профили пользователей. Все глобальные профили пользователей должны использовать минимальную umask 0 2 7, то есть полный доступ – для владельца, read и execute – для владельца группы, «нет доступа» – для всех остальных пользователей.
Учетные записи конечных пользователей. Учетные записи конечных пользователей запрещены. Должны быть доступны только учетные записи системных администраторов.
Обновление паролей. Все пароли должны обновляться в соответствии с политикой использования паролей.
Профили пользователей. После выхода из системы файлы, содержащие перечень введенных команд, должны быть очищены. Их содержание может быть перед этим скопировано в защищенную от доступа область для дальнейшего анализа.
УДАЛЕННЫЙ ДОСТУП
Использование r-команд BSD. Использование этих команд строго запрещено.
Удаленный доступ для привилегированных пользователей и администраторов. Для организации такого доступа необходимо использовать механизмы шифрования. Все другие протоколы, передающие пароли открытым текстом, запрещены.
ПРИЛОЖЕНИЯ
Сетевые приложения. Сетевые приложения должны быть интегрированы и сконфигурированы таким образом, чтобы взлом приложения не привел к взлому самого сервера.
Совместно используемые директории и файлы. Приложения должны иметь возможность осуществлять операции чтения и выполнения только над ограниченным списком файлов и директорий. Доступ на запись должен быть запрещен везде, где это возможно.
Уязвимости программного обеспечения. Системные администраторы и администраторы приложений отвечают за установку последних обновлений от производителей используемого программного обеспечения.
Инструменты разработки. Установка любых средств разработки и отладки, включая компиляторы и отладчики, запрещена.
ЦЕЛОСТНОСТЬ СИСТЕМЫ
Уменьшение поверхности атак. Все неиспользуемые сервисы должны быть отключены.
Файлы управления заданиями. Все внешние команды в заданиях должны использовать абсолютные пути, а не относительные.
Безопасность критичных системных файлов и файлов данных:
• все критичные системные файлы и критичные файлы приложений должны регулярно проверяться по базе сигнатур (владелец, разрешения, дата последнего изменения, MD5-cyммa);
• появление файлов дампов ядра должно быть немедленно обнаружено, и по этому поводу необходимо провести расследование;
• поиск, журналирование новых файлов и директорий, не представленных в базе данных, и создание отчетов о них должны быть автоматизированы и анализироваться администраторами;
• появление выполняемых или специальных файлов во временных директориях должно быть немедленно обнаружено, по этому поводу необходимо провести расследование.
Журналирование. Журналы активности приложений и системы должны храниться как минимум один
