一 總則

目的。爲加強和規範世界杯官网信息系統安全管理，減少使用系統平台默認安全配置帶來的安全風險，確保信息系統的安全平穩運行，依據國家有關法律法規以及世界杯官网相關管理規定，特制定本制度。

對象。本管理制度適用于世界杯官网信息系統業務環境中的各種操作系統平台，包括：

n 操作系統

n 數據庫（應用系統的數據庫以及商業軟件的數據庫不強制執行本標准，但在不影響其正常運行的情況下，應遵循本標准執行）

n 中間件

範圍。本管理制度適用于世界杯官网的系統安全運維管理。

要求。世界杯官网信息系統系統安全管理要求統一遵循《GB/T 22239-2019信息安全技术 信息系统安全等级保护基本要求》。

二 職責與權限

1.系统管理员负责操作系統安全配置的检查、维护、加固和更新。

2.數據庫管理員負責數據庫安全配置的檢查、維護、加固和更新。

3.中間件管理员（应用管理员）负责中間件安全配置的检查、维护、加固和更新。

三 基本原則及系統安全配置

1.对所有进入业务环境的系统平台，都必须遵守以下的基本原則：

n 進入業務環境的系統平台配置都必須參考本標准的要求，進行必要的安全配置；

n 本流程在執行時，如因業務需求或技術條件有限，需要申請條款偏離，申請人必須准備書面申請文件，說明業務需求原因，提交信息安全主管審批。當偏離申請通過審核，且申請人了解並接受條款偏離所造成的所有風險時，才能批准此條款偏離申請。所有進行的變更操作都必須遵照信息系統的變更管理流程；

n 必須定期進行安全配置檢查和回顧，以確保安全性和可追溯性。

2.Windows操作系統安全配置管理

（1）賬戶

n 按照用戶分配賬戶。根據系統的要求，設定不同的賬戶和賬戶組、管理員用戶、數據庫用戶、審計用戶、來賓用戶等。

n 刪除或鎖定與設備運行、維護等與工作無關的賬戶。

n 禁用guest（來賓）賬戶。

（2）口令

n 8個字符以上；

n 使用以下字符的組合：a-z、A-Z、0-9，以及!@#$%^&*()-+；

n 口令每三個月至少修改一次。

（3）授權

n 對于系統重要操作只能授權給Administrators组，如远端系统强制关机、關閉系统、取得文件或其它对象的所有权。

n 設置授權用戶才可以本地登陸或進行網絡訪問(包括網絡共享等，但不包括終端服務)。

（4）日志

n 設備應配置日志功能，對用戶登錄進行記錄，記錄內容包括用戶登錄使用的賬戶，登錄是否成功，登錄時間，以及遠程登錄時，用戶使用的IP地址。

？ 審核策略更改，成功和失敗都要審核；

？ 審核對象訪問，成功和失敗都要審核；

？ 審核目錄服務訪問，失敗；

？ 審核特權使用，成功和失敗都要審核；

？ 審核系統事件，成功和失敗都要審核；

？ 審核賬戶管理，成功和失敗都要審核；

？ 審核過程追蹤，失敗。

n 設置應用、系統、安全日志文件大小至少爲81920KB，設置當達到最大的日志尺寸時，按需要改寫事件。

n 系統管理員每天應對所管理的系統産生的日志進行檢查，對日志中的錯誤或可疑項應予以記錄，如無法分析判斷錯誤或可疑項，應提交至安全管理員，以便安排進行分析處理，處理結果應補充記錄到日志檢查記錄中。系統中本地日志需保留最近三個月的內容。

n 操作系統的日志应每三个月进行一次全面的检查，参与日志检查的人员需签字确认。

n 在有技術手段支持的情況下應定期進行日志的備份，要求如下：

？ 每月至少一次將系統生成的日志，進行集中備份。可單獨備份到光盤介質或在系統備份時完成日志信息的備份，應詳細記錄備份信息；

？ 日志備份需保留至少6個月不能被改變，日志的備份介質應存放在安全區域，防止非授權人員查看、拷貝日志資料，避免因爲各種原因的損壞導致收集到的相關日志不可用；

？ 除審計人員外，由于工作的需要查看日志備份時，需要進行申請審批後才能查看；

？ 日志的失效：日志在通常情況下，保存6個月之後，可以由系統管理員進行失效處理。如果有系統對日志的保留要求超過6個月，則在超過日志保留有效期後再作失效處理。對于日志保存在介質中，需清空介質中數據後再做處理。

