------------------------------------------------------------------------------
Administrator DefaultAccount Guest
svc_backup webadmin
命令运行完毕，但发生一个或多个错误。

lusrmgr.msc

预期现象：应打开本地用户和组界面，可核查账户和管理员组成员。

示例输出（节选）

（打开「本地用户和组」管理单元；Administrators 组成员示例：Administrator、corp\domain admins、webadmin）

whoami /groups

预期现象：应显示当前用户及所属组 SID/名称。

示例输出（节选）

GROUP INFORMATION
Group Name Type SID
====================================== ================ ============
Everyone Well-known group S-1-1-0
BUILTIN\Administrators Alias S-1-5-32-544
NT AUTHORITY\Authenticated Users Well-known group S-1-5-11

secpol.msc

预期现象：应打开本地安全策略，可核查密码策略、锁定策略、本地策略。

示例输出（节选）

（打开「本地安全策略」；密码策略示例：密码最长使用期限 90 天、长度最小值 12 个字符；账户锁定策略：5 次无效登录后锁定 30 分钟）

gpedit.msc

预期现象：应打开组策略编辑器，可核查审计、RDP、会话、安全选项。

示例输出（节选）

（打开「本地组策略编辑器」；审计策略示例：「审核登录事件」「审核对象访问」均为 成功/失败）

control userpasswords2

预期现象：应打开账户设置界面，可核查交互登录要求。

示例输出（节选）

（打开「用户帐户」对话框；「要使用本计算机，用户必须输入用户名和密码」复选框为勾选状态）

netplwiz

预期现象：应打开用户账户界面，可核查是否要求输入用户名和密码。

示例输出（节选）

（打开「用户帐户」界面；自动登录未启用，访问本机须输入用户名和密码）

端口、共享与服务核查

netstat -ano

预期现象：应显示 Proto、Local Address、State、PID 等字段。

示例输出（节选）

活动连接

 协议 本地地址 外部地址 状态 PID
 TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 2104
 TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 1128
 TCP 192.168.1.20:139 0.0.0.0:0 LISTENING 4

tasklist /svc

预期现象：应显示进程及其承载服务，便于按 PID 反查。

示例输出（节选）

映像名称 PID 服务
========================= ======== ============================================
System 4 N/A
lsass.exe 1016 KeyIso, SamSs, VaultSvc
svchost.exe 1128 TermService
w3wp.exe 2104 IIS Admin Service

net share

预期现象：应列出共享名、资源、说明。

示例输出（节选）

共享名 资源 注解
-------------------------------------------------------------------------------
C$ C:\  默认共享
ADMIN$ C:\WINDOWS 远程管理
IPC$ 远程 IPC
WebShare D:\inetpub\webroot 站点目录

fsmgmt.msc

预期现象：应打开共享文件夹管理界面。

示例输出（节选）

（打开「共享文件夹」管理单元，可查看共享、会话、打开文件列表）

net start

预期现象：应列出已启动服务。

示例输出（节选）

已启动以下 Windows 服务:

 Windows Defender Antivirus Service
 Remote Desktop Services
 Windows Event Log
 Task Scheduler
命令运行完毕，但发生一个或多个错误。

services.msc

预期现象：应打开服务管理器。

示例输出（节选）

（打开「服务」管理单元，可查看各服务名称、描述、状态、启动类型）

安全审计核查

eventvwr.msc

预期现象：应打开事件查看器，可查看应用、安全、系统日志。

示例输出（节选）

（打开「事件查看器」；Security 日志示例：事件 ID 4624 登录成功 / 4625 登录失败，来源 Microsoft-Windows-Security-Auditing）

wevtutil el

预期现象：应输出所有事件日志通道名称。

示例输出（节选）

Application
Security
Setup
System
Microsoft-Windows-TerminalServices-RDPClient/Operational
Microsoft-Windows-Windows Defender/Operational

wevtutil gli Security

预期现象：应显示 Security 日志的配置详情。

示例输出（节选）

creationTime: 2026-07-10T03:00:12.000Z
lastAccessTime: 2026-08-24T09:50:01.000Z
lastWriteTime: 2026-08-24T09:52:33.000Z
fileSize: 209715200
logMode: Circular
logName: Security
numberOfLogRecords: 152340

边界防护与远程接入核查

Firewall.cpl

预期现象：应打开 Windows 防火墙界面。

示例输出（节选）

（打开「Windows Defender 防火墙」，显示域网络/专用网络/公用网络的启用状态及入站规则入口）

netsh advfirewall show allprofiles

预期现象：应显示域、专用、公用三类配置文件的状态与默认动作。

示例输出（节选）

域配置文件设置:
状态 启用
入站流量操作 阻止(默认)
出站流量操作 允许(默认)

公用配置文件设置:
状态 启用
入站流量操作 阻止(默认)
出站流量操作 允许(默认)

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name SecurityLayer

预期现象：默认值示例为 1，表示 Negotiate；0 表示 RDP Security Layer，2 表示 SSL(TLS)。

示例输出（节选）


SecurityLayer : 1
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication

预期现象：0 表示不要求网络级别身份验证（NLA），1 表示要求 NLA；Microsoft 文档给出的默认值示例为 0。

示例输出（节选）


UserAuthentication : 1
PSDrive : HKLM
PSChildName : RDP-Tcp

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name MinEncryptionLevel

预期现象：应返回 RDP 加密级别。Microsoft RDP 协议文档定义的级别包括 Low、Client Compatible、High、FIPS Compliant；实际注册表数值需结合现场系统解析。

示例输出（节选）


MinEncryptionLevel : 3
PSDrive : HKLM
PSChildName : RDP-Tcp

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server'

预期现象：如已显式配置，通常可见 Enabled 和 DisabledByDefault 两个 DWORD；未显式配置时路径可能不存在。

示例输出（节选）


Enabled : 0
DisabledByDefault : 1
PSDrive : HKLM
PSChildName : Server

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server'

预期现象：如已显式配置，通常可见 Enabled 和 DisabledByDefault 两个 DWORD；未显式配置时路径可能不存在。

示例输出（节选）


Enabled : 0
DisabledByDefault : 1
PSDrive : HKLM
PSChildName : Server

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server'

预期现象：如已显式配置，通常可见 Enabled 和 DisabledByDefault 两个 DWORD；未显式配置时路径可能不存在。

示例输出（节选）


Enabled : 1
DisabledByDefault : 0
PSDrive : HKLM
PSChildName : Server

Get-TlsCipherSuite

预期现象：应按优先顺序列出本机可用 TLS 密码套件，常见字段包括 Name、Cipher、Hash、Exchange、Certificate。

示例输出（节选）


Name Cipher Hash Exchange Certificate
---- ------ ---- -------- -----------
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH ECDSA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH RSA
TLS_RSA_WITH_AES_256_CBC_SHA256 AES_256 SHA256 RSA RSA

Get-TlsCipherSuite | Select-Object -First 20 Name, Cipher, Hash, Exchange

预期现象：应显示优先级靠前的 TLS 密码套件，可用于核查是否仍启用弱算法。

示例输出（节选）


Name Cipher Hash Exchange
---- ------ ---- --------
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 AES_256_GCM SHA384 ECDH
TLS_RSA_WITH_AES_256_CBC_SHA256 AES_256 SHA256 RSA

Get-Service TermService

预期现象：应显示远程桌面服务状态，常见状态为 Running 或 Stopped。

示例输出（节选）


Status Name DisplayName
------ ---- -----------
Running TermService Remote Desktop Services

netstat -ano | findstr :3389

预期现象：启用远程桌面时通常可看到 3389 端口处于 LISTENING 状态。

示例输出（节选）

 TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 1128
 TCP [::]:3389 [::]:0 LISTENING 1128

远程连接协议与算法核查（SSH，适用于已安装 OpenSSH 的 Windows Server 2019）

Get-Service sshd

预期现象：安装并启用 OpenSSH Server 时应显示 sshd 服务状态；未安装时可能提示找不到服务。

示例输出（节选）


Status Name DisplayName
------ ---- -----------
Running sshd OpenSSH SSH Server

Get-Content 'C:\ProgramData\ssh\sshd_config'

预期现象：应显示 OpenSSH Server 配置，常见可核查 PermitRootLogin、PasswordAuthentication、AllowUsers、AllowGroups 等参数。

示例输出（节选）

Port 22
PermitRootLogin no
PasswordAuthentication yes
MaxAuthTries 4
AllowUsers webadmin svc_backup@192.168.1.*
Match Group administrators
 AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

ssh -V

预期现象：已安装 OpenSSH 客户端时应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_for_Windows_8.1p1, LibreSSL 3.0.2

ssh -Q cipher

预期现象：应列出客户端支持的 SSH 对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出客户端支持的 SSH MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-ripemd160

ssh -Q kex

预期现象：应列出客户端支持的 SSH 密钥交换算法。

示例输出（节选）

diffie-hellman-group-exchange-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出客户端支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

恶意代码防范核查

Get-MpComputerStatus

预期现象：Microsoft Learn 示例关键字段包括 AMRunningMode : Normal、AMServiceEnabled : True、AntivirusEnabled : True。

示例输出（节选）


AMRunningMode : Normal
AMServiceEnabled : True
AntivirusEnabled : True
RealTimeProtectionEnabled : True
AntivirusSignatureLastUpdated : 2026/8/24 05:30:12 +08:00
QuickScanEndTime : 2026/8/24 03:15:40 +08:00

Get-MpPreference

预期现象：应显示 Defender 策略配置，如排除项、实时保护、云保护等。

示例输出（节选）


DisableRealtimeMonitoring : False
MAPSReporting : Advanced
SubmitSamplesConsent : 1
ScanScheduleQuickScanTime : 180
ExclusionPath : {D:\backup}
PUAProtection : Enabled

wscui.cpl

预期现象：应打开安全和维护界面。

示例输出（节选）

（打开「安全和维护」；病毒和威胁防护显示「Windows Defender 防病毒软件已启用且为最新」）

时间同步与计划任务核查

w32tm /query /status

预期现象：应显示时钟源、层级、上次同步时间等字段。

示例输出（节选）

Leap 指示符: 0
层次: 3 (引用自辅助时钟)
精度: -6 (每刻度 15.625ms)
根延迟: 0.0312500s
上次成功的同步时间: 2026/8/24 09:45:22
源: 192.168.1.100

w32tm /query /configuration

预期现象：应显示 NtpClient、NtpServer、Type 等配置项。

示例输出（节选）

配置:

EventLogFlags: 2 (本地)
AnnounceFlags: 10 (本地)
Type: NT5DS (本地)
NtpServer: (本地)
ServiceMain: SI (本地)
MaxAllowedPhaseOffset: 300 (本地)

schtasks /query /fo LIST /v

预期现象：应显示计划任务详细清单，输出通常较长。

示例输出（节选）

主机名: WEB01
任务名: \NightlyBackup
下次运行时间: 2026/8/25 2:00:00
状态: 就绪
要运行的任务: C:\Scripts\backup.bat
计划类型: 每天
以用户身份运行: CORP\svc_backup

最小安装与补丁核查

appwiz.cpl

预期现象：应打开程序和功能界面。

示例输出（节选）

（打开「程序和功能」，列出已安装程序及其发布者、安装日期、大小）

wmic qfe list brief

预期现象：通常会列出 HotFixID、InstalledOn 等补丁字段。

示例输出（节选）

Caption CSName Description FixComments HotFixID InstallDate InstalledBy InstalledOn
http://schemas.microsoft... WEB01 Update KB5034441 CORP\administrator 2026/7/15
http://schemas.microsoft... WEB01 Security Update KB5005625 NT AUTHORITY\SYSTEM 2026/6/20

sysdm.cpl

预期现象：应打开系统属性界面，可辅助核查远程设置与主机属性。

示例输出（节选）

（打开「系统属性」；「远程」选项卡显示「允许远程连接到此计算机」勾选状态及远程桌面用户列表）

mstsc

预期现象：应打开远程桌面连接客户端。

示例输出（节选）

（打开「远程桌面连接」窗口，可输入目标主机地址并选择显示/资源选项卡）

入侵防范核查

net accounts

预期现象：应显示账户锁定策略与口令策略摘要，可用于核查防暴力破解设置。

示例输出（节选）

强制注销的时间限制(分钟): 从不
密码最短使用期限(天): 7
密码最长使用期限(天): 90
密码长度最小值: 12
保持的密码历史记录个数: 24
锁定阈值: 5
锁定持续时间(分钟): 30

wevtutil qe Security /q:"*[System[(EventID=4625)]]" /f:text /c:5

预期现象：应显示最近 5 条登录失败事件（如存在），用于发现暴力破解迹象。

示例输出（节选）

Event[0]:
 Log Name: Security
 Date: 2026-08-24T07:44:12.000
 Event ID: 4625
 任务类别: 登录
 关键字: 审核失败
 帐户名: administrator
 源网络地址: 203.0.113.77
 失败原因: 未知用户名或密码错误。

Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Actions

预期现象：已配置 ASR 规则时应输出规则动作列表；未配置时可能为空。

示例输出（节选）

ZooKeeper

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache ZooKeeper 3.4/3.5/3.6/3.7 单机、伪集群、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；ZooKeeper 属于协调组件，业务型控制点需结合其是否承载业务数据、是否启用管理接口判定。

基础信息

核查命令：

zkServer.sh version 2>/dev/null
ps -ef | grep zookeeper
find / -name zoo.cfg 2>/dev/null

备注：确认版本、节点角色、集群、端口、配置文件、数据目录和日志目录。
预期证据：版本截图、进程截图、配置路径截图、端口截图。

示例输出（节选）

zkServer.sh version
Apache ZooKeeper, version 3.8.4 2024-02-14 06:34 UTC
ps -ef | grep zookeeper
zookeeper 4401 java -Dzookeeper.log.dir=/data/zk/logs ... QuorumPeerMain
/opt/zookeeper/conf/zoo.cfg

身份鉴别

A. 管理接口识别

核查命令：

grep -R "admin.serverPort\\|4lw.commands.whitelist" /etc/zookeeper /opt 2>/dev/null

备注：重点核查 AdminServer、四字命令和 JMX 接口。
预期证据：配置截图、接口截图。

示例输出（节选）

/etc/zookeeper/zoo.cfg: admin.serverPort=8080
/opt/zookeeper/conf/zoo.cfg: 4lw.commands.whitelist=stat, srvr, mntr
（四字命令白名单收敛，admin server 仅内网访问）

B. 认证机制

核查命令：

不适用控制点审阅结论

Mon, 24 Aug 2026 00:00:00 +0800

一、判定原则

本次审阅以 GB/T 28448-2019 三级测评要求的对象边界原则为基础：控制点是否适用，取决于该测评对象是否实际提供对应安全功能、是否实际处理对应数据、是否存在对应管理交互面。
若控制能力由统一认证平台、堡垒机、VPN、WAF、日志平台、上层业务系统或操作系统实现，则在中间件/容器单组件脚本中可标记为 【不适用】 或“由上位组件另行测评”，不得简单按缺失判不符合。
个人信息保护类控制点仅在测评对象实际收集、存储、展示、传输、导出、共享个人信息时适用。

二、已重点标记不适用的对象和控制点

1. Tomcat

管理会话超时：未部署 manager/host-manager 时可不适用。
个人信息保护 A/B：Tomcat 仅作为运行容器、不直接处理个人信息时可不适用。

2. Nginx

登录失败处理/会话超时：纯反向代理、无本地登录机制时可不适用。
个人信息保护 A/B：仅做代理转发、无个人信息处理和导出能力时可不适用。

3. WebLogic

原生双因素：若统一由 IAM、堡垒机、VPN 实现，则 WebLogic 本体可不适用。
个人信息保护 A/B：仅作应用容器、不直接处理个人信息时可不适用。

4. WebSphere

原生双因素：统一由上位平台实现时可不适用。
个人信息保护 A/B：仅作应用容器、不直接处理个人信息时可不适用。

5. JBoss

管理会话超时：未启用管理控制台时可不适用。
个人信息保护 A/B：仅作应用容器、不直接处理个人信息时可不适用。

6. Docker

容器内业务账号鉴别：Docker 平台层本体不适用，应转由容器内组件测评。
平台账户口令复杂度/锁定：未启用独立平台账号体系、远程 API 和仓库认证时可不适用。
个人信息保护 A/B：仅为容器运行平台、不直接处理个人信息时可不适用。

7. Redis

登录失败锁定/会话超时：无人工交互式登录界面时可部分不适用。
个人信息保护 A/B：仅用于技术缓存、分布式锁、不承载个人信息时可不适用。

8. Kafka

人工用户登录失败锁定/会话超时：仅提供 Broker 连接、无人工登录控制台时可不适用。
个人信息保护 A/B：消息不含个人信息，且平台无导出共享能力时可不适用。

9. EMQX

人工用户登录失败锁定/会话超时：仅处理设备连接认证、无人工登录场景时可不适用。
个人信息保护 A/B：消息不含个人信息、未启用导出或桥接外发能力时可不适用。

10. Apusic-金蝶

原生登录失败锁定/双因素：统一由外部平台实现时可不适用。
个人信息保护 A/B：仅作为运行容器、不直接处理个人信息时可不适用。

11. Apache HTTP Server

登录失败处理/会话超时：仅作静态发布或代理转发、无本地登录机制时可不适用。
个人信息保护 A/B：不直接处理个人信息、未启用 WebDAV/目录共享时可不适用。

12. IIS

登录失败处理/会话超时：仅开放匿名访问或仅作反向代理时可不适用。
个人信息保护 A/B：不直接处理个人信息、未启用 WebDAV 或目录共享能力时可不适用。

13. Jetty

登录失败处理/管理会话超时：未启用独立管理登录界面时可不适用。
个人信息保护 A/B：仅作应用运行容器、不直接处理个人信息时可不适用。

14. TongWeb

原生双因素/登录失败锁定：统一由外部认证平台实现时可不适用。
个人信息保护 A/B：仅作运行容器、不直接处理个人信息时可不适用。

15. RabbitMQ

若消息不含个人信息，则个人信息保护 A/B 可不适用。
若管理控制统一依赖前置平台，则部分身份鉴别增强项按边界补上位平台证据。

16. ActiveMQ-Artemis

若消息不含个人信息，则个人信息保护 A/B 可不适用。
若无独立人工登录场景，则部分人工登录失败处理类控制按对象边界弱化或不适用。

17. RocketMQ

人工登录失败锁定/会话超时：仅面向客户端连接、无独立人工登录面时可不适用。
个人信息保护 A/B：消息不含个人信息、无导出共享能力时可不适用。

18. ZooKeeper

人工登录失败锁定/会话超时：未启用独立人工登录界面时可不适用。
个人信息保护 A/B：仅承载协调元数据、注册信息和非个人信息配置时可不适用。

三、审阅建议

现场不要直接把“产品原生不支持”写成不适用，必须先写清楚是否由上位平台等效实现。
对于“个人信息保护”类项，建议先通过访谈确认该组件是否直接承载个人信息，再决定是否勾选不适用。
对于“登录失败处理、双因素、会话超时”类项，建议先确认是否存在独立管理登录界面，再决定是否勾选不适用。

四、对应文档

所有不适用标记已同步写入 01-主脚本 下各系列主脚本中。

厂商覆盖补充说明

Mon, 24 Aug 2026 00:00:00 +0800

本轮补充后，04-交换机与路由器 目录已覆盖以下主流厂商和系统口径：

国内常见：华为 VRP、H3C Comware、锐捷 RGOS、中兴、迈普、瑞斯康达工业交换平台
国际主流：Cisco IOS/IOS-XE、Juniper Junos、Arista EOS、HPE ArubaOS-Switch / AOS-CX、ExtremeXOS / VOSS、Dell OS6/OS9/OS10
命令能力较弱或项目现场偶见设备：子午线

当前覆盖特点：

已覆盖园区交换、核心路由、数据中心 Leaf-Spine、工业交换和常见堆叠/双机/VRRP/MLAG/IRF/VSX/VC 场景。
已覆盖国内测评现场最常见的命令体系：display、show、set/display set、EOS show、AOS-CX/ArubaOS-Switch、EXOS/VOSS。
各系列均配套了主脚本和版本差异说明，便于先识别系统，再决定现场命令口径。

仍建议现场按项目实际设备清单再做一轮“品牌命中确认”：

若存在运营商级设备，可继续补 诺基亚 SR OS、华为 NE 系列、Juniper MX 深化版。
若存在中小企业边界与无线一体设备，可继续补 MikroTik RouterOS、TP-Link Omada/企业交换平台。
若存在国产细分场景厂商，可按项目清单继续增补专用脚本。

华为

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：华为 S/CE 系列交换机、AR 路由器、M-LAG/堆叠场景及 VRP 平台同类设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

display current-configuration
display version
display interface brief
display ip routing-table
display vlan

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

示例输出（节选）

<SW-demo>display version
Huawei Versatile Routing Platform Software
VRP (R) software, Version 5.170 (S5730 V200R021C00SPC100)
HUAWEI S5730-L48P4X-A1 uptime is 45 weeks, 3 days, 2 hours, 15 minutes
Patch Version: V200R021SPH010

身份鉴别

A. 认证方式

核查命令：

display local-user
display aaa
display ssh server status
display telnet server status

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

示例输出（节选）

<SW-demo>display ssh server status
 SSH Version : 2.0
 Stelnet server : Enable
 Sftp server : Disable
 Authentication timeout (Seconds) : 60
 Authentication retries : 5

B. 账号与权限主体

核查命令：

华为防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于华为 USG/NGFW/HiSecEngine 等常见防火墙系统。建议先执行 display version、display current-configuration，命令差异较大时结合 display ?、system-view 下 ? 帮助定位。

基础信息

核查命令：

display version
display device
display current-configuration
display interface brief

备注：
- 记录型号、系统版本、补丁版本、主备状态、管理地址和部署位置。
预期证据：
- 版本截图
- 当前配置摘要截图
- 资产台账或网络拓扑

示例输出（节选）

Huawei Versatile Security Platform Software
Version 5.5 (USG6000E V500R005C20SPC300)
Copyright (C) 2000-2022 Huawei Technologies Co., Ltd.
...
Up Time : 0 day, 8:32:15

身份鉴别

A. 管理员账户与角色

核查命令：

display aaa local-user
display administrator

备注：
- 关注默认账号、共享账号和角色权限是否区分。
预期证据：
- 本地用户截图
- 管理员角色截图

示例输出（节选）

UserName Level State
admin 3 Enable
secadmin 3 Enable
audadmin 3 Enable

B. 口令策略

核查命令：

绿盟防火墙与安全设备

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于绿盟 NF/NSFOCUS 防火墙及部分安全网关系统。命令和 Web 页面并用时，以能稳定取证的方式为准。

基础信息

核查命令：

show system
show version
show running-config

备注：
- 记录产品线、版本、授权和部署方式。
预期证据：
- 系统截图

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show role

备注：
- 核查默认账号、共享账号和角色分离。
预期证据：
- 管理员截图

B. 口令策略

核查命令：

show password-policy
show security-config

备注：
- 重点看复杂度和失效策略。
预期证据：
- 口令策略截图

C. 登录失败与超时

核查命令：

show login-policy
show session admin

备注：
- 查看失败锁定、超时退出和会话控制。
预期证据：
- 策略截图

D. 远程认证与 MFA

核查命令：

show radius
show ldap
show auth-server

备注：
- 可结合堡垒机或统一认证平台补证。
预期证据：

迈普

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：迈普通用交换机、路由器和采用迈普命令体系的园区网络设备。

使用说明：

迈普设备命令风格多接近 Cisco/H3C 混合口径，现场应优先保留完整运行配置截图。
若个别高级命令不支持，可用运行配置、Web 页面和网管平台材料补证。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
若设备未部署 Portal、802.1X、AAA 联动或个人身份数据处理功能，可将“个人信息保护”控制点按对象边界说明不适用。
若设备型号不支持高级攻击防护、堆叠或 IPSec 等增强功能，可将对应子项说明为“命令不支持/功能未启用”，并补充基础安全配置证据。

基础信息

核查命令：

show running-config
show version
show interface brief
show ip route
show vlan

备注：确认型号、版本、管理地址、接口状态、路由角色和堆叠/VRRP 形态。
预期证据：版本截图、配置截图、接口截图、资产台账。

身份鉴别

A. 认证方式

核查命令：

show aaa
show radius
show tacacs
show ssh

备注：核查本地账号、AAA、RADIUS、TACACS+ 和 SSH 管理方式。
预期证据：AAA 配置截图、SSH 截图、堡垒机材料。

B. 账号与权限主体

核查命令：

show users
show running-config | include username|privilege

备注：核查共享管理员、只读账号和运维账号权限分离。
预期证据：账号截图、权限截图、账号台账。

C. 口令复杂度与失败处理

核查命令：

凝思-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：凝思安全操作系统 V6.0.80；补充参考凝思欧拉版 V6.0.99 EL20.03 SP3

说明：公开资料可直接支撑上述版本号。对未公开给出完整命令样例的部分，下列仅写关键字段预期。

系统版本核查

cat /etc/linx-release

预期现象：关键字段通常应体现 V6.0.80；欧拉版可体现 V6.0.99 与 EL20.03 SP3。

示例输出（节选）

Linx Security OS 6.0.80

cat /etc/os-release

预期现象：如系统提供该文件，关键字段通常会体现底层发行版版本线索。

示例输出（节选）

NAME="Linx Security OS"
VERSION="6.0.80"
ID=linx
VERSION_ID="6.0.80"

网络配置核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP
 link/ether 00:0c:29:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.11/24 brd 192.168.1.255 scope global ens33
 valid_lft forever preferred_lft forever
 inet6 fe80::xxxx:xxxx:xxxx:xxxx/64 scope link

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
sshd:x:100:65534::/run/sshd:/usr/sbin/nologin
webapp:x:1000:1000::/home/webapp:/bin/bash
auditor:x:1001:1001::/home/auditor:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$6$rounds=4096$xxxxxxxx$:19xxx:0:90:7:::
daemon:*:19xxx:0:99999:7:::
webapp:$6$rounds=4096$yyyyyyyy$:19xxx:0:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	30

cat /etc/pam.d/common-password

预期现象：应显示口令复杂度相关 PAM 配置，原始文档提示可能涉及 pam_cracklib.so。

示例输出（节选）

password	requisite			pam_cracklib.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1
password	[success=1 default=ignore]	pam_unix.so obscure use_authtok try_first_pass sha512 remember=5

cat /etc/pam.d/common-auth

预期现象：应显示登录失败处理配置，原始文档提示可能涉及 pam_tally2.so 或 faillock。

示例输出（节选）

auth	required	pam_tally2.so onerr=fail deny=5 unlock_time=600 even_deny_root root_unlock_time=600
auth	[success=1 default=ignore]	pam_unix.so nullok try_first_pass

cat /etc/profile

预期现象：应能核查登录超时参数。

示例输出（节选）

# /etc/profile: system-wide .profile file for the Bourne shell
export TMOUT=600
readonly TMOUT
umask 027

ps aux | grep ssh

预期现象：启用 SSH 时通常可见 ssh 相关进程。

示例输出（节选）

root 1104 0.0 0.1 12188 6520 ? Ss 09:12 0:00 sshd: /usr/sbin/sshd -D [listener]
root 3312 0.0 0.1 13104 7188 ? Ss 09:30 0:00 sshd: webapp [priv]
webapp 3320 0.0 0.0 14216 5200 ? S 09:30 0:00 sshd: webapp@pts/0

ps aux | grep telnet

预期现象：未启用 Telnet 时通常无有效结果。

示例输出（节选）

audit 4200 0.0 0.0 6432 720 pts/1 S+ 09:41 0:00 grep telnet

远程连接协议与算法核查

cat /etc/ssh/sshd_config

预期现象：应能核查 SSH 登录参数及算法配置项。

示例输出（节选）

Port 22
PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers webapp auditor@192.168.1.*
Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr
MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-ripemd160

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group-exchange-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.2p1, OpenSSL 1.1.1d 10 Sep 2019

安全审计核查

service rsyslog status

预期现象：应显示日志服务状态。

示例输出（节选）

● rsyslog.service - System Logging Service
 Loaded: loaded (/lib/systemd/system/rsyslog.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:05 CST; 3h 45min ago
 Main PID: 942 (rsyslogd)

service auditd status

预期现象：应显示审计服务状态。

示例输出（节选）

● auditd.service - Security Auditing Service
 Loaded: loaded (/lib/systemd/system/auditd.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:03 CST; 3h 46min ago
 Main PID: 921 (auditd)

auditctl -l

预期现象：应逐条输出审计规则。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /var/log/audit/ -p wa -k audit_log
-a always,exit -F arch=b64 -S execve -k commands

cat /etc/rsyslog.conf

预期现象：应显示日志规则和远程转发配置。

示例输出（节选）

*.info;mail.none;authpriv.none	/var/log/messages
authpriv.*	/var/log/secure
*.emerg	:omusrmsg:*
*.*	@192.168.1.200:514

ls -l /var/log/messages

预期现象：应显示日志文件权限信息。

示例输出（节选）

-rw------- 1 root adm 1048576 Aug 24 09:35 /var/log/messages

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限信息。

示例输出（节选）

-rw------- 1 root root 8388608 Aug 24 09:36 /var/log/audit/audit.log

tail -n 20 /var/log/messages

预期现象：应输出最近 20 条系统日志。

示例输出（节选）

Aug 24 09:15:01 linx-app01 systemd[1]: Starting Daily apt upgrade and clean activities...
Aug 24 09:20:33 linx-app01 kernel: [ 1234.5678] device ens33 entered promiscuous mode
Aug 24 09:22:10 linx-app01 CRON[3210]: (root) CMD (/usr/local/bin/backup.sh)
Aug 24 09:25:44 linx-app01 sshd[3312]: Accepted password for webapp from 192.168.1.50 port 51022 ssh2

tail -n 20 /var/log/audit/audit.log

预期现象：应输出最近 20 条审计日志。

示例输出（节选）

type=USER_AUTH msg=audit(1771891200.101:1024): pid=3312 uid=0 auid=1000 msg='op=PAM:authentication acct="webapp" exe="/usr/sbin/sshd" hostname=app01 addr=192.168.1.50 terminal=ssh res=success'
type=SYSCALL msg=audit(1771891230.220:1025): arch=c000003e syscall=59 success=yes exe="/usr/bin/vim" key="commands"
type=CONFIG_CHANGE msg=audit(1771891300.010:1026): auid=1000 op=add_rule key=identity

last

预期现象：应显示成功登录记录。

示例输出（节选）

webapp pts/0 192.168.1.50 Mon Aug 24 09:05 still logged in
auditor pts/1 192.168.1.51 Mon Aug 24 08:58 - 09:20 (00:22)
root tty1 Sun Aug 23 22:10 still logged in

wtmp begins Sun Aug 16 03:14:02 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

admin ssh:notty 203.0.113.77 Mon Aug 24 07:44 - 07:44 (00:00)
root ssh:notty 203.0.113.77 Mon Aug 24 07:41 - 07:41 (00:00)
test ssh:notty 198.51.100.9 Sun Aug 23 23:02 - 23:02 (00:00)

btmp begins Sun Aug 23 21:00:01 2026

边界防护核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 2140 Jul 10 2026 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r----- 1 root shadow 1320 Jul 10 2026 /etc/shadow

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 980 Jul 10 2026 /etc/group

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

sshd: ALL EXCEPT 192.168.1.

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

sshd: 192.168.1.0/255.255.255.0

netstat -ntlp

预期现象：应显示监听端口和程序名。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1104/sshd
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1508/nginx
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 1702/mysqld

iptables -L -n

预期现象：启用 iptables 时应输出当前规则；未启用时可能为空或提示无规则。

示例输出（节选）

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT icmp -- 192.168.1.0/24 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

最小安装、补丁与计划任务核查

dpkg --list

预期现象：若为 Debian 技术路线版本，表头通常包含 Desired、Status、Name、Version、Architecture、Description。

示例输出（节选）

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name Version Architecture Description
+++-================-================-============-=================================
ii openssh-server 1:8.2p1-x amd64 secure shell (SSH) server
ii nginx 1.18.0-x amd64 high performance web server

apt list --installed

预期现象：应显示已安装软件包清单；输出通常较长。

示例输出（节选）

Listing... Done
acl/now 2.2.53 amd64 [installed]
auditd/now 1:2.8.5 amd64 [installed]
openssh-server/now 1:8.2p1 amd64 [installed]

apt list --upgradable

预期现象：存在待更新补丁时应显示可升级软件包；无待升级时通常为空。

示例输出（节选）

Listing... Done
openssl/linx-security 1.1.1d-upgrade amd64 [upgradable from: 1.1.1d]
curl/linx-security 7.68.0-upgrade amd64 [upgradable from: 7.68.0]

netstat -tlunp | grep ntp

预期现象：启用 NTP 服务时通常会看到 123 端口监听。

示例输出（节选）

udp 0 0 192.168.1.11:123 0.0.0.0:* 1450/ntpd
udp 0 0 127.0.0.1:123 0.0.0.0:* 1450/ntpd

ntpq -p

预期现象：启用 NTP 时应显示上级时钟源与对时状态。

示例输出（节选）

 remote refid st t when poll reach delay offset jitter
==============================================================================
*192.168.1.100 .GPS. 1 u 32 64 377 0.421 -0.118 0.032
+192.168.1.101 192.168.1.100 2 u 45 64 377 0.517 -0.201 0.048

timedatectl status

预期现象：应显示时间、时区、NTP 同步状态。

示例输出（节选）

 Local time: Mon 2026-08-24 09:48:12 CST
 Universal time: Mon 2026-08-24 01:48:12 UTC
 Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
 NTP service: active

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

0 2 * * * /usr/local/bin/backup.sh >> /var/log/backup.log 2>&1
*/30 * * * * /usr/local/bin/check_service.sh

groups 用户名

预期现象：应显示指定用户所属组列表。

示例输出（节选）

webapp : webapp sudo www-data

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

MaxAuthTries 4
LoginGraceTime 30
PermitRootLogin no
AllowUsers webapp auditor

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

maxauthtries 4
logingracetime 30
permitrootlogin no
allowusers webapp auditor

dpkg -l | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

ii fail2ban 0.11.1-x all ban hosts that cause multiple authentication errors
ii aide 0.16-x amd64 Advanced Intrusion Detection Environment

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:03 CST; 3h 48min ago
 Main PID: 988 (fail2ban-server)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

WARNING: Unauthorized access to this system is forbidden. Access is logged.

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

This system is for authorized operation personnel only.
Operations are subject to security auditing.

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

（无输出，表示不存在空口令账户）

debsums -s

预期现象：已安装 debsums 时会输出校验异常包；无异常时无输出。

示例输出（节选）

（无输出，表示所有已安装包校验通过；如异常会输出 debsums: changed file ... 类似行）

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

Start timestamp: 2026-08-24 09:50:00 +0800 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!
Number of entries: 102345
End timestamp: 2026-08-24 09:52:10 +0800 (run time: 2m 10s)

启明星辰防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于现场常见启明星辰/天清类防火墙命令风格。若设备版本命令存在差异，可先执行 system show、system show version，并结合 ? 帮助检索同类命令。

基础信息

核查命令：

system show
system show version
easyconfig show
hostname show
snmp show

备注：
- 先确认设备型号、软件版本、部署位置、管理地址、HA/双机状态。
- 若存在集中管理平台，还应记录平台名称、纳管方式和策略下发关系。
预期证据：
- 设备系统信息截图
- 版本信息截图
- 网络拓扑或部署说明
- 资产台账或设备清单

身份鉴别

A. 管理员账户与角色

核查命令：

admacct show
admhost show
easyconfig show

备注：
- 核对是否存在默认账户、共享账户、长期未清理账户。
- 关注超管、审计员、运维员是否区分，是否存在多人共用管理员账号。
预期证据：
- 管理员账号列表截图
- 角色权限截图
- 账号开通审批或授权记录

B. 口令策略

核查命令：

admacct show
system show
口令策略相关命令如 password show / policy show

备注：
- 关注口令长度、复杂度、定期更换、历史口令重用限制。
- 若设备仅支持部分复杂度项，应结合厂商手册和实际补偿措施判定。
预期证据：
- 口令策略配置截图
- 安全管理制度中口令要求
- 访谈记录

C. 登录失败处置与会话超时

核查命令：

锐捷

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：锐捷 RG 系列交换机、RGOS 设备及常见园区路由交换平台。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

show running-config
show version
show manuinfo
show ip interface brief
show ip route

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

示例输出（节选）

SW-demo>show version
RGOS 11.4(1)B70P12, Release(08261035)
System uptime : 45 week(s), 3 day(s), 2 hour(s), 15 minute(s)
Device : RG-S5750-48GT/4SFP-P Serial No : G23456789

身份鉴别

A. 认证方式

核查命令：

show users all
show ip ssh
show ssh
show service

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

B. 账号与权限主体

核查命令：

show users all
show privilege
show running-config | include username

备注：核查是否存在默认账号、共享管理员、长期未清理账号、运维外包账号和临时授权账号；需区分只读、运维、审计等角色。
预期证据：本地用户列表截图、权限级别截图、账号台账、访谈记录。

C. 口令复杂度与失败处理

核查命令：

瑞斯康达

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：瑞斯康达工业交换机及同类工业网络交换设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

show running-config
show version
show interface
show interface brief
show ip route

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

身份鉴别

A. 认证方式

核查命令：

show user table
show user active
show telnet-server
show privilege

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

B. 账号与权限主体

核查命令：

show user table
show user active
show privilege

备注：核查是否存在默认账号、共享管理员、长期未清理账号、运维外包账号和临时授权账号；需区分只读、运维、审计等角色。
预期证据：本地用户列表截图、权限级别截图、账号台账、访谈记录。

C. 口令复杂度与失败处理

核查命令：

show user password expire
show telnet-server
show privilege

备注：重点看口令复杂度、口令有效期、失败锁定阈值、黑名单或弱口令控制。若设备原生不支持完整复杂度策略，应结合堡垒机、AAA 或制度补充说明。
预期证据：口令策略截图、失败锁定截图、制度文件、例外说明。

D. 会话超时与远程接入

核查命令：

山石网科防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 Hillstone SG/NGFW 常见系统。先执行 show system、show config running。

基础信息

核查命令：

show system
show version
show config running
show interface

备注：
- 记录型号、版本、授权、主备和管理地址。
预期证据：
- 系统信息截图
- 运行配置截图

示例输出（节选）

Hostname: FW-demo
Software: StoneOS 5.5R6
Uptime: 25 days 6:11:42
HA state: master

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show user

备注：
- 关注默认管理员、共享账号、角色分权。
预期证据：
- 管理员截图

示例输出（节选）

admin role: admin last login: 2026-08-24 09:00 (192.168.10.10)
audit role: audit

B. 口令策略

核查命令：

show password-policy
show login-policy

备注：

深信服防火墙与安全设备

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于深信服 NGAF、AF、AC 等常见安全设备系统。现场常见为 Web 管理界面结合 CLI/诊断命令，CLI 不足时可用管理界面截图补证。

基础信息

核查命令：

show system
show version
show running-config

备注：
- 记录设备型号、固件版本、授权模块、部署位置、主备状态。
预期证据：
- 系统信息截图
- 固件版本截图

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show user

备注：
- 关注默认管理员、角色分级和共享账号。
预期证据：
- 管理员截图
- 角色截图

B. 口令策略

核查命令：

show password-policy
show security-config

备注：
- 若 CLI 无法完整展示，可改从 Web 界面取证。
预期证据：
- 口令策略截图

C. 登录失败与会话超时

核查命令：

show login-policy
show session admin

备注：
- 查看锁定、超时和并发管理会话控制。
预期证据：
- 登录策略截图

D. 远程认证与双因素

核查命令：

show radius
show ldap
show auth-server

备注：

天融信防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于现场常见天融信防火墙命令风格。建议先执行 show-running、system Version，并结合 show ?、system ? 检索同类命令。

基础信息

核查命令：

show-running
system Version
show interface
show route
show management

备注：
- 先确认设备型号、系统版本、管理地址、部署模式和高可用状态。
- 若采用集中管控平台，应同时确认平台纳管状态。
预期证据：
- 运行配置截图
- 版本信息截图
- 网络拓扑或设备部署材料
- 资产台账

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show user
show-running

备注：
- 核查默认账户、共享账户、僵尸账户、角色划分情况。
- 重点关注系统管理员、安全管理员、审计员是否混用同一账号。
预期证据：
- 管理员列表截图
- 角色权限截图
- 账号授权审批记录

B. 口令策略

核查命令：

show password-policy
show security-policy
show-running

备注：
- 核查密码长度、复杂度、有效期、重试次数、历史口令重用限制。
- 如命令不存在，应在 running-config 中检索 password、login、policy 关键字。
预期证据：
- 口令策略截图
- 安全制度相关条款
- 访谈记录

C. 登录失败处置与超时退出

核查命令：

show login-policy
show session
show admin

备注：

通用-版本复核命令单

Mon, 24 Aug 2026 00:00:00 +0800

数据库与中间件版本复核

mysql --version

预期现象：应输出 MariaDB/MySQL 客户端版本字符串。

示例输出（节选）

mysql Ver 15.1 Distrib 10.5.18-MariaDB, for Linux (x86_64) using readline 5.1

mysql -V

预期现象：应输出版本号，与 –version 类似。

示例输出（节选）

mysql Ver 15.1 Distrib 10.5.18-MariaDB, for Linux (x86_64) using readline 5.1

SELECT VERSION();

预期现象：在数据库内应返回版本字符串。

示例输出（节选）

+--------------------+
| VERSION() |
+--------------------+
| 10.5.18-MariaDB |
+--------------------+
1 row in set (0.000 sec)

yum list installed | grep mariadb

预期现象：安装 MariaDB 时应输出对应软件包名和版本。

示例输出（节选）

mariadb.x86_64 3:10.5.18-1.el8 @appstream
mariadb-server.x86_64 3:10.5.18-1.el8 @appstream
mariadb-common.x86_64 3:10.5.18-1.el8 @appstream

MongoDB 版本复核

mongod --version

预期现象：通常会显示 version=x.x.x 等版本字段。

示例输出（节选）

db version v4.4.17
Build Info: {
 "version": "4.4.17",
 "gitVersion": "xxxx",
 "modules": [],
 "allocator": "tcmalloc",
 "environment": {"distmod": "ubuntu2004", "distarch": "x86_64", ...}
}

mongo --version

预期现象：应显示 MongoDB 客户端版本。

示例输出（节选）

MongoDB shell version v4.4.17
Connect to: mongodb://127.0.0.1:27017/?compressors=disabled&gssapiServiceName=mongodb
Implicit session: session { "id" : UUID("...") }
MongoDB server version: 4.4.17

db.version()

预期现象：在 MongoDB shell 中应返回版本字符串。

示例输出（节选）

> db.version()
4.4.17

查看 MongoDB 启动日志

预期现象：原始文档给出的示例关键字段包含 MongoDB starting 和 version=x.x.x。

示例输出（节选）

2026-08-21T09:00:01.123+0800 I CONTROL [initandlisten] MongoDB starting : pid=1234 port=27017 dbpath=/var/lib/mongodb 64-bit host=demo-host
2026-08-21T09:00:01.456+0800 I CONTROL [initandlisten] options: { config: "/etc/mongod.conf", net: { bindIp: 127.0.0.1, port: 27017 }, storage: { dbPath: "/var/lib/mongodb" } }

PostgreSQL 版本复核

pg_config --version

预期现象：通常会输出 PostgreSQL x.x.x。

示例输出（节选）

PostgreSQL 13.11

postgres --version

预期现象：通常会输出 postgres (PostgreSQL) x.x.x。

示例输出（节选）

postgres (PostgreSQL) 13.11

SELECT version();

预期现象：原始文档示例格式为 PostgreSQL x.x.x on x86_64-pc-linux-gnu, compiled by gcc …, 64-bit。

示例输出（节选）

 version
----------------------------------------------------------------------------------------------------------
 PostgreSQL 13.11 on x86_64-pc-linux-gnu, compiled by gcc (GCC) 8.5.0, 64-bit
(1 row)

Redis 版本复核

redis-server --version

预期现象：通常会包含 Redis server v=… 等字段。

示例输出（节选）

Redis server v=6.2.7 sha=00000000:0 malloc=jemalloc-5.1.0 bits=64 build=xxxxxxxxxxxxxxxx

/path/to/redis-server --version

预期现象：当程序不在 PATH 中时，应输出同类版本信息。

示例输出（节选）

Redis server v=6.2.7 sha=00000000:0 malloc=jemalloc-5.1.0 bits=64 build=xxxxxxxxxxxxxxxx

Tomcat 版本复核

cat /path/to/tomcat/version.txt

预期现象：存在版本文件时应输出 Tomcat 版本信息。

示例输出（节选）

Apache Tomcat Version 9.0.71

cat /path/to/tomcat/bin/catalina.sh | grep 'Server version'

预期现象：文件包含版本提示时应输出匹配行。

示例输出（节选）

# CATALINA_HOME May point at your Catalina "build" home.
# SERVER_VERSION Apache Tomcat/9.0.71

cat /path/to/tomcat/logs/catalina.out | grep 'Server version'

预期现象：日志包含版本提示时应输出匹配行。

示例输出（节选）

21-Aug-2026 09:00:12.345 INFO [main] org.apache.catalina.startup.Catalina.start Server version name: Apache Tomcat/9.0.71
21-Aug-2026 09:00:12.346 INFO [main] org.apache.catalina.startup.Catalina.start Server built: Aug 1 2026 10:00:00 UTC
21-Aug-2026 09:00:12.347 INFO [main] org.apache.catalina.startup.Catalina.start Server number: 9.0.71.0

通用-服务发现与软件排查命令单

Mon, 24 Aug 2026 00:00:00 +0800

Debian / Ubuntu / UOS 中间件发现

dpkg -l | grep -i 'nginx\\|apache\\|tomcat\\|redis-server\\|mongod\\|postgresql\\|mysql\\|mariadb\\|memcached\\|mongodb-server\\|rabbitmq-server'

预期现象：安装对应组件时应输出软件包名、版本、架构等信息。

示例输出（节选）

ii nginx 1.18.0-6ubuntu14.4 amd64 small, powerful, scalable web/proxy server
ii redis-server 5:6.0.16-1ubuntu1.2 amd64 persistent key-value database with network interface
ii mysql-server-core-8.0 8.0.33-0ubuntu0.22.04.2 amd64 MySQL database core server files

RPM / RHEL / CentOS / openEuler 中间件发现

rpm -qa | grep -i 'nginx\\|apache\\|tomcat\\|redis-server\\|mongod\\|postgresql\\|mysql\\|mariadb\\|memcached\\|mongodb-server\\|rabbitmq-server'

预期现象：安装对应组件时应输出软件包名和版本。

示例输出（节选）

nginx-1.20.1-10.el8.x86_64
redis-6.2.7-1.el8.x86_64
postgresql-server-13.11-1.module_el8.x86_64

运行进程发现

ps -ef | grep 'nginx\\|apache\\|tomcat\\|redis-server\\|mongod\\|postgresql\\|mysql\\|mariadb\\|memcached\\|mongodb-server\\|rabbitmq-server\\|weblogic'

预期现象：运行对应中间件时应显示相关进程。

示例输出（节选）

root 1123 1 0 Aug20 ? 00:00:00 nginx: master process /usr/sbin/nginx -g daemon on; master_process on;
www-data 1124 1123 0 Aug20 ? 00:00:02 nginx: worker process
redis 1456 1 0 Aug20 ? 00:01:10 /usr/bin/redis-server 127.0.0.1:6379
postgres 1789 1 0 Aug20 ? 00:00:05 /usr/lib/postgresql/13/bin/postgres -D /var/lib/postgresql/13/main

ps -ef | egrep -i 'nginx|apache|tomcat|java|redis|rabbitmq|kafka' | grep -v grep

预期现象：运行相关组件时应显示对应进程。

示例输出（节选）

tomcat 2044 1 1 Aug20 ? 00:03:22 /usr/bin/java -Dcatalina.home=/opt/tomcat ... org.apache.catalina.startup.Bootstrap start
rabbitmq 2301 1 0 Aug20 ? 00:01:45 /usr/lib/erlang/erts-12.3.2/bin/beam.smp -K true ... -root /usr/lib/rabbitmq
kafka 2567 1 2 Aug20 ? 00:08:31 java -Xmx1G -jar kafka_2.13-3.4.0/libs/kafka.jar ...

端口发现

netstat -tulnp

预期现象：应显示监听端口、本地地址、PID/程序名等信息。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1123/nginx
tcp 0 0 127.0.0.1:6379 0.0.0.0:* LISTEN 1456/redis-server
tcp 0 0 0.0.0.0:8080 0.0.0.0:* LISTEN 2044/java

ss -tulpn

预期现象：新版本 Linux 中应显示监听端口和进程信息。

示例输出（节选）

Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
tcp LISTEN 0 128 0.0.0.0:80 0.0.0.0:* users:(("nginx",pid=1124,fd=6))
tcp LISTEN 0 4096 127.0.0.1:6379 0.0.0.0:* users:(("redis-server",pid=1456,fd=7))
tcp LISTEN 0 100 0.0.0.0:8080 0.0.0.0:* users:(("java",pid=2044,fd=48))

lsof -i :8080

预期现象：8080 被占用时应显示 COMMAND、PID、USER 等字段。

示例输出（节选）

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
java 2044 tomcat 48u IPv4 0xa1b2 0t0 TCP *:http-alt (LISTEN)

配置与日志目录发现

find /etc -maxdepth 2 | egrep 'nginx|redis|tomcat|apache'

预期现象：存在对应配置目录时应输出目录路径。

示例输出（节选）

/etc/nginx
/etc/nginx/nginx.conf
/etc/nginx/conf.d
/etc/redis
/etc/redis/redis.conf
/etc/httpd

ls /var/log | egrep 'nginx|apache|redis'

预期现象：存在对应日志目录或日志文件时应输出名称。

示例输出（节选）

nginx
redis

进程识别提示

识别 java -jar、org.apache.catalina.startup.Bootstrap

预期现象：常作为 Tomcat 启动特征。

示例输出（节选）

tomcat 2044 1 1 Aug20 ? 00:03:22 java -Djava.util.logging.config.file=/opt/tomcat/conf/logging.properties ... org.apache.catalina.startup.Bootstrap start

识别 java weblogic.Server

预期现象：常作为 WebLogic 启动特征。

示例输出（节选）

weblogic 3102 1 3 Aug20 ? 00:12:07 /usr/bin/java -server -Xms512m -Xmx1024m weblogic.Server

识别 nginx: master process

预期现象：常作为 Nginx 主进程特征。

示例输出（节选）

root 1123 1 0 Aug20 ? 00:00:00 nginx: master process /usr/sbin/nginx -g daemon on; master_process on;

识别 beam.smp

预期现象：原始文档指出其可对应 Erlang 环境下的 RabbitMQ。

示例输出（节选）

rabbitmq 2301 1 0 Aug20 ? 00:01:45 /usr/lib/erlang/erts-12.3.2/bin/beam.smp -K true -P 1048576 -- -root /usr/lib/erlang -progname erl ...

