等保测评-Linux
一、身份鉴别
测评项
（a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
测评方法
（1）使用root权限的账户登录操作系统后，使用命令more 查看/etc/shadow文件，此语句字段格式有九列，核查第二列是否为空，为空即存在空口令账户。
（2）使用命令more查看/etc/login.defs文件，查看是否设置密码长度和定期更换要求，该配置文件可控制新增用户密码有效期(PASS_MAX DAYS)，密码加密存储方法(ENCRYPT_METHOD)、是否创建新增用户home目录(CREATE_HOME)、新增文件或目录权限(UMASK) 等
（3）使用命令more查看/etc/pam.d/system-auth文件，默认未配置。
测评项
（b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
测评方法：
（1）查看登录失败处理功能相关参数，查看/etc/pam.d/system-auth 文件中是否存在以下语句，onerr=fail 表示定义了当出现错误时的缺省返回值；even_deny_root 表示也限制root用户；deny 表示设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户；unlock_time 表示设定普通用户锁定后，多少时间后解锁，单位是秒；root_unlock_time 表示设定root用户锁定后，多少时间后解锁，单位是秒；默认未开启。
account required pam_tally2.so onerr=fail deny=3 unlock_time=40 even_deny_root root_unlock_time=30
（2）记录在文件/etc/profile中设置了超时锁定参数，在profile 下设置TMOUT=300s。
测评项
（c）当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。
测评方法
（1）如果是本地管理或KVM等硬件管理方式，此要求默认符合；
（2）在远程管理时如通过堡垒机采用SSH、HTTPS协议进行远程管理则满足本测评项要求
（3）以root 身份登录进入Linux检查系统自身的网络登录方式，是否使用了安全的SSH协议，禁用了明文传输的Telnet协议,ps -e|grep sshd 查看相关的端口是否打开，netstat -an | grep 22若未使用SSH方式进行远程管理，则查看是否使用了Telnet方式进行远程管理ps -ef|grep telnet，查看是否存在Telnet服务。
测评项
（d）应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
测评方法
（1）查看和询问系统管理员在登录操作系统的过程中使用了哪些身份鉴别方法，是否采用了两种或两种以上组合的鉴别技术，如口令、教字证书Ukey、令牌、指纹等，是否有一种鉴别方法在鉴别过程中使用了密码技术
（2）记录系统管理员在登录操作系统使用的身份鉴别方法，同时记录使用密码的鉴别方法。
二、访问控制
测评项
（a）应对登录的用户分配账户和权限。
测评方法
（1）以有相应权限的身份登录进入Linux，检查重要文件和目录权限设置是否合理，Linux系统对文件的操作权限包括四种：读（r，4）；写（w，2）；执行（x，1）；空（-，0），文件的权限分为属主（拥有者）、属组、其它用户和用户组的权限。配置文件权限值不能大于644，对于可执行文件不能大于755。
测评项
（b）应重命名或删除默认账户，修改默认账户的默认口令。
测评方法
（1）以有相应权限的身份登录进入Linux，使用more 查看/etc/shadow文件，查看是否有默认账户且还在使用，centos默认可用账户只有root，其他账户虽不会被使用，但是应禁用和删除。一般默认存在很多无用账户，root作为Linux系统的重要默认用户，一般要求禁止远程登录。
测评项
（c）应及时删除或停用多余的、过期的账户，避免共享账户的存在。
测评方法
（1）应核查是否不存在多余或过期账户，如查看games、news、ftp、1p等系统默认账户是否被禁用，特权账号halt、shutdown是否被删除。
（2）应访谈网络管理员、安全管理员、系统管理员不同用户是否采用不同账户登录系统。
测评项
（d）应授予管理用户所需的最小权限，实现管理用户的权限分离。
测评方法
（1）以有相应权限的身份登录进入Linux，使用more 查看/etc/passwd文件中的非默认用户，询问管理员各账户的权限，是否实现管理用户的权限分离。
（2）以有相应权限的身份登录进入Linux，使用more查看/etc/sudo.conf文件，核查root级用户的权限都授予哪些账户。
测评项
