IT应用系统安全规范与操作规范.docx

上传人:夺命阿水 文档编号:637387 上传时间:2023-09-19 格式:DOCX 页数:10 大小:13.03KB
返回 下载 相关 举报
IT应用系统安全规范与操作规范.docx_第1页
第1页 / 共10页
IT应用系统安全规范与操作规范.docx_第2页
第2页 / 共10页
IT应用系统安全规范与操作规范.docx_第3页
第3页 / 共10页
IT应用系统安全规范与操作规范.docx_第4页
第4页 / 共10页
IT应用系统安全规范与操作规范.docx_第5页
第5页 / 共10页
点击查看更多>>
资源描述

《IT应用系统安全规范与操作规范.docx》由会员分享,可在线阅读,更多相关《IT应用系统安全规范与操作规范.docx(10页珍藏版)》请在课桌文档上搜索。

1、IT应用系统安全规范与操作规范信息安全管理中心2023年06月鞍 钢 集 团 信 息 产 业 有 限 公 司文件名称IT应用系统安全规范与操作规范文档编号编制人审核人编制日期2023.06.21生效日期版本历史版本号修订日期修订人修订说明备Ver 1.006.21初稿目录1 .概述42 .日常操作规范43 .系统安全规范 54 .文件上传规范75 .日志记录规范91 .概述随着国家对网络安全重视程度与监督检查力度逐年增大,鞍钢集团信 息化所面临的网络安全问题也日趋严峻,不遵守安全规范的应用与终端往 往会形成未知的安全风险隐患,经安全运营监测发现,目前鞍钢的各类应 用普遍存在较为低级的安全问题,

2、例如系统账户弱口令、系统漏洞、应用 逻辑漏洞等问题,因此安全运营中心归纳整理了应用系统、终端层面的安 全规范、安全策略及相关管理要求,具体内容如下:2 .日常操作规范在业务系统安全中,用户的日常操作行为是保证系统安全的关键,需 要用户在日常工作中遵守以下操作规范:1、访问正规网站:禁止访问来源不明的网站查询、下载资料和软件。 正规网站包含以下两个特征:第一,网站域名有ICP备案;第二,可通过 国家企业信用信息公示系统查询其工商信息。2、注意虚假的网站:在输入用户名和密码前注意网站的URL是否合 规,防止攻击者构造虚假的URL盗用用户名和密码。3、合理使用邮箱:建议使用企业内部邮箱,防止出现恶意

3、邮件,钓 鱼邮件,进而攻破内网。发现不明邮件应立即确认邮件来源,切勿轻易点 击查看和下载。4、终端准入系统:办公PC纳入终端准入系统,强制用户安装特定的 杀毒软件才能入网,并要求其定期进行病毒查杀。5、密码管理:要求用户使用强密码并定期更换(最多三个月),密码 必须由大、小写字母、数字和特殊字符三者及以上混合八位以上组成(鞍 山钢铁管理文件要求),目前安全运营平台判定规则为:密码必须由大、 小写字母、数字和特殊字符四者混合八位以上组成为且不能有一定规律或 者连续重叠,或伪强口令,例如Aal23456、AaBbOOOO. pSSWord等,建议 参考此规则修改。6、PC管理:储存登录的用户名、密

4、码、URL的电子文档,不建议存放 在管理PC上,建议用个人笔记本或纸质笔记本记录,且妥善保存Q在PC 使用完毕之后,最好关闭无线网络,锁定屏幕。7、无线网络管理:建议隐藏无线SSID并定期更换密钥,无线接入应 使用注册账号认证方式,定期检查用户终端接入情况,进行管控。8、服务器管理:做好登录IP限制和数据访问权限控制;做好基线核 查,漏洞扫描,补丁管理,进程查看,确保服务器的稳定运行;定期检查 设备运行状态,对于设备的内存、CPU、硬盘、温度等做好检查;9、PC外设管理:使用管理员允许的、合规的外设存储设备,禁止个人 外设存储设备直接连接内网PC。3 .系统安全规范在业务系统安全中,一些重要的

5、安全配置是必不可少的,系统开发负 责人需要注意满足以下要求来确保业务系统的安全性:1、用户名和密码的安全存储:用户的密码应该以安全的方式进行存储, 使用不可逆的加密方式对用户密码进行加密。这样即使数据库泄露,黑客 也无法还原用户的原始密码。2、强密码策略:要求用户设置强密码并定期更换(最多三个月),首 次登录系统后应进行密码重置才能进入使用画面,密码安全策略可以从系 统应用层面进行规范,密码必须由大、小写字母、数字和特殊字符三者及 以上混合八位以上组成(鞍山钢铁管理文件要求),目前安全运营平台判 定规则为:密码必须由大、小写字母、数字和特殊字符四者混合八位以上 组成为且不能有一定规律或者连续重

6、叠,或伪强口令,例如Aal23456. AaBbOOOO, pSSWord等,建议参考此规则修改。3、防止暴力破解:模糊登陆错误信息,建议对用户名错误及密码错误 均提示“用户名或密码错误,请重新输入”;对密码暴力猜解行为进行图 灵验证,一旦发现用户口令破解行为及时对账户进行限时封停处理,并限 制用户尝试登录次数。4、双因素认证(2FA):根据业务系统要求,双因素认证作为可选功 能,例如在登录时提供额外的身份验证,如短信验证码、应用程序生成的 动态口令或指纹识别等。5、安全的密码重置机制:实施安全的密码重置流程,例如通过发送重 置链接到用户的注册邮箱或手机,并要求用户提供其他身份验证信息,例 如