统信UOS-三级等保现场测评命令单

Mon, 24 Aug 2026 00:00:00 +0800

示例版本：统信 UOS Server V20 D 版

说明：公开资料可支撑 D 版基于 Debian 技术路线，公开镜像名可支撑 server-20 版本主线。对完整输出未公开给出的命令，下列仅写关键字段预期。

系统版本核查

lsb_release -a

预期现象：关键字段通常应体现 Release: 20；完整 Description 随桌面版/服务器版分支而异。

示例输出（节选）

No LSB modules are available.
Distributor ID:	UOS
Description:	UOS Server 20 (fuyu)
Release:	20
Codename:	fuyu

cat /etc/os-release

预期现象：关键字段通常应体现版本主线为 20。

示例输出（节选）

PRETTY_NAME="UnionTech OS Server 20"
NAME="UOS Server"
VERSION="20"
ID=uos
HOME_URL="https://www.chinauos.com/"
VERSION_ID="20"

cat /etc/debian_version

预期现象：应输出底层 Debian 主版本号字符串。

示例输出（节选）

10.x

cat /etc/redhat-release

预期现象：D 版通常可能不存在该文件；如存在则应体现兼容发行版信息。

示例输出（节选）

cat: /etc/redhat-release: No such file or directory

网络与会话环境核查

ip addr

预期现象：应显示网卡与 IP 信息。

示例输出（节选）

2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP
 link/ether 00:0c:29:xx:xx:xx brd ff:ff:ff:ff:ff:ff
 inet 192.168.1.10/24 brd 192.168.1.255 scope global ens33
 valid_lft forever preferred_lft forever
 inet6 fe80::xxxx:xxxx:xxxx:xxxx/64 scope link

ps -ef | grep tty

预期现象：存在桌面会话时通常可看到 tty/图形登录相关进程。

示例输出（节选）

root 1024 1 0 09:12 tty1 00:00:00 /usr/bin/lightdm
root 1102 1024 0 09:12 tty1 00:00:02 lightdm-greeter
audit 2048 1 0 09:13 ? 00:00:01 sshd: /usr/sbin/sshd -D [listener]

账户与口令策略核查

cat /etc/passwd

预期现象：应列出本地账户。

示例输出（节选）

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
sshd:x:100:65534::/run/sshd:/usr/sbin/nologin
webapp:x:1000:1000::/home/webapp:/bin/bash
auditor:x:1001:1001::/home/auditor:/bin/bash

cat /etc/shadow

预期现象：应列出口令散列和状态。

示例输出（节选）

root:$6$rounds=4096$xxxxxxxx$:19xxx:0:90:7:::
daemon:*:19xxx:0:99999:7:::
webapp:$6$rounds=4096$yyyyyyyy$:19xxx:0:90:7:30:::

cat /etc/login.defs

预期现象：应显示口令老化参数。

示例输出（节选）

PASS_MAX_DAYS	90
PASS_MIN_DAYS	7
PASS_MIN_LEN	12
PASS_WARN_AGE	30

cat /etc/pam.d/common-password

预期现象：应显示口令复杂度相关 PAM 配置。

示例输出（节选）

password	requisite			pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1
password	[success=1 default=ignore]	pam_unix.so obscure use_authtok try_first_pass sha512 remember=5

find /usr/lib -name 'pam_tally2.so'

预期现象：启用该模块时应输出模块文件路径；未安装则无结果。

示例输出（节选）

/usr/lib/x86_64-linux-gnu/security/pam_tally2.so

cat /etc/pam.d/common-auth

预期现象：应显示登录失败限制和认证相关配置。

示例输出（节选）

auth	required	pam_tally2.so onerr=fail deny=5 unlock_time=600 even_deny_root root_unlock_time=600
auth	[success=1 default=ignore]	pam_unix.so nullok try_first_pass

cat /etc/ssh/sshd_config

预期现象：应能核查 SSH 超时、RhostsAuthentication、地址范围限制等参数。

示例输出（节选）

Port 22
PermitRootLogin no
MaxAuthTries 4
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers webapp auditor@192.168.1.*

sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms'

预期现象：应输出 SSH 服务端当前生效的算法配置。

示例输出（节选）

ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr
macs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256

ssh -Q cipher

预期现象：应列出本机 OpenSSH 支持的对称加密算法。

示例输出（节选）

3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr

ssh -Q mac

预期现象：应列出本机 OpenSSH 支持的 MAC 算法。

示例输出（节选）

hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-ripemd160

ssh -Q kex

预期现象：应列出本机 OpenSSH 支持的密钥交换算法。

示例输出（节选）

diffie-hellman-group-exchange-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
diffie-hellman-group16-sha512
curve25519-sha256
curve25519-sha256@libssh.org

ssh -Q key

预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。

示例输出（节选）

ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512

ssh -V

预期现象：应输出 OpenSSH 版本号。

示例输出（节选）

OpenSSH_8.2p1, OpenSSL 1.1.1d 10 Sep 2019

cat /etc/profile | grep TMOUT

预期现象：配置 TMOUT 时应输出对应参数行。

示例输出（节选）

export TMOUT=600
readonly TMOUT

more /etc/group

预期现象：应列出账户组信息，可辅助核查分权。

示例输出（节选）

root:x:0:
sudo:x:27:webapp
audit:x:1001:auditor
webapp:x:1000:

more /etc/sudoers

预期现象：应显示 sudo 授权规则，可辅助核查审计员/操作员权限边界。

示例输出（节选）

Defaults	env_reset
root	ALL=(ALL:ALL) ALL
%sudo	ALL=(ALL:ALL) ALL
webapp	ALL=(ALL) /usr/bin/systemctl restart nginx, /usr/bin/journalctl

安全审计核查

systemctl list-unit-files | grep auditd

预期现象：存在 auditd 服务时应输出 auditd 服务项。

示例输出（节选）

auditd.service enabled enabled

systemctl list-unit-files | grep rsyslog

预期现象：存在 rsyslog 服务时应输出 rsyslog 服务项。

示例输出（节选）

rsyslog.service enabled enabled

auditctl -l

预期现象：应逐条显示当前审计规则。

示例输出（节选）

-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /var/log/audit/ -p wa -k audit_log
-a always,exit -F arch=b64 -S execve -k commands

cat /etc/auditd.conf

预期现象：应显示审计配置项。

示例输出（节选）

local_events = yes
write_logs = yes
log_file = /var/log/audit/audit.log
max_log_file = 8
num_logs = 5
max_log_file_action = ROTATE
space_left_action = email
action_mail_acct = admin@192.168.1.1
admin_space_left_action = halt

more /etc/rsyslog.conf

预期现象：应显示日志规则及远程转发配置。

示例输出（节选）

*.info;mail.none;authpriv.none	/var/log/messages
authpriv.*	/var/log/secure
*.emerg	:omusrmsg:*
*.*	@192.168.1.200:514

ls -l /var/log/messages

预期现象：应显示日志文件权限。

示例输出（节选）

-rw------- 1 root adm 1048576 Aug 24 09:30 /var/log/messages

ls -l /var/log/secure

预期现象：应显示安全日志文件权限。

示例输出（节选）

-rw------- 1 root root 262144 Aug 24 09:31 /var/log/secure

ls -l /var/log/audit/audit.log

预期现象：应显示审计日志文件权限。

示例输出（节选）

-rw------- 1 root root 8388608 Aug 24 09:32 /var/log/audit/audit.log

more /var/log/messages

预期现象：应能抽查日志内容。

示例输出（节选）

Aug 24 09:15:01 uos-web01 systemd[1]: Starting Daily apt upgrade and clean activities...
Aug 24 09:20:33 uos-web01 kernel: [ 1234.5678] device ens33 entered promiscuous mode
Aug 24 09:22:10 uos-web01 CRON[3210]: (root) CMD (/usr/local/bin/backup.sh)

last

预期现象：应显示成功登录记录。

示例输出（节选）

webapp pts/0 192.168.1.50 Mon Aug 24 09:05 still logged in
auditor pts/1 192.168.1.51 Mon Aug 24 08:58 - 09:20 (00:22)
root tty1 Sun Aug 23 22:10 still logged in

wtmp begins Sun Aug 16 03:14:02 2026

lastb

预期现象：应显示失败登录记录；部分主机可能需要 root 权限。

示例输出（节选）

admin ssh:notty 203.0.113.77 Mon Aug 24 07:44 - 07:44 (00:00)
root ssh:notty 203.0.113.77 Mon Aug 24 07:41 - 07:41 (00:00)
test ssh:notty 198.51.100.9 Sun Aug 23 23:02 - 23:02 (00:00)

btmp begins Sun Aug 23 21:00:01 2026

服务、端口与边界防护核查

ls -l /etc/passwd

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 2140 Jul 10 2026 /etc/passwd

ls -l /etc/shadow

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r----- 1 root shadow 1320 Jul 10 2026 /etc/shadow

ls -l /etc/group

预期现象：应显示关键文件权限。

示例输出（节选）

-rw-r--r-- 1 root root 980 Jul 10 2026 /etc/group

systemctl list-units | grep service

预期现象：应列出当前服务状态。

示例输出（节选）

sshd.service loaded active running OpenBSD Secure Shell server
rsyslog.service loaded active running System Logging Service
auditd.service loaded active running Security Auditing Service
nginx.service loaded active running A high performance web server

netstat -ntlp

预期现象：应显示监听端口与程序名。

示例输出（节选）

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1204/sshd
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1508/nginx
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 1702/mysqld

cat /etc/hosts.deny

预期现象：应显示拒绝地址规则；未配置时可能为空。

示例输出（节选）

sshd: ALL EXCEPT 192.168.1.

cat /etc/hosts.allow

预期现象：应显示允许地址规则；未配置时可能为空。

示例输出（节选）

sshd: 192.168.1.0/255.255.255.0

iptables -L -n

预期现象：应输出当前防火墙规则。

示例输出（节选）

Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
ACCEPT icmp -- 192.168.1.0/24 0.0.0.0/0

Chain FORWARD (policy ACCEPT)
Chain OUTPUT (policy ACCEPT)

最小安装、补丁与计划任务核查

dpkg --list

预期现象：表头通常包含 Desired、Status、Name、Version、Architecture、Description。

示例输出（节选）

Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name Version Architecture Description
+++-================-================-============-=================================
ii openssh-server 1:8.2p1-x amd64 secure shell (SSH) server
ii nginx 1.18.0-x amd64 high performance web server

apt list --installed

预期现象：应显示已安装软件包清单；输出通常较长。

示例输出（节选）

Listing... Done
acl/uos-server,now 2.2.53 amd64 [installed]
auditd/uos-server,now 1:2.8.5 amd64 [installed]
openssh-server/uos-server,now 1:8.2p1 amd64 [installed]

apt list --upgradable

预期现象：存在待更新补丁时应显示可升级软件包；无待升级时通常为空。

示例输出（节选）

Listing... Done
openssl/uos-security 1.1.1d-upgrade amd64 [upgradable from: 1.1.1d]
curl/uos-security 7.68.0-upgrade amd64 [upgradable from: 7.68.0]

timedatectl status

预期现象：应显示本地时间、时区、NTP 同步状态等信息。

示例输出（节选）

 Local time: Mon 2026-08-24 09:40:12 CST
 Universal time: Mon 2026-08-24 01:40:12 UTC
 Time zone: Asia/Shanghai (CST, +0800)
System clock synchronized: yes
 NTP service: active
 RTC in local TZ: no

crontab -l

预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。

示例输出（节选）

0 2 * * * /usr/local/bin/backup.sh >> /var/log/backup.log 2>&1
*/30 * * * * /usr/local/bin/check_service.sh

groups 用户名

预期现象：应显示指定用户所属组列表。

示例输出（节选）

webapp : webapp sudo www-data

恶意代码防范核查

systemctl list-unit-files | grep -i clam

预期现象：安装 ClamAV 等防病毒服务时应显示对应服务项；未安装则无结果。

示例输出（节选）

clamav-daemon.service enabled enabled
clamav-freshclam.service enabled enabled

入侵防范核查

grep -E '^(MaxAuthTries|LoginGraceTime|PermitRootLogin|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config

预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。

示例输出（节选）

MaxAuthTries 4
LoginGraceTime 30
PermitRootLogin no
AllowUsers webapp auditor

sshd -T | egrep 'maxauthtries|logingracetime|permitrootlogin|allowusers|denyusers|allowgroups|denygroups'

预期现象：应输出 SSH 服务端当前生效的对应参数值。

示例输出（节选）

maxauthtries 4
logingracetime 30
permitrootlogin no
allowusers webapp auditor

dpkg -l | egrep -i 'fail2ban|aide|ossec|wazuh|snort|suricata'

预期现象：若部署入侵防范/主机入侵检测软件，应出现对应包名；未部署则无输出。

示例输出（节选）

ii fail2ban 0.11.1-x all ban hosts that cause multiple authentication errors
ii aide 0.16-x amd64 Advanced Intrusion Detection Environment

systemctl status fail2ban

预期现象：安装并启用 fail2ban 时应显示 active/running；未安装时可能提示服务不存在。

示例输出（节选）

● fail2ban.service - Fail2Ban Service
 Loaded: loaded (/lib/systemd/system/fail2ban.service; enabled)
 Active: active (running) since Mon 2026-08-24 06:00:03 CST; 3h 42min ago
 Main PID: 988 (fail2ban-server)
 Tasks: 3 (limit: 4915)

安全基线与完整性核查

cat /etc/issue

预期现象：应显示登录前系统标识或告警提示（如已配置）。

示例输出（节选）

Authorized users only. All activity may be monitored and reported.

cat /etc/issue.net

预期现象：应显示远程登录告警提示（如已配置）。

示例输出（节选）

WARNING: Unauthorized access to this system is forbidden. Access is logged.

cat /etc/motd

预期现象：应显示登录后提示或告警内容（如已配置）。

示例输出（节选）

This system is for authorized operation personnel only.
Operations are subject to security auditing.

awk -F: '($2=="") {print $1}' /etc/shadow

预期现象：若存在空口令账户应输出账号名；无空口令时无输出。

示例输出（节选）

（无输出，表示不存在空口令账户）

debsums -s

预期现象：已安装 debsums 时会输出校验异常包；无异常时无输出。

示例输出（节选）

（无输出，表示所有已安装包校验通过；如异常会输出 debsums: changed file ... 类似行）

aide --check

预期现象：已安装并初始化 AIDE 时应输出完整性检查结果；未安装时可能提示命令不存在。

示例输出（节选）

Start timestamp: 2026-08-24 09:45:00 +0800 (AIDE 0.16)
AIDE found NO differences between database and filesystem. Looks okay!!
Number of entries: 102345
End timestamp: 2026-08-24 09:47:12 +0800 (run time: 2m 12s)

现场核查顺序与补偿判定说明

Mon, 24 Aug 2026 00:00:00 +0800

防火墙与安全设备-现场核查使用顺序与补偿判定说明

建议使用顺序

先识别设备厂商、型号、版本、是否集中纳管、是否双机/集群。
再打开对应厂商“三级现场核查主脚本”。
如命令不存在或显示差异较大，立即切换查看对应“主流版本核查差异说明”。
取证时优先保留以下高优先级证据：

版本与型号
管理员与角色
管理服务控制
日志与审计
入侵防范策略与告警
备份与高可用

最后按“统一取证模板”完成勾选，标记缺失项和补证项。

补偿判定的常见口径

设备本体不支持复杂口令、双因素、审计独立等能力时，不应直接判定“满足”，应查看堡垒机、统一认证平台、日志平台、SOC 等补偿控制。
设备本体只保存局部日志时，不应直接判定“日志不足”，应查看是否已稳定外发到日志平台并具备留存、检索、权限控制能力。
双机热备不等同于异地备份，也不等同于恢复演练；三者应分别取证、分别判断。
静态安全策略不等同于有效入侵防范；现场应补取 IPS/威胁防护启用状态、特征库版本、攻击告警或策略命中记录。
临时授权、厂商远程支持、外包运维等场景，不应仅看是否能登录，还应查看审批、会话审计、到期回收和保密约束。

入侵防范专项提示

对“入侵防范”控制点，建议至少同时保留四类证据：

边界或区域安全策略
IPS/攻击防护启用状态
特征库/威胁库版本
攻击告警、阻断或命中记录

若防火墙本体不具备完整 IPS/威胁防护能力，应明确是由哪类设备补偿：

上级边界防火墙
专用 IPS/IDS
WAF/抗 DDoS/EDR/NDR
SOC/态势感知平台

对高危服务暴露，应同时回答四个问题：

开了什么服务
开给谁
为什么必须开
开了以后用了什么防护措施

常见易漏项

管理员共享账号和默认账号未单独说明。
管理来源地址未截图，只保留了服务开启状态。
日志留存只截本机容量，没有补平台留存证据。
入侵防范只截静态规则，没有截告警、命中或阻断。
备份只说明“有双机”，没有证明配置可恢复。
涉及个人信息的报表、日志、管理员界面未脱敏。

建议补证材料清单

设备或平台截图
账号授权审批记录
变更审批记录
备份与恢复演练记录
安全管理制度
运维访谈记录
厂商或维护服务记录

现场判定话术（不适用控制点）

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：本文件用于三级等级保护测评现场填写“控制点不适用说明”“访谈记录”“备注口径”。使用时建议先核实对象边界，再选择对应话术，不要直接机械复制。

一、通用填写模板

模板 1：对象无该功能

判定结论：该控制点对本测评对象不适用。
现场话术：经现场核查，本测评对象不具备该控制点对应的功能或交互界面，不存在相关账号登录、数据处理、导出共享或管理操作场景，因此该控制点不适用于本对象。
理由填写：该组件仅承担运行支撑/代理转发/消息传递/缓存等基础能力，不直接提供该项业务或安全功能。
依据填写：依据 GB/T 28448-2019 三级测评要求，应结合测评对象实际提供的功能、处理的数据及安全边界判定控制点适用性。

模板 2：控制由上位平台实现

判定结论：该控制点对本测评对象原生能力不适用，由上位平台或配套系统实现。
现场话术：经现场核查，该项安全控制不由本中间件/容器组件原生提供，而是由统一身份认证平台、堡垒机、VPN、WAF、日志平台或操作系统等上位控制实现，因此本对象按边界判定不单独适用，相关证据在上位平台补充取证。
理由填写：控制实现位置不在本组件内，而在系统整体安全架构的其他组件。
依据填写：依据 GB/T 28448-2019 三级测评要求，支持结合实际实现路径对控制点进行边界判定和等效取证。

模板 3：对象不处理个人信息

判定结论：该控制点对本测评对象不适用。
现场话术：经现场访谈和配置核查，本测评对象不直接收集、存储、展示、导出、共享个人信息，个人信息处理发生在上层业务系统或其他数据处理组件中，因此该个人信息保护控制点不适用于本对象。
理由填写：该组件仅作为技术支撑平台，不直接形成个人信息处理链路。
依据填写：依据 GB/T 28448-2019 三级测评要求，个人信息保护类控制点应针对实际处理个人信息的对象判定。

二、身份鉴别类现场话术

1. 登录失败处理不适用

适用场景：Nginx、Kafka、Redis、EMQX、Docker 平台层等无人工交互式登录界面的对象。
推荐话术：经现场核查，本测评对象不存在独立的人工交互式登录界面，不涉及用户登录失败次数限制、账户锁定或登录会话超时等控制场景，因此该控制点对本对象不适用。对象现有接入控制主要通过网络访问边界、协议认证、ACL、主机控制或上位认证平台实现。

2. 双因素鉴别不适用

适用场景：WebLogic、WebSphere、Apusic、Tomcat、JBoss 等管理入口受堡垒机/VPN/IAM 统一保护的对象。
推荐话术：经现场核查，本测评对象未单独提供原生双因素鉴别能力，相关控制统一通过堡垒机、VPN、统一身份认证平台或证书体系实现，因此该控制点在本组件内不单独适用，相关符合性由上位平台另行取证。

3. 管理会话超时不适用

适用场景：Tomcat、JBoss 等已关闭默认管理控制台的对象。
推荐话术：经现场核查，本测评对象未启用独立管理控制台或管理页面，现场不存在该组件自有的登录会话，因此与管理会话超时相关的控制点对本对象不适用。

三、访问控制类现场话术

1. 细粒度访问控制不适用

适用场景：仅提供基础代理、缓存、消息转发能力，不直接面向业务对象实施用户级、记录级控制的对象。
推荐话术：经现场核查，本测评对象属于基础技术组件，仅提供代理、缓存、消息转发、运行支撑等能力，不直接面向业务主体和业务数据对象实施用户级、记录级或字段级授权，因此该细粒度访问控制要求不直接适用于本对象，相关权限控制由上层业务系统实现。

2. 默认账户限制不适用

适用场景：对象本身不存在本地登录账户体系。
推荐话术：经现场核查，本测评对象不存在可供人工登录使用的本地默认账户体系，因此默认账户禁用或限制访问的控制点对本对象不适用。

四、个人信息保护类现场话术

1. 个人信息展示保护不适用

适用场景：Tomcat、WebLogic、WebSphere、JBoss、Apusic 仅作为运行容器；Docker 仅作为平台层；Nginx 仅作代理；Kafka/EMQX/Redis 不承载个人信息。
推荐话术：经现场访谈、配置核查及日志抽查，本测评对象不直接展示个人信息，不提供个人信息查询页面或管理界面，个人信息处理功能由上层业务系统承担，因此该控制点对本对象不适用。

2. 个人信息导出与共享控制不适用

适用场景：对象本身不提供导出、下载、共享、桥接外发相关能力，或虽有技术能力但未启用且不承载个人信息。
推荐话术：经现场核查，本测评对象未启用个人信息导出、下载、共享、桥接外发等功能，且不直接承载个人信息，因此该控制点对本对象不适用。

3. 个人信息处理边界上移

适用场景：中间件仅托管应用，个人信息由业务系统实际处理。
推荐话术：经现场确认，本中间件/容器仅作为业务系统运行支撑平台，不直接构成个人信息处理主体，相关个人信息保护控制点转由承载业务应用或数据处理系统进行测评。

五、按对象推荐引用话术

1. Tomcat

推荐用于“管理会话超时不适用”：
- Tomcat 默认管理控制台未部署或已关闭，现场不存在独立管理登录会话，因此该控制点不适用。
推荐用于“个人信息保护不适用”：
- Tomcat 仅作为 Java Web 容器，不直接处理个人信息，相关控制点由部署应用测评。

2. Nginx

推荐用于“登录失败处理不适用”：
- Nginx 仅作为反向代理/网关使用，不存在独立用户登录过程，因此该控制点不适用。
推荐用于“个人信息保护不适用”：
- Nginx 不直接处理个人信息，仅承担转发功能，因此个人信息保护相关控制点不适用。

3. WebLogic / WebSphere / JBoss / Apusic

推荐用于“原生双因素不适用”：
- 该中间件管理入口统一经堡垒机/统一认证平台访问，双因素能力不在本组件内实现，因此本组件不单独适用。
推荐用于“个人信息保护不适用”：
- 该中间件仅作为业务系统运行平台，不直接构成个人信息处理主体，因此相关控制点不适用。

4. Docker

推荐用于“容器内账户控制不适用”：
- 本次测评对象为 Docker 平台层，容器内应用账户控制不属于本对象边界，因此该控制点不适用。
推荐用于“个人信息保护不适用”：
- Docker 平台层不直接处理业务个人信息，因此该控制点不适用。

5. Redis

推荐用于“登录失败锁定不适用”：
- Redis 无面向人工用户的独立登录界面，因此登录失败锁定类控制点不适用。
推荐用于“个人信息保护不适用”：
- Redis 当前仅用于技术缓存/分布式锁，不直接承载个人信息，因此该控制点不适用。

6. Kafka

推荐用于“登录失败锁定不适用”：
- Kafka 仅提供 Broker 连接认证，不存在人工交互式登录界面，因此该控制点不适用。
推荐用于“个人信息保护不适用”：
- Kafka 当前传输内容不涉及个人信息，且平台无个人信息导出共享功能，因此该控制点不适用。

7. EMQX

推荐用于“人工用户登录控制不适用”：
- EMQX 主要处理设备接入认证，若未启用独立人工登录管理面，则相关人工登录控制点不适用。
推荐用于“个人信息保护不适用”：
- EMQX 当前承载的设备消息不涉及个人信息，且未启用导出共享能力，因此该控制点不适用。

8. Apache HTTP Server

推荐用于“登录失败处理不适用”：
- Apache HTTP Server 当前仅承担静态发布/代理转发功能，不存在独立用户登录过程，因此该控制点不适用。
推荐用于“个人信息保护不适用”：
- Apache HTTP Server 不直接处理个人信息，且未启用 WebDAV、目录共享等能力，因此相关控制点不适用。

9. IIS

推荐用于“登录失败处理不适用”：
- IIS 当前仅开放匿名访问或承担反向代理功能，不存在 IIS 本体人工登录场景，因此该控制点不适用。
推荐用于“个人信息保护不适用”：
- IIS 本体不直接处理个人信息，且未启用 WebDAV、目录浏览或文件共享能力，因此该控制点不适用。

10. Jetty

推荐用于“管理会话不适用”：
- Jetty 当前未启用独立管理登录界面，仅作为应用运行容器，因此相关管理登录控制点不适用。
推荐用于“个人信息保护不适用”：
- Jetty 本体仅提供运行支撑能力，不直接处理个人信息，因此该控制点不适用。

11. TongWeb

推荐用于“原生双因素不适用”：
- TongWeb 管理登录统一由外部认证平台或堡垒机控制，原生双因素不在本组件内实现，因此本组件不单独适用。
推荐用于“个人信息保护不适用”：
- TongWeb 当前仅作为中间件运行平台，不直接处理个人信息，因此相关控制点不适用。

12. RabbitMQ

推荐用于“个人信息保护不适用”：
- RabbitMQ 当前承载的消息不涉及个人信息，且未启用相关导出共享能力，因此该控制点不适用。

13. ActiveMQ-Artemis

推荐用于“个人信息保护不适用”：
- ActiveMQ Artemis 当前承载的消息不涉及个人信息，因此该控制点不适用。

14. RocketMQ

推荐用于“人工登录控制不适用”：
- RocketMQ 当前仅提供消息组件接入能力，不存在独立人工登录界面，因此相关人工登录控制点不适用。
推荐用于“个人信息保护不适用”：
- RocketMQ 当前承载消息不涉及个人信息，且无面向运维的个人信息导出共享能力，因此该控制点不适用。

15. ZooKeeper

推荐用于“人工登录控制不适用”：
- ZooKeeper 当前未启用独立人工登录管理界面，主要提供客户端连接和协调服务，因此相关人工登录控制点不适用。
推荐用于“个人信息保护不适用”：
- ZooKeeper 当前仅承载协调元数据和非个人信息配置，不直接处理个人信息，因此该控制点不适用。

六、现场使用提醒

填写“不适用”前，先确认对象边界、部署位置、上位系统和实际功能，不要因“产品原生不支持”直接判不适用。
只要上层业务系统、日志、缓存、消息或规则引擎里已经实际处理个人信息，就不能简单判个人信息保护不适用。
只要存在管理控制台、登录页面、本地账号体系，就不能简单判身份鉴别类控制点不适用。
最稳妥的写法是：本对象不适用 + 理由 + 上位实现位置 + 补充取证去向。

现场使用总指引（中间件与容器）

Mon, 24 Aug 2026 00:00:00 +0800

一、先看哪份文档

现场核查直接看 01-主脚本：按对象进入对应脚本逐项取证。
遇到版本差异先看 02-版本差异说明：先识别版本，再决定使用哪组命令。
现场勾选和收证看 03-统一取证模板：统一收集截图、制度、访谈、平台材料。
需要判断“不适用”先看 06-不适用控制点审阅结论 和 07-现场判定话术版-不适用控制点。

二、现场使用顺序

先确认对象边界。只测中间件本体，还是包含承载应用、前置代理、统一认证、日志平台。
先确认版本与部署方式。是单机、集群、容器化、主备、代理模式，还是嵌入式。
先跑基础信息与管理面检查。先抓版本、端口、路径、账号、日志、配置，再进入控制点。
再做不适用判断。先确认“是否存在该功能/是否由上位平台实现/是否实际处理个人信息”，再决定是否勾不适用。
最后统一收证。将截图、制度、访谈、平台材料归并到统一模板。

三、对象选型速查

Tomcat / Jetty / WebLogic / WebSphere / JBoss / TongWeb / Apusic-金蝶 适合作为“应用服务器/中间件运行容器”对象使用。
Nginx / Apache HTTP Server / IIS 适合作为“Web 服务/反向代理/静态站点/HTTPS 网关”对象使用。
Redis 适合作为“缓存/会话/键值存储”对象使用。
Kafka / RabbitMQ / ActiveMQ-Artemis / RocketMQ / EMQX 适合作为“消息中间件/消息代理/协议接入层”对象使用。
Docker 适合作为“容器运行平台”对象使用。
ZooKeeper 适合作为“协调服务/注册中心/配置协同组件”对象使用。

四、最容易误判的地方

把“产品原生不支持”直接写成“不适用”。正确做法：先确认是否由上位平台等效实现。
把“中间件不直接处理个人信息”与“整套系统不处理个人信息”混为一谈。正确做法：只对当前测评对象判定，不外推整个系统。
把“没有独立管理登录界面”的组件，硬套人工登录失败锁定要求。正确做法：按对象边界判定为不适用或转由上位平台补证。
只给截图，不说明判断口径。正确做法：每个例外项都写清“理由 + 依据 + 上位实现位置”。

五、建议统一命名

截图命名建议：对象-章节-控制点-序号 例如：Tomcat-身份鉴别-B-01.png
访谈记录命名建议：对象-访谈-主题-日期 例如：RabbitMQ-访谈-账号管理-20260327.docx
平台材料命名建议：对象-平台-类型-序号 例如：Nginx-WAF-告警-01.png

六、建议统一备注句式

符合项： 经现场核查，已配置/已启用/已限制，满足该控制点要求。
不适用项： 经现场核查，本测评对象不具备该功能或该控制由上位平台实现，因此该控制点对本对象不适用。
部分依赖上位平台项： 本对象原生能力有限，相关控制由统一认证/堡垒机/WAF/日志平台实现，已补充上位平台证据。
需后补项： 现场已核查配置现状，制度/平台/访谈材料由责任人后补。

七、建议补证优先级

第一优先级：版本、端口、配置路径、管理入口、日志路径、账号权限。
第二优先级：HTTPS/TLS、认证方式、ACL、默认账号、默认组件、日志留存。
第三优先级：备份恢复、个人信息保护、剩余信息保护、入侵防范联动材料。

八、建议后续扩展

继续补充国产中间件系列，如 BES、WebtoB。
继续补充注册中心/配置中心系列，如 Nacos、Consul。
继续补充高频代理与高可用组件，如 HAProxy、Keepalived、OpenResty。

现场通用补充说明

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：04-交换机与路由器 目录下全部主脚本、版本差异说明和统一取证模板。

一、现场核查优先顺序

先识别厂商、型号、系统和主流版本。
再判断设备角色：核心、汇聚、接入、出口、工业控制网或管理网。
再判断是否存在堆叠、双机、VRRP、IRF、MLAG、VSX、VC、VLT 等高可用形态。
最后按主脚本控制点逐项核查，并同步收集截图、制度、访谈和平台材料。

二、不适用判定通用口径

只要设备对象边界内不存在相关功能，就可以判定为 【不适用】，但必须写明理由。
常见可判定不适用的情形：
- 设备不直接处理个人信息，仅承担二三层转发。
- 设备未启用 Portal、802.1X、AAA 联动、访客接入、订阅用户管理等身份业务。
- 设备型号或授权未启用某项增强防护特性，但基础安全控制仍存在。
不适用时至少保留一项证据：
- 运行配置截图
- 版本/型号截图
- 访谈记录
- 平台侧功能未启用截图

三、替代取证通用口径

若厂商命令不支持，优先替代为：
- 完整运行配置截图
- Web 管理页面截图
- 网管平台或堡垒机截图
- 制度或运维手册
- 访谈纪要
若命令报错，应保留报错回显截图，再补替代证据，不建议只写“命令不存在”。

四、截图命名建议

推荐命名格式：设备名称-控制点-证据类型-日期
示例：
- SW-Core01-身份鉴别-AAA配置-20260327
- RT-Edge01-入侵防范-ACL命中日志-20260327
- EX-Access02-备份恢复-VRRP状态-20260327

五、访谈建议问题

账号由谁申请、谁审批、多久清理一次。
设备是否必须经堡垒机登录，是否允许直连。
日志发往哪里，谁查看，保留多久。
遇到暴力破解、扫描、风暴、ARP 欺骗时如何处置。
配置备份、镜像备份、故障恢复由谁负责，是否做过演练。
设备是否承载访客认证、802.1X、Portal、DHCP 绑定、用户订阅等可能涉及个人信息的功能。

六、容易遗漏的现场证据

管理口或管理 VLAN 截图
堡垒机接入或来源白名单截图
NTP 同步状态截图
日志平台接收截图
攻击防护触发日志截图
运行配置与启动配置对比截图
双机/堆叠/VRRP/IRF/MLAG/VSX 状态截图
不适用控制点的书面说明或访谈纪要

中兴

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：中兴交换机、路由交换一体设备及常见 ZXR/ZXROS 平台网络设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

show run
show version
show interfaces
show interface brief
show ip route

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

身份鉴别

A. 认证方式

核查命令：

show run | i username
show run | i ssh server
show snmp config

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

B. 账号与权限主体

核查命令：

show run | i username
show privilege

备注：核查是否存在默认账号、共享管理员、长期未清理账号、运维外包账号和临时授权账号；需区分只读、运维、审计等角色。
预期证据：本地用户列表截图、权限级别截图、账号台账、访谈记录。

C. 口令复杂度与失败处理

核查命令：

show run | i server password-encryption
show run | i line ssh/telnet/console
show snmp config

备注：重点看口令复杂度、口令有效期、失败锁定阈值、黑名单或弱口令控制。若设备原生不支持完整复杂度策略，应结合堡垒机、AAA 或制度补充说明。
预期证据：口令策略截图、失败锁定截图、制度文件、例外说明。

D. 会话超时与远程接入

核查命令：

主流版本差异文档索引

Mon, 24 Aug 2026 00:00:00 +0800

防火墙与安全设备主流版本差异文档索引

启明星辰防火墙

文件：02-版本差异说明\01-启明星辰防火墙主流版本核查差异说明.txt
内容：版本识别方式、主流版本分档、命令差异、兼容替代命令、现场注意事项

天融信防火墙

文件：02-版本差异说明\02-天融信防火墙主流版本核查差异说明.txt
内容：版本识别方式、主流版本分档、命令差异、兼容替代命令、现场注意事项

华为防火墙

文件：02-版本差异说明\03-华为防火墙主流版本核查差异说明.txt
内容：USG/NGFW 常见版本差异、HRP/内容库核查差异、平台联动注意事项

H3C防火墙

文件：02-版本差异说明\04-H3C防火墙主流版本核查差异说明.txt
内容：SecPath 常见版本差异、管理服务和日志配置替代取证方式

深信服防火墙与安全设备

文件：02-版本差异说明\05-深信服防火墙与安全设备主流版本核查差异说明.txt
内容：CLI 与 Web 界面取证边界、规则库和平台化场景差异

山石网科防火墙

文件：02-版本差异说明\06-山石网科防火墙主流版本核查差异说明.txt
内容：常见 CLI 差异、日志备份和平台联动取证建议

绿盟防火墙与安全设备

文件：02-版本差异说明\07-绿盟防火墙与安全设备主流版本核查差异说明.txt
内容：产品线差异、平台联动、日志与备份取证建议

Cisco防火墙

文件：02-版本差异说明\08-Cisco防火墙主流版本核查差异说明.txt
内容：ASA/FTD/FMC 场景差异、内容库和管理平台取证要点

Palo Alto防火墙

文件：02-版本差异说明\09-Palo Alto防火墙主流版本核查差异说明.txt
内容：PAN-OS 单机、HA、Panorama 纳管场景下的核查差异

子午线

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：子午线交换机及同类命令能力较弱、以基础运维命令为主的网络设备。

使用说明：

本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。

基础信息

核查命令：

sh version
sh run
sh vlan all
sh ip route

备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。

身份鉴别

A. 认证方式

核查命令：

sh run
sh acl

备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。

B. 账号与权限主体

核查命令：

sh run
sh logging

备注：核查是否存在默认账号、共享管理员、长期未清理账号、运维外包账号和临时授权账号；需区分只读、运维、审计等角色。
预期证据：本地用户列表截图、权限级别截图、账号台账、访谈记录。

C. 口令复杂度与失败处理

核查命令：

sh run

备注：重点看口令复杂度、口令有效期、失败锁定阈值、黑名单或弱口令控制。若设备原生不支持完整复杂度策略，应结合堡垒机、AAA 或制度补充说明。
预期证据：口令策略截图、失败锁定截图、制度文件、例外说明。

D. 会话超时与远程接入

核查命令：

sh run
sh logging

备注：核查 SSH/Telnet/Console/VTY 登录超时、并发会话控制、登录源限制和远程管理通道启停状态；Telnet 如启用应重点说明风险和补偿控制。
预期证据：SSH/Telnet/VTY 配置截图、超时参数截图、运维规范、堡垒机配置截图。

访问控制

A. 管理平面访问限制

核查命令：

§0 密码最佳实践

Sun, 23 Aug 2026 00:00:00 +0800

说明

本篇内容尚未撰写。计划覆盖：口令策略（长度/复杂度/有效期）、多因素认证、密码存储与传输（bcrypt/Argon2、TLS）、国密算法应用场景等主题。欢迎按《编辑者须知》贡献内容。

密码算法安全功能对照表

Tue, 21 Apr 2026 00:00:00 +0800

密码算法安全功能对照表

为提升 Markdown 场景下的可读性，原始大表已按算法类别拆分为多张分组表。

覆盖范围： 密码杂凑函数、对称密码算法、非对称密码算法、组合机制/协议层

参考标准： GB/T 系列、NIST、IETF RFC

密码杂凑函数（SM3 / SHA 系列 / SHA-3 / KMAC）

算法原语 / 变体	数据机密性	数据完整性	消息源真实性	不可否认性	备注
纯杂凑算法 / （单次哈希）	—	√*	—	—	仅防无意错误，无法抵御恶意篡改
SHA-256 / SHA-512	—	√*	—	—	NIST标准，广泛使用
SHA-3 (Keccak)	—	√*	—	—	吸收结构，抗长度扩展攻击
SM3	—	√*	—	—	国密标准，256位输出
HMAC / （哈希消息认证码）	—	√	√	—	需共享密钥，提供来源认证
HMAC-SHA256	—	√	√	—	最常用MAC方案
HMAC-SHA512	—	√	√	—	更高安全级别
HMAC-SM3	—	√	√	—	国密HMAC方案
KMAC / （基于SHA-3）	—	√	√	—	NIST SP800-185，可变长密钥
泛杂凑函数 / （UHF/GHASH）	—	√	√	—	用于GCM的GHASH认证组件

对称密码算法（SM4 / AES / 3DES / ChaCha20）

算法原语 / 变体	数据机密性	数据完整性	消息源真实性	不可否认性	备注
ECB 模式	√	—	—	—	不推荐：相同明文产生相同密文
CBC 模式	√	—	—	—	需IV，适合块数据加密
CFB / OFB 模式	√	—	—	—	流模式，无需填充
CTR 模式	√	—	—	—	可并行，需唯一计数器
SM4-ECB/CBC/CTR/OFB	√	—	—	—	国密对称加密标准
3DES-CBC	√	—	—	—	已弱化，逐步淘汰
CBC-MAC	—	√	√	—	基于CBC的MAC，注意填充攻击
CMAC	—	√	√	—	改进CBC-MAC，NIST SP800-38B
GMAC / （GCM的MAC部分）	—	√	√	—	GCM去掉加密，仅做认证
CCM 模式 / （CTR+CBC-MAC）	√	√	√	—	AEAD，适合资源受限场景
GCM 模式 / （CTR+GHASH）	√	√	√	—	推荐AEAD，高性能，硬件加速
GCM-SIV	√	√	√	—	随机数重用安全，RFC 8452
ChaCha20-Poly1305	√	√	√	—	软件高效，TLS 1.3推荐套件
SM4-GCM	√	√	√	—	国密AEAD方案
SM4-CCM	√	√	√	—	国密AEAD，低资源场景
XChaCha20-Poly1305	√	√	√	—	超长nonce变体，减少碰撞风险
AES-SIV	√	√	√	—	确定性AEAD，RFC 5297

非对称密码算法（SM2 / SM9 / RSA / ECDSA / EdDSA / ECIES）

算法原语 / 变体	数据机密性	数据完整性	消息源真实性	不可否认性	备注
数字签名 / （通用）	—	√	√	√	依赖私钥唯一性
RSA-PSS 签名	—	√	√	√	推荐RSA签名方案，随机填充
RSA-PKCS#1v1.5 签名	—	√	√	√	旧方案，存在填充oracle风险
ECDSA (P-256/P-384)	—	√	√	√	NIST标准，高效椭圆曲线签名
EdDSA (Ed25519/Ed448)	—	√	√	√	确定性签名，抗侧信道，现代推荐
SM2 数字签名	—	√	√	√	国密椭圆曲线签名标准
SM9 数字签名 / （基于身份）	—	√	√	√	无需证书，基于身份的签名
公钥加密 / （通用）	√	√*	—	—	数字信封可间接保护完整性
RSA-OAEP 加密	√	√*	—	—	推荐RSA加密方案
ECIES	√	√*	—	—	椭圆曲线集成加密方案
SM2 公钥加密	√	√*	—	—	国密椭圆曲线加密
SM9 加密 / （基于身份）	√	√*	—	—	无需证书的加密
密钥封装 KEM / （RSA-KEM）	—	—	—	—	用于密钥协商，非直接加密
ECDH / X25519	—	—	—	—	密钥协商，不直接提供CIA

组合机制与协议层（TLS / SSH / IPsec / S/MIME / PGP）

算法原语 / 变体	数据机密性	数据完整性	消息源真实性	不可否认性	备注
TLS 1.3	√	√	√	—	ECDHE+AEAD，前向保密
TLS 1.2	√	√	√	—	仍广泛使用，需配置强套件
SSH v2	√	√	√	—	远程管理标准协议
IPsec (ESP)	√	√	√	—	网络层加密+认证
IPsec (AH)	—	√	√	—	仅认证，不加密
S/MIME	√	√	√	√	邮件加密与数字签名
PGP / GPG	√	√	√	√	非对称+对称混合加密
TLCP / （GM/T 0024）	√	√	√	—	国密TLS，双证书机制
数字信封	√	√	—	—	非对称+对称混合，密钥保护
JWT (HS256/RS256/ES256)	—	√	√	√*	无状态令牌，签名可验真实性
XML签名 / XML加密	√	√	√	√	Web服务签名标准

图例说明

√ 直接提供该安全功能
√* 有条件提供（依赖具体使用方式或配合其他机制，见注释）
√C 提供数据机密性（Confidentiality）
√NR 提供不可否认性（Non-Repudiation），依赖私钥唯一性
— 不提供该安全功能

注释

注 2：公钥加密（√*完整性）：构成数字信封时，密文被篡改会导致解密失败，可间接检测到篡改，但这属于消极检测而非主动完整性验证机制。
注 3：AEAD模式（CCM/GCM/ChaCha20-Poly1305/SM4-GCM等）：认证加密，单次操作同时提供机密性、完整性与消息源真实性，是当前推荐的现代加密方案。
注 4：不可否认性区别：对称算法的MAC（HMAC/CMAC）因密钥为双方共享，无法证明【具体是哪一方】发送，故不提供不可否认性。数字签名依赖私钥的唯一持有性，可提供不可否认性。
注 5：消息源真实性（MA）不等同于不可否认性（NR）：HMAC证明【知道密钥的一方】发送；数字签名证明【私钥持有者】发送，后者才能在法律层面作为证据。
注 6：ECDH/X25519/密钥封装（KEM）：属于密钥协商/密钥封装机制，本身不直接提供机密性/完整性/真实性，须配合对称加密算法使用（如TLS握手中的密钥协商阶段）。
注 7：ECB模式安全警告：ECB模式下相同明文块产生相同密文块，存在模式泄露风险，不建议在生产环境使用，应选用CBC/CTR/GCM等模式。
注 8：国密优先：在等级保护测评（GB/T 22239）及商用密码应用合规场景中，应优先选用SM2/SM3/SM4系列算法或TLCP协议。

依据：GB/T 15834、GB/T 32905、NIST SP 800-57、RFC 8446

数据传输与存储完整性与保密性核查指南

Tue, 21 Apr 2026 00:00:00 +0800

数据传输与存储完整性与保密性核查指南

面向信息资产全类型的实现与核查方法。

适用标准： GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》

测评维度： 数据传输完整性 / 数据存储完整性 / 数据传输保密性 / 数据存储保密性

版本： V1.0
日期： 2026 年 3 月

1. 概述

本报告依据 GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》（三级），系统阐述面向操作系统、数据库、中间件、应用系统、网络设备、安全设备等信息资产的数据完整性与保密性的实现方法及核查操作流程。

1.1 基本概念

1.1.1 数据完整性

数据完整性指保证数据在传输、存储和处理过程中不遭受非授权的篡改（修改、删除、重排序、替换）。实现机制包括：

消息鉴别码（MAC）：如 HMAC-SHA256、CBC-MAC，可防止恶意篡改。
数字签名：基于公钥密码算法，同时提供完整性与不可否认性。
密码杂凑算法（SHA-256 / SM3 等）：单独使用仅防范无意传输错误，须配合 MAC 或数字签名方能抵御恶意攻击。

1.1.2 数据保密性

数据保密性指保证数据不会泄露给非授权实体。实现机制包括：

对称加密：AES-256（GCM / CBC 模式）、SM4——适用于大量数据加密。
非对称加密：RSA / SM2——适用于密钥交换与数字信封。
传输层协议：TLS 1.2 / 1.3（HTTPS / SSH / RDP）——集成密钥协商与加密。
注意：哈希运算（SHA-256 / SM3 等）属于完整性保护机制，不属于保密性机制。

1.2 测评范围

覆盖以下四个测评维度：

数据传输完整性（测评项 a）
数据存储完整性（测评项 b）
数据传输保密性（测评项 a）
数据存储保密性（测评项 b）

核查对象涵盖：网络设备、安全设备、服务器/终端、数据库、中间件、应用系统。

§0.1重大风险隐患与高风险

Thu, 20 Mar 2025 09:44:26 +0800

公网安〔2025〕1001号《关于进一步做好网络安全等级保护有关工作的函》

自2025年3月20日起，运营者要采取实战化手段深入排查梳理本单位本部门存在的各类风险隐患，使用《网络安全等级测评报告模板》(2025版)(附件3)，切实提升政治站位，扛起安全责任，摒弃“重测评结论不重测评质量，重报告分数不重问题整改”的观念，充分发挥等级测评作用，真实反映和客观评价信息系统安全防护水平。各行业主管部门要收集掌握测评过程中发现的各类问题隐患，督促运营者及时开展安全建设整改，对共性问题进行专项整治。

重大风险隐患判定

根据《公网安〔2025〕1001号-附件3 网络安全等级测评报告模板（2025版）》“附录G 重大风险隐患触发项参照表”某个安全问题被认定为重大风险隐患需要同时满足三个条件

原则	说明
相关性	安全问题可能导致系统面临高风险，且未采取任何缓解措施。
严重性	安全事件一旦发生，将造成严重后果，如业务中断、重要数据泄露/篡改、获取系统管理权限等。
高发性	实际运行中，由该问题导致安全事件发生概率较大。

✅ 高风险是风险评估层面的“可能性 + 损失”结果，而重大风险隐患是已存在的严重安全问题实例。也就是说，重大风险隐患不仅是潜在风险，还必须实际存在且容易被利用，造成严重影响。
✅ 所有重大风险隐患通常都属于高风险问题（但反之不成立）

《公网安〔2025〕1001号-附件3 网络安全等级测评报告模板（2025版）》触发项表（附录G）提供了判定重大隐患的可量化标准，测评团队可据此核查。
附录H提供了整改记录模板，强调整改措施、验证结果和不可利用性说明。

高风险判定

根据《公网安〔2025〕1001号-附件3 网络安全等级测评报告模板（2025版）》，高风险问题分析在“5.1 低中高风险安全问题分析”章节。

针对等级测评结果中存在的 所有安全问题，结合关联资产和威胁分别分析安全问题可能产生的危害结果，找出可能对系统、单位、社会及国家造成的最大安全危害（损失），并根据 最大安全危害（损失） 的严重程度进一步确定安全问题的风险等级，最大安全危害（损失）结果应结合安全问题所影响业务的重要程度、相关系统组件的重要程度、安全问题严重程度以及安全事件影响范围等进行综合分析。

根据《TISEAA 001-2020 高风险判定指引》，应判为高风险的场景：

违反国家法律法规规定的相关要求；
不符合或未实现 GB/T 22239—2019 中各等级关键安全要求及基本安全功能，且没有等效或补偿措施；
存在可被利用，且能造成严重后果的安全漏洞；
通过综合风险分析，对业务信息安全和系统服务安全可能产生重大隐患的安全问题。

高风险 vs 重大风险隐患的定义对比

项目	高风险	重大风险隐患
概念类型	风险等级	具体的安全问题
来源	风险分析/评估（例如章节 5.1 的风险等级判定）	等保测评发现，并满足附录 G 的触发项
依据方式	通过“最大安全危害（损失）” → 分类为低/中/高	必须满足 “相关性 + 严重性 + 高发性” 的三原则
是否要求实际漏洞/隐患存在	不要求实际可利用漏洞，只分析风险结果	必须是存在且可被利用的安全问题
是否纳入重大隐患报告	否	是

重大风险隐患描述

一、机房出入口访问控制措施缺失

【相关性】：在对XXX系统进行等级测评的过程中，测评人员通过安全检查发现机房出入口未部署有效的访问控制措施，符合《网络安全等级保护高风险判定实施指引》中的问题描述"机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态），且机房门口无专人值守等"。同时机房未设置视频监控等物理安全防护措施，也未建立人员进出登记管理制度，通过整体测评和风险分析后，被认定为高风险安全问题。

§01_信息收集

Sun, 17 Nov 2024 09:44:26 +0800

1. Google Hacking

Google Hacking Database(GHDB)：https://www.exploit-db.com/google-hacking-database
谷歌搜索语法介绍：https://program-think.blogspot.com/2013/03/internet-resource-discovery-2.html

常见案例：

搜索语法	作用
site:edu.cn filetype:xls “身份证”	查找教育机构的带有“身份证”字段的excel表格
inurl:phpmyadmin/index.php?server=1	查找phpmyadmin登录页
inurl:info.php intext:”PHP Version” intitle:”phpinfo()	查找展示phpinfo()的站点
inurl:”.php?id=” “You have an error in your SQL syntax”	查找可能存在SQL注入的站点
intitle:后台登陆 inurl:http:	查找登录页为http的站点
intitle:”index of” intext:”Last modified”	查找存在目录遍历的站点

注意：频繁进行Google Hacking会被谷歌识别为异常流量而进行人机验证

2. 网络空间资产测绘平台

2.1 Shodan(/ˈʃoʊ.dæn/)

官网(需登录使用)：https://www.shodan.io/
浏览器扩展：https://chromewebstore.google.com/detail/shodan/jjalcfnidlmpjhdfepjhjbhnhkbgleap
CLI使用：python -m pip install shodan -i https://pypi.tuna.tsinghua.edu.cn/simple

[]

常见案例：

搜索语法	作用
Hikvision-Webs country:cn city:changsha	搜索长沙的海康威视摄像头后台页
port:3389 country:cn city:beijing	搜索北京的开启了RDP的服务器
vuln:CVE-2017-0144 country:cn	搜索存在永恒之蓝漏洞的中国设备(漏洞搜索需要付费)
country:cn city:changsha nginx	搜索长沙的Nginx服务器
isp:huawei country:cn	搜索华为的基础设施设备

2.2 FOFA

官网：https://fofa.info/
浏览器扩展(非官方)：https://chromewebstore.google.com/detail/fofa-pro-view/dobbfkjhgbkmmcooahlnllfopfmhcoln

§1_Windows安全加固专题

Sun, 17 Nov 2024 09:44:26 +0800

网络安全标准实践指南—Windows 7操作系统安全加固指引

这是Windows 7操作系统停服后全国信息安全标准化技术委员会秘书处组织编制的系统安全加固指引，对Windows Server系统也有很高的参考价值。
文件
Windows操作系统安全加固

这是阿里云官方编写的Windows操作系统的安全合规性检查和配置教程，对数十个配置项进行了详细说明。配置系统为Windows Server 2008。
实现Windows Server操作系统的安全加固

这是腾讯云官方编写的Windows Server操作系统的安全加固教程，对一系列安全配置的过程进行了详细说明。配置系统为Windows Server 2012及以上。
windows server 安全基线加固指引（全）

FreeBuf上的一篇关于Windows Server系统安全加固的文章，从16个安全基线方面对系统进行安全加固。

§2_Linux安全加固专题

Sun, 17 Nov 2024 09:44:26 +0800

Linux系统主机安全防护

该指南适用于所有发行版，包括国产系统。这是华为出品的HPC(高性能计算)系统安全配置手册中的Linux主机安全防护部分。该部分详细介绍了12个安全防护项的操作过程。除此之外，华为也提供了PostgreSQL数据库加固和Window系统加固。
Arch Linux安全wiki

Arch Linux 系统的常用建议与最佳实践，当然其中的安全理念也适用与其他发行版，理论上安全实践也适用于其他发行版。出自Arch Linux中文wiki，全中文页面，从软件到硬件的多个方面详细的介绍了相关概念以及如何进行安全配置。
40 Linux Server Hardening Security Tips [2024 edition]

出自nixCraft技术博客官网，全英文页面(可使用网页翻译)，内容为Linux服务器加固安全的40条建议，每条建议都引用了相关的链接，方便扩展及查阅。大部分建议都给出了基本操作步骤。
How-To-Secure-A-Linux-Server

这是Github上特别热门的一个关于如何保护Linux服务器的详细指南(全英文)。从6个大类介绍了如何进行详细的服务器安全配置。

§01_网络信息安全概述

Fri, 15 Nov 2024 09:44:26 +0800

基本属性

网络安全管理

法律与政策

网络信息安全术语

中国网络安全审查技术与认证中心（CCRC，原中国信息安全认证中心），负责实施网络安全审查和认证。

§02_网络攻击原理与常用方法

Fri, 15 Nov 2024 09:44:26 +0800

§02.1 基础

攻击原理表

网络攻击模型

自治主体：黑客自己写的工具来实行攻击。

攻击效果——与CIA三性对应——重点。

网络攻击发展趋势

网络攻击流程

S2.2网络攻击常见技术方法

SYN 同步

ACK 确认

端口扫描

开放的端口（监听状态）才能返回ACK确认信息

ID头扫描，假冒哑主机探测其他机器的端口。

口令破解

缓冲区溢出攻击

缓冲区溢出是重点案例题可能考察。涉及到C语言代码分析。

恶意代码

拒绝服务攻击DOS

其中，ICMP报文比较小，一般很难造成故障。例如 ping报文。

ping of death利用了早期操作系统的漏洞。（又叫畸形报文攻击）

泪滴攻击，也是畸形的，目标主机收到后无法正确组合报文。

网络钓鱼、网络窃听、SQL注入攻击

S2.3 黑客常用工具

§02.4_网络攻击案例分析

Fri, 15 Nov 2024 09:44:26 +0800

DDOS

W32.Blaster.worm

封堵135端口即可。

乌克兰电力攻击事件

APT

§03_密码学基本理论

Fri, 15 Nov 2024 09:44:26 +0800

在第一版教程中是重点，占25分的分值（1/3），第二版虽然只有20页，但仍是重要考点，至少考10分。不安全密码服务，比如容易被破解的MD4、MD5、 SHA-0、SHA-1、RSA-512、RSA-1024、DES、SKIPJACK、RC2 等密码算法

密码学概念与法律

密码安全分析

选择题必考：

选择密文攻击，密文得明文，

密码体制

私钥/对称-DES56-3DES112-AES-IDEA-RC4/5（流加密）

公钥/非对称-SM2-RSA-Elgamal-ECC-背包算法-Rabin-DH

非主流使用的算法包括后量子密码算法（基于格的密码算法、基于编码的密码算法、基于哈希的密码算法、基于多变量的密码算法、超奇异椭圆曲线同源密码算法）

混合密码体制

数字信封非对称算法传对称密钥

国产加密算法-14对称-2非对称-3哈希（杂凑）-9标识密码无需证书（非对称）

1、**对称密码算法-**国密（SM4**、ZUC**）、国际密码（DES**、TDEA**（3DES**）、AES**），同一个密钥

2、**公钥密码算法-**国密（SM2**、SM9**）依赖于椭圆曲线、国际密码（RSA**）依赖于大整数分解，两个密钥，公钥、私钥**

3、**密码杂凑算法-**国密（SM3**）、国际密码（MD5**、SHA**），不需要密钥**

§03.2_对称密码算法（私钥密码）

Fri, 15 Nov 2024 09:44:26 +0800

对称加密算法总结

DES有效密钥长度56位。

3DES当k1与k3相同（一般情况下），密钥长度为56*2=112位。其他两种情况密钥可能为56、168.

以上五种，仅RC4/5为流加密算法，加密速度快。（ZUC、X.20也是流密码）其余都是分组加密（DES、AES、SM4等）

流密码算法密钥流不可以重复使用，如果重复使用则可以通过抓取明文序列和密文序列的方式异或出密钥流，从而破解密文序列（已知明文攻击）

国密

1、ZUC算法为流加密，密钥长度128比特，由128比特种子密钥和128比特IV共同作用生成32比特的密钥流，工作模式为**加密算法128-EEA3，完整性保护算法128-EIA3

2、SM4算法为分组密码，为配合WAPI无线局域网标准，分组长度128比特，密钥长度128比特，适用范围较广，可以等同替换AES-128，32轮密钥

3、SM1分组算法，算法不公开，分组和密钥128bit。安全芯片、智能IC卡、智能密码钥匙等

4、SM7分组算法，算法不公开。

TIP 2347已成为国际标准（2的部分内容不是国际标准）。

依据GB/T 17964 《信息安全技术分组密码算法的工作模式》定义了9种工作模式，其中ECB、CBC、CTR最为常用。CTR存在已知明文攻击（分组密码工作模式软考已删减，密评考察）

DES加密过程（S盒）

输出的行为输入的首位和末位的拼接对应的十进制

输出的列为输入的余下位对应的十进制

3DES有效密钥

E加密encryption
D解密decode

§03.3_非对称密码算法（Rsa 大素数）【最且唯一难】

Fri, 15 Nov 2024 09:44:26 +0800

大素数分解问题

主要代表是RSA

公钥-非对称分类

MIME与安全性无关，S/MIME才有安全性特性。安全的多用途Internet邮件扩展（Secure Multipurpose Internet Mail Extensions，简称S/MIME）

RSA算法简述

RSA加密模式

RSA认证模式

过程差不多但是用的密钥不一样。

RSA混合模式

使用自己私钥加密，使用对方公钥加密

使用自己私钥解密，使用对方公钥解密

密码学表达式

在密码学中，表达式 C=E(M,KeB)C = E(M, K_{eB})C=E(M,KeB) 是一种常见的形式，用于表示加密过程。下面是对这种表达方式的分析：

符号含义：
- C：表示加密后的密文（Ciphertext）。
- M：表示明文（Plaintext），即需要加密的数据。
- E：表示加密函数（Encryption Function），用于将明文转换为密文。
- KeBK_{eB}KeB：表示加密密钥（Encryption Key），通常与接收者（在这里是 B）相关联。
结构清晰：
- 这种表示方法清晰地表明了输入（明文和密钥）与输出（密文）之间的关系，使得读者能够快速理解加密过程的核心要素。
抽象化：
- 通过使用函数 E，可以将加密视为一个数学操作。这种抽象化使得可以应用不同的加密算法，而不需要关心具体实现细节。
密钥依赖性：
- 明确指出加密过程依赖于特定的密钥 KeBK_{eB}KeB，强调了密钥在加密中的重要性。不同的密钥将产生不同的密文，即使明文相同。
可扩展性：
- 这种表达形式可以轻松扩展到更复杂的加密方案。例如，可以添加额外的参数或使用不同的加密函数，保持一致的结构。

总的来说，C=E(M,KeB)C = E(M, K_{eB})C=E(M,KeB) 这种表达方式有效地传达了加密过程的基本要素和关系，便于理解和分析。

§03.4_非对称密码算法（Rsa 离散对数）【最且唯一难】

Fri, 15 Nov 2024 09:44:26 +0800

离散对数问题

有限域：DSA、ElGamal
椭圆曲线：ECDSA、SM2

加密表达式

通常遵循一些书写规则，以确保清晰和一致性：

变量命名：
- 使用简明且具有描述性的符号，例如 C表示密文，M表示明文，K表示密钥。可以加上下标以指明具体上下文，。
函数表示：
- 使用清晰的函数表示法 E，以表明这是一个加密操作。保持函数名称简短，便于理解。
括号使用：
- 函数参数使用括号明确区分，确保逻辑清晰。例如，中，括号包围了所有输入。
一致性：
- 在整个文档或讨论中保持符号和术语的一致性，以避免混淆。
上下文说明：
- 在首次使用表达式时，最好提供简要说明，以帮助读者理解每个符号的含义。

遵循这些规则有助于确保表达式的可读性和可理解性，使得复杂的密码学概念更易于传达。

素数

不可被“分解”的数，素数是大于1的自然数，且只能被1和它自身整除。换句话说，素数没有其他的因数。比如，2、3、5、7、11都是素数。最小的素数是2，它也是唯一的偶素数，其余的素数都是奇数。

欧拉函数

乘法逆元

2与二分之一互为倒数，乘积为1.

