IT应用系统安全规范与操作规范.docx

《IT应用系统安全规范与操作规范.docx》由会员分享，可在线阅读，更多相关《IT应用系统安全规范与操作规范.docx（10页珍藏版）》请在第壹文秘上搜索。

1、IT应用系统安全规范与操作规范信息安全管理中心2023年06月鞍 钢 集 团 信 息 产 业 有 限 公 司文件名称IT应用系统安全规范与操作规范文档编号编制人审核人编制日期2023.06.21生效日期版本历史版本号修订日期修订人修订说明备Ver 1.006.21初稿目录1 .概述42 .日常操作规范43 .系统安全规范 54 .文件上传规范75 .日志记录规范91 .概述随着国家对网络安全重视程度与监督检查力度逐年增大，鞍钢集团信 息化所面临的网络安全问题也日趋严峻，不遵守安全规范的应用与终端往 往会形成未知的安全风险隐患，经安全运营监测发现，目前鞍钢的各类应 用普遍存在较为低级的安全问题，

2、例如系统账户弱口令、系统漏洞、应用 逻辑漏洞等问题，因此安全运营中心归纳整理了应用系统、终端层面的安 全规范、安全策略及相关管理要求，具体内容如下：2 .日常操作规范在业务系统安全中，用户的日常操作行为是保证系统安全的关键，需 要用户在日常工作中遵守以下操作规范：1、访问正规网站：禁止访问来源不明的网站查询、下载资料和软件。 正规网站包含以下两个特征：第一，网站域名有ICP备案；第二，可通过 国家企业信用信息公示系统查询其工商信息。2、注意虚假的网站：在输入用户名和密码前注意网站的URL是否合 规，防止攻击者构造虚假的URL盗用用户名和密码。3、合理使用邮箱：建议使用企业内部邮箱，防止出现恶意

3、邮件，钓 鱼邮件，进而攻破内网。发现不明邮件应立即确认邮件来源，切勿轻易点 击查看和下载。4、终端准入系统：办公PC纳入终端准入系统，强制用户安装特定的 杀毒软件才能入网，并要求其定期进行病毒查杀。5、密码管理：要求用户使用强密码并定期更换（最多三个月），密码 必须由大、小写字母、数字和特殊字符三者及以上混合八位以上组成（鞍 山钢铁管理文件要求），目前安全运营平台判定规则为：密码必须由大、 小写字母、数字和特殊字符四者混合八位以上组成为且不能有一定规律或 者连续重叠，或伪强口令,例如Aal23456、AaBbOOOO. pSSWord等，建议 参考此规则修改。6、PC管理：储存登录的用户名、密

4、码、URL的电子文档，不建议存放 在管理PC上，建议用个人笔记本或纸质笔记本记录，且妥善保存Q在PC 使用完毕之后，最好关闭无线网络，锁定屏幕。7、无线网络管理：建议隐藏无线SSID并定期更换密钥，无线接入应 使用注册账号认证方式，定期检查用户终端接入情况，进行管控。8、服务器管理：做好登录IP限制和数据访问权限控制；做好基线核 查，漏洞扫描，补丁管理，进程查看，确保服务器的稳定运行；定期检查 设备运行状态，对于设备的内存、CPU、硬盘、温度等做好检查；9、PC外设管理：使用管理员允许的、合规的外设存储设备，禁止个人 外设存储设备直接连接内网PC。3 .系统安全规范在业务系统安全中，一些重要的

5、安全配置是必不可少的，系统开发负 责人需要注意满足以下要求来确保业务系统的安全性：1、用户名和密码的安全存储：用户的密码应该以安全的方式进行存储, 使用不可逆的加密方式对用户密码进行加密。这样即使数据库泄露，黑客 也无法还原用户的原始密码。2、强密码策略：要求用户设置强密码并定期更换（最多三个月），首 次登录系统后应进行密码重置才能进入使用画面，密码安全策略可以从系 统应用层面进行规范，密码必须由大、小写字母、数字和特殊字符三者及 以上混合八位以上组成（鞍山钢铁管理文件要求），目前安全运营平台判 定规则为：密码必须由大、小写字母、数字和特殊字符四者混合八位以上 组成为且不能有一定规律或者连续重

6、叠，或伪强口令，例如Aal23456. AaBbOOOO, pSSWord等，建议参考此规则修改。3、防止暴力破解：模糊登陆错误信息，建议对用户名错误及密码错误 均提示“用户名或密码错误，请重新输入”；对密码暴力猜解行为进行图 灵验证，一旦发现用户口令破解行为及时对账户进行限时封停处理，并限 制用户尝试登录次数。4、双因素认证（2FA）：根据业务系统要求，双因素认证作为可选功 能，例如在登录时提供额外的身份验证，如短信验证码、应用程序生成的 动态口令或指纹识别等。5、安全的密码重置机制：实施安全的密码重置流程，例如通过发送重 置链接到用户的注册邮箱或手机，并要求用户提供其他身份验证信息，例 如

