CERT安全指南

第1章 導(dǎo)讀
1.1 問題——從總體看
1.2 問題——從管理員的角度
1.3 如何使用本書
1.4 本書組織形式
1.4.1 加固／保護(hù)
1.4.2 準(zhǔn)備階段
1.4.3 檢測階段
1.4.4 響應(yīng)階段
1.4.5 改進(jìn)階段
1.4.6 各章結(jié)構(gòu)
1.5 關(guān)鍵定義
1.6 本書資源
1.7 其他信息資源
1.8 小結(jié)
第I部分 計(jì)算機(jī)安全
第2章 保護(hù)網(wǎng)絡(luò)服務(wù)器和用戶工作站
2.1 概述
2.1.1 網(wǎng)絡(luò)服務(wù)器安全需求
2.1.2 用戶工作站安全需求
2.1.3 保護(hù)服務(wù)器和工作站的一種方法
2.2 在計(jì)算機(jī)部署計(jì)劃中列出安全問題（NS，UW）
2.2.1 標(biāo)識每臺計(jì)算機(jī)的用途
2.2.2 標(biāo)識要提供的網(wǎng)絡(luò)服務(wù)
2.2.3 標(biāo)識要安裝的網(wǎng)絡(luò)服務(wù)軟件
2.2.4 標(biāo)識用戶
2.2.5 確定用戶權(quán)限
2.2.6 計(jì)劃身份驗(yàn)證
2.2.7 確定訪問執(zhí)行范圍
2.2.8 制定入侵檢測策略
2.2.9 文檔化備份和恢復(fù)過程
2.2.10 確定如何維護(hù)網(wǎng)絡(luò)服務(wù)并在出現(xiàn)不同類型的故障后恢復(fù)
2.2.11 開發(fā)并遵循文檔化過程以安裝操作系統(tǒng)
2.2.12 確定計(jì)算機(jī)如何接入網(wǎng)絡(luò)
2.2.13 標(biāo)識與日常管理相關(guān)的安全注意事項(xiàng)
2.2.14 保護(hù)不再用的、保存在硬件上的信息
2.2.15 及時(shí)更新計(jì)算機(jī)部署計(jì)劃
2.2.16 策略考慮事項(xiàng)
2.3 選擇服務(wù)器時(shí)列出安全需求（NS）
2.3.1 標(biāo)識功能和性能需求
2.3.2 評審服務(wù)器產(chǎn)品特性
2.3.3 估計(jì)競爭產(chǎn)品的運(yùn)行成本差異
2.3.4 策略考慮事項(xiàng)
2.4 及時(shí)更新操作系統(tǒng)和應(yīng)用程序軟件（NS，UW）
2.4.1 評估和安裝更新
2.4.2 用最新軟件部署新計(jì)算機(jī)
2.4.3 新建完整性檢查信息
2.4.4 策略考慮事項(xiàng)
2.5 在服務(wù)器主機(jī)中只提供基本要素（NS）
2.5.1 確定功能
2.5.2 選擇更安全的方法
2.5.3 只安裝服務(wù)和應(yīng)用程序的最小集合
2.5.4 創(chuàng)建和記錄密碼校驗(yàn)和
2.5.5 策略考慮事項(xiàng)
2.6 在工作站主機(jī)中只提供基本要素（UW）
2.6.1 確定功能
2.6.2 只安裝最基本的軟件
2.6.3 創(chuàng)建和記錄密碼校驗(yàn)和
2.6.4 策略考慮事項(xiàng)
2.7 配置網(wǎng)絡(luò)服務(wù)客戶機(jī)以加強(qiáng)安全（UW）
2.7.1 標(biāo)識可能導(dǎo)致安全問題的行為
2.7.2 留意廠商更新
2.7.3 配置客戶機(jī)以保證安全
2.7.4 策略考慮事項(xiàng)
2.8 配置計(jì)算機(jī)進(jìn)行用戶身份驗(yàn)證（NS，UW）
2.8.1 配置基于硬件的訪問控制
2.8.2 控制賬戶和用戶組
2.8.3 檢查密碼策略并確保用戶遵守它
2.8.4 空閑一段時(shí)間后要求重新驗(yàn)證
2.8.5 幾次登錄嘗試失敗后拒絕登錄
2.8.6 安裝和配置其他身份驗(yàn)證機(jī)制