（e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
测评方法
（1）访谈系统管理员，是否指定授权人对操作系统访问控制权限进行配置。
（2）核查账户权限配置，是否依据安全策略配置各账户的访问规则。
测评项
（f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级。
测评方法
（1）使用"ls -l 文件名"命令，查看重要文件和目录权限设置是否合理，应重点查看以下文件和目录权限是否被修改过。
测评项
（g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。
测评方法
（1）明确系统中是否有敏感信息。
（2）在主体用户或进程划分级别并设置敏感标记，在客体文件设置敏感标记。
（3）应测试是否依据主体、客体安全标记控制主体对客体访问的强制访问控制策略。
（4）以有相应权限的身份登录进入Linux，使用more查看/etc/selinux/config文件中的SELINUX参数的设定。
三、安全审计
测评项
（a）应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。
测评方法
（1）以root 身份登录进入Linux，查看服务进程。
（2）若运行了安全审计服务，则查看安全审计的守护进程是否正常，查询命令：service auditd status 或者 service rsyslog status
（3）若未开启系统安全审计功能，则确认是否部署了第三方安全审计工具
（4）以root身份登录进入Linux查看安全事件配置：/etc/audit/audit.rules中配置安全时间审计规则
测评项
（b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
测评方法
（1）以有相应权限的身份登录进入Linux，使用命令"ausearch-ts today"，其中，-ts指定时间后的log，或命令"tail -20 /var/log/audit/audit.log"查看审计日志。
测评项
（c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。
测评方法
（1）访谈审计记录的存储、备份和保护的措施，是否将操作系统日志定时发送到日志服务器上等，并使用syslog方式或snmp方式将日志发送到日志服务器，检查审计记录是否备份不少于六个月。
（2）如果部署了日志服务器，登录日志服务器查看操作系统的日志是否在收集的范围内。
测评项
（d）应对审计进程进行保护，防止未经授权的中断。
测评方法
（1）访谈对审计进程监控和保护的措施。
（2）测试使用非安全审计员中断审计进程，查看审计进程的访问权限是否设置合理。
（3）查看是否有第三方系统对被测操作系统的审计进程进行监控和保护。
四、入侵防范
测评项
（a）应遵循最小安装的原则，仅安装需要的组件和应用程序。
测评方法
（1）访谈安装系统时是否遵循最小化安装原则，查看安装操作手册。
（2）使用命令uname -a查看系统当前版本，是否及时安装安全补丁，使用命令"yum list installed"查看操作系统中已安装的程序包，询问是否有目前不需要的组件和应用程序。
测评项
（b）应关闭不需要的系统服务、默认共享和高危端口。
测评方法
（1）以有相应权限的身份登录进入Linux，使用命令"systemctl list-unit-files | grep enable"，查看是否已经关闭危险的网络服务。
（2）以有相应权限的身份登录进入Linux，使用命令"netstat-nt1p“查看并确认是否开放的端口都为业务需要端口，是否已经关闭非必需的端口，Linux不存在共享问题，创建共享文件夹需安装samba，输入rpm -qi samba命令检查是否已经安装samba。
测评项
（c）应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。
测评方法
（1）查看在/etc/hosts.deny中是否有“ALL:ALL"，禁止所有的请求：在/etc/hosts.allow中，是否有如下配置（举例）：sshd：192.168.1.10/255.255.255.0）如果安装有主机防火墙则查看有无登录地址限制，实际测评中基本都像下图未在此处进行配置，多在防火墙或堡垒机上进行限制。
测评项
（d）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
测评方法
（1）此项主要针对应用系统和部分数据库和一些管理软件，主机不涉及人机接口输入或通信接口输入控制，该项不适用。
测评项
（e）应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
测评方法