（5）IP安全協議

n 啓用Windows 2003和Windows 2008 自带防火墙。根据业务需要限定允许访问网络的应用程序，和允许远程登陆该设备的IP地址範圍。

n 如沒有自帶防火牆，可在網絡層面進行限定。

（6）補丁及防病毒管理

n 應安裝最新的Service Pack补丁集，对服务器系统应先进行兼容性测试。

n 應安裝最新的Hotfix補丁。對服務器系統應先進行兼容性測試。

n 應安裝防病毒軟件，並及時更新。

（7）服務管理

n 系統管理員應根據系統所承載的應用的特性，列出所需要服務的列表(包括所需的系统服务进程)，不在此列表的服务需關閉。

n 如需啓用SNMP服务，则修改默认的SNMP Community String设置。

n 如需啓用IIS服務，則將IIS升級到最新補丁。

（8）其他安全配置

n 设置带密碼的屏幕保护，并将时间设定为10分鍾。

n 對于遠程登陸的賬戶，設置不活動斷連時間15分鍾。

n 根据需要确定是否關閉Windows硬盤默認共享，例如C$，D$。

n 查看每個共享文件夾的共享權限，只允許授權的賬戶擁有權限共享此文件夾。

n 關閉Windows自動播放功能。

（9）系統備份和恢複

n 針對業務系統，系統管理員應根據系統所承載的應用特性，確定備份策略，如定期進行ghost、系統中重要文件備份、設置啓動盤、恢複盤等。

n 對于臨時備份申請，系統管理員將審核申請人的需求完成備份。

n 備份所需介質的管理遵循信息系統相關安全要求。

n 每個季度至少進行一次對重要信息系統備份介質可用性驗證（可通過安裝系統時使用備份集恢複的方式進行驗證）。

n 當需要進行系統級恢複時，管理員將根據審批後的申請單完成恢複操作並進行相應記錄。

n 系統管理員每季度應進行備份記錄、備份介質使用情況和恢複記錄的整理統計。

（10）安全配置維護和定期檢查

n 配置變更前，需要進行審批、測試以及備份。

n 管理員每年至少一次進行系統平台安全配置的符合性檢查，針對檢查發現的問題進行處理。

n 在有技術手段支持的情況下，可使用漏洞掃描工具輔助進行符合性檢查。

2.UNIX操作系統安全配置管理

（1）賬戶

n 應按照不同的用戶分配不同的賬戶，避免不同用戶間共享賬戶，避免用戶賬戶和設備間通信使用的賬戶共享。

n 應刪除或鎖定與設備運行、維護等工作無關的賬戶（注：系統內存在不可刪除的內置賬戶，包括root,bin等）。

n 遠程執行管理員權限操作時使用SSH登錄方式進行操作並限制root遠程登錄。

n 根據系統要求及用戶的業務需求，建立多賬戶組，將用戶賬戶分配到相應的賬戶組。

n 對系統賬戶進行登錄限制，確保系統賬戶僅被守護進程和服務使用，不應直接由該賬戶登錄系統。如果系統沒有應用這些守護進程或服務，應刪除這些賬戶。

（2）口令

对于采用静态口令认证技术的设备，设置满足密碼复杂度要求的口令。口令策略的设置一般要求：

n 8個字符以上；

n 使用以下字符的組合：a-z、A-Z、0-9，以及!@#$%^&*()-+；

n 口令每三個月至少修改一次。

（3）授權

n 在設備權限配置能力內，根據用戶的業務需要，配置其所需的最小權限。

n 控制用戶缺省訪問權限，當在創建新文件或目錄時應屏蔽掉新文件或目錄不應有的訪問允許權限。防止同屬于該組的其它用戶及別的組的用戶修改該用戶的文件或更高限制。

n FTP賬戶訪問權限根據其賬戶身份進行設置。

（4）日志

n 配置日志功能：

？ 對用戶登錄進行記錄，記錄內容包括用戶登錄使用的賬戶，登錄是否成功，登錄時間，以及遠程登錄時，用戶使用的IP地址；

？ 對設備的操作進行記錄，包括但不限于以下內容：賬戶創建、刪除和權限修改，口令修改，讀取和修改設備配置，讀取和修改業務用戶的話費數據、身份數據、涉及通信隱私數據。需記錄要包含用戶賬戶，操作時間，操作內容以及操作結果；

