私有云的等保测评是指对私有云的安全性和合规性进行评估。私有云是指由个人或组织自己建立和维护的云计算环境,它可以提供更高的安全性和灵活性,但也需要更多的管理和维护工作。
在进行私有云的等保测评时,需要考虑以下几个方面:
推荐的腾讯云相关产品和产品介绍链接地址:
以上是私有云的等保测评的相关信息,希望能够帮助您更好地了解私有云的等保测评。
腾讯云TStack通过等保四级测评,一方面直接证明其可为政府、企业等用户,在关键应用向云迁移时,提供高性能、高可靠、高安全、高适应性的服务。...同时,腾讯云TStack的高分通过,也为用户进行等保合规打下坚实基础。根据要求,云上用户进行等保合规验证,必须保证其所在云平台已过测评;对于云用户系统的评定,云平台等级分数也是影响因素之一。...腾讯云TStack还可以为客户定制等保合规的整改意见,指导客户进行安全服务的选型与部署,助力用户更加高效省心过等保。...02 等保1.0到2.0 ,云平台成重头戏 等保,全称是网络安全等级保护制度标准,是国家法律确定的规范,对企业等组织的信息安全有着重要保护作用。...等保2.0于5月13日正式发布,计划于2019年12月1日正式实施。等保2.0将重点保护监管对象,由原来的传统系统,扩展到云平台与大数据平台。
1、等保初衷:从各行各业的开展等保来看,基于网络安全的初心开展等保的单位企业少之又少,而绝大都是单位企业都是政策要求,其中具体又可以细分为 1)行业主管部门要求开展等保,比如电力行业和金融行业,这两个行业都有文件要求开展等保...2)寻找背锅侠,部分政府单位对等保不感冒,但是被等保机构销售忽悠后以为做的等保就可以给自己上一道“保险”,纯粹为了事后找等保机构给自己背锅。...,把等保测评当作驾校培训,每年被停止营业的大部分就是这类。...加上客户要求越来越高,测评机构必然的倾向于客户,毕竟,对于绝大部分机构来说,客户就是上帝。 标准体系方面 等吧2.0标准发布以来,笔者认为,等保2.0系列标准既有进步的一方面,同时又存在一些问题。...这也就是为什么等保2.0出台后,很多厂家均发布了一些基础版套餐、标准版套餐和豪华版套餐等等文章,让很多客户单位慢慢被认为等保测评就是花钱买设备,而国家推行等保测评的初衷却不甚了解。
客户端连接数据库时的连接超时时间 就是指在客户端连接数据库时,如果在限定时间内数据库没有回应,则返回失败的结果,其中的时间。...所以,这里和主机的超时是有些不一样的,主机的超时是在主机中进行设置(无论linux还是windows),由主机决定而不是连接主机的终端决定。...通过链接服务器,SQL Server 数据库引擎 和 Azure SQL 数据库托管实例可从远程数据源中读取数据,并针对 SQL Server 实例之外的 OLE DB 数据源等远程数据库服务器执行命令...所以我们要进行区分,同样是在SQL Server Management Studio上进行一些设置,有些是对这个软件本身的一些项进行设置(如连接超时值等),而有些则是对你连接的这个数据库的一些项进行设置...这两者是等价的,或者说,界面中的远程登录超时值本来就是从数据库中查出来的。
,定期备份,避免受到未预期的删除、修改或覆盖等; d)应对审计进程进行保护,防止未经授权的中断。...但是如果服务器本身不联网,本机上时间的是否准确就不能保证,也就无法保证事件中日期、时间等信息的准确性。...比如windows的安全审计的测评项b,要写就写实际的审计记录中包含的字段,如级别、用户、记录时间等。而不是去直接复制测评项中的内容,比如事件的日期和时间、用户、事件类型等。...五、测评项c 应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等; 5.1....无论是自己手动去拷贝,或者将日志推送到日志综合审计平台等第三方系统或者备份一体机等备份工具去备份,都可以。 六、测评项d 应对审计进程进行保护,防止未经授权的中断。
,定期备份,避免受到未预期的删除、修改或覆盖等; d)应对审计进程进行保护,防止未经授权的中断。...不过仅仅从测评要求的角度来说,如果开启了general log,那么是符合测评项a的。...:mysql-audit 五、测评项c c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等; 5.1....无论是自带的审计还是审计插件,如果审核记录存储于文件中的,应该在操作系统上对这些日志文件的权限进行限定,仅允许数据库管理员可对这些文件进行访问、修改等。...综上所述,我个人觉得关于日志留存时间6个月的要求,应该再集中管控的d测评项中进行统一描述,而不是在每个测评对象的安全审计的c测评项中进行描述。
