摘 要：安全加固是对信息系统中的主机系统、运行在主机上的各种软件系统、与网络设备的脆弱性进行分析并修补，更强调针对主机和系统的安全保护加强。生产环境下安全加固操作的规范性与应急措施完备性对业务的正常运行至关重要，本文详细描述了在实际工作中安全加固实施规范及具体应用。

【关键词】安全加固 Windows 防火墙 漏洞修复

1 概述

随着互联网应用的纵深演进，网络安全的概念已经不仅仅限于单一的安全产品和技术，而是涉及到企业和组织范围内网络体系各个层面的动态防护与安全管理。通过安全加固能够修补系统中的安全漏洞，同时也优化配置，加强网络体系的安全性。

2 目标

安全加固是对信息系统中的主机系统与网络设备的脆弱性进行分析并修补，更强调针对主机和系统的安全保护加强。安全加固通常建立在安全风险评估的结果基础之上，对评估对象进行安全加固。

安全加固工作的目标是解决在安全评估中发现的技术性安全问题。这对于安全保护来说，是非常必要的。要求在安全加固完全成后，所有被加固的目标系统不再存在高风险漏洞和中风险漏洞（高风险漏洞和中风险漏洞，根据CVE标准定义）。对相关的漏洞安全加固与现有应用冲突或已被证实会导致不良后果的情况除外。安全加固的基本原则如下：

安全加固内容不能影响目标系统所承载的业务运行；

安全加固不能严重影响目标系统的自身性能；

安全加固操作不能影响与目标系统以及与之相连的其它系统的安全性，也不能造成性能的明显下降。

3 原则

3.1 标准性原则

加固方案的设计与实施应依据国内或国际的相关标准进行。

3.2 规范性原则

安全加固项目形成规范性文档：

（1）项目计划；

（2）工作确认单；

（3）阶段工作完成单；

（4）安全加固服务报告；

（5）灾难恢复计划。

3.3 可控性原则

加固的方法和过程要在客户认可的范围之内，加固服务的实际进度与进度表安排一致，保证客户对于加固工作的可控性。

3.4 整体性原则

加固的范围和内容应当整体全面，包括安全涉及的各个层面，以免由于遗漏造成未来的安全隐患。

3.5 最小影响原则

加固工作应尽可能小的影响系统和网络的正常运行，不能对正在的运行和业务的正常提供产生显著不利影响。

3.6 保密原则

加固的过程数据和结果数据严格保密。

4 加固流程

4.1 前期准备

首先应该成立由业务系统运维人员，网络运维人员，安全专责，部门领导等组成的项目组，同时确认加固的范围、确认加固的对象、确认加固的内容、开工条件确认、确认加固工作的技术资料、人员配合、场地环境等条件是否符合要求。

然后进行报告收集，收集前期安全评估输出的漏扫、渗透、基线检查等报告，收集安全运维中输出的相关报告，为方案细化做前期准备。

4.2 方案细化

阅读前期漏扫、渗透、基线检查、漏洞通报报告，从而细化加固的目标和现有系统的安全状况；收集被加固设备信息，系统情况：被加固设备的操作系统类型、应用需求：被加固设备上启用了哪些应用，这些应用需要哪些权限（文件、网络等）环境情况：被加固设备的运行环境，包括网络环境及其它应用联系，根据收集的信息制定合理的加固方案，包括时间安排、流程、操作方法等。

为防止加固可能引起的不良后果，因此需要制定回退方案和应急方案，回退方案用于加固导致系统不可用时将系统回退到加固前的状态，应急方案用于处理其他不可控的情况（包括加固失败后无法回退）。

4.3 方案审核

由用户的安全负责人、网络负责人和业务负责人一起对提交的加固方案进行研讨，确认其可行性。

4.4 系统备份

对于重要的系统，为了能够在加固失败的情况下快速回退或恢复系统，必须在事前进行相应的备份，包括且不仅限于：重要系统的备份、重要配置的备份、重要数据的备份。

4.5 实施加固

系统加固和优化的流程主要由以下四个环节构成：状态调查；制定加固方案；实施加固；生成加固报告。

上述这四个环节是完成加固必不可少的，就其中每个环节的具体内容根据不同情况会有所不同。其中区别较大的是对新建系统和现存系统的加固和优化。

新系统（或重新安装的系统）与现存系统相比较，新系统的加固和优化工作要相对简单些；现存系统的加固比较复杂，在一定情况下，现存系统必须完全重建，才能满足客户对系统的安全需求；新系统和旧系统的加固和优化流程不同，两者有各自的工作流程。

加固实施操作前，应向客户方提交加固方案书，作为加固操作申请。在客户审核加固操作方案无误的情况下，安排三方人员配合加固工作。

对系统实施加固和优化主要内容包含以下两个方面：对系统进行加固、对系统进行测试。

对系统进行测试的目的是检验在对系统使是安全加固后，系统在安全性和功能性上是否能够满足客户的需求。上述两个方面的工作是一个反复的过程，即，每完成一个加固或优化步骤后就要测试系统的功能性要求和安全性要求是否满足客户需求；如果其中一方面的要求不能满足，该加固步骤就要重新进行。对有些系统会存在加固失败的情况，如果发生加固失败，则根据客户的选择，要么放弃加固，要么重建系统。

加固完成后，对加固过的目标系统二次使用工具扫描，检查原有的高级，中级漏洞是否解除。

对于特别重要的系统或特别危险的加固操作，可以进行加固测试，通过加固测试后才能在被加固设备上进行操作，加固测试包括：补丁测试、加固方案测试、加固方案修正。实际操作时可以选择同样目的的不同加固方法同时进行测试，根据测试结果选择最优的加固方法；收集相关补丁、收集升级软件、收集加固工具根据具体的加固方案实施加固操作。

