搜索

[16654] 2021-04-10_聊聊网络安全等级保护“能力验证”：配置核查（Linux系统）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-10_聊聊网络安全等级保护“能力验证”：配置核查（Linux系统） 聊 聊 网 络 安 全 等 级 保 护 “ 能 力 验 证 ” ： 配 置 核 查 （ L i n u x 系 统 ） 等 保 不 好 做 啊   F r e e B u f   2 0 2 1 - 0 4 - 1 0 前 言 前 言 作 为 测 评 机 构 一 定 会 知 道 每 年 会 举 行 “ 能 力 验 证 ” 活 动 ， 申 请 认 可 和 获 准 认 可 的 合 格 评 定 机 构 通 过 参 加 能 力 验 证 活 动 （ 包 括   C N A S   组 织 实 施 或 承 认 的 能 力 验 证 计 划 、 测 评 机 构 间 比 对 和 测 量 审 核 ） 证 明 其 技 术 能 力 。 之 前 的 线 上 会 议 也 表 明 了 对 测 评 机 构 能 力 建 设 方 面 的 意 见 ， 在 会 议 中 说 到 机 构 的 最 高 水 平 不 代 表 机 构 的 真 实 测 评 水 平 ， 因 为 机 构 派 来 参 加 能 力 验 证 的 一 般 都 是 经 验 老 道 的 测 评 师 ， 所 以 表 面 上 看 起 来 没 啥 问 题 ， 真 实 测 评 中 可 能 会 存 在 很 多 问 题 。 另 外 也 采 取 了 措 施 ， 比 如 相 同 人 员 相 隔 一 年 内 无 法 参 加 能 力 验 证 ， 而 且 后 续 还 有 可 能 从 “ 团 队 模 式 ” 的 情 况 转 化 为 “ 单 人 模 式 ” 。 在 我 看 来 ， “ 能 力 验 证 ” 就 是 监 管 测 评 机 构 测 评 技 术 技 术 方 面 的 一 次 考 试 ， 通 过 了 这 场 考 试 ， 才 代 表 有 技 术 能 力 从 事 这 测 评 工 作 。 2 0 1 9 能 力 验 证 能 力 验 证 去 年 应 该 是 由 于 疫 情 的 原 因 ， 没 有 举 办 能 力 验 证 。 笔 者 有 幸 参 加 了 2 0 1 9 能 力 验 证 ， 这 里 就 聊 一 聊 自 己 的 一 些 感 悟 和 他 们 出 题 的 考 察 点 吧 。 一 、 概 述 一 、 概 述 这 边 看 一 下 官 方 给 出 的 概 述

二 、 测 评 能 力 验 证 内 容 二 、 测 评 能 力 验 证 内 容 2 0 1 9 年 能 力 验 证 分 3 个 考 察 内 容 ： 1 .   测 评 对 象 和 测 评 指 标 选 取 2 .   配 置 检 查 3 .   渗 透 测 试 一 般 3 个 人 一 组 进 行 能 力 验 证 ， 上 午 测 评 方 面 ， 下 午 渗 透 方 面 。 我 这 边 是 测 评 方 面 ， 做 的 是 配 置 核 查 ， 这 里 就 写 一 下 我 当 时 的 测 评 情 况 。 2 . 1   样 品 系 统 环 境 样 品 系 统 环 境 本 次 能 力 验 证 配 置 检 查 所 用 样 品 系 统 环 境 由   1   台   L i n u x   服 务 器 、   1   台   W i n d o w s 服 务 器 、   1   台   N T P   服 务 器 组 成 。 2 . 2   拓 扑 图 结 构 拓 扑 图 结 构 2 . 3   测 评 对 象 范 围 及 配 置 说 明 测 评 对 象 范 围 及 配 置 说 明
2 . 4   配 置 检 查 内 容 配 置 检 查 内 容 针 对 模 拟 系 统 中 的   W i n d o w s   和   L i n u x   服 务 器 操 作 系 统 ，   开 展 安 全 计 算 环 境 （ 操 作 系 统 ） 方 面 的 配 置 检 查 和 验 证 测 试 。 这 里 我 就 以 L i n u x 系 统 为 代 表 ， 针 对 本 次 考 察 内 容 来 聊 一 聊 。 首 先 ， 先 看 一 下 我 们 最 终 要 提 交 的 配 置 检 查 结 果 报 告 单 。