7、短信验证码、面部识别、指纹识别等。6、数据加密传输:禁止明文传输的情况出现,统一使用https协议进 行数据传输,并使用加密算法对用户传输的信息进行加密,以保证信息的 机密性和完整性。可以采用对称加密、非对称加密、单向散列加密相结合 的方式进行数据传输加密。7、上线前的风险评估:互联网应用系统在上线前,须进行渗透测试。 渗透测试的内容包括暴力破解、HTTP信息泄露、CSRF. SSRF. SQL注入、 文件上传、越权或提权漏洞、XSS. Web后门等。8、定期的漏洞扫描:安全运营中心应对应用系统定期进行漏洞扫描, 以确保系统的服务器内无中高危漏洞存在。如扫描发现漏洞存在,立即联 系服务器运维人

8、员进行整改,运维人员权衡服务器性能判断是否能够完成 整改并反馈给安全运营中心。如无法满足整改条件,务必针对此服务器进 行严格的访问限制;如整改完毕,则由安全运营中心进行复测。9、重要系统的代码审计:权衡系统的重要程度,可对重要系统在上线 前或重大版本变更前进行人工代码审计,目的是发现更深层次的漏洞,例 如二次注入,反序列化,XnIl实体注入等。10、安全基线策略:服务器上应开启防火墙,遵循最小授权原则,默 认禁止所有域间流量,所有未明确允许的流量都被禁止,仅为合法流量开 放安全策略。11、应用系统开发:应用系统在开发建设时要考虑等保建设,需要遵 循“同步规划,同步建设,同步使用”的三同步原则,

9、在应用系统上线时, 即完成等保测评工作。同时还需要参考STRlDE模型与SDL安全开发规范等 一系列安全要求与规定。4 .文件上传规范在业务系统中,文件上传功能是一个潜在的安全风险点,因此系统开 发人员应遵循以下要求来确保文件上传的安全性:1、文件类型验证:对上传的文件进行严格的文件类型验证。可以通过检查文件扩展名结合文件内容的特征来进行验证,以防止上传恶意文件。2、文件大小限制:限制上传文件的大小,防止上传过大的文件导致系 统资源消耗过高或存储空间耗尽。同时,确保服务器端和客户端都进行文 件大小验证,以防止绕过验证。3、文件名安全处理:对上传的文件名进行安全处理,避免使用用户提 供的文件名直

10、接作为存储路径或者在网页上显示,以防止路径遍历攻击。4、文件存储安全:将上传的文件存储在安全的位置,并限制访问权限, 确保只有授权的用户可以访问。避免将上传的文件直接存储在可以被执行 的目录下,以防止任意文件执行漏洞。5、安全扫描:安全运维人员根据需要在业务系统上配置安全扫描工具 或者集成第三方安全服务平台,业务系统在接收到文件上传后,会自动对 文件进行安全扫描,检测是否包含病毒、恶意脚本或其他威胁。6、文件重命名:将上传的文件重命名为唯一的名称,避免直接使用原 始文件名,以防止目录穿越攻击或者信息泄露。7、输入验证:对用户上传的文件名和其他相关的表单输入进行验证和 恶意代码过滤,避免其中包含

11、恶意代码或特殊字符,以防止出现XSS和SQL 注入等各种注入攻击。8、安全日志记录:记录文件上传的相关信息,包括上传者、时间戳、 文件大小、文件名等,并将日志存储在安全的位置。这有助于审计和监测 异常的文件上传行为。9、防止文件覆盖:如果允许用户上传同名文件,确保采取适当的措施 来防止恶意用户覆盖其他用户的文件,例如在文件名中添加唯一标识符或 在存储时创建备份。10、安全更新和漏洞修复:定期更新文件上传组件,时刻关注漏洞公 告信息,确保厂商在发布漏洞公告的第一时间进行访问限制,并在发布漏 洞补丁的第一时间修复已知的安全漏洞,防止N-Day漏洞的出现。5 .日志记录规范在业务安全中,日志记录是一

12、项重要的措施,它可以帮助监测和分析 系统的行为,发现潜在的安全事件和异常情况。以下是一些常见的日志记 录要求:1、完整性:确保日志记录的完整性,记录关键操作、安全事件、访问 请求和异常情况的详细信息。日志应该包含足够的上下文信息,方便进行 分析和调查。2、可追踪性:每条日志记录都应该包含唯一标识符、时间戳、用户或 系统操作者的身份信息等,以便跟踪和追溯日志记录的来源。3、保密性:确保敏感信息(如用户密码、个人身份信息等)在日志中 得到适当的保护,以防止未经授权的访问和泄露。4、安全存储:将日志记录存储在安全的位置并留存半年以上,只有授 权的人员能够访问。可以使用访问控制、加密等技术来保护日志的机密性 和完整性。5、合规性要求:根据适用的法律法规和行业标准,确保日志记录满足 合规性要求,并保存足够长的时间。这包括数据保留期限、备份策略等。第10页共1()页网络安全管理中心编制

展开阅读全文
相关资源
猜你喜欢
相关搜索

当前位置:首页 > 在线阅读 > 生活休闲


备案号:宁ICP备20000045号-1

经营许可证:宁B2-20210002

宁公网安备 64010402000986号