测评项 b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施; c)当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听; d)应采用口令、...测评项b b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施; 3.1....其实到了这一步的话,一般都会配置Https的。 5. 测评项d d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。...谷歌验证器 其实和等保测评2.0:Oracle身份鉴别(下)中5.2节介绍的认证方式差不多,谷歌验证码生成的时间间隔是一般是30s。...而如果修正的理由和控制间、区域间、层面间没啥关系的话,就直接在测评项中进行描述,比如: ? 如果Linux等非Windows的系统没有部署防恶意代码软件,可以通过补偿措施的a项进行修正。
所以,该测评项就需要MySQL中存在至少两个账户,且这两个账户的权限不一样。 3.2. 要求2 在测评要求中测评实施如下: ? 在MySQL中,安装完成后默认存在的账户一般有3个,都是root: ?...无论存不存在初始口令,现在使用的口令应该是强口令,才符合测评要求。...五、测评项c c)应及时删除或停用多余的、过期的账户,避免共享账户的存在; 默认账户一般就是root账户,这里个人觉得是存在多余账户的: ?...在等保测评2.0:MySQL身份鉴别(上)中有说过: 对于MySQL来说,如上文所言,用户的身份标识为username + host,MySQL并没有禁止出现完全一样的username + host行,...关于安全标记,可以看看等保测评2.0:Windows访问控制中测评项g中的内容。 实际测评中,基本上就没有能实现的,不过也不用太在意,因为这一个测评项不属于高风险项。
说明 本篇文章主要说一说Oracle数据库安全审计控制点中b、c、d测评项的相关内容和理解,以及一些其它零碎的与等保相关的内容。 2....具体怎么判断,可以把等保测评2.0:Oracle安全审计(上)的相关内容看一看。 4. 测评项c c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等; 4.1....如果存储在表中,则要看dba角色、update any table等权限被授予给哪些用户了 以及查看o7_dictionary_accessibility参数的值,详情可看等保测评2.0:Oracle访问控制...审计记录的留存时间 在等保测评2.0:MySQL安全审计的5.2节中,对于网络安全法中对日志留存时间的要求如何测评,进行过一些个人的猜想。...Mysql数据库的身份鉴别 在等保测评2.0:MySQL身份鉴别(下)对身份鉴别控制点c项进行过说明,但是没说全。
注意,测评项d的测评对象不包括服务器的操作系统: ? 三、测评项a a)应遵循最小安装的原则,仅安装需要的组件和应用程序; 这一条比较容易理解。...在进行测评的时候,有一些是明显多余的程序,比如QQ、迅雷等,另外一些,如果是不常见或者不清楚用途的软件,需要通过访谈来进行确认。...即,被测评方要定期使用专业的漏洞扫描工具进行扫描或者进行渗透测试,而360安全卫士等软件不算专业的漏洞扫描工具。 测评的时候,就需要向对方提供扫描报告或者渗透报告。...一些杀毒软件,比如EDR、卡巴斯基(企业版)等,等具备入侵防范检测和报警功能(通过邮箱、短信等),或者在网络中部署有IPS等设备具有相关功能也可以。...另外,部署在云上的话,阿里云、华为云等,也存在这样的安全服务,也可以实现要求。但是要注意的是,被测评方是否购买了此类安全服务。
二、测评项 c)当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听; d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现...又或者,虽然数据库本身没有进行什么配置,但是客户端是直连数据库的(某一些C/S架构的软件确实会这样),但是客户端使用了SSL等协议进行了网络传输数据的加密,那么也应该是部分符合或者符合。...四、测评项d d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。...绝大部分的被测评单位在SQLServer数据库的这一个测评项处,只能得0分,不过也不用过于在意。...满足条件中指明,属于3级和3级以上系统,且被测评对象属于重要核心设备等通过不可控网络环境远程进行管理,然后同时未实现双因素认证的,可判定为高风险项。
如果运维人员通过第三方软件远程管理windows服务器,比如向日葵、TeamViewer等,并没有使用windows的验证功能,这种情况下,测评项中的“用户名、口令”可能就不仅仅是指windows服务器中的...四、测评项b b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施; 4.1....测评项d d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。...这里我在等保测评:CentOS登录失败参数详解和双因素认证这篇文章中也说到过,这里换个角度说一说基础的知识。 6.1....所以实际测评的时候,对于这一项,只要不让其成为高风险即可,比如用堡垒机等方式(具体看高风险判定指引里的内容)。