（1）访谈并查看入侵检测的措施，如经常通过如下命令查看入侵的重要线索（试图Telnet.FTP等），涉及命令“#more/var/log/securelgrep refused"。
（2）查看是否启用了主机防火墙、TCPSYN保护机制等设置。
（3）访谈系统管理员是否安装了主机入侵检测软件。查看已安装的主机入侵，检查系统的配置情况，是否具备报警功能。
（4）查看网络拓扑图，查看网络上是否部署了网络入侵检测系统，如IDS。
（5）该项需结合漏扫，是否定期进行漏扫，具有漏扫报告、初测是否发现高风险漏洞，复测后高风险漏洞是否被修补。输入rpm -qa grep pathch命令查看补丁更新情况，是否及时安装最新补丁。
测评项
（f）应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
测评方法
（1）访谈系统管理员是否安装了主机入侵检测软件，查看已安装的主机入侵检查系统的配置情况，是否具备报警功能。
（2）查看网络拓扑图，查看网络上是否部署了网络入侵检测系统，如IDS。
五、恶意代码方法
测评项
（a）应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。
测评方法
（1）查看操作系统中安装的防病毒软件，查看病毒库的最新版本更新日期是否超过一个月。
（2）询问系统管理员是否有统一的病毒更新策略和查杀策略
（3）询问系统管理员网络防病毒软件和主机防病毒软件分别采用什么病毒库。
（4）询问系统管理员当发现病毒入侵行为时，如何发现，如何有效阻断等，报警机制等。
（5）查看系统中采取何种可信验证机制，访谈管理员实现原理等。
六、可信验证
测评项
（a）可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
测评方法
（1）核查服务器的启动，是否实现可信验证的检测过程，查看对那些系统引导程序、系统程序或重要配置参数进行可信验证。
（2）修改其中的重要系统程序之一和应用程序之一，核查是否能够检测到并进行报警。
（3）是否将验证结果形成审计记录送至安全管理中心。
七、数据完整性
测评项
（a）应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限千鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
测评方法
（1）由应用系统、数据库系统等软件使用https、ssh等安全协议传输数据实现传输过程中的完整性，故服务器不适用此测评项。
八、数据保密性
测评项
（a）应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
测评方法
（1）由应用系统、数据库系统等软件使用https、ssh等安全协议传输数据实现传输过程中的保密性，故服务器不适用此测评项。
测评项
（b）应采用密码技术保证重要数据在存储过程中的保密性，包括但不限千鉴别数据、重要业务数据和重要个人信息等。
测评方法
（1）由数据库系统等软件使用sha256等加密算法存储数据实现存储过程中的保密性，故服务器不适用此测评项。
九、数据备份恢复
测评项
（a）应提供重要数据的本地数据备份与恢复功能。
测评方法
（1）通过对应用系统和数据库进行备份和恢复测试来实现数据备份和恢复功能。
测评项
（b）应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地。
测评方法
（1）通过对应用系统和数据库进行备份和恢复测试来实现数据备份和恢复功能，故服务器不适用此测评项。
测评项
（c）应提供重要数据处理系统的热冗余，保证系统的高可用性。
测评方法
（1）查看网络拓扑结构图，访谈管理员并查看资产列表，了解网络线路上核心交换机、应用服务器、数据库服务器等重要节点是否采用热备、集群等高可用方式部署。
（2）访谈管理员并查看资产列表，了解服务器等重要节点有无其他高可用方式。
十、剩余信息保护
测评项
（a）应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。
测评方法
（1）询问系统管理员，系统是否采取措施保证对存储介质（如硬盘或内存）防止其他用户非授权获取该用户的鉴别信息。
测评项
（b）应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。
测评方法
（1）询问系统管理员，系统是否采取措施保证对存储介质（如硬盘或内存）中的敏感数据进行及时清除，防止其他用户非授权获取敏感数据。
十一、个人信息保护
测评项
（a）应仅采集和保存业务必需的用户个人信息。
测评方法
（1）个人信息须通过应用系统或数据库采集和保存，服务器无法直接查看个人信息，故服务器不适用此测评项。
测评项
（b）应禁止未授权访问和非法使用用户个人信息。
测评方法
（1）个人信息须通过应用系统或数据库采集和保存，服务器无法直接查看个人信息，故服务器不适用此测评项。
微信
支付宝