2023年12月26日发(作者：)

安全计算环境

服务器和终端

1 身份鉴别

1.1 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

1.1.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等Windows

Server系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

1.1.2 实施要点

1）应了解被测系统所处的网络环境、运维管理方式和安全策略，应重点核查操作系统在本地运维管理、远程运维管理的配置，是否存在已有账户的弱口令、空口令问题，是否能够做到符合安全策略的定期更换，如果存在该问题则在风险分析时予以重点关注。

2)应核查操作系统用户在登录时是否采用了身份鉴别措施，测试验证已有账户是否不存在空口令用户。

3)应核查操作系统用户列表确认用户身份标识是否具有唯一性。

4)应核查两个方面，第一操作系统用户实际使用的口令是否符合复杂度要求并定期更换，第二操作系统配置上是否配置有效的口令复杂度要求和定期更换参数。口令复杂度至少要求8位以上，由数字、字母和特殊字符构成，且一般不应含有特殊意义的缩写，比如单位英文或拼音简称等。

5）如果通过第三方软件远程运维管理服务器，比如Windows服务器上的TeamViewer等，并没有使用服务器自身的身份鉴别功能，此时应核查第三方软件是否启用满足安全策略的身份鉴别措施。

1.2 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

1.2.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

1.2.2 实施要点

1）应了解被测系统所处的网络环境和登录失败处理策略，应重点核查操作系统的配置，是否配置已有账户的连续登录失败处理设置，是否能够做到符合安全策略的锁定方式和锁定期限，如果存在该问题则在风险分析时予以重点关注。

2)应核查是否配置并启用了连续登录失败处理功能和设置，连续登录失败达到一定次数后采取特定动作，如账户锁定等。连续登录失败的次数一般为3-10次，10次以上存在较大风险，锁定时间需在30分钟以上或持续锁定直到人工审核解锁。

3)应核查是否配置并启用了登录连接超时及自动退出功能。

4）如果通过第三方软件远程运维管理服务器，比如Windows服务器上的TeamViewer等，此时应核查第三方软件是否启用了登录失败处理功能和设置。

1.3 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

1.3.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

1.3.2 实施要点

1）应核查远程管理时是否采用加密传输的安全措施，防止鉴别信息在网络传输过程中被窃听。

2）应检查远程管理时管理员所使用的管理协议，并可使用抓包工具验证传输过程中的鉴别信息是否加密，是否能抵御抗重放攻击。注意：Telnet协议为明文协议，不符合安全要求。Windows的远程桌面RDP协议为弱加密协议，具有一定的风险。RFB（Remote Frame Buffer）为图形化远程管理协议，VNC远程管理工具就基于此协议，部分Linux服务器也可启用VNC服务。

3）如果通过第三方软件远程运维管理服务器，比如Windows服务器上的TeamViewer等，此时应核查第三方软件是否加密传输，通过抓包重放、查阅已有第三方软件协议攻击案例等方式验证。

4）如果服务器仅在机房内本地管理，未开启任何远程管理方式，则该条款不适用。

1.4 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现

1.4.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

1.4.2 实施要点

1）应核查操作系统是否采用动态口令、数字证书、加密USB-Key、生物技术和设备指纹等两种或两种以上组合的鉴别技术对用户身份进行鉴别，鉴别时如果是输入两次不同的“用户名+口令”，不能称之为双因素认证。操作系统比较适用于动态口令令牌，USB-Key等，如果通过先登录堡垒机再登录操作系统或是利用VPN认证再登入操作系统，堡垒机和VPN本身如果没有强制启用双因素认证方式就无法从根本上实现双因素认证，其主要提供网络访问控制功能和管理员操作审计功能。