欧几里得算法与同余

求解乘法逆元

RSA计算

d为整数，n从1开始带入即可

私钥数字签名

公钥数据加密

RSA安全性

§03.5_Hash哈希（散列）函数

Fri, 15 Nov 2024 09:44:26 +0800

哈希算法

雪崩效应：例如1000字的文档生成了一个哈希，再加入一个字符后生成的哈希值跟之前可能完全不同。哈希、分组均有雪崩效应。RSA不具有雪崩效应。

Hash应用

MAC消息认证码

§03.6_数字签名

Fri, 15 Nov 2024 09:44:26 +0800

用私钥对数据哈希值进行加密，结果只能用签名者的公钥进行验证。

私钥不公开因此不能篡改签名。

对电子合同计算哈希，用公钥解密签名，对比两个哈希的内容。

§03.7_数字证书_Pki_Kerberos

Fri, 15 Nov 2024 09:44:26 +0800

数字证书

如何确认对方的公钥—对方的数字证书，由认证机构认证，而非伪造的。类似身份证。

用CA的私钥进行数字签名，证明证书所有者的公钥为真。

PKI

PKI（RA、CA、CRL、）常与Kerberos（KDC、AS、TGS）一起考察。

PKI与Kerberos的区别

§03.8_密钥管理与应用

Fri, 15 Nov 2024 09:44:26 +0800

密钥管理

密码法** 20年1月1日，网络安全法、密码法、数据安全法闻道有先后，61、11、91，**

核心密码、普通密码是国家秘密

商用密码面向公众使用

密钥交换安全协议

SSH TCP 22 传输层协议完成用户与服务器认证并发流控协商

Telnet TCP 23

SSH协议（22）工作过程

SSH可能受到中间人攻击和拒绝服务攻击

应用场景

身份鉴别、访问控制、数字签名、认证、加密……

完整性、机密性、可用性

路由器安全应用

密码学安全应用

RSA非对称、IDEA对称（明文和密文分组64，密钥128）、MD5哈希（输入512，生成128）、

§04.1_网络安全模型 Blp_Biba

Fri, 15 Nov 2024 09:44:26 +0800

BLP（机密性）、Biba（完整性）重点！！！

BLP模型-机密性-星上写-简单下读-

*特性，”读作星特性“

权限大的可以读权限小的，

只能下读上写不能下写

安全级、范畴集均满足才能访问。只能下读上写

读：安全级别不小于客体，范畴必须包含客体。

写：安全级别小于等于客体，范畴集被客体包含。

Biba模型-上读下写-简单上读-星下写

只能上读下写

实线是写

信息流模型FM

信息保障模型-PDRR-P2DR-WPDRRC

能力成熟度模型

纵深防御模型-分层防护模型-等保模型-网络生存模型

网络生存模型-抵抗、识别、恢复

网络安全原则

§04.2_网络安全体系与建设内容

Fri, 15 Nov 2024 09:44:26 +0800

网络安全体系架构

法规是顶层设计，是前提。

策略，例如访问控制策略、组织机构策略等

科技与产业生态–安全厂商、科研机构等

教育与培训–网络安全周、大学教育等

最后落地需要投入与建设（花钱）

运营应急响应与标准规范贯穿始终。

网络安全组织架构-领导|管理|执行|外协

安全管理

网络安全等级保护2.0

甲方向公安处提交备案。

技术要求：

一个中心安全管理中心

三重防护安全计算环境、安全区域边界、安全通信网络

安全物流环境

管理要求：

智慧城市安全体系应用参考

多维度的安全体系建设

§05.1_物理安全概述

Fri, 15 Nov 2024 09:44:26 +0800

物理安全概念

物理安全威胁

EDA-芯片设计方面-电子设计自动化

软硬IP核-电路板

IC-集成芯片

物理安全保护

物理安全分析与防护

§05.2_机房安全分析与防护

Fri, 15 Nov 2024 09:44:26 +0800

机房功能分区

机房等级划分

基本要求-较大损害-严重损害

C-B-A

机房场地选择要求

二层机房，一楼动力配电空调（太重了）。或中层机房。

机要部门建议采用屏蔽机房。

数据中心建设与涉及要求

标准机架，标准 19 英寸机架

标准的 19 英寸服务器机架机柜通常高 42u（4U通常也是一种标准），宽 600 毫米（24 英寸），深 36 英寸（914.40 毫米），这是一种常见的配置，可用于工业设备的机柜中。

这里的19英寸指的其实是服务器的宽度，大概是48.26厘米。

数据中心分级与规范

等电位联结并接地

耐火等级不低于二级

甲级防火门

火灾报警系统与灭火系统和视频监控系统联动

专用空气呼吸器或氧气呼吸器

互联网数据中心

R1 两个9

R2 三个9

R3 四个9

§05.3_通信线路设备存储介质安全

Fri, 15 Nov 2024 09:44:26 +0800

网络通信线路安全分析与防护

设备实体安全分析与防护

硬件攻击防护

存储介质安全分析与防护

容错容灾存储技术

§06.1_认证技术与原理（与密码学章节关联）

Fri, 15 Nov 2024 09:44:26 +0800

identification、authentication

认证概述

行为特征–>行为习惯

验证对象–>客户端（声称者）

鉴别实体–>服务端（验证者）

一次性口令OTP-one time password

零信任，持续检测验证

认证原理

基于共享秘密–>声称者发送"用户名密码"(秘密)给验证者，验证者检查后回复结果。

缺点：中间人攻击截获秘密

单向认证

基于挑战响应的认证

k（ab）可以使用多种算法，当然，常用的是哈希算法。

双方使用同一种算法对声称者的秘密和随机数进行计算，验证者比对并返回验证结果

验证者需要将自己挑的随机数先发给声称者（谁发送就附带谁的ID过去）

声称者收到随机数与自己的秘密一起计算后发给验证者（谁发送就附带谁的ID过去）

PPP协议认证-PAP（两次握手明文共享密钥）和CHAP（三次握手散列挑战）

PAP-基于共享密钥

CHAP-基于挑战响应

双向验证，AB既为声称者又为验证者，SSH

第三方认证引入可信第三方（例如微信和手机运营商认证）

例如：kpa 指ap间共享密钥

R 表示random，随机数。

首先，a向p发送由kpa加密的b的id（说明想要和谁通信）与a生成的随机数

p收到后解密，生成Kpa（Ra,Kab）[ab间的共享密钥由第三方下发]和Kpb（IDa，Kab）【代a生成发送给b的消息，该消息a无法解密，在其中包含a的id表明a想与他通信】

a发送刚才p生成的那个自己无法解密的Kpb（IDa，Kab）

b解密a刚才发过来的Kpb（IDa，Kab），获得Kab和a的id，此时ab间都有共享密钥了，发送自己的Rb给a

a解密b发送过来的消息生成Kab（IDb，Rb）发送给b

b解密，看对方知道的自己id和随机数是否正确，若正确则通过认证。

第三方认证用的不是哈希，是加解密。此处Kab是密钥（密码），前面基于挑战的Kab是秘密（基于算法生成的一个结果）。

到第三步ab就有共享密钥了，为什么还有进一步校验？避免重放攻击，需要验证一个具有时效性的随机数。

4567更像是基于挑战响应的认证部分。

避免重放攻击：随机数、时间戳、一次性口令。

认证技术方法-口令|智能卡|生物识别

你所知道的信息（what you know）、你所拥有的物品（what you have）、你自身带来的（what you are）

PKI体系，(证书【包含公钥、CA签名……】)

Kerberos认证，KDC【密钥分发中心】包括AS【认证服务器】、TGS【票据发放服务器】，票据包含【客户方实体名称、地址、时间戳、票据生存期、会话密钥】

单点登录，一次登录可以使用多个系统。

不足：时间同步、抵御拒绝服务攻击。

SSO-验证码-MFA-基于行为（异常检测）-FIDO

§06.2_认证产品和应用

Fri, 15 Nov 2024 09:44:26 +0800

portal网页认证

认证主要产品

认证产品主要技术指标

认假率：把假的认为成真的

认证技术应用

校园网

常用入网：深澜、sam……

网络路由认证

配置：

最高用户等级15级，越高越强？

路由更新认证

人脸识别-eID

HTTP认证

§07.1_访问控制模型

Fri, 15 Nov 2024 09:44:26 +0800

访问控制概述

访问控制参考模型

参考监视器是决策和执行单元。

常见访问控制模型

标黄是重点。

DAC自主访问控制-Windows文件ACL|chmod

Windows的文件权限管理确实是基于DAC（Discretionary Access Control，自主访问控制）模型的。

点击展开详情

在DAC模型中，资源的所有者（如文件或文件夹的创建者）拥有控制该资源的权限，并可以自主决定谁能访问该资源以及如何访问。在Windows中，这通常是通过文件系统的访问控制列表（ACL，Access Control List）来实现的。每个文件和文件夹都有一个ACL，它定义了哪些用户和组具有哪些访问权限（如读取、写入、执行等）。文件的所有者可以修改这些权限，以允许或拒绝其他用户或组的访问。

总结来说，Windows的权限管理体系（通过NTFS文件系统的ACL）符合DAC模型的基本原则，因为它允许资源的所有者自主决定访问权限。

Windows的文件权限管理、Linux的chmod**命令 **

MAC强制访问控制-SELinux、AppArmor

RBAC基于角色的访问控制-分角色

角色其实就是用户组，对用户组集中授权。

ABAC基于属性的访问控制-18🈲

例如禁止未成年人访问网站的某部分内容。

§07.2_访问控制策略设计与实现

Fri, 15 Nov 2024 09:44:26 +0800

访问控制策略

ACL ：用户（需求）、地址（对象：端口、IP……）、级别、一致性、法规和义务、更新与维护……

访问控制规则

访问控制过程

访问控制安全管理

八位以上字符、大小写字母、数字、特殊字符、失败三次锁定、禁止共享用户账号和口令、口令加密存放、禁止明文传输口令、口令设置有效期并禁止重用、检查弱口令和口令泄露状态。

Linux文件权限

/etc/password 644

/etc/shadow 600

§07.3_访问控制产品与应用

Fri, 15 Nov 2024 09:44:26 +0800

认证、授权、审计 3A

4A 增加了账号

安全网关：防火墙、统一威胁管理（UTM）、下一代防火墙（NGFW）

访问控制产品-4A-安全网关-系统安全增强

访问控制技术应用

物理、网络、操作系统、数据库、应用

DAC自主访问控制-unix/linux

读写执行、421，最大权限是7，最小权限是0，

例如，某文件权限600 可翻译为 rw- — —

DAC自主访问控制-Windows

DAC|RBAC|IPBAC-IIS FTP

针对应用：对于FTP，读取就是下载，写入就是上传。

FTP（File Transfer Protocol，文件传输协议）是用于在计算机网络中传输文件的协议。FTP本身并没有一个独立的“访问控制模型”，但它通常依赖于现有的身份验证和权限管理机制来控制访问。

点击展开详情

在FTP中，访问控制模型主要涉及以下几个方面：

1. 基于用户名和密码的身份验证

FTP的访问控制通常通过**用户名（Username）和密码（Password）**来进行身份验证，确保只有授权用户能够访问FTP服务器上的文件。这种身份验证方法可以被视为一种 基于身份的访问控制（Identity-Based Access Control），类似于 DAC（自主访问控制） 模型。

用户名和密码：用户必须提供正确的用户名和密码才能连接到FTP服务器。如果身份验证成功，用户就可以根据他们的权限访问文件系统。
匿名访问（Anonymous FTP）：某些FTP服务器允许用户在不提供用户名和密码的情况下访问（或部分访问）某些资源。这通常适用于开放的文件共享，任何人都可以访问特定目录中的文件。

2. 文件权限控制

在FTP服务器上，文件权限控制（如读、写、执行权限）通常基于操作系统的权限管理来实现。这类似于传统的操作系统文件权限管理，通常可以通过 Unix/Linux 文件系统权限模型（如 rwx 权限）进行管理。

读权限：允许用户读取文件内容。
写权限：允许用户修改文件内容或上传新文件。
执行权限：允许用户执行文件（如可执行文件）。

这些权限通常是通过FTP服务软件与操作系统的文件系统权限结合来管理的。因此，FTP访问控制本质上是通过文件系统的权限模型（如DAC）来控制用户对文件的访问权限。

3. 基于角色的访问控制（RBAC）

一些高级FTP服务器可能会实现基于角色的访问控制（Role-Based Access Control, RBAC）模型，其中用户被分配到特定的角色（如管理员、普通用户、访客等），并根据角色来控制其对FTP资源的访问权限。

管理员角色：具有完全的文件访问和管理权限，包括创建、删除文件和更改权限。
普通用户角色：可能只有读取或上传文件的权限，不能删除文件或修改其他用户的权限。
访客角色：通常只有读取权限，不能上传或删除文件。

4. 基于IP地址的访问控制

某些FTP服务器实现了基于IP地址的访问控制，即通过允许或阻止特定IP地址或IP段的连接来控制访问权限。这种控制通常用于限制访问的来源，增加安全性。

允许特定IP连接：服务器只允许来自特定IP地址的用户进行连接。
拒绝特定IP连接：服务器可以阻止来自某些IP地址的连接请求。

5. FTP的访问控制模型总结

DAC（自主访问控制）：FTP的访问控制通常依赖操作系统的文件系统权限来管理用户对文件和目录的访问，这类似于DAC模型，用户在自己的权限范围内管理文件访问。
基于身份的访问控制（Identity-Based Access Control）：通过用户名和密码进行身份验证，确保只有授权用户可以访问FTP资源。
基于角色的访问控制（RBAC）：有些FTP服务器支持基于角色的访问控制，用户根据角色获得不同的权限。
基于IP地址的访问控制：一些FTP服务器通过IP地址过滤来限制或允许来自特定IP的连接请求。基于IP地址的访问控制（IP-based Access Control）

6. 总结

FTP的访问控制机制并没有明确的单一“模型”，而是通过 用户名和密码验证、操作系统的 文件权限控制、可能的 角色管理 和 IP地址过滤 来管理用户对文件的访问。因此，它通常结合了 自主访问控制（DAC） 和 基于身份的访问控制 的元素，并根据FTP服务器的配置来决定访问控制的具体实现方式。

§08.1_防火墙概述

Fri, 15 Nov 2024 09:44:26 +0800

防火墙概述

防火墙：边界隔离设备。既可以是内外网之间，也可以是内网中的不同区域。

DMZ一般放对外提供服务的服务器

防火墙区域划分

重点：：：：

教材划分方法：公共外部网络、内联网、外联网、DMZ

华为/安全厂商常用：local、trust、DMZ、Untrust。

防火墙工作原理

防火墙安全策略-黑白名单

白名单很明显，安全性更高，默认禁止。

如图8-2 外到内是白名单，内到外是黑名单。

防火墙功能与安全风险

防火墙类似门岗，但难以防止有人翻墙。

IDS入侵检测类似巡逻队，可以防止有人翻墙。

§08.2⭐防火墙类型与实现技术

Fri, 15 Nov 2024 09:44:26 +0800

包过滤防火墙

传输层知道端口-TCP-UDP

网络层知道ip

传输层（如TCP或UDP）负责在源端和目标端之间建立连接和传输数据，它知道端口号，通过端口号来确定哪一个应用程序或服务应该接收数据。
网络层（通常指的是IP层）负责在不同的网络之间传输数据，它知道IP地址，通过IP地址来找到目的地计算机。

因此，网络层知道IP地址，传输层知道端口号，是符合计算机网络协议栈中的基本概念的。

Q：包不是在网络层传输的吗，包过滤防火墙怎么能知道端口

A：你提出的问题非常关键，涉及到网络模型中不同层之间的关系。虽然包确实是在网络层传输的，但当我们谈论包过滤时，它通常包括对传输层信息的检查。

让我们分层来看：

网络层（IP层）传输的是IP包，IP包中包含源IP地址、目标IP地址等信息，但它不包含传输层的端口号。网络层只负责把包发送到目的IP地址。
传输层（如TCP或UDP）传输的是段或报文，这些段包含了源端口号和目标端口号等信息，用于在主机内部识别具体的应用程序。

当我们提到包过滤时，虽然过滤是在网络层进行的，许多防火墙和路由器同时可以查看数据包中的更高层（如传输层）信息。这是因为在IP包的负载部分，实际上包含了传输层报文（如TCP或UDP段），其中有端口号信息。包过滤设备会深入解析IP包的负载部分，提取出传输层的端口号信息来进行过滤决策。

因此，尽管端口号属于传输层信息，包过滤设备依然可以通过检查数据包中的传输层头部（比如TCP或UDP头部）来基于端口号进行过滤。这是一种多层解析的技术。

包过滤防火墙**主要工作在网络层（IP层）**但也能检测传输层的报文。

25端口是用于SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）的标准端口。SMTP 是用于在邮件服务器之间发送电子邮件的协议，特别是用来发送出站邮件。

访问控制列表（ACL，Access Control List）中，定义匹配条件的运算符

**gt**（greater than，大于）：
用于匹配大于某个端口号的流量。例如，gt 1024 表示匹配所有端口号大于1024的流量（即1025及以上的端口）。
**eq**（equal，等于）：用于匹配等于某个特定端口号的流量。例如，eq 80 表示只匹配端口号为80的流量（通常是HTTP流量）。
**lt**：小于（less than），用于匹配小于指定端口号的流量。
**neq**：不等于（not equal），用于匹配不等于某个端口号的流量。
**range**：用于指定一个端口号范围，如 range 1000 2000 表示匹配端口号在1000到2000之间的流量。

包过滤防火墙案例分析

包过滤、网络、源ip地址、目的ip地址、协议类型

状态检测技术

应用服务代理防火墙会慢，能分析应用层的东西，WAF对用户不透明。

应用服务代理防火墙

网络地址转换技术NAT

静态nat内网和公网的ip是永久映射一一对应的，因此基本不被使用。

实际常用端口NAT，例如sakura内网穿透。

私网网段：

10.0.0.0 - 10.255.255.255

172.16.0.0 - 172.31.255.255

172.168.0.0 - 172.168.255.255

下一代防火墙技术

§08.3_防火墙防御体系结构类型

Fri, 15 Nov 2024 09:44:26 +0800

防火墙防御体系结构类型

安全性最弱的是双宿主主机防火墙。

基于双宿主主机防火墙结构

一个主机两个网卡，安全检测在主机上处理。安全则外部与内部网可以通信。

代理型防火墙

，代理服务器主机易变成单点缺陷。

基于屏蔽子网的防火墙结构

经过两个路由器隔离，代理服务器与内网不处于同一个网段中

应用代理位于被屏蔽的子网中。

§08.4_防火墙应用

Fri, 15 Nov 2024 09:44:26 +0800

防火墙安全功能指标

流量管理&应用层控制：DPI技术，深度包检测

防火墙性能指标

防火墙吞吐量一般指网络层，如果检测深度达到应用层，吞吐量肯定会下降。

最主要的指标是网络接口10G？，和最大吞吐量。

防火墙部署

控制点边界关键处也就是防火墙设备

实际的项目大多都是用的双宿主机那一种

Linux防火墙 iptable必须掌握

22 SSH 23 Telnet 25 SMTP 53 DNS 69 TFTP 110 POP3 143 IMAP

华为2000-2999ACL是基本ACL，匹配源地址。

高级的ACL3000-3999，可以匹配源和目的地址。

华为包过滤防火墙ACL

工控防火墙部署

防火墙主要部署在边界，EDR（终端安全设备）一般安装在终端主机上。

§09.1_Vpn概述分类

Fri, 15 Nov 2024 09:44:26 +0800

VPN概述

异地通信：①裸光纤，缺点：远距离成本过高。②运营商专线，运营商通过技术手段做的"虚拟"(中间肯定会过路由器什么的)裸光纤。③运营商互联网线路，两端通过公网地址互联，缺点：遭受攻击风险高。

因此VPN方案加互联网,比较经济。

VPN分类

VPN实现技术

签名使用用户私钥，对方用公钥验证。

§09.2_Ipsec_Ssl_Pptp_L2Tp

Fri, 15 Nov 2024 09:44:26 +0800

网络层协议-IPSec技术

完整性、保密性、认证、应用透明安全性

hash、对称加密、DH（非对称）

认证、数据加密、密钥交换

顺序？应该是什么？

IPSec组成架构

AH ESP IKE

校验对称非对称

杨元原博士国密课堂 · 第三期 | 商用密码应用安全性评估：IPSec VPN协议的原理和测评验证（… - FreeBuf网络安全行业门户

IPSec两种封装模式-传输模式|隧道模式

隧道要有新ip头，类比打隧道要加盾构机，

传输层协议-SSL协议

HMAC是哈希算法生成的消息认证码，校验完整性使用。

ssl本身也分两层

分组需要分为区块

流加密分组不确定来多少加密多少例如RC4/5算法

SSL协议功能

链路层协议-PPTP|L2TP功能更多

PPTP 1723 点对点安全隧道仅适用于IP网络

L2TP 1701 不加密隧道服务可以用于ATM和帧中继等网络

VPN主要产品与性能指标

VPN技术应用-远程访问

§0测评依据24 9

Fri, 15 Nov 2024 09:44:26 +0800

旧版： ~~测评依据：~~ ~~(1) GB/T 22239-2019：《信息安全技术网络安全等级保护基本要求》（以下简称《基本要求》）~~ ~~参考依据：~~ ~~(1) 《中华人民共和国网络安全法》~~ ~~(2) GB 17859-1999：《信息安全技术计算机信息系统安全保护等级划分准则》~~ ~~(3) GB/T 20984-2022：《信息安全技术信息安全风险评估方法》~~ ~~(4) GB/T 28449-2018：《信息安全技术网络安全等级保护测评过程指南》~~ ~~(5) GB/T 22239-2019：《信息安全技术网络安全等级保护基本要求》~~ ~~(6) GB/T 25058-2019：《信息安全技术网络安全等级保护实施指南》~~ ~~(7) GB/T 22240-2020：《信息安全技术网络安全等级保护定级指南》~~ ~~(8) T/ISEAA 001-2020：《网络安全等级保护测评高风险判定指引》~~ ~~参考资料：~~ ~~(1) 《XXX系统安全等级保护定级报告》~~ ~~(2) 《XXX单位网络安全等级保护测评项目合同书》~~

为什么不引用**28448**了？猜测是公司在检查内容基础上定义了判断标准和方法。
28448\28449现状分析（对测评方）
25058/25070方法指导（对建设方）
22239/安全要求
22240/安全等级

测评依据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）（以下简称《基本要求》）《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019) 参考依据《中华人民共和国网络安全法》 GB17859-1999：《计算机信息系统安全保护等级划分准则》 GB/T20984-2022：《信息安全技术信息安全风险评估方法》 GB/T28449-2018：《信息安全技术网络安全等级保护测评过程指南》 GB/T25058-2019：《信息安全技术网络安全等级保护实施指南》 GB/T22240-2020：《信息安全技术网络安全等级保护定级指南》公网安[2025]2391号：《网络安全等级保护测评高风险判定实施指引(试行）》参考资料《XXX系统网络安全等级保护定级报告》《XXX有限公司网络安全等级保护测评项目合同书》

§10.1_入侵检测概述

Fri, 15 Nov 2024 09:44:26 +0800

入侵检测概述

IDS入侵检测旁路部署 只能检测不能拦截 -与防火墙配合使用

IPS入侵防御串行部署可以拦截

看行为是否异常，是否行为不满足既往习惯。

入侵检测技术常用于安全态势感知，其原理是：①日志分析；②通过探针/agent截取网络内流量或告警进行分析。

入侵检测作用

入侵检测产品

态势感知可以是软件也可以是硬件。

§10.2_入侵检测技术原理与分类

Fri, 15 Nov 2024 09:44:26 +0800

入侵检测原理-误用检测&异常检测

基于特征：误用检测

基于统计分析：异常检测

入侵检测系统组成

入侵检测分类

电脑上的杀毒软件就算是基于主机的入侵检测系统。可作为软件或者硬件

HIDS-基于主机的入侵检测系统（Host-based Intrusion Detection System）

NIDS-基于网络的入侵检测系统（Network-based Intrusion Detection System）

被动型设备对网络影响很小。

NIDS难以分析加密的流量，难以推知命令执行结果。

HIDS可以弥补，因为流量到终端肯定得解密。

DIDS-分布式入侵检测系统（Distributed intrusion detection systems）

分布式：包含探测器和控制器。终端EDR、Agent

§10.3_入侵检测产品应用 Probe端口

Fri, 15 Nov 2024 09:44:26 +0800

入侵检测产品

统一威胁管理UTM性能损耗大，现已被下一代防火墙替代。

APT攻击案例

入侵检测系统部署方法

华为的CIS其实就是态势感知

HIDS部署

NIDS部署

“Probe端口”通常是指在网络安全或系统管理中使用的一种手段，用于检测某个特定端口是否开放以及该端口背后服务的响应情况。简单来说，就是“探测”目标设备的端口状态，以检查它是否可用或是否在运行某个特定的服务。

主要用在以下场景中：

网络故障排查：通过探测特定端口，可以确定网络设备或服务器上的服务是否正常运行。例如，探测80端口可以确认Web服务是否正常。
安全评估：在进行端口扫描时，可以探测哪些端口是开放的，开放的端口可能暴露一些不安全的服务或漏洞。
服务监控：一些系统管理员会定期探测关键端口，确保服务（如数据库、Web服务器等）运行正常。探测到端口不可用时，可以及时采取修复措施。

例如，使用工具如 nmap，你可以执行端口探测，以识别网络设备的端口状态（开放、关闭、过滤等）。“Probe端口” 这个词可以理解为与“探测端口”相关的意思，通常是在网络或系统管理中使用。探测端口指的是用于检测系统状态、服务运行情况或网络连接等的端口。

在不同的环境中，Probe端口有不同的应用方式：

监控和健康检查：在一些系统架构中，Probe端口通常用于探测应用或服务是否正常运行。例如，Kubernetes 就使用 livenessProbe 和 readinessProbe 来检查容器应用的健康状况。
网络扫描：Probe端口也可能指对网络中的主机进行端口扫描，检测哪些端口是开放的，哪些端口被防火墙或其他安全措施阻止。
安全性分析：在渗透测试或安全审计中，Probe端口是通过测试不同端口来了解目标系统的开放端口和潜在漏洞。

你是在进行网络或服务器管理方面的操作吗？还是有其他具体的用途？

§11.1_网络物理隔离技术

Fri, 15 Nov 2024 09:44:26 +0800

物理网络隔离概述

物理隔离的典型产品是网闸。除此之外还有内外网线路切换器等设备。

能阻止例如木马之类的在线攻击，病毒一般离线都能发作因此作用有限。

物理隔离仍有非法外联风险，参考涉密网非法外联的案例

物理隔离机制与实现技术

多PC是较为常用的解决方案。

单硬盘内外分区：硬盘隔离卡

信息摆渡技术和物理断开技术

网闸使用了协议隔离、信息摆渡等技术

§11.2_网络物理隔离产品_11.3应用

Fri, 15 Nov 2024 09:44:26 +0800

终端隔离产品

单硬盘内外分区技术/两个硬盘-双硬盘隔离卡

网络隔离产品

网闸-使用到摆渡、物理断开、单向连同技术

c点是专用协议，不是tcp/ip，作为缓冲区。

电子政务网闸应用

、防火墙逻辑隔离，网闸物理隔离。

公检法司应用

§12.1_审计概述、要求与分类

Fri, 15 Nov 2024 09:44:26 +0800

网络安全审计概述

AAAA 认证授权账号审计

等保五个级别对审计的要求

等保是从二级开始引入审计

网络安全审计系统类型

快捷键Win+R，输入“eventvwr.msc”打开事件查看器。

compmgmt.msc打开计算机管理-有共享管理、用户管理、事件查看器、计划任务、性能、设备查看器、磁盘管理和系统服务及应用程序管理。

§12.2_审计机制与实现技术

Fri, 15 Nov 2024 09:44:26 +0800

分类|系统日志采集&网络流量获取

分类：主机、网络通信、应用。

共享网络监听：通过集线器共享网络流量。集线器将入口流量转发到所有出口。共享网络已被淘汰。

交换机端口镜像：需在交换机上配置。

网络分流器：其实是定制的交换机，适用于大流量场景。一般是运营商在用。

数据捕获软件-Wireshark-Libpcap

网络审计数据安全分析技术

网络审计数据存储技术

分散存储、集中存储

态势感知就能集中存储。

网络审计数据保护技术

系统分权：操作员、安全员、审计员。

审计三权分立

数据加密、强制访问措施、隐私保护、审计数据完整性保护。

§12.3_审计产品与应用

Fri, 15 Nov 2024 09:44:26 +0800

网络安全审计产品（日志-主机-数据库）

EDR是一个相当综合的产品，在许多产品的章节都有它。

网络安全审计产品（上网行为管理）

qq这种需要协议加密的产品，需要在客户端安装代理来解密流量。

工控产品就是加入了工控协议。

网络安全审计产品（运维审计-堡垒机）

等保中-堡垒机有集中管理功能，作为安全管理中心测评。

堡垒机也能有单点登录的功能。

如何实现仅通过堡垒机登录？在服务器那边或者网络上设置仅堡垒机IP可以连接。

网络安全审计应用

§13.1_网络安全漏洞分离与管理

Fri, 15 Nov 2024 09:44:26 +0800

网络安全漏洞概述

漏洞又称脆弱性

漏洞检测、修补、预防。

震网病毒其实是蠕虫

网络安全漏洞分类与管理

CNVD

漏洞发布相关组织

网络安全漏洞管理过程

确认、采集、评估、消除和控制、变化跟踪

§13.2_漏洞扫描与处置

Fri, 15 Nov 2024 09:44:26 +0800

网络安全漏洞扫描技术与应用

网络安全漏洞扫描应用

网络安全漏洞发现技术

网络安全漏洞利用防范技术

DEP与堆栈保护区别？

主要产品与技术指标

§14.1_恶意代码概述

Fri, 15 Nov 2024 09:44:26 +0800

恶意代码分类

恶意代码攻击模型

恶意代码生存技术

LKM可以不重新编译内核就加载文件到内存。

内存到文件的修改一般是被允许的。

恶意代码攻击技术

恶意代码分析技术-静态分析

exe这种都加壳编译了，需要反编译试图得到源码。

线性遍历-从入口开始，

恶意代码分析技术-动态分析

恶意代码防范策略-管理&技术

§14.2_病毒分析与防护

Fri, 15 Nov 2024 09:44:26 +0800

病毒：自我复制并具有传播能力。

基本特点：隐蔽性、传染性、潜伏性、破坏性。

目的：？

计算机病毒概念与特性

计算机病毒被动传播，但也主动搜索新的主机进行感染。一般认为蠕虫是主动的。

计算机病毒组成与运行机制

病毒有潜伏期，激活阶段才开始破坏系统。

常见病毒特征码

病毒防范策略

备份是最有效的修复方法。

防火墙FW

防病毒AV

计算机病毒防护方案

基于网络病毒防御的安装部署模式

终端杀毒、管理平台（可与广域网总部联络更新分发到终端）、防火墙

§14.3_特洛伊木马分析与防护

Fri, 15 Nov 2024 09:44:26 +0800

木马不具备自我传播能力，【病毒】和蠕虫具有自我传播能力（蠕虫可以独立运行，病毒有宿主程序）。

目标信息包括操作系统类型、网络结构、应用软件、用户习惯等。

木马和病毒一样，也有激活的步骤。

特洛伊木马运行机制

特洛伊木马植入

木马植入是最攻击的最关键的一步。

被动植入，人工操作，对木马是被动安装

主动植入，木马自己安装

特洛伊木马隐藏

行为隐藏：文件隐藏、进程隐藏、通信连接隐藏

通信过程隐藏：通信加密、端口复用、隐蔽通道

特洛伊木马存活

Rootkit-提权工具

特洛伊木马防范技术

步进模式：即指令按序一条一条执行，判断指令数量也可以初步判断是否被篡改。

§14.4_网络蠕虫分析与防护

Fri, 15 Nov 2024 09:44:26 +0800

脆弱性检测、其实就是漏洞扫描嘛。

蠕虫概念与特性

三个阶段：搜索、传送、感染。

易感主机，如RPC135端口、SMB445端口。

运行机制

常用技术-漏洞扫描和利用

255广播地址 254一般是网关地址

基于路由扫描效率最高

防范技术

§14.5_僵尸网络恶意代码防护产品

Fri, 15 Nov 2024 09:44:26 +0800

僵尸程序与木马程序的区别？

总结：

僵尸网络程序是一种通过控制大量受感染计算机（僵尸）形成的分布式网络，黑客可以利用这个网络来进行大规模的恶意活动，如DDoS攻击、垃圾邮件发送等。

木马程序则是一种隐蔽的恶意软件，它通过伪装成合法文件或程序，偷偷感染计算机，窃取数据或远程控制目标计算机。

总的来说，木马可以是僵尸网络的一个组成部分，木马的作用是让计算机成为僵尸网络中的一员，而僵尸网络则通过远程控制这些“僵尸”计算机来实施更大范围的恶意攻击。

僵尸网络分析与防护

用ip容易被封，聪明的一般用域名，所以可以设置DNS黑名单。

僵尸网络分析与防护

木马本身不具备破坏性，属于恶意软件/间谍软件。

蠕虫属于病毒的一种。勒索病毒、震网病毒其实都是蠕虫。

其他恶意代码

恶意代码防护主要产品

恶意代码防护主要技术指标

案例分析重点

APT防护一定是多设备的联动。例如态势感知。

恶意代码防护技术应用

沙箱、态势感知、安全大数据分析平台

§15.1_主动防御_入侵阻断软件白名单流量清洗

Fri, 15 Nov 2024 09:44:26 +0800

网络安全主动防御技术与应用

入侵阻断IPS

串行部署面临通信瓶颈与高可用性问题。

商用IPS一般是硬件方式旁路部署，配合路由策略可以检测制定区域的流量。通过旁路注入报文阻断流量。

引流使用策略路由或者SDN。

软件白名单技术与应用

现在国内应用商店就是白名单制度，未过审不上架。

网络流量清洗

流量清洗一般是大型网络出口使用。用于防范大规模DDOS攻击（分布式拒绝服务攻击）

流量清洗中心可以是硬件设备也可以是云服务。

LAND利用TCP三次握手漏洞，让服务方一直挂起空连接耗费资源。

Smurf，在网络中，A假冒B的源地址向广播地址发送报文（例如ping），该网络内每个主机都向B回复报文。

LAND 攻击：此攻击发送一个欺骗性的 TCP SYN 数据包，其中源地址和目标地址设置为相同的 IP 地址，导致系统自行响应，从而形成可能导致系统崩溃的循环。
Fraggle 攻击：类似于 Smurf 攻击，但使用 UDP 数据包而不是 ICMP。攻击者向网络的广播地址发送大量 UDP 数据包，并将源地址伪装成受害者的 IP。这会向受害者发送大量响应。
Smurf 攻击：这是一种** DDoS 攻击**，攻击者向网络的广播地址发送 ICMP 数据包，将源 IP 地址伪装成受害者的 IP。然后网络上的设备向受害者发送大量响应，导致系统不堪重负。
WinNuke：此攻击针对旧版本 Windows 操作系统中的漏洞，通过向端口 139 发送带外 (OOB) 数据，导致系统崩溃或重新启动。
Ping of Death：此攻击涉及向目标发送格式错误或超大的数据包。它会导致无法处理这些超大数据包的系统发生缓冲区溢出，从而导致系统崩溃或重启。
Teardrop 攻击：此攻击利用了碎片重组中的漏洞。它会发送碎片数据包，这些数据包在重组时会重叠，从而导致系统崩溃或行为异常。
TCP 错误标志攻击：这涉及操纵 TCP 标志设置以创建异常数据包，混淆目标系统或防火墙并可能导致其崩溃或绕过安全规则。

§15.2_主动防御_可信计算数字水印技术

Fri, 15 Nov 2024 09:44:26 +0800

可信计算

启动和运行时都检查。

数字水印

变换域方法利用扩展频谱通信技术和Hash函数。

§15.3_主动防御_陷阱、入侵容忍、隐私保护及前沿技术

Fri, 15 Nov 2024 09:44:26 +0800

网络攻击诱骗陷阱技术-蜜罐&陷阱

蜜罐和陷阱网络技术是主动的防御方法。

陷阱技术应用

入侵容忍与系统生存技术

门限密码，例如两个人同时持钥匙才能开锁

分布式共识，例如区块链技术……

多样性设计，在系统中使用不同供应商的设备或组件，规避单一来源造成供应链风险。

3R 抵抗、识别、恢复

应用

隐私保护技术与应用

网络安全前沿技术发展动向

同态加密类似哈希

DNSSEC

前沿其实还有安全大数据、云、工、移、物等扩展。

§16.1_风险评估工作基本过程

Fri, 15 Nov 2024 09:44:26 +0800

网络安全风险评估概述

资产、威胁、脆弱性、安全措施、风险……

网络安全风险评估工作基本过程

范围必须先确定好，否则可能面临需求的无限扩大。

评估准备、资产识别

👆保密性赋值

价值不是资产的实际售价，而是遭受保密性、完整性和可用性损害之后对信息系统造成的损失。

评估准备后资产识别，

威胁识别

然后是威胁识别-自然威胁和人为威胁。

非法访问读破坏机密性写破坏完整性

拒绝服务破坏可用性

欺骗破坏可控性

脆弱性识别

脆弱性识别以资产为核心

已有网络安全措施分析

网络安全风险分析

定性低、中、高危

定量 12345分

、

风险处置与管理

安全风险管理的控制措施，背等保的内容就行。

制订安全策略建立安全组织（团队）、资产分类、加强人员管理、保证物理和环境安全、加强通信安全运行、采取访问控制机制、进行安全系统开发与维护、保证业务持续运行、遵守法律法规、安全目标一致性检查。

安全管理制度

安全管理人员

安全管理机构

安全运维管理

安全建设管理

§16.2_风险评估技术与工具

Fri, 15 Nov 2024 09:44:26 +0800

使用调查表进行资产收集

使用工具发现网络资产（拓扑发现不是漏扫）

使用漏扫收集脆弱性信息

人工检查，设计好检查表，核对检查项（类似等保的记录表）

渗透测试 ⭐ 模拟黑客攻击网络系统

§16.3_风险评估项目流程、内容和应用

Fri, 15 Nov 2024 09:44:26 +0800

风评项目工作流程

前期准备、方案设计论证、方案实施、报告攥写、结果评审与认可

评估实施过程中不要更改设置或备份系统数据配置，参加实施需要获得授权并经领导签字。

ICT供应链安全威胁识别

ict-信息与通信技术

华为就是供应链不可控，被别人断供了不是。

人工智能安全风险分析

§17.1_应急响应分类与内容

Fri, 15 Nov 2024 09:44:26 +0800

监测、预警、分析、响应、恢复

积极预防、及时发现、快速响应、力保恢复

概述

监测预警和信息通报制度、按规定报送网络安全监测预警信息。如阿里云事件，违规报送。

风险评估和应急工作机制，指定应急预案

对网络事件调查评估消除隐患

组织建立|工作机制

应急领导组和应急技术支撑组。

安全事件分级

事件类型与分级：1特别严重、2严重、3较严重、4一定影响，共四级。

网络安全相关部门：网信办、保密局（涉密系统）、网安（等保、公共场所网络检查、网警）、工信部网络安全管理局……

应急响应预案

级别高的一般是指导意见、部门级的一般是操作规程。

应急响应参考模板

应急预案参考文档：

网络设备硬件故障一般是用vrrp和堆叠实现高可用，不是冷备……

用防火墙封ip或断网线。

背如何处置，可能会出大题。

UPS支持多长时间需要看具体配置多少，UPS只保障一个小时有点夸张了。

§17.2_应急事件场景与处理流程

Fri, 15 Nov 2024 09:44:26 +0800

网络攻击：安全设备、打补丁、应用策略的限制

针对网站：waf不仅抵御端口扫描，还能抵御应用&系统漏洞和暴力破解等扫描。

常见应急场景

应急响应处理流程

安全事件报警可能来自行业通报和安全设备报警，会存在误报情况，因此需要进行确认是否启用应急预案。

安全事件处理至少两个人参加。

应急演练-模拟响应

桌面应急演练就是纸上谈兵推演应急决策和现场处置过程。

检验性的，检验应急预案的可行性、应急准备的充分性、应急机制的协调性，相关人员的应急处置能力。

§17.3_应急响应技术_容灾标准

Fri, 15 Nov 2024 09:44:26 +0800

防火墙就是实现访问控制的一个重要设备

应急响应技术：访问控制、网络安全评估、系统恢复、网络安全监测、入侵取证。

应急响应技术分类

容灾恢复

GB/T 20988-2007

第一级基本支持要求每周做一次完全数据备份，并且备份介质场外存放。

第五级-远程镜像关键数据实时复制到备份场地，远程数据复制。备用网络具备自动或集中切换能力。

入侵取证过程

取证设备具备法律效力需要经过认证，保证证据不被篡改。

应用案例

【其实是阿里云分包给合作商处理。

类似的华为的服务商叫集成服务伙伴ASP（Application Service Provider）】

如何在网络设备上封堵445端口

该案例中，华为使用策略路由方式，思科和锐捷使用了普通的ACL

eq 445 就是对445执行

permit ip就是允许所有ip

acl、流分类、流行为、流分类、接口层应用

书中案例，华为的流行为漏掉了deny行为

思科缺少了在端口处应用。

§18.1_测评_分类、流程、内容

Fri, 15 Nov 2024 09:44:26 +0800

测评包含等级测评、验收测评和风险测评

等保跟风险评估其实差不多。

风险评估在前、风评后整改，然后过等保。

概况

等保测评内容

技术：物理环境、一个中心三重防护

管理：制度、机构、人员、建设、运维

§18.2_评测技术与工具

Fri, 15 Nov 2024 09:44:26 +0800

测评技术和工具-漏扫渗透代码审查协议分析性能测试

测评质量管理-ISO9000-CNAS

§19.1_操作系统安全机制

Fri, 15 Nov 2024 09:44:26 +0800

概念、目标和需求

操作系统的这个分级其实就是等保的分级。

用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。

安全机制

标识鉴别、访问控制、系统资源安全、网络安全、抗攻击、自身安全。

可信路径-建立安全通信-不要用Telnet&HTTP这类明文服务。

§19.2_Windows安全机制与防护

Fri, 15 Nov 2024 09:44:26 +0800

安全机制

EFS是Windows上的文件加密，使用对称加密算法。

关于EFS&Bitlocker

Encrypting File System (EFS) 在多个版本的 Windows 操作系统上可用，具体如下：

点击展开详情

支持 EFS 的 Windows 版本

Windows 2000 Professional
EFS 是在 Windows 2000 中首次引入的。
Windows XP Professional
EFS 在 Windows XP Professional 中可用，但不支持家庭版。
Windows Vista
所有版本的 Windows Vista（包括家庭版）均支持 EFS。
Windows 7
EFS 在 Windows 7 Professional、Enterprise 和 Ultimate 版本中可用，但家庭版不支持。
Windows 8 和 8.1
EFS 在 Windows 8 和 8.1 Pro、Enterprise 版本中可用。
Windows 10
EFS 在 Windows 10 Professional、Enterprise 和 Education 版本中可用，但家庭版不支持。

§19.3_Unix_Linux_国产系统_安全分析与防护

Fri, 15 Nov 2024 09:44:26 +0800

Unix/Linux安全分析与防护

单用户：虽然可能有多个账号，但同时只能有一个用户在使用。

多用户：可以有多个用户同时使用主机。

数字 4 、2 和 1 表示读、写、执行权限文件的权限其实是“二进制”三位八进制数

点击展开详情

每个属组的所有的权限都可以用一位八进制数表示，每个数字都代表了不同的权限（权值）。如最高的权限为是7，代表可读，可写，可执行。

故如果我们将每个属组的权限都用八进制数表示，则文件的权限可以表示为三位八进制数

rwx = 111 = 7 读写执行

rw- = 110 = 6 读写

r-x = 101 = 5 读执行

r– = 100 = 4 读

-wx = 011 = 3 写执行

-w- = 010 = 2 写

–x = 001 = 1 执行

— = 000 = 0 无权限

安全增强

开机保护口令在bios上实现，防止通过u盘PE启动系统。（但如果把硬盘拆出换个硬盘仍可访问硬盘，除非设置硬盘全盘加密）

linux检查文件哈希

在 Linux 中，你可以使用以下命令来计算文件的哈希值：

§1密码应用基础知识

Fri, 15 Nov 2024 09:44:26 +0800

密码应用基础知识

密码与信息安全

信息安全三要素（CIA）

机密性(Confidentiality)：保证机密信息在传输、存储和使用过程中不被未授权的第三方进行窃听，或窃听者无法了解信息的真实含义。

完整性(Integrity)：确保收到的数据和对方所发出的信息完全一样，防止数据在传输或存储过程中被非法篡改。

可用性(Availability)：保证合法用户对信息和资源的使用不会被不正当地拒绝。

除CIA外，还有一些属性也是要求达到的，如可控性(Controllability)和可追溯性(Traceability)等。

密码的含义

密码 (cipher) ：原始信息（称为明文）按指定規则（称为算法）转换（此过程称为加密）为使非授权者无法了解的特定符号，这些转换而来的符号（称为密文），必须具有已授权者可以恢复（此过程称为解密）的特性；所谓已授权是指它合法地拥有了可以解密密文的关键信息（称为密钥）。——密码学定义

密码 (cipher) ：是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。按照所保护信息的不同分为商用密码（不涉及国家秘密）、普通密码和核心密码（涉及国家秘密）。——《中华人民共和国密码法》

密码 (Password)：即口令、暗语等，用于认证用途的一组文字或字符。——日常用语

密码的功能

功能范畴	功能	含义
加密保护	机密性(Confidentiality)	也称保密性，指确保信息不会泄露给未经授权的个人、计算机和其他实体的性质。
	完整性(Integrity)	指确保信息不会遭遇未经授权篡改或破坏的性质。
安全认证	真实性(Authenticity)	指确保主体或资源的身份是所声称身份的特性，真实性适用于诸如用户、过程、系统和信息这样的实体。
	不可否认性(Non-repudiation)	也称抗抵赖性，确保网络信息系统的信息交互过程中参与者不能否认或抵赖曾经完成的操作。

密码与信息安全的关系

密码是保障网络与信息安全的核心技术和基础支撑：是解决网络与信息安全问题最有效、最可靠、最经济的手段；它就像网络空间的 DNA ，是构筑网络信息系统免疫体系和网络信任体系的基石，是保护党和国家根本利益的战略性资源，是国之重器。

信息安全不能全靠密码技术：信息安全是数学、计算机科学、电子与通信、密码学的交叉学科。除密码技术外，灾备技术、审计技术、物理安全、通信技术、安全管理等也是非常重要的信息安全技术。

密码算法基础

对称密码体制

基本原理：加密和解密使用相同的密钥。
工作流程：

在数据发送前，双方先通过安全通道交换共同的密钥；
发送方使用对称密码算法和密钥加密明文后生成密文；
密文在不安全的信道上传输；
接收方收到密文后，使用相同的算法的逆过程和相同的密钥解密密文，得到明文。

对称密码体制——流密码算法（Stream cipher）

基本原理：将明文信息按字符（具体是二进制位）逐位地加密的一类密码学算法。
实现：例如数学上的异或（XOR、⊕）操作提供了一种极好的方案：相同为假（0）、相异为真（1）。

0 ⊕ 0 = 0
0 ⊕ 1 = 1
1 ⊕ 0 = 1
1 ⊕ 1 = 0

§20.1_数据库安全机制与技术

Fri, 15 Nov 2024 09:44:26 +0800

CIA 机密性完整性可用性

管理安全、数据安全、应用安全、运行安全

概况

授权的误用，例如金盾OA糟糕的数据管理。

安全威胁

数据库安全隐患

1.数据库用户账号和密码隐患。默认密码/复杂度不满足要求/未定期更换

2.数据库系统扩展存储过程隐患。 [缓存/索引等] 数据未全部可控

3.数据库系统软件和应用程序漏洞。

4.数据库系统权限分配隐患。未最小权限划分

5.数据库系统用户安全意识薄弱。加强管理和培训

6.网络通信内容是明文传递。使用SSL/TLS加密

7.数据库系统安全机制不健全。升级软件/从管理层面下手。

安全机制与实现技术

传输安全&存储安全

数据库加密

数据存储加密

点击展开详情

数据库的加密方式通常分为库内加密和库外加密。下面我们详细讲解这两种方式的实现原理、优缺点和适用场景。

1. 库内加密（In-Database Encryption）

库内加密是指直接在数据库中进行加密和解密操作。它通常通过数据库系统自带的加密功能或者用户自定义的加密方案来实现，数据在存入数据库之前就已经加密，查询时解密。库内加密主要包括透明数据加密（TDE）和字段级加密。

a. 透明数据加密（Transparent Data Encryption, TDE）

TDE是一种广泛应用的库内加密方式，旨在保护存储在物理数据库中的数据。它的特点是对用户和应用透明，通常不需要对应用代码进行改动。TDE在存储层加密数据库文件或表空间，解密则发生在数据从存储中读取时。

实现步骤：

设置加密密钥：生成或指定主密钥（Master Key），该密钥用于保护数据库加密密钥。
创建证书：基于主密钥生成一个证书，后续用于解密加密密钥。
应用TDE加密：启用TDE后，数据库文件会被加密，所有的数据文件、日志文件也会随之加密。

优缺点：

优点：对用户和应用透明，加密过程自动化。
缺点：不能加密特定的字段或行；对于数据查询操作没有加密保护。

b. 字段级加密（Column-Level Encryption）

字段级加密是在数据库层面通过特定算法（如AES、DES）对指定列加密。这样可以保护更敏感的列，比如密码、信用卡信息等。

实现步骤：

选择加密算法：决定加密方式，如对称或非对称加密。
设置密钥管理：密钥可以存储在数据库外部的密钥管理系统中，以提高安全性。
加密字段数据：插入或更新数据时调用加密函数。
查询解密：读取数据时调用解密函数，确保数据是以明文形式呈现给用户。

优缺点：

优点：更精细地控制加密对象，保护特定字段。
缺点：需要在应用中处理加密/解密函数，对性能有一定影响。

适用场景

库内加密适合希望利用数据库自身加密功能，并且对性能要求不极高的场景。适合需要对数据本身提供基本保护，但不涉及复杂的密钥管理的情况。

2. 库外加密（External Database Encryption）

库外加密是指在数据库系统之外，通过应用程序层或外部工具对数据进行加密和解密，数据库存储的是已经加密的数据。这种方式的灵活性较高，适合更复杂的业务需求。

a. 应用层加密（Application-Level Encryption）

在应用层加密中，加密和解密工作由应用程序负责。这种加密方式可以对特定的数据进行更加灵活的控制，用户可以对敏感信息进行不同层级的加密。

§20.2_Oracle_Mysql_Ms_Sql

Fri, 15 Nov 2024 09:44:26 +0800

Oracle

oralce是tns协议

MS SQL

备份-恢复

MySQL

国产数据库

§21.1_网络设备路由器_交换机

Fri, 15 Nov 2024 09:44:26 +0800

MAC地址表：

MAC地址 | 端口 | VLAN

MAC地址泛洪其实就是一种DOS攻击。

ARP表（支持IP的设备都有）：

MAC地址 | IP地址 | 注释【动态(ARP）、静态(手动添加)】

Windows下查询命令：arp -a

路由表：

Windows下查询命令：route print 或 netstat -r

交换机

协议本质上是个软件。

三层交换机也有路由协议……

路由器

§21.2_网络设备认证与访问控制

Fri, 15 Nov 2024 09:44:26 +0800

思科与华为是有命令语法的差异的，需要学习掌握一下。

认证机制

TACACS+ （思科私有协议），RADIUS 通过网络认证，便于对数量众多的设备进行统一密钥管理。

TACACS+具体工作流程

TACACS+（Terminal Access Controller Access-Control System Plus）是一种网络协议，主要用于实现对网络设备和服务的集中化认证、授权和审计。以下是关于TACACS+的详细介绍：

1. 基本概念

定义：TACACS+ 是一种基于 TCP 的协议，允许用户对网络设备进行身份验证、权限控制和审计日志记录。
工作原理：用户通过终端访问网络设备（如路由器、交换机等），TACACS+ 服务器验证用户身份并决定其访问权限。

2. 组成部分

客户端：通常是网络设备或终端用户。
TACACS+ 服务器：负责处理身份验证请求、授权检查和生成审计日志。
数据库：可以是本地数据库或远程数据库，存储用户的身份信息和访问权限。

3. 特性

身份验证：TACACS+ 支持多种身份验证机制，包括用户名/密码、令牌等。
授权：根据用户的角色和权限，控制用户能够执行的命令和访问的资源。
审计：记录用户的访问行为和命令执行情况，以便进行安全审计。
加密：与传统的 TACACS 相比，TACACS+ 在通信过程中对数据进行了加密，确保信息的安全性。

4. 工作流程

用户通过终端输入用户名和密码。
网络设备将身份验证请求发送到 TACACS+ 服务器。
TACACS+ 服务器验证用户身份，返回验证结果。
如果通过验证，服务器将返回用户的权限信息。
网络设备根据权限信息控制用户的访问。

5. 优势

安全性高：通过加密保护用户凭证和命令。
灵活性：支持不同的身份验证方法和策略。
集中管理：便于在多个网络设备中集中管理用户身份和权限。

6. 应用场景

企业网络：大中型企业使用 TACACS+ 管理和控制员工对网络设备的访问。
数据中心：为数据中心提供安全的身份验证和授权机制。

7. 与其他协议的比较

RADIUS：TACACS+ 和 RADIUS 都用于网络身份验证，但 TACACS+ 更加专注于设备管理和命令授权，而 RADIUS 通常用于网络访问控制。
TACACS：TACACS+ 是 TACACS 的改进版，提供了更好的安全性和功能。

8. 配置示例

在 Cisco 设备上，配置 TACACS+ 服务器的基本步骤如下：

§21.3_网络设备加固

Fri, 15 Nov 2024 09:44:26 +0800

交换机增强安全

设置访问控制和ACL

设置镜像监听网络流量

交换机

路由器

SNMP（Simple Network Management Protocol，简单网络管理协议）是一种用于管理网络设备（如路由器、交换机、服务器等）并收集它们运行信息的协议。通过SNMP，网络管理员可以监控设备的性能、检测问题并进行远程管理。

点击展开详情

SNMP的主要功能

数据收集：SNMP可以采集设备的状态、流量、CPU利用率、内存占用等信息。
故障检测：通过设置告警阈值，SNMP可以在设备发生故障时触发通知或警报。
设备管理：SNMP支持远程配置和管理设备，从而帮助管理员高效地监控和控制网络。

SNMP的工作原理

SNMP使用**管理信息库（MIB）**存储网络设备的信息。每个MIB中都有设备的详细数据项（如接口状态、流量数据等），这些项通过唯一的标识符OID（Object Identifier）来访问。

SNMP的三种主要操作

Get：获取设备的特定信息。
Set：更改设备配置。
Trap：设备主动向管理系统发送的异常或告警信息。

如果你在配置或管理路由器时看到SNMP选项，它主要用于网络管理系统（NMS）连接设备，进行统一管理。

常见漏洞

漏洞解决方法

一定要写出来三五点才能得分！！！！！

§22.1_Web安全_威胁与需求分析

Fri, 15 Nov 2024 09:44:26 +0800

§22.2_Apache安全分析与加固

Fri, 15 Nov 2024 09:44:26 +0800

概述

安全威胁

开发隐患-配置管理隐患-安全配置隐患-黑客攻击威胁-网络通信威胁-内容威胁-可用性威胁

安全机制

加固

§22.3_IIS安全分析与加固

Fri, 15 Nov 2024 09:44:26 +0800

IIS可以提供WEB（80、443）、SMTP（25）、FTP（21、20 | TCP端口）服务，

§22.4_Web应用漏洞_分析与防护

Fri, 15 Nov 2024 09:44:26 +0800

技术漏洞、业务逻辑漏洞

② 用户找回密码缺陷，例如，用户找回密码，需要输入手机号接收验证码，而没有校验这个手机号，随便输入一个手机号就能改密码。恶意访问、黑灰产等威胁……

DWASP TOP10

隐藏详细的错误信息，禁用目录列表，隐藏版本号，尽量少的暴露安全策略信息。

SQL注入

给应用程序最小化权限，对用户输入内容进行过滤。

部署数据库审计系统。屏蔽掉错误信息的详细内容。对开源程序进行改造，避免默认的表结构被攻击。

文件上传漏洞

跨站脚本攻击XSS

解决跨站：检查用户输入、

§22.5_网站安全保护机制与加固

Fri, 15 Nov 2024 09:44:26 +0800

机制与技术解决方案

WAF

网站加固

WAF、漏扫、hash校验

案例

⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐

§23.1云计算概念与需求分析

Fri, 15 Nov 2024 09:44:26 +0800

等保2.0：云计算、大数据、物联网、移动应用、工控系统

概念

从买设备到买服务（租用设备和运维服务）

服务类型

安全分析

端、管、云三层

这个里面说的云终端其实就是管理云计算服务的本地终端设备。

云计算中心的中心化管理容易引发连锁性的可用性危机。

安全要求

传统的计算平台安全其实类似等保的要求。

物理环境、通信网络、区域边界、计算环境、安全管理中心

安全需求

§23.2_云计算安全机制与案例分析

Fri, 15 Nov 2024 09:44:26 +0800

等保框架

上面这个表其实是等保1.0的内容。

Kerberos底层用于数据加密的算法主要是对称加密算法，如AES（高级加密标准）和DES（数据加密标准）。

绝大部分厂商的云平台是基于Openstack开发

安全机制

OpenStack是一个开源的云计算管理平台，用于构建和管理公共云和私有云。它提供了一套强大的工具和服务，允许用户以虚拟化的方式管理计算资源、存储、网络等。以下是OpenStack的一些关键特点：