？ 記錄與設備相關的安全事件；

？ 記錄用戶使用SU命令的情況，記錄不良的嘗試記錄；

？ 系統上運行的應用/服務也應該配置相應日志選項，比如cron。

n 系統管理員每天通過系統監控軟件查看所管理系統日志中産生的錯誤或可疑項，如無法分析判斷錯誤或可疑項，應提交至信息中心，以便安排進行分析處理，處理結果應補充記錄到日志檢查記錄中。系統中本地日志一般保留上一次運行到本次運行之間的日志內容。

n 操作系統的日志应每三个月进行一次全面的检查，参与日志检查的人员需签字确认。

n 在有技術手段支持的情況下應定期進行日志的備份，要求如下：

？ 每月至少一次將系統生成的日志，進行集中備份。可單獨備份到光盤介質或在系統備份時完成日志信息的備份，應詳細記錄備份信息；

？ 日志備份需保留至少6個月不能被改變，日志的備份介質應存放在安全區域，防止非授權人員查看、拷貝日志資料，避免因爲各種原因的損壞導致收集到的相關日志不可用；

？ 除審計人員外，由于工作的需要查看日志備份時，需要進行申請審批後才能查看；

？ 日志的失效：日志在通常情況下，保存6個月之後，可以由系統管理員進行失效處理。如果有系統對日志的保留要求超過6個月，則在超過日志保留有效期後再作失效處理。對于日志保存在介質中，需清空介質中數據後再做處理。