在加固完成后，需要与应用人员确认设备的可用性，并观察一段时间，待确认设备正常运行后加固人员才可以离开现场。

4.6 效果检验

为确保加固有效，在加固全部完成后，将对加固效果进行检验，检验的方法如下：加固后对所有被加固设备进行一次扫描；对重点设备进行抽样检查；对加固日志和扫描结果进行分析；提交残余风险报告。

4.7 加固完成

生成加固报告，加固报告是向用户提供完成系统加固和优化服务后的最终报告。其中包含以下内容：加固过程的完整记录，有关系统安全管理方面的建议或解决方案，对加固系统安全审计结果。同时完善安全基线生成加固服务器、设备的安全基线文档，描述当前服务器的安全基线情况。

5 风险规避措施

5.1 加固实施策略

时间：为了避免加固过程影响系统业务运行，加固时间应该选择在系统业务量最小，业务临时中断对外影响最小的时候。

操作：加固操作需要按照系统加固核对表，逐项按顺序执行操作。

记录：对加固后的系统，全部复查一次所作加固内容，确保正确无误。

5.2 系统备份和恢复

系统加固之前，先对系统做完全备份，加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。

当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时与总部安全专家小组取得联系，寻求帮助，解决问题。

5.3 工程中合理沟通的保证

在工程实施过程中，确定不同阶段的测试人员以及客户方的配合人员，建立直接沟通的渠道，并在工程出现难题的过程中保持合理沟通。

6 Windows安全加固应用实战

Windows 操作系统由于其简单明了的图形界面以及逐渐提高的系统稳定性和性能而成为使用广泛的网络操作系统，并且在网络中占有重要地位。

但是目前使用的 windows系统中存在大量已知和未知的漏洞，Microsoft公司（包括一些国际上的安全组织）已经发布了大量的安全漏洞，其中一些漏洞可以导致入侵者获得管理员的权限，而另一些漏洞则可以被用来实施拒绝服务攻击，对网络和信息的安全构成巨大的威胁。

目前WINDOWS 操作系统面临的安全威胁包括：

（1）没有安装最新的Service Pack.；

（2）没有关闭不必要的系统服务；

（3）系统注册表属性安全问题；

（4）文件系统属性安全问题；

（5）缺省帐号安全问题；

（6）文件共享方面的安全问题；

（7）其它方面的各种安全问题。

因此，在一个未加保护的Windows 系统上运行企业的核心业务会存在相当大的风险。应当采取的系统加固包括见表1。

6.1 安装补丁

首先在“开始/程序/附件/系统工具/系统信息”窗口的“系统摘要”项查看系统类型、版本、ServicePack安装情况。也可以通过微软提供的Windowsupdate工具或者360安全卫士来检查现有系统的补丁安装情况。建议访问http：//www.microsoft.com安装最新的servicepack和hotfix。

补丁安装完成后，可执行如下工具和命令检查补丁安装成功与否：

F：＼PsTools>psinfo-h

6.2 应用软件的优化

6.2.1 删除IIS默认文件和目录

IIS c：＼inetpub＼iissamples

AdminScripts c：＼inetpub＼scripts

AdminSamples %systemroot%＼system32＼inetsrv＼adminsamples

IISADMPWD %systemroot%＼system32＼inetsrv＼iisadmpwd

IISADMIN %systemroot%＼system32＼inetsrv＼iisadmin

Dataaccess c：＼ProgramFiles＼CommonFiles＼System＼msadc＼Samples

MSADC c：＼programfiles＼commonfiles＼system＼msadc

以及其他不需要的文件和目录。

6.2.2 删除不必要的IIS扩展名映射

从“Internet服务管理器“中：选择计算机名，点鼠标右键，选择属性：

然后选择编辑，然后选择主目录，点击配置，选择需要删除的扩展名，点击删除。

6.3 安全配置

（1）禁止如下的服务；

Alerter（disable）

ClipBookServer（disable）

ComputerBrowser（disable）

DHCPClient（disable）

DirectoryReplicator（disable）

FTPpublishingservice（disable）

LicenseLoggingService（disable）

Messenger（disable）

Netlogon（disable）

NetworkDDE（disable）

NetworkDDEDSDM（disable）

NetworkMonitor（disable）

PlugandPlay（disableafterallhardwareconfiguration）

RemoteAccessServer（disable）

RemoteProcedureCall（RPC）locater（disable）

Schedule（disable）

Server（disable）

SimpleServices（disable）

Spooler（disable）

TCP/IPNetbiosHelper（disable）

TelephoneService（disable）

在必要时禁止如下服务：

SNMPservice（optional）

SNMPtrap（optional）

UPS（optional）

设置如下服务为自动启动：

Eventlog（required）

NTLMSecurityProvider（required）

RPCservice（required）

WWW（required）

Workstation（leaveserviceon：willbedisabledlaterinthedocument）

MSDTC（required）

ProtectedStorage（required）

（2）防火墙设置/系统自带防火墙设置；

（3）过滤不常用端口；

（4）账号安全。

6.4 安全辅助工具

在做设备加固的同时，我们可能需要一些工具来辅助，在这里主要推荐几种常用的工具：

（1）SolarWinds；

（2）Cain；

（3）360安全卫士。

作者简介

杨建康（1972-），男，白族，云南省大理市人。大学本科学历。云南电网有限责任公司大理供电局主任、经济师。

作者单位

云南电网有限责任公司大理供电局 云南省大理白族自治州 671000