点击展开详情

模块化架构：OpenStack由多个组件组成，如Nova（计算）、Cinder（块存储）、Neutron（网络）、Glance（镜像服务）、Horizon（仪表板）等，这些组件可以根据需求进行组合和扩展。
可扩展性：OpenStack可以通过增加硬件资源来扩展云环境，支持大规模的虚拟机部署和管理。
多租户支持：它支持多租户架构，允许不同用户和团队在同一云环境中独立运行，确保数据隔离和安全性。
开放性和社区支持：作为一个开源项目，OpenStack拥有活跃的社区支持，用户可以自由地使用、修改和分发其代码。
API驱动：OpenStack提供了RESTful API，允许开发人员通过编程接口与云环境进行交互，简化了资源管理和自动化操作。

OpenStack适合需要灵活和可扩展云计算解决方案的企业和组织。你对OpenStack的特定功能或应用有兴趣吗？

制度上墙机制即把制度打印出来挂墙上

管理与运维

现在还有双活数据中心，不仅备份还可以起到负载均衡的作用。

案例分析

好的，让我们更深入地探讨加密机的工作原理和部署方式。

点击展开详情

加密机的工作原理

加密算法
对称加密：
使用同一密钥进行加密和解密。常见算法包括AES（高级加密标准）、DES（数据加密标准）。
优势：加密和解密速度快，适合大数据量的处理。
劣势：密钥管理复杂，密钥泄露会导致安全风险。
非对称加密：
使用公钥和私钥，公钥加密的数据只能用对应的私钥解密。常见算法包括RSA、ECC（椭圆曲线加密）。
优势：安全性高，适合在不安全的网络中传输密钥。
劣势：加密和解密速度较慢，通常用于小数据量的加密（如密钥交换）。
哈希算法：
将输入数据转换为固定长度的哈希值（如SHA-256）。哈希函数是单向的，不能从哈希值恢复原始数据。
主要用于数据完整性校验和存储密码。
密钥管理
加密机负责密钥的生成、存储和分发。良好的密钥管理策略包括：
密钥生命周期管理：包括密钥生成、使用、存储、轮换和销毁。
访问控制：确保只有授权用户可以访问和使用密钥。
审计和监控：记录密钥的使用情况，以便进行合规审计和风险评估。
数据处理
加密机可以进行流加密和块加密：
流加密：数据以流的形式逐位加密，适合实时通信。
块加密：将数据分成固定大小的块进行加密，适合文件和数据库的加密。

加密机的部署方式

硬件加密机
作为独立设备部署，连接到网络中的服务器、路由器或交换机。
特点：
提供高性能和低延迟的加密服务。
通常具有专门的处理器（如FPGA或ASIC），优化了加密和解密操作。
示例：HSM（硬件安全模块）通常用于金融机构，支持PKI（公钥基础设施）和SSL/TLS协议。
软件加密解决方案
在现有服务器上运行加密软件。
特点：
部署灵活，适合中小型企业。
成本较低，但性能受限于服务器硬件。
示例：使用OpenSSL库进行数据加密。

§24.1_工控系统（Ics）

Fri, 15 Nov 2024 09:44:26 +0800

ICS包括SCADA（数采&监控，由RTU&MTU和网络组成）、DCS（分布式控制）、PCS（过程控制）、PLC（可编程逻辑控制器）、RTU（远程终端）、MTU（主终端设备）、数控系统。

工业控制系统网络（ICS网络）和以太网之间的主要区别如下：

点击展开详情

设计目的：
以太网：最初设计用于计算机网络，主要用于数据传输，强调灵活性和高带宽，适合一般数据通信。
工业控制系统网络：专门为工业环境中的控制和监测设计，强调实时性、可靠性和稳定性，以支持工业设备的控制和自动化。
通信协议：
以太网：使用标准的TCP/IP协议族，适合广泛的应用，灵活性高，但可能不满足某些实时性要求。Modbus TCP可以在以太网传输。
ICS网络：通常使用专门的协议**（如Modbus、PROFIBUS、DNP3等）**，这些协议优化了实时数据传输和设备间的直接通信。
实时性：
以太网：虽然有实时以太网技术（如EtherCAT、TSN），但在传统以太网中，实时性可能不足以满足工业控制的需求。
ICS网络：设计时充分考虑实时性，确保控制指令和数据反馈在严格的时间限制内传输。
环境适应性：
以太网：通常在办公室或数据中心等相对干燥、安全的环境中运行。
ICS网络：必须在恶劣的工业环境中运行，具备抗干扰、抗震动和耐高温等特性。
安全性：
以太网：虽然也面临安全挑战，但其安全机制主要针对信息系统。
ICS网络：安全性设计上更加注重防止物理设备受到攻击，以保护设备的稳定性和安全性。

总结来说，ICS网络专注于工业应用中的控制和监测，具备更高的实时性、可靠性和适应性，而以太网则是通用的数据传输网络。

概念及组成

以太网是有线局域网（Wired LAN），但不是所有局域网都使用以太网技术，局域网还可以使用无线网技术和令牌环网技术构建。

https://zh.wikipedia.org/wiki/%E8%AE%A1%E7%AE%97%E6%9C%BA%E7%BD%91%E7%BB%9C

以太网和互联网是两个不同的概念，它们在功能和层次上有明显的区别：

点击展开详情

定义：
以太网：是一种局域网（LAN）技术，主要用于连接同一网络中的计算机和设备，以实现数据传输。以太网使用有线连接（如光纤、双绞线）和特定的协议（如IEEE 802.3）来进行数据通信。
互联网：是一个全球范围的网络，由无数个互相连接的局域网和广域网组成。它使用一系列标准协议（如TCP/IP）来实现全球范围内的数据交换和通信。
范围：
以太网：通常用于局域网环境，例如办公室、学校或家庭网络，范围相对较小。
互联网：覆盖全球，可以连接不同国家和地区的计算机和网络，范围广泛。
功能：
以太网：负责在同一网络内的设备之间传输数据，提供物理和链路层的通信。
互联网：提供网络层及以上的服务，使不同的网络能够互联，支持各种应用，如网页浏览、电子邮件、在线游戏等。
设备：
以太网：需要网络交换机、路由器等设备来构建局域网。
互联网：依赖于更复杂的基础设施，包括骨干网络、ISP（互联网服务提供商）、路由器和服务器等。

总的来说，以太网是互联网的基础构建块之一，专注于局部区域的通信，而互联网则是一个广泛的网络系统，连接了全球的计算机和网络。

以太网通常是指有线局域网（Wired LAN）技术（令牌环网也是有线局域网）。它使用电缆（如双绞线、光纤等）来连接网络中的设备，以实现数据传输。以太网以其高可靠性和稳定性广泛应用于办公室、学校和数据中心等场景。以太网和局域网（LAN）之间的区别主要体现在以下几个方面：

点击展开详情

定义：
以太网：是一种具体的网络协议和技术，用于实现设备之间的数据通信。它规定了数据如何在物理媒介上进行传输（如电缆、光纤）以及数据帧的格式。
局域网（LAN）：是一个更广泛的概念，指的是在相对小的地理范围内（如家庭、办公室、学校）连接的一组计算机和设备。LAN可以使用多种技术，包括以太网、Wi-Fi等。
技术 vs. 网络类型：
以太网：特指一种协议（IEEE 802.3）及其实现，主要用于局域网。
局域网：是一个网络类型，可以基于多种技术（包括以太网、Wi-Fi、令牌环等）来建立。
功能：
以太网：负责数据的物理传输，主要涉及物理层和数据链路层的通信。
局域网：提供设备之间的连接与通信，允许共享资源（如打印机、文件等），并可以实现更高层次的网络服务。
应用场景：
以太网：适用于需要稳定、高速连接的场景，常用于办公室或数据中心。
局域网：用于各种小范围的网络应用，包括家庭网络、学校网络、企业网络等。

总结来说，以太网是一种实现局域网的技术，局域网则是一个更广泛的网络概念，包含了多种可能的技术。所有使用以太网技术的网络都是局域网，但并不是所有局域网都必须使用以太网技术。局域网还可以使用其他技术，如Wi-Fi（无线局域网）、令牌环等。

令牌环网和以太网都是局域网（LAN）技术，确实都可以使用线缆进行连接，但它们在工作原理、网络访问控制和拓扑结构等方面存在显著区别：

点击展开详情

工作原理：
令牌环网：使用“令牌”机制来控制网络访问。网络中只有一个令牌在循环传递，只有持有令牌的设备才能发送数据。这种方式避免了数据碰撞。
以太网：采用冲突检测（CSMA/CD）机制，允许任何设备在网络空闲时发送数据。如果两个设备同时发送数据，可能会发生碰撞，设备会检测到碰撞后进行重传。
网络访问控制：
令牌环网：通过令牌的控制，确保每个设备都有公平的机会访问网络，避免了碰撞的发生。

§24.2_工控系统_安全防护机制技术

Fri, 15 Nov 2024 09:44:26 +0800

安全物理环境

安全区域边界

安全计算环境

身份认证与访问控制

边界隔离

远程访问

加固与审计

恶意代码防范

数据安全

工控系统对时效性有较高要求。

安全监测、应急响应

安全管理

安全产品

安装软件前需要在离线环境充分验证测试

案例-电力监控系统

安全分区、网络专用、横向隔离（不同区域）、纵向认证（系统内认证）。

电力监控系统的安全要求可以理解为以下几个方面：

点击展开详情

安全分区：
将系统划分为多个独立的安全区域，以限制不同区域之间的访问。这种分区可以保护关键组件和数据，降低单点故障或攻击对整个系统的影响。
网络专用：
确保电力监控系统使用专用网络，不与公共网络或其他不安全网络相连。这种措施可以减少外部攻击的风险，确保数据传输的安全性和可靠性。
横向隔离：
在网络内部实施横向隔离策略，限制不同设备或系统之间的直接通信。即使某个设备被攻破，攻击者也难以在网络中横向移动，访问其他系统。
纵向认证：
实施严格的身份认证机制，确保用户或设备在访问系统时必须通过多层次的验证。这可以防止未授权访问，确保只有经过验证的用户可以执行特定的操作。

这四个要求共同构成了电力监控系统的安全防护框架，旨在提高系统的整体安全性。

在网络安全中，“横向”和“纵向”通常指的是攻击或防御策略的两个不同维度。

横向攻击（Lateral Movement）：
这种攻击指的是攻击者在成功侵入一个系统后，通过网络或系统内部移动，寻找其他系统或资源。这种方式通常是为了扩展他们的控制权限，获取更多敏感数据或进一步渗透到网络中。
纵向攻击（Vertical Movement）：
纵向攻击是指攻击者在同一系统或账户内提高权限。例如，攻击者可能从一个普通用户的账户开始，利用漏洞或弱点提升到管理员权限。这种方式让攻击者可以对系统进行更高层次的操作。

总的来说，横向和纵向是描述攻击者在网络中的移动和权限提升策略，理解这两者对于制定有效的安全防御措施非常重要。

案例-水厂

监控一体机和工业集中监控管理平台形成了实际上的分布式IDS（Intrusion Detection System，入侵检测系统）

§25_移动应用

Fri, 15 Nov 2024 09:44:26 +0800

移动应用组成

移动应用安全威胁

恶意代码：恶意扣费、隐私窃取、远程控制、欺诈、系统破坏、恶意传播

安卓系统架构

安卓系统安全与保护机制

地址空间布局随机化就是为了防止缓冲区溢出。

文件系统安全就是严格限制文件的ACL权限

IOS系统组成

层次背一下

IOS安全机制

固件（ROM）

安全启动链-对组件和硬件进行完整性校验-例如换第三方内存不给启动。

APP加固

APP安全加固-防反编译、防调试、防篡改、防窃取。

智能卡

§26_大数据

Fri, 15 Nov 2024 09:44:26 +0800

概念

安全威胁

安全需求

保护机制

保护技术

基于角色的访问控制（Role-Based Access Control，RBAC）是一种广泛使用的访问控制机制，允许系统管理员基于用户的角色来管理其访问权限。以下是RBAC的主要特点和工作原理：

点击展开详情

主要特点

角色定义：
角色是系统中用户的身份或职能的集合，例如管理员、普通用户或访客。
每个角色定义了一组特定的权限，确定用户可以执行哪些操作。
用户与角色的关联：
用户被分配一个或多个角色，从而获得与这些角色相关的权限。
这种方法使得权限管理更为简洁，因为用户不需要单独分配每个权限。
权限管理：
权限通常包括读取、写入、删除等操作。
管理员可以轻松地通过修改角色的权限来调整用户的访问能力。
分离职责：
RBAC可以通过创建不同的角色来实现分离职责，减少错误和安全风险。例如，确保同一个人无法同时负责系统的开发和审批。

工作原理

角色创建：
系统管理员根据组织的需求创建不同的角色，并为每个角色分配相应的权限。
用户分配角色：
在用户注册或管理过程中，将用户与相应的角色关联起来。
权限检查：
当用户尝试访问某个资源时，系统会检查用户的角色和角色所拥有的权限，以决定是否允许访问。

优点

简化管理：通过角色管理权限，减少了单独管理每个用户的复杂性。
增强安全性：通过分离职责和最小权限原则，减少潜在的安全风险。
易于审计：角色和权限的定义使得审计和合规性检查更加容易。

应用场景

RBAC广泛应用于企业信息系统、数据库管理、网络安全等领域，是保护敏感信息和资源的重要工具。

希望这个介绍能帮助你理解基于角色的访问控制！如果你有具体的应用场景或问题，欢迎提问。

§2测评指导书开发要点和审核要点

Fri, 15 Nov 2024 09:44:26 +0800

作业指导书是现场测评的主要测评工具，主要包括：

安全物理环境作业指导书

安全通信网络作业指导书

安全区域边界作业指导书

安全计算环境作业指导书

安全管理中心作业指导书

安全管理作业指导书

作业指导书开发基本步骤

从《基本要求》中选择“控制点”（测评指标）和“要求项”（测评项）；

从《测评要求》中选择“测评方法”；

结合信息系统实际情况调整“测评方法”；

形成最终作业指导书

作业指导书开发要点和审核要点

对于部分要求项包含多个细分要求的，作业指导书应覆盖全部细分要求，不应出现部分要求测评方法或预期结果缺漏的情况；

测评方法或预期结果需能够完整描述测评对象的安全状态，建议采用“测评方法——具体对象/事项——安全状态描述”的三段式描述；

当某一层面适用多类型对象时，作业指导书应根据不同类型对象分别编制作业指导书；

❗ 比如安全计算环境中，针对不同厂家的设备、不同品牌的数据库、不同类型的操作系统等均应编制不同的作业指导书。

§3测评方案的编制和审核要点

Fri, 15 Nov 2024 09:44:26 +0800

测评方案的编制要点

项目基本信息

编制要点	注意事项
具有被测系统简介	描述主要介绍被测系统基本情况。
具有项目工作目标	描述主要介绍项目的工作目标及测评目的等。
测评依据的标准准确合理	作为测评依据的标准应保证其是最新版，名称和年份注意和最新保持一致。

测评对象描述

编制要点	注意事项
系统定级结果	被测对象名称、安全保护等级、业务信息安全保护等级、系统服务安全保护等级。
业务和采用的技术	被测对象承载的业务和主要功能，以及采用云计算/移动互联/物联网/工业控制/大数据等技术情况。
网络结构	1. 网络拓扑图清晰可辨、安全区域划分清楚，整体结构清晰完整，关键设备信息完；
	2. 如果被测网络结构较为复杂、资产数量较多，可采用总、分图的方式绘制网络拓扑图，也可以结合网络结构描述和资产清单对网络拓扑图进行补充说明；
	3. 网络结构描述要求全面准确，应包括区域的划分和描述、域间的连接和防护、外部连接、无法再拓扑图上描述清楚的内容（如核心交换机双主控、VPN、内置防火墙、双机热备）等。
物理机房	机房名称、物理位置、重要程度。
网络设备	设备名称、是否虚拟设备、系统及版本、品牌及型号、用途、重要程度。
安全设备	设备名称、是否虚拟设备、系统及版本、品牌及型号、用途、重要程度。
服务器	设备名称、所属业务应用系统/平台、是否虚拟设备、操作系统及版本、数据库管理系统及版本、中间件及版本、重要程度。
终端	设备名称、是否虚拟设备、系统及版本、品牌及型号、用途、重要程度。
其他系统或设备	设备名称、是否虚拟设备、系统及版本、品牌及型号、用途、重要程度。
系统管理软件/平台	系统管理软件/平台名称、主要功能、版本、所在设备名称、重要程度。
业务应用系统/平台	业务应用系统/平台名称、主要功能、版本、所在设备名称、重要程度。
数据资源	数据类别（鉴别数据、业务数据、审计数据、配置数据、个人信息等）、所属业务应用、安全防护需求、重要程度。
安全相关人员	姓名、岗位/角色、联系方式、所属单位。
安全管理文档	文档名称、主要内容。
❗适用时	按《信息安全技术网络安全等级保护测评过程指南》（GB/T 28449-2018）附录C“新技术新应用等级测评实施补充”的要求确定特有的测评对象及其相关资产。

测评方法和范围

编制要点	注意事项
测评指标	测评指标选取与被测系级情况相一致，根据测评对象的定级结果选择相应的测评指标，包括安全通用要求指标、安全扩展要求指标、其他安全要求指标。
测评对象选择方法	对不同级别的等级保护对象进行等级测评时，一般采用抽查的方法，并明确抽查原则。
测评对象选择结果	1. 依据《网络安全等级保护测评过程指南》(GB/T 28449-2018）附录D “测评对象确定准则和样例“，选择测评对象及抽样数量。
2. 热备设备要一句抽样原则抽选，不能仅抽选1台。
3. 应结合测评对象的实际数量考察抽样结果，避免由于设备数量不足，抽样数量没有达到抽样要求的情况。
测评方法	依据《网络安全等级保护测评过程指南》(GB/T 28449-2018），等级测评现场实施过程中将综合采用访谈、核查和测试等测评方法。

验证测试

编制要点	注意事项
验证测试工具	主要介绍使用的测试工具情况，如包括工具名称、功能介绍、升级计划（保证规则库处于最新状态）及其系统版本和规则库版本等内容。
漏洞扫描和渗透测试	❗明确测试接入示意图清晰，接入点设置合理，漏洞扫描和渗透测试目标全面。
1. 测试工具的接入采取从外到内，从其他网络到本地网络的逐步逐点接入，即：测试工具从被测定级对象边界外接入、在被测定级对象内部与测评对象不同区域网络及同一网络区域内接入等几种方式；
2. 漏洞扫描和渗透测试目际包括但不限于网络设备、安全设备、操作系统、数据库眚理系应用系中间件、重要终端（如业务应用管理终端、设备运维管理终端）以及新技术新应用相关的特征要素（如移动APP、PLC)等。

安全风险和规避措施

编制要点	注意事项
安全风险揭示	必须有漏洞扫描和渗透测试的风险揭示、规避措施及测评机构在风险意外发生后的应急处理方案。
规避措施	❗应综合利用风险规避手段，合理设计漏洞扫描和渗透测试方案。充分利用风险规避手段开展漏洞扫描和渗透测试，其主要手段包括但不限于：
1.避开业务高峰期，在生产网络资源处于空闲状态时进行漏洞扫描和渗透测试；
2.具备模拟/仿真环境的情况下，确认其于生产环境一致，并在模拟/仿真环境下开展漏洞扫描和渗透测试；
3.非互联网服务的等级保护对象，限于正式的管理要求（如主管部门文件、行业标准等），无法开展漏洞扫描和渗透测试，也不具备模拟/仿真环境的情况下，应由测评委托单位正式声明放弃验证测试（漏洞扫描和渗透测试）。

测评方案的审核要点

测评方案中被测系统和调查对象的实质性内容是否与调查表一致？

“实质性内容不一致”是指测评方案与调查表在调查对象的种类、数量有较大出入；

调查对象的描述有一定调整则不属于实质性内容不一致。

测评方案项目基本信息是否全面准确？

具有被系统简介描述；

具有项目工作目标描述；

测评依据的标准准确合理。

测评方案中抽选的被测对象的信息是否全面准确？

抽选的被测对象信息“全面”指方案中被测对象的类别及信息的描述完整，不能缺失有关信息，测评方案中应包括所有测评对象及相关信息；

方案内容“准确”是指测评方案中填写的内容要反映被抽选对象的实际情况，不能表述模糊、错误，不能应付工作；

针对数据资源，应关注方案中是否合理选取了鉴别数据、重要业务数据、重要审计数据、重要配置数据和重要个人信息等数据对象。

测评方案中漏洞扫描和渗透测试内容合理、全面？

必须有漏洞扫描和渗透测试的风险提示、规避措施及测评机构在风险意外发生后的应急处理方案；

应综合利用风险规避手段，合理设计漏洞扫描和渗透测试方案；若无法开展，应由测评委托单位正式声明放弃验证测试（漏洞扫描和渗透测试）。

方案中应包括工具升级计划，保证规则库处于最新状态；

漏洞扫描和渗透测试接入示意图清晰，且接入点设置合理，漏洞扫描和渗透测试目标全面。

测评方案关键内容是否准确？

测评指标选取与被测系统定级情况相一致；

网络拓扑图绘制规范、网络结构描述清晰准确、网络拓扑图和设备信息基本对应，可以反映出被测设备的基本部署情况；

被测对象的抽选结果满足测评要求。

测评方案是否具有业主方签字确认？

测试方案编制完成后入场前必须要求委托业主方签字。

§4测评报告的编制和审核要点

Fri, 15 Nov 2024 09:44:26 +0800

测评报告模板

网络安全等级测评基本信息表
声明
等级测评结论
等级测评结论扩展表（云计算安全）
等级测评结论扩展表（大数据安全）
总体评价
主要安全问题及整改建议
目录
1 测评项目概述
1.1 测评目的
1.2 测评依据
1.3 测评过程
1.4 报告分发范围
2 被测对象描述
2.1 被测对象概述
2.2 测评指标
2.3 测评对象
3 单项测评结果分析（3.1-3.11子目录结构相同）
3.1 安全物理环境
3.1.1 已有安全控制措施汇总分析
3.1.2 已有安全控制措施汇总分析
3.2 安全通信环境
3.3 安全区域边界
3.4 安全计算环境
3.5 安全管理中心
3.6 安全管理制度
3.7 安全管理机构
3.8 安全管理人员
3.9 安全建设管理
3.10 安全运维管理
3.11 其他安全要求指标
3.12 验证测试
3.12.1 漏洞扫描
3.12.1.1 漏洞扫描结果统计
3.12.1.2 漏洞扫描问题描述
3.12.2 渗透测试
3.12.2.1 渗透测试过程说明
3.12.2.2 渗透测试问题描述
3.13 单项测评小结
3.13.1 控制点符合情况汇总
3.13.2 安全问题汇总
4 整体测评
4.1 安全控制点间安全测评
4.2 区域间安全测评
4.3 整体测评结果汇总
5 安全问题风险分析
6 等级测评结论
7 安全问题整改建议
附录A 被测对象资产
附录B 上次测评问题整改情况说明
附录C 单项测评结果汇总
附录D 单项测评结果记录
附录E 漏洞扫描结果记录
附录F 渗透测试结果记录
附录G 威胁列表
附录H 云计算平台测评及整改情况
附录I 大数据平台测评及整改情况

0-常见设备默认账号密码

Fri, 15 Nov 2024 09:44:26 +0800

天融信日志审计

密码重置脚本位置 %APPLOCAL%\TopsecServer\TopAnalyzer\app-server\server\bin\reset_admin_password.bat

需要通过 CMD 用代码来运行这个 reset_admin_password.bat

重置的是超级管理员 admin 的密码，会重置为默认密码：talent123

01、等保2.0_Oracle数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、Oracle介绍

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。

本次安装环境为Windows10专业版操作系统，数据库版本为11.2.0.1，单机部署过程比较简单就不在此进行讲解。本文针对Oracle 11g等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）登录Oracle检查是否采用用户名和口令登录。
2）执行命令：

(1)密码有效期：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_LIFE_TIME’;”

(2)密码失效后锁定时间：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_REUSE_TIME’;”

(3)失效后保留次数：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_REUSE_MAX’;”

(4)失效后密码保留时间：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_GRACE_TIME’;”

(5)复杂度：“select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_VERIFY_FUNCTION’;”

查看输出结果：

如果为null表示未设置。

如果不为null,其中：
PASSWORD_LOGIN_ATTEMPTS = 登录尝试次数；
PASSWORD_LIFE_TIME = 设置口令有效期；
PASSWORD_ROUSE_MAX =设置重新启用一个先前用过的口令前必须对该口令进行重新设置的次数（重复用的次数）;
PASSWORD_VERIFY_FUNCITON =设置口令复杂度校验函数；
PASSWORD_GRACE_TIME=口令修改的宽限期天数，一般为7天；

备注：

“PASSWORD_VERIFY_FUNCTION”的Profile字段值为Default，某用户要使用Default的相关配置，就要设置DBA_USERS表中的Profile字段值为Default。

“PASSWORD_VERIFY_FUNCTION”表示该函数对口令进行校验，默认值是null，即不使用任何函数对口令进行校验。

3)执行命令：“Select username，account_status from dba_users;”查看用户名信息是否唯一：

01、网络安全区域设置访问控制安全策略原则

Fri, 15 Nov 2024 09:44:26 +0800

一、完善安全策略管理流程

第一、与业务部门相关人员确认访问哪些服务、端口或应用

第二、从哪里访问（通常是指某个子网，如果是从服务器侧发起访问，需要指定具体IP地址）

第三、新增安全策略的用途和目的

第四、设置安全策略的有效期

二、使用安全区域划分网络

安全区域越多，网络访问控制越精确，网络越安全。但是管理复杂度也会相应提高。

**第一、对于彼此之间没有交互的系统，不要将它们置于同一子网中。**否则，攻击者只要突破外围防御措施，就可以更轻松地访问所有内容。

**第二、把具有相同安全级别的设备和业务资源部署在同一个安全区域中。**根据安全区域来为设备分配地址。地址集可以反映出网络分段情况，也意味着具有相同业务属性和安全等级的一组设备。在安全策略中使用地址集，可以使安全策略更易理解，简化安全策略的管理。

**第三、对于需要交互的不同安全等级的系统，请部署在不同安全区域，并开放严格的安全策略。**例如，所有对外提供服务的服务器（如Web服务器、邮件服务器）应该部署在一个专用区域（通常为DMZ），不应该被外网直接访问的服务器（如数据库）必须部署在内部服务器区。

各安全区域之间都应针对自身业务特点设定访问控制策略，可参考以下原则设置安全策略：

	核心交换区	DMZ区	移动互联网接入区	专网接入区	共享交换区	安全管理区	业务服务器区	业务终端区
核心交换区	-	互通	互通	互通	互通	互通	互通	互通
DMZ区	互通	-	互通	互通	禁止	禁止	禁止	禁止
移动互联网接入区	互通	互通	-	禁止	禁止	禁止	互通	互通
专网接入区	互通	互通	禁止	-	互通	互通	禁止	禁止
共享交换区	互通	禁止	禁止	互通	-	禁止	禁止	互通
安全管理区	互通	禁止	禁止	互通	禁止	-	互通	互通
业务服务器区	互通	禁止	互通	禁止	禁止	互通	-	互通
业务终端区	互通	禁止	互通	禁止	互通	互通	互通	-

三、安全策略遵循最小化原则

防火墙默认禁止所有的域间流量，所有未明确允许的流量都被禁止。这是在防火墙上落实最小授权原则的基础。在此基础上，仅为合法流量开放安全策略，可以有效减小攻击面。

02、等保2.0Tas中间件测评

Fri, 15 Nov 2024 09:44:26 +0800

TAS管理控制台是应用服务器提供的图形化管理工具，它允许管理员通过Web方式管理服务、应用程序、监控程序、用户信息等。TAS控制台是一个标准的servlet3.0规范的web应用,基于SpringBoot2.1研发。运行环境依赖JDK1.8+，TAS2+。控制台并非TAS的核心功能，即使没有控制台也不会影响TAS任何功能的使用，安装时根据需要选择是否安装。

在Windows操作系统下，也可以选择开始菜单中的“Access TAS Console”菜单，访问TAS管理控制台。默认账号为tas2admin，密码为tusc@999。

安装TAS后可以通过：

（1）http://[ip]:[port]/tas-console，其中port为安装TAS时输入的端口，默认8080；

（2）http://[ip]:8888/tas-console进行访问。

TAS对HTTPS的支持，默认附带一个证书，如果用户需要上传自己的证书，可以将证书上传到TAS安装目录/etc目录内，之后在服务器设置 -> 服务器模块配置页面打开HTTP模块，重启TAS中间件其余配置可以访问TAS列表内的通道设置进行配置。

登录界面如下：

默认实现三权分离，其中系统管理员：tas2admin，安全管理员：tas2security，审计管理员：tas2auditor。

(一)身份鉴别

单点登录提示如下：

用户名密码输入错误超过5次后（次数可配置），账户会进行锁定，需要联系安全保密管理员进行解锁。

安全保密管理员的用户名密码输入错误超过5次后，会锁定用户30分钟（时间可配置）

安全策略页面可以对用户登录时使用的密码强度进行设置，用户可以在此页面设置登录密码长度、登录密码组合、连续登录失败次数、登录锁定时间和用户密码有效时间。

TAS控制台使用默认密码登录后，必须进行修改后才能继续使用。

用户密码超过一定时间没有修改的话，建议进行修改后才能继续使用

(一)访问控制

TAS控制台安装后默认会自带三个账号：

l系统管理员：tas2admin

l 安全保密管理员：tas2security

l安全审计员：tas2auditor

他们分别对应了TAS的三种角色和权限，系统管理员负责管理和维护中间件，它还可以创建新的用户。安全保密管理员负责给新创建的用户赋权，配置用户登录时的安全策略。安全审计员负责对审计所有用户对服务器的操作记录。

登录地址限制

“访问控制”操作项打开本页面，在这里可以看到访问控制列表项，用于限制访问到tas的IP。

日志审计

点击列表日志设置，进入设置页面，在这里可以对服务器的日志进行设置，可设置的参数有：

日志文件名称：TAS输出的文件名称，可以对路径进行设置

日志格式：日志文件内日志的输出格式

日志轮转文件名：日志轮转时的文件命名规则

单个文件最大值：单个日志文件保留的最大值

文件保留最大历史：单个日志文件保留的最大历史

总文件最大值：日志文件总数的最大值

日志级别配置：日志输出的级别控制

异步日志：日志的异步输出

用户设置之后点击进行保存，保存的配置将会存入tas安装目录/resource/logback.xml文件内。

点击监控下的“日志查看”可进入日志查看页面，点击日志，右侧实时输出日志可供查看，点击日志后面的“下载”可对日志进行保存。

审计管理员查看用户对中间件的操作日志，同时可以根据条件过滤日志内容。审计日志轮询配置：用户可修改位置文件：/opt/TAS/conf/audit.conf文件，maxFileCount：文件最大保留数，超过将会进行覆盖。默认值15，取值范围5-20；singleFileSize：单个文件最大值，超过将会产生新的文件，单位MB。默认值50，取值范围10-100。

02、思科网络设备安全配置命

Fri, 15 Nov 2024 09:44:26 +0800

一、交换机访问控制安全配置

01、对交换机特权模式设置密码尽量采用加密和md5 hash方式

switch(config)#enable secret 5 pass_string

其中 0 Specifies an UNENCRYPTED password will follow

5 Specifies an ENCRYPTED secret will follow

建议不要采用enable password pass_sting密码

02、设置对交换机明文密码自动进行加密隐藏

switch(config)#service password-encryption

03、为提高交换机管理的灵活性，建议权限分级管理并建立多用户

switch(config)#enable secret level 7 5 pass_string7 /7级用户进入特权模式的密码

switch(config)#enable secret 5 pass_string15 /15级用户进入特权模式的密码

switch(config)#username userA privilege 7 secret 5 pass_userA

switch(config)#username userB privilege 15 secret 5 pass_userB

/为7级，15级用户设置用户名和密码，Cisco privilege level分为0-15级，级别越高权限越大

switch(config)#privilege exec level 7 commands

04、本地console口访问安全配置

switch(config)#line console 0

switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒

03、Linux安装软件的几种方法

Fri, 15 Nov 2024 09:44:26 +0800

一、rpm包安装方式步骤：

01、找到相应的软件包，比如soft.version.rpm，下载到本机某个目录；

02、打开一个终端，su -成root用户；

03、cd soft.version.rpm所在的目录；

04、输入rpm -ivh soft.version.rpm

详细介绍：

1. 安装：

我只需简单的一句话，就可以说完。执行：
rpm –ivh rpm的软件包名
更高级的，请见下表：
rpm参数参数说明
-i 安装软件
-t 测试安装，不是真的安装
-p 显示安装进度
-f 忽略任何错误
-U 升级安装
-v 检测套件是否正确安装
这些参数可以同时采用。更多的内容可以参考RPM的命令帮助。

2. 卸载：

我同样只需简单的一句话，就可以说完。执行：
rpm –e 软件名
不过要注意的是，后面使用的是软件名，而不是软件包名。例如，要安装software-1.2.3-1.i386.rpm这个包时，应执行：
rpm –ivh software-1.2.3-1.i386.rpm
而当卸载时，则应执行：
rpm –e software。
另外，在Linux中还提供了象GnoRPM、kpackage等图形化的RPM工具，使得整个过程会更加简单。

二、deb包安装方式步骤：

01、找到相应的软件包，比如soft.version.deb，下载到本机某个目录；
02、打开一个终端，su -成root用户；
03、cd soft.version.deb所在的目录；
04、输入dpkg -i soft.version.deb

详细介绍：
这是Debian Linux提供的一个包管理器，它与RPM十分类似。

但由于RPM出现得更早，所以在各种版本的Linux都常见到。

而debian的包管理器dpkg则只出现在Debina Linux中，其它Linux版本一般都没有。

1. 安装

dpkg –i deb的软件包名
如：dpkg –i software-1.2.3-1.deb

03、等保2.0_Vmware_Esxi测评

Fri, 15 Nov 2024 09:44:26 +0800

系统版本查看

这里就略过安装的步骤了，配置好访问IP后，就可以直接输入IP地址访问我们的VMware ESXI系统了。

VMware ESXi 底层是一个定制版的Linux系统。可通过在控制台开启SSH服务进入Linux系统（默认是关闭SSH服务）。

可在此处开启SSH管理，个人认为，这个SSH管理其实就是类似安全设备（如防火墙）一样的命令行界面，你在应用层面操作的内容都会反馈到命令行界面中。

查看版本：

应用层面：

SSH登录：

vmware -v

一、身份鉴别

1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

应用层面：

1）对登录的用户进行身份标识和鉴别

通过用户名+口令的方式

2）身份标识唯一性

默认不允许添加同名用户

3）身份标识复杂度

首先判断用户当前口令是否为复杂口令，至于什么算复杂口令，这里就不再赘述了。

确认强制口令策略：主机→管理→系统→高级设置→对应键值为：Security.PasswordQualityControl

值具体代表什么什么意思，这里放在下面底层操作系统进行说明

4）身份鉴别信息定期更换

确认强制口令策略：主机→管理→系统→高级设置→对应键值为：Security.PasswordMaxDays

历史密码记录

对应键值：Security.PasswordHistory

当手动修改密码的时候会显示这样的提示，防止用户口令到期后使用相同口令刷新口令更改日期

操作系统层面

这里我们登录到系统底层，对登录的用户进行身份标识和鉴别、身份标识具有唯一性与上述一致，这里主要说明口令复杂度模块。

登录底层系统后，他的口令复杂度配置文件在：

/etc/pam.d/passwd

1）pam_passwdqc模块

是一个简单的密码强度检查模块

以下选项可以传递给身份验证模块：

① min=N0，N1，N2，N3，N4

（min=disabled，24，12，8，7）不同类型的密码/密码短语允许的最小密码长度。关键字disabled可用于禁止给定类型的密码，无论其长度如何。每个后续数字都不得大于前一个。

N0：仅用于由一个字符类中的字符组成的密码。字符类包括：数字、小写字母、大写字母和其他字符。还有一种特殊的非ASCII字符类，但不能分类，但假定为非数字。

N1：用于密码，该密码由不符合密码要求的两个字符类中的字符组成。

N2：用于密码短语，除了满足此长度要求之外，密码短语还必须包含足够数量的单词。

N03、N4用于由三个和四个字符类的字符组成的密码。

在计算字符类别的数量时，不计算用作第一个字符的大写字母和用做最后一个字符的数字。除了足够长之外，还要求密码包含足够多的不同字符，已用于字符类和检查时所依据的最小长度

② max=N [最大=40]

允许的最大密码长度，用于防止用户设置对于某些系统服务而言可能太长的密码。

N=8被特殊对待：max = 8时，长度超过8个字符的密码不会被拒绝，但会被截断为8个字符以进行强度检查，并会警告用户。这是为了兼容传统的DES密码散列，它截断密码为8个字符。

如果使用传统散列，请务必将max=8设置为重要值，否则某些弱密码将通过检查。

③ passphrase=N

密码短语所需的字数，或者以0禁用用户选择对密码短语的支持。如果密码中被识别出了常用的短语，那么最小长度就为必须为N2设置的值，常用单词的最小识别长度为N（由passphrase确定）。

④ match=N、similar=permit|deny

如果发现本次修改的密码跟老密码有4个substring的长度类似，就认为是弱密码。（match=4 similar=deny)

⑤ random=N [，only]

04、安全评估Linux主机加固操作手册

Fri, 15 Nov 2024 09:44:26 +0800

编辑后按下esc键退出编辑模式，按下:wq命令来保存文档修改并退出

1）vi的其他保存/退出命令：

:w 保存；

:w filename 另存为filename；

:wq! 保存并强制退出；

:wq! filename 注：以filename为文件名保存后强制退出；

:q! 强制退出；

:x 保存并退出（仅当文件有变化时保存）

2）Vi编辑器

i:进入编辑模式（在光标之前输入）
a:进入编辑模式（在光标之后输入）
o:进入编辑模式（在光标所在位置另起一行输入）

01、用户账户配置

1.1配置说明

root权限：
查看系统中存在的账户：
#cat /etc/passwd
应存在secadm、audadm账户，若不存在使用以下命令创建：
#useradd secadmin
#useradd audadmin
#useradd sysadmin
#passwd secadmin
#passwd audadmin
#passwd sysadmin
系统中mail、news、games、sync、halt账户更改为nologin状态，命令如下：
#usermod -s /sbin/nologin mail
#usermod -s /sbin/nologin games
#usermod -s /sbin/nologin news
#usermod -s /sbin/nologin sync
#usermod -s /sbin/nologin halt

1.2配置操作及参数说明

cat /etc/passwd
–查看用户列表
useradd –添加用户
usermod -s /sbin/nologin
–更改用户状态

04、等保2.0Windows服务器测评记录

Fri, 15 Nov 2024 09:44:26 +0800

身份鉴别

a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

结果记录：经核查，在某某服务器上通过win+R（运行）输入netplwiz命令，显示已勾选“要使用本计算机，用户必须输入用户名和密码”；通过win+R（运行）输入lusrmgr.msc命令，点击用户，显示存在Administrator、caozuo、Guest、shenji等账户，且每个账户身份标识具有唯一性，Guest账户默认禁用；右键点击Adminstrator查看属性，仅勾选“用户下次登录时须更改密码(M )”；通过win+R（运行）输入secpol.msc命令，点击密码策略，显示：密码必须符合复杂性要求：已禁用；密码长度最小值：0个字符；密码最短使用期限：0天；密码最长使用期限：42天；强制密码历史：0个记住的密码；用可还原的加密来存储密码：已禁用。

符合情况：部分符合（0.5分）

整改建议：建议通过win+R（运行）输入secpol.msc命令，点击密码策略，配置：密码必须符合复杂性要求：已启用；密码长度最小值：8个字符；密码最短使用期限：1天；密码最长使用期限：90天；强制密码历史：5个记住的密码；用可还原的加密来存储密码：已禁用。

b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

结果记录：经核查，在某某服务器上通过win+R（运行）输入secpol.msc命令，点击账户锁定策略，显示：账户锁定时间：不适用；账户锁定阈值：0次无效登录；重置账户锁定计数器：不适用；通过控制面板–》外观–》显示–》屏幕保护程序设置，显示为无。

符合情况：不符合（0分）

整改建议：建议通过控制面板–》外观–》显示–》屏幕保护程序设置，勾选“在恢复时显示登录屏幕”，并设置相应等待时间；通过win+R（运行）输入secpol.msc命令，点击账户锁定策略，配置：账户锁定时间：30分钟；账户锁定阈值：6次无效登录；重置账户锁定计数器：30分钟之后。

c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入gpedit.msc–》管理模板–》Windows组件–》远程桌面服务–》远程桌面会话主机–》安全，显示远程（RDP）连接要求使用指定的安全层：未配置；通过输入gpedit.msc–》管理模板–》Windows组件–》远程桌面服务–》远程桌面会话主机–》连接，显示设置活动但空闲的远程桌面服务会话的时间限制：未配置。

**符合情况：**不符合（0分）

**整改建议：**建议通过win+R（运行）输入gpedit.msc–》管理模板–》Windows组件–》远程桌面服务–》远程桌面会话主机–》安全，启用“远程（RDP）连接要求使用指定的安全层”，并选择TLS1.0以上版本的安全层；通过win+R（运行）输入gpedit.msc–》管理模板–》Windows组件–》远程桌面服务–》远程桌面会话主机–》连接，启用“显示设置活动但空闲的远程桌面服务会话的时间限制”，并配置相应空闲会话限制时间。

d）应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

**结果记录：**经核查，某某服务器仅采用用户名+口令方式对登录用户进行身份鉴别，未采用两种或两种以上组合的鉴别技术对用户进行身份鉴别。

**符合情况：**不符合（0分）

**整改建议：**建议采用两种或两种以上组合的鉴别技术对登录用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现，实现增强身份鉴别的安全力度。

访问控制

a）应对登录的用户分配账户和权限；

结果记录：经核查，在某某服务器上通过win+R（运行）输入secpol.msc–》本地策略–》用户权限分配，显示已对用户组权限进行合理分配；通过win+R（运行）输入lusrmgr.msc命令，点击用户，显示已为登录用户分配：Adminstrator（系统管理账户）、caozuo（操作员账户）、shenji（审计员账户）；访问C盘的Program文件夹，右键属性–》安全，显示已对不同的组或用户名进行合理授权。

**符合情况：**符合（1分）

**整改建议：**无。

b）应重命名或删除默认账户，修改默认账户的默认口令；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入lusrmgr.msc命令，点击用户，显示默认用户Adminstrator和Guest，Guest默认禁用，且其默认口令已修改。

**符合情况：**部分符合（0.5分）

**整改建议：**建议重命名Administrator默认账户名，防止爆破攻击及用户名枚举攻击。

c）应及时删除或停用多余的、过期的账户，避免共享账户的存在；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入lusrmgr.msc命令，点击用户，显示存在Adminstrator（系统管理账户）、caozuo（操作员账户）、shenji（审计员账户），且不同账户对应不同的管理用户，不存在多余的、过期的以及共享的账户。

**符合情况：**符合（1分）

**整改建议：**无。

d）应授予管理用户所需的最小权限，实现管理用户的权限分离；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入secpol.msc–》本地策略–》用户权限分配，显示已对用户组权限进行合理分配；通过win+R（运行）输入lusrmgr.msc命令，点击用户，显示存在Adminstrator（系统管理账户）、caozuo（操作员账户）、shenji（审计员账户），且不同账户对应不同的管理用户，实现管理用户的权限分离。

**符合情况：**符合（1分）

**整改建议：**无。

e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；

**结果记录：**经核查，某某服务器由授权主体Adminstrator（系统管理账户）配置访问控制策略，规定主体（如：caozuo、shenji等管理账户）对客体（如：系统文件及管理审核和安全日志等功能等）的访问规则。

**符合情况：**符合（1分）

**整改建议：**无。

f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

**结果记录：**经核查，某某服务器访问控制粒度达到主体为用户级或进程级（如caozuo、shenji等管理账户和一些软件进程等），客体为文件或功能级（如每个磁盘的一些文件资料和一些功能权限等）。

**符合情况：**符合（1分）

**整改建议：**无。

g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

**结果记录：**经核查，某某服务器仅基于访问控制规则对重要信息资源进行访问控制，未基于安全标记对重要信息资源进行访问控制。

**符合情况：**不符合（0分）

**整改建议：**建议基于安全标记对一些非常重要的信息资源进行访问控制，实现对重要信息资源的强制访问控制策略。

安全审计

a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入secpol.msc命令–》本地策略–》审核策略，显示：审核策略更改：无审核；审核登录事件：无审核；审核对象访问：无审核；审核进程跟踪：无审核；审核目录服务访问：无审核；审核特权使用：无审核；审核系统事件：无审核；审核账户登录事件：无审核；审核账户管理：无审核；审计功能配置不完善，未能保证对重要的用户行为和重要安全事件等进行审计。

**符合情况：**部分符合（0.5分）

**整改建议：**建议通过win+R（运行）输入secpol.msc命令–》本地策略–》审核策略，配置：审核策略更改：成功，失败；审核登录事件：成功，失败；审核对象访问：成功，失败；审核进程跟踪：成功，失败；审核目录服务访问：成功，失败；审核特权使用：成功，失败；审核系统事件：成功，失败；审核账户登录事件：成功，失败；审核账户管理：成功，失败。

b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入eventvwr.msc–》Windows日志，显示应用程序日志包括：级别、日期和时间、来源、事件ID、任务类型；安全日志包括：关键字、日期和时间、来源、事件ID、任务类型；系统日志包括：级别、日期和时间、来源、事件ID、任务类型。

**符合情况：**符合（1分）

**整改建议：**无。

c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入eventvwr.msc–》Windows日志–》应用程序–安全–系统–》属性，显示应用程序–安全–系统日志均存储于%SystemRoot%System32\Winevt\Logs\目录，日志最大大小值为20480KB，已勾选“按需要覆盖事件（旧事件优先）”；通过win+R（运行）输入secpol.msc–》本地策略–》用户权限分配，显示“管理审核和安全日志”安全设置仅为Administrators组；审计时间大于180天；但未对审计数据进行备份。

**符合情况：**部分符合（0.5分）

**整改建议：**建议定期对审计数据进行备份，防止审计数据丢失。

d）应对审计进程进行保护，防止未经授权的中断。

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入secpol.msc–》本地策略–》用户权限分配，显示“管理审核和安全日志”安全设置仅为Administrators组。

**符合情况：**符合（1分）

**整改建议：**无。

入侵防范

a）应遵循最小安装的原则，仅安装需要的组件和应用程序；

**结果记录：**经核查，在某某服务器上通过win+R（运行）输入dcomcnfg命令-》组件服务-》计算机-》我的电脑-》COM+应用程序，显示仅安装COM+Explorer、COM+Utilities、SystemApplication等必要组件；通过win+R（运行）输入appwiz.cpl命令，显示安装的应用程序，包括：某某卫士、火绒安全软件、驱动精灵等。

05、安全评估Windows操作系统安全加固

Fri, 15 Nov 2024 09:44:26 +0800

1.用户权限策略配置

1.按下Win+R，输入框输入winver，确认系统版本;

2.按下Win+R，输入框输入compmgmt.msc，进入“计算机管理->本地用户和组->用户->新建用户”，分别创建安全管理员（secadmin）、审计管理员（audadmin）和系统管理员（sysadmin）；

3.安全管理员权限配置

选择用户“secadmin”，右击“属性”，进入“隶属于->添加->选择组->高级->立即查找”，同时选择BackupOperators和PowerUsers组，点击确定；

**注：**安全管理员隶属于BackupOperators和PowerUsers组，

审计管理员隶属于EventLogReaders和PerformanceLogUser组，

系统管理员隶属于NetworkConfigurationOperators组。

2.用户口令过期提醒

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“交互式登录：提示用户在过期之前更改密码”，设置为10天，点击确定。

3.用户口令复杂度策略

1.进入“控制面板->管理工具->本地安全策略->帐户策略->密码策略”；

或按下Win+R，输入框输入secpol.msc，进入“密码策略”；

2.双击“密码长度最小值”，设置“密码长度最小值”为8个字符，点击确定；

3.双击“密码必须符合复杂性要求”，勾选已启用，点击确定。

4.禁止用户修改IP

1.按下Win+R，输入框输入gpedit.msc，打开“本地组策略编辑器”；

2.进入“用户配置->管理模板->网络->网络连接”；

3.双击“禁止访问LAN连接组件的属性”，设置为已启用，点击确定；

4.双击“禁止访问LAN连接的属性”，设置为已启用，点击确定；

5.双击“禁用TCP/IP高级配置”，设置为已启用，点击确定。

5.禁止用户更改计算机名

1.按下Win+R，输入框输入gpedit.msc，打开“本地组策略编辑器”；

2.进入“用户配置->管理模板->桌面”；

3.双击“从‘计算机（我的电脑）’图标上下文菜单中删除属性”，设置为“已启用”，点击确定。

6.开启屏幕保护程序

1.桌面“右键->个性化->锁屏界面->屏幕保护程序”；

2.选择屏幕保护程序界面，设置“等待”为5，点击确定。

7.用户登录失败锁定

1.进入“控制面板->管理工具->本地安全策略->账户策略->帐户锁定策略”；

或按下Win+R，输入框输入secpol.msc，进入“帐户锁定策略”；

2.双击“帐户锁定阀值”设置，设置无效登录次数为5次，点击确定；

3.双击“帐户锁定时间”设置，设置锁定时间10分钟，点击确定。

8.系统不显示上次登录名

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“交互式登陆：不显示最后的用户名”，选择“已启用”，点击确定。

9.关闭默认共享

1.进入“开始->控制面板->管理工具->计算机管理（本地）->共享文件夹->共享”；

或按下Win+R，输入框输入compmgmt.msc，进入“共享文件夹“；

2.查看右侧窗口，选择对应的共享文件夹（例如C$，D$，ADMIN$，IPC$等），右击停止共享。

10.用户账户控制设置（UAC）

进入“开始->控制面板->用户账户和家庭安全->用户账户”；
更改“用户账户控制设置”，设置为“默认”，点击确定；

或按下Win+R，输入框输入useraccountcontrolsettings.exe，进行更改。

11.禁止未登录关机

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“关机: 允许系统在未登录的情况下关闭”，设置属性为“已禁用”，点击确定。

12.关机时清除虚拟内存页面文件

1.进入“开始->控制面板->管理工具->本地安全策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“关机: 清除虚拟内存页面文件”，属性设置为“已启用”，点击确定。

13.禁止非管理员关机

1.进入“开始->控制面板->管理工具->本地安全策略->本地策略->用户权限分配”；

或按下Win+R，输入框输入secpol.msc，进入“用户权限分配”；

2.分别双击“关闭系统”和“从远程系统强制关机”选项，仅配置系统管理员（sysadmin）用户。

14.启用SYN保护

1.按下Win+R，输入框中输入regedit命令；

2.查看注册表项，进入

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters；

新建字符串值，重命名为SynAttackProtect，双击修改数值数据为2；

4.新建字符串值，重命名为TcpMaxportsExhausted，双击修改数值数据为5；

5.新建字符串值，重命名为TcpMaxHalfOpen，双击修改数值数据为500；

6.新建字符串值，重命名为TcpMaxHalfOpenRetried，双击修改数值数据为400。

15.设置最小挂起时间

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

05、等保2.0_Sql_Server数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、SQL server数据库介绍

SQL server美国Microsoft公司推出的一种关系型数据库系统。SQL Server是一个可扩展的、高性能的、为分布式客户机/服务器计算所设计的数据库管理系统。

本次安装环境为Windows10专业版操作系统，数据库版本为Microsoft SQL Server 2019 (RTM) - 15.0.2000.5 (X64) ，单机部署过程比较简单就不在此进行讲解。本文针对SQL server等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

1.1等保测评命令

select @@version 查看数据库版本

select name, LOGINPROPERTY([name], ‘PasswordLastSetTime’) AS’PasswordChanged’ FROM sys.sql_logins;上传口令更换时间

select * from sys.sql_logins; 查看is_policy_checked字段的赋值是否强制实施密码策略

select * from sys.sql_logins ;查看SQL Server身份认证模式的能够登录账户

select * from sys.syslogins ;查看能够连接数据库的账户

sp_configure ‘remote login time’;查看超时
sp_configure ‘remote query timeout’;查看超时

sp_configure ;查看“c2 audit mode”项的值，“0”是未开启C2审计，“1”是开启C2审计。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）SQL server数据库本身没有密码复杂度策略设置，它是使用Windows操作系统的校验函数来校验账户密码的，所以查看SQL server数据库密码复杂度需要结合操作系统本地安全策略的密码策略来看。SQL server密码策略要同时满足开启Windows密码策略并且勾选SQL server账户的强制实施密码策略才算是符合，但即使这样的话一样可以设置6位长度的口令，所以还要设置服务器的密码最小长度值。

2）在Microsoft SQL Server Management Studio中登录服务器，右键点击服务器，选择“属性”，选择“安全性”项，查看服务器身份验证。在Microsoft SQL Server Management Studio中选择服务器组并展开，选择“安全性->登录名”项，右键点击管理员用户的“属性”，在“常规”中查看“强制实施密码策略”和“强制密码过期”

06、等保2.0优炫数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、优炫数据库介绍

优炫数据库系统主要包含：优炫数据库（以下简称UXDB）、优炫数据库管理平台（以下简称 UXDBWeb）和优炫数据库图形化开发软件（以下简称UXDBAdmin）。UXDB是一款数据库软件，数据处理引擎（DB）和分布式存储（UXFS）是非常重要的两个功能模块，同时包含数据迁移工具。UXDBWeb和UXDBAdmin是两款独立的软件，两者的不同在于使用对象和管理内容不同，UXDBWeb安装在管理端，供管理人员使用，主要实现对UXDB的DB部分、UXFS部分、系统、安全部分的监控和管理；UXDBAdmin一般安装在客户端，供开发人员使用，主要通过sql语句，实现对DB部分基本操作。

本次安装环境为Windows10专业版操作系统，数据库版本为v2.1.1.3 ，单机部署过程比较简单就不在此进行讲解。本文针对优炫数据库等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）优炫数据库本身没有密码复杂度策略设置，经测试发现数据库仅不允许空口令登录，允许设置弱口令。

3）用户唯一标识优炫数据库自动实现，这点默认符合。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

优炫数据可配置连接限制，此连接限制是指用户登录失败三次锁定账户，需要管理员进行解锁，解锁方式：如下图的可以登录项的off修改为on，无登录超时自动退出措施。

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

核查是否采用加密等安全方式对系统进行远程管理，防止鉴别信息在网络传输过程中被窃听。检查远程管理时管理员所使用的管理协议，查看传输过程中的鉴别信息是否是经过加密处理的、抗重放的，并可使用抓包工具，判断管理员远程管理时传输过程中的鉴别信息被窃听的可能性。

SSL连接加密所有跨网络发送的数据：口令、查询、返回的数据。ux_hba.conf文件允许管理员哪些主机可以使用不加密的连接（host），以及哪些主机需要使用SSL加密的连接（hostssl）。客户端还可以指定它们只通过 SSL 连接到服务器。我们还可以使用Stunnel 或SSH加密传输。客户端和主机都可以提供SSL证书给对方。UXDB有一个对使用SSL连接加密客户端/服务器通讯的本地支持，它可以增加安全性。这个特性要求在客户端和服务器端都安装OpenSSL并且打开这个支持。当安装OpenSSL后，可以通过将uxsinodb.conf中的ssl设置为on打开UXDB服务器的SSL支持。服务器在同一个TCP端口监听普通连接和SSL连接，并且将与任何正在连接的客户端协商是否使用SSL。

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访谈管理员并进行验证，是否采用双因子身份鉴别技术，鉴别技术是什么。实际实现双因素认证比较困难，一般情况判定为不符合。

访问控制

a) 应对登录的用户分配账户和权限； 1)查看用户，并结合结合访谈管理员是否存在网络管理员，安全管理员，系统管理员、审计管理员等多个账户，为各个管理用户分配对应的权限，根据所列出的账户，查看是否存在默认账户，默认账户是否已禁用（优炫数据库自身没有默认账户）。

b) 应重命名或删除默认账户，修改默认账户的默认口令

优炫数据库没有特定的默认账户，数据库一般情况不存在默认口令，输入命令：查看是否存在默认账户。

c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在

1）询问管理员数据库中的账户使用情况，是否存在无人使用的账户，如果存在建议删除。

2)检查网络管理员，安全管理员、系统管理员不同用户是否采用不同账户登录数据库。根据所列出的账户，询问数据库管理员各个账户的作用，是否存在多余的、过期的和共享账户。

d) 应授予管理用户所需的最小权限，实现管理用户的权限分离

1）询问数据库管理员管理账户是否按照最小权限进行划分。

e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

1）访谈和查看管理员是否制定了访问控制策略

2）查看管理员权限；（此测评点如果数据库已经启用身份鉴别，且具备权限分离可判定为符合）

f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

结合a）、b）、c）、d）、e）项，并访谈管理员并核查访问控制粒度主体是否为用户级，客体是否为数据库表级。询问数据库管理员是否具有安全策略，数据库是否具有重要的表。在企业管理器中右键点击重要的表，查看其权限。

