等保测评整改服务器区防火墙安全策略检查及加固报告.docx
- 文档编号:27857122
- 上传时间:2023-07-05
- 格式:DOCX
- 页数:18
- 大小:424.66KB
等保测评整改服务器区防火墙安全策略检查及加固报告.docx
《等保测评整改服务器区防火墙安全策略检查及加固报告.docx》由会员分享,可在线阅读,更多相关《等保测评整改服务器区防火墙安全策略检查及加固报告.docx(18页珍藏版)》请在冰豆网上搜索。
等保测评整改服务器区防火墙安全策略检查及加固报告
密级:
秘密
文档编号:
项目代号:
XXXX网站系统
服务器区防火墙安全策略检查及加固报告
XXXX
2012年10月17日
一.防火墙安全检查概述4
1.1检查目标4
1.2检查范围4
1.3检查流程5
二.设备信息5
三.检查内容记录6
四.安全加固建议9
4.1设置特权用户权限分离9
4.2License许可证过期10
4.3启用抗攻击功能11
4.4启用入侵防护基本配置12
4.5访问控制策略设置13
文档信息表
文档基本信息
项目名称
XXXX信息中心等级保护测评项目
当前项目阶段
实施阶段
文档名称
XXXX网站系统-服务器区防火墙安全策略检查及加固报告
文档版本
是否为正式交付件
文档创建日期
2012/10/17
当前修订日期
文档存放路径
文档审批要求
文档审批信息
审阅人
职务
审阅时间
审阅意见
文档修订信息
版本
修正章节
日期
作者
变更记录
一.防火墙安全检查概述
为了保障XXXX网站系统的网络安全、通畅和高效的运营,XXXX将针对XXXX网站系统服务器区防火墙的安全策略进行安全检查,并根据检查结果给出相应的加固建议。
1.1检查目标
本次服务器区防火墙安全策略检查服务,主要通过完整详细的采集防火墙设备的基本信息与运行状态数据,对本次防火墙安全策略检查采集的数据进行系统的整理与分析,对XXXX网络安全提出相关建议报告。
对现有网络存在的问题记录;及时的反馈。
Ø采集防火墙设备的运行参数,通过系统整理与分析,判断设备的运行状态。
Ø检查防火墙的运行环境,分析和判断出口防火墙设备运行环境是否满足当前安全运行的必要条件。
Ø检查安全设备、配置的冗余性,确保网络系统具有抵御设备故障的能力和高可用性。
Ø检查防火墙记录的日志文件,回顾前期网络设备运行状态信息,寻找故障隐患。
1.2检查范围
本次XXXX网站系统服务器区防火墙安全检查的范围主要包括:
Ø防火墙配置文件
Ø防火墙磁盘使用情况
Ø防火墙CUP负载情况
Ø防火墙安全策略配置
1.3检查流程
本次XXXX网站系统服务器区防火墙安全检查的流程分为以下四个阶段:
第一阶段
工作内容
网络环境调研
调查XXXX网网络环境,防火墙所在区域以及防火墙防护功能的了解
第二阶段
工作内容
设备信息采集
检查防火墙设备信息,包括设备系统版本、CUP利用率、防护功能、安全策略、ARP绑定等策略
第三阶段
工作内容
采集数据分析
对采集到的防火墙的版本、安全防护、安全策略等信息进行分析、判断,评估存在的安全风险
第四阶段
工作内容
生成汇总报告
根据对防火墙检查的过程、安全策略和评估出存在的安全风险,生产汇总报告,并提出安全加固方案
二.设备信息
设备名称
所在区域
设备型号
IP地址
业务应用
服务器区防火墙
服务器区
网神SecGate3600-G60
10.64.1.203
服务器区安全防护
三.检查内容记录
根据等级保护要求主要从两个方面对服务器区防火墙进行安全检查:
功能性技术指标和安全技术指标。
功能技术要求主要包含深度包检测、NAT、IP/MAC绑定、动态开放端口、策略路由、双机热备、安全审计和管理等功能项;安全技术指标主要包含抗渗透、恶意代码防御和防DDOS等安全功能项。
具体检查内容如下表。
防火墙登陆控制检查
ID
具体内容
符合
不符合
检查记录
1
防火墙是否具有身份标识和身份鉴别(本地认证、AAA认证)机制;
√
2
实现特权用户的权限分离,为超级管理员、审计员、运维人员等分配不同的权限;
√
admin,账号管理员+配置管理员+策略管理员+日志审计员
3
口令应具有复杂度,长度至少应为8位,并且每季度至少更换1次,更新的口令至少5次内不能重复,口令文件是否采用加密形式存储;
√
4
防火墙是否具有超时退出的功能;
