- 1、本文档共8页,可阅读全部内容。
- 2、有哪些信誉好的足球投注网站(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 5、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 6、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
.
.
编号:
测 评 指 导 书
《信息系统安全等级保护基本要求》
基础网络安全-通用数据库-第三级
V1.0
天融信信息安全等保中心
1、测评对象
对象名称及IP地址
备注(测评地点及环境等)
2、入场确认
序号
确认内容
1
测评对象中的关键数据已备份。如果没有备份则不进行测评
2
测评对象工作正常。如工作异常则不进行测评。
开始时间
确认签字
3、离场确认
序号
确认内容
1
测评工作未对测评对象造成不良影响,测评对象工作正常。
结束时间
确认签字
序号
类别
测评项
测评实施
预期结果
符合情况
1
身份鉴别
a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
访谈:
访谈数据库管理员,询问采用何种方式对登录数据库系统的用户进行身份标识并验证其身份。
1)数据库使用口令鉴别机制对用户进行身份标识和鉴别;
2)登录时提示输入用户名和口令,以错误口令或空口令登录时提示登录失败,验证了登录控制功能的有效性。
b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
访谈:
询问数据库管理员,是否开启数据库强制密码策略,并询问口令管理要求(口令的长度、口令复杂性,口令更新周期)。
1)口令符合复杂度要求,长度不小于8位,由数字、大小写字母、特殊符号组成,并定期更换;
2)以不符合复杂度要求或不符合规定长度的口令创建用户时均提示失败。
c)应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
访谈:
询问数据库管理员是否采取其他措施限制用户的非法登录。
核查:
新建测试账户test,并以错误的口令登录数据库,查看数据库反应。
数据库启用了登录失败处理功能,以测试账户登录数据库,失败登录一定的次数后会被锁定。
d)当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;
访谈:
询问数据库管理员,是否采取措施保证远程管理数据加密传输。
1)数据库开启了强行加密,确保数据传输的必威体育官网网址性;
2)采用第三方管理工具保证远程管理的信息必威体育官网网址。
e)应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有惟一性。
访谈:
询问数据库管理员,是否为不同的用户分配了不同账户。
已为不同的用户分配了不同账户。
f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
访谈:
询问数据库管理员,是否采取除用户名/密码外的其他鉴别方式(对于SQL SERVER2005以上的版本,可以采取证书的方式对存储过程进行访问控制);如果使用其他技术,则查看该技术的实现情况。
数据库采用双因子鉴别机制认证用户。
2
访问控制
a)应启用访问控制功能,依据安全策略控制用户对资源的访问;
访谈:
访谈数据库管理员,询问是否根据不同用户的职责分配了不同的权限限制用户对数据库的访问。
用户的权限已根据角色进行了严格限制。
b)应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;
访谈:
询问并查看除系统管理员SA外,是否还有其他的特权用户,是否将系统管理、安全管理和业务数据管理分配给不同的管理员。
系统管理员、安全管理员、业务数据管理员由不同的人员和用户担当。至少应该有系统管理员和业务数据管理员,安全管理员在有第三方审计工具时可以不要求。
c)应实现操作系统和数据库系统特权用户的权限分离;
访谈:
访谈数据库管理员,询问数据库管理员和审计员等是否有专门人员进行担任。
数据库除具有管理员账户外,至少还有专门的审计管理员账户,且他们的权限互斥。
d)应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
访谈:
询问数据库系统管理员,是否加强了数据库默认帐户的口令强度,并让管理员登陆数据库系统进行口令验证。
1)默认账户已禁用或已设置强壮口令。
e)应及时删除多余的、过期的帐户,避免共享帐户的存在。
访谈:
询问数据库管理员,是否有多人共用一个账户的情况。
数据库中不存在多余、过期和共享账户。
f)应对重要信息资源设置敏感标记;
访谈:
询问数据库管理员,是否对重要的信息资源设置了敏感标记,采用何种措施实现的。
已对重要信息资源设置敏感标记。
g)应根据安全策略严格控制用户对有敏感标记重要信息资源的操作;
访谈:
询问数据库管理员,是否根据敏感标记严格控制用户对重要信息资源的访问,具体措施是什么。
已通过敏感标记严格限制用户对重要信息资源的访问。
3
安全审计
a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;
访谈:
访谈数据库员,询问是否通过第三方安全审计设备对数据库进行审计。
1)数据库开启了安全审计功能;
2)已部署了第三方安全审计设备对服务器进行审计。
b)审计内容应包括重要用
您可能关注的文档
- JAVA-WEB期末复习题库(便于打印版).doc
- 水产养殖水环境的污染来源以及原因.doc
- 煤气发生炉与天然气经济性比较.doc
- 中国电信互联网及相关网络路由器设备安全防护要求V1.0..doc
- 感觉统合能力量表.doc
- 如何有效利用主成分分析进行综合评价.doc
- 二年级上册语文多音字、同音字、形近字、近反义词.doc
- 联想集团国际化经营分析.doc
- 循环水泵投标文件.doc
- 化学专业仪器分析考试模拟.doc
- 中国国家标准 GB/T 18233.4-2024信息技术 用户建筑群通用布缆 第4部分:住宅.pdf
- GB/T 18233.4-2024信息技术 用户建筑群通用布缆 第4部分:住宅.pdf
- GB/T 18978.210-2024人-系统交互工效学 第210部分:以人为中心的交互系统设计.pdf
- 《GB/T 18978.210-2024人-系统交互工效学 第210部分:以人为中心的交互系统设计》.pdf
- 中国国家标准 GB/T 18978.210-2024人-系统交互工效学 第210部分:以人为中心的交互系统设计.pdf
- GB/T 16649.2-2024识别卡 集成电路卡 第2部分:带触点的卡 触点的尺寸和位置.pdf
- 《GB/T 16649.2-2024识别卡 集成电路卡 第2部分:带触点的卡 触点的尺寸和位置》.pdf
- 中国国家标准 GB/T 16649.2-2024识别卡 集成电路卡 第2部分:带触点的卡 触点的尺寸和位置.pdf
- GB/T 17889.4-2024梯子 第4部分:铰链梯.pdf
- 《GB/T 17889.4-2024梯子 第4部分:铰链梯》.pdf
文档评论(0)