2.8.7 策略考慮事項(xiàng)
2.9 使用適當(dāng)?shù)膶ο蟆⒃O(shè)備和文件訪問控制來配置操作系統(tǒng)（NS，UW）
2.9.1 標(biāo)識所需的保護(hù)
2.9.2 配置訪問控制
2.9.3 為敏感數(shù)據(jù)安裝和配置文件加密
2.9.4 策略考慮事項(xiàng)
2.10 配置計(jì)算機(jī)的文件備份（UW）
2.10.1 制定文件備份和恢復(fù)計(jì)劃
2.10.2 安裝和配置文件備份工具
2.10.3 測試備份恢復(fù)能力
2.10.4 策略考慮事項(xiàng)
2.11 使用測試過的模型配置和安全復(fù)制過程（UW）
2.11.1 創(chuàng)建和測試模型配置
2.11.2 在其他工作站上復(fù)制配置
2.11.3 根據(jù)不同情況逐一修改配
2.11.4 創(chuàng)建和記錄密碼校驗(yàn)和
2.12 防范病毒和類似程序威脅（NS，UW）
2.12.1 制定程序威脅的保護(hù)計(jì)劃
2.12.2 安裝和執(zhí)行防病毒工具
2.12.3 培訓(xùn)用戶
2.12.4 更新檢測工具
2.12.5 策略考慮事項(xiàng)
2.13 配置計(jì)算機(jī)進(jìn)行安全遠(yuǎn)程管理（NS，UW）
2.13.1 確保管理命令只來源于經(jīng)身份驗(yàn)證的管理員和主機(jī)
2.13.2 確保所有管理任務(wù)操作在最小的必要權(quán)限級別上
2.13.3 確保機(jī)密信息不被入侵者攔截、讀取或修改
2.13.4 使用可移動存儲介質(zhì)傳輸信息
2.13.5 使用安全方法審查所有日志文件
2.13.6 創(chuàng)建和記錄密碼校驗(yàn)和
2.13.7 策略考慮事項(xiàng)
2.14 只允許對計(jì)算機(jī)進(jìn)行適當(dāng)?shù)膶?shí)地訪問（NS，UW）
2.14.1 防止安裝非授權(quán)硬件
2.14.2 在安全地點(diǎn)部署計(jì)算機(jī)
2.14.3 策略考慮事項(xiàng)
2.15 制定和推廣可接受的工作站使用策略（UW）
2.15.1 可接受的使用策略要點(diǎn)
2.15.2 培訓(xùn)用戶
2.15.3 每次登錄時(shí)明確提醒
2.16 本章實(shí)踐核對清單
第3章 保護(hù)公共Web服務(wù)器
3.1 概述
3.1.1 保護(hù)公共Web服務(wù)器的必要性
3.1.2 保護(hù)公共Web服務(wù)器的方法
3.2 隔離Web服務(wù)器
3.2.1 將服務(wù)器放在隔離的子網(wǎng)中
3.2.2 使用防火墻限制通信
3.2.3 將提供支持服務(wù)的服務(wù)器主機(jī)放在另一個(gè)隔離的子網(wǎng)
3.2.4 禁用源路由和IP轉(zhuǎn)發(fā)
3.2.5 可選的體系結(jié)構(gòu)方法
3.2.6 策略考慮事項(xiàng)
3.3 用適當(dāng)?shù)膶ο?、設(shè)備和文件訪問控制來配置Web服務(wù)器
3.3.1 建立新用戶和組身份
3.3.2 標(biāo)識所需的保護(hù)
3.3.3 緩解拒絕服務(wù)的危害
3.3.4 保護(hù)敏感和受限信息
3.3.5 配置Web服務(wù)器軟件訪問控制
3.3.6 禁止提供Web服務(wù)器文件命令列表服務(wù)
3.3.7 策略考慮事項(xiàng)
3.4 標(biāo)識并啟用Web服務(wù)器特定的日志機(jī)制
3.4.1 標(biāo)識要記錄的信息
3.4.2 確定是否需要其他日志
3.4.3 啟用日志
3.4.4 選擇和配置日志分析工具
3.5 考慮程序、腳本和插件的安全問題
3.5.1 執(zhí)行成本／效益權(quán)衡