上 面 “ 注 意 事 项 ” 中 ， 明 确 表 明 了 测 评 记 录 要 详 实 足 够 支 撑 结 果 判 定 。 下 面 就 看 看 具 体 操 作 系 统 中 配 置 是 如 何 的 ， 将 违 反 条 款 标 准 或 安 全 策 略 的 点 要 写 清 楚 。 我 这 里 就 不 一 一 描 述 结 果 记 录 该 怎 么 写 了 ， 这 里 主 要 讨 论 该 条 款 中 的 得 分 点 ， 答 出 它 预 设 的 问 题 点 才 算 得 分 ， 其 余 的 内 容 其 实 不 算 得 分 点 。 1 ） 身 份 鉴 别 ） 身 份 鉴 别 a )   应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 ； 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 ； 根 据 这 条 条 款 ， 我 们 首 先 要 从 安 全 计 算 环 境 安 全 策 略 中 找 到 关 键 的 策 略 。 这 条 它 规 定 了 需 要 启 用 密 码 复 杂 度 要 求 、 密 码 长 度 要 求 最 少 8 位 ， 最 长 使 用 期 限 为 3 0 天 。 预 设 问 题 很 可 能 就 在 这 条 安 全 策 略 中 。 所 以 我 们 先 要 去 / e t c / p a m . d / s y s t e m - a u t h   文 件 下 查 看 是 否 配 置 复 杂 度 策 略 ， 密 码 复 杂 度 要 求 ， 在 / e t c / s h a d o w 文 件 下 查 看 当 前 用 户 的 口 令 最 长 使 用 期 限 ， 在 / e t c / l o g i n . d e f s 文 件 下 去 查 看 后 续 新 增 账 户 口 令 最 长 有 效 期 P A S S _ M A X _ D A Y S 。 最 终 我 查 询 的 结 果 是 口 令 复 杂 度 未 配 置 ， 当 前 用 户 口 令 最 长 使 用 期 限 不 对 ， P A S S _ M A X _ D A Y S 值 为 3 0 ， 同 时 在 / e t c / l o g i n . d e f s 目 录 下 查 看 P A S S _ M I N _ L E N 值 为 6 。 我 们 再 对 照 能 力 验 证 计 划 总 结 报 告 里 面 的 预 设 测 评 要 点 进 行 分 析 ： 很 明 显 ， 这 个 预 设 点 的 问 题 应 该 是 让 你 知 道 P A S S _ M I N _ L E N 这 个 为 6 的 参 数 其 实 是 不 生 效 的 ， 如 果 不 知 道 这 个 参 数 是 什 么 意 思 的 ， 可 以 去 看 看 这 里 的 文 章 ， 我 感 觉 应 该 是 你 答 出 了 这 个 就 算 有 得 分 了 。 b )   应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； 同 理 我 们 先 看 安 全 策 略 ， 这 里 涉 及 到 的 内 容 有 两 条
所 以 针 对 本 地 登 录 和 S S H 登 录 ， 我 们 需 要 去 查 看 两 个 文 件 ， 分 别 为 / e t c / p a m . d / s y s t e m - a u t h 、 / e t c / p a m . d / s s h d ， 去 看 这 两 个 文 件 下 是 否 配 置 了 登 录 失 败 处 理 功 能 ； 然 后 是 否 有 设 置 T M O U T 值 。 我 的 查 询 结 果 为 ： 已 在 / e t c / s s h d 文 件 下 配 置 a u t h   r e q u i r e d   p a m _ t a l l y 2 . s o   d e n y = 5   u n l o c k _ t i m e = 6 0 0 ， 本 地 登 录 情 况 没 有 配 置 登 录 失 败 处 理 功 能 。 已 在 / e t c / p r o f i l e 文 件 中 设 置 T M O U T = 6 0 0 ， 且 当 前 环 境 已 生 效 。 通 过 上 面 结 果 ， 可 能 有 人 就 下 结 论 了 ， 说 未 限 制 r o o t 账 户 的 远 程 登 录 失 败 处 理 功 能 ， 但 要 看 仔 细 ， r o o t 账 户 已 经 被 禁 止 S S H 登 录 了 ， 所 以 就 要 体 现 这 一 点 。 