√
设置600秒超时
5
防火墙是否设置了访问鉴别失败的处理;
√
6
远程登陆时,是否可以防止鉴别信息在网络传输过程中被窃取;
√
7
检查是否对管理主机的地址进行限制;
√
路由可通就可访问/设置集中管理主机
防火墙接入控制检查
ID
具体内容
符合
不符合
检查记录
1
检查网络拓扑结构图,检查是否划分防火墙安全区域及IP子网规划。
√
2
查看防火墙及链路是否有冗余,如双机热备。
√
双机热备
3
防火墙以何种方式接入网络,包括透明模式、混合模式和路由模式等。
√
路由模式
4
防火墙是否有VPN配置;
√
防火墙功能模块过期
防火墙系统配置检查
ID
具体内容
符合
不符合
检查记录
1
检查系统时钟是否有权威时间源配置并保持同步;
√
没有启用时钟服务器、设备时间与标准时间不同步
2
检查系统升级许可;
√
当前软件版本5.21.10.1186,提示:
您的License授权终止时间为2010/01/18,请及时更新License证书。
Dynamic_routing、antivirus、ips、vpn功能授权时间到期。
3
检查导入导出功能是否正常;
√
4
检查报警邮箱设置是否启用及是否正常工作;
√
没有邮箱警报设置
5
检查是否配置域名服务器。
√
6
是否启用防欺骗的IP地址与MAC地址绑定功能
√
7
对于P2P的限制是否启用
√
8
针对不同端口是否配置抗攻击策略;
√
没有开启抗攻击策略
9
检查是否配置与IDS进行联动;在没有部署IDS的情况下,是否配置基本的入侵检测功能;
√
未开启IDS联动功能
10
防火墙是否启用连接限制。
√
防护墙安全策略检查
ID
具体内容
符合
不符合
检查记录
1
检查防火墙是否只开放了必须要开放的端口;
√
防火墙策略全开
2
检查防火墙是否禁止了所有不必要开放的端口;
√
3
检查防火墙是否设置了防DOS攻击安全策略
√
只记录日志,不阻止
4
检查防火墙是否设置了抗扫描安全措施;
√
对scan扫描只记录日志,不阻止
5
防火墙抗攻击配置项阀值的设定是否合理。
√
防火墙安全管理检查
ID
具体内容
符合
不符合
检查记录
1
检查防火墙的通过什么方式进行管理,是否为安全的管理方式
√
https+证书
2
检查防火墙是否根据权限不同进行分级管理
√
只设置管理员权限
3
检查防火墙的口令设置情况,口令设置是否满足安全要求
√
4
检查采用USB电子钥匙和证书通过web方式管理。
√
web方式管理
5
检查防火墙默认管理IP地址和管理帐户及用户名更改;
√
6
检查否是启用多用户管理;
√
只有管理员账户
防火墙日志管理
ID
具体内容
符合
不符合
检查记录
1
防火墙日志审计记录是否包括日期和时间、用户、事件类型、事件是否成功等。
√
2
检查防火墙的日志设置是否合理,是否有所有拒绝数据包的记录日志。
√
3
检查防火墙的日志保存情况,所记录的日志是否有连续性;
√
4
检查防火墙日志的查看情况,网络安全管理员是否按照防火墙管理制度对防火墙进行日常维护;
√
5
保护防火墙的日志记录,避免未授权的覆盖、修改和删除操作,日志记录应至少保存6个月以上;
√
6
具备完善的日志导出和报表生成,定期审计日志记录,并生成审计报告;
√
7
是否使用第三方的日志服务器,集中收集防火墙的日志信息并设置访问权限;
√
防火墙访问控制检查
ID
具体内容
符合
不符合
检查记录
1
查看防火墙安全区域的划分,在区域与区域之间是否设置了访问控制策略;
√
区域为单独的服务器区
2
防火墙根据数据的源IP地址、目的IP地址和端口号为数据流提供明确的允许/拒绝控制;
√
安全策略全开
3
查看防火墙启用的哪些服务,采取安全措施保证服务的安全性;
√
http、https、igmp、dhcp、dns、等
4
关闭不必要的服务及端口:
关闭CDP、PING、TELNET、HTTP、finger等服务;
√
5
防火墙是否标注NAT地址转换和MAP等;
√
6
是否采用认证服务器进行用户认证。
√
应用设备自带的认证模式
防火墙运行维护检查
ID
具体内容
符合
不符合
检查记录
1
有专职人员对防火墙设备进行监控和操作;
√
2
是否将防火墙配置文件及时保存并导出,配置文件是否有备份
√
3
是否设置网络监控系统,实时监控网络设备的运行情况;