3.5.2 選擇可信來源
3.5.3 理解外部程序的所有功能
3.5.4 評審公共信息以識別漏洞
3.5.5 策略考慮事項(xiàng)
3.6 配置網(wǎng)絡(luò)服務(wù)器以最小化程序、腳本和插件的功能
3.6.1 驗(yàn)證所得外部程序副本的真實(shí)性
3.6.2 使用隔離的測試機(jī)器
3.6.3 避免漏洞暴露
3.6.4 減少發(fā)布惡意代碼的風(fēng)險(xiǎn)
3.6.5 禁用或限用服務(wù)器端包容功能
3.6.6 禁止執(zhí)行Web服務(wù)器配置中的外部程序
3.6.7 限制訪問外部程序
3.6.8 確保只有授權(quán)用戶可訪問外部程序
3.6.9 用惟一個(gè)人用戶ID和組ID執(zhí)行外部程序
3.6.10 讓外部程序只訪問最基本的文件
3.6.11 為所有外部程序創(chuàng)建完整性檢查信息
3.6.12 策略考慮事項(xiàng)
3.7 配置Web服務(wù)器，使其使用身份驗(yàn)證和加密技術(shù)
3.7.1 確定敏感或限制信息的訪問需求
3.7.2 在客戶端（用戶）和Web服務(wù)器之間建立信任
3.7.3 理解基于地址的身份驗(yàn)證的局限性
3.7.4 理解身份驗(yàn)證和加密技術(shù)
3.7.5 支持SSL的使用
3.7.6 策略考慮事項(xiàng)
3.7.7 其他加密方法
3.8 在安全主機(jī)上維護(hù)網(wǎng)站內(nèi)容的授權(quán)副本
3.8.1 限制用戶訪問
3.8.2 實(shí)現(xiàn)和強(qiáng)制訪問控制
3.8.3 強(qiáng)制使用強(qiáng)用戶身份驗(yàn)證
3.8.4 接受經(jīng)身份驗(yàn)證和加密的連接
3.8.5 人工傳輸Web內(nèi)容
3.8.6 策略考慮事項(xiàng)
3.8.7 其他信息
3.9 本章實(shí)踐核對清單
第4章 部署防火墻
4.1 概述
4.1.1 防火墻的必要性
4.1.2 部署防火墻的方法
4.2 設(shè)計(jì)防火墻系統(tǒng)
4.2.1 文檔化環(huán)境
4.2.2 選擇防火墻的功能
4.2.3 選擇防火墻拓?fù)浣Y(jié)構(gòu)
4.2.4 進(jìn)行體系結(jié)構(gòu)權(quán)衡分析
4.2.5 保護(hù)防火墻系統(tǒng)，防止未經(jīng)授權(quán)的訪問
4.2.6 策略考慮事項(xiàng)
4.3 獲得防火墻硬件和軟件
4.3.1 確定所需的硬件組件
4.3.2 確定所需的軟件組件
4.3.3 確定所需的測試組件
4.3.4 獲得所有組件
4.4 獲得培訓(xùn)、文檔和支持
4.4.1 確定培訓(xùn)需求
4.4.2 確定支持需求
4.5 安裝防火墻硬件和軟件
4.5.1 安裝最基本的、可接受的操作系統(tǒng)環(huán)境
4.5.2 安裝所有可用的補(bǔ)丁程序
4.5.3 限制用戶和主機(jī)訪問
4.5.4 禁用包轉(zhuǎn)發(fā)
4.5.5 備份系統(tǒng)
4.5.6 策略考慮事項(xiàng)
4.6 配置IP路由
4.6.1 獲得IP地址
4.6.2 建立路由配置
4.6.3 策略考慮事項(xiàng)
4.6.4 考慮規(guī)范化IP路由配置和包過濾規(guī)則
4.7 配置防火墻包過濾
4.7.1 設(shè)計(jì)包過濾規(guī)則
4.7.2 文檔化包過濾規(guī)則
4.7.3 安裝包過濾規(guī)則
4.7.4 策略考慮事項(xiàng)
4.8 配置防火墻日志和警告機(jī)制
4.8.1 設(shè)計(jì)日志環(huán)境
4.8.2 為包過濾規(guī)則選擇日志選項(xiàng)
4.8.3 設(shè)計(jì)警告機(jī)制配置