（此测评点多数测评机构默认判定为符合）

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

通过访谈管理员是否对重要主体和客体设置安全标记。SQL Server数据库自身应该很难实现这个功能，可能需要依赖操作系统或者第三方来实现。该项一般默认都不符合。

安全审计

a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

1）数据库本地仅看到会话信息

06、华为_H3C交换机安全加固

Fri, 15 Nov 2024 09:44:26 +0800

PC远程备份配置文件

AAA是Authentication（认证）、Authorization（授权）和Accounting（计费）的简称。它提供对用户进行认证、授权和计费三种功能。具体如下：

认证（Authentication）：验证用户是否可以获得访问权，确定哪些用户可以访问网络。

授权（Authorization）：授权用户可以使用哪些服务。

计费（Accounting）：记录用户使用网络资源的情况。

1.配置用户密码

display local-user查看本地用户

system-view进入系统视图

aaa进入AAA视图

local-user user1 password irreversible-cipher _123456_配置用户名密码（irreversible-cipher为加密方式，各版本字段不同）

save 退出系统视图保存

验证display cur

1.1.新建用户

system-view进入系统视图

aaa进入AAA视图

local-user admin123 password cipher 123456新建用户admin123，登陆密码为123456，同时密码采用cipher进行加密

local-user admin123 service-type ssh用户admin123仅允许使用ssh方式进行登陆（如需要设置其他登陆方式，编写格式为：ssh | http | telnet | https等）

local-user admin123 privilege level 3设置账户admin123用户权限为3

local-user admin123 idle-timeout 5 0设置用户admin123登陆超时时间为5分0秒

local-user admin123 expire-date 90设置用户admin123账户有效期为90天（待验证，S5700无法运行该命令）

save保存

验证display cur

2.配置console口密码

system-view进入系统视图

user-interface console 0 进入console口管理

authentication-mode password 进入身份验证模块

set authentication password cipher _Huawei@123 _设置console口密码

return 回退至用户模式

07、等保2.0（Kingbasees）人大金仓数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

apache一、测评查询命令

select version(); 查看数据库版本

打开kingbase.conf配置文件可看到口令策略、登录失败处理和超时退出、安全审计策略

select setting from sys_settings where name=‘ssl’;查看是否开启SSL

select * from sys_user;查看管理用户

打开init.log查看日志信息

其他安全配置可在人大金仓数据库对象管理工具中看到。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）KingbaseES 支持基于强化口令的身份鉴别，它包括对数据库用户施加口令复杂度检查、账户和口令有效期限设置、账户锁定等安全策略管理等机制。此外，KingbaseES 还支持基于 Kerberos、Radius、LDAP 认证协议和CA等技术在内的与第三方身份认证产品相结合的外部统一身份鉴别或集中化身份认证方式。

如果直接进入数据库则未对用户进行身份鉴别，判不符合；

如果无法登录则表明对用户进行了身份鉴别，则需要根据口令策略再进行判定。

2）KingbaseES 通过插件的方式来进行口令的复杂度管理，修改 kingbase.conf 文件中 shared_preload_libraries 参数后重启数据库，创建插件并打开密码复杂度开关。

密码复杂度开关，默认为关闭状态。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1)KingbaseES 通过插件的方式来进行登录失败处理管理，修改 kingbase.conf 文件中 shared_preload_libraries 参数后重启数据库。

允许用户连续登录失败的最大次数通过参数sys_audlog.error_user_connect_times配置，用户登录失败的次数大于超过该值，用户自动锁定，取值范围为[0,INT_MAX]，缺省为 0。

设置密码连续最大失败次数为10：

ALTER SYSTEM SET sys_audlog.max_error_user_connect_times = 10;

CALL sys_reload_conf();

用户登录失败次数的最大值界限通过参数sys_audlog.max_error_user_connect_times配置，error_user_connect_times的最大取值，取值范围为[0,INT_MAX]，缺省为 2147483647。

设置密码连续最大失败次数为6：

ALTER SYSTEM SET sys_audlog.error_user_connect_times = 6;

CALL sys_reload_conf();

用户被锁定时间通过参数sys_audlog.error_user_connect_interval配置，若用户被锁定的时间超过了该参数，则该用户可自动解锁。单位是分钟，取值范围为[0，INT_MAX]，缺省为0。设置被封锁用户的自动解封时间为 1 小时：ALTER SYSTEM SET sys_audlog.error_user_connect_interval = 60;CALL sys_reload_conf();
c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

1)是否采用加密等安全方式对系统进行远程管理是否用户都是localhost，全为localhost则为本地管理，可判定为不适用。

07、等保测评Centos操作系统安全加固

Fri, 15 Nov 2024 09:44:26 +0800

CentOS口令有效期配置

编辑该文档/etc/login.defs

PASS_MAX_DAYS 90

PASS_MIN_DAYS 5

PASS_MIN_LEN 8

PASS_WARN_AGE 7

CentOS操作系统账户禁用配置

Linux禁用无用账户，在该文件 /etc/passwd用户后面添加nologin

CentOS操作系统口令复杂度配置

在/etc/pam.d/system-auth文件中password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= 后添加

enforce_for_root minlen=8 ucredit=-1 lcredit=-1 ocredit=-1 dcredit=-1

CentOS操作系统登录失败处理配置

分别在cat /etc/pam.d/system-auth；

cat /etc/pam.d/login；

cat /etc/pam.d/sshd

中分别添加auth required pam_tally2.so deny=5 unlock_time=600 even_deny_root root_unlock_time=30

CentOS操作系统登录连接超时配置

连接超时在/etc/profile后添加

export TMOUT=600

CentOS操作系统口令修改

修改root密码

新建用户及修改普通用户密码

CentOS操作系统禁止root远程登录

认识sshd_congfig配置文件

禁止root远程登录配置

CentOS操作系统日志存储时间相关配置

示最大日志文件容量修改该文件中etc/audit/auditd.conf

max_log_file = 300

配置日志记录时间

修改/etc/logrotate.conf中rotate值为25

日志发送日志审计设备

修改/etc/rsyslog.conf中#. @@remote-host:514

08、达梦数据库加固命令

Fri, 15 Nov 2024 09:44:26 +0800

08、等保2.0绿盟堡垒机测评

Fri, 15 Nov 2024 09:44:26 +0800

测评项：8.1.4.1 身份鉴别（S3）
测评要求： a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；上图可以看到该设备的口令策略（包含长度、复杂度、有效期）。 b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；上图可以到该设备的登录失败处理功能和空闲超时退出时间。 c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；上图可以看到该设备传输协议和算法，算法需要抓包查看。 d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。短信验证码算双因素验证，但不属于密码算法，目前多采用动态令牌、Ukey等方式对用户进行双因素鉴别。

测评项：8.1.4.1 身份鉴别（S3）

测评要求：
a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

上图可以看到该设备的口令策略（包含长度、复杂度、有效期）。
b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

上图可以到该设备的登录失败处理功能和空闲超时退出时间。
c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

上图可以看到该设备传输协议和算法，算法需要抓包查看。
d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
短信验证码算双因素验证，但不属于密码算法，目前多采用动态令牌、Ukey等方式对用户进行双因素鉴别。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.2 访问控制（S3）
测评要求： a) 应对登录的用户分配账户和权限；上图可以看出该设备只有一个admin账户，运维账户未启用，且admin未超级管理员，明显未限制admin的访问权限。 b) 应重命名或删除默认账户，修改默认账户的默认口令； c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在；上图可以看出该设备只有一个admin账户，运维账户未启用，多余、过期的账户肯定不存在，是否存在共享有点难界定，如果只有一个人管理这台设备是不是就可以判断符合。 d) 应授予管理用户所需的最小权限，实现管理用户的权限分离；上图可以看出该设备只有一个admin账户，运维账户未启用，未实现三权分离。 e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；安全设备默认符合。 f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；安全设备默认符合。 g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。安全设备默认不符合。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.3 安全审计（G3）
测评要求： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；上图可以看出该设备可对自身的流量和告警进行审计，审计能够覆盖到所有用户。 b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；上图可以看出该设备可以配置日志服务器，并对审计数据进行备份的功能，另外需要对审计数据保存时间至少达到6个月。 d) 应对审计进程进行保护，防止未经授权的中断。此测评项严格意义来说各设备的三权分离要明确了才能实现，即设备需要有专门的审计管理员，其他管理员不能对审计数据进行修改、删除、清空等操作。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.4 入侵防范（G3）
测评要求： a) 应遵循最小安装的原则，仅安装需要的组件和应用程序；安全设备默认遵循最小安装原则，首先它属于定制开发产品，所有功能几乎没有多余的。 b) 应关闭不需要的系统服务、默认共享和高危端口；检查该设备使用的到端口和协议，如果配置日志服务器可能还会使用到514端口以及相关协议。 c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；上图可以看出该设备可以直接在设备上配置管理员的登录地址，有的设备登录地址无法在设备自身设置，可在防火墙以及其他具有访问控制功能的设备上设置。 d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；安全设备该测评项不适用。 e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；此测评项检查被测单位的漏扫报告，查看和验证报告中漏洞修复情况，以及检查设备的版本更新情况。 f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。此测评项对于安全计算环境单个设备来说个人感觉有点不好实现，交换机、路由器….等设备怎么可能检测到对重要节点进行入侵的行为，所以我个人认为在安全区域边界中针对具有检测到对重要节点进行入侵的行为的设备（如IDS、IPS、态势感知等）进行测评即可，这里个人觉得可以不适用。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.5 恶意代码防范（G3）
测评要求：应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。此测评项对于安全计算环境单个设备来说个人感觉有点不好实现，交换机、路由器….等设备怎么可能检测到对重要节点进行入侵的行为，所以我个人认为在安全区域边界中针对具有检测到对重要节点进行入侵的行为的设备（防毒墙以及其他具有防恶意代码的防护设备）进行测评即可，这里个人觉得此处针对单台设备可以不适用。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.6 可信验证（S3）
测评要求：可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。根据经验来看，目前的常见的安全设备对于可信验证这条测评项都达不到要求，默认不符合。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.7 数据完整性（S3）
测评要求： a) 应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等； b) 应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。多数安全设备在测评过程中测评机构无法获得数据存储过程的完整性校验算法，抓包也不一定可以抓出设备的完整性校验算法，默认不符合。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.8 数据保密性（S3）
测评要求： a) 应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等； b) 应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。上图可以看出该设备支持AES、SM02、SM4等国际算法和国密算法。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.9 数据备份恢复（A3）
测评要求： a) 应提供重要数据的本地数据备份与恢复功能；上图可以看出该设备可以对配置文件直接导出备份和导入恢复，但是个人认为导入恢复的现实意义并不大，不过等保有这要求。 b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；对于安全设备的需要异地实时备份的数据可能只有审计数据，大部分网络环境不会对安全设备的审计数据实时备份，有的可能会对配置数据导出做异地备份，但也不可能实时备份。 c) 应提供重要数据处理系统的热冗余，保证系统的高可用性。堡垒机建议双机热备。

09、Mongodb数据库基于等保加固命令

Fri, 15 Nov 2024 09:44:26 +0800

09、Windows下Cmd常用命令详解

Fri, 15 Nov 2024 09:44:26 +0800

一、CMD是什么

在不同的操作系统环境下，命令提示符各不相同，在Windows环境下，命令行程序为cmd.exe，是一个32 位的命令行程序。
**cmd是指命令提示符，是在操作系统中，提示进行命令输入的一种工作提示符。**cmd是command的缩写，即命令行。
cmd是微软Windows系统的命令行程序（可解释为Commander），类似于微软的DOS操作系统。

二、打开CMD的方法

1. 打开 cmd 的两种方法

Windows环境下如何打开cmd进入到指定目录，可以有两种方式：一种是直接在指定的目录地址栏中输入cmd敲回车即可；第二种可以里面“Windows+r”键打开运行对话框，在框中输入**cmd敲回车，然后再输入相应的命令。下面我们还以进入 **D:\dataset来详细介绍一下两种方法。

1. 第一种直接 Windows+r

2. 在指定的目录地址栏中输入 cmd 敲回车即可

**
**

三、CMD 下的基本指令

1.cd 指令

语法：cd [选项][目录或文件]
功能：进入某个盘符或者文件。注意下是先按 d: 或者 c: 才能进入某个盘符。其中cd ..也能返回上一级目录。跳转到根目录cd \。类似Linux下的cd。

2. 在指定的目录地址栏中输入 cmd 敲回车即可

3.dir 指令

语法：dir或者dir文件。dir /s。dir /d。dir /b。一个对应一个。
功能：遍历当前路径下所有文件。显示当前目录及子文件。显示文件以及文件大小、个数。显示文件，如果是需要查看隐藏文件的或者更多操作的话，可以使用dir /?来查看其它用法，cmd这点挺好的。dir /d类似linux下的ls。

4.md 指令

语法：md dirname
功能：在当前 D 盘目录下创建一个名为 “大佬” 的目录。其中mkdir test 进入根目录后使用也能使用。类似于linux下的mkdir。

5.rd 指令

rd是一个与md相对应的命令。md是建立目录，而rd是删除目录。
语法：rd dirName
适用对象：具有当前目录操作权限的所有使用者。
功能：删除空目录。删除名为 flie 的空文件夹。删除 flie 文件夹下的所有文件。类似于linux下的rmdir。

1、Nmap端口扫描工具常用命令

Fri, 15 Nov 2024 09:44:26 +0800

Nmap是一款开源的网络扫描工具，被广泛应用于网络管理、安全审计和漏洞扫描等领域。它支持多种扫描模式，包括TCP、UDP、SYN和ACK等，可以对目标主机进行端口扫描、操作系统检测、服务和版本识别、漏洞扫描等操作。

扫描单个主机上的所有TCP端口：

nmap -sS <主机IP>

扫描单个主机上的所有UDP端口：

nmap -sU <主机IP>

扫描单个主机上的特定端口：

nmap -p <端口号> <主机IP>

扫描整个网络中的所有主机，探测开放的TCP端口：

nmap -sS <网络地址>/24

扫描整个网络中的所有主机，探测开放的UDP端口：

nmap -sU <网络地址>/24

扫描整个网络中的所有主机，探测操作系统类型：

nmap -O <网络地址>/24

扫描整个网络中的所有主机，探测操作系统类型和版本：

nmap -A <网络地址>/24

使用TCP连接扫描模式进行端口扫描：

nmap -sT <主机IP>

使用TCP SYN扫描模式进行端口扫描，同时显示详细输出：

nmap -sS -v <主机IP>

将扫描结果保存到文件中：

nmap -oN <文件名> <主机IP>

扫描一个主机的所有TCP端口，同时显示服务和版本信息：

nmap -sV <主机IP>

扫描一个主机的所有TCP端口，同时使用操作系统检测和版本检测：

nmap -O -sV <主机IP>

扫描一个主机的所有TCP端口，同时使用默认脚本扫描，脚本在Nmap的安装目录下的scripts目录中：

nmap -sC <主机IP>

扫描一个主机的所有TCP端口，同时使用所有脚本扫描：

nmap -sC -sV --script=all <主机IP>

扫描一个主机的所有TCP端口，同时使用脚本扫描并输出为XML格式：

nmap -sC -sV -oX <文件名>.xml <主机IP>

扫描一个主机的TCP端口1-1024，同时使用默认脚本扫描和操作系统检测：

10、常见交换机加固

Fri, 15 Nov 2024 09:44:26 +0800

10、等保2.0 Gaussddb（华为高斯数据库）测评

Fri, 15 Nov 2024 09:44:26 +0800

查询命令

gsql -d postgres -U gaussdba：登录数据库，gaussdba为用户名

gaussdb –version 查询数据库版本

cps template-instance-list –service gaussdb gaussdb命令查看gaussdb部署节点

select * from pg_user; 查询用户

cps template-params-show –service gaussdb gaussdb 查看登录失败处理。

\set 查看连接超时时间。

cps template-params-show –service gaussdb gaussdb 查看传输协议。

进入/opt/fusionplatform/data/gaussdb_data/data目录，执行cat postgresql.conf | grep ssl_ciphers中的算法(也就是进入安装目录查看postgresql.conf配置文件中的ssl采用的算法。

select * from information_schema.routine_privileges where grantee=‘user_name’; 命令查询user_name用户所拥有的权限，user_name替换成实际的用户名。

select ROLNAME from pg_authid where oid=10; 查看默认用户。

show audit_enabled;查看审计，ON表示已经开启审计功能。

select * from pg_query_audit(‘2022-08-19 08:00:00’,‘2022-08-20 08:00:00’); 查看具体时间段的日志记录。

进入/var/log/fusionsphere/component/gaussdb目录，执行ll，查看该目录下文件的权限。

打开pg_hba.conf配置文件，查看IP白名单限制（登录地址限制）。

版本查询

su - gaussdba

gaussdb –version

11、等保2.0 Linux加固手册

Fri, 15 Nov 2024 09:44:26 +0800

一、身份鉴别

1）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

建议操作系统对登录的用户进行身份标识和鉴别，身份鉴别信息配置复杂度要求开启定期更换策略，避免使用弱口令，至少包含字母和数字，密码长度至少8位。密码最长使用90天，5次内不重复。整改方案如下：

1.修改 /etc/login.defs 文件内容即可，加入如下

密码最大有效期

PASS_MAX_DAYS 90

两次修改密码的最小间隔时间

PASS_MIN_DAYS 1

密码最小长度，对于root无效

PASS_MIN_LEN 8

密码过期前 7 天开始提示

PASS_WARN_AGE 7

2.对于密码的强度要求可以修改system-auth文件，vim /etc/pam.d/system-auth，修改如下：

添加以下内容

password requisite pam_cracklib.so retry=5 difok=3 minlen=10 ucredit=-1 lcredit=-3 dcredit=-3 dictpath=/usr/share/cracklib/pw_dict

remember=5 5次内密码不重复

retry=3 输入错误重试3次

difok=3

minlen=10表示最小密码长度为 10 类型数量

ucredit=-1表示密码必须至少包含1个大写字母

lcredit=-3表示密码必须至少包含3个小写字母

dcredit=-3表示密码必须至少包含3个数字

2）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1.登录失败建议操作系统开启登录失败处理功能配置登录失败5次及锁定时间30分钟；输入命令vim /etc/pam.d/system-auth

添加以下内容

auth required pam_tally2.so onerr=fail deny=5 unlock_time=1800 even_deny_root root_unlock_time=1800

参数含义：密码错误 5 次锁定 1800 秒

2.会话过期，修改 /etc/profile 文件，输入命令vim /etc/profile

单位秒 1800秒

export TMOUT=1800

source /etc/profile

11、等保2.0 新员工网络培训考核

Fri, 15 Nov 2024 09:44:26 +0800

1. 系统环境

本次被测评样品系统环境由核心交换机、防火墙、堡垒机、日志审计系统、漏洞扫描、服务器和数据库。

1.1 网络层结构

模拟系统网络拓扑结构如图1所示：

2. 测评对象范围（配置检查）

2.1 网络安全设备

序号	设备名称	型号	用途
1	防火墙	山石网科	对网络区域边界进行访问控制。
2	堡垒机	绿盟	对服务器区的1台CentOS服务器的远程运维进行安全管理和审计。
3	日志审计系统	绿盟	对安全管理区和服务器区内的所有设备进行漏洞扫描。
4	IPS	绿盟	对网络区域边界进行入侵防护。
5	核心交换机	华为	数据交换。

1.2 主机操作系统

序号	设备名称	操作系统
1	CentOS 服务器1	CentOS 7

1.3 MySQL数据库

序号	设备名称	操作系统
1	MySQL数据库	MySQL

3 . 安全策略

整体网络划分为互联网接入区、安全管理区、服务器区、核心交换区、办公接入区。相关安全策略如下：

1）相关设备日志均备份至日志审计系统；

2）每季度进行漏洞扫描范围应能覆盖安全管理区和服务器区内的所有设备。

3）互联网带宽为100M，目前带宽能够满足业务需求；

4）设备、边界等未基于可信根对通信设备、边界设备及计算环境系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证；

5）单位目前未使用无线网络和邮件系统；

6）目前操作系统中仅mssql、secadm、audadm、root用户在使用；

7）数据库及操作系统变更前后进行了备份，数据保存在本地，未进行异地备份；

8）应用服务器采用HA方式部署；

4 . 设备配置相关资料

01、网络安全设备配置配置截图.docx

02、服务器及数据库等相关内容需登录堡垒机进行查看，堡垒机：https://172.18.19.253/

12、Mysql数据库加固

Fri, 15 Nov 2024 09:44:26 +0800

MySQL所使用的 SQL 语言是用于访问数据库的最常用标准化语言。MySQL 软件采用了双授权政策，分为社区版和商业版，由于其体积小、速度快、总体拥有成本低，尤其是开放源码这一特点，一般中小型网站的开发都选择 MySQL 作为网站数据库。

mysql目录结构

配置文件，也就是后缀为.cnf
的文件，大家自己看看文件内容就知道每个文件的作用了。

我们来看mysql的帮助信息，里面有一条指明了mysql的配置文件是哪个，然后根据我们的情况就可以确定，mysql配置文件为/etc/mysql/my.cnf
，因为其它两个文件不存在。

root@NF:~# mysql --help |grep -A 1 'Default options'
Default options are read from the following files in the given order:
/etc/my.cnf etc/mysql/my.cnf ~/.my.cnf

那我们查看一下/etc/mysql/my.cnf
文件的内容（跟/etc/mysql/mysql.cnf
内容一样）主要有下面这些信息，也说明了/etc/mysql/my.cnf
是全局配置，~/.my.cnf
（隐藏文件本环境下无此文件）是个人用户设置。

# The MySQL database server configuration file.
#
# You can copy this to one of:
# - "/etc/mysql/my.cnf" to set global options,
# - "~/.my.cnf" to set user-specific options.

!includedir /etc/mysql/conf.d/
#表示包含/etc/mysql/conf.d/这个路径下面的配置文件，前提是必须以为.cnf为后缀
!includedir /etc/mysql/mysql.conf.d/
#表示包含/etc/mysql/mysql.conf.d/这个路径下面的配置文件，前提是必须以为.cnf为后缀

然后我们看/etc/mysql/mysql.conf.d/mysql.conf.d，这个文件里面提供了mysql常用的基本配置。

12、等保2.0 Mysql数据库命令

Fri, 15 Nov 2024 09:44:26 +0800

第一部分

select version(); //mysql版本查询访谈有没有定期扫描，有漏洞是否修复

select user(); //取得当前登录的用户

select * from mysql.user; 查询mysql.user表中的所有内容

SELECT User, Host, Password from mysql.user; // 5.7版本以下查看用户名密码

select User,authentication_string,Host from mysql.user; // 5.7版本以上查看用户名和密码

show variables like ‘validate_password%’; //查看密码复杂度策略

show global variables like “%max_connect%”; //最大登录次数，默认100不生效，需访谈有无第三方

show global variables like ‘%timeout%’; //超时自动退出

show variables like ‘%connection_control%’; //看是否有登录超时策略

show variables like ‘have%ssl%’; //远程加密管理

select * from information_schema.user_privileges; //查看用户权限表中的内容

show global variables like ‘%general%’; //查看是否开启审计，默认为off，不符合，建议第三方审计

show variables like ‘%audit%’; //查看日志配置

13、等保2.0 Linux（Tomcat）中间件命令

Fri, 15 Nov 2024 09:44:26 +0800

一、ps -ef|grep tomcat 查看tomcat服务，并查看tomcat在什么目录下，如/usr/local/tomcat文件；

二、cd 进入文件目录，如：cd /usr/local/tomcat；

三、ls 查看当前目录

四、使用cd 进入logs目录（命令：cd logs），然后使用ls查看当前文件夹中的内容

五、cd -退回至上层目录

六、cd 进入文件目录，如：cd conf，然后使用ls列出当前目录

七、使用cat 打开配置文件（cat后面两个空格）；如： cat logging.properties

八、使用cat 打开配置文件；如： cat server.xml

九、./bin/catalina.sh version 查看中间件版本

whereis 文件名查找文件

Which 文件名查找文件

netstat -ntlp 查看服务

nginx -v查看版本

ps aux|grep nginx

cd /var/log/nginx

find / -name +文件名

more +文件名

rpm -qa | grep nginx

进入tomcat的home目录之后

cat RELEASE-NOTES | grep Version

httpd -v

常用中间件未启用快捷命令查询版本时，可索引至中间件文件夹目录下进行查询，如：

/usr/local/nginx/sbin/nginx -V

13、麒麟操作系统等保的加固

Fri, 15 Nov 2024 09:44:26 +0800

设置密码策略

chage -m 8 -M 90 -W 7 username

设置登录限制及锁定

pam_tally2 –user username –reset

pam_tally2 –user username –deny=5 –lock-time=600

设置登录空闲超时

TMOUT=1800

export TMOUT

建立三个账户并实现权限分离

useradd qwer

useradd qazx

useradd wsxc

usermod -G wheel qwer

usermod -G wheel qazx

usermod -G wheel wsxc

删除无用的账户

userdel username

禁止root远程登录

sed -i ’s/PermitRootLogin yes/PermitRootLogin no/g’ /etc/ssh/sshd_config

systemctl restart sshd

开启SSH，关闭Telnet

systemctl enable sshd

systemctl disable telnet

关闭未使用的端口

firewall-cmd –zone=public –add-port=port/protocol –permanent

firewall-cmd –reload

配置登录限制及白名单

iptables -A INPUT -p icmp -j ACCEPT

14、Postgresql数据库加固

Fri, 15 Nov 2024 09:44:26 +0800

– 设置密码策略

ALTER USER postgres PASSWORD ‘your_password’;

ALTER USER postgres VALID UNTIL ’now’ + INTERVAL ‘90 days’;

– 设置登录限制和锁定

ALTER USER qwer CONNECTION LIMIT 0;

ALTER USER qazx CONNECTION LIMIT 0;

ALTER USER wsxc CONNECTION LIMIT 0;

ALTER USER qwer FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME ‘10min’;

ALTER USER qazx FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME ‘10min’;

ALTER USER wsxc FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME ‘10min’;

– 设置登录空闲超时

ALTER ROLE qwer SET idle_in_transaction_session_timeout = ‘30min’;

ALTER ROLE qazx SET idle_in_transaction_session_timeout = ‘30min’;

14、等保2.0 H3C交换机命令

Fri, 15 Nov 2024 09:44:26 +0800

第一部分

display cur 查看配置信息

display device 用来显示设备信息

display version comp-matrix 示软件版本兼容信息

display version 显示Boot包的版本信

display acl 显示ACL的配置和运行情况

display ip routing-table acl 显示通过指定ACL过滤的路由信息

display qos policy interface 显示接口上QoS策略的配置信息和运行情况

display password-control 查看全局密码管理的配置信息

display user-group 查看复杂度功能开启状态及查看用户最大登录尝试次数

display password-control blacklist 显示用户认证失败后，被加入密码管理黑名单中的用户信息

display ssh server status 查看SSH认证超时

display ldap scheme 查看LDAP服务器连接超时时间

display local-user 显示所有本地用户信息

display ssh server 显示SSH服务信息

display process 显示服务信息

display ha service-group 显示服务组的当前位置和状态等信息。

display logging 查看当前交换机的日志配置和状态（日志输出中看到"SNMP Trap"或类似条目，表示SNMP Trap已启用）

display logbuffer 示日志缓冲区的状态和日志缓冲区记录的日志信息

display info-center 显示各个输出方向的信息

15、Kingbasees人大金仓数据库加固

Fri, 15 Nov 2024 09:44:26 +0800

设置密码长度8位以上，由数字、字母、特殊符号组成，密码90天修改一次

ALTER USER system IDENTIFIED BY “new_password” PASSWORD EXPIRE;

ALTER PROFILE DEFAULT LIMIT PASSWORD_LIFE_TIME 90;

ALTER PROFILE DEFAULT LIMIT PASSWORD_REUSE_TIME UNLIMITED PASSWORD_REUSE_MAX UNLIMITED;

密码加密存储

ALTER USER system IDENTIFIED BY “new_password”;

用户登录失败5次锁定10分钟，登录空闲超时30分钟自动退出

ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 5 PASSWORD_LOCK_TIME 10/1440;

ALTER PROFILE DEFAULT LIMIT IDLE_TIME 30;

建立三个账户：qwer（系统管理员），qazx（安全管理员），wsxc（审计管理员）

CREATE USER qwer IDENTIFIED BY “password”;

GRANT DBA TO qwer;

CREATE USER qazx IDENTIFIED BY “password”;

GRANT CONNECT, RESOURCE TO qazx;

CREATE USER wsxc IDENTIFIED BY “password”;

15、等保2.0 锐捷交换机命令

Fri, 15 Nov 2024 09:44:26 +0800

show run 查看配置

show running-config 查看当前生效的配置信息

show traffic-redirect 查看ACL访问控制策略

show password policy 查看是否限制口令长度及口令策略

show aaa lockout 查看登录失败处理

show dot1x timeout quiet-period 查看认证失败后的静默时间

show ip ssh 查看SSH认证失败及SSH服务开启情况

show ssh 查看SSH连接信息

show cwmp configuration 查看口令加密（0 表示无加密，为 7 表示简单加密）

show password policy 查看是否开启口令加密存储功能

show dot1x 查看登录超时

show dot1x timeout server-timeout 查看服务器超时时间

show version 查看版本信息

show service 查看服务器开启情况

show users all 查看用户

show privilege 查看用户级别

show logging 查看设置的日志服务器地址和查看日志

show logging reverse 查看日志配置的参数、统计信息，以及内存缓冲区中的日志报文

show logging config 查看日志配置的参数、统计信息；

16，安全评估加固记录表3.0

Fri, 15 Nov 2024 09:44:26 +0800

16、等保2.0 Linux命令

Fri, 15 Nov 2024 09:44:26 +0800

lsb_release -a // 查看操作系统版本

cat /etc/redhat-release // 查看操作系统版本

ifconfig // 查看IP

ip addr //查看IP

cat /etc/login.defs //查看口令过期时间设置

cat /etc/pam.d/system-auth // 查看口令复杂度策略及登录失败处理（锁定）

cat /etc/security/pwquality.conf //口令复杂度策略

cat /etc/profile // 查看登录超时和历史记录配置情况

ps -ef|grep ssh //查看SSH开启情况

ps -ef|grep telnet //查看telnet开启情况

cat /etc/passwd //查看用户

cat /etc/shadow //查看用户访谈是否三权分立

service rsyslog status //查看系统日志开启情况

service auditd status //查看安全审计日志开启情况访谈审计日志是否进行备份

auditctl -l //查看审计规则/var/log/audit/audit.log /etc/audit/rules.d/audit.rules

tail -n 20 /var/log/messages //查看日志

tail -n 20 /var/audit/audit.log

cat /etc/hosts.deny // 查看是否有“ALL“

cat /etc/hosts.allow //查看是否有地址限制

17、网络架构技术名词说明

Fri, 15 Nov 2024 09:44:26 +0800

系统开发

1. 高内聚/低耦合

高内聚指一个软件模块是由相关性很强的代码组成，只负责一项任务，也就是常说的单一责任原则。模块的内聚反映模块内部联系的紧密程度。

模块之间联系越紧密，其耦合性就越强，模块的独立性则越差。模块间耦合高低取决于模块间接口的复杂性、调用的方式及传递的信息。一个完整的系统，模块与模块之间，尽可能的使其独立存在。通常程序结构中各模块的内聚程度越高，模块间的耦合程度就越低。

2. 过度设计

过度设计就是进行了过多的面向未来的设计或者说把相对简单的事情想复杂了，过度追求模块化、可扩展性、设计模式等，为系统增加了不必要的复杂度。

3. 过早优化

过早指的不是在开发过程的早期，而是在还没弄清楚需求未来的变化的走向的时候。你的优化不仅可能导致你无法很好地实现新的需求，而且你对优化的预期的猜测有可能还是错的，导致实际上你除了把代码变复杂以外什么都没得到。

正确的方法是，先有质量地实现你的需求，写够testcase，然后做profile去找到性能的瓶颈，这个时候才做优化。

4. 重构 (Refactoring)

重构（Refactoring）就是通过调整程序代码改善软件的质量、性能，使其程序的设计模式和架构更趋合理，提高软件的扩展性和维护性。

5. 破窗效应

又称破窗理论，破窗效应（Broken windows theory）是犯罪学的一个理论。此理论认为环境中的不良现象如果被放任存在，会诱使人们仿效，甚至变本加厉。一幢有少许破窗的建筑为例，如果那些窗不被修理好，可能将会有破坏者破坏更多的窗户。最终他们甚至会闯入建筑内，如果发现无人居住，也许就在那里定居或者纵火。

应用在软件工程上就是，一定不能让系统代码或者架构设计的隐患有冒头的机会，否则随着时间的推移，隐患会越来越重。反之，一个本身优质的系统，会让人不由自主的写出优质的代码。

6. 互不信任原则

指在程序运行上下游的整个链路中，每个点都是不能保证绝对可靠的，任何一个点都可能随时发生故障或者不可预知的行为，包括机器网络、服务本身、依赖环境、输入和请求等，因此要处处设防。

7. 持久化 (Persistence)

持久化是将程序数据在临时状态和持久状态间转换的机制。通俗的讲，就是临时数据（比如内存中的数据，是不能永久保存的）持久化为持久数据（比如持久化至数据库或者本地磁盘中，能够长久保存）。

8. 临界区

临界区用来表示一种公共资源或者说是共享数据，可以被多个线程使用，但是每一次，只能有一个线程使用它，一旦临界区资源被占用，其他线程要想使用这个资源，就必须等待。

9. 阻塞/非阻塞

阻塞和非阻塞通常形容多线程间的相互影响。比如一个线程占用了临界区资源，那么其它所有需要这个资源的线程就必须在这个临界区中进行等待，等待会导致线程挂起。这种情况就是阻塞。此时，如果占用资源的线程一直不愿意释放资源，那么其它所有阻塞在这个临界区上的线程都不能工作。而非阻塞允许多个线程同时进入临界区。

10. 同步/异步

通常同步和异步是指函数/方法调用方面。

同步就是在发出一个函数调用时，在没有得到结果之前，该调用就不返回。异步调用会瞬间返回，但是异步调用瞬间返回并不代表你的任务就完成了，他会在后台起个线程继续进行任务，等任务执行完毕后通过回调callback或其他方式通知调用方。

11. 并发/并行

并行(parallel)指在同一时刻，有多条指令在多个处理器上同时执行。所以无论从微观还是从宏观来看，二者都是一起执行的。

并发(concurrency)指在同一时刻只能有一条指令执行，但多个进程指令被快速的轮换执行，使得在宏观上具有多个进程同时执行的效果，但在微观上并不是同时执行的，只是把时间分成若干段，使多个进程快速交替的执行。

架构设计

1. 高并发 (High Concurrency)

由于分布式系统的问世，高并发（High Concurrency）通常是指通过设计保证系统能够同时并行处理很多请求。通俗来讲，高并发是指在同一个时间点，有很多用户同时的访问同一 API 接口或者 Url 地址。它经常会发生在有大活跃用户量，用户高聚集的业务场景中。

2. 高可用 (High Availability)

高可用HA（High Availability）是分布式系统架构设计中必须考虑的因素之一，它通常是指，一个系统经过专门的设计，以减少停工时间，而保持其服务的高度可用性。

3. 读写分离

为了确保数据库产品的稳定性，很多数据库拥有双机热备功能。也就是，第一台数据库服务器，是对外提供增删改业务的生产服务器；第二台数据库服务器，主要进行读的操作。

4. 冷备/热备

冷备：两个服务器，一台运行，一台不运行做为备份。这样一旦运行的服务器宕机，就把备份的服务器运行起来。冷备的方案比较容易实现，但冷备的缺点是主机出现故障时备机不会自动接管，需要主动切换服务。

热备：即是通常所说的active/standby方式，服务器数据包括数据库数据同时往两台或多台服务器写。当active服务器出现故障的时候，通过软件诊测（一般是通过心跳诊断）将standby机器激活，保证应用在短时间内完全恢复正常使用。当一台服务器宕机后，自动切换到另一台备用机使用。

5. 异地多活

异地多活一般是指在不同城市建立独立的数据中心，“活”是相对于冷备份而言的，冷备份是备份全量数据，平时不支撑业务需求，只有在主机房出现故障的时候才会切换到备用机房，而多活，是指这些机房在日常的业务中也需要走流量，做业务支撑。

17、网络设备、安全设备、服务器、数据库和应用系统的加固方案

Fri, 15 Nov 2024 09:44:26 +0800

网络设备和安全设备：
- 审查网络设备和安全设备的配置，确保使用最新的固件和操作系统，并及时应用安全补丁。
- 禁用或移除不必要的服务、接口和端口，减少攻击面。
- 配置访问控制列表（ACL）和防火墙规则，限制网络流量和对设备的访问。
- 启用网络设备的日志功能，配置远程日志服务器进行日志收集和分析。
- 配置入侵检测/防御系统（IDS/IPS）来监控和阻止恶意流量和攻击。
- 定期进行漏洞扫描和安全评估，及时修复发现的漏洞。
服务器：
- 审查服务器的操作系统和应用程序的配置，确保使用最新的安全补丁和修复程序。
- 确保服务器上的所有用户和服务都有强密码和账户锁定策略。
- 使用多因素身份验证（MFA）来增强用户身份验证的安全性。
- 配置服务器防火墙，限制对服务器的访问。
- 实施访问控制，只授权合法用户访问服务器上的敏感数据和应用程序。
- 启用服务器的日志功能，配置远程日志服务器进行日志收集和分析。
- 定期进行漏洞扫描和安全评估，修复服务器的安全漏洞。
数据库：
- 审查数据库的配置，确保使用最新的安全补丁和修复程序。
- 对数据库进行加密，保护敏感数据的机密性。
- 限制数据库的访问权限，只授权合法用户访问和修改数据。
- 实施数据库审计功能，监控数据库的访问和操作。
- 定期备份数据库，并将备份数据存储在安全的位置。
- 定期进行数据库漏洞扫描和安全评估，修复数据库的安全漏洞。
应用系统：
- 审查应用系统的配置和代码，确保采用安全的开发实践和编码规范。
- 实施访问控制，只授权合法用户访问应用系统和敏感数据。
- 对应用系统进行安全测试，包括漏洞扫描、渗透测试和代码审计。
- 配置应用系统的日志功能，记录用户活动和系统事件。
- 定期进行应用系统的安全评估和漏洞修复。
- 建立应急响应计划，以应对安全事件和数据泄露

18、2024风险评估检查表及审核说明0731

Fri, 15 Nov 2024 09:44:26 +0800

序号	评估类别	评估项目	评估要点	重要程度	附件	审核说明
1	物理安全	电磁防护	电源线和通信线缆应隔离铺设，避免互相干扰。	低	是
2	物理安全	物理位置选择	机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。	中	否	检查是否在封闭建筑内
3	物理安全	物理位置选择	机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁，如不可避免，应采取有效防水等措施。	中	否	在报告里面体现机房建筑位置，在xx层建筑的x层。
4	物理安全	物理访问控制	进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。应记录人员到场时间、个人信息及开展的工作内容等。	中	是	上传机房进出登记表、机房管理制度。至少有机房进出登记表。
5	物理安全	物理访问控制	机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员（三级及以上）。	中	是	二级：机房进出登记表三级：电子门禁照片及系统记录/机房进出登记表+门禁照片
6	物理安全	防盗窃和破坏	机房交流电源应设置接地保护，各机柜等接地。	中	是	至少三个业务系统机柜接地照片。
7	物理安全	防盗窃和破坏	应在机房门口安装挡板，防止小动物进入。	中	是	上传机房挡板照片
8	物理安全	防盗窃和破坏	应将设备或主要部件进行固定，并在设备、线缆、机柜等上设置详细的标识。	中	是	至少三个机柜的设备、线缆标签照片，限期整改
9	物理安全	防水和防火	a）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；b）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透（二级及以上）；c）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警（三级及以上）。应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。	低	是
10	物理安全	防水和防火	与主机房无关的给排水管道不得穿过主机房，与主机房相关的给排水管道应有可靠的防渗漏措施。	低	否	依据现场实际情况检查。
11	物理安全	防水和防火	机房应设置火灾自动消防系统或者配备消防灭火相关工器具，确保工器具在质保期且可以正常使用。	中	是	灭火器或自动消防系统照片+合格证明+巡检卡必须有合格证和质保期佐证
12	物理安全	电力供应安全	UPS电源需定期进行巡检并建立巡检记录，巡检应包含负载、输出电压、输出电流等，蓄电池需定期进行充放电试验。	中	是	01、UPS电源巡检记录，巡检内容需包含负载、输出电压、输出电流等； 02、上传蓄电池充放电试验报告。
13	物理安全	电力供应安全	调度数据网设备与远动设备应具有双电源供电模块，两路交流输入电源应分别取自不同 UPS，且双电源切换正常；冗余配置的两台单电源供电设备，其交流输入电源应分别取自不同 UPS且设备切换正常。	高	是	01、数据网设备及远动双电源照片 02、UPS到设备电源输出示意图 03、UPS输出侧切换测试报告必须进行电源切换实验，电源切换之前给电厂做好沟通工作，报备调度。
14	物理安全	电力供应安全	应配备两套UPS电源，要两套UPS采用1 1分列运行方式；两台UPS电源的交流输入电源应取自不同段的站用交流母线，两台 UPS 电源的直流输入电源应分别取自变电站直流系统不同段直流母线。	高	是	01、双UPS电源照片 02、双UPS运行方式示意图
15	体系结构安全	安全分区	电力监控系统网络拓扑结构图与现场实际设备部署须符合安全分区原则，与当前运行情况相符；生产控制大区除安全接入区外，禁止使用带有无线通信功能的设备；生产控制大区主机设备禁止通过双网卡等手段实现跨区联接。	很高	否	检查拓扑图，光辐照仪、测风塔等设备是否正确接入分区。
16	体系结构安全	安全分区	新能源场站与远程集控中心、远程监视中心、设备制造厂商的纵向边界安全防护实施方案必须经调控机构审核，安全设备配置策略必须经过现场验证确认安全。	很高	是	01、确认场站是否存在与远程集控中心、远程监视中心存在网络连接 02、如无集控，上传网络拓扑图，默认满足 03、如有，上传调度机构审核过的实施方案
17	体系结构安全	专网专用	调度数据网仅允许直接涉网业务主机（装置）与专网交换机互联；禁止网络设备或者无关设备与专网设备直接互联。	很高	否	验证系统自动审核结果，检查拓扑图。
18	体系结构安全	专网专用	调度数据专网应使用电力专用通道与调度主站进行通信，禁止使用租用运营商网络资源的方式与调度主站进行通信。	很高	否
19	体系结构安全	横向边界安全	防火墙配置须根据实际业务传输需求配置安全策略，且满足白名单与精细化（安全策略源/目的IP地址与服务端口需精确至单个IP及具体服务端口号）要求。	高	是	如无需，未部署，上传网络拓扑图 01、查看策略：是否符合要求，是否有拒绝所有策略 02、查看地址：是否跟策略对应，地址是否精确到32位 03、查看服务：源地址或目的地址是否精确
20	体系结构安全	横向边界安全	生产控制大区或者管理信息大区内部有数据交互需求的应采用硬件防火墙等设备进行网络隔离。	很高	否	如无需，未部署，上传网络拓扑图，默认满足
21	体系结构安全	横向边界安全	如果管理信息大区和外网之间有数据交互需求，应采用硬件防火墙进行逻辑隔离。	很高	否	如无需，未部署，上传网络拓扑图，默认满足
22	体系结构安全	横向边界安全	隔离装置仅允许非TCP直接方式的数据通信，策略配置满足精细化要求，且绑定通信服务器的IP、MAC地址。	高	是	上传隔离装置策略（总体+每个策略明细），需要绑定MAC地址；如无需，未部署，上传网络拓扑图。
23	体系结构安全	横向边界安全	如果管理信息大区与生产控制大区之间有数据交互需求，应采用经国家指定部门检测认证的电力专用横向安全隔离装置进行安全隔离。	很高	否	如无需，未部署，上传网络拓扑图
24	体系结构安全	纵向边界安全	调度数据专网加密装置仅允许专用的通信服务、不存在业务明通隧道，严格设置访问控制策略，开启日志记录，并备份配置策略，及时消除告警。	很高	否
25	体系结构安全	纵向边界安全	纵向加密装置本地登陆需要使用ukey证书登陆，禁止加密机非调试期间插入ukey，ukey有专人管理无遗失。	很高	否	检查Ukey是否丢失，非调试时间是否插着Ukey
26	体系结构安全	纵向边界安全	调度数据网纵向边界须部署电力专用纵向加密认证装置或者加密认证网关；且加密装置工作正常。	很高	否
27	体系结构安全	纵向边界安全	纵向加密装置应使用SM2国产加密算法。	高	是	纵向加密SM2算法截图（远程管理证书+隧道证书截图）；兴唐纵密SM2算法类型：ecc_主站地址查看是否上传隧道策略证书和远程管理证书，须提供隧道策略SM2证书截图
28	体系结构安全	纵向边界安全	新能源场站须加强户外就地采集终端（如风机控制终端、光伏发电单元测控终端等）的物理防护，强化就地采集终端的通信安全。站控系统与终端之间网络通信应部署加密认证装置，实现身份认证、数据加密、访问控制等安全措施终端连接的网络设备需采取IP/MAC地址绑定等措施，禁止外部设备的接入，防止单一风机或光伏发电单元的安全风险扩散到站控系统。	中	否	检查是否配备微型纵向加密认证装置
29	系统本体安全	网络及安防设备	电力监控系统所采用隔离装置型号及版本需满足国网安全加固要求，反向隔离装置应采用E文件传输。	高	是	串口登录隔离版本号截图，满足要求：南瑞信通（正向）V1.8.0及以上，（反向）V2.1.6及以上；科东（正向）V5及以上，（反向）V5.0.7及以上或者V6.06E及以上；其它加固升级程序V1.0
30	系统本体安全	网络及安防设备	生产控制大区网络设备需对接入设备进行mac地址绑定。	高	是	查看MAC地址绑定情况，状态是否为static，特殊情况需备注说明
31	系统本体安全	网络及安防设备	SNMP服务应采用安全性增强版本（V2及以上），不能使用默认通信字符串，读写字符串不能相同，字符串长度不能小于8位，要求是数字、字母或特殊字符的混合。	高	是	交换机SNMP团体字截图，字符串至少八位，数字、字母或特殊字符的混合；部分交换机snmp团体字只能设置为纯字母，需备注说明；如部分交换机团体字加密存储，可附网监资产团体字设置情况，网监无此功能除外。
32	系统本体安全	网络及安防设备	网络及安防设备应关闭不需要的网络端口，并加装网口、usb物理锁。	很高	是	网络及安防设备关闭网络端口截图及物理封堵照片；端口关闭情况要与物理封堵情况一致
33	系统本体安全	网络及安防设备	网络及安防设备禁止使用默认口令，实现系统管理、网络管理、安全审计等设备特权用户的权限分离，口令长度不低于8位，为数字、字母组合，口令密文存储。	高	是
34	系统本体安全	主机设备	生产控制大区应关闭或拆除主机不必要的光驱、USB、串口、蓝牙等接口，并进行物理封堵。	很高	是	01、禁用USB、蓝牙、光驱功能截图； 02、物理封堵照片； 03、评估机构注意备份驱动。
35	系统本体安全	主机设备	不存在默认路由，且明细路由子网掩码至少为28位。	高	是	01、不存在默认路由 02、明细路由子网掩码至少为28位（255.255.255.240），无网关的路由24位子网掩码 ip route show
36	系统本体安全	主机设备	开启主机操作系统的安全内核。	高	是	01、麒麟 cat /etc/selinux/config 02、凝思 lsmod	grep linx
37	系统本体安全	主机设备	操作系统应按照安全管理员、系统管理员、审计管理员角色分配权限，操作系统中多余的、过期的账户应及时删除，仅保留确需使用账户，删除默认共享目录。	很高	是	cat /etc/passwd	grep -v “false”	grep -v “nologin”
38	系统本体安全	主机设备	主机类设备应开启操作系统的防火墙功能，采用白名单通信方式，出入方向策略ip地址段精确至24位子网掩码，并禁用TCP（135、139、445、3389、5938）、UDP（137、138）等高危端口。	高	是	01、主机防火墙策略和默认动作必须设置为DROP 02、禁用高危端口，端口不再明细化要求 03、地址精确至24位子网掩码查下规则：sudo iptables -L
39	系统本体安全	主机设备	生产控制大区和管理信息大区主机类设备须停止或禁用与承载业务无关的服务或端口（包含但不止E-mail，Web，FTP，telnet，SMB，rlogin等）。	很高	是	01、凝思禁用无关服务 systemctl list-unit-files	grep enable 02、麒麟禁用无关服务 chkconfig –list	grep 2:on 03、禁用危险端口 netstat -antoplu 无bluetooth、openbsd-inetd（telnet）、ftpd、nfs、postfix服务；无21、23、25、53、67、137、138、139、631（故障录波主机可存在）、3389、5938等端口个别厂家需要使用高危端口，需出具说明文件
40	系统本体安全	主机设备	生产控制大区主机类设备不应存在高危漏洞。	高	是	各主机单独上传佐证材料，体现高、中、低各等级漏洞数量，上传加固后的漏洞扫描报告截图。
41	系统本体安全	主机设备	限制ssh远程登录源地址，禁止root用户远程登录，并对用户资源进行限制。	很高	是	01、限制SSH远程登录源地址（vi /etc/hosts.allow/deny 例如sshd：192.168.0.1:allow）不要求32位源地址，至少24位子网掩码，建议尽可能细化。 02、禁止root用户远程登录（vi /etc/ssh/sshd_config） 03、对用户资源进行限制（vi /etc/security/limits.conf vi /etc/pam.d/login #编辑login文件，加入以下内容session required pam_limits.so
42	系统本体安全	主机设备	操作系统应启用登录失败处理功能，实现普通用户和超级用户连续登陆失败5次锁定600秒，登陆超时自动退出时间为600秒。	很高	是	01、启用登录失败处理功能（nano /etc/pam.d/system-auth-ac 找到auth required pam_tally.so字段，并字段找到“deny=”、“unlock_time=”两项参数，做出以下配置: deny=5 unlock_time=600 even_deny_root root_unlock_time=600（此项非必须）保存并退出文件编辑。 02、登陆超时（vi /etc/profile 在文件末尾添加如下参数： TMOUT=600 保存并退出文件编辑。退出当前远程会话重新登录生效。）
43	系统本体安全	主机设备	操作系统口令复杂度应满足要求并定期（不超过90天）更换。应当制定账号和口令安全策略，限定用户口令的长度、复杂度、生存周期等，口令长度不小于8位，且为字母和数字或特殊字符组合，并确保对所有用户生效。	高	是	01、口令复杂度：grep password /etc/pam.d/common-password 02、密码有效期佐证 grep PASS /etc/login.defs 立即生效命令：chage -M 90 root 设置root用户的过期时间为90天后（所有用户都需要）
44	系统本体安全	主机设备	生产控制大区主机设备需设置屏幕保护功能。	高	是	屏幕保护程序配置截图，配置合理
45	系统本体安全	装置设备	对生产控制大区装置类设备空闲usb、网口进行物理封堵。	很高	是	上传装置类设备物理封堵照片
46	系统本体安全	装置设备	统调电厂和220kV及以上变电站远动装置满足冗余配置，且为双主运行模式。	高	否	远动装置满足冗余配置，且为双主运行模式
47	系统本体安全	装置设备	直连调度数据网的装置类设备不存在默认路由，且明细路由子网掩码至少为28位。	高	是	01、不存在默认路由 02、明细路由子网掩码至少为28位（255.255.255.240）如某些设备无法采集到路由信息，需说明
48	系统本体安全	应用软件	应用系统具备非法登录次数限制、登录连接超时自动退出、登录失败锁定功能，并进行合理配置。	中	否
49	系统本体安全	应用软件	应用系统用户口令复杂度应满足要求并定期更换。用户在第一次登录系统时修改分发的初始口令，口令长度不得小于8位字符，且为字母、数字或特殊字符的混合组合；用户名和口令不得相同；口令不应明文存储。	高	否
50	系统本体安全	应用软件	应用系统采用实名制，不应内置匿名账户，也不允许匿名用户的登录。	高	否
51	系统本体安全	关系数据库	数据库系统用户口令复杂度应满足要求。应当制定账号和口令安全策略，限定用户口令的长度、复杂度等，口令长度不小于8位，且为字母和数字或特殊字符组合。	中	是	检查数据库口令及口令复杂度策略，是否符合要求。
52	系统本体安全	安全监测	生产控制大区涉网装置设备、主机设备须接入网安装置，满足应接尽接要求。	高	是	应接尽接，需上传设备接入佐证图片（网安客户端资产列表拍照）
53	系统本体安全	安全监测	生产控制大区涉网装置设备、主机设备逐台进行告警测试，告警测试项为U盘接入/拔出、主机非法网络访问、关键目录/文件变更、危险操作指令，检查是否能产生安全告警，并上传至上级平台。	高	是	各设备依次进行告警测试，告警测试项为U盘接入/拔出、主机非法网络访问、关键目录/文件变更、危险操作指令,需上传详细的告警信息截图,如果有个别告警未触发，需备注说明
54	系统本体安全	安全监测	主机agent网络连接白名单、服务端口白名单、关键目录、关键命令应合理配置。	高	是	探针网络连接白名单、服务端口白名单、关键目录、关键命令截图。如若符合，白名单必须合规，佐证材料无缺失
55	系统本体安全	安全监测	生产控制大区涉网网络设备、安全设备须接入网安装置，满足应接尽接要求。	高	是	应接尽接，需上传设备接入佐证图片（网安客户端资产列表拍照，需显示在线状态）
56	系统本体安全	安全监测	生产控制大区涉网网络设备、安全设备逐台进行告警测试，告警测试项为网络设备的网口up/down、登录成功、退出登录、配置变更，安全设备的登录成功、退出登录、不符合策略访问，检查是否能产生安全告警，并上传至上级平台。	高	是	各设备依次进行告警测试，告警测试项为网络设备的网口up/down、登录成功、退出登录、配置变更，安全设备的登录成功、退出登录、不符合策略访问，如果有个别告警未触发，需备注说明
57	系统本体安全	安全监测	并网电厂应具备对网络安全事件的本地监视和管理功能。	高	是	对网络安全事件的本地监视和管理功能（一般上传网安工作站监视照片）
58	安全自主可控	硬件	安全I、II区主机设备应选用国产自主品牌，不得选用国家相关管理部门检测认定并经国家能源局通报的存在安全风险漏洞的主机设备。	高	否	主机应为国产自主品牌
59	安全自主可控	硬件	站控层交换机和调度数据网路由器、交换机应选用国产自主品牌，不得选用国家相关管理部门检测认定并经国家能源局通报的存在安全风险漏洞的网络设备。	高	否	网络设备为国产自主品牌
60	安全自主可控	硬件	安全防护设备应选用国产自主品牌，不得选用国家相关管理部门检测认定并经国家能源局通报的存在安全风险漏洞的专用安防设备，同时纵向加密装置、横向隔离装置等电力系统专用安防设备应选用第三方权威机构检测合格产品。	很高	否	安全设备为国产自主品牌
61	安全自主可控	操作系统	安全I、II区主机应采用安全可控的操作系统，满足《信息安全技术操作系统安全技术要求GB/T20272-2019》第四级安全操作系统。	高	是	安全I、II区主机应采用国产安全可控操作系统需以查询命令结果为主，只拍桌面退回
62	安全自主可控	应用软件	业务系统软件应选用国产自主研发软件，且需具有相应软件著作权或第三方权威机构颁发的安全性检测报告。	高	否	业务系统软件应选用国产自主研发软件
63	安全自主可控	数据库	I、II区数据库应选用满足《信息安全技术?据库管理系统安全技术要求GB/T20273-2019》要求的国产数据库，且具备相关软件著作权、信息技术产品自主原创性测评证书或第三方权威机构颁发的测试报告。	中	是	检查数据库是否为国产数据库
64	全方位安全管理	安全管理制度	应有适用于信息系统日常管理的操作规程，包含门禁、人员管理、访问控制、设备、恶意代码防范、审计、数据及系统的备份、账号、培训等管理细则。	很高	是	上传信息系统日常管理的操作规程，包含门禁、人员管理、访问控制、设备、恶意代码防范、审计、数据及系统的备份、账号、培训等管理细则。
65	全方位安全管理	安全管理机构	安全管理机构的责任落实情况应满足： a)明确信息系统安全管理的责任领导的安全职责； b)明确信息系统安全管理岗位及其职责，并具有佐证材料；c)指定专人负责信息系统核心部分（骨干网络设备、重要数据库系统和重要业务应用系统）的配置管理和操作。	很高	是	上传信息系统安全管理岗位及其职责佐证材料（岗位职责）
66	全方位安全管理	安全管理机构	安全管理机构的人员配备情况应满足： a)指定安全管理岗位第一、第二责任人； b)配备信息系统安全管理人员，安全管理员。	中	否
67	全方位安全管理	人员管理	应建立系统运维关键岗位的持证上岗制度，相关人员均持证上岗。	中	否
68	全方位安全管理	人员管理	应及时收回离岗离职员工使用的公司信息设备、软件、门禁卡、文件资料等物品或资产，并对离岗、离职人员的账号及访问权限等进行调整或清理。	低	是	上传离岗离职人员管理办法，得包含权限、资产交接等说明。
69	全方位安全管理	人员管理	以下人员需每年签订保密协议和安全承诺书，明确信息安全保密的内容和职责：a)关键岗位员工的保密协议；b)第三方服务提供商的保密协议； c）在工作中可能会接触到公司商业秘密信息的第三方人员的保密协议；d）关键岗位人员的离职保密承诺书，所在部门应明确告知其在离职后的信息安全保密责任。	中	是	本单位及关键岗位保密协议和第三方保密协议或保密承诺书，保密协议需盖章/保密承诺书签字
70	全方位安全管理	人员管理	以下人员需进行培训和考核，并宣贯信息安全管理的要求，至少包含防止违规外联，USB插拔等宣贯记录：a)入职员工培训和考核记录；b)承担公司核心信息系统规划、硏发、运维管理等关键岗位人员培训和考核记录；c)员工定期培训和考核记录；d）信息系统开发、运维等关键岗位人员定期信息安全技能考核记录（调度机构通过省调统一考试，并网电厂自行组织，有相应上岗记录）。	中	是	上传培训及考核的佐证材料，需包含防止违规外联，USB插拔等宣贯记录
71	全方位安全管理	信息系统管理	进入机房人员需操作机柜内设备，应在相关手续中明确所需操作的设备和具体操作。	中	否
72	全方位安全管理	信息系统管理	站内应配备专用调试设备和介质，如专用调试笔记本和专用U盘，专用调试设备和介质应加固后使用。	很高	是	01、上传加固笔记本及专用安全U盘照片 02、上传加固笔记本加固佐证报告 03、该项必须满足，新建站未配备，需出具说明文件。
73	全方位安全管理	信息系统管理	生产控制大区须配备便携式安全运维网关，对相应区域内主机、网络设备、安防设备、数据库进行运维管控和行为记录。	高	是	检查便携式安全运维网关配备情况
74	全方位安全管理	信息系统管理	设立网络安全管理人员，负责全站二次设备用户名及密码的统一管理。规范密码保存方式，各厂站应建立二次设备专用密码本，统一记录站内设备登录方式及口令，放置于保险箱内由专人保管。	高	否	场站是否配备专用密码本，并由专人管理。
75	全方位安全管理	安全工作机制	应按照国家及行业相关标准规范要求，开展电力监控系统等保定级、备案和测评。	高	是	检查是否进行等保测评，上传备案证明(有效期内,三级一年做一次，二级两年做一次），如备案证明无更新的话，上传回执单或盖章版测评报告
76	全方位安全管理	安全工作机制	应制定电力监控系统安全防护方案，落实安全防护措施。方案中安全防护措施部分内容应合理、完整，拓扑图、资产清单、网络连接状态需与实际情况一致。	高	是	上传电力监控系统安全防护方案，与32项搭配查看，出入过大退回，查看资产信息是否对应，查看端口图与实际连线图是否对应
77	安全应急管理	应急预案	电力企业应当按照电力行业网络安全事件应急预案，制修订本单位网络安全事件应急预案，每年至少开展一次应急演练。制修订电力监控系统专项网络安全事件应急预案并定期组织演练。定期组织开展网络攻防演习，检验安全防护和应急处置能力。	高	是	上传应急预案方案及演练记录，应急预案和演练记录必须是与网络安全相关的
78	安全应急管理	体系建设	建立应急指挥体系，应急组织应包含应急领导小组及办事机构。	中	否
79	安全应急管理	应急响应	应建立“上下联动、区域协作”的快速应急响应机制，建立公司内部各单位之间的应急救援协调联动和资源共享机制。	中	否

18、等保2.0___安全计算环境之数据完整性、保密性测评

Fri, 15 Nov 2024 09:44:26 +0800

一、定义

1.1完整性

通俗的来说就是数据不被篡改和非授权访问。目前完整性主要是通过哈希算法来实现。
国密算法中，能够提供数据完整性的算法主要是：SM3。国际算法中，能够提供数据完整性的算法主要是：MD05、SHA256、SHA512。

1.2保密性

通俗的来说就是数据不能是明文，目前保密性主要是通过加密算法来实现。
国密算法中，能够提供数据保密性的算法主要是：SM1和SM2，少数使用祖冲之，无线局域网中使用SM4。国际算法中，能够提供数据保密性的算法主要是：DES、3DES、RSA、AES、ECC等。

三、数据的完整性测评

a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；

测评理解：重点有3个,1校验技术或密码技术；2传输过程中的完整性；3包括不仅限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

先一个个来看：

01、校验技术其实很好理解，就是类似TCP协议的CRC校验码或者海明校验码等，这是协议层面的，如果按照这要求利街，那么这条指标基本全部符合，所以目前测评难点不是在这里，而是在密码技术如何实现完整性，这里是一个容易弄混的的知识点，可能大部分人有疑惑，密码技术不是i用来加密的吗，怎么能用来保证完整性呢?其实在商用密码中，密码算法分为加密算法和哈希算法两大类，其中哈希算法常见是MD5和SHA系列，哈希算法也属于密码算法，所以通过密码技术完全可以实现完整性校验。

02、传输过程中的完整性，传输过程中的完整性主要通过协议来实现，比如TLS、SSH协议，通过MAC（消息校验码）来实现整个数据报文的完整性和加密性，无论报文本身内容是否进行加密和哈希校验，这个应该比较好理解把，因此，测评中，如果采用TLS协议、SSH协议，默认其实应该是符合传输过程中的完整性要求的。

03、重要数据的理解，主要数据包括鉴别数据、审计数据、业务数据等。

b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

操作系统的存储过程完整性。操作系统鉴别数据主要就是用户名、口令、组ID等。其中WindowsNT中默认采用SAM文件保存鉴别信息，其中口令字段采用SHA哈希算法进行加密。而在Linux中，口令保存shadow文件中，口令也是采用SHA哈希算法进行加密，主要有三类：$1表示MD5 ; $6 表示SHA-512 ; $5 SHA-256。可能在这里大家有疑惑，为什么不采用加密算法对口令加密，而采用哈希算法进行加密？个人觉得原因主要有2个：1是加密算法分为对称加密算法和非对称加密算法，无论哪种，都需要安全的保存密钥，这就导致鸡生蛋和蛋生鸡的问题，2加密算法时间长，哈希算法时间较短。因此，操作系统的数据传输过程的完整性要求中默认是符合的。

至于业务数据、审计数据存储过程中的完整性，主要是核查数据库表（业务数据、审计数据）是否存在哈希字段，在业务数据或审计数据中，数据在前端一般通过json或xml格式进行传输，那么数据的完整性应该是核查相关数据库表字段中是否包含完整性校验字段。目前测评项目中极为少见，一般均为不符合，印象中好像只有个一个系统实现存储过程中的完整性校验。但是如果通过TLS、SSH等协议，可以通过传输过程中的完整性在一定程度上弥补存储过程中的完整性。

其实在开发过程中，技术方面进行哈希校验并不难，因为常见开发语言均内置哈希函数，比如php的hash()、java的hashcode()等，但是问题重点在主流开发语言目前少于内置SM3等国密哈希算法，随着商密应用的测评，日后要求支持国密的哈希算法估计会成为测评要求判定之一，当然商密局官网有现成的php、java、c++源代码库下载，可以用来在开发项目中直接调用。

四、数据的保密性测评

a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；

传输过程中的保密性测评中，这个比较简单，主要核查是否采用TLS、SSH等加密协议，其中常见的问题主要集中在以下两个地方：

1）Windows远程桌面RDP是否符合传输过程中的保密性？笔者查过相关资料，Windows的RDP安全主要有安全层和加密级别两个参数，其中安全层有RDP安全层、协商和TLS1.0共3个值，其中默认值是协商。

如下图所示:

加密级别也主要有4个值可选，分别是低、客户端兼容、高和符合FIPS标准，区别主要是加密算法.