（5）IP協議安全

n 對于使用IP協議進行遠程維護的設備，設備應配置使用SSH等加密協議。

n 系統管理員應根據系統所承載的應用的特性，列出對外開放的IP服務端口和設備內部進程的對應表。

n 系統管理員應遵循網絡層面的要求，設定系統服務端口。

（6）補丁管理

n 在系統安裝時建議只安裝基本的OS部份，其余的軟件包則以必要爲原則，非必需的包不進行安裝。

n 應根據需要及時進行補丁裝載。對服務器系統應先進行兼容性測試。

（7）服務管理

系统管理员应遵循信息系统主机安装标准和所承载应用的需要，设定系统服务开发列表，对不需要的服务予以關閉。

（8）其他安全配置

n 對于具備字符交互界面的設備，應配置定時賬戶自動登出。

n 對于具備圖形界面（含WEB界面）的設備，應配置定時自動屏幕鎖定。

n 涉及賬戶、賬戶組、口令、服務等的重要文件和目錄的權限設置不能被任意人員刪除，修改。

n 應該從應用層面進行必要的安全訪問控制，比如FTP服务器应该限制ftp可以使用的目录範圍。

（9）系統備份和恢複

n 針對業務系統，系統管理員應根據系統所承載的應用特性，確定備份策略，一般是每三個月進行一次系統備份，如DDS磁帶、DAT磁帶備份等，保留最近兩次備份集。

n 系統重要變更前，如應用升級、系統補丁升級等，應進行臨時備份，在申請人申請後，系統管理員完成備份並記錄。

n 備份所需介質的管理遵循信息系統相關安全要求。

n 每季度至少進行一次對重要系統備份介質可用性驗證（可通過安裝系統時使用備份集恢複的方式進行驗證）。

n 當需要進行系統級恢複時，管理員將根據審批後的申請單完成恢複操作並進行相應記錄。

n 系統管理員每季度應進行備份記錄、備份介質使用情況和恢複記錄的整理統計。

（10）安全配置維護和定期檢查

n 配置變更前，需要進行審批、測試以及備份。

n 管理員每年至少一次進行系統平台安全配置的符合性檢查，對檢查發現的問題進行處理。

n 在有技術手段支持的情況下，可使用漏洞掃描工具輔助進行符合性檢查。

3.數據庫安全配置管理

（1）賬戶

n 應按照用戶分配賬號，避免不同用戶間共享賬號。

n 應刪除或鎖定與數據庫運行、維護等工作無關的賬號。

（2）口令

n 应更改数据库默认账户的密碼。

n 爲數據庫監聽器（LISTENER）的關閉和启动设置密碼。（适用于oracle）

n 除数据库连接账户以外的其他数据库账户，应进行口令策略设置。对于采用静态口令认证技术的数据库，需设置满足密碼复杂度要求的口令。口令策略的设置一般要求：

？ 8個字符以上；

？ 使用以下字符的組合：a-z、A-Z、0-9，以及!@#$%^&*()-+；

？ 口令每三個月至少修改一次；

？ 不能重複使用最近5次（含5次）內已使用的口令；

？ 當連續認證失敗次數超過6次（不含6次），鎖定該賬號。

n 数据库软件账户的访问控制遵循操作系統账户的安全策略。

（3）授權

n 應限制具備數據庫超級管理員（SYSDBA）權限的用戶遠程登錄。（適用于oracle）

n 在數據庫權限配置能力內，根據用戶的業務需要，配置其所需的最小權限。

n 使用數據庫角色（ROLE）來管理對象的權限。

n 对用户的属性进行控制，包括密碼策略、资源限制等。

n 啓用数据字典保护，对于授权用户可单独授予查看部分数据字典表的权限。（适用于oracle）

（4）日志

n 在有技術手段支持的情況下，數據庫應配置日志功能：

？ 對用戶登錄進行記錄，記錄內容包括用戶登錄使用的賬號、登錄是否成功、登錄時間以及遠程登錄時用戶使用的IP地址；

？ 記錄用戶對數據庫的操作，包括但不限于以下內容：賬號創建、刪除和權限修改、口令修改、讀取和修改數據庫配置。記錄需要包含用戶賬號，操作時間，操作內容以及操作結果；

？ 記錄與數據庫相關的安全事件；

？ 根據業務要求制定數據庫審計策略。

n 數據庫管理員每天通過監控軟件對所管理的數據庫産生的日志進行檢查，對日志中的錯誤或可疑項應予以記錄，如無法分析判斷錯誤或可疑項，應提交至信息中心，以便安排進行分析處理，處理結果應補充記錄到日志檢查記錄中。數據庫中本地日志保留時間由數據庫管理員根據磁盤空間狀況確定，清理重要本地日志時需進行備份。

n 數據庫産生的日志應每三個月進行一次全面的檢查，參與日志檢查的人員需簽字確認。

n 在有技術手段支持的情況下應定期進行日志的備份，要求如下：

？ 每月至少一次將數據庫生成的日志，進行集中備份。可單獨備份到光盤介質或在數據庫備份時完成日志信息的備份，應詳細記錄備份信息；

？ 日志備份需保留至少6個月不能被改變，日志的備份介質應存放在安全區域，防止非授權人員查看、拷貝日志資料，避免因爲各種原因的損壞導致收集到的相關日志不可用；

？ 除審計人員外，由于工作的需要查看日志備份時，需要進行申請審批後才能查看；

？ 日志的失效：日志在通常情況下，保存6個月之後，可以由數據庫管理員進行失效處理。如果有數據庫對日志的保留要求超過6個月，則在超過日志保留有效期後再作失效處理。對于日志保存在介質中，需清空介質中數據後再做處理。