4.8.4 獲得或開發(fā)支持工具
4.8.5 策略考慮事項(xiàng)
4.9 測試防火墻系統(tǒng)
4.9.1 制定測試計(jì)劃
4.9.2 獲得測試工具
4.9.3 在測試環(huán)境中測試防火墻功能
4.9.4 在生產(chǎn)環(huán)境中測試防火墻功能
4.9.5 選擇和測試日志文件相關(guān)特性
4.9.6 測試防火墻系統(tǒng)
4.9.7 掃描漏洞
4.9.8 設(shè)計(jì)初始回歸測試套件
4.9.9 準(zhǔn)備生產(chǎn)用的系統(tǒng)
4.9.10 準(zhǔn)備執(zhí)行連續(xù)監(jiān)視
4.9.11 策略考慮事項(xiàng)
4.10 安裝防火墻系統(tǒng)
4.10.1 安裝新的連接
4.10.2 安裝替換連接
4.10.3 策略考慮事項(xiàng)
4.11 分階段運(yùn)行防火墻系統(tǒng)
4.11.1 準(zhǔn)備過渡到備用的防火墻系統(tǒng)
4.11.2 通知用戶
4.11.3 使專用通信通過新的防火墻系統(tǒng)
4.11.4 策略考慮事項(xiàng)
4.12 本章實(shí)踐核對清單
第II部分 入侵檢測和響應(yīng)
第5章 建立入侵檢測和響應(yīng)實(shí)踐
5.1 概述
5.1.1 準(zhǔn)備入侵檢測和響應(yīng)的必要性
5.1.2 準(zhǔn)備檢測和響應(yīng)的方法
5.2 確定策略和過程
5.2.1 在安全策略中闡述入侵檢測和響應(yīng)
5.2.2 文檔化實(shí)現(xiàn)入侵檢測策略的過程
5.2.3 文檔化實(shí)現(xiàn)入侵響應(yīng)策略的過程
5.2.4 文檔化角色和職責(zé)
5.2.5 實(shí)施合法的評審
5.2.6 培訓(xùn)用戶
5.2.7 保證策略、過程和培訓(xùn)符合當(dāng)前實(shí)際
5.3 確定用于檢測可疑行為信號的特征和其他數(shù)據(jù)
5.3.1 確定收集最有用的數(shù)據(jù)
5.3.2 確定要收集的數(shù)據(jù)
5.3.3 確定使用日志記錄機(jī)制捕捉的數(shù)據(jù)
5.3.4 確定使用其他數(shù)據(jù)收集機(jī)制捕捉的數(shù)據(jù)
5.3.5 確定哪些事件應(yīng)該產(chǎn)生警告
5.3.6 認(rèn)識到數(shù)據(jù)的收集和特征化是重復(fù)的過程
5.3.7 文檔化和驗(yàn)證特征化的置信假設(shè)
5.3.8 特征化典型的網(wǎng)絡(luò)通信和性能
5.3.9 特征化預(yù)期的系統(tǒng)行為和性能
5.3.10 特征化預(yù)期的進(jìn)程和用戶行為
5.3.11 特征化預(yù)期的文件和目錄信息
5.3.12 制定系統(tǒng)硬件的盤存清單
5.3.13 保護(hù)資產(chǎn)信息，并保持更新
5.3.14 策略考慮事項(xiàng)
5.3.15 其他信息
5.4 管理日志記錄和其他數(shù)據(jù)收集機(jī)制
5.4.1 啟用日志記錄
5.4.2 保護(hù)日志
5.4.3 文檔化日志文件的管理計(jì)劃
5.4.4 保護(hù)數(shù)據(jù)收集機(jī)制及其輸出
5.4.5 考慮特殊過程以保存證據(jù)
5.4.6 策略考慮事項(xiàng)
5.5 針對入侵響應(yīng)，選擇、安裝和了解相關(guān)工具
5.5.1 建立啟動盤和發(fā)行介質(zhì)的文檔集
5.5.2 建立安全相關(guān)補(bǔ)了程序的文檔集
5.5.3 確定和安裝支持重新安裝的工具
5.5.4 確保足夠的備份程序
5.5.5 建立測試結(jié)果的文檔集
5.5.6 建立和維護(hù)聯(lián)系信息的來源和方法