2）应核查操作系统的其中一种鉴别技术是否使用密码技术来实现，密码技术最基本的算法包括加密算法（对称加密、非对称加密）以及单向散列算法。注意仅仅采用单向散列算法（如MD5、SHA等）对口令进行了保护，但从攻击角度而言，不能算标准里与“口令”并列的“密码技术”，而仅仅限于“口令”，虽然用到的单向散列算法属于密码技术范畴，但是还是基于简单的对比方法，无法抵御基于彩虹表的密文攻击。此外，“随机验证码”是否采用密码技术，需要考虑其实现原理，“短信验证码”属于随机生成的口令，基于移动通信网络的加密特性，能够提升鉴别强度，但客户端只负责接

收，严格而言不能算密码技术，对比而言，带显示屏的USB-Key产生的动态随机验证码，具有密码模块的APP或客户端软件上自主生成的随机验证码，是基于服务器端和客户端内部同步的加密因子和加密算法生成，区别于短信验证码，属于密码技术范畴。

2 访问控制

2.1 应对登录的用户分配账户和权限

2.1.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.1.2 实施要点

1）检查操作系统是否为每位登录用户均分配了账户和权限；该要求针对操作系统可以本地或远程登录的用户，核查其是否已分配到已有的用户组中。

2）检查操作系统是否已禁用或限制匿名、默认权限账户的访问；该要求针对操作系统中默认的账户状态，操作系统默认账户分为两类，超级用户、程序用户，一类是默认的超级管理员用户（如Windows的Adminstrator、Linux的root），一类是默认的程序用户（如Windows的IIS虚拟账号、Guest匿名账户、Linux的bin、adm、nodoby、mail等）。

2.2 应重命名或删除默认账户，修改默认账户的默认口令

2.2.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.2.2 实施要点

1）应核查是否已经重命名默认账户或默认账户已被删除；操作系统的默认账户或者超级管理员账户是否已重命名。由于操作系统的登录失败处理机制在默认配置下对于默认内置账号失效，无法重命名的超级管理员账户需要限制直接远程登录权限，防止遭受暴力破解。

2）应核查是否已修改默认账户的默认口令，对于操作系统而言，默认口令指安装时设置的口令。

2.3 应及时删除或停用多余的、过期的账户，避免共享账户的存在

2.3.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.3.2 实施要点

1）应核查是否不存在多余或过期账户，测评时要一一核对操作系统中的账户是否为多余、无效、长期不用的账户，对于被测评方无法确认用途的账户，务必提出风险，可能是攻击者添加的账户，可能是离职人员的账户。此外，应核查管理员用户与账户之间是否一一对应，如果一个账户多人或多部门同时使用，将导致审计无法追责。

2）应通过尝试登录的方式，测试验证多余的、过期的账户是否被有效删除或停用。

2.4 应授予管理用户所需的最小权限，实现管理用户的权限分离

2.4.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.4.2 实施要点

1）应核查操作系统是否进行角色划分，角色或组是否至少分为管理员角色/组、安全员角色/组、审计员角色/组。

2）应核查操作系统管理用户的权限是否已进行分离；至少应划分系统管理员、安全管理员和审计员账户，审计员账户只授予审计日志查询、读取权限，安全管理员账户应不具备系统运维权限，系统管理员应不具备安全管理和配置权限且不能访问与安全相关事件的审计数据，且各类账户分别属于各自最小权限的组，不应存在一个账户存在于多个组的情况。

3）应核查和测试操作系统管理用户权限是否为其工作任务所需的最小权限。

2.5 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

2.5.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.5.2 实施要点

1）应核查操作系统是否由授权主体（如安全策略管理员账户）负责配置访问控制策略，核查具体的操作系统哪些授权主体账户可以通过配置策略规定对客体（文件、服务、程序）的访问规则和控制粒度等，如果有域控服务器的环境，则授权主体应为域控服务器的安全策略管理员；

2）应核查授权主体是否依据安全策略配置了主体对客体的访问规则；对于具体应用的服务器，应设定通过授予或拒绝个人用户和组用户访问某个核心资源（如文件、数据库等）来达到控制访问的目的；