需 要 在 结 果 记 录 中 补 充 说 明 ， 已 在 / e t c / s s h / s s h d _ c o n f i g 文 件 下 配 置 ： P e r m i t R o o t L o g i n   n o 这 里 的 预 设 问 题 就 是 要 你 答 出 本 地 和 S S H 远 程 登 录 的 登 录 失 败 处 理 功 能 配 置 ， 然 后 需 要 强 调 说 明 r o o t 账 户 已 禁 止 S S H 远 程 登 录 ， 所 以 针 对 s s h d 文 件 下 的 r o o t 的 锁 定 参 数 无 需 配 置 。 c )   当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 。 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 。 这 一 条 没 啥 好 说 的 ， L i n u x 系 统 采 用 S S H ， 符 合 这 题 主 要 预 设 点 为 W i n d o w s 系 统 的 ， 那 里 开 启 了 t e l n e t 服 务 ， 要 求 组 策 略 中 配 置 如 下 ： 远 程 ( R D P ) 连 接 要 求 使 用 指 定 的 安 全 层 ： S S L ( T L S   1 . 0 ) , 设 置 客 户 端 连 接 加 密 级 别 ： 高 级 别 。 这 里 就 不 细 说 了 2 ） 访 问 控 制 ） 访 问 控 制 c )   应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 ； 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 ； 先 看 安 全 策 略 查 看 / e t c / p a s s w d 文 件 / e t c / s h a d o w 文 件 ， 发 现 存 在 多 余 t e s t 账 户
这 和 预 设 问 题 点 一 样 ， 可 以 看 出 这 道 基 本 送 分 ， 9 成 以 上 都 回 答 出 来 了 e )   应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 。 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 。 安 全 策 略 ： 这 里 有 两 点 ， 第 一 点 我 认 为 是 U I D 为 0 的 账 户 仅 为 r o o t ， 而 且 s u d o e r s 文 件 里 面 没 有 用 户 可 以 修 改 其 他 用 户 权 限 的 命 令 存 在 。 像 命 令 那 行 ， 有 用 户 存 在 A L L 这 样 的 肯 定 是 不 符 合 的 。 第 二 点 ， 仅 s y s a d m i n 和 s y s a u d i t o r 登 录 后 可 s u 账 户 ， 去 查 看 这 个 控 制 点 。 具 体 我 忘 记 了 ， 好 像 是 设 置 了 w h e e l 组 的 s u 权 限 ， 这 两 个 账 户 隶 属 于 w h e e l 组 ， 我 具 体 也 测 试 过 ， 仅 这 两 个 账 户 可 s u   r o o t 成 功 。 因 为 原 始 记 录 丢 了 ， 记 不 太 清 了 。 。 。 然 后 我 们 看 看 这 里 的 预 设 问 题 点 ： 可 以 看 出 得 分 率 很 低 ， 而 且 我 也 不 确 定 我 的 回 答 是 否 正 确 ， 有 知 道 的 大 佬 可 以 留 言 告 诉 我 。 3 ） 安 全 审 计 ） 安 全 审 计 a )   应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； 安 全 策 略 ：