5.5.7 建立安全的通信機(jī)制
5.5.8 建立資源工具箱
5.5.9 確保測試系統(tǒng)和網(wǎng)絡(luò)經(jīng)過正確配置且可用
5.5.10 策略考慮事項(xiàng)
5.6 本章實(shí)踐核對清單
第6章 檢測入侵信號
6.1 概述
6.1.1 檢測入侵信號的必要性
6.1.2 檢測入侵信號的方法
6.2 確保用于檢測系統(tǒng)的軟件不受侵害
6.2.1 策略考慮事項(xiàng)
6.2.2 其他信息
6.3 監(jiān)視并檢查網(wǎng)絡(luò)行為
6.3.1 通知用戶
6.3.2 評審網(wǎng)絡(luò)警告
6.3.3 評審網(wǎng)絡(luò)錯(cuò)誤報(bào)告
6.3.4 評審網(wǎng)絡(luò)性能
6.3.5 評審網(wǎng)絡(luò)通信
6.3.6 策略考慮事項(xiàng)
6.3.7 其他信息
6.4 監(jiān)視并檢查系統(tǒng)行為
6.4.1 通知用戶
6.4.2 評審系統(tǒng)警告
6.4.3 評審系統(tǒng)錯(cuò)誤報(bào)告
6.4.4 評審系統(tǒng)性能統(tǒng)計(jì)信息
6.4.5 監(jiān)視進(jìn)程動作和行為
6.4.6 監(jiān)視用戶行為
6.4.7 監(jiān)視網(wǎng)絡(luò)嗅探器的存在
6.4.8 運(yùn)行網(wǎng)絡(luò)映射和掃描工具
6.4.9 在所有系統(tǒng)上運(yùn)行漏洞掃描工具
6.4.10 策略考慮事項(xiàng)
6.4.11 其他信息
6.5 檢查文件和目錄有無意外變化
6.5.1 驗(yàn)證完整性
6.5.2 確定意外變化及其含義
6.5.3 策略考慮事項(xiàng)
6.5.4 其他信息
6.6 調(diào)查已接入網(wǎng)絡(luò)的、未經(jīng)授權(quán)的硬件
6.6.1 審計(jì)與網(wǎng)絡(luò)基礎(chǔ)設(shè)施相連的所有系統(tǒng)和外設(shè)
6.6.2 探查未經(jīng)授權(quán)的調(diào)制解調(diào)器
6.6.3 探查所有內(nèi)部網(wǎng)段，確定未經(jīng)授權(quán)的硬件
6.6.4 尋找企業(yè)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的意外路由
6.6.5 策略考慮事項(xiàng)
6.7 尋找末經(jīng)授權(quán)的物理資源訪問信號
6.7.1 檢查所有物理形式的入口或出口
6.7.2 檢查物理資源的篡改跡象
6.7.3 執(zhí)行所有可移動存儲介質(zhì)的物理審計(jì)
6.7.4 報(bào)告所有未經(jīng)授權(quán)的物理訪問信號
6.7.5 策略考慮事項(xiàng)
6.8 評審可疑系統(tǒng)、網(wǎng)絡(luò)行為和事件的報(bào)告
6.8.1 收到報(bào)告時(shí)執(zhí)行“鑒別分類”
6.8.2 對每個(gè)報(bào)告進(jìn)行評估、關(guān)聯(lián)和確定優(yōu)先級
6.8.3 調(diào)查每個(gè)報(bào)告或相關(guān)的一組報(bào)告
6.8.4 策略考慮事項(xiàng)
6.9 采取適當(dāng)行動
6.9.1 文檔化任何異常行為或活動
6.9.2 調(diào)查每一個(gè)異常文檔
6.9.3 認(rèn)識分析和調(diào)查的反復(fù)性
6.9.4 啟動入侵響應(yīng)過程
6.9.5 更新警告機(jī)制的配置
6.9.6 更新所有特征化信息
6.9.7 更新日志和數(shù)據(jù)收集機(jī)制的配置
6.9.8 處置所有已報(bào)告的事件
6.9.9 策略考慮事項(xiàng)
