您所在位置：网站首页 > 机械/制造/汽车 > 电气技术信息安全建设安全点

信息安全建设安全点

4页

卖家[上传人]：s9****2

文档编号：474353456

上传时间：2022-08-29

文档格式：DOCX

文档大小：23.05KB

文档加载中……请稍候！
如果长时间未打开，您也可以点击刷新试试。

下载文档到电脑，查找使用更方便

10 金贝

/ 4 举报版权申诉马上下载

文本预览

下载提示

常见问题

1、信息安全建设资产类型安全评估类子类扣分依据网络设备软件安全操作系统发现网络设备操作系统存在安全漏洞（例如：发现思科路由器版本过低，存在已公开低版本漏洞）。协议安全应用协议发现网络设备在GPRS/WAP/SIP/DNS等协议实现上存在漏洞（例如：发现设备在SIP协议实现上存在缺陷，发送畸形数据包可导致设备宕机）。安全策略数据与审计1发现网络设备配置文件中敏感信息（如口令）未使用可靠加密算法加密后存储；2、未开启日志审计功能；3、未采取日志备份策略（如日志服务器等）；4、重要数据（如配置文件）未进行备份。账号与口令1发现网络设备存在冗余、默认账号及口令；2、口令位数少于8位；3、未使用大小写、特殊字符、数字至少3种组合；4、更新周期大于60天。访问控制1未对管理地址做ip限制；2、访问控制策略粒度未达到端口级；3、不符合企业自身安全基线配置。安全设备软件安全Web应用缺陷发现安全设备应用程序存在SQL注入、跨站脚本、代码执行、文件包含等web安全漏洞。第三方应用软件发现安全设备使用的第三方应用软件（如FTP、VPN、SSH 等）存在安全漏洞。系统软件发现安全设备使用

2、的中间件（如tomcat、weblogic等）、数据库（ms sql、mysql等）等系统软件存在安全漏洞。操作系统发现网络设备操作系统存在安全漏洞（例如：发现思科防火墙版本过低，存在已公开低版本漏洞）。安全策略数据与审计1发现安全设备配置文件中敏感信息（如口令）未使用可靠加密算法加密后存储；2、未开启日志审计功能；3、未采取日志备份策略（如日志服务器等）；4、重要数据（如配置文件）未进行备份。备注1发现安全设备存在冗余、默认账号及口令；账号与口令2、口令位数少于8位；3、未使用大小写、特殊字符、数字至少3种组合；4、更新周期大于60天。访问控制1未对管理地址做ip限制；2、访问控制策略粒度未达到端口级;3、不符合企业自身安全基线配置。第三方应用软件发现主机服务器使用的第三方应用软件（如FTP、VPN、SSH等）存在已知安全漏洞。发现主机服务器操作系统存在安全漏洞（例如：发现操作系统windows server 2003版本过低，存在已公开低版本漏洞）1发现主机服务器中敏感信息（如口令）未使用可靠加数据与审计密算法存储；2、未开启日志审计功能；通用主机3、未采取日志备份策略（如

3、日志服务器等）1发现主机服务器存在冗余、默认账号及口令；账号与口令2、口令位数少于8位；3、未使用大小写、特殊字符、数字至少3种组合；4、更新周期大于60天。访问控制1未对主机资源及管理地址做ip访问限制；2、访问控制策略粒度未达到端口级；3、不符合企业自身安全基线配置。2、Iptables 默认策略为 accept系统软件发现数据库软件存在安全漏洞（如公开的低版本漏洞）。安装的mysql root用户为空口令1发现数据库系统中敏感信息（如口令）未使用可靠加密算法加密后存储；数据与审计2、未开启日志审计功能；数据库软件3、未采取日志备份策略（如日志服务器等）；账号与口令2、口令位数少于8位；3、未使用大小写、特殊字符、数字至少3种组合；4、重要数据（如表结构、用户隐私数据等）未进行备份。1发现数据库系统存在冗余、默认账号及口令；4、更新周期大于60天1未对数据库系统资源及管理地址做ip访问限制；访问控制2、访问控制策略粒度未达到端口级；3、不符合企业自身安全基线配置。发现web中间件应用程序存在SQL注入、跨站脚本、代Web中间件Web应用缺陷码执行、文件包含等web安全漏洞。Apac

4、he服务为缺省配置，加载了不必要的模块业务系统系统全局全系统软件发现web中间件存在安全漏洞（如公开的低版本漏洞，如缓冲区溢出等）。安全策略数据与审计1发现web中间件中敏感信息（如口令）未使用可靠加密算法加密后存储；2、未开启日志审计功能；3、未采取日志备份策略（如日志服务器等）；4、重要数据（中间件配置文件）未进行备份。账号与口令1发现web中间件存在冗余、默认账号及口令；2、口令位数少于8位；3、未使用大小写、特殊字符、数字至少3种组合；4、更新周期大于60天。访问控制1未对web中间件管理地址做ip访问限制；2、访问控制策略粒度未达到端口级；3、不符合企业自身安全基线配置。软件安全Web应用缺陷发现业务系统应用程序存在SQL注入、跨站脚本、代码执行、文件包含等web安全漏洞。第三方应用软件发现业务系统使用的第三方应用软件、模块（如FTP、VPN、SSH、编辑器、上传模块、数据库管理模块等）存在已知安全漏洞。协议安全应用层协议漏洞1发现业务系统中使用的应用层协议存在安全了漏洞；2、敏感信息（用户名、密码、交易数据等）明文传输；3、业务应用协议存在重放、伪造、中间人攻击漏洞。安全策略数据与审计1发现业务系统中敏感信息（如口令）未使用可靠加密算法加密后存储；2、无日志审计功能；3、无日志备份策略（如日志服务器等）；4、重要数据（系统配置文件、用户敏感信息）未进行备份。账号与口令1发现业务系统存在冗余、默认账号及口令；2、口令位数少于8位；3、未使用大小写、特殊字符、数字至少3种组合；4、更新周期大于60天。访问控制1未对业务系统管理地址做ip访问限制；2、访问控制策略粒度未达到端口级；3、不符合企业自身安全基线配置。防护能力入侵检测能力1边界未部署入侵检测设备或软件，不能及时发现入侵；2、入侵检测设备未开启实时报警功能，不能及时通知管理员进行处理。Web应用防护能力Web系统出口未部署web安全防护设备或软件，不能抵御web攻击并记录攻击行为。安全安全区域划分域其八其他他1、系统中未进行安全域划分；2、安全域划分不合理（不同安全级别区域间未进行访问控制）。

《信息安全建设安全点》由会员s9****2分享，可在线阅读，更多相关《信息安全建设安全点》请在金锄头文库上搜索。

点击阅读更多内容

TA的资源