由此可知，其实在WindowsServer2008及以上系统，默认RDP就支持加密，差别就是加密长度和加密算法不同，至于采用何种算法，网上也没有统一的答案，抓包也没有发现，猜测可能是RC-4，如果是Windows10客户端连接WindowsServer2008,默认配置下使用的是TLSV1.0协议进行加密，如下图：

b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

存储过程中的保密性这个就比较简单了，主要是核查相关账户的口令、业务数据、审计数据是否加密存储，无论使用是何种加密算法，只要非明文，这条就符合，实践中，操作系统鉴别数据全部符合，默认都是使用哈希算法，业务系统的鉴别数据，这个一般核查下数据库表，部分系统可能仍然是明文存储，至于业务数据、审计数据之类基本实践中未见过使用加密存储，一来没有必要，二来会影响性能，所以一般不符合。d但是如果使用数据库加密功能，默认该项为符合，数据库加密主要分库内加密和库外加密，库内加密主要是调用的数据库本身的加密功能，比如MSSQLSERVER的TDE功能、Oracle的DBMS_CRYPTO，有兴趣的可以自己百度，库外加密主要通过第三方厂家的数据库加密功能，为了避免推销，这里就不举例了。

五、数据传输和存储完整性、数据传输和存储保密性算法分析

1）数据存储完整性算法是用于验证和维护数据在存储过程中的完整性的技术。以下是一些常见的数据存储完整性算法：

校验和（Checksum）：校验和是一种简单的完整性算法，通过对数据进行算术运算生成一个固定长度的校验值。接收方可以在接收数据后重新计算校验和，并与发送方的校验和进行比较，以验证数据的完整性。
哈希函数（Hash Function）：哈希函数将任意长度的数据映射为固定长度的哈希值。哈希值是唯一的，即使输入数据发生微小的变化，哈希值也会发生很大的变化。接收方可以使用相同的哈希函数对接收到的数据进行计算，并与发送方的哈希值进行比较，以验证数据的完整性。
循环冗余校验（CRC）：CRC是一种通过多项式除法来计算校验值的算法。发送方将数据和计算得到的校验值一起发送，接收方可以通过使用相同的多项式除法算法对接收到的数据进行计算，并将计算得到的校验值与发送方的校验值进行比较，以验证数据的完整性。
数字签名（Digital Signature）：数字签名使用公钥密码体系，结合哈希函数和非对称密钥算法来实现数据的完整性和认证。发送方使用私钥对数据进行签名，接收方使用发送方的公钥对签名进行验证，从而确保数据的完整性和发送方的身份。

2）数据传输完整性算法是用于验证和维护数据在传输过程中的完整性的技术。以下是一些常见的数据传输完整性算法：

循环冗余校验（CRC）：CRC算法也可以用于数据传输的完整性验证。发送方在数据中添加一个CRC校验值，接收方收到数据后使用相同的算法计算CRC校验值，并将计算得到的值与发送方的校验值进行比较，以验证数据的完整性。
哈希函数（Hash Function）：哈希函数可以用于数据传输完整性的验证。发送方使用哈希函数对数据进行计算，生成一个固定长度的哈希值，并将该哈希值发送给接收方。接收方在接收到数据后使用相同的哈希函数计算哈希值，并将计算得到的哈希值与发送方的哈希值进行比较，以验证数据的完整性。
消息认证码（Message Authentication Code，MAC）：MAC是一种使用共享密钥的算法，用于验证数据传输的完整性和认证。发送方使用密钥对数据进行加密生成MAC值，并将MAC值与数据一起发送给接收方。接收方使用相同的密钥对接收到的数据进行加密，并将计算得到的MAC值与发送方的MAC值进行比较，以验证数据的完整性和发送方的身份。
数字签名（Digital Signature）：数字签名也可以用于数据传输的完整性验证。发送方使用私钥对数据进行签名，将签名和数据一起发送给接收方。接收方使用发送方的公钥对签名进行验证，从而验证数据的完整性和发送方的身份。

3）数据传输保密性算法是用于在数据传输过程中保护数据机密性的技术。以下是一些常见的数据传输保密性算法：

对称加密算法：对称加密算法使用相同的密钥对数据进行加密和解密。常见的对称加密算法包括AES（高级加密标准）、DES（数据加密标准）和3DES（三重数据加密算法）等。发送方使用密钥对数据进行加密，接收方使用相同的密钥进行解密，以保护数据的机密性。
非对称加密算法：非对称加密算法使用一对密钥，包括公钥和私钥。发送方使用接收方的公钥对数据进行加密，接收方使用自己的私钥进行解密。常见的非对称加密算法包括RSA（Rivest-Shamir-Adleman）和ECC（椭圆曲线加密算法）等。非对称加密算法通常用于密钥交换和数字签名。
混合加密算法：混合加密算法结合了对称加密算法和非对称加密算法的优势。发送方使用非对称加密算法对对称密钥进行加密，并将加密后的对称密钥与数据一起发送给接收方。接收方使用私钥解密对称密钥，然后使用对称密钥对数据进行加密和解密。这种方法同时提供了数据的机密性和安全密钥的交换。
VPN（Virtual Private Network）：VPN是一种建立安全通信通道的技术，通过使用加密协议和隧道技术，将数据在传输过程中进行加密和解密，以保护数据的机密性。常见的VPN协议包括IPSec（Internet Protocol Security）和SSL/TLS（Secure Socket Layer/Transport Layer Security）等。

4）数据存储保密性算法是用于在数据存储过程中保护数据机密性的技术。以下是一些常见的数据存储保密性算法：

对称加密算法：对称加密算法可以用于在数据存储时对数据进行加密。常见的对称加密算法包括AES（高级加密标准）、DES（数据加密标准）和3DES（三重数据加密算法）等。使用对称加密算法，数据在存储之前进行加密，存储在安全的存储介质上，只有授权的用户拥有解密密钥才能解密数据。
文件级加密：文件级加密是一种将整个文件进行加密的方法。文件级加密可以应用于单个文件或整个存储设备上的文件。在文件级加密中，文件在存储时进行加密，并且只有在解密密钥的授权下才能访问和查看文件内容。
数据库加密：数据库加密是一种在数据库存储过程中对数据进行加密的方法。数据库加密可以通过对整个数据库进行加密，或者对特定字段进行加密。这可以确保即使数据库被未经授权的访问或泄露，数据仍然是加密的。
分区加密：分区加密是一种将存储设备分成多个加密区域的方法。每个区域都有自己的加密密钥，只有在解密密钥的授权下才能访问该区域的数据。分区加密可以应用于硬盘驱动器、闪存设备等存储介质。
去标识化（De-identification）：去标识化是一种将敏感数据中的个人标识信息删除或替换为伪造的值的方法。这样可以保护数据的机密性，同时保留数据的可用性和有效性。去标识化通常应用于需要进行数据分析或共享的场景。

5）密码存储保密性算法是用于在存储密码时保护密码的机密性的技术。以下是一些常见的密码存储保密性算法：

哈希函数加盐存储：哈希函数是将密码转换为固定长度的哈希值的算法。为了增加密码的安全性，通常会将密码与一个随机生成的盐值进行组合，再通过哈希函数进行计算。将计算得到的哈希值和盐值一起存储，以保护密码的机密性。
密码加密存储：密码加密存储是将密码使用对称加密算法进行加密后存储的方法。只有具有解密密钥的授权用户才能解密密码。常见的对称加密算法如AES（高级加密标准）可以应用于密码加密存储。
彩虹表：彩虹表是一种用于破解密码存储的密码破解技术。为了防止彩虹表攻击，可以在存储密码时使用盐值并应用多次哈希函数计算。通过增加计算复杂度，可以防止彩虹表攻击。
密码哈希函数（Password Hashing Function）：密码哈希函数是专门为密码存储而设计的哈希函数。与一般的哈希函数不同，密码哈希函数通常使用特定的算法和技术，如迭代哈希、密钥扩展和盐值等，以提高密码的安全性。
双向加密存储：双向加密存储是一种将密码使用非对称加密算法进行加密后存储的方法。发送方使用接收方的公钥加密密码并存储，接收方使用私钥解密密码进行验证。这种方法同时提供了密码的机密性和数据的完整性。

19、等保2.0 Windows操作系统测评命令

Fri, 15 Nov 2024 09:44:26 +0800

Win+R输入cmd回车，打开控制台：

dir (directory) ：列出当前目录下的文件及文件夹

cd (change directory) ：改变指定目录(进入指定目录) 进入 cd 目录;

cd ..回退到上一级目录;

cd\ 返回根目录

cls (clear screen)：清屏

ping IP地址：测试本机对目标IP的连通性

exit：退出dos命令行

winver：操作系统系统版本

dxdiag：电脑配置信息

appwiz.cpl：程序和功能

control：控制面版

cmd->net user：查看用户名

cmd->net user +用户名：查看用户口令更改时间

cmd->netstat –an：检查是否存在无用的高危端口

cmd->net share：开放共享的情况

cmd->net start：系统启用服务列表

eventvwr.msc：事件查看器

Firewall.cpl：Windows防火墙

appwiz.cpl：查看补丁更新

fsmgmt.msc：共享文件夹管理器

gpedit.msc：本地组策略编辑器

hdwwiz.cpl：设备管理器

ipconfig：查看本机IP配置信息

mstsc：远程桌面连接

Msconfig.exe：系统配置

perfmon：计算机性能监测器

secpol.msc：本地安全策略

services.msc：本地服务设置

sysdm.cpl：系统属性

services.msc：本地服务设置

winver：关于Windows

lusrmgr.msc：本地用户和组

wscui.cpl：安全和维护

regedit：注册表

netplwiz：查看用户账户

2、Wireshark使用教程

Fri, 15 Nov 2024 09:44:26 +0800

一、wireshark是什么？

wireshark是非常流行的网络封包分析软件，简称小鲨鱼，功能十分强大。可以截取各种网络封包，显示网络封包的详细信息。

wireshark是开源软件，可以放心使用。可以运行在Windows和Mac OS上。对应的，linux下的抓包工具是 tcpdump。使用wireshark的人必须了解网络协议，否则就看不懂wireshark了。

二、Wireshark常用应用场景

网络管理员会使用wireshark来检查网络问题
软件测试工程师使用wireshark抓包，来分析自己测试的软件
从事socket编程的工程师会用wireshark来调试
运维人员用于日常工作，应急响应等等

总之跟网络相关的东西，都可能会用到wireshark

三、Wireshark抓包原理

Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

Wireshark使用的环境大致分为两种，一种是电脑直连网络的单机环境，另外一种就是应用比较多的网络环境，即连接交换机的情况。

**「单机情况」**下，Wireshark直接抓取本机网卡的网络流量；

**「交换机情况」**下，Wireshark通过端口镜像、ARP欺骗等方式获取局域网中的网络流量。

**端口镜像：**利用交换机的接口，将局域网的网络流量转发到指定电脑的网卡上。

**ARP欺骗：**交换机根据MAC地址转发数据，伪装其他终端的MAC地址，从而获取局域网的网络流量。

四、Wireshark软件安装

软件下载路径：

https://www.wireshark.org/

按照系统版本选择下载，下载完成后，按照软件提示一路Next安装。

五、Wireshark抓包示例

先介绍一个使用wireshark工具抓取ping命令操作的示例，可以上手操作感受一下抓包的具体过程。

1、打开wireshark，主界面如下：

2、选择菜单栏上捕获 -> 选项，勾选WLAN网卡。这里需要根据各自电脑网卡使用情况选择，简单的办法可以看使用的IP对应的网卡。点击Start，启动抓包。

3、wireshark启动后，wireshark处于抓包状态中。

4、执行需要抓包的操作，如在cmd窗口下执行ping www.baidu.com。

5、操作完成后相关数据包就抓取到了，可以点击停止捕获分组按钮。

6、为避免其他无用的数据包影响分析，可以通过在过滤栏设置过滤条件进行数据包列表过滤，获取结果如下。说明：ip.addr == 183.232.231.172 and icmp 表示只显示ICPM协议且主机IP为183.232.231.172的数据包。说明：协议名称icmp要小写。

7、wireshark抓包完成，并把本次抓包或者分析的结果进行保存，就这么简单。关于wireshark显示过滤条件、抓包过滤条件、以及如何查看数据包中的详细内容在后面介绍。

六、Wireshakr抓包界面介绍

Wireshark 的主界面包含6个部分：

菜单栏：用于调试、配置

工具栏：常用功能的快捷方式

过滤栏：指定过滤条件，过滤数据包

数据包列表：核心区域，每一行就是一个数据包

数据包详情：数据包的详细数据

数据包字节：数据包对应的字节流，二进制

说明：数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏视图 –> 着色规则。如下所示

WireShark 主要分为这几个界面

1. Display Filter(显示过滤器)

用于设置过滤条件进行数据包列表过滤。菜单路径：分析 –> Display Filters。

20、等保2.0_Windows主机测评

Fri, 15 Nov 2024 09:44:26 +0800

以下以Windows server 2012R2 举例，按照等保2 0三级要求测评。一、身份鉴别a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。通过win+R（运行）输入netplwi

注：一般记住几条主要的命令就可以查看大部分测评项了。

主要命令：netplwiz，lusrmgr.msc，secpol.msc，eventvwr.msc，gpedit.msc，services.msc

-cmd: netstat -an，net share，firewall.cpl，appwiz.cpl

一、身份鉴别

a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。

通过win+R（运行）输入netplwiz命令，查看是否勾选“要使用本计算机，用户必须输入用户名和密码”。

通过查看控制面板–》程序与系统–》管理工具–》计算机管理–》用户与用户组或者运行中输入lusrmgr.msc，查看有哪些用户，系统默认用户adminstrator和Guest，Guest默认禁用，administrator不存在默认口令。

点击用户查看是否勾选密码永不过期等信息。

通过在运行中输入secpol.msc命令–》账户策略中的密码策略，查看密码复杂度是否开启，密码复杂度策略等信息，不适用就是未启用。

b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

通过在运行中输入secpol.msc命令–》账户策略中的账户锁定策略，查看登录失败处理功能是否开启，登录失败策略等信息，不适用就是未启用。

通过控制面板–》外观–》显示–》屏幕保护程序设置查看是否启用了屏保。

c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听。

如果是本地管理成KVM等硬件管理方式，此要求默认满足。

通过输入gpedit.msc–》管理模板–》Windows组件–》远程桌面服务–》远程桌面会话主机–》安全

通过输入gpedit.msc–》管理模板–》Windows组件–》远程桌面服务–》远程桌面会话主机–》连接

d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

一般此项经访谈即可，大部分主机此项不符合。

二、访问控制

a)应对登录的用户分配账户和权限

访问重要文件例如系统盘的Program文件夹，右键属性–》安全查看各个用户的权限分配是否合理，一般默认合理。

b)应重命名或删除默认账户，修改默认账户的默认口令

通过输入lusrmgr.msc命令，查看有哪些用户，是否存在默认用户，默认账户是否禁用。多数情况下adminstratorz账户在使用中。

c)应及时删除或停用多余的、过期的账户，避免共享账户的存在

通过输入lusrmgr.msc命令，查看有哪些用户adminstrator账户，记为存在共享账户。

d)应授予管理用户所需的最小权限，实现管理用户的权限分离

通过输入secpol.msc–》本地策略–》用户权限分配：查看用户权限是否分配合理，一般都是默认。主要注意管理审核和安全日志是否只有特定的人员有权限。

e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

在windows主机中，授权主体一般是管理员，验证普通用户是否对访问控制策略具有操作权限。

f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

Windows系统此项默认符合

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

Windows系统此项基本不符合，Windows自己的访问控制功能无法满足本项要求，需要借助第三方软件实现。

三、安全审计

a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

通过输入secpol.msc命令–》本地策略–》审核策略，查看其安全设置是否有成功、失败，如没有即未开启相关功能的审计功能。

b)审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息

Windows审计记录默认满足要求，若使用第三方审计工具，则检查审计工具的记录是否满足。

通过输入eventvwr.msc–》Windows日志

c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等

Windows操作系统默认除了administrators组外不能删除修改日志，所以需要检查应用程序、安全、系统日志策略是否合理，关注点如下图（下图是默认配置）：

通过输入eventvwr.msc–》Windows日志–》应用程序–》属性

访谈管理员是否对于系统日志备份，备份策略，查看备份记录

d)应对审计进程进行保护，防止未经授权的中断

通过输入secpol.msc–》本地策略–》用户权限分配，查看“管理审核和安全日志”策略项是否包含了与审计无关的用户组（默认符合）

21、等保测评2.0_应用访问控制理解解

Fri, 15 Nov 2024 09:44:26 +0800

1. 说明

本篇文章主要说一说应用测评中访问控制控制点的相关内容和理解。

2. 测评项

a)应对登录的用户分配账户和权限；

b)应重命名或删除默认账户，修改默认账户的默认口令；

c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；

d)应授予管理用户所需的最小权限，实现管理用户的权限分离；

e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；

f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

3. 测评项a

a)应对登录的用户分配账户和权限；

3.1. 要求1

如果从字面意思来看，就是一个废话用户都登录账户了，自然就存在着账户。
这里的意思是应该是你本来就存在“多个账户”，然后当用户使用时要适当的“分配账户”给用户，而账户再拥有不一样的权限，这样就实现了将权限通过账户分配给用户（自然人）。
所以该测评项就需要应用系统中存在至少两个账户且这两个账户的权限不一样

嗯……实际测评中我还真遇到过基本缺乏访问控制功能的，倒不是完全缺乏访问控制（鉴别）功能，在不登录的情况下，可直接访问后台地址。

而是只有一个账户或者数个账户，但是登录后没有权限分配机制，没有在代码中做这个功能……

4. 测评项b

b)应重命名或删除默认账户，修改默认账户的默认口令；

其实就是看一看有没有存在admin、system等常见的默认账户用户名，如果存在，不管它到底是不是实际的默认用户，都算是不完全符合要求。
另外有些应用系统的默认账户虽然不使用admin、system等常见的默认账户用户名，但是它这个软件都是用的这个默认用户名，这样的话也得改。

5. 测评项c

c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；

主要针对管理员账户、后台账户进行判定，一般都是符合的。

6. 测评项d

d)应授予管理用户所需的最小权限，实现管理用户的权限分离；

如果业务比较多，比如医院的系统、财务系统或者其他系统，权限本来就会分得比较细，甚至非常细。
这种情况下，给个符合是没有多大问题的。

如果业务规模比较小，可能权限分配的粒度就非常粗了。
我就遇到过，某个应用系统就两个角色，一类是普通用户，一类是后台用户这种只能往部分符合、不符合的方向去判定了。

7. 测评项e

e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；

没什么好说的，一般都是超级管理员或者系统管理员具备这方面的权限，基本上是可以判定为符合的。

8. 测评项f

f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；

8.1. 访问控制的粒度为用户级

这里其实细究的话，从某个角度上来说，有一部分应用系统是不完全符合的。
基本上应用系统的权限分配方式都是角色拥有权限，用户再属于某个角色，这样用户也就获得了权限。

但是如果要达到访问控制的粒度为用户级，应该还要有一个功能，就是也能直接把某个具体的权限赋予给某个具体的用户。
这样，粒度就确切的达到了用户级。

否则，你想调整权限，实际就得调整角色的权限，角色下面有多个用户，你就相当于调整了某一类用户的权限。
除非你为了实现细粒度的控制，某些角色下面只有一个用户……

当然，实际测评中根据具体情况进行结果判定，没有必要这么深究。

8.2. 访问控制的粒度达到表级

这里并不是让你跑去数据库中进行查看，直接在应用系统中判断就好。
应用系统中一个表单页面可以大概的类比于数据库中的一个表，比如个人信息表、业务表等。
（当然，可能某些表单页面是由多个表复合而成的，这个就不管它了。）

所以这个就是要看权限分配的时候，是否能直接对表单页面的权限进行分配，比如允许访问什么的。
表单页面的权限一般就是功能栏、菜单栏的权限分配，大部分应用系统都可以做到。
甚至有些做得更细致，比如细致到某个表单的按钮的权限上。

8.3. 访问控制的表现

在应用系统中，限制了用户的某些权限，比如查看某个表单的权限，一般有两种方式。

一种是表单的栏目直接不显示：
在C/S架构中，这样基本上就没有问题了，除非它的那个表单实质上是另外一个窗口，存在exe，而exe里没有对用户的权限进行判定。
在B/S架构中，这样基本上也没问题了，但是最好还是试验下，比如你先登录有相关权限的账户，将表单的地址记下来，然后再登录没有权限的账户，直接通过地址去访问表单，看是否能够成功。有些B/S的表单可能是用ajax方式显示的，这样的话，你需要找到接口，登录后使用jquery的get方法或者post方法去访问相关接口。

如果要搞清楚，其实需要对应用系统做渗透

另外一种就是没有权限的按钮或菜单等照样显示，但是你点不进去，菜单或者按钮处于禁用状态。
对于B/S架构的，其实还是要按照上面的方式试一试它的后台有没有同样做了权限控制，还是只是在前端进行了限制。

22、等保测评2.0_Mysql访问控制理解解读

Fri, 15 Nov 2024 09:44:26 +0800

一、说明

本篇文章主要说一说MySQL中访问控制控制点的相关内容和理解。，其余层面要求项见https://cloud.tencent.com/developer/column/2006

二、测评项

a)应对登录的用户分配账户和权限； b)应重命名或删除默认账户，修改默认账户的默认口令； c)应及时删除或停用多余的、过期的账户，避免共享账户的存在； d)应授予管理用户所需的最小权限，实现管理用户的权限分离； e)应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；f)访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级； g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

三、测评项a

a)应对登录的用户分配账户和权限；

3.1. 要求1

如果从字面意思来看，就是一个废话，用户都登录账户了，自然就存在着账户。

这里的意思是应该是你本来就存在“多个账户”，然后当用户使用时要适当的“分配账户”给用户，而账户再拥有不一样的权限，这样就实现了将权限通过账户分配给用户（自然人）。

所以，该测评项就需要MySQL中存在至少两个账户，且这两个账户的权限不一样。

3.2. 要求2

在测评要求中测评实施如下：

在MySQL中，安装完成后默认存在的账户一般有3个，都是root：

先不管其中是否存在多余账户，这个账户如果使用的话一般当做超级管理员来用，默认状况下root账户也拥有着所有的全局权限，也不需要对root账户的权限做什么限制。

全局权限存储在user表中，里面有着权限列：

四、测评项b

b)应重命名或删除默认账户，修改默认账户的默认口令；

默认账户root当然是可以修改用户名的，但是一般数据库和实际业务关联比较深，修改数据库用户的用户名肯定会影响到业务。

所以从实际角度来说，应该是建议修改root的用户名，但不强制要求。

如果没有修改用户名或者禁用账户的话，似乎MySQL安装好后root账户存在一个初始口令（随机生成的）。

无论存不存在初始口令，现在使用的口令应该是强口令，才符合测评要求。

五、测评项c

c)应及时删除或停用多余的、过期的账户，避免共享账户的存在；

默认账户一般就是root账户，这里个人觉得是存在多余账户的：

在等保测评2.0：MySQL身份鉴别（上）中有说过：

对于MySQL来说，如上文所言，用户的身份标识为username + host，MySQL并没有禁止出现完全一样的username + host行，所以这里是可能出现身份标识不唯一的情况的。这三个用户的User都是root，虽然Host看上去不一样，实际上也都是本机地址。 127.0.0.1就是本地的ip地址，localhost则是在hosts文件里（linux系统中）和ip地址进行了映射，其实映射的还是127.0.0.1地址，至于::1应该是ipv6格式的本机地址。 ::1这个我不知道要如何才能连上，当用户名为root的行只剩下host值为::1的行的时候，使用用户名root怎么连都不可能连上。对于127.0.0.1和localhost，在windows系统上没啥区别，登录时其排序是不确定的（对于这种，应该是谁先创建谁在前）。对于127.0.0.1和localhost，好像在linux上有一点区别：MySQL主机127.0.0.1与localhost区别总结从正常的业务需求来说，明显这三个用户的身份标识是不唯一的，应该删掉::1和另外一个。至于非默认账户，可以通过访谈或者权限查询来判断是否为多余账户。

六、测评项d

d)应授予管理用户所需的最小权限，实现管理用户的权限分离；

6.1. MySQL的权限结构

MySQL的权限是有多个层级的，分别是，存储在各个表当中。

分别是：mysql.user表（全局权限）、mysql.db表（数据库权限）、mysql.tables_priv（表权限）、mysql.columns_priv（列权限）。

权限判断过程大概是这样的：

客户端操作核实阶段，当客户端的连接请求被MySQL服务器端通过其身份认证后。那么接下来就可以发送数据库的操作命令给服务器端处理，服务器检查用户要执行的操作，在确认权限时，MySQL首先检查user表，如果指定的权限没有在user表中被授权；MySQL将检查db表，db表时下一安全层级，其中的权限限定于数据库层级，在该层级的SELECT权限允许用户查看指定数据库的所有表中的数据；如果在该层级没有找到限定的权限，则MySQL继续检查tables_priv表以及columns_priv表，如果所有权限表都检查完毕，但还是没有找到允许的权限操作，MySQL将返回错误信息，用户请求的操作不能执行，操作失败。其过程大概如下图：

查询某用户的权限的话，可以去上述几个权限表中查看数据。

也可以使用show grants for ‘xx’@’xx’语句，这个语句应该会把某用户在这些表中的权限全部列出来：

+---------------------------------------------------------------------------------------------+| Grants for dba@localhost |
+---------------------------------------------------------------------------------------------+| GRANT RELOAD, SUPER, REPLICATION CLIENT ON *.* TO 'dba'@'localhost' |
| GRANT CREATE TEMPORARY TABLES ON `mysql`.* TO 'dba'@'localhost' |
|---|
| GRANT SELECT, INSERT, UPDATE, CREATE, DROP ON `mysql`.`backup_history` TO 'dba'@'localhost' |
| GRANT INSERT, UPDATE, CREATE, DROP ON `mysql`.`ibbackup_binlog_maker` TO 'dba'@'localhost' |
| GRANT INSERT, UPDATE, CREATE, DROP ON `mysql`.`backup_progress` TO 'dba'@'localhost' |
+---------------------------------------------------------------------------------------------+

其中第一行是全局权限，第二行是mysql数据库的权限，第三、四行则是表一级的权限。

23、Https加密流量解析技术分析

Fri, 15 Nov 2024 09:44:26 +0800

加密技术是最常用的安全保密手段，能够保护数据不被窥视，但是也产生了新的问题，一方面是应用系统业务流量加密后，企业自身基于流量内容分析的旁路安全设备将失效，另一方面，攻击者会借助加密流量实施恶意攻击，避开各类NTA产品的检测。

针对加密流量，目前主流的攻击分析手段包括解密后分析和不解密分析。现在网上大多数的文章都是针对“不解密条件下识别和阻断恶意流量”进行分析，在和客户沟通过程中，发现大家其实一直对“如何进行业务加密流量解密分析”存在疑问，只知道针对现有HTTPS的业务，将加密流量通过镜像的方式转发给安全设备探针，安全设备即使导入了证书和服务端私钥也没法解析出内容，却不知道为什么。另外，众多安全厂商宣称其Tap镜像网、数据防泄漏、邮件审计、流量分析产品有旁路解密方案，又是如何做到的？我们慢慢往下看。

本文主要针对HTTPS业务，解析安全设备对其流量进行解密的条件和原理，未尽之处，欢迎大家探讨指正。

HTTPS加解密原理

要知道HTTPS业务的流量加解密原理，首先要知道HTTPS业务的加解密方式和流程。如下图，HTTPS在HTTP的基础上，通过传输加密和身份认证来保证传输过程的安全性，利用TLS和SSL对通信协议进行加密。

为什么HTTPS要用对称+非对称加密？

我们首先来复习一下对称加密、非对称加密和散列函数

对称加密指的是加密和解密使用同一个秘钥，对称加密只有一个秘钥。优点：计算量小、加密速度快、加密效率高，缺点：秘钥的管理和分发非常困难，不够安全。

非对称加密指的是加密和解密使用不同的秘钥，一把作为公开的公钥，另一把作为私钥，公钥加密的信息，只有私钥才能解密，私钥加密的信息，只有公钥才能解密，私钥只能由一方安全保管，不能外泄，而公钥则可以发给任何请求它的人。优点：安全性更高，公钥是公开的，秘钥是自己保存的，密匙分发和密匙管理相对简单。缺点：加密和解密花费时间长、速度慢，只适合对少量数据进行加密。

散列函数是一种单向密码体制，指的是对信息进行加密，生成不可逆的固定长度的哈希值，一般用于完整性验证和数字签名场景，如验证数据在传输过程中没有被篡改。

总的来说，对称加密算法效率高，可以防窃听，但是要解决密钥交换安全问题；非对称加密的加解密效率低，适合用于认证，不适合用于内容传输，可以防窃听和防仿冒；散列函数不可逆的特性可以防止信息被非法篡改。

HTTPS将如上的技术整合，达到性能和安全的最大化。在HTTPS的交互流程中，客户端发起 HTTPS 请求，服务端返回CA证书，客户端对证书进行身份验证，验证通过后本地生成用于对称加密算法的随机数，通过CA证书中提取的服务器公钥对随机数进行加密传输到服务端，服务端接收后通过服务器私钥解密得到随机数，之后的数据交互通过对称加密算法，使用随机数生成的对称密钥进行加解密。

HTTPS通过非对称加密算法防止”中间人“攻击，同时可以为网站提供身份证明，并通过对称加密对HTTPS 的内容传输进行加密。

HTTPS加解密和数据传输流程

简单来说，HTTPS业务的加解密和数据传输流程可以分三个阶段：证书验证、密钥交换、数据交换。

从上图可以看出：

数据交换阶段主要用于应用系统业务数据的加解密，也就是我们常规理解的数据加密，而该阶段的对话密钥是通过密钥交换阶段计算生成的，对称加密算法实现了业务数据的高效加解密。

密钥交换阶段实现了对称密钥在不安全环境的安全交换，如DH算法，就是利用离散对数计算问题，通过对方的公开值和自己的私有值计算出对称密钥，实现密钥安全交换。

证书验证阶段通过CA证书和数字签名，验证服务器身份，此处使用了非对称加密和散列函数算法，防止用户文件被篡改或伪造。

为什么我有证书和私钥，

还是不能看加密镜像流量？

在这里，回到最开始的第一个问题“针对现有HTTPS的业务，将加密流量通过镜像的方式发给安全设备探针，安全设备即使导入了证书和服务端私钥也没法解析出业务数据内容”，我们可以发现关键节点在于密钥交换环节，如果我们能够通过服务器私钥或者其他某种方式，将密钥交换环节中的保密随机数进行解析，就能获得整个数据交换环节的业务数据内容。

显然，通过RSA算法进行密钥交换时，只要中间人拿到服务端私钥就可以实现明文解包，也就是说，如果我们的HTTPS业务使用的密钥交换算法是RSA，是可以将加密镜像流量进行解密的，那为什么实际业务中解密不了呢？

如上图， DH的加密算法创造的目的就是防止这种解密方式，所以只要了解DH的原理，就能回答这个问题。

DH算法原理介绍

简单来说DH算法是双方协商用同一个大素数p和素数p的原根q，各自生成随机数X,Y。请求方将q的X次方mod p产生的数值发送给接收方，接收方将q的Y次方mod p产生的数值发送给请求方。请求方再对接收的数值做X次方运算，接收方对接收的数值做Y次方运算，最终生成一样的共享密钥，完成密钥的交换。

①A发给B：A的公钥

②B根据A的公钥，创建只针对A使用的公钥（AB-公）和私钥（AB-私）

③B发给A：AB-公

④A用自己的私钥和对方的公钥算出S：A的私钥+AB-公=S1=S

⑤B用自己的私钥和对方的公钥算出S：AB-私+A的公钥=S2=S

⑥A和B交互的数据，都可以用S解密。所以此时双方就可以正常加密通信了。

举个例子

①首先A和B协商一个随机二元组，q.p（3.7）。

A和B各自在（1，p-1）中取一个随机保密数da、db

并根据da、db算出pa、pb。

A和B所属范围（1,6）——da=05、db=6

pa=q^da mod p = 3^5 mod 7 = 5

pb=q^da mod p = 3^6 mod 7 = 1

②a和b对pa、pb值进行交互，并计算出共享秘钥S

24、等保2.0 思科交换机命令

Fri, 15 Nov 2024 09:44:26 +0800

检查密码复杂度要求：show running-config | include password complexity

检查密码加密算法：show running-config | include password encryption

检查登录失败锁定策略：show running-config | include login block-for

查看登录失败计数器：show login failures

检查超时策略：show running-config | include exec-timeout

检查登录访问控制策略：show running-config | include access-class

检查管理员访问权限：show running-config | include privilege

检查用户角色和权限：show running-config | include username

安全审计：检查审计日志配置：show running-config | include logging audit-trail

检查日志中心配置：show logging

检查入侵防御配置：show running-config | include ips

检查登录地址限制策略：show running-config | include login block-for

检查日志备份配置：show running-config | include logging host

检查配置文件备份策略：show running-config | include archive

25、等保2.0 Postgresql数据库配置核查命令

Fri, 15 Nov 2024 09:44:26 +0800

第一部分

psql -h 127.0.0.1 -d postgres -U postgres 连接pgsql server

pg_ctl –version 查看数据库版本

select version(); 查看数据库版本（登录到数据库中）

打开pg_hba.conf配置文件查看数据库的身份认证方式

select * from pg_shadow ; 口令到期时间

show password_encryption; 查看口令加密算法

select * from pg_settings ps where ps.name like ‘%timeout%’; 查询超时

show shared_preload_libraries; 查看是否启用密码复杂度模块

打开postgresql.conf配置文件，查看ssl字段是否为on

第二部分

\du 查看管理用户。

打开postgresql.conf配置文件，查看logging_collector 是否= on，on表示开启日志，查看 log_statement的参数判断数据库审计记录信息。

检查访问控制配置：

SELECT * FROM pg_roles; SELECT * FROM pg_stat_user_tables;

执行more /var/lib/pgsql/data/pg_hba.conf;查看文件允许管理员指定主机需要使用 SSL 加密的连接（hostssl）。客户端还可以指定它们只通过 SSL 连接到服务器

TYPE：值为local和host, Local值表示为主机Socket连接， host代表允许的主机地址连接

DATABASE: 允许访问的数据库名， all代表允许全部数据库

USER: 表示允许哪个用户访问数据库， all代表所有用户都可以访问

26、等保2.0 华为交换机命令

Fri, 15 Nov 2024 09:44:26 +0800

1）密码策略：

检查密码复杂度要求：

display aaa password-scheme

检查密码过期策略：

display aaa password-expire

检查密码加密算法：

display current-configuration | include password cipher

2）登录失败处理：

检查登录失败锁定策略：

display aaa fail-logins

查看登录失败计数器：

display aaa fail-logins statistics

3）超时退出：

检查超时策略：

display idle-timeout

4）访问控制：

检查登录访问控制策略：

display acl all

检查管理员访问权限：

display privilege

5）用户权限：

检查用户角色和权限：

display user privilege

6）安全审计：

查看当前交换机的日志配置和状态（如果在日志输出中看到"SNMP Trap"或类似的条目，则表示SNMP Trap（陷阱）已启用，并且应该正在发送日志消息）

display logging

检查审计日志配置：

display logbuffer configuration

检查日志记录规则：

display logbuffer rule

检查是否配置的SNMPv3组信息

display snmp-agent group

****检查是否配置的SNMPv3用户信息。

display snmp-agent usm-user

检查是否配置的SNMPv3目标主机信息

display snmp-agent target-host

7）入侵防范：

27、等保2.0 绿盟网络入侵检测系统（Nids）

Fri, 15 Nov 2024 09:44:26 +0800

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.1 身份鉴别（S3）
测评要求： a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；上图可以看到该设备的口令策略（包含长度、复杂度、有效期） b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；上图可以到该设备的登录失败处理功能和空闲超时退出时间。 c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；上图可以看到该设备传输协议和算法，算法需要抓包查看。 d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。多数安全设备不会配置双因素鉴别技术。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.2 访问控制（S3）
测评要求： a) 应对登录的用户分配账户和权限；上图可以看出该设备只有一个admin账户，审计账户未启用，且admin未超级管理员，明显未限制admin的访问权限。 b) 应重命名或删除默认账户，修改默认账户的默认口令； c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在；上图可以看出该设备只有一个admin账户，审计账户未启用，多余、过期的账户肯定不存在，是否存在共享有点难界定，如果只有一个人管理这台设备是不是就可以判断符合。 d) 应授予管理用户所需的最小权限，实现管理用户的权限分离；上图可以看出该设备只有一个admin账户，审计账户未启用，且admin未超级管理员 e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；安全设备默认符合。 f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；安全设备默认符合 g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。安全设备默认不符合。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.3 安全审计（G3）
测评要求： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；上图可以看出该设备可对自身的流量和告警进行审计，审计能够覆盖到所有用户。 b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；上图可以看出告警日志的相关信息。 c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；上图可以看出该设备可以配置日志服务器，并对审计数据进行备份的功能，另外需要对审计数据保存时间至少达到6个月。 d) 应对审计进程进行保护，防止未经授权的中断。此测评项严格意义来说各设备的三权分离要明确了才能实现，即设备需要有专门的审计管理员，其他管理员不能对审计数据进行修改、删除、清空等操作。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.4 入侵防范（G3）
测评要求： a) 应遵循最小安装的原则，仅安装需要的组件和应用程序；安全设备默认遵循最小安装原则，首先它属于定制开发产品，所有功能几乎没有多余的，其次它的功能模块想要增加是需要收费的。 b) 应关闭不需要的系统服务、默认共享和高危端口；上图可以看出该设备使用的到端口和协议，如果配置日志服务器可能还会使用到514端口以及相关协议。 c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；上图可以看出该设备可以直接在设备上配置管理员的登录地址，有的设备登录地址无法在设备自身设置，可在防火墙以及其他具有访问控制功能的设备上设置。 d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；安全设备该测评项不适用。 e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；此测评项检查被测单位的漏扫报告，查看和验证报告中漏洞修复情况，以及检查设备的版本更新情况。 f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。此测评项对于安全计算环境单个设备来说个人感觉有点不好实现，交换机、路由器….等设备怎么可能检测到对重要节点进行入侵的行为，所以我个人认为在安全区域边界中针对具有检测到对重要节点进行入侵的行为的设备（如IDS、IPS、态势感知等）进行测评即可，这里个人觉得可以不适用。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.6 可信验证（S3）
测评要求：可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。根据经验来看，目前的常见的安全设备对于可信验证这条测评项都达不到要求，默认不符合。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.7 数据完整性（S3）
测评要求： a) 应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等； b) 应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。多数安全设备在测评过程中测评机构无法获得数据存储过程的完整性校验算法，抓包也不一定可以抓出设备的完整性校验算法，默认不符合。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.8 数据保密性（S3）
测评要求： a) 应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等； b) 应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。上图可以看出该设备支持AES、SM02、SM4等国际算法和国密算法。

测评类别：网络安全等级测评（第三级）
测评类：8.1.4 安全计算环境（安全通用要求）
测评项：8.1.4.9 数据备份恢复（A3）
测评要求： a) 应提供重要数据的本地数据备份与恢复功能；上图可以看出该设备可以对配置文件直接导出备份和导入恢复，但是个人认为导入恢复的现实意义并不大，不过等保有这要求 b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；对于安全设备的需要异地实时备份的数据可能只有审计数据，大部分网络环境不会对安全设备的审计数据实时备份，有的可能会对配置数据导出做异地备份，但也不可能实时备份。 c) 应提供重要数据处理系统的热冗余，保证系统的高可用性。 IDS一般旁路部署，且不属于重要数据处理系统，单机旁路部署不影响系统的高可用性，该测评项不适用。

28、等保2.0 Maridb数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、MariDB介绍

MariaDB数据库管理系统是MySQL的一个分支，是同一MySQL版本的二进制替代品，主要由开源社区在维护，采用GPL授权许可 MariaDB的目的是完全兼容MySQL。

本次安装环境为Windows10专业版操作系统，数据库版本为10.8.3，单机部署过程比较简单就不在此进行讲解。本文针对MariDB等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）执行命令：“mysql"检查数据库是否对用户进行身份鉴别:

如果直接进入数据库则未对用户进行身份鉴别，判不符合；

如果无法登录则表明对用户进行了身份鉴别，则需要根据口令策略再进行判定。

2）在数据库“my.ini”配置文件修改口令策略参数。

3)执行命令：“show variables like ‘validate%’;”查看口令策略是否合理：

备注：如果数据库未安装密码策略插件请执行命令：“INSTALL SONAME ‘simple_password_check’;”进行安装并配置相关策略。

4）执行命令：“CREATE USER “test1”@”localhost” IDENTIFIED BY ‘123456’;若不存在空口令、弱口令的现象：

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

show variables like ‘%timeout%’;

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

1)是否采用加密等安全方式对系统进行远程管理是否用户都是localhost，全为localhost则为本地管理，可判定为不适用。

2）远程管理根据实际管理情况进行判定（如了解数据库管理工具采用什么措施防止鉴别信息在传输过程中被窃听），若存在远程管理，执行命令：“show variables like ‘%have_ssl%’;”查看是否启用ssl协议，并验证协议是否生效：

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访谈管理员并进行验证，是否采用双因子身份鉴别技术，鉴别技术是什么。实际实现双因素认证比较困难，一般情况判定为不符合。

访问控制

a) 应对登录的用户分配账户和权限；

1)执行命令：“select user,host FROM mysql.user;”查看用户，并结果结合访谈管理员是否存在网络管理员，安全管理员，系统管理员、审计管理员等多个账户，为各个管理用户分配对应的权限：

2）执行命令：”select * from mysql.user where user=‘XXX’;或“select * from mysql.db;”检查用户权限：

b) 应重命名或删除默认账户，修改默认账户的默认口令

检查root账户是否重命名，检查其他账户的是否属于默认账户（数据库一盘情况不存在默认口令）。

29、等保2.0 Mongodb测评

Fri, 15 Nov 2024 09:44:26 +0800

一、MongoDB介绍

MongoDB 是一个基于分布式文件存储的数据库。由C++语言编写。旨在为WEB应用提供可扩展的高性能数据存储解决方案。

MongoDB 是一个介于关系数据库和非关系数据库之间的产品，是非关系数据库当中功能最丰富，最像关系数据库的。他支持的数据结构非常松散，是类似json的bson格式，因此可以存储比较复杂的数据类型。

本次安装环境为Windows10专业版操作系统，数据库版本为5.0.8，单机部署过程比较简单就不在此进行讲解。本文针对MongoDB等保测评进行实际操作，不妥之处还恳请留言指正，共同学习。** **

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

1）MongoDB服务在安装后默认未开启权限验证，默认是空账户、空口令，这就导致了任何人无需进行账号认证就可以登陆到数据服务器（同时身份标识的唯一性就得不到满足），未启用身份验证时执行命令“mongo"即刻对数据库进行任意操作:

2）检查mongod.cfg配置文件中修改auth=true，启用身份认证，执行命令：“mongo"后输入其他命令结果显示权限不足或不显示：

2）MongoDB自身不具备设置登录账户的口令复杂度和定期更换口令的策略，仅通过管理员自行设置口令复杂度：

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

据了解，mongoDB好像不具备登录失败处理功能。

c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

1)是否采用加密等安全方式对系统进行远程管理是否用户都是localhost，全为localhost则为本地管理，可判定为不适用。

2）远程管理根据实际管理情况进行判定（如了解数据库管理工具采用什么措施防止鉴别信息在传输过程中被窃听）

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访谈管理员并进行验证，是否采用双因子身份鉴别技术，鉴别技术是什么。实际实现双因素认证比较困难，一般情况判定为不符合。

访问控制

a) 应对登录的用户分配账户和权限；

执行命令“show users”查看mongoDB中的账户的管理权限：

b) 应重命名或删除默认账户，修改默认账户的默认口令

mongoDB不存在默认账户，可根据需要建立不同权限的账户，所有账户都是用户自行建立，账户权限列表如下：

c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在

1）询问管理员数据库中的账户使用情况，是否存在无人使用的账户，如果存在建议删除。

2)检查网络管理员，安全管理员、系统管理员不同用户是否采用不同账户登录数据库。

d) 应授予管理用户所需的最小权限，实现管理用户的权限分离

执行命令“show users”查看mongoDB中的账户的管理权限是否不同，是否建立三员。

e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

1）访谈和查看管理员是否制定了访问控制策略

2）查看管理员权限；（此测评点如果mongoDB已经启用身份鉴别，且具备权限分离可判定为符合）

f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

结合a）、b）、c）、d）、e）项，并访谈管理员并核查访问控制粒度主体是否为用户级，客体是否为数据库表级。

（此测评点多数测评机构默认判定为符合）

g)应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

通过访谈管理员是否对重要主体和客体设置安全标记。mongoDB自身应该不具备这个功能，可能需要依赖操作系统或者第三方来实现。该项一般默认都不符合。

安全审计

a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

1）确保日志记录捕获尽可能多的信息安全审计，检查mongod.cfg配置文件中是否添加quiet: false

2）可检查mongod.log的日志文件记录是否正常：

3）访谈管理员是否通过第三方工具（数据库审计系统）收集审计数据进行分析。

b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

1）检查mongod.log的日志文件:

3、Appscan扫描移动App教程_（Android和Ios）

Fri, 15 Nov 2024 09:44:26 +0800

前提：电脑和手机要在同一局域网下（连同一个WiFi）

1、创建新的扫描

2、选择扫描模板，个人喜欢选择常规扫描

3、选择外部设备/客户机

4、记录代理配置

5、手机WiFi配置

5.1、电脑按住WIN+R键，输入cmd，然后点击确定

5.2、输入ipconfig，找到IPV4地址

5.3、打开手机设置，把手机代理设置为手动，主机名填写为ipv4，端口号为（第四步代理端口号，你的不一定是7777，按你的填写），填写后保存

6、返回到AppScan,点击下一步

7、点击记录代理配置

8、切换到记录代理然后添加白名单，这时候会弹出是否添加xx.xx.xx到白名单，选择是；如果没有出现弹框就手动添加手机ip地址到白名单（192.开头）

9、手机杀掉除被测APP外的其它应用程序，打开被测APP登录后进行操作（最好是有增删改查）

10、操作完后点击停止记录

11、勾选检测到的域后点击确定

12、AppScan开始进行扫描

13、扫描完成后选择生成报告

30、等保2.0 达梦数据库测评

Fri, 15 Nov 2024 09:44:26 +0800

一、达梦数据库介绍

达梦数据库管理系统属于新一代大型通用关系型数据库，全面支持 ANSI SQL 标准和主流编程语言接口/开发框架。行列融合存储技术，在兼顾 OLAP 和 OLTP 的同时，满足 HTAP 混合应用场景。

本次安装环境为Windows10专业版操作系统，数据库版本为v458764

查询命令

select * from v$dm_ini where para_name =‘PWD_POLICY’;查看密码策略

SELECT * FROM V$DM_INI WHERE PARA_NAME=‘ENABLE_AUDIT’;查看审计状态

select * from V$AUDITRECORDS;查看审计记录

select * from v$dm_ini where para_name =‘ENABLE_OBJ_REUSE’;查看客体内存重用和文件重用

其他安全配置可在DM管理工具中看到。** **

二、等保测评

身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

达梦支持数据库身份验证模式和外部身份验证模式。数据库身份验证模式需要利用数据库口令，即在创建或修改用户时指定用户口令，用户在登录时输入对应口令进行身份验证；外部身份验证模式支持基于操作系统(OS)的身份验证、LDAP 身份验证和 KERBEROS 身份验证。

1）验证方式：

2）用户登录验证：

3）口令策略：

执行命令：“select * from v$dm_ini where para_name =‘PWD_POLICY’;”查看密码策略：

4）用户唯一标识由达梦数据库自动实现，这点默认符合。

b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

达梦数据库具备登录失败处理功能：

备注：如果未设置登录失败处理措施，可执行命令：“LIMIT FAILED_LOGIN_ATTEMPS 3, PASSWORD_LOCK_TIME 5;”进行配置。表示用户失败的登录次数达到3次，这个用户账号将被锁定5分钟。

