序号 测评指标 测评项 d) 应启用登录失败处理功能，可采取结束会话、限制登录间隔、限制非法登录次数和自动退出等措施。 操作步骤 查看密码策略配置文件 (CentOS、Fedora、RHEL 系统) 预期记录 查找：account required /lib/security/pam_tally.so deny=3 no_magic_root reset 登录3次失败，则拒绝访问锁定账户。 实际情况记录 cat /etc/pam.d/system-auth (Debian、Ubuntu 或 Linux Mint 系统) cat /etc/pam.d/common-password ①查看是否安装了SSH的相应包 rpm –aq|grep ssh 或者 查看是否运行了sshd服务，service –status-all |grep sshd； ②如果已经安装则查看相关的端口是否打开 netstat –an|grep 22； ③若未使用ssh方式进行远程管理，则查看是否使用了Telnet方式进行远程管理 service status-all |grep running 查看是否存在 Telnet服务。 访谈系统管理员，询问系统除用户名口令外有无其他身份鉴别方法，查看身份鉴别是否采用两个及两个以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、PKI物理设备、生物识别技术和数字证书方式的身份鉴别技术中的任意两个组合） e) 主机系统应对与之相连的服务器或终端设备进行身份标识与鉴别，当对服务器进行远程管理时，应采取加密措施，防止鉴别信息在网络传输过程中被窃听。 已安装了SSH包.sshd服务正在运行.采用SSH加密方式进行远程登录。由于telnet为明文传输信道，如使用telnet方式访问服务器，应改用SSH方式替换。 f) 宜采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别，例如以密钥证书、动态口令卡、生物特征等作为身份鉴别信息。 使用xxx方式和xxx方式进行登录。 第 3 页/共 10页

序号 测评指标 测评项 操作步骤 预期记录 实际情况记录 根据不同linux操作系统路径，查看系统重要文件权限，检查其权限不大于664： ls –l /etc/passwd ls –l /etc/shadow a) 应启用访问控制功能，依据安全策略控制用户对资源的访问。 ls –l /etc/security/passwd ls –l /etc/security/login.cfg ls –l /ect/security/user 并查看相应业务软件目录的用户及权限 2 访问控制(S3) b) 应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限。 c) 应实现操作系统特权用户的权限分离。 查看系统用户，访谈管理员是否有完整的安全策略、系统主要有哪些角色、每个角色的权限是否相互制约、每个系统用户是否被赋予相应的角色。 系统重要文件及业务软件目录权限设置均符合要求。 系统具有完整的安全策略，系统分为xxx个角色：xxx、xxx、……， xxx角色的权限为：xxx xxx角色的权限为：xxx 系统用户均被赋予相应的角色。 访谈系统管理员，主机是否装有数据数据库用户和操作系统用户为不库，若有，结合系统管理员的组成情况，同的人员和操作账号。 判定是否实现了该项要求。 查看是否限制了系统默认帐号的访问d) 应禁用或严格限制默认帐户权限，是否修改了这些帐户的默认口的访问权限，重命名系统默认帐令： 户，修改这些帐户的默认口令。 cat /etc/shadow 限制了默认账号的访问权限。 第 4 页/共 10页

序号 测评指标 测评项 操作步骤 记录系统没有被及时删除或过期的帐号，避免共享帐户： cat /etc/passwd 检查“登录shell列（第7列）”，非“/sbin/nologin”的用户，是否为多余用户。 访谈系统管理员或查看相关文档，确认操作系统是否具备能对信息资源设置敏感标记功能； 访谈管理员是否对重要信息资源设置敏感标记。 预期记录 实际情况记录 e) 应及时删除多余的、过期的帐户，避免共享帐户的存在。 不存在多余的、过期的、共享的账户。 f) 应对重要信息资源设置敏感标记。 使用系统功能（或者第三方软件） 设置了敏感标记。 g) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。 询问或查看目前的敏感标记策略的相使用系统功能（或者第三方软件） 关设置，如：如何划分敏感标记分类，设置了敏感标记。 如何设定访问权限等。 ①查看服务进程，系统日志服务是否启动； service syslog status service audit status 或 service --status-all | grep running ②若运行了安全审计服务，则查看安全审计的守护进程是否正常 ps –ef | grep auditd。 3 安全审计(G3) a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。 已开启系统自带的审计功能； 安全审计进程运行正常。 第 5 页/共 10页

序号 测评指标 测评项 操作步骤 预期记录 实际情况记录 该文件指定如何写入审查记录以及在b）审计内容应包括重要用户行哪里写入 为、系统资源的异常使用和重要cat /etc/audit/audit.conf 审计内容包括重要用户行为、系统系统命令的使用、账号的分配、查看相关配置文件 资源的异常使用和重要系统命令创建与变更、审计策略的调整、grep“@priv-ops”/etc/audit/filter.conf 的使用等重要安全相关事件。 审计系统功能的关闭与启动等grep“@mount-ops”/etc/audit/filter.conf 系统内重要的安全相关事件。 grep“@system-ops”/etc/audit/filter.conf c) 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等，并定期备份审计记录，涉及敏感数据的记录保存时间不少于半年。 d) 应能够根据记录数据进行分析，并生成审计报表。 e) 应保护审计进程，避免受到未预期的中断。 f) 应保护审计记录，避免受到未预期的删除、修改或覆盖等。 a) 应保证操作系统用户的鉴别信息所在的存储空间，被释放或再分配给其他使用人员前得到完全清除，无论这些信息是存放在硬盘上还是在内存中。 查看审计记录，是否包括必要的审计要素。若有第三方审计工具或系统，则查看其审计日志是否包括必要的审计要素。 查看 audit 下的相关文件 cat /etc/audit/audit.conf 访谈并查看对审计记录的查看、分析和生成审计报表情况。 访谈审计管理员对审计进程监控和保护的措施。 查看日志访问权限； ls -la/var/log/audit.d 访谈审计记录的存储、备份和保护的措施，如配置日志服务器等。 检查操作系统维护/操作手册： ①查看其是否明确用户的鉴别信息存储空间； ②被释放或再分配给其他用户前的处理方法和过程。 审计记录(或第三方审计工具日志)包括必要的审计要素。 可以对数据进行分析并生成报表。 使用第三方的工具对主机进行审计。 审计记录采取了有xxx措施进行保护。 4 剩余信息保护(S3) 根据linux特性，该项符合。 第 6 页/共 10页