6.10 本章實(shí)踐核對清單
第7章 入侵響應(yīng)
7.1 概述
7.1.1 響應(yīng)實(shí)踐的必要性
7.1.2 入侵響應(yīng)方法
7.2 分析所有可用的信息
7.2.1 捕獲和記錄系統(tǒng)信息
7.2.2 備份易受侵害的系統(tǒng)
7.2.3 隔離受侵害的系統(tǒng)
7.2.4 在其他系統(tǒng)上搜索入侵信號
7.2.5 檢查日志
7.2.6 標(biāo)識用于獲取訪問的攻擊
7.2.7 確定入侵者做了什么
7.2.8 策略考慮事項(xiàng)
7.3 與相關(guān)各方進(jìn)行通信
7.3.1 遵守信息發(fā)布過程
7.3.2 使用安全的通信渠道
7.3.3 通知受影響的其他站點(diǎn)
7.3.4 維護(hù)聯(lián)系信息
7.3.5 策略考慮事項(xiàng)
7.4 收集和保護(hù)信息
7.4.1 收集所有信息
7.4.2 收集和保存證據(jù)
7.4.3 保存證據(jù)監(jiān)管鏈
7.4.4 聯(lián)系執(zhí)法機(jī)關(guān)
7.4.5 策略考慮事項(xiàng)
7.5 遏制入侵
7.5.1 臨時(shí)關(guān)閉系統(tǒng)
7.5.2 斷開受侵害系統(tǒng)的網(wǎng)絡(luò)連接
7.5.3 禁用訪問、服務(wù)和賬戶
7.5.4 監(jiān)視系統(tǒng)和網(wǎng)絡(luò)行為
7.5.5 驗(yàn)證冗余系統(tǒng)和數(shù)據(jù)未受侵害
7.5.6 策略考慮事項(xiàng)
7.6 消除所有入侵訪問方式
7.6.1 改變密碼
7.6.2 重新安裝受侵害的系統(tǒng)
7.6.3 刪除所有入侵者訪問方式
7.6.4 從原始發(fā)布介質(zhì)恢復(fù)可執(zhí)行程序和二進(jìn)制文件
7.6.5 評審系統(tǒng)配置
7.6.6 校正系統(tǒng)和網(wǎng)絡(luò)漏洞
7.6.7 改進(jìn)保護(hù)機(jī)制
7.6.8 改進(jìn)檢測機(jī)制
7.6.9 策略考慮事項(xiàng)
7.7 恢復(fù)系統(tǒng)正常運(yùn)行
7.7.1 確定需求和時(shí)間框架
7.7.2 恢復(fù)用戶數(shù)據(jù)
7.7.3 重新建立服務(wù)和系統(tǒng)的可用性
7.7.4 觀察入侵者返回的信號
7.7.5 策略考慮事項(xiàng)
7.8 實(shí)踐所學(xué)知識
7.8.1 完整的通信步驟
7.8.2 召開事后評審會議
7.8.3 修訂安全文檔
7.8.4 其他步驟
7.9 本章實(shí)踐核對清單
附錄A 安全實(shí)現(xiàn)
A.1 概述
A.2 在運(yùn)行Solaris 2.x的系統(tǒng)上安裝、配置和使用Tripwire以驗(yàn)證目錄和文件的完整性
A.3 在運(yùn)行Solaris 2.x的系統(tǒng)上安裝、配置和運(yùn)行Secure Shell（SSH）
A.4 理解Solaris 2.x操作系統(tǒng)的系統(tǒng)日志文件
A.5 在運(yùn)行Solaris 2.x的系統(tǒng)上配置和使用syslogd以收集日志消息
A.6 在運(yùn)行Solaris 2.x的系統(tǒng)上安裝、配置和使用logsurfer 1.5以分析日志消息
A.7 在運(yùn)行Solaris 2.x的系統(tǒng)上安裝、配置和使用spar 1.3
A.8 在運(yùn)行Solaris 2.x的系統(tǒng)上安裝和運(yùn)行tcpdump 3.4
A.9 編寫Snort規(guī)則，理解Snort警告
附錄B 實(shí)踐級策略考慮事項(xiàng)
縮略語
參考文獻(xiàn)