IT应用系统安全规范与操作规范.docx

《IT应用系统安全规范与操作规范.docx》由会员分享，可在线阅读，更多相关《IT应用系统安全规范与操作规范.docx（11页珍藏版）》请在第壹文秘上搜索。

1、IT应用系统安全规范与操作规范信息安全管理中心2023年06月鞍钢集团信息产业有限公司文件名称IT应用系统安全规范与操作规范文档编号编制人审核人编制日期2023.06.21生效日期版本历史版本号修订日期修订人修订说明备Ver1.006.21初稿目录1 .概述42 .日常操作规范43 .系统安全规范54 .文件上传规范75 .日志记录规范91 .概述随着国家对网络安全重视程度与监督检查力度逐年增大，鞍钢集团信息化所面临的网络安全问题也日趋严峻，不遵守安全规范的应用与终端往往会形成未知的安全风险隐患，经安全运营监测发现，目前鞍钢的各类应用普遍存在较为低级的安全问题，例如系统账户弱口令、系统漏洞、应

2、用逻辑漏洞等问题，因此安全运营中心归纳整理了应用系统、终端层面的安全规范、安全策略及相关管理要求，具体内容如下：2 .日常操作规范在业务系统安全中，用户的日常操作行为是保证系统安全的关键，需要用户在日常工作中遵守以下操作规范：1、访问正规网站：禁止访问来源不明的网站查询、下载资料和软件。正规网站包含以下两个特征：第一，网站域名有ICP备案；第二，可通过国家企业信用信息公示系统查询其工商信息。2、注意虚假的网站：在输入用户名和密码前注意网站的URL是否合规，防止攻击者构造虚假的URL盗用用户名和密码。3、合理使用邮箱：建议使用企业内部邮箱，防止出现恶意邮件，钓鱼邮件，进而攻破内网。发现不明邮件应

3、立即确认邮件来源，切勿轻易点击查看和下载。4、终端准入系统：办公PC纳入终端准入系统，强制用户安装特定的杀毒软件才能入网，并要求其定期进行病毒查杀。5、密码管理：要求用户使用强密码并定期更换（最多三个月），密码必须由大、小写字母、数字和特殊字符三者及以上混合八位以上组成（鞍山钢铁管理文件要求），目前安全运营平台判定规则为：密码必须由大、小写字母、数字和特殊字符四者混合八位以上组成为且不能有一定规律或者连续重叠，或伪强口令,例如Aal23456、AaBbOOOO.pSSWord等，建议参考此规则修改。6、PC管理：储存登录的用户名、密码、URL的电子文档，不建议存放在管理PC上，建议用个人笔记本

4、或纸质笔记本记录，且妥善保存Q在PC使用完毕之后，最好关闭无线网络，锁定屏幕。7、无线网络管理：建议隐藏无线SSID并定期更换密钥，无线接入应使用注册账号认证方式，定期检查用户终端接入情况，进行管控。8、服务器管理：做好登录IP限制和数据访问权限控制；做好基线核查，漏洞扫描，补丁管理，进程查看，确保服务器的稳定运行；定期检查设备运行状态，对于设备的内存、CPU、硬盘、温度等做好检查；9、PC外设管理：使用管理员允许的、合规的外设存储设备，禁止个人外设存储设备直接连接内网PC。3 .系统安全规范在业务系统安全中，一些重要的安全配置是必不可少的，系统开发负责人需要注意满足以下要求来确保业务系统的安

5、全性：1、用户名和密码的安全存储：用户的密码应该以安全的方式进行存储,使用不可逆的加密方式对用户密码进行加密。这样即使数据库泄露，黑客也无法还原用户的原始密码。2、强密码策略：要求用户设置强密码并定期更换（最多三个月），首次登录系统后应进行密码重置才能进入使用画面，密码安全策略可以从系统应用层面进行规范，密码必须由大、小写字母、数字和特殊字符三者及以上混合八位以上组成（鞍山钢铁管理文件要求），目前安全运营平台判定规则为：密码必须由大、小写字母、数字和特殊字符四者混合八位以上组成为且不能有一定规律或者连续重叠，或伪强口令，例如Aal23456.AaBbOOOO,pSSWord等，建议参考此规则修

6、改。3、防止暴力破解：模糊登陆错误信息，建议对用户名错误及密码错误均提示“用户名或密码错误，请重新输入”；对密码暴力猜解行为进行图灵验证，一旦发现用户口令破解行为及时对账户进行限时封停处理，并限制用户尝试登录次数。4、双因素认证（2FA）：根据业务系统要求，双因素认证作为可选功能，例如在登录时提供额外的身份验证，如短信验证码、应用程序生成的动态口令或指纹识别等。5、安全的密码重置机制：实施安全的密码重置流程，例如通过发送重置链接到用户的注册邮箱或手机，并要求用户提供其他身份验证信息，例如短信验证码、面部识别、指纹识别等。6、数据加密传输：禁止明文传输的情况出现，统一使用https协议进行数据传