这 里 很 明 显 ， 我 们 先 正 常 检 查 s y s l o g 、 a u d i t 服 务 是 否 正 常 运 行 ， a u d i t c t l   - s 查 看 内 核 状 态 e n a b l e d 值 是 否 为 1 ， 这 些 都 正 常 后 ， 就 去 查 看 a u d i t 审 计 的 具 体 规 则 了 。 这 里 查 看 / e t c / a u d i t / a u d i t . r u l e s ， 也 可 以 使 用 a u d i t c t l   - l 查 看 规 则 ， 查 询 结 果 为 ： - w   / e t c / p a s s w d   - p   r x a - w   / e t c / s h a d o w   - p   r x a - w   / e t c / x i n e t d . c o n f   - p   r x a 很 明 显 这 里 考 察 的 就 是 你 对 a u d i t 审 计 规 则 配 置 的 理 解 了 ， 这 里 少 了 对 “ 写 ” 行 为 的 审 计 ， 所 以 提 出 该 点 得 分 这 里 的 得 分 率 也 是 还 可 以 的 b )   审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 。 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 。 安 全 策 略 ： 所 以 这 一 条 主 要 考 察 的 就 是 n t p 服 务 是 否 正 常 启 用 这 里 通 过 s e r v i c e   n t p d   s t a t u s 查 看 ， 发 现 为 停 止 状 态 ， 然 后 查 看 n t p . c o n f 文 件 ， 也 未 配 置 对 应 的 s e r v i c e 地 址 ， 同 时 该 台 为 c e n t o s   6 . x 的 机 子 ， 没 有 c h r o n y d 服 务 ， 所 以 只 要 看 n t p 即 可 。 预 设 问 题 也 是 一 致 的 ， 查 看 n t p 服 务 的 启 动 状 态 4 ） 入 侵 防 范 ） 入 侵 防 范 a )   应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ； 应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ；
a )   应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ； 应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ； 安 全 策 略 ： 针 对 L i n u x 来 说 他 这 边 预 设 点 就 是 去 查 看 蓝 牙 组 件 是 否 禁 用 这 道 我 没 做 出 来 ， 我 不 清 楚 查 看 这 个 的 命 令 是 啥 ， 百 度 也 么 找 到 ， p s   - e f 服 务 进 程 之 类 的 找 过 ， 没 有 发 现 b l u e 关 键 字 的 进 程 之 类 的 ， 有 知 道 的 大 佬 告 告 我 。 反 正 结 果 记 录 我 是 直 接 写 未 启 用 蓝 牙 组 件 。 预 设 问 题 也 是 一 样 的 ， 就 是 查 这 个 蓝 牙 组 件 b )   应 关 闭 不 需 要 的 系 统 服 务 、 默 认 共 享 和 高 危 端 口 ； 应 关 闭 不 需 要 的 系 统 服 务 、 默 认 共 享 和 高 危 端 口 ； 安 全 策 略 ： 这 里 要 求 只 查 看 t c p 端 口 ， 直 接 n e t s t a t   - t l n p 即 可 ， 查 看 t c p 哪 些 端 口 在 进 行 监 听 ， 很 多 人 可 能 只 想 到 了 这 一 步 （ 我 当 时 也 是 只 查 看 了 这 个 ） ， 但 是 看 预 设 问 题 看 起 来 留 坑 了 。 我 们 先 来 看 下 预 设 问 题 ： 说 明 这 里 可 能 在 防 火 墙 的 地 方 给 你 留 坑 了 ？ 而 且 得 分 率 也 比 较 低 我 猜 测 这 里 应 该 是 还 要 使 用   i p t a b l e s   - L   - n 查 看 对 应 防 火 墙 规 则 。 因 为 结 果 我 当 时 的 查 询 情 况 来 看 ， 监 听 的 T C P 端 口 仅 有 2 2 、 8 0 ， 但 是 有 可 能 防 火 墙 有 拒 绝 的 规 则 ， 导 致 2 2 （ 这 个 不 可 能 ， 因 为 我 们 远 程 上 去 了 ） 或 者 8 0 （ 没 有 测 试 连 通