31、等保2.0测评_Redis_数据库

Fri, 15 Nov 2024 09:44:26 +0800

查看数据库版本：

1）服务器本地查看

redis-server -v
redis-server --version

2）登录到数据库内查询

登录数据库：redis-cli -h 127.0.0.1 -p 6379 -h后面跟ip，-p跟端口

一般是本地登录，直接 redis-cli 即可登录，当然前提是没有修改过Redis的服务端口。

登录到数据库后，我们输入：info

四、入侵防范

以下条款为：不适用

a）应遵循最小安装的原则，仅安装需要的组件和应用程序

b）应关闭不需要的系统服务、默认共享和高危端口

d）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求

f）应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

涉及到的：

c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

找到redis的配置文件，一般为redis.conf，可以先找NETWORK，下面会有个bind

注释情况下为任意IP访问，可设置指定 IP，以空格分割。这里只要看bind后面跟的ip地址即可。

e）应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

这条就结合漏扫、测试等方法进行判断，redis这玩意可是出了名的漏洞多。。

像非授权访问漏洞，本地也测试过能成功，这里就不细说了，交给渗透工程师去看吧，然后我们等保的拿他们的报告确认是否存在对应漏洞即可。

五、数据完整性

针对这个数据库，下面两条默认都是不符合。询问管理人员是否做了相关措施来保证数据的完整性。

a）应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

b）应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等

六、数据保密性

这个保密性同理，针对这个数据库，下面两条默认都是不符合。询问管理人员是否做了相关措施来保证数据的保密性。

a）应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等

b）应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等

七、数据备份恢复

a) 应提供重要数据的本地数据备份与恢复功能

这个没啥好说的，直接去问管理人员备份怎么做的，是否有措施保证备份数据有效（有测试记录即可）。

b）应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

询问管理员

c）应提供重要数据处理系统的热冗余，保证系统的高可用性

这个根据实际情况来看，是否有热冗余的必要性。没有个人认为可判不适用。

32、等保2.0 统信（Uos）操作系统命令

Fri, 15 Nov 2024 09:44:26 +0800

lsb_release -a // 查看操作系统版本

cat /etc/redhat-release // 查看操作系统版本

ifconfig // 查看IP

ip addr //查看IP

ps -ef |grep tty //查看是否有桌面环境

ps -ef |grep sshd 查看是否启用ssh服务

cat /etc/ssh/sshd_config //ssh的超时策略，核查RhostsAuthentication,地址范围限制

cat /etc/pam.d/common-password //口令复杂度策略

cat /etc/security/pwquality.conf //口令复杂度策略

cat /etc/login.defs //口令定期更换策略

cat /etc/passwd

cat /etc/shadow 用户第二字段处不为空

find /user/lib -name “pam_tally2.so” 查看是否安装了pam_tall2.so模块

cat /etc/pam.d/common-auth 查看是否配置了限制非法登录

cat /etc/pam.d/ssh //ssh远程登录失败处理

cat /etc/pam.d/login //本地登录失败处理

cat /etc/profile //登录超时后自动退出登录

cat /etc/profile |grep TMOUT //超时策略(桌面环境)

more /etc/group //审计员，系统管理员，安全策略管理员（操作员）

ls -l /var|grep log //查看审计文件的属主是否为审计员

33、等保2.0 Db2数据库命令

Fri, 15 Nov 2024 09:44:26 +0800

01、su - db2inst1 Linux操作系统或AIX操作系统进入数据库，并切换到db2inst1用户；

02、db2level ：查看数据库版本；

03、db2 list application ：查看数据库所有连接；

04、db2ilist ：列出所有实例；

05、db2 list database directory ：列出数据库库目录（含数据库库名）；

06、db2 list tables for user：列出用户表；

07、db2 list tables for all ：列出所有表；

08、db2audit describe或db2audit configure scope all status both errortype audit：查看数据库实例审计状态；（注：FALSE表示未开启审计；FAILURE表示只记录失败的审计事件，如Audit active: 为"FALSE “则数据库实例审计为未开启，下面策略均未起到任何作用）；

09、 db2audit query status ：查看数据库的日志审计规则；

10、 db2audit query details ：查看数据库具体的审计规则的详细配置

11、db2 get dbm cfg ：查看数据库参数；

12、db2 get dbm cfg | grep -i encrypt ：查看是否进行加密（如果返回结果中包含类似 “Database manager authentication (AUTHENTICATION) = SERVER_ENCRYPT” 或 “SSL server keydb file (SSL_SVR_KEYDB) =” 的信息，表示数据库启用了加密选项）；

34、等保2.0 Juniper交换机核查命令

Fri, 15 Nov 2024 09:44:26 +0800

密码策略：
- 检查密码复杂度要求：show system login
- 检查密码加密算法：show configuration system services ssh
登录失败处理：
- 检查登录失败锁定策略：show system login
- 查看登录失败计数器：show system login failures
超时退出：
- 检查超时策略：show system login
访问控制：
- 检查登录访问控制策略：show configuration system login
- 检查管理员访问权限：show configuration system login
用户权限：
- 检查用户角色和权限：show configuration system login
安全审计：
- 检查审计日志配置：show configuration system syslog
- 检查日志中心配置：show configuration system syslog
入侵防范：
- 检查入侵防御配置：show configuration security ips
登录地址限制：
- 检查登录地址限制策略：show configuration system login
日志备份：
- 检查日志备份配置：show configuration system syslog
配置文件备份：
- 检查配置文件备份策略：show configuration system archival
传输完整性和保密性：
- 检查SSH配置：show configuration system services ssh
- 检查SSL/TLS配置：show configuration security ssl
存储完整性和保密性：
- 检查文件系统安全配置：show configuration system storage
- 检查磁盘加密配置：show configuration system storage

35、等保2.0 Nginx中间件测评安全审计

Fri, 15 Nov 2024 09:44:26 +0800

nginx是一款自由的、开源的、高性能的HTTP服务器和反向代理服务器，一般主要功能会有两种，一种作为一个HTTP服务器进行网站的发布处理，另外一种nginx可以作为反向代理进行负载均衡的实现。所以这里填主要功能的时候就要分清。

安全审计

a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

针对于各类的中间件来说，日志一般会分为两种，一种是 error.log 错误日志，另一种是 access.log 网页访问日志。都开启的情况下，我们就可以判符合（前提日志级别配置正确）。

先来看一下 errlog_log：

error_log：设置服务器运行的相关日志

设置格式

error_log 路径级别

默认值：error_log logs/error.log error；

配置段：main，http，server，location

关闭error_log：error_log off

日志的级别：

debug:调试级别，记录的信息最多；

info:普通级别；

notice:可能需要注意的信息；

warn:警告消息；

error:错误消息；

crit:严重错误消息；

access_log：

访问日志主要记录客户端访问Nginx的每一个请求，格式可以自定义。通过访问日志，你可以得到用户地域来源、跳转来源、使用终端、某个URL访问量等相关信息。

access_log:用来配置访问日志的输出格式和输出的路径；

语法: access_log path [format [buffer=size [flush=time]]];

默认值: access_log logs/access.log combined;

后续版本好像有变更，默认为 main;

配置段: http, server, location, if in location, limit_except

关闭access_log：access_log off

path：指定日志的存放位置

format：指定日志的格式。默认使用预定义的combined

buffer：用来指定日志写入时的缓存大小。默认是64k

gzip：日志写入前先进行压缩。压缩率可指定，从1到9数值越大压缩比越高，同时压缩的速度也越慢。默认是1。

flush：设置缓存的有效时间。如果超过flush指定的时间，缓存中的内容将被清空。

if：条件判断。如果指定的条件计算为0或空字符，那么当前作用域下的所有的请求日志都会被关闭。

所以我们这里先在 Nginx 主目录下找到conf文件夹

其中会有一个叫 nginx.conf 的文件

查看对应error_log和access_log配置情况，默认情况下都是为注释状态

若为注释状态，nginx 会有一个默认值，如下：

36、等保2.0 Centos等保测评

Fri, 15 Nov 2024 09:44:26 +0800

一、身份鉴别

a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。

输入 more /etc/shadow,得知系统所有用户，此语句字段格式有九段。

**第一字段：**用户名（也被称为登录名），在/etc/shadow中，用户名和/etc/passwd 是相同的，这样就把passwd 和shadow中用的用户记录联系在一起；这个字段是非空的；

**第二字段：**密码（已被加密，所以看到是一堆乱码，CentOS7以上都是采取的SHA256加密算法进行加密），如果是有些用户在这段是x，*，！！，表示这个用户不能登录到系统或者是没用密码不能登录；这个字段是非空的；

**第三字段：**上次修改口令的时间；这个时间是从UNIX的诞生日1970年01月01日算起到最近一次修改口令的时间间隔（天数），你可以通过passwd 来修改用户的密码，然后查看/etc/shadow中此字段的变化；

**第四字段：**两次修改口令间隔最少的天数；如果设置为0,则禁用此功能；也就是说用户必须经过多少天才能修改其口令；默认值是通过/etc/login.defs文件定义中获取，PASS_MIN_DAYS 中有定义；

**第五字段：**两次修改口令间隔最多的天数；这个能增强管理员管理用户口令的时效性，应该说在增强了系统的安全性；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_MAX_DAYS 中定义；

**第六字段：**提前多少天警告用户口令将过期；当用户登录系统后，系统登录程序提醒用户口令将要作废；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_WARN_AGE 中定义；

**第七字段：**在口令过期之后多少天禁用此用户；此字段表示用户口令作废多少天后，系统会禁用此用户，也就是说系统会不能再让此用户登录，也不会提示用户过期，是完全禁用；

**第八字段：**用户过期日期；此字段指定了用户作废的天数（从1970年的1月1日开始的天数），如果这个字段的值为空，帐号永久可用；

**第九字段：**保留字段，目前为空，以备将来Linux发展之用；

上图这个例子是CentOS默认的，只有一个root用户需要密码登录，其他都是系统默认用户，基本使用不了。

输入命令查看密码长度和定期更换设置：**more /etc/login.defs **

得知最长密码使用时间为99999天；最短使用时间为0，代表为设置，就是想换就换；最短密码长度为5天；登录密码过期提前7天提示修改。

查看密码复杂度配置：**more /etc/pam.d/system-auth **默认未配置。

b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

输入**more /etc/pam.d/system-auth ,**查看是否存在如下语句

onerr=fail 表示定义了当出现错误时的缺省返回值； even_deny_root 表示也限制root用户； deny 表示设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户； unlock_time 表示设定普通用户锁定后，多少时间后解锁，单位是秒； root_unlock_time 表示设定root用户锁定后，多少时间后解锁，单位是秒；

默认未开启。

输入以下命令检查超时自动退出功能：more /etc/profile

查看是否存在timeout 语句。

c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

若操作系统只在本地管理或通过KVM等硬件方式管理则该项符合。在远程管理时如通过堡垒机采用SSH、HTTPS协议进行远程管理则满足本测评项要求。检查系统自身的网络登录方式，是否使用了安全的SSH协议，禁用了明文传输的Telnet协议：

1）查看SSH服务是否开启；登录时也能看出，一般默认开启。

ps -e | grep sshd

2）查看telnet是否开启，默认未开启：

systemctl status telnet.socket

d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

Linux操作系统目前仅有“用户名+口令”一种鉴别方式，一般是不符合的，目前常见的有通过数字证书Ukey来实现双因子认证。或借助于堡垒机来进行多重认证，降低安全风险。

二、访问控制

a) 应对登录的用户分配账户和权限；

检查重要文件和目录权限设置是否合理，Linux系统对文件的操作权限包括四种：读（r，4）；写（w，2）；执行（x，1）；空（-，0），文件的权限分为属主（拥有者）、属组、其它用户和用户组的权限。配置文件权限值不能大于644，对于可执行文件不能大于755。

37、等保2.0 Mysql等保测评

Fri, 15 Nov 2024 09:44:26 +0800

一、身份鉴别

a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

01、登录 mysql 查看是否使用了口令和密码的组合鉴别身份

mysql -h 192.168.100.16 -u root -p

02、使用如下命令查询用户列表，是否存在相同用户名。结果默认不存在同名用户

select user, host FROM mysql.user;

03、执行如下命令查看是否存在空口令用户

select user,host,authentication_string,password_lifetime,account_locked from mysql.user;

04、执行如下命令查看密码复杂度设置

show variables like 'validate%';

b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

01、询问管理员是否采取其他手段配置数据库登录失败处理功能。

02、查看是否安装插件，并增加失败处理功能

show variables like '%connection_control%';show variables like '%max_connect_errors%'; 
# 查看登录失败策略

03、操作超时自动退出功能

show variables like "%timeout%";

c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

01、询问是否采用远程管理，如果本地管理则不适用，远程管理是否启用 SSL

show variables like "%have_ssl%";show variables like "%have_openssl%";

d）应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现

对于数据库基本不符合。

二、访问控制

a）应对登录的用户分配账户和权限

01、使用命令查看，是否为登录的用户创建了不同账户和权限。

select user,host from mysql.user ;SHOW grants for 'root'@'localhost';

38、等保2.0 物联网之安全物理环境_区域边界

Fri, 15 Nov 2024 09:44:26 +0800

**感知层：**包括传感器节点和传感网网关节点，或 RFID 标签和 RFID 读写器，同时也包括这些感知设备及传感网网关、RFID 标签与阅读器之间的短距离通信（通常为无线）部分，该层面主要利用 RFID、传感器、二维码等随时随地获取物体的信息。
**解读：**由各种传感器网关和传感器构成、包括有二氧化碳浓度传感器、二维码标签、湿度传感器、摄像头、RFID 标签和读写器、GPS等感知终端。感知层的作用就像人的视觉、触觉、味觉、听觉一样，它是物联网获取识别物体、采集信息的来源，主要功能是识别物体、采集信息。
**网络传输层：包括将这些感知数据远距离传输到处理中心的网络，包括互联网、移动网、私有网络、无线和有线通信网和云计算平台等，以及几种不同网络的融合，**网络层就相当于人的大脑和神经中枢，主要负责传递和处理感知层获取的信息，并实时准确地传递出去；
**解读：**物联网中的网络层通常不仅限于一种网络，而是由多种网络组合而成。物联网涉及到大量的设备和传感器，这些设备可能使用不同的通信技术和协议进行连接和交互。物联网的网络层可以包括有线网络（如以太网）、无线网络（如Wi-Fi、蓝牙、Zigbee、LoRaWAN）、传感器网络（如传感器融合网络）以及移动通信网络（如2G、3G、4G、5G）等。因此，物联网的网络层通常是由多种不同类型的网络组合而成，以满足不同设备之间的通信和互联需求，并提供可靠的数据传输和处理能力。
**处理应用层：**包括对感知数据进行存储与智能处理的平台，并对业务应用终端提供服务（主要把感知层的得到的信息进行处理，实现智能化识别、定位、跟踪、监控和管理等实际应用）。对大型物联网来说，处理应用层一般是云计算平台和业务应用终端设备。

常见的物联网系统有：智慧小区安防系统、智慧燃气系统、电子价签物联网系统、电梯物联网监控系统、建筑消防设施物联网监控系统、智慧水表系统、智慧景区旅游服务物联网系统、大型医用影像设备运维管理系统和大型医用设备使用监督管理平台等；

系统架构举例

例一、智慧景区旅游服务物联网系统

例二、家用智能摄像机

1）过手机的APP远程访问家里的摄像机，查看家里的情况，并将视频实时上传到云上。在这个过程中，物联网模型由用户（手机）、云端服务器、摄像头、传输系统四元素组成；

2）摄像头属于物联网中的感知层，进行现实世界的视频数据采集；云端则为物联网的应用层，汇聚、处理、分析摄像头传输回来的视频数据等，并与用户进行信息交互。在这个模型中，为摄像头与云端提供数据传输管道的设备，均属于网络层。

物联网延申

物联网通常由3层架构组成，由下到上依次为感知层、网络层、应用层。通俗的来讲，分为端、管、云三部分：

**端指的是终端。**物联网终端实现数据信息采集，属于物联网的感知层；
**管指的是管道。**所有为物联网提供数据传输的设备、系统都属于管道；
**云是大数据处理的中枢，**提供面向用户的设备管理和数据汇聚等功能。

视频监控中所提到的智能视频技术主要是指：“自动的分析和抽取视频源中的关键信息。”如果把摄像机看作人的眼睛，而智能视频系统或设备则可以看作人的大脑。

传统的视频监控系统缺乏智能，在很大程度上依赖于人的判断。然而，人类有着自身难以克服的弱点，比如：(1)人力有限，人的反应与处理速度有限，导致我们在指定的时间内能够进行监视的地点有限。这也就意味着各个被监控点并非每时每刻都处于监控当中。(2)人并非一个可以完全信赖的观察者，无论是在观看实时的视频流还是在观看录像回放的时候，由于自身生理上的弱点，我们经常无法察觉安全威胁，从而导致漏报现象的发生。

智能视频技术可以在很多地方得到应用。比如：

(1)高级视频移动侦测：在复杂的天气环境中(例如雨雪、大雾、大风等)精确地侦测和识别单个物体或多个物体的运动情况，包括运动方向、运动特征等。

(2)物体追踪：侦测到移动物体之后，根据物体的运动情况，自动发送PTZ控制指令，使摄像机能够自动跟踪物体，在物体超出该摄像机监控范围之后，自动通知物体所在区域的摄像机继续进行追踪。

(3)人物面部识别：自动识别人物的脸部特征，并通过与数据库档案进行比较来识别或验证人物的身份。此类应用又可以细分为“合作型”和“非合作型”两大类。“合作型”应用需要被监控者在摄像机前停留一段时间，通常与门禁系统配合使用。“非合作型”则可以在人群中识别出特定的个体，此类应用可以在机场、火车站、体育场馆等安防应用场景中发挥很大的作用。

(4)车辆识别：识别车辆的形状、颜色、车牌号码等特征，并反馈给监控者。此类应用可以用在被盗车辆追踪等场景中。

(5)非法滞留：当一个物体(如箱子、包裹、车辆、人物等)在敏感区域停留的时间过长，或超过了预定义的时间长度就产生报警。典型应用场景包括机场、火车站、地铁站等。

(6)交通流量控制：用于在公路上监视交通情况，例如统计通过的车数、平均车速、是否有非法停靠、是否有故障车辆等等。

安全物理环境

感知节点设备物理防护

a) 感知节点设备所处的物理环境应不对感知节点设备造成物理破坏，如挤压、强振动；

理解解读：

1）感知节点设备就是对周围物和环境进行信息采集的设备，在通过5G网络、移动网络、专网等传给上一级网络节点，在物理防护上，这些设备所处的环境应该不对其造成物理破坏，使其无法进行信息的收集和传输，当然有一些损坏是无法预期的，但是起码在短时间内安全的。

b) 感知节点设备在工作状态所处物理环境应能正确反映环境状态（如温湿度传感器不能安装在阳光直射区域）；

理解解读：

1）感知节点设备所收集的信息，不应该受到周围环境的太大影响，尤其是温度传感设备，例如收集室内温度传感器不能安在窗户边上，避免阳光直射对其造成太大的影响，再比如收集空气质量信息的传感器，就不可以安装在烟筒附近等等。

c) 感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、阻挡屏蔽等；

理解解读：

这一项与上一项类似，就是换成了在收集电磁一类的容易受到干扰的信息时，避免受到周围环境的影响，应该避免此类感知节点安装在强电、强磁或者具有屏蔽作用的环境里。

d) 关键感知节点设备应具有可供长时间工作的电力供应（关键网关节点设备应具有持久稳定的电力供应能力）。

理解解读：

这一项检查是否设置了双线路供电，一般都是市电双线路，其次检查是否配备了UPS系统，保证在断电的情况下可以持续供电到电力恢复。

安全区域边界

二、接入控制

a）应保证只有授权的感知节点可以接入。

理解解读：

1）物联网的接入方式包括4G/5G、WiFi、蓝牙、NB-IOT等，安全技术包括认证、授权、加密连接等（安全设备有物联网安全网关）。

2）保证授权用户接入一般采用的方法有IP-Mac地址绑定、白名单等，查看物联网系统是否采取了相关措施，或通过对设备提取安全标识，对设备进行准入控制，能够及时发现非法设备接入，并可远程控制是否允许执行网络通信等措施。

注：NB-IOT是一种低功耗广域物联网（LPWA）技术，旨在支持大规模的低功耗设备连接和长距离通信。它是3GPP组织定义的一种标准，属于蜂窝网络技术之一。以下是关于NB-IoT的一些特点和优势：

低功耗：NB-IoT 设备采用低功耗设计，可以实现长时间的电池寿命，通常可达数年级别。
高覆盖范围：NB-IoT 可以在广域范围内提供广阔的覆盖，适用于在城市、农村和室内等各种环境中使用。
窄带宽：NB-IoT 采用窄带信道，可以在较小的带宽资源上支持大规模的设备连接，从而提高了网络的容量和效率。
较低的部署成本：由于NB-IoT利用现有的蜂窝网络基础设施，因此可以将其快速部署到现有的基站中，使得整体的部署成本相对较低。
多连接密度：NB-IoT 支持高密度的设备连接，能够同时处理大量的连接请求，这使得它非常适合支持物联网应用中数量众多的智能设备。
安全性和可靠性：NB-IoT 提供了安全和可靠的通信，采用加密和身份验证等技术来保护数据和设备的安全。

二、入侵防范

a) 应能够限制与感知节点通信的目标地址，以避免对陌生地址的攻击行为；

理解解读：

39、等保2.0 物联网信息系统确定

Fri, 15 Nov 2024 09:44:26 +0800

一、物联网信息系统确定

1）物联网系统应具有感知设备，如：二氧化碳浓度传感器、二维码标签、湿度传感器、摄像头、RFID 标签和读写器、GPS等感知终端；

2）物联网网络构成应具有至少两种及两种以上不同网络类型的融合，网络类型包含有互联网、移动网、私有网络、无线、有线通信网和云计算平台等；

3）物联网应用系统应具备把感知层的各个感知设备得到的信息进行处理，并进行实现智能化识别、定位和管理等

以上为物联网系统特点，判定信息系统是否为物联网系统，应根据以上三点确定。

二、常见物联网系统

序号	系统名称	备注
1	智慧安防系统
2	智慧燃气系统
3	电子价签物联网系统
4	电梯物联网监控系统
5	建筑消防设施物联网监控系统
6	智慧水务系统
7	智慧景区旅游服务物联网系统
8	大型医用影像设备运维管理物联网系统
9	大型医用设备使用监督管理物联网平台
10	智慧物流系统
11	智慧仓储系统
12	交通运输物联网系统
13	农业物联网监控平台
14	智慧净水管理系统
15	海水工厂化循环水物联网系统
16	城市供水物联网计量系统
17	智慧煤矿
18	智慧交通系统
19	郑州市加油站税控云平台	（第三级）我司做过
20	喀什地区公安局公安智慧监管平台系统	（第三级）我司做过但未选用物联网
21	物联网平台	（第二级）南阳牧原我司做过
22	郑州西亚斯学院物联网管控系统	（第二级）我司做过

4、Appscan扫描教程

Fri, 15 Nov 2024 09:44:26 +0800

1.新建扫描：一般选择常规扫描

2.选择扫描的平台：web或app

3.扫描配置向导

①配置URL和服务器

②配置登录管理

在扫描的过程中，可能会不小心碰到退出按钮导致Appscan注销.因此,要登陆到应用程序中,我们需要根据需求设置。

在测试的web没有验证码情况下，可以使用（1和3种登陆方法）

在web有验证码情况下，可以使用第二种登陆方法。推荐使用第一种方法。

记录:选择此项后,会出现一个新的浏览器，并尝试链接到指定的网站作为本扫描的起始URL.你需要输入账号和密码登陆到应用程序.这样设置之后你可以关闭浏览器，但是不要点击注销按钮。有时候你会发现打开的浏览器不是IE或者Mozilla，而是Appscan浏览器.你可以改变通过设置来改变这个。工具–>Options –>Advanced,设置OpenIEBrower的值0–Appscan浏览器,1–IE,2–Firefox,3–Chrome.如果该网站的行为在不同的浏览器下有所不同,这个设置将是非常有用的.

提示：每次注销之后,Appscan会提示你登陆到应用程序中.如果你打算整个扫描你的系统，你可以选择这个选项。

自动：在这里可以直接指定用户名和密码,当需要登陆到应用程序的时候。

在浏览器打开的界面（需扫描的web）上输入用户名和密码后，点击系统的登录按钮。如果登录成功，可点击【我已登录到站点】。appscan会开始分析登录操作，若成功记录下登录操作，会执行注销操作。

appscan执行完注销操作后，会回到配置向导界面：有标志，说明已记录成功。

【注意】Appscan使用外部浏览器的问题。目前只支持IE、Firefox、Chrome三款浏览器。9.0.1.1版本中在工具-选项-扫描选项中可以找到。

早期版本在工具-选项-高级里有个OpenExternalBrowser这个参数 1为IE、2为火狐、3是Chrome。

【验证登录】用登录接口返回的内容进行会话验证

验证通过：

③测试策略

扫描期间，AppScan® 发送的测试数量可以达到数千。有时，最好将扫描限制在仅扫描特定类型，以减少扫描时间。这是“测试策略”。几种测试策略说明：

缺省值：包含多有测试，但不包含侵入式和端口侦听器

仅应用程序：包含所有应用程序级别的测试，但不包含侵入式和端口侦听器

仅基础结构：包含所有基础结构级别的测试，但不包含侵入式和端口侦听器

侵入式：包含所有侵入式测试（可能影响服务器稳定性的测试）

完成：该策略包含所有 AppScan 测试，但端口侦听器测试除外。

关键的少数：包含一些成功可能性较高的测试精选，在时间有限时对站点评估可能有用

开发者精要：包含一些成功可能性极高的应用程序测试的精选，在时间有限时对站点评估可能有用

仅第三方：该策略包含所有第三方级别测试，但侵入式和端口侦听器测试除外。

生产站点：此策略“排除”可能损坏站点的侵入式测试，或测试可能导致“拒绝服务”的其他用户。

Web Services：该策略包含所有 SOAP 相关的非侵入式测试。

选择合适的策略后，点击【下一步】

④完成

选择–启动全面自动扫描，点击【完成】按钮。

4.启动扫描专家

扫描专家会先大致的探索被测网站，提出建议，以更好的扫描应用程序。

扫描专家建议：

可手动配置环境：提高性能和准确性。

5.开始测试

应用扫描专家的建议后，整个扫描就开始了。系统先会扫描大致的网站，了解所需测的页面、测试元素、发送请求数。扫描结束后，开始测试。

6.测试结束

7.生成测试报告

8.关于手动探索

如果想要快速验证系统，可以采用手动探索一些重要的界面，填写表单的参数也会记录，会着重于探索的界面进行测试。

如果是全部系统的探索，时间比较长，但是比较全面，对表单的验证不够详细。

AppScan扫描策略的选择

使用 AppScan 进行扫描

40、等保测评中常见工业交换机Web默认登录方式

Fri, 15 Nov 2024 09:44:26 +0800

**南瑞继保工业交换机
**

**赫斯曼工业交换机
**

MOXO工业交换机

**深瑞工业交换机
**

**卓越工业交换机
**

Gmssl 商密实现开源库

Fri, 15 Nov 2024 09:44:26 +0800

GmSSL是由北京大学自主开发的国产商用密码开源库，实现了对国密算法、标准和安全通信协议的全面功能覆盖，支持包括移动端在内的主流操作系统和处理器，支持密码钥匙、密码卡等典型国产密码硬件，提供功能丰富的命令行工具及多种编译语言编程接口。

GitHub - guanzhi/GmSSL: 支持国密SM2/SM3/SM4/SM9/SSL的密码工具箱

项目文档 (gmssl.org)

Php开发

Fri, 15 Nov 2024 09:44:26 +0800

S2____记号约定

Fri, 15 Nov 2024 09:44:26 +0800

S2_路径的概念

Fri, 15 Nov 2024 09:44:26 +0800

效率¶

使用命令行操作可以减少鼠标操作，我们经常可以使用一条命令来代替好几次的鼠标单击。例如如果我们想要移动某一个文件，我们要执行下面步骤：

打开文件所在的文件夹 ../source/
打开目标文件夹 ../dest/
从 ../source/ 文件夹拖拽文件 file.txt 到 ../dest/ 文件夹中

然而使用命令行，我们只需要执行一条指令。

$ mv ../source/file.txt ../dest/

路径的概念

对于不太熟悉命令行的用户来说，路径的概念可能会在最开始带来一些困惑。这里做一些简单的介绍。

在 Windows 系统下，路径是以反斜杠 \ 分隔的，例如：

C:\Windows\explorer.exe

代表 C 盘下 Windows 目录下的 explorer.exe 文件。而在类 UNIX 系统中，路径是以正斜杠 / 分隔的，例如：

/bin/ls

代表根目录下的 bin 文件夹下的 ls 文件。可以发现除了分隔符不同以外，类 UNIX 系统也不采用 Windows 下的盘符机制，而是采用统一的根目录。Linux 的文件系统层次结构会在第五章介绍。

另外，以上的路径都是绝对路径，还有一种「相对路径」：

./file.txt # 当前目录下的 file.txt 文件
../file.txt # 上一级目录（父目录）下的 file.txt 文件
../abc/file.txt # 上一级目录（父目录）下的 abc 文件夹下的 file.txt 文件

每个正在运行中的进程（包括 Shell）都有自己的「当前工作目录」（当前所在的目录），进程可以切换自己的当前工作目录，以上的相对路径都是相对于当前工作目录的。可以发现，不管当前工作目录在哪里，绝对路径对应的文件都是一致的，而相对路径对应的文件就会随着当前工作目录的变化而变化。

S3_包管理系统

Fri, 15 Nov 2024 09:44:26 +0800

包管理系统有很多，比如管理 Debian (.deb) 软件包的 dpkg 以及它的前端 apt（用于 Debian 系的发行版）；rpm 包管理器以及它的前端 dnf（用于 Fedora 和新版的 CentOS 和 RHEL）、前端 yum（用于 CentOS 7 和 RHEL 7 等）；pacman 包管理器（用于 Arch Linux 和 Manjaro）等等。

apt 的全称是 Advance Package Tool，是一个处理在 Debian、Ubuntu 或者其他衍生发行版的 Linux 上安装和移除软件的自由软件。

apt search <搜索内容>搜索

apt install <包名> 安装

更新软件列表apt update

apt upgrade 更新软件

S3_编辑文件

Fri, 15 Nov 2024 09:44:26 +0800

Nano 是在很多机器上自带的命令行文本编辑器，相比于 vim 和 emacs 来说，对新手更加友好，不需要提前记忆复杂的键位。

$ nano file.txt # 使用 nano 编辑 file.txt 文件（如果没有则创建）

Nano 启动后，用户可以直接开始输入需要的内容，使用方向键移动光标。在终端最下方是 nano 的快捷键，^ 代表需要按下 Ctrl 键（例如，^X 就是需要同时按下 Ctrl + X）。在编辑完成后，按下 Ctrl + X，确认是否保存后即可。

本章的拓展阅读也简单介绍了 vim 的基础使用。

S3_创建目录_文件

Fri, 15 Nov 2024 09:44:26 +0800

$ # 创建一个目录，名为 DIR_NAME
$ mkdir [OPTION] DIR_NAME...

常用的选项：

选项	含义
`-p`	如果中间目录不存在，则创建；如果要创建的目录已经存在，则不报错

创建目录示例

创建两个目录，名字分别为 test1、test2：

$ mkdir test1 test2

创建路径 test1/test2/test3/：

$ mkdir -p test1/test2/test3/

创建文件¶

$ # 创建一个文件，名为 FILE_NAME
$ touch FILE_NAME...

创建文件示例

创建两个文件，名字分别为 file1、file2：

$ touch file1 file2

为什么名字叫 touch 而非 create（或者类似意思的单词）呢？

touch 工具实际上的功能是修改文件的访问时间（access time, atime）和修改时间（modification time, mtime），可以当作是摸（touch）了一下文件，使得它的访问与修改时间发生了变化。当文件不存在时，touch 会创建新文件，所以创建文件也就成为了 touch 最常见的用途。

stat 命令可以显示文件的属性信息，可以来看看 touch 对已有文件的操作：

$ touch test # 创建文件 test
$ stat test # 查看信息
File: test
Size: 0 Blocks: 0 IO Block: 4096 regular empty file
Device: 801h/2049d Inode: 1310743 Links: 1
Access: (0644/-rw-r--r--) Uid: ( 1000/ ustc) Gid: ( 1000/ ustc)
Access: 2022-02-25 18:12:28.403981478 +0800
Modify: 2022-02-25 18:12:28.403981478 +0800
Change: 2022-02-25 18:12:28.403981478 +0800
Birth: 2022-02-25 18:12:28.403981478 +0800
$ # 等待一段时间
$ touch test # 「摸」一下文件 test
$ stat test # 查看 touch 之后的信息
 File: test
Size: 0 Blocks: 0 IO Block: 4096 regular empty file
Device: 801h/2049d Inode: 1310743 Links: 1
Access: (0644/-rw-r--r--) Uid: ( 1000/ ustc) Gid: ( 1000/ ustc)
Access: 2022-02-25 18:15:16.625288185 +0800
Modify: 2022-02-25 18:15:16.625288185 +0800
Change: 2022-02-25 18:15:16.625288185 +0800
Birth: 2022-02-25 18:12:28.403981478 +0800
$ # 可以看到 Access time 和 Modify time 变化了。

S3_复制

Fri, 15 Nov 2024 09:44:26 +0800

复制文件和目录¶

$ # 将 SOURCE 文件拷贝到 DEST 文件，拷贝得到的文件即为 DEST
$ cp [OPTION] SOURCE DEST

$ # 将 SOURCE 文件拷贝到 DIRECTORY 目录下，SOURCE 可以为不止一个文件
$ cp [OPTION] SOURCE... DIRECTORY

常用的选项:

选项	含义
`-r` , `-R` , `--recursive`	递归复制，常用于复制目录
`-f` , `--force`	覆盖目标地址同名文件
`-u` , `--update`	仅当源文件比目标文件新才进行复制
`-l` , `--link`	创建硬链接
`-s` , `--symbolic-link`	创建软链接

cp 的 -l 和 -s 参数分布为创建硬链接和软链接（又称为“符号链接”）。

简单而言，一个文件的硬链接和软链接都指向文件自身，但是在底层有不同的实现。

需要先了解一个概念：inode。

在许多“类 Unix 文件系统”中，inode 用来描述文件系统的对象，如文件和目录。inode 记录了文件系统对象的属性和磁盘块的位置。可以被视为保存在磁盘中的文件的索引（英文：index node）。

关于 inode 的进一步讲解可以参考这篇文章。

硬链接与软链接图例

硬链接与源文件有着相同的 inode，都指向磁盘中的同一个位置。删除其中一个，并不影响另一个。

软链接与源文件的 inode 不同。软链接保存了源文件的路径，在访问软链接的时候，访问的路径被替换为源文件的路径，因此访问软链接也等同于访问源文件。但是如果删除了源文件，软链接所保存的路径也就无效了，软链接因此也是无效的。

S3_解压缩Tar

Fri, 15 Nov 2024 09:44:26 +0800

使用 tar 操作存档、压缩文件¶

经常，我们希望将许多文件打包然后发送给其他人，这时候就会用到 tar 这个命令，作为一个存档工具，它可以将许多文件打包为一个存档文件。

通常，可以使用其自带的 gzip 或 bzip2 算法进行压缩，生成压缩文件：

$ # 命令格式如下，请参考下面的使用样例了解使用方法
$ tar [OPTIONS] FILE...

常用选项：

选项	含义
`-A`	将一个存档文件中的内容追加到另一个存档文件中
`-r` , `--append`	将一些文件追加到一个存档文件中
`-c` , `--create`	从一些文件创建存档文件
`-t` , `--list`	列出一个存档文件的内容
`-x` , `--extract, --get`	从存档文件中提取出文件
`-f` , `--file=ARCHIVE`	使用指定的存档文件
`-C` , `--directory=DIR`	指定输出的目录

添加压缩选项可以使用压缩算法进行创建压缩文件或者解压压缩文件：

选项	含义
`-z` , `--gzip` , `--gunzip` , `--ungzip`	使用 gzip 算法处理存档文件
`-j` , `--bzip2`	使用 bzip2 算法处理存档文件
`-J` , `--xz`	使用 xz 算法处理存档文件

tar 使用实例

将 file1、file2、file3 打包为 target.tar：

$ tar -c -f target.tar file1 file2 file3

将 target.tar 中的文件提取到 test 目录中：

$ tar -x -f target.tar -C test/

将 file1、file2、file3 打包，并使用 gzip 算法压缩，得到压缩文件 target.tar.gz ：

$ tar -cz -f target.tar.gz file1 file2 file3

将压缩文件 target.tar.gz 解压到 test 目录中：

$ tar -xz -f target.tar.gz -C test/

将 archive1.tar、archive2.tar、archive3.tar 三个存档文件中的文件追加到 archive.tar 中

$ tar -Af archive.tar archive1.tar archive2.tar archive3.tar

列出 target.tar 存档文件中的内容

$ tar -t -f target.tar

$ # 打印出文件的详细信息
$ tar -tv -f target.tar

组合 tar 的选项

S3_目录_文件的链接、权限、不重启更新

Fri, 15 Nov 2024 09:44:26 +0800

ll的全程是ls -l

点击展开详情

好的！ls -l 是在类 Unix 系统（如 Linux 或 macOS）中用来列出当前目录下文件和文件夹的详细信息的命令。输出会包含如下信息：

文件权限
硬链接数
文件所有者
文件所属组
文件大小
最后修改时间
文件或文件夹的名称

例如，输出可能是这样的：

-rw-r–r– 1 user staff 1234 Oct 10 12:34 file1.txt drwxr-xr-x 2 user staff 4096 Oct 10 12:00 directory1 -rwxr-xr-x 1 user staff 2345 Oct 10 12:34 script.sh- 第一列是文件权限（比如 -rw-r–r– 表示文件的读写权限）。

第二列是硬链接的数量。
第三列是文件的所有者。
第四列是文件所属的组。
第五列是文件的大小（以字节为单位）。
第六列是文件的最后修改时间。
第七列是文件或文件夹的名称。

如果你有其他问题或需要进一步解释，请随时告诉我！

理解inode - 阮一峰的网络日志 (ruanyifeng.com)

目录文件的读权限（r）和写权限（w），都是针对目录文件本身。由于目录文件内只有文件名和inode号码，所以如果只有读权限，只能获取文件名，无法获取其他信息，因为其他信息都储存在inode节点中，而读取inode节点内的信息需要目录文件的执行权限（x）。

这里顺便说一下目录文件的"链接数"。创建目录时，默认会生成两个目录项：".“和”.."。前者的inode号码就是当前目录的inode号码，等同于当前目录的"硬链接"；后者的inode号码就是当前目录的父目录的inode号码，等同于父目录的"硬链接"。所以，任何一个目录的"硬链接"总数，总是等于2加上它的子目录总数（含隐藏目录）。

七、软链接

除了硬链接以外，还有一种特殊情况。

文件A和文件B的inode号码虽然不一样，但是文件A的内容是文件B的路径。读取文件A时，系统会自动将访问者导向文件B。因此，无论打开哪一个文件，最终读取的都是文件B。这时，文件A就称为文件B的"软链接"（soft link）或者"符号链接（symbolic link）。

这意味着，文件A依赖于文件B而存在，如果删除了文件B，打开文件A就会报错：“No such file or directory”。这是软链接与硬链接最大的不同：文件A指向文件B的文件名，而不是文件B的inode号码，文件B的inode"链接数"不会因此发生变化。

S3_软件手册Man

Fri, 15 Nov 2024 09:44:26 +0800

man 命令¶

通过 man 命令名 可以得到大部分安装在 Linux 上的软件的用户手册。

大部分软件在安装时会将它的软件手册安装在系统的特定目录， man 命令就是读取并展示这些手册的命令。在软件手册中，会带有软件的每一个参数的含义、退出值含义、作者等内容，大而全。但一般较少带有使用样例，需要根据自身需要拼接软件参数。

$ # 调出 tar 命令和 ls 命令的文档
$ man tar
$ man ls

文档中，往往会有命令的参数组合以及参数的详细含义，大而全能够很好地描述它，但是这对于我们希望能够快速上手一个命令是不利的，这就需要后面的另一个工具 tldr。

$ man tar
TAR(1) GNU TAR Manual TAR(1)

NAME
 tar - an archiving utility

SYNOPSIS
 Traditional usage
 tar {A|c|d|r|t|u|x}[GnSkUWOmpsMBiajJzZhPlRvwo] [ARG...]

 UNIX-style usage
 tar -A [OPTIONS] ARCHIVE ARCHIVE

 tar -c [-f ARCHIVE] [OPTIONS] [FILE...]

$ man ls
LS(1) User Commands LS(1)

NAME
 ls - list directory contents

SYNOPSIS
 ls [OPTION]... [FILE]...

DESCRIPTION
 List information about the FILEs (the current directory by
 default). Sort entries alphabetically if none of -cftuvSUX
 nor --sort is specified.

(Output omitted)

tldr 软件¶

通常，软件手册中的内容十分繁多，如果只是希望能够快速了解软件的常用用法，可以使用 tldr 软件。

S3_搜索文件和目录

Fri, 15 Nov 2024 09:44:26 +0800

$ # 在 PATH（路径）中根据 EXPRESSION（表达式）搜索文件
$ find [OPTION] PATH [EXPRESSION]

常用的表达式：

选项	含义
`-name '*.ext'`	文件名后缀为 ext。其中 `*` 是任意匹配符
`-type d`	文件类型为目录，其他的类型例如 `f` （普通文件）
`-size +1M`	大于 1M 的文件，`+` 代表大于这个大小，对应地，`-` 代表小于之后的大小
`-or`	或运算符，代表它前后两个条件满足一个即可

搜索示例

在当前目录搜索名为 report.pdf 的文件：

$ find . -name 'report.pdf'

全盘搜索大于 1G 的文件：

$ find / -size +1G

在用户目录搜索所有名为 node_modules 的文件夹：

$ find ~/ -name ’node_modules’ -type d

模式匹配¶

许多现代的 shell 都支持一定程度的模式匹配。举个例子，bash 的匹配模式被称为 glob，支持的操作如下：

模式	匹配的字串
`*`	任意字串
`foo*`	匹配 foo 开头的字串
`x`	匹配含 x 的字串
`?`	一个字符
`a?b`	`acb` 、`a0b` 等，但不包含 `a00b`
`*.[ch]`	以 .c 或 .h 结尾的文件

和上面提到的命令结合，可以显著提高操作效率。例如：

S3_文件操作_Cat_Less

Fri, 15 Nov 2024 09:44:26 +0800

cat¶

$ # 输出 FILE 文件的全部内容
$ cat [OPTION] FILE

输出示例

输出 file.txt 的全部内容

$ cat file.txt

查看 file1.txt 与 file2.txt 连接后的内容

$ cat file1.txt file2.txt

为什么名字叫 cat？

当然和猫咪没有关系，cat 这里是 concatenate（连接）的缩写，因为 cat 工具实际的功能是连接多个文件，然后输出。但是当只有一个文件的时候，cat 就会直接输出这个文件，所以 cat 最常见的用途就是输出单个文件。

less¶

less 和 cat 的区别在于，cat 会一次性打印全部内容到终端中并退出，而 less 一次只显示一页，且支持向前/后滚动、搜索等功能。如果要在一个大文件中（例如 man page）查找一部分内容，less 通常要比 cat 方便得多。

$ # 在可交互的窗口内输出 FILE 文件的内容
$ less FILE

常用的快捷键:

按键	效果
`d` / `u`	向下/上滚动半页（down/up）
Page Down / Page Up `f` / `b`	向下/上滚动一整页（forward/back）
`g` / `G`	跳转到文件开头/结尾
`j` / Down	向下移动一行
`k` / Up	向上移动一行
`/PATTERN`	在文件中搜索 PATTERN
`n` / `N`	跳转到下一个/上一个找到的 PATTERN
`q`	退出

其中移动光标的快捷键还可以和数字组合，例如 10 j 会向下移动十行。此外，less 的不少快捷键是和 Vi/Vim 相同的，掌握了这些快捷键再上手 Vim 就会简单很多（Vim 的介绍位于本章拓展阅读内）。

S3_移动文件和目录

Fri, 15 Nov 2024 09:44:26 +0800

mv 与 cp 的使用方式相似，效果类似于 Windows 下的剪切。

$ # 将 SOURCE 文件移动到 DEST 文件
$ mv [OPTION] SOURCE DEST

$ # 将 SOURCE 文件移动到 DIRECTORY 目录下，SOURCE 可以为多个文件
$ mv [OPTION] SOURCE... DIRECTORY

常用的选项：

选项	含义
`-f` , `--force`	覆盖目标地址同名文件
`-u` , `--update`	仅当源文件比目标文件新才进行移动

删除文件和目录¶

$ # 删除 FILE 文件，FILE 可以为多个文件。
$ # 如果需要删除目录，需要通过 -r 选项递归删除目录
$ rm [OPTION] FILE...

常用的选项：

选项	含义
`-f` , `--force`	无视不存在或者没有权限的文件和参数
`-r` , `-R` , `--recursive`	递归删除目录及其子文件
`-d` , `--dir`	删除空目录

删除示例

S4_服务（守护进程）

Fri, 15 Nov 2024 09:44:26 +0800

目前绝大多数 Linux 发行版的 init 方案都是 systemd，其管理系统服务的命令是 systemctl。

要管理服务，首先我们要清楚系统内有哪些服务。可以通过 systemctl status 命令一览系统服务运行情况。

上面命令所列出的是系统中正在运行的服务，若想了解全部服务内容，可以运行 systemctl list-units 来查看。该命令将显示所有 systemd 管理的单元，同时右面还会附上一句注释来表明该服务的任务。

服务的启动，终止，重载配置等命令可交付 tldr 介绍

$ tldr systemctl
systemctl
Control the systemd system and service manager.
 - List failed units: # 列出运行失败的服务
 systemctl --failed
 
 - Start/Stop/Restart/Reload a service: # 开启/关闭/重启/重载服务。Reload 代表重载配置文件而不重启进程。
 systemctl start/stop/restart/reload {{unit}}
 
 - Show the status of a unit: # 显示服务状态
 systemctl status {{unit}}
 
 - Enable/Disable a unit to be started on bootup: # 设置（Enable）/取消（Disable）服务开机自启
 systemctl enable/disable {{unit}}
 
 - Mask/Unmask a unit, prevent it to be started on bootup: # 阻止/取消阻止服务被 enable
 systemctl mask/unmask {{unit}}
 
 - Reload systemd, scanning for new or changed units: # 重载 systemd，需要在创建或修改服务文件后执行
 systemctl daemon-reload

Unit 和 Service 是一回事吗？

S4_进程

Fri, 15 Nov 2024 09:44:26 +0800

工具：

htop：使用 sudo apt install htop 安装并运行 htop，Htop 界面的最下方是一些选项，使用鼠标点击或按键盘的 F1 至 F10 功能键可以选择这些功能，常用的功能例如搜索进程（F3, Search）、过滤进程（F4, Filter，使得界面中只有满足条件的进程）、切换树形结构/列表显示（F5, Tree/List）等等。
ps：自带，ps（process status）是常用的输出进程状态的工具。直接调用 ps 仅会显示本终端中运行的相关进程。如果需要显示所有进程，对应的命令为 ps aux。

Linux 进程启动顺序

在 htop 中，直接单击绿色条内的 PID 栏，可以将进程顺序按照 PID 升序排列，再次点击为降序排列，同理可应用于其他列。进程标识符（PID，Process Identifier（是一个数字，是进程的唯一标识

按照 PID 排序时，我们可以观察系统启动的过程。Linux 系统内核从引导程序接手控制权后，开始内核初始化，随后变为 init_task，初始化自己的 PID 为 0。随后创建出 1 号进程（init 程序，目前一般为 systemd）衍生出用户空间的所有进程，创建 2 号进程 kthreadd 衍生出所有内核线程。随后 0 号进程成为 idle 进程，1 号、2 号并非特意预留，而是产生进程的自然顺序使然。

由于 kthreadd 运行于内核空间，故需按大写 K（Shift + k）键显示内核进程后才能看到。然而无论如何也不可能在 htop 中看到 0 号进程本体，只能发现 1 号和 2 号进程的 PPID 是 0。

S4_用户进程控制_后台_脱离终端_多终端

Fri, 15 Nov 2024 09:44:26 +0800

要想控制进程，首先要与进程对话，那么必然需要了解进程间通信机制。由于进程之间不共享内存空间，也就无法直接发送信息，必须要操作系统帮忙，于是信号机制就产生了。

信号

信号是 Unix 系列系统中进程之间相互通信的一种机制。发送信号的 Linux 命令叫作 kill。被称作 “kill” 的原因是：早期信号的作用就是关闭（杀死）进程。

信号列表可以使用 man 7 signal 查看。

前后台切换

在 shell 中直接运行命令，将挂到前台，而如果不希望无力地看着屏幕输出不能做其他事情，那么便需要将程序切换到后台了。

默认情况下，在 shell 中运行的命令都在前台运行，如果需要在后台运行程序，需要在最后加上 &：

$ ./matmul & # 例子：运行耗时的计算同时进行其他操作
$ ps
 PID TTY TIME CMD
 1720 pts/0 00:00:00 bash
 1861 pts/0 00:00:06 matmul
 1862 pts/0 00:00:00 ps
$ # 使用 ps 命令，可以发现 matmul 程序在后台运行，同时我们仍然可以操作 shell

而如果需要将前台程序切换到后台，则需要按下 Ctrl + Z 发送 SIGTSTP 使进程挂起，控制权还给 shell，此时屏幕输出如下所示，即（刚才挂起的进程）代号为 2，状态为 stopped，命令为 ping localhost。

S5_文件权限_层次结构

Fri, 15 Nov 2024 09:44:26 +0800

文件权限

可以使用 ls -l 查看当前目录中文件的详细信息。

$ ls -l
total 8
-rwxrw-r-- 1 ustc ustc 40 Feb 3 22:37 a_file
drwxrwxr-x 2 ustc ustc 4096 Feb 3 22:38 a_folder

第一列的字符串从左到右意义分别是：文件类型（一位）、文件所属用户的权限（三位）、文件所属用户组的权限（三位）、其他人的权限（三位）。对于每个权限，第一位 r 代表读取 (Read)，第二位 w 代表写入 (Write)，第三位 x 代表执行 (Execute)，- 代表没有对应的权限。

第三、四列为文件所属用户和用户组。

例如，上面的文件 a_file 为普通文件 (-)，所属用户权限为 rwx，所属用户组权限为 rw-，其他人的权限为 r--，文件所属用户和用户组均为 ustc。

执行权限是什么意思？对于一个文件来说，拥有执行权限，它就可以被操作系统作为程序代码执行。如果某个程序文件没有执行权限，你仍然可以查看这个程序文件本身，修改它的内容，但是无法执行它。

而对于目录来说，拥有执行权限，你就可以访问这个目录下的文件的内容。

可以把目录视为一个「文件」来看待，这个文件包含了目录中下一层的文件列表——「读取」对应读取文件列表的权限，「写入」对应修改文件列表（添加、删除、重命名文件）的权限，「执行」对应实际去访问列表中文件、以及使用 cd 切换当前目录到此目录的权限。

有关文件与目录权限的完整表格，可以查看 Arch Wiki 的 File permissions and attributes 一页。

可以使用 chmod (change file mode bits) 修改权限，chown (change file owner) 修改文件所有者。例如，可以使用 chmod +x 命令添加执行权限。

S5_用户_切换用户_提权_用户组

Fri, 15 Nov 2024 09:44:26 +0800

你可以查看 /etc/passwd 文件，来得到系统中用户的配置信息。每一行都代表一个用户，每行中用户信息由冒号 : 隔开，存储着包括用户名、用户编号 (UID, User ID)、家目录位置等信息。更多介绍，可以通过 man 5 passwd 查阅。

在 Unix 最初的时候，passwd 文件存储了用户密码的哈希¹。但是，这个文件是所有用户都可以读取的。为了不让用户的密码哈希被任意获取，进而导致用户的密码被暴力破解，现在一般把密码存在别的地方。对于 Linux 来说，密码哈希信息存储在 /etc/shadow 里面，只有下文提到的根用户可以访问与修改。

根用户（root）

根用户 / root 用户在 Linux 操作系统中拥有最高的权限，可以对系统做任何操作（包括删除所有系统文件这一类极端危险的操作）。root 用户的用户数据存储在 /root 下。

在我们使用 sudo 的时候，输入自己的密码并验证正确之后，sudo 就会以 root 用户的身份，执行后面我们希望执行的命令。而使用 apt 安装的软件存储在了系统的目录下，所以必须要以 root 用户的身份安装。这就是我们平时需要 sudo 来安装软件的原因。

以下是一些会对系统带来毁灭性破坏的例子。 再重复一遍，不要执行下面的命令！

rm -rf /（删除系统中的所有可以删除的文件，包括被挂载的其他分区。即使不以 **root** 权限执行，也可以删掉自己的所有文件。）

mkfs.ext4 /dev/sda（将系统的第一块硬盘直接格式化为 ext4 文件系统。这会破坏其上所有的文件。）

dd if=/dev/urandom of=/dev/sda（对系统的第一块硬盘直接写入伪随机数。这会破坏其上所有的文件，并且找回文件的可能性降低。）

:(){ :|: & };:（被称为「Fork 炸弹」，会消耗系统所有的资源。在未对进程资源作限制的情况下，只能通过重启系统解决，所有未保存的数据会丢失。）

系统用户

一般地，在 Linux 中，系统用户的 UID 有一个指定范围，而这段范围在各个发行版中可能不同。如 Debian 使用了 100-999, 60000-64999 等区间分配给系统用户²。

S6_Bash中的运算_语法和条件表达式

Fri, 15 Nov 2024 09:44:26 +0800

算术运算¶

在 Bash 中进行算术运算，需要使用 expr 计算算术表达式值或 let 命令赋值表达式值到变量。基本运算符是 +加、-减、\*乘 (转义)、/除、%余。在 expr 中，运算符两边与操作数之间必须有空格，小括号要转义；但 let 则没有这个要求，运算符前后有无空格均可，小括号不需转义，但 = 前后不能有空格。

另外，所有标准的 shell 都支持另一种语法 **(( 表达式 ))**，其中 表达式 是一个 C 风格的数学表达式，可以计算，也可以赋值。(( 表达式 )) 是一条完整的命令，命令的返回值为 0 或 1。若表达式的结果非零，那么 (( 表达式 )) 命令返回零，而当表达式结果为零时命令返回 1。

**(( 表达式 ))**** 的返回值**

$ (( 1 + 1 ))
$ echo $? # 结果为 2，所以返回值为 0
0
$ (( 1 - 1 ))
$ echo $? # 返回值为 1，因为结果是 0
1

使用 $(( 表达式 )) 可以将计算结果用作为命令行的一部分，就像使用变量一样。

S6_I_O_重定向、管道与下载

Fri, 15 Nov 2024 09:44:26 +0800

重定向¶

一般情况下命令从标准输入（stdin）读取输入，并输出到标准输出（stdout），默认情况下两者都是你的终端。使用重定向可以让命令从文件读取输入/输出到文件。下面是以 echo 为例的重定向输出：

$ echo "Hello Linux!" > output_file # 将输出写入到文件（覆盖原有内容）
$ cat output_file
Hello Linux!
$ echo "rewrite it" > output_file
$ cat output_file # 可以看到原来的 Hello Linux! 被覆盖了。
rewrite it
$ echo "append it" >> output_file # 将输出追加到文件（不会覆盖原有内容）
$ cat output_file
rewrite it
append it

无论是 > 还是 >>，当输出文件不存在时都会创建该文件。

重定向输入使用符号 <：

command < inputfile
command < inputfile > outputfile

除了 stdin 和 stdout 还有标准错误（stderr），他们的编号分别是 0、1、2。stderr 可以用 2> 重定向（注意数字 2 和 > 之间没有空格）。

S6_Shell_脚本_变量

Fri, 15 Nov 2024 09:44:26 +0800

什么是 Shell¶

Shell 是 Linux 的命令解释程序，是用户和内核之间的接口。除了作为命令解释程序外，Shell 同时还提供了一个可支持强大脚本语言的程序环境。

Bash¶

Bourne Shell (sh)，是 Unix 系统的默认 Shell，简单轻便，脚本编程功能强，但交互性差。

Bourne Again Shell，即 Bash，是 GNU 开发的一个 Shell，也是大部分 Linux 系统的默认 Shell，是 Bourne Shell 的扩展。

Bash 允许用户定制环境以满足自己需要。通过修改环境文件 .bash_profile、.bashrc、.bash_logout，配置合适的环境变量，可以改变主目录、命令提示符、命令搜索路径等用户工作环境。

此外，bash 也支持使用 alias 别名代替命令关键字（alias name='命令'）。输入 alias，可以查看目前存在的别名：

$ alias

alias alert=‘notify-send –urgency=low -i “$([ $? = 0 ] && echo terminal || echo error)” “$(history|tail -n1|sed -e ‘'’s/^\s*[0-9]+\s*//;s/[;&|]\s*alert$//’'’)”’

alias egrep=‘egrep –color=auto’

alias fgrep=‘fgrep –color=auto’

alias grep=‘grep –color=auto’

alias l=‘ls -CF’

alias la=‘ls -A’

S6_变量输入与输出

Fri, 15 Nov 2024 09:44:26 +0800

变量输入与输出¶

输入¶

可以使用 **read**** 命令读取用户输入**，并将输入的内容赋值给变量。其中 **-p**** 参数后可以设置输出的提示信息。**

$ name=""
$ read -p "Enter your name: " name 
# 输出提示，然后从输入读取一个值，存储到 $name 中

Enter your name: linux
$ echo $name
linux

在使用 read 时，建议加上 **-r**** 参数（不转义）**，否则 \反斜杠会被视为转义符号。

$ message=""
$ read -p "Enter your message: " message
Enter your message: \(^o^)/~
$ echo $message # 可以看到，反斜杠被认为是转义符号，结果被丢弃
(^o^)/~
$ read -r -p "Enter your message: " message
Enter your message: \(^o^)/~
$ echo $message # 加上 -r 参数后，反斜杠完好无损
\(^o^)/~

输出¶

可以使用 **echo**** 命令输出变量信息**。其中 -n 参数不会在结尾输出换行符，而 -e 参数会解析文本中的转义字符（例如 \n）。

S6_文本处理

Fri, 15 Nov 2024 09:44:26 +0800

文本统计：wc¶

wc 是文本统计的常用工具，它可以输出文本的行数、单词数与字符（字节）数。

$ wc file
 427 2768 20131 file

统计中文文本时的问题

wc 在统计中文文本时，会出现一些问题，比如：

$ echo '中文测试' | wc
1 1 13

这里显示文本只有 1 个单词，但是有 13 个字符，这显然是不对的。

对于字符数统计结果，可以使用 wc -m 命令要求 wc 考虑宽字符：

$ echo '中文测试' | wc -m
5

换行符也是一个符号，所以结果为 5（而非 4）。

由于中文文本的单词统计涉及分词算法问题，wc 无法准确统计。

文本比较：diff¶

diff 工具用于比较两个文件的不同，并列出差异。

$ echo hello > file1
$ echo hallo > file2
$ diff file1 file1
$ diff file1 file2
1c1
< hello
---
> hallo

小知识

S7_C开发

Fri, 15 Nov 2024 09:44:26 +0800

C 语言开发

编译

main.c，内容如下：

// main.c
#include <stdio.h>

int main() {
 printf("Hello World!\n");
 return 0;
}

使用 gcc 对这个文件进行编译，生成二进制文件：

$ gcc main.c -o main #编译main.c到main
$ ./main #执行main
Hello World!