√
4
设置报警机制,检测到网络异常时发出报警;
√
5
防火墙管理人员是否岗位互相备份;
√
6
是否具有防火墙应急预案,并定期进行应急演练;
√
7
有无发生过安全事件,出现安全事件后是否可以启动应急预案进行恢复;
√
8
设备服务商提供及时的售后服务和技术支持,并对设备维护人员做设备培训。
√
四.安全加固建议
4.1设置特权用户权限分离
●设备现状
经过检查发现防火墙系统只存在admin超级管理员账户,而没有针对操作内容不同而设置的其他账户,如账户管理员、配置管理员、策略管理员和日志审计员,并根据不同账户类型分配不同的权限。
【4.1-1防火墙账户设置】
●加固建议
根据用户对出口防火墙管理的权限分级划分,分别设置超级管理员、日志审计员、普通运维人员等不同账户的操作权限。
可参考如下账户分类。
序号
账户类型
账户名称
账户密码
操作权限
1
超级管理员
admin
满足复杂度
拥有设备的最高管理权限
2
日志审计员
自定义
满足复杂度
针对事件日志进行管理、查看、分析
3
运维人员
自定义
满足复杂度
对系统进行日常管理和查看,不给予账户管理、系统配置管理权限
4.2License许可证过期
●设备现状
检查发现防火墙“系统配置”的“升级许可”功能项提示“请注意:
您的License授权终止时间为:
2010/01/18,请及时更新License证书”,由于许可证过期导致Dynamic_routing(动态路由)、antivirus(反病毒)、ips(入侵检测)和vpn(vpn虚拟通道)功能项失效。
【4.2-1防火墙License过期】
【4.2-2防火墙病毒库过期】
●加固建议
通知用户防火墙License过期问题,了解设备采购时Dynamic_routing(动态路由)、antivirus(反病毒)、ips(入侵检测)和vpn(vpn虚拟通道)功能模块的合同有效期。
如果这些功能项在合同的有效期内,可联系设备供货商续约License许可证。
4.3启用抗攻击功能
●设备现状
防火墙部署在服务器区的出口,ge18接口接服务器区内网,ge20接口接服务器外部区域。
ge18、ge20未启用SYNFlood、ICMPFlood、PingofDeath、TCP端口扫描等功能,不能有效在防火墙内联和外联接口上阻止非法的攻击。
【4.3-2防火墙抗攻击现状设置】
●加固建议
根据防火墙本身流量和性能的负载情况,在防火墙外联和内联接口适当开启入侵防护抗攻击功能策略。
配置步骤如下:
进入“入侵防护”选项的“抗攻击”分项,“操作”接口ge18、ge20,适当启用SYNFlood、ICMPFlood、PingofDeath、UDPFlood、PINGSWEEP、TCP端口扫描、UDP端口扫描、WinNuke安全防护功能。
【4.2-2启用抗攻击功能】
4.4启用入侵防护基本配置
●设备现状
防火墙入侵防护基本配置功能项未启用,针对HTTP协议、FTP协议、POP3协议、SMTP协议、DNS协议的攻击类型仅记录日志不阻止。
【4.4-1HTTP协议攻击类型防护设置】
【4.4-2POP3协议攻击类型防护设置】
【4.4-3SMTP协议攻击类型防护设置】
●加固建议
根据网站应用通信数据的协议和类型,把“HTTP协议”“POP3协议”“SMTP协议”攻击类型的安全防护设置为“发现攻击后动作”为“阻止并且记录日志”。
4.5访问控制策略设置
●设备现状
检查发现防火墙安全规则为全开放的状态,策略全开放状态存在很大的安全隐患,根据等级保护要求应根据最小端口原则开放所需端口。
【4.5-1SMTP防火墙安全规则】
●加固建议
因防火墙下联区域不仅仅是门户网站服务器,还有其他系统的服务器,所以在调整安全规则时比较复杂。
建议安全规则设置把门户网站4台服务器按照最小端口原则开放对外端口,把其他系统内的服务器全部设置为对外全开放策略。
这样不仅仅不影响其他系统内服务器的对外发布,又能实现门户网站应用对外开放最小端口的效果。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 测评 整改 服务器 防火墙 安全策略 检查 加固 报告
![提示](https://static.bdocx.com/images/bang_tan.gif)