性 ） 端 口 没 有 放 通 ？ 暂 时 猜 测 是 这 样 的 ， 因 为 无 从 考 证 了 。 。 c )   应 通 过 设 定 终 端 接 入 方 式 或 网 络 地 址 范 围 对 通 过 网 络 进 行 管 理 的 管 理 终 端 进 行 限 制 。 应 通 过 设 定 终 端 接 入 方 式 或 网 络 地 址 范 围 对 通 过 网 络 进 行 管 理 的 管 理 终 端 进 行 限 制 。 安 全 策 略 ： 这 里 很 明 显 叫 你 去 查 看 是 否 仅 这 三 个 地 址 能 远 程 访 问 服 务 器 。 一 般 我 们 在 / e t c / h o s t s . a l l o w 、 / e t c / h o s t s . d e n y 中 查 看 是 否 有 相 应 参 数 ， 我 觉 得 他 这 里 很 刁 钻 ， 我 们 先 看 看 我 当 时 看 到 的 这 两 个 文 件 下 的 配 置 ： h o s t s . d e n y 文 件 配 置 ： s s h : a l l : d e n y h o s t . a l l o w 文 件 配 置 ： s s h : 1 0 . 1 . 1 . 1 0 1 , 1 0 . 1 . 1 . 1 0 2 , 1 0 . 1 . 1 . 1 0 3 : a l l o w 是 不 是 觉 得 好 像 没 问 题 ？ 因 为 给 我 们 分 配 的 地 址 也 是 这 三 个 ， 所 以 能 上 去 很 正 常 。 我 第 一 眼 也 没 发 现 有 什 么 问 题 ， 但 是 我 可 能 用 了 点 小 聪 明 ， 我 把 地 址 改 成 了 1 0 4 ， 发 现 还 是 能 上 ， 那 么 问 题 就 来 了 ， 配 置 肯 定 哪 里 配 置 错 了 。 再 仔 细 看 一 眼 ， 他 配 置 为 s s h ， 正 确 的 应 该 是 s s h d ， 所 以 你 指 出 这 个 错 误 就 能 得 分 了 。 预 设 问 题 点 也 是 如 出 一 辙 ， 为 配 置 的 正 确 性 ： 5 ） 恶 意 代 码 防 范 ） 恶 意 代 码 防 范 应 采 用 免 受 恶 意 代 码 攻 击 的 技 术 措 施 或 主 动 免 疫 可 信 验 证 机 制 及 时 识 别 入 侵 和 病 毒 行 为 ， 并 将 其 有 效 阻 断 。 应 采 用 免 受 恶 意 代 码 攻 击 的 技 术 措 施 或 主 动 免 疫 可 信 验 证 机 制 及 时 识 别 入 侵 和 病 毒 行 为 ， 并 将 其 有 效 阻 断 。 安 全 策 略 ： 这 里 L i n u x 服 务 器 能 力 验 证 这 块 一 般 安 装 的 都 是 c l a m a v ， 他 也 不 会 考 你 运 维 的 问 题 ， 比 如 安 装 错 误 ， 或 者 命 令 有 问 题 什 么 的 ， 所 以 你 只 要 能 看 懂 计 划 任 务 就 行 了 。 这 里 我 们 去 / e t c / c r o n t a b 和 c r o n t a b   - l 查 看 下 是 否 有 相 应 的 计 划 任 务 。 当 时 的 查 询 结 果 为 ： 0   1 0   *   r o o t   / u s r / b i n / c l a m s c a n   - r   / v a r / w w w / h t m l   - l   / v a r / l o g / c l a m a v / c l a m s c a n . l o g   但 是 我 们 别 忘 了 另 外 一 点 ， 你 c r o n d 这 个 服 务 没 启 动 ， 这 个 计 划 任 务 是 不 生 效 的 ， 所 以 经 查 看 c r o n d 服 务 处 于 停 止 状 态 ， 这 个 就 是 不 符 合 的
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理