这里用 -o 指定了输出的二进制文件的文件名 main。

**直接进行到链接（Linking） **

应当注意到 gcc main.c -o main 这条指令没有打印出任何内容。这是因为整个编译过程是成功的，gcc 没有需要报告的内容，因此保持沉默。这是 Unix 哲学的一部分：Rule of Silence: When a program has nothing surprising to say, it should say nothing.

C 语言开发的多文件实现

我们假设你对于 C 语言的多文件实现有着基本的认知：即能够在之前的系统中的 IDE 内完成 C 语言的多文件开发。

S7_Python开发

Fri, 15 Nov 2024 09:44:26 +0800

解释器 python¶

一般的 Python（CPython）程序的运行，依靠的是 Python 解释器（Interpreter）。在 Python 解释器中，Python 代码首先被处理成一种字节码（Bytecode，与 JVM 运行的字节码不是一个东西，但有相似之处），然后再交由 PVM（Python virtual machine）进行执行，从而实现跨平台和动态等特性。

由于使用过于广泛，几乎每一份 Linux 都带有 Python 解释器，以命令 python2 或 python3 调用，分别对应两个版本的 Python。

包管理器 pip¶

为使用外部的第三方包，Python 提供了一个包管理器：pip。

pip 和 apt 之类的包管理器有相似之处：完成包的安装和管理，完成依赖的分析，等等。不过 pip 管理的是 Python 包，可以在 Python 代码中使用这些包。让我们看下面的例子：

# 安装 Python 3 和 Python 3 的 pip。对于 Python 2 和 3 间的纠纠缠缠，我们将在之后讲解。
$ sudo apt install python3 python3-pip

# 测试一下看看，是否能够正常使用它们。
# 请保证在 `python` 和 `pip` 后有 3 这个数字。这也是历史遗留问题。
$ python3 -V
$ pip3 -V

# 暂时忽略以下两条指令，我们会在之后讲解。
$ python3 -m venv venv
$ source venv/bin/activate
(venv)$ ls
venv

# 安装一个 Python 包 a、b，以及 a、b 依赖的 Python 包。
(venv)$ pip3 install a b

# 卸载一个 Python 包 b。注意：这不会删除之前一起安装的包 b 的依赖。
(venv)$ pip3 uninstall b

安装了 a 之后，我们就能在代码中使用 a 这个包了。

S8_Docker

Fri, 15 Nov 2024 09:44:26 +0800

使用 Docker 容器¶

接下来我们来尝试几个例子，体验 Docker 环境的独立性与易用性。

在 Ubuntu 容器中使用 shell¶

docker run -it --rm --name ubuntu-container ubuntu:20.04

这里，**--rm**** 代表容器停止运行（退出）之后，会被立刻删除**；--name 参数代表给容器命名，如果没有加这个参数，那么 docker 会给容器随机起一个格式类似于 gracious_brahmagupta 的名字。

**-it**** 是为了获得可交互的 Shell 所必须的**。**-i**** 会将容器的 init（主进程，这里是 **/bin/bash**）的标准输入与 **docker** 这个程序的标准输入相连接；而 **-t** 会告知主进程输入为终端（TTY）设备。**

在执行以上命令之后，你会获得一个 Ubuntu 20.04 的容器环境，退出 Shell 之后容器就会被销毁。

如果没有加上 --rm，退出后可以使用 **docker ps -a** 查看系统中所有的容器。

$ sudo docker ps -a
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
39d8ef1d4acf ubuntu:20.04 "bash" 4 seconds ago Exited (0) 2 seconds ago ubuntu-container

之后使用 docker start 启动容器。

S9_Shell_高级文本处理与正则表达式

Fri, 15 Nov 2024 09:44:26 +0800

其他 shell 文本处理工具¶

sort

sort 用于文本的行排序。默认排序方式是升序，按每行的字典序排序。

一些基本用法：

-r 降序（从大到小）排序sort descendingDESCasc or desc
-u 去除重复行
-o [file] 指定输出文件
-n 用于数值排序，否则“15”会排在“2”前

$ echo -e "snake\nfox\nfish\ncat\nfish\ndog" > animals
$ sort animals
cat
dog
fish
fish
fox
snake
$ sort -r animals
snake
fox
fish
fish
dog
cat
$ sort -u animals
cat
dog
fish
fox
snake
$ sort -u animals -o animals
$ cat animals
cat
dog
fish
fox
snake
$ echo -e "1\n2\n15\n3\n4" > numbers
$ sort numbers
1
15
2
3
4
$ sort -n numbers
1
2
3
4
15

小知识

Wireshark

Fri, 15 Nov 2024 09:44:26 +0800

安卓开发

Fri, 15 Nov 2024 09:44:26 +0800

国标22239 2019 基本要求控制点要求项测评对象

Fri, 15 Nov 2024 09:44:26 +0800

基本原理

文本描述框架

	基本要求
	安全技术					安全管理
安全控制层面	安全物理环境	安全通信网络	安全区域边界	安全计算环境	安全管理中心	安全管理制度	安全管理机构	安全管理人员	安全建设管理	安全运维管理
安全控制点	物理位置选择...	通信传输...	访问控制...	安全设备...	审计管理...	管理制度...	人员配备...	人员离岗...	安全方案设计...	安全事件处置...
安全要求项	要求项a、要求项b、要求项c、要求项d...

等级保护2.0的变化（1个思路，3个特点，10个变化）

保障思路

由1.0防御审计的被动保障向感知预警、动态防护、安全监测、应急响应的主动保障体系转变。

3个特点

对象范围扩大：将云计算安全、移动互联网安全、物联网安全、工业控制系统安全、大数据安全（附录形式）纳入范围。

分类结构统一：调整了标准结构、基本要求与设计要求，构建“一个中心，三重防护（以“安全管理中心”为中心，以“安全通信网络，安全区域边界，安全计算环境”三重防护体系）”。

强化可信计算：把可信验证列入各个级别并逐级提出各个环节的主要可信验证。

10个变化

名称变化：《信息系统安全等级等保护基本要求》→《网络安全等级保护基本要求》
对象变化：信息系统→等级保护对象（网络和信息系统）
安全要求的变化：安全要求→安全通用要求&安全扩展要求
章节结构的变化：

第三级安全要求	安全通用要求
	云计算扩展要求
	移动互联扩展要求
	物联网扩展要求
	工业控制扩展要求

分类结构的变化

技术部分	物理环境	管理部分	管理制度
	通信网络		管理机构
	区域边界		管理人员
	计算环境		建设管理
	管理中心		运维管理

增加云计算安全扩展要求：基础设施的位置，虚拟化安全保护，镜像和快照，云服务商选择，云计算环境管理。
增加移动互联安全扩展要求：无线接入点的物理位置，移动终端管控，移动应用管理，移动应用软件采购，移动应用软件开发。
新增物联网安全扩展要求：感知节点的物理防护，感知节点设备安全，感知网关节点的设备安全，感知节点的管理，数据融合处理。
新增工业控制安全扩展要求：室外控制设备防护，工控系统网络安全架构安全，拨号使用控制，无限使用控制，控制设备安全。
应用场景：

附录C	→	等保安全框架和关基技术
附录D	→	云计算应用场景
附录E	→	描述移动互联应用场景
附录F	→	描述物联网应用场景
附录G	→	描述工业控制系统应用场景
附录H	→	描述大数据应用场景

描述模型

PDRR模型（Protection,Detection,Reaction,Recovery：防护、检测、响应、恢复）

第一级系统	防护
第二级系统	防护/检测
第三级系统	策略/防护/检测/恢复
第四级系统	策略/防护/检测/恢复/响应

CMM模型（Capacity Maturity Model：系统安全工程成熟度模型）

第一级系统	一般执行（部分活动建制度）
第二级系统	计划执行（主要过程建制度）
第三级系统	统一策略（管理制度体系化）
第四级系统	持续改进（管理制度体系化/验证/改进）

安全技术章节

物理环境安全

安全物理环境	物理位置选择	1.机房场地应选择在具有防震、防风和防雨等能力的建筑内。
	物理位置选择	2.机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
	物理访问控制	1.机房出入口应配置电子门禁系统，控制，鉴别和记录进入的人员。
	防盗窃和防破坏	1.应将设备或主要部件进行固定，并设置明显的不易除去的标识。
		2.应将通信线缆设在隐蔽安全处。
		3.应设置机房防盗报警系统或设置有专人值守的视频监控系统。
	防雷击	1.应将各类机柜、设施和设备等通过接通系统安全接地。
	防雷击	2.应采取措施防止感应雷，例如设置防雷安保器或过压保护装置等。
	防火	1.机房应设置火灾自动消防系统，能够自动检测火情、自动报警、并自动灭火。
		2.机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。
		3.应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。
	防水和防潮	1.应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
		2.应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。
		3.应安装对水敏感的检测仪表和元件，对机房进行防水检测和报警。
	防静电	1.应采取防静电地板或地面并采用必要的接地防静电措施。
	防静电	2.应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等。
	温湿度控制	1.应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
	电力供应	1.应在机房供电线路上配置稳压器和过电压防护设备。
		2.应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。
		3.应设置冗余或并行的电力电缆线路为计算机系统供电。
	电磁防护	1.电源线和通信线缆应隔离铺设，避免互相干扰。
	电磁防护	2.应对关键设备实施电磁屏蔽。

安全通信网络

安全通信网络	网络架构	1. 应保证网络设备的业务处理能力满足业务高峰期需要。
		2. 应保证网路各个部分的带宽满足业务高峰期需要。
		3. 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址。
		4. 应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
		5. 应提供通信线路，关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。
	通信传输	1. 应采用校验技术或密码技术保证通信过程中数据的完整性。
	通信传输	2. 应采用密码技术保证通信过程中数据的保密性。
	可信验证	1. 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

安全区域边界

安全区域边界	边界防护	1. 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
		2. 应能够对非授权设备私自联到内部网络的行为进行检查或限制。
		3. 应能够对内部用户非授权联到外部网络的行为进行检查或限制。
		4. 应限制无线网络的使用，保证无线网络通过受控边界设备接入内部网络。
	访问控制	1. 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下允许通信外受控接口拒绝所有通信。
		2. 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化。
		3. 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出。
		4. 应能根据会话状态信息实现基于应用协议和应用内容的访问控制。
		5. 应对进出网络的数据流实现基于应用协议和应用内容的访问控制。
	入侵防范	1. 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。
		2. 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。
		3. 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析。
		4. 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。
	恶意代码和垃圾邮件防范	1. 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。
	恶意代码和垃圾邮件防范	2. 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。
	安全审计	1. 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要用户的行为和重要安全事件进行审计。
		2. 审计记录应包括时间的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
		3. 应对审计记录进行保护，定期备份，避免受到未预期的删除，修改或覆盖等。
		4. 应能对远程访问的用户行为，访问互联网的用户行为等进行行为审计和数据分析。
	可信验证	1. 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

## 安全计算环境

安全计算环境	网络设备（路由器、交换机）	身份鉴别	1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
			2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登陆链接超时自动退出等相关措施。
			3. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
			4. 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术只要应使用密码技术来实现。
		访问控制	1. 应对登录的用户分配账户和权限。
			2. 应重命名或删除默认账户，修改默认账户的默认口令。
			3. 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
			4. 应授予管理用户所需的最小权限，实现故案例用户的权限分离。
			5. 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
			6. 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据表级。
			7. 应对重要主体和客体设置安全标记，并控制主体对安全标记信息资源的访问。
		安全审计	1. 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计。
			2. 审计记录包括时间的日期和时间、用户、事件类型、时间是否成功及其他与审计相关的信息。
			3. 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
			4. 应对审计进程进行保护，防止未授权的终端。
		入侵防范	1. 应遵循最小安装的原则，仅安装需要的组件和应用程序。
			2. 应关闭不需要的系统服务、默认共享和高危端口。
			3. 应通过设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限制。
			4. 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
			5. 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
			6. 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
		可信验证	1. 可基于可信根对计算设备的引导程序、系统程序、重要配置参数和应用程序进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证解雇哦形成审计记录送至安全管理中心。
	安全设备（防火墙）	身份鉴别	1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
			2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登陆链接超时自动退出等相关措施。
			3. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
			4. 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术只要应使用密码技术来实现。
		访问控制	1. 应对登录的用户分配账户和权限。
			2. 应重命名或删除默认账户，修改默认账户的默认口令。
			3. 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
			4. 应授予管理用户所需的最小权限，实现故案例用户的权限分离。
			5. 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
			6. 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据表级。
			7. 应对重要主体和客体设置安全标记，并控制主体对安全标记信息资源的访问。
		安全审计	1. 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计。
			2. 审计记录包括时间的日期和时间、用户、事件类型、时间是否成功及其他与审计相关的信息。
			3. 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
			4. 应对审计进程进行保护，防止未授权的终端。
		入侵防范	1. 应遵循最小安装的原则，仅安装需要的组件和应用程序。
			2. 应关闭不需要的系统服务、默认共享和高危端口。
			3. 应通过设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限制。
			4. 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
			5. 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
			6. 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
		可信验证	1. 可基于可信根对计算设备的引导程序、系统程序、重要配置参数和应用程序进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证解雇哦形成审计记录送至安全管理中心。
	服务器（Linux服务器、Windows服务器）	身份鉴别	1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
			2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登陆链接超时自动退出等相关措施。
			3. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
			4. 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术只要应使用密码技术来实现。
		访问控制	1. 应对登录的用户分配账户和权限。
			2. 应重命名或删除默认账户，修改默认账户的默认口令。
			3. 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
			4. 应授予管理用户所需的最小权限，实现故案例用户的权限分离。
			5. 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
			6. 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据表级。
			7. 应对重要主体和客体设置安全标记，并控制主体对安全标记信息资源的访问。
		安全审计	1. 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计。
			2. 审计记录包括时间的日期和时间、用户、事件类型、时间是否成功及其他与审计相关的信息。
			3. 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
			4. 应对审计进程进行保护，防止未授权的终端。
		入侵防范	1. 应遵循最小安装的原则，仅安装需要的组件和应用程序。
			2. 应关闭不需要的系统服务、默认共享和高危端口。
			3. 应通过设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限制。
			4. 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
			5. 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
恶意代码防范		1. 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。
可信验证		1. 可基于可信根对计算设备的引导程序、系统程序、重要配置参数和应用程序进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证解雇哦形成审计记录送至安全管理中心。
终端设备	身份鉴别	1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
		2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登陆链接超时自动退出等相关措施。
		3. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
	访问控制	1. 应对登录的用户分配账户和权限。
		2. 应重命名或删除默认账户，修改默认账户的默认口令。
		3. 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
	入侵防范	1. 应遵循最小安装的原则，仅安装需要的组件和应用程序。
		2. 应关闭不需要的系统服务、默认共享和高危端口。
		3. 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
	恶意代码防范	1. 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。
	可信验证	1. 可基于可信根对计算设备的引导程序、系统程序、重要配置参数和应用程序进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证解雇哦形成审计记录送至安全管理中心。
系统管理软件（Oracle、MySQL）	身份鉴别	1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
		2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登陆链接超时自动退出等相关措施。
		3. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
		4. 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术只要应使用密码技术来实现。
	访问控制	1. 应对登录的用户分配账户和权限。
		2. 应重命名或删除默认账户，修改默认账户的默认口令。
		3. 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
		4. 应授予管理用户所需的最小权限，实现故案例用户的权限分离。
		5. 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
		6. 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据表级。
		7. 应对重要主体和客体设置安全标记，并控制主体对安全标记信息资源的访问。
	安全审计	1. 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计。
		2. 审计记录包括时间的日期和时间、用户、事件类型、时间是否成功及其他与审计相关的信息。
		3. 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
		4. 应对审计进程进行保护，防止未授权的终端。
		入侵防范
		1. 应遵循最小安装的原则，仅安装需要的组件和应用程序。
		2. 应通过设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限
		3. 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
应用系统	身份鉴别	1. 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
		2. 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登陆链接超时自动退出等相关措施。
		3. 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
		4. 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术只要应使用密码技术来实现。
	访问控制	1. 应对登录的用户分配账户和权限。
		2. 应重命名或删除默认账户，修改默认账户的默认口令。
		3. 应及时删除或停用多余的、过期的账户，避免共享账户的存在。
		4. 应授予管理用户所需的最小权限，实现故案例用户的权限分离。
		5. 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
		6. 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据表级。
		7. 应对重要主体和客体设置安全标记，并控制主体对安全标记信息资源的访问。
	安全审计	1. 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要的安全事件进行审计。
		2. 审计记录包括时间的日期和时间、用户、事件类型、时间是否成功及其他与审计相关的信息。
		3. 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
		4. 应对审计进程进行保护，防止未授权的终端。
	入侵防范	1. 应遵循最小安装的原则，仅安装需要的组件和应用程序。
		2. 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
		3. 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
	数据备份恢复	1. 应提供重要数据处理系统的热冗余，保证系统的高可用性。
	剩余信息保护	1. 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。
		2. 应保证敏感数据所在的存储空间被释放或重新分配前得到完全清除。
	个人信息保护	1. 应仅采集和保存业务必须的用户个人信息。
		2. 应禁止未授权访问和非法使用用户个人信息。
数据	鉴别数据	1. 数据完整性	应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
			应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
		2. 数据保密性	应采用密码技术保证重要数据在传输过程中的保密性。包括但不限于鉴别数据，重要业务数据和重要个人信息等。
			应采用密码技术保证重要数据在存储过程中的保密性。包括但不限于鉴别数据，重要业务数据和重要个人信息等。
	重要业务数据	1. 数据完整性	应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
			应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
		2. 数据保密性	应采用密码技术保证重要数据在传输过程中的保密性。包括但不限于鉴别数据，重要业务数据和重要个人信息等。
			应采用密码技术保证重要数据在存储过程中的保密性。包括但不限于鉴别数据，重要业务数据和重要个人信息等。
		3. 数据备份恢复	应提供重要数据的本地备份与恢复功能。
			应提供异地实时备份功能，利用通信网络将重要数据实施备份至备份场地。
	重要审计数据	1. 数据完整性	应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
			应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
		2. 数据备份恢复	应提供重要数据的本地备份与恢复功能。
	主要配置数据	1. 数据完整性	应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
			应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
		2. 数据备份恢复	应提供重要数据的本地备份与恢复功能。
	重要个人信息	1. 数据完整性	应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
			应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据，重要业务数据，重要审计数据，重要配置数据，重要视频数据和重要个人信息等。
		2. 数据保密性	应采用密码技术保证重要数据在传输过程中的保密性。包括但不限于鉴别数据，重要业务数据和重要个人信息等。
			应采用密码技术保证重要数据在存储过程中的保密性。包括但不限于鉴别数据，重要业务数据和重要个人信息等。
		3. 数据备份恢复	应提供重要数据的本地备份与恢复功能。

安全管理中心

安全管理中心	系统管理	1. 应对系统管理员进行身份鉴别，只允许通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计
	系统管理	2. 应对系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。
	审计管理	1. 应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计。
	审计管理	2. 应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等。
	安全管理	1. 应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计。
	安全管理	2. 应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主主体、客体进行统一安全标记，对主题进行授权，配置可信验证策略等。
	集中管控	1. 应划分出特定的管理区域，对分布在网络中的设备或安全组件进行管控。
		2. 应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理。
		3. 应对网络链路、安全设备、网络设备和服务器等设备的运行情况进行集中监测。
		4. 应对分散在各个设备上的审计数据进行手机汇总和集中分析，并保证审计记录的留存时间符合法律法规要求。
		5. 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。
		6. 应能对网络中发生的各类安全事件进行识别、报警和分析。

安全管理章节

安全管理制度

安全管理制度	安全策略	1. 应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架。
	安全制度	1. 应对安全管理活动中的各类管理内容建立安全管理制度。
		2. 应对管理人员或操作人员执行的日常管理操作建立操作规程。
		3. 应形成由安全策略、管理制度、操作规程、记录表单构成的安全管理制度体系。
	制定与发布	1. 应指定或授权专门的部门或人员负责安全管理制度的制定。
	制定与发布	2. 安全管理制度通过正式、有效的方式发布，并进行版本控制
	审核与修订	1. 应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。

安全管理机构

安全管理机构	岗位设置	1. 应成立指导和管理网络安全工作的委员会或领导小组，其最高领导应由单位主管领导担任或授权
		2. 应设立网络安全管理工作的职能部门，设立安全主管、安全管理等各个方面的负责人岗位，并定义各负责人的职责。
		3. 应设立系统管理员、审计管理员、安全管理员等岗位，并定义部门及各个工作岗位的职责。
	人员配置	1. 应配置一定数量的系统管理员、审计管理员、安全管理员等。
		2. 应配置专职的安全管理员，不可兼任。
	审批与授权	1. 应根据各个部门和岗位的职责，明确授权审批事项、审批部门和批准人等。
		2. 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，并按照审批程序执行审批过程，对重要活动建立逐级审批制度。
		3. 应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息。
	沟通与合作	1. 应加强各类管理人员、组织内部机构和网络安全管理部门之间的沟通合作，定期召开协调会议，共同协作处理网络安全问题。
		2. 应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通。
		3. 应建立外联单位审批表，包括外联单位名称、合作内容、联系人和联系方式等信息。
	审核与检查	1. 应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。
		2. 应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等。
		3. 应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对检查结果进行通报。

安全管理人员

安全管理人员	人员录用	1. 应制定专门的人员或部门负责人员录用。
		2. 应对被录用人员的身份、安全背景、专业资格或资质等进行审查，对其具有的技术技能进行考核。
		3. 应与被录用人员签署保密协议，与关键岗位人员签署岗位责任协议。
	人员离岗	1. 应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。
	人员离岗	2. 应办理严格的调离手续，并承诺调离后的保密义务后方可离开。
	安全意识教育和培训	1. 应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施。
		2. 应针对不同的岗位制定不同的培训计划，对安全基础知识、岗位操作规程等进行培训。
		3. 应定期对不同岗位的人员进行技能考核。
	外部人员访问管理	1. 应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案。
		2. 应在外部人员接入受控网络访问系统前提出书面申请，批准后由专人开设账户、分配权限、并登记备案。
		3. 外部人员离场后应及时清除所有的访问权限。
		4. 获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，不得复制和泄露任何敏感信息。

安全建设管理

安全建设管理	定级和备案	1. 应以书面的形式说明保护对象的等级保护等级及确定等级的方法和理由。
		2. 应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定。
		3. 应保证定级结果经过相关部门的批准。
		4. 应将备案材料报主管部门和相应公安机关备案。
	安全方案设计	1. 应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施。
		2. 应根据保护对象的安全保护等级及其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件。
		3. 应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施。
	安全产品采购和使用	1. 应确保网络产品采购和使用符合国家的有关规定。
		2. 应确保密码产品与服务的采购和使用符合国家密码主管部门的要求。
		3. 应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。
	自行软件开发	1. 应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制。
		2. 应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。
		3. 应制定代码编写安全规范，要求开发人员参照规范编写代码。
		4. 应具备软件设计的相关文档和使用指南，并对文档使用进行控制。
		5. 应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测。
		6. 应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制。
		7. 应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查。
	外包软件开发	1. 应在软件交付前检测其中可能存在的恶意代码。
		2. 应保证开发单位提供软件设计文档和使用指南。
		3. 应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。
	工程实施	1. 应制定或授权专门的部门或人员负责工程实施过程的管理。
		2. 应制定安全工程实施方案控制工程实施过程。
		3. 应通过第三方工程监理控制项目的实施过程。
	测试验收	1. 应制定测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告。
	测试验收	2. 应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应安全性测试相关内容。
	系统交付	1. 应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点。
		2. 应对负责运行维护的技术人员进行相应的技能培训。
		3. 应提供建设过程文档和运行维护文档。
	等级测评	1. 应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改。
		2. 应在发生重大变更或级别发生变化时进行等级测评。
		3. 应确保测评机构的选择符合国家有关规定。
	服务供应商管理	1. 应确保服务供应商的选择符合国家的有关规定。
		2. 应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务。
		3. 应定期监督、评审和审核服务供应商提供的服务，并对其变更服务内容加以控制。

安全运维管理

安全运维管理	环境管理	1. 应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理。
		2. 应建立机房安全管理制度，对有关物理方位、物品带进出和环境安全等方面的管理做出规定。
		3. 应不在重要区域接待来访人员，不随意防止含有敏感信息的纸质文档和移动介质等。
	资产管理	1. 应编制并保存与保护对象相关的资产清单，包含资产责任部门、重要程度和所处位置等。
		2. 应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施。
		3. 应对信息分类与标识方法做出规定，并对信息的使用、传输和存储进行规范化管理。
	介质管理	1. 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点。
	介质管理	2. 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询进行登记记录。
	设备维护管理	1. 应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理。
		2. 应建立配到设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等。
		3. 信息处理设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密。
		4. 含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据和授权软件无法被恢复重用。
	漏洞和风险管理	1. 应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患进行修补或评估可能的影响后进行修补。
	漏洞和风险管理	2. 应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题。
	网络和系统安全管理	1. 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限。
		2. 应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制。
		3. 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管日常操作、升级与打补丁、口令更新周期等方面作出规定。
		4. 应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等。
		5. 应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。
		6. 应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为。
		7. 应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可变更的审计日志，操作结束后应同步更新配置信息库。
		8. 应严格控制运维工具的使用，经过审批后才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工具中的敏感数据。
		9. 应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道。
		10. 应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为。
	恶意代码防范管理	1. 应提高所有用户的恶意代码防范意识，对外来计算机或存储设备接入系统前进行恶意代码检查等。
	恶意代码防范管理	2. 应定期验证防范恶意代码攻击的技术措施的有效性。
	配置管理	1. 应急和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。
	配置管理	2. 应将基本配置信息改变纳入变更范畴，实施对配置信息改变的控制，并及时跟新基本配置信息库。
	密码管理	1. 应遵循密码相关国家标准和行业标准。
	密码管理	2. 应使用国家密码管理主管部门认证核准的密码技术和产品。
	变更管理	1. 应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施。
		2. 应建立变更的申报和审批控制程序，以及程序控制所有的变变更，记录变更实施过程。
		3. 应建立中止变更并从变更中恢复的程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练。
	备份与恢复管理	1. 应识别需要定期备份的重要业务信息、系统数据及软件系统等。
		2. 应规定备份信息的备份方式、备份频度、存储介质、保存期等。
		3. 应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。
	安全事件处置	1. 应及时向安全管理部门报告所发现的安全弱点和可疑事件。
		2. 应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等。
		3. 应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据记录处理过程，总结经验教训。
		4. 对造成系统中断和造成信息泄露的重大安全事件应采用不同的处理程序和报告程序。
	应急预案管理	1. 应规定统一的应急预案框架，包括启动预案的条件、应急组织结构、应急资源保障、事后教育和培训等内容。
		2. 应制定重要事件的应急预案、包括应急处理流程、系统恢复流程等内容。
		3. 应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练。
		4. 应定期对原有的应急预案重新评估，修订完善。
	外包运维管理	1. 应确保外包运维服务商的选择符合国家的有关规定。
		2. 应与选定的外包运维服务是签订相关的协议，明确约定外包运维的范围、工作内容。
		3. 应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确。
		4. 应在与外包运维服务商签订的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访问、处理、存储要求，对IT基础设施中断服务的应急保障要求等。

扩展要求章节

云计算安全扩展要求

云计算安全扩展要求	概述	云计算技术	1. 定义	云计算是一种模式，是一种无处不在的、便捷的、按需的、基于网络访问的、共享使用的、可配置的计算资源（例如网络、服务器、存储、应用和服务），可以它通过最少的管理工作与服务提供商的互动快速置备并发布
			2. 五个基本特征	按需自助
				无所不在的网络访问
				资源池化
				快速弹性
				可度量的服务
			3. 三种服务模式	软件即服务（SaaS）：通过网络为最终用户提供服务。
				平台即服务（PaaS）：主要提供一些基础资源、包括服务器、网络、存储等服务。
				基础设施即服务（IaaS）：主要提供一些基础资源，包括服务器、网络、存储等服务。
			4. 四个部署模式	公有云：云计算基础设施为公众或大型行业团体提供服务，由销售云计算服务的云平台所有。
				私有云：云计算基础设施为单一的云平台专门运作，可以由该云平台或第三方管理并可以位于云平台内部或外部。
				社区云：云计算基础设施由若干个云平台共享，支持特定的、有共同关注点的社区（例如使命、安全要求、政策或合规性考虑等），可以由该云平台或第三方管理并可以位于该云平台内部或外部。
				混合云：云基础设施由两个或多个云（私有云、社区云和公共云）组成，以独立实体的形式存在（通过标准的或专有的技术绑定在一起，这些技术促进了数据和应用的可移植性，例如云间的负载均衡），通常用于描述非云化数据中心与云服务提供商的互联。
		云安全等级测评对象及安全职责	1. 测评范围	IaaS模式	云计算平台/系统由设施、硬件、资源抽象控制层组成。
				PaaS模式	云计算平台/系统包括设施、硬件、资源抽象控制层、虚拟化计算资源和软件平台。
				SaaS模式	云计算平台/系统包括设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用平台。
			2. 测评对象及安全责任	IaaS模式	1. 云服务商责任对象：基础架构层硬件、虚拟化及服务层的安全防护。
					2. 云租户的责任对象：虚拟机、数据库、中间件、业务应用、数据的安全防护。
				Paas模式	1. 云服务商责任对象：基础架构层硬件、虚拟化及服务层、虚拟机、数据库的安全防护。
					2. 云租户的责任对象：软件开发平台中间件、应用、数据的安全防护。
				SaaS模式	1. 云服务商责任对象：基础架构层硬件、虚拟化及服务层、虚拟机、数据库、中间件、业务应用的安全防护。
					2. 云租户的责任对象：与由于业务应用相关的安全配置、用户访问、用户账户、数据的安全防护。
	安全物理环境	基础设施位置	应保证云计算基础设施位于中国境内。
	安全通信网络	网络架构	1. 应保证云计算平台不承载高于其安全等级保护的业务应用系统。
			2. 应实现不同云服务客户虚拟网络之间的隔离。
			3. 应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力。
			4. 应具有根据云服务客户业务需求自主设置安全策略的能力，包括定义访问路径、选择安全组件、配置安全策略。
			5. 应提供开放式接口或开放性安全服务，允许云客户接入第三方安全产品或在云计算平台选择第三方安全服务。
	安全区域边界	访问控制	1. 应在虚拟化网络边界部署访问控制机制，并设置访问控制规则。
			2. 应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。
		入侵防范	1. 应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。
			2. 应能检测到虚拟网络节点的攻击行为，并能记录攻击类型、攻击时间、攻击流量等。
			3. 应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量。
			4. 应在检测到网络攻击行为、异常流量情况时进行告警。
		安全审计	1. 应对云服务商和云服务客户在远程管理时执行的特权命令进行审审计，至少包括虚拟机删除、虚拟机重启。
			2. 应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。
	安全计算环境	身份鉴别	1. 当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。
		访问控制	1. 应当保证虚拟机迁移时，访问控制策略随其迁移。
			2. 应允许云服务客户设置不同虚拟机之间的访问控制策略。
		入侵防范	1. 应能检测虚拟机之间的资源隔离失效，并进行告警。
			2. 应能检测非授权新建虚拟机或者重新启用虚拟机，并进行告警。
			3. 应能够检测恶意代码感染以及在虚拟机间蔓延的情况，并进行告警。
		镜像和快照保护	1. 应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务。
			2. 应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。
			3. 应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。
		数据完整性和保密性	1. 应确保云服务客户数据、用户个人信息等存储于中国境内，如需出境应遵循国家相关规定。
			2. 应确保只有在云服务客户收取按下，云服务商或第三方才具有云服务客户数据的管理权限。
			3. 应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施。
			4. 应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加密解密过程。
		数据备份恢复	1. 云服务客户应在本地保存其业务数据的备份。
			2. 应提供查询云服务客户数据及备份存储位置的能力。
			3. 云服务商的云存储服务应保证云服务客户数据存在若干可用的副本，各副本之间的内容应保持一致。
			4. 应为云服务客户将业务系统及数据迁移到其他云计算平台和本地系统提供技术支持手段，并协助完成迁移过程。
		剩余信息保护	1. 应保证虚拟机所使用的内存和存储空间回收时得到完全清除。
			2. 云服务客户删除业务应用数据时，云计算平台应将存储中所有副本删除。
	安全管理中心	集中管控	1. 应能对物理资源和虚拟资源按照策略统一管理调度和分配。
			2. 应保证云计算平台管理流量与云服务客户业务流量分离。
			3. 应根据云服务商和云服务客户的职责划分，手收集各自控制部分的审计数据并实现各自的集中审计。
			4. 应根据云服务商和云服务客户的职责划分，实现各自控制部分，包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中检测。
	安全建设环境	云服务商选择	1. 应选择安全合规的云服务商，其所提供的云计算平台应为其所承载的业务系统提供相应等级的安全保护能力。
			2. 应在服务水平协议中规定云服务的各项服务内容和具体技术指标。
			3. 应在服务水平协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准备、违约责任等。
			4. 应在服务水平协议中规定服务合约到期时，完整提供云服务客户数据，并承诺相关数据在云计算平台上清除。
			5. 应与选定的云服务商签订保密协议，要求其不得泄露云服务客户数据。
供应链管理		1. 应确保供应商的选择符合国家有关规定。
		2. 应将供应链安全事件信息或安全威胁信息及时传达到云服务客户。
		3. 应该将供应商的重要变更及时传达到云服务客户，并评估变更带来的安全风险，采取措施对危险进行控制。
安全运维管理	云计算环境管理	云计算平台的运维地点位于中国境内，境外对境内云计算平台实施运维操作应遵循国家相关规定。

移动互联安全扩展要求

移动互联安全扩展要求	安全物理环境	无线接入点的物理位置	1. 应为无限接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。
	安全区域边界	边界防护	1. 应保证有线网络与无线网络之间的访问和数据流通过无线接入网关设备。
		访问控制	1. 无线接入的设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。
		入侵防范	1. 应能够检查测到非授权无线接入设备和非授权移动终端的接入行为。
			2. 应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为。
			3. 应能够检测到无线接入设备的SSID广播、WPS等高风险功能的额开启状态。
			4. 应禁用无线接入设备和无线接入网关存在风险的的功能，如：SSID广播、WEP认证等。
			5. 应禁止多个AP使用同一个认证密钥。
			6. 应能够阻断非授权接入设备或非授权移动终端。
	安全计算环境	移动终端管控	1. 应保证移动终端安装、注册并运行终端管理客户端软件。
		移动终端管控	2. 移动终端应接受移动管理服务中断的设备生命管理周期、设备远程控制，如：远程锁定、远程擦除等。
		移动应用管控	1. 应具有选择应用软件安装、运行的功能。
			2. 应只允许指定证书签名的应用软件安装和运行。
			3. 应具有软件白名单功能，应能根据白名单控制应用软件安装、运行。
	安全建设管理	移动应用软件采购	1. 应保证移动移动终端安装、运行的应用软件来自可靠分发渠道或使用可靠证书签名。
		移动应用软件采购	2. 应保证移动终端安装、运行的应用软件由指定的开发者开发。
		移动应用软件开发	1. 应对移动业务应用软件开发者进行资质审查。
		移动应用软件开发	2. 应保证开发移动业务应用软件的签名证书具有合法性。
	安全运维管理	配置管理	应建立合法无线接入设备和和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。

物联网安全扩展要求

物联网安全扩展要求	安全物理环境	感知节点设备物理防护	1. 感知节点设备所处的物理环境应不对感知节点设备造成物理破环，如挤压、强振动。
			2. 感知节点设备在工作状态所处物理环境应能正确反映环境状态（如温湿度传感器不能安装在阳光直射区域）。
			3. 感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、阻挡屏蔽等。
			4. 关键感知节点设备应具有可供长时间工作的电力供应（关键网关节点设备应具有持久稳定的电力供应能力）。
	安全区域边界	接入控制	1. 应保证只有授权节点可以接入。
		入侵防范	1. 应能够限制与感知节点通信的目标地址，以避免对陌生地址的攻击行为。
			2. 应能够限制与网关节点通信的目标地址，以避免对陌生地址的攻击行为。
	安全计算环境	感知节点设备安全	1. 应保证只有授权的用户可以对感知节点设备上的软件应用进行配置或变更。
			2. 应具有对其连接的网关节点设备（包括读卡器）进行身份标识和鉴别的能力。
			3. 应具有对其连接的其他感知节点设备（包括路由节点）进行身份标识和鉴别的能力。
		网关节点设备安全	1. 应具备对合法连接设备（包括终端节点、路由节点、数据处理中心）进行标识和鉴别的能力。
			2. 应具备过滤非法节点和伪造节点所发送的数据的能力。
			3. 授权用户应能够在设备使用过程中对关键密钥进行在线更新。
			4. 授权用户应能够在设备使用过程中对关键配置参数进行在线更新。
		抗数据重放	1. 应能够鉴别数据的新鲜性，避免历史数据的重放攻击。
			2. 应能够鉴别历史数据的非法修改，避免数据的修改重放攻击。
		数据融合处理	1. 应对来自传感网的数据进行数据融合处理，使不同种类的数据可以在同一个平台被使用。
	安全运维管理	感知节点管理	1. 应指定人员定期巡视感知节点设备、网关节点设备的部署环境，对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护。
			2. 应对感知节点设备、网关节点设备入库、存储、部署、携带、维修、丢失和报废等过程作出明确规定，并进行全程管理。
			3. 应加强对感知节点设备、网关节点设备部署环境的保密性管理，包括负责检查和维护的人员调离工作岗位应立即交还相关检查工具和检查维护记录等。

工业控制系统安全扩展要求

工业控制系统安全扩展要求	安全物理环境	室外控制设备物理防护	1. 室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固；箱体或装置具有透风、散热、防盗、防雨和防火能力等。
			2. 室外控制设备放置应远离强电磁干扰、强热源等环境，如无法避免应及时做好应急处置及检修，保证设备正常运行。
	安全通信环境	网络架构	1. 工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用单向的技术隔离手段。
			2. 工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段。
			3. 涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备组网，在物理层面上实现与其他数据网及外部公共信息网的安全隔离。
		通信传输	1. 在工业控制系统内使用广域网进行控制指令或相关数据交换的应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。
	安全区域边界	访问控制	1. 应在工业控制系统与企业其他系统之间部署访问控制设备，配置访问控制策略，禁止任何穿越区域边界的E-mail、Web、Telnet、Rlogin、FTP等通用网络服务。
			2. 应在工业控制系统内安全域和安全域之间的边界防护机制失效时，及时进行报警。
		拨号使用控制	1. 工业控制系统确需使用拨号访问服务的，应限制具有拨号访问权限的用户数量，并采取用户身份辨别和访问控制等措施。
			2. 拨号服务器和客户端均应使用经安全加固的操作系统，并采取数字证书认证、传输加密和访问控制等措施。
		无线设置控制	1. 应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性标识和鉴别。
			2. 应对所有参与无线通信的用户（人员、软件进程或者设备）进行授权以及执行使用进行限制。
			3. 应对无线通信采取传输加密的安全措施，实现传输报文的机密性保护。
			4. 对采用无线通信技术进行控制的工业控制系统，应能识别其物理环境中发射的未经授权的无线设备，报告未经授权试图接入或干扰控制系统的行为。
	安全计算环境	控制设备安全	1. 控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求，如受条件限制控制设备无法实现上述要求，应由其上位控制或管理设备实现同等功能或通过管理手段控制。
			2. 应在经过充分测试评估后，在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作。
			3. 应关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等，确保需保留的应通过相关的技术措施实施严格的监控管理。
			4. 应使用专用设备和专用软件对控制设备进行更新。
			5. 应保证控制设备在上线前经过安全性检测，避免控制设备固件中存在恶意代码程序。
	安全建设环境	产品采购和使用	1. 工业控制系统重要设备应通过专业机构的安全性检测后方可采购使用。
		外包软件开发	1. 应在外包开发合同中规定针对开发单位、供应商的约束条款，包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。

国标22240 2020 定级指南

Fri, 15 Nov 2024 09:44:26 +0800

基本概念和定级要素

等级：指重要性等级

对国家安全、经济建设、公共利益等方面的重要性

被破坏后造成影响的严重程度

等保的对象

信息系统（2002→2020修订）

通信网络设施（2020新增）

数据资源（2020新增）

等保的主体

信息系统的运营、使用单位

等保的客体

客体的类型

公民、法人和其他组织的合法权益

社会秩序和公共利益

国家安全

客体侵害程度

一般损害：采取恢复或弥补措施，可消除部分影响

特别损害：采取恢复或弥补措施，仍产生较大影响

特别严重损害：无法恢复和弥补，后果特别严重，产生重大影响

定级工作流程

确定定级对象

定级对象的类型

信息系统类对象

云计算平台

云服务商侧：单独作为定级对象定级

云服务客户侧：单独作为定级对象定级

大型云计算平台：将云计算基础设施和有关辅助服务系统化为不同的定级对象

物联网

感知、网络传输、处理应用等要素作为整体对象定级，各要素不单独定级

移动互联网

移动终端、移动应用、无线网络等要素可作为一个整体独立定级或与相关联业务一起定级，各要素不单独定级

工控系统

现场采集/执行、现场控制、过程控制等要素应作为整体对象定级，各要素不单独定级

生产管理要素可单独定级

大型工控系统，可根据系统功能、责任主体、控制对象和生产厂商等因素划分为多个定级对象

通信网络对象

电信网、广播电视传输网、互联网等基础信息网络，应根据责任主体、服务类型或地域将其划分为不同的定级对象

跨省的行业或单位内部专用网（专网）可作为一个整体对象定级，或分区域划分多干个定级对象

数据资源类对象

数据资源可作为单独定级对象进行定级

安全责任主体相同时：大数据、大数据平台/系统可作为一个整体对象定级

安全责任主体不同时：大数据宜独立定级

定级对象的重要性

业务信息（S）重要性

系统服务（A）重要性

初步确定等级

定级方法流程

确定客体

确定业务信息（S）受到破坏时所侵害的客体

确定系统服务（A）受到破坏时所侵害的客体

确定程度

综合评定对客体（S）的侵害程度

综合评定对客体（A）的侵害程度

初步定级

确定业务信息（S）安全保护等级

确定系统服务（A）安全保护等级

确定定级对象（SA）的安全保护等级

具体定级方法

确定侵害客体

业务信息（S）受到破坏后的侵害客体

系统服务（A）受到破坏后的侵害客体

多种信息（S）和多种服务系统（A）的处理

确定侵害程度

业务信息（S）受到破坏后对客体的侵害程度

系统服务（A）受到破坏后对客体的侵害程度

多种信息（S）和多种服务系统（A）的处理

综合判定侵害程度

如果受侵害客体是公民、法人或其他组织的合法权益，则以本人或本单位的总体利益作为判断侵害程度的基准

如果受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家的总体利益作为判断侵害程度的基准

确定业务信息（S）安全等级和信息服务（A）安全等级

取高，初步确定定级对象（SA）的安全保护等级

特定对象定级说明

对于基础网络设施、云平台和大数据平台等支撑类定级对象，应根据其承载或将要承载的等级保护对象的重要程度确定其安全保护等级，原则上应不低于其承载的等级保护对象的安全保护等级

对于数据资源，应综合考虑其规模、价值等因素，涉及大量公民信息以及为公民提供公共服务的大数据平台/系统，原则上其安全保护等级不低于三级

专家评审

由行业内外专家、高级测评师参与

国标28448 2019 测评要求检查内容

Fri, 15 Nov 2024 09:44:26 +0800

国标28449 2018 测评过程指南

Fri, 15 Nov 2024 09:44:26 +0800

等级测评工作概述

概念

等级测评是指，测评机构依据国家信息安全等级保护度规定，按照有关管见范和技术标准，对未涉及国家秘密的等级保护对象的安全等级保护状况进行检测评估的活动。

与22239《基本要求》的关系

《测评要求》针对《基本要求》中各要求顶给出了具体测评对象、测评实施的主要活动判定准则等。以此为基础，评定定级对象的安全保护能力是否符合相应等级的《基本要求》。

《测评过程指南》规定了开展等级测评工作的基本过程、流程、任务及工作产品等，规范测评机构的等级测评工作，并对如何使用《测评要求》提出指导建议。

一者共同指导等级测评工作。

等级保护工作的对象

等级保护对象

基础网络设施、信息系统、工业控制系统、云计算平台、物联网、使用移动互联技术的信息系统、大数据平台、大数据等。

定级对象

具有单一等级的等级保护对象，是等级测评的执行对象。

测评对象

测评活动作用的对象。

测评方法

访谈

测评人员通过引导相关人员进行有目的的（有针对性的）交流以帮助测评人员理解，澄清或取得证据的过程。

核查

测评人员通过对测评对象（如制度文档、各类设备及相关安全配置等）进行观察、查验和分析，以帮助测评人员理解、澄清或取得证据的过程。

安全文档：审核安全策略、机房巡检例程；分析软件需求和详细设计

安全功能：核查、观察安全部件/功能的运行

安全行为：观察备份恢复操作或应急演练等

测试

测评人员使用顶定的方法、工具使测评对象（各类设番或安全配置）产生特定的结果，将还行结果与顸期的结果迸行比对的过程。

漏洞扫描

渗透测试

通信抓包分析

等等

等级测评强度

测评方法

安全技术方法的测评方法以配置核查和测试验证为主，几乎没有访谈。

安全管理方面可以使用访谈方法进行测评。

设备范围

第一级和第二级测评对象范围为关键设备。

第三级测评对象范围为主要设备，第四级测评对象范围所有设备。

测评实施

第一级和第二级主要以核查机制为主，访谈问題简要、充分，以通用和高级问为主。

第三级和第四级不但核查机制，还要进行测试证，测评策略有效性；访谈问较全面、全面，增加详细、有难度和探索性的问题。

等级测评实施工作

测评流程

测评准备活动

等级测评项目启动

信息收集与分析

工具和表单准备

输入	主要任务	输出
项目计划书，系统调查表格，被测定对象相关的技术资料	项目启动	项目计划书
各种与被测系统相关的技术资料	信息收集和分析	填好的调查表格，各种与被测定级对象相关的技术资料
各种与被测系统相关的技术资料	工具和表单准备	选用的测评工具清单，打印的各类表单：风险告知书、文档交接单、会议记录表单、会议签到表但等

方案编制活动

测评对象确定；测评指标确定

测评内容确定

工具测试方法确定

测评指导书开发

测评方案编制

输入	主要任务	输出
填好的调查表格	测评对象确定	确定出的测评对象列表
填好的调查表格、《基本要求》	测评指标确定	确定出的测评指标
填好的调查表格，确定出的测评对象、测评指标及测试工具接入点	测评内容确定	单元测评内容
填好的调查表格、《测评要求》	工具测试方法确定	确定出的测试工具接入点及测试路径
单元测评内容	测评指导书开发	测评指导书
委托测评协议书、填好的调研表格、确定出的测评对象、测评指标及测试工具接入点，单元测评内容	测评方案编制	测评方案文本

现场测评活动

测评实施准备

现场测评和结果记录

结果确认和资料归还

输入	主要任务	输出
现场测评授权书，测评方案，测评指导书	现场测评准备	会议记录，更新后的测评计划和测评程序，确认的现场测评授权书
测评指导书，测评结果记录表格	现场测评和结果记录	测评结果记录，工具测试完成后的电子输出记录
测评结果记录，工具测试完成后的电子输出记录等	结果确认和资料归还	现场测评中发现的主要问题汇总，证据和证据源记录，测评委托单位对测评结果记录的书面认可

报告编制活动

单项测评结果判定

单元测评结果判定

整体测评

系统安全保障评估

安全问题风险分析

等级测评结论形成

测评报告编制

输入	主要任务	输出
测评结果记录，测评指导书	单项测评结果判定	单项测评结果
单项测评结果	单元测评结果判定	单元测评结果
单元测评结果	整体测评	整体测评结果
整体测评结果	系统安全保障评估	风险分析结果
整体测评结果	安全问题风险分析	风险分析结果
单元测评结果、整体测评结果	等级测评结论形成	等级测评结论
测评方案/测评结果记录，单项测评结果、单元测评结果、整体测评结果、风险分析结果	测评报告编制	测评报告文本

联盟团标网络安全等级保护测评高风险判定指引

Fri, 15 Nov 2024 09:44:26 +0800

基本介绍

编制背景

在近几年全国等级保护报告抽查活动中，发现全国各家测评机构对安全问题的风险判断尺度差异很大。

分析其原因

各测评对象的现场实际情况各不相同，但是在报告中未进行详细描述；

安全问题风险分析主观性判断较强，测评人员的个人能力、经验以及对标准条款的理解不同，都可能影响最后的风险判定结果；

有个别测评机构在风险判断上，尺度明显较松，出现测评报结论与风险不符。

因此，中关村测评联盟委托全国多家测评机构，组织共同制定了《网络安全等级保护测评高风险判定指引》。

编制目的

集全国各家机构经验，基于”一般应用系统场景“，提出一些应判高风险的场景，给测评人员—个参考尺度，使等保测评工作更加标准化，规范化；

与等保标准各等级中的核心要求相对应，把一些基础的、必须做到的要求明确提出来，从而提高被测系统的防护能力。

当前状态

从2018年6月立项起，至2020年11月，共经历了5次全国测评机构征求意见，2次测评机构小范围征求意见，2次专家会，修订了十余版，于2020年11月5日直发布，12月1日实施。
总共收录了69条判例，对应40余标准要求。

编制思路

问题1：哪些问题应判为高风险？高风险判定得原则是什么？

不符合国家法律法规、行业主管部门明确规定的情况，应判为高风险。
要求测评人员：关注、了解网络安全法及国家、行业主管部门发布各项规定。
不符合或未实现《基本要求》中各等级、层面核心要求及基本安全功能，且无等效或补偿措施降低风险等级的情况，应判为高风险。
要求测评人员：把握等保各级核心要求、基本安全功能，强调底线意识。
通过技术测试发现被测目标存在可被高度利用，并可能对被测系统产生严重后果的情况，应判为高风险。
要求测评人员：重视技术测试，尤其是以攻击者的视角去审视目标系统的安全性，贴近实战。

问题2：高风险判例是否应该“一刀切”？

在“补偿因素”中会提出一些可缓解风险的具体措施以及可与其他层面控制点进行整体分析从而综合判断风险等级的分析方向供测评师参考，当然，测评师应
在报告中要对实际情况以及相关风险进行详细描述及分析。

问题3：提出的高风险问题是否能够进行整改？

所有提出“高风险”场景在正常情况下均是能够进行整改，并在附录的“整改建议”中会给出针对性，可落地实现的整改意见。

特别注意

《指引》不可能枚举所有场景，也不可能覆盖所有行业系统；对于一些特定行业的系统（比如工控系统），测评人员可以根据本隹内容，结合行业主管部门要求、系统特点、现有措施等综合进行风险分析；
对于《指引》未涉及的场景，或虽然不在《指引》明确的适用范围内，但确实可能产生重大安全隐患的情况，测评人员须结合实际情况，对安全问题所引发的风险等级做出客观判断；
《指引》中的"补偿因素"也不可能枚举所有可缓解措施；如果测评过程中发现存在未列出的安全措施，但确实可以降低风险等级，测评人员可结合实际情况，对安全问题引发的风险等级做出客观判断；
目前《指引》还不完整，对于扩展要求井没有针对性的案例，测评人员可结合实际情况以及前面提到的高风险判定原则做出客观判断。

判例要点

判例结构

标准要求：该条判例可以对应哪条等保要求；
适用范围：明确该条判例所适用的系统等级；
判例场景：描述该条判例具体的场景及要素（在正式稿中将"判例内容“和"满足条件"做了合并）；
补偿因素：提出一些可缓解风险等级的场景、措施，或提出可以从哪些维度进行综合风险分析，供测评师参考。
注：整改建议将以附录的形式出现，给出针对性的，可落地实现的整改意见。

安全物理环境（2项）

一、防火：机房防火措施缺失

标准要求：机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火。
适用范围：二级及以上系统。
判例场景（任意）：

机房无任何有效消防措施，例如无检测火情、感应报警、灭火设施，手提式灭火器等消防设备未进行年检或已无法正常使用等情况，
机房所采取的灭火系统或设备不符合国家的相关规定。

补偿因素：机房安排专人值守或设置了专人值守的监控系统，并且附近有符合国家消防标准的灭火设备，一旦发生火灾，能及时进行灭火，可根据实际措施效果酌情判定风险等级。

二、电力：机房无短期备用电力供应措施

标准要求：应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。
适用范围：二级及以上系统。
判例场景（任意）：

机房无短期备用电力供应设备，例如UPS、柴油发电机、应急供电车等；
机房现有备用电力供应无法满足定级对象短期正常运行。

补偿因素：对于机房配备多路供电，可从供电方同时断电发生概率等角度进行综合风险分析，根据分析结果，酌情判定风险等级。
底线解读：机房要有必要的短期备用供电设备/措施。
底线解读：要有合规的消防措施，一旦发生火灾，能及时灭火。

安全通信网络（3项）

一、网络架构：网络区域划分不当

标准要求：应划分不同的网络区域，并按照方便管理和控制的的原则为各网络区域分配地址。
适用范围：二级及以上系统。
判例场景：重要网络区域与非重要网络在同一子网或网段，例如承载业务系统的生产网络与员工日常办公网络，面向互联网提供服务的服务器区与内部网络区域在同一子网或网段等。
补偿因素：同网之间有技术手段实现访问控制，可根据实际措施效果，酌情判定风险等级。
底线解读：合理划分网络区域，不要"打统账"，混在一张大网里，要为后期进访问控制提供便利。

二、网络架构：重要网络区域边界访问控制措施缺失

标准要求：应避免将重要网络区域部署在边界处，重要网络区域与其他网络区间应采取可靠的技术隔离手段。
适用范围：二级及以上系统。
判例场景：在网络架构上，重要网络区域与其他网络区域之间（包括内部区界和外部区域边界）无访问控制设备实施访问控制，例如重要网络区域与互联网等外部非安全可控网络边界处、生产网与员工日常办公网之间、生产网与无线网络接入区之间未部署访问控制设备实现访问控制措施等。
补偿因素：无
底线解读：重要网络边界之间要部署访问控制设备进行访问控制，尤其是互联网边界、办公网、运维网等。

三、通信传输：重要数据明文传输

标准要求：应采用密码技术保证通信过程中娃的保密性。
适用范围：三级及以上系统。
判例场景：鉴别数据、个人敏感信息或重要业务数据等以明文方式在不可控网络环境中传输。
补偿因素:

网络模型

Fri, 15 Nov 2024 09:44:26 +0800