3）应测试验证用户是否有可越权访问情形

2.6 访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

2.6.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.6.2 实施要点

应核查访问控制策略的控制粒度是否达到主体为用户级别或进程级，客体为文件、文件夹、数据库表、记录或字段级、打印机等，执行操作包括读取、写入、修改或完全控制等。

如测试结果表明，该单元测评指标相关的服务器操作系统，安全策略控制的粒度已达到主体为用户级或进程级，客体为文件、数据库表级，则单元判定结果为符合；否则为不符合或者部分符合。

2.7 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

2.7.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

2.7.2 实施要点

1）应核查是否对主体、客体设置了安全标记，根据标记的安全级别，参照策略模型决定访问控制权限，保证数据的单向流动。

2）应测试验证是否依据主体、客体安全标记控制主体对客体访问的强制访问控制策略。

3 安全审计

3.1 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

3.1.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

3.1.2 实施要点

1）应核查操作系统是否开启了安全审计功能，是否进行了安全审计规则的设置，是否产生了历史日志。其中需要注意安全审计与系统日志服务的区别，尤其Linux中注意安全审计audit和系统日志syslog的关系，audit和syslog是独立的两个服务，均应该开启，audit主要用来记录安全信息，包括文件的读写，权限的改变等，用于对系统安全事件的追溯，syslog日志系统用来记录系统中的硬件警报和软件日志等信息。

2）应核查操作系统安全审计范围是否覆盖到每个用户，如果操作系统设置了安全审计规则，一般都会覆盖到每个用户，如果没有设置安全审计规则，只启动了安全审计服务，就谈不上覆盖每个用户。

3）应核查操作系统是否对重要的用户行为和重要安全事件进行审计。对于“对重要的用户行为和重要安全事件”的界定是测评的关键，用户重要行为应至少应包括登录、登出、查询、修改、删除、创建等记录。如果没有设置安全审计规则，只启动了安全审计服务，默认会对部分重要的用户行为和重要安全事件进行审计（如Linux的audit默认情况下会对账号修改、用户登录、配置修改等进行审计），但基于测评经验，默认的规则并不充分，应该扩展一些安全审计规则，并产生相应的日志。

3.2 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

3.2.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

3.2.2 实施要点

应核查审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息，其中日期和时间需要关注准确性和时钟同步问题，各要素需要基于起发挥的作用映射理解，比如标准中的“用户”在日志中可能是账户、程序名、进程名等，“是否成功”对于一些操作系统日志而言，没有明确显成功或失败，可能需要从详细描述中寻找对应内容。

3.3 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等

3.3.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

3.3.2 实施要点

1）应核查是否采取了保护措施对审计记录进行保护，其中包含两个层面，一是审计记录文件本身和所处目录的权限设置，默认情况下权限较为合理，防止完整性受到破坏，二是有没有日志存储规则和同步外发的备份机制，防止原始审计日志意外丢失或被攻击者擦除；

2）应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略。这里的定期备份一般是指将日志推送至日志服务器等设备进行备份，所以如果操作系统中配置了日志服务器或日志集中

分析系统的IP地址，请务必确认IP对应的资产处于正常工作状态，确认其是否已有效存储历史备份日志。如果是手动备份，核查其备份记录和备份有效性。对于保存时间，应遵循《网络安全法》的要求，至少保存6个月以上。因此日志的定期备份、场外保存、专人管理、授权查看都是测评的关键。

3.4 应对审计进程进行保护，防止未经授权的中断

3.4.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

3.4.2 实施要点

应测试验证通过非审计管理员的其他账户来中断审计进程，验证审计进程是否受到保护，测试是否有审计进程的守护进程，该守护进程非普通权限可以终止

4 入侵防范

4.1 应遵循最小安装的原则，仅安装需要的组件和应用程序

4.1.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

4.1.2 实施要点

1）应核查操作系统是否遵循最小安装原则，最小安全原则能够减少服务器面临的攻击面，需要结合业务系统特点、测评经验以及服务和端口的梳理结果进行判断；

2）应核查操作系统是否未安装非必要的组件和应用程序，需要结合业务系统特点、测评经验以及组件和应用程序的梳理结果进行判断，比如至少不能出现一些游戏软件、盗版软件与业务功能不相