7、短信验证码、面部识别、指纹识别等。6、数据加密传输：禁止明文传输的情况出现，统一使用https协议进 行数据传输，并使用加密算法对用户传输的信息进行加密，以保证信息的 机密性和完整性。可以采用对称加密、非对称加密、单向散列加密相结合 的方式进行数据传输加密。7、上线前的风险评估：互联网应用系统在上线前，须进行渗透测试。 渗透测试的内容包括暴力破解、HTTP信息泄露、CSRF. SSRF. SQL注入、 文件上传、越权或提权漏洞、XSS. Web后门等。8、定期的漏洞扫描：安全运营中心应对应用系统定期进行漏洞扫描, 以确保系统的服务器内无中高危漏洞存在。如扫描发现漏洞存在，立即联 系服务器运维人

8、员进行整改，运维人员权衡服务器性能判断是否能够完成 整改并反馈给安全运营中心。如无法满足整改条件，务必针对此服务器进 行严格的访问限制；如整改完毕，则由安全运营中心进行复测。9、重要系统的代码审计：权衡系统的重要程度，可对重要系统在上线 前或重大版本变更前进行人工代码审计，目的是发现更深层次的漏洞，例 如二次注入，反序列化，XnIl实体注入等。10、安全基线策略：服务器上应开启防火墙，遵循最小授权原则，默 认禁止所有域间流量，所有未明确允许的流量都被禁止，仅为合法流量开 放安全策略。11、应用系统开发：应用系统在开发建设时要考虑等保建设，需要遵 循“同步规划，同步建设，同步使用”的三同步原则，

9、在应用系统上线时， 即完成等保测评工作。同时还需要参考STRlDE模型与SDL安全开发规范等 一系列安全要求与规定。4 .文件上传规范在业务系统中，文件上传功能是一个潜在的安全风险点，因此系统开 发人员应遵循以下要求来确保文件上传的安全性：1、文件类型验证：对上传的文件进行严格的文件类型验证。可以通过检查文件扩展名结合文件内容的特征来进行验证，以防止上传恶意文件。2、文件大小限制：限制上传文件的大小，防止上传过大的文件导致系 统资源消耗过高或存储空间耗尽。同时，确保服务器端和客户端都进行文 件大小验证，以防止绕过验证。3、文件名安全处理：对上传的文件名进行安全处理，避免使用用户提 供的文件名直

10、接作为存储路径或者在网页上显示，以防止路径遍历攻击。4、文件存储安全：将上传的文件存储在安全的位置，并限制访问权限， 确保只有授权的用户可以访问。避免将上传的文件直接存储在可以被执行 的目录下，以防止任意文件执行漏洞。5、安全扫描：安全运维人员根据需要在业务系统上配置安全扫描工具 或者集成第三方安全服务平台，业务系统在接收到文件上传后，会自动对 文件进行安全扫描，检测是否包含病毒、恶意脚本或其他威胁。6、文件重命名：将上传的文件重命名为唯一的名称，避免直接使用原 始文件名，以防止目录穿越攻击或者信息泄露。7、输入验证：对用户上传的文件名和其他相关的表单输入进行验证和 恶意代码过滤，避免其中包含

11、恶意代码或特殊字符，以防止出现XSS和SQL 注入等各种注入攻击。8、安全日志记录：记录文件上传的相关信息，包括上传者、时间戳、 文件大小、文件名等，并将日志存储在安全的位置。这有助于审计和监测 异常的文件上传行为。9、防止文件覆盖：如果允许用户上传同名文件，确保采取适当的措施 来防止恶意用户覆盖其他用户的文件，例如在文件名中添加唯一标识符或 在存储时创建备份。10、安全更新和漏洞修复：定期更新文件上传组件，时刻关注漏洞公 告信息，确保厂商在发布漏洞公告的第一时间进行访问限制，并在发布漏 洞补丁的第一时间修复已知的安全漏洞，防止N-Day漏洞的出现。5 .日志记录规范在业务安全中，日志记录是一

12、项重要的措施，它可以帮助监测和分析 系统的行为，发现潜在的安全事件和异常情况。以下是一些常见的日志记 录要求：1、完整性：确保日志记录的完整性，记录关键操作、安全事件、访问 请求和异常情况的详细信息。日志应该包含足够的上下文信息，方便进行 分析和调查。2、可追踪性：每条日志记录都应该包含唯一标识符、时间戳、用户或 系统操作者的身份信息等，以便跟踪和追溯日志记录的来源。3、保密性：确保敏感信息（如用户密码、个人身份信息等）在日志中 得到适当的保护，以防止未经授权的访问和泄露。4、安全存储：将日志记录存储在安全的位置并留存半年以上，只有授 权的人员能够访问。可以使用访问控制、加密等技术来保护日志的机密性 和完整性。5、合规性要求：根据适用的法律法规和行业标准，确保日志记录满足 合规性要求，并保存足够长的时间。这包括数据保留期限、备份策略等。第10页共1()页网络安全管理中心编制