7、输，并使用加密算法对用户传输的信息进行加密，以保证信息的机密性和完整性。可以采用对称加密、非对称加密、单向散列加密相结合的方式进行数据传输加密。7、上线前的风险评估：互联网应用系统在上线前，须进行渗透测试。渗透测试的内容包括暴力破解、HTTP信息泄露、CSRF.SSRF.SQL注入、文件上传、越权或提权漏洞、XSS.Web后门等。8、定期的漏洞扫描：安全运营中心应对应用系统定期进行漏洞扫描,以确保系统的服务器内无中高危漏洞存在。如扫描发现漏洞存在，立即联系服务器运维人员进行整改，运维人员权衡服务器性能判断是否能够完成整改并反馈给安全运营中心。如无法满足整改条件，务必针对此服务器进行严格的访问限

8、制；如整改完毕，则由安全运营中心进行复测。9、重要系统的代码审计：权衡系统的重要程度，可对重要系统在上线前或重大版本变更前进行人工代码审计，目的是发现更深层次的漏洞，例如二次注入，反序列化，XnIl实体注入等。10、安全基线策略：服务器上应开启防火墙，遵循最小授权原则，默认禁止所有域间流量，所有未明确允许的流量都被禁止，仅为合法流量开放安全策略。11、应用系统开发：应用系统在开发建设时要考虑等保建设，需要遵循“同步规划，同步建设，同步使用”的三同步原则，在应用系统上线时，即完成等保测评工作。同时还需要参考STRlDE模型与SDL安全开发规范等一系列安全要求与规定。4 .文件上传规范在业务系统中

9、，文件上传功能是一个潜在的安全风险点，因此系统开发人员应遵循以下要求来确保文件上传的安全性：1、文件类型验证：对上传的文件进行严格的文件类型验证。可以通过检查文件扩展名结合文件内容的特征来进行验证，以防止上传恶意文件。2、文件大小限制：限制上传文件的大小，防止上传过大的文件导致系统资源消耗过高或存储空间耗尽。同时，确保服务器端和客户端都进行文件大小验证，以防止绕过验证。3、文件名安全处理：对上传的文件名进行安全处理，避免使用用户提供的文件名直接作为存储路径或者在网页上显示，以防止路径遍历攻击。4、文件存储安全：将上传的文件存储在安全的位置，并限制访问权限，确保只有授权的用户可以访问。避免将上传

10、的文件直接存储在可以被执行的目录下，以防止任意文件执行漏洞。5、安全扫描：安全运维人员根据需要在业务系统上配置安全扫描工具或者集成第三方安全服务平台，业务系统在接收到文件上传后，会自动对文件进行安全扫描，检测是否包含病毒、恶意脚本或其他威胁。6、文件重命名：将上传的文件重命名为唯一的名称，避免直接使用原始文件名，以防止目录穿越攻击或者信息泄露。7、输入验证：对用户上传的文件名和其他相关的表单输入进行验证和恶意代码过滤，避免其中包含恶意代码或特殊字符，以防止出现XSS和SQL注入等各种注入攻击。8、安全日志记录：记录文件上传的相关信息，包括上传者、时间戳、文件大小、文件名等，并将日志存储在安全的

11、位置。这有助于审计和监测异常的文件上传行为。9、防止文件覆盖：如果允许用户上传同名文件，确保采取适当的措施来防止恶意用户覆盖其他用户的文件，例如在文件名中添加唯一标识符或在存储时创建备份。10、安全更新和漏洞修复：定期更新文件上传组件，时刻关注漏洞公告信息，确保厂商在发布漏洞公告的第一时间进行访问限制，并在发布漏洞补丁的第一时间修复已知的安全漏洞，防止N-Day漏洞的出现。5 .日志记录规范在业务安全中，日志记录是一项重要的措施，它可以帮助监测和分析系统的行为，发现潜在的安全事件和异常情况。以下是一些常见的日志记录要求：1、完整性：确保日志记录的完整性，记录关键操作、安全事件、访问请求和异常情况的详细信息。日志应该包含足够的上下文信息，方便进行分析和调查。2、可追踪性：每条日志记录都应该包含唯一标识符、时间戳、用户或系统操作者的身份信息等，以便跟踪和追溯日志记录的来源。3、保密性：确保敏感信息（如用户密码、个人身份信息等）在日志中得到适当的保护，以防止未经授权的访问和泄露。4、安全存储：将日志记录存储在安全的位置并留存半年以上，只有授权的人员能够访问。可以使用访问控制、加密等技术来保护日志的机密性和完整性。5、合规性要求：根据适用的法律法规和行业标准，确保日志记录满足合规性要求，并保存足够长的时间。这包括数据保留期限、备份策略等。第10页共1()页网络安全管理中心编制