关的应用程序。

4.2 应关闭不需要的系统服务、默认共享和高危端口

4.2.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

4.2.2 实施要点

1）应核查操作系统是否关闭了非必要的系统服务和默认共享，对于非必要的系统服务和默认共享的界定，需要结合被测单位系统的特点，对于明确需要开放的必要系统服务和端口进行记录，对于被测单位无法界定用途的服务和端口，应提出问题风险；

2）应核查操作系统是否不存在非必要的高危端口，高危端口通常而言是已经存在漏洞的服务所启用的端口，比如Windows的3389、137、139、445等、MySQL的3306、Weblogic的7001、7002等，而对于是否必要，需要结合业务系统特点界定，对于必须开启的高危端口要做好地址限制等防护。

4.3 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

4.3.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

4.3.2 实施要点

应核查操作系统的配置文件、主机防火墙设置是否对接入终端的方式和网络地址范围进行限制，通过抽取终端验证配置的有效性。

如果通过配置文件实现（如Linux的和），需要注意配置文件的优先级。

sshd_config配置文件需要注意AllowUsers、Denyusers设置。

如果通过主机防火墙实现，需要注意防火墙应用的不同网卡。

4.4 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

4.4.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

4.4.2 实施要点

1）应通过漏洞扫描、渗透测试等方式核查操作系统是否不存在已知的高风险漏洞，一来通过核查被测评单位是否有定期（一般至少每个月一次）使用第三方工具进行漏洞扫描，查看每次扫描的扫描报告；二来测评机构通过升级到最新漏洞库的检查工具对被测系统进行授权漏洞扫描进行验证；

2）应核查操作系统是否在经过充分测试评估后及时修补漏洞，核查漏洞修复记录，并通过升级到最新漏洞库的检查工具进行验证修补的有效性。

测试结果表明，该单元测评指标相关的服务器操作系统，能定期发现存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞，则单元判定结果为符合；否则为不符合或者部分符合。

4.5 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

4.5.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

4.5.2 实施要点

1）应核查操作系统是否有入侵检测的措施，是否安装了主机入侵检测系统等措施，此处注意主机防火墙如果仅仅是控制IP和端口就不具备入侵检测和防范功能；如果是在操作系统上安装第三方软件或者设备，应详细了解其工作原理与其功能。

2）应核查操作系统在发生严重入侵事件时是否提供报警，核查历史入侵检测日志，条件具备时对操作系统进行漏洞扫描，验证是否产生报警信息。

5 恶意代码防范

5.1 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断

5.1.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

5.1.2 实施要点

1）应核查操作系统是否安装了防恶意代码软件或相应功能的软件，至少每周进行升级和更新防恶意代码库，核查某些操作系统防护软件中的病毒查杀引擎是否开启；

2）应核查操作系统是否采用主动免疫可信验证技术及时识别入侵和病毒行为；

3）应核查操作系统识别入侵和病毒行为时是否将其有效阻断，检查历史已有的阻断日志等。

6 可信验证

6.1 可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

6.1.1 对象选择

在测评实施中应根据信息系统的实际情况，选择服务器的操作系统，典型的测评对象包括WindowsServer2003、WindowsServer2008、WindowsServer2012、WindowsServer2019等WindowsServer系列、CentOS、Debian、Redhat、Ubuntu、SuSE、红旗、麒麟-Kylin、Asianux、Fedora、Slackware、Mandrake、Gentoo、Mint、BSD、LFS等Linux系列、虚拟宿主机操作系统（ESXi等）。

6.1.2 实施要点

1）应核查操作系统是否基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证；

2）应核查操作系统是否在应用程序的关键执行环节进行动态可信验证；

3）应测试验证操作系统当检测到计算设备的可信性受到破坏后是否进行报警；

4）应测试验证报警结果是否以审计记录的形式送至安全管理中心。

测试结果表明，该单元测评指标相关的服务器操作系统，可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，则单元判定结果为符合；否则为不符合或者部分符合。