（5）補丁

應根據需要及時進行數據庫補丁裝載。對數據庫補丁升級應先進行兼容性測試。

（6）其他安全配置

n 數據庫管理員可協同網絡管理員在網絡層面限定可訪問數據庫的IP地址範圍，確保只有信任的IP地址才能訪問數據庫。

n 限制在数据库管理员组中的操作系統用户数量，通常该组中只包括数据库安装用户。

（7）數據庫備份和恢複

針對業務數據庫的備份和恢複要求，詳見《備份與恢複管理制度》。

（8）安全配置維護和定期檢查

n 配置變更前，需要進行審批、測試以及備份。

n 管理員每年至少一次進行系統平台安全配置的符合性檢查，針對檢查發現的問題進行處理。

n 在有技術手段支持的情況下，可使用漏洞掃描工具輔助進行符合性檢查。

4.中間件安全配置管理

（1）文件和目錄權限

应对中間件的重要目录和文件（如安装、配置目录以及配置文件等）进行访问权限设置，避免文件泄漏造成威胁。

（2）補丁

应及时进行中間件补丁装载，安装厂商发布或推荐安装的安全补丁。对中間件补丁升级应先进行兼容性测试。

（3）加密

n 如果傳輸敏感信息，應設置SSL以保障信息傳輸的安全性。

n 如果使用SSL，應避免中間人攻擊。

（4）刪除開發與示例程序

对于中間件自带的开发与示例程序等文档，进入信息系统业务环境中应该移除，避免被攻击者利用。

（5）其他安全配置

n 设置中間件账户属性，以满足信息系统账户管理相关规定（适用于weblogic）。

n 當接受HTTP請求時應修改帶有自身版本信息的banner文件（適用于weblogic）。

n 啓用全局安全性配置（适用于Websphere）。

n 應盡量避免使用匿名訪問，如果開啓匿名訪問，必須禁止匿名用戶浏覽Notes數據庫（適用于Domino）。

n 禁止web用户浏览Notes數據庫（適用于Domino）。

n 如果不需要通過web方式管理中間件，应禁止web配置（适用于Domino）。

（6）日志

n 中間件管理员每天应检查中間件运行日志中产生的错误或可疑项。如无法分析判断错误或可疑项，应提交至信息中心，以便安排进行分析处理，处理结果应补充记录到日志检查记录中。中間件本地日志保留时间根据磁盘空间状况确定，清理重要本地日志前需进行备份。

n 中間件的运行日志应每三个月进行一次全面的检查，参与日志检查的人员需签字确认工作完成。

n 在有技術手段支持的情況下應定期進行日志的備份，要求如下：

？ 每月至少一次将中間件生成的日志，进行集中备份。可单独备份到光盘介质；

？ 日志備份需保留至少6個月不能被改變，日志的備份介質應存放在安全區域，防止非授權人員查看、拷貝日志資料，避免因爲各種原因的損壞導致收集到的相關日志不可用；

？ 除審計人員外，由于工作的需要查看日志備份時，需要進行申請審批後才能查看；

？ 日志的失效：日志在通常情況下，保存6个月之后，可以由中間件管理员进行失效处理。如果有设备对日志的保留要求超过6个月，则在超过日志保留有效期后再作失效处理。对于日志保存在介质中，需清空介质中数据后再做处理。

（7）安全配置維護和定期檢查

n 配置變更前，需要進行審批、測試以及備份。

n 管理員每年至少一次進行系統平台安全配置的符合性檢查，針對檢查發現的問題進行處理。

n 在有技術手段支持的情況下，可使用漏洞掃描工具輔助進行符合性檢查。

四 訪問控制管理

1.內部人員因工作需要，通過撥號等方式遠程接入內部網絡時，需經過信息安全小組的批准，批准通過後，有網絡管理員分配遠程訪問的用戶名和口令，遠程訪問時間結束後，網絡管理員應變更遠程訪問的用戶名和口令；

2.外部人员因故需要通过拨号的方式对信息系统进行远程登陆维护或外单位因业务需要通过拨号方式接入时，有关业务系统的系统管理员应先填写审批表，经批准后才能进行访问，同时，有关系统管理员应监控整个外部远程访问过程，确保系统安全，并且在外部远程访问结束后，及时拔掉电话线，關閉调制解调器的电源，并更改用于外部远程访问的用户名和口令；

3.網絡及安全專用設備訪問控制。內部網絡所使用的關鍵網絡設備及安全專用設備的用戶名和口令應由專人管理，並定期修改。用于管理有關設備的客戶端軟件應有專人管理，未經信息系統運行管理部門負責人同意，任何人不得擅自安裝或使用；

4.不同网络之间的访问控制。根据各个业务系统的安全要求，采用物理分开或虚拟网等方式划分开不同的网络。同时，不同网络之间应有明确的边界，在边界应设置相应的網絡安全设备，并根据不同的网络的安全要求设置访问控制权限，在不同网络之间实现有效的流量和访问控制；

5.系统主机访问控制。系统主机操作系統和数据库系统的超级用户口令必须有专人保管，每月修改，注意保密。系统用户和一般用户的添加及权限的设定，需填写审批表，经主管部门审批同意后，有系统管理员统一管理，并建立用户资料档案。

五 附則

對違反本制度的人員，將世界杯官网有關規定進行處罰。

本制度由信息安全工作小組負責制定、解釋和修改。

本管理制度自發布之日起執行。

 

世界杯官网信息安全工作小組

2020年10月18日