,定期备份,避免受到未预期的删除、修改或覆盖等; d)应对审计进程进行保护,防止未经授权的中断。...但是错误日志记录的事件的范围不够大,并没有达到对重要的用户行为和重要安全事件进行审计这个要求,比如记录更改关键数据的语句等,所以只能算是部分符合。...另外,这里应该也要判断下日志中的日期和时间是否准确,SqlServer日志中的时间应该是引用的本机时间,所以就要看一看数据库所在的操作系统是否做了这方面的措施,具体哪些措施可以看:等保测评2.0:Windows...五、测评项c c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等; 5.1. 要求1 也即仅某些账户可删除、修改审计记录。...测评项c c)应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等; 这里应该看数据库审计系统中是否对账户的权限进行了分离,即仅某一个或某一类账户可以对审计记录进行操作。
一、说明 本篇文章主要说一说oracle数据库中身份鉴别控制点中测评项a的相关内容和理解。...二、测评项a a)应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换; 三、测评项a要求1 应对登录的用户进行身份标识和鉴别 oracle使用用户名对登录用户进行身份标识...以centos系统为例子,也就是测评的时候先登录oracle数据库服务器的oracle账户,如果被测评方不清楚oracle账户的口令,也可以登录到root账户,然后使用“su - oracle”命令切换过去...那么只要oracle数据库中建立一个名为opscv的账户并给与基础权限(连接权限等),用户在登录操作系统中的cv后,可以直接使用sqlplus /或sqlplus / as normal(两个命令是一个意思...顺序取字符串来对比: u不等于a,differ的值加1,为1 s不等于d,differ加1,为2 最后循环4次结束,differ为4, 如果最后differ小于3,则未通过校验,大于等3,则通过校验。
二、测评项 b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施; c)当进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听; d)应采用口令...三、测评项b b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施; 3.1....也可以强制服务器端只接受ssl的连接: ? 五、测评项d d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别,且其中一种鉴别技术至少应使用密码技术来实现。...对于双因素本身的探讨在这里就不进行重复的论述了,可以看我以前文章中该测评项的内容:等保测评2.0:Windows身份鉴别、等保测评2.0:SQLServer身份鉴别(下) 。...,然后堡垒机使用双因素认证等,只能用来修正双因素的高风险而已。
一、说明 等保测评主机测评中需要查询主机的超时退出配置,具体在Centos中的话,主要有两种方式可以实现超时退出的功能。...二、设置TMOUT方式 这个是比较通用、简单的方式,通过设置TMOUT,就可以至少对本地tty登录和远程使用ssh登录的用户起作用,但应该对图形化界面无效,当然进入图形化界面你再打开终端,对于打开的终端也是起作用的...实现方式 在/etc/profile、~/.bashrc、~/.bash_profile等文件的最后加入export TMOUT=900语句即可(单位是秒),然后想要不重新登录就起效就,还需要用source...所以同样的,配置文件里啥都没写,不代表现在运行的环境中没有规则,比如iptables的规则可以用命令临时添加进来。 所以如果想在测评的时候更全面的了解情况,最好就是一块查。...在代码中,在一定的条件下,这个timeout的值就是我们设置的ClientAliveInterval的值(如果设置值大于0),如果ClientAliveInterval是0,则timeout的值根据一些条件则为
随着5G、大数据、云计算、人工智能、工业互联网、物联网等新一代信息技术的发展,网络空间与物理空间被彻底打通,网络空间成为继“陆海空天”之后的第五大战略空间,愈演愈烈的网络攻击已经成为国家安全的新挑战。...为保障网络空间安全,我国网络安全法治建设持续推进,《网络安全法》、《密码法》等多部法律已颁布实施,《个人信息保护法》《数据安全法》加速制定中,网络空间不再是“法外之地”。...、技术防护情况、云服务安全评估情况、风险评估情况、应急演练情况、攻防演练情况等,尤其关注关键信息基础设施跨系统、跨区域间的信息流动,及其关键业务流动过程中所经资产的安全防护情况。...关基安全检测评估包括了等级测评、密评的所有测评内容,密评中的部分评估内容来自等级保护基本要求中关于密码相关的要求项。...关键信息基础设施必须落实网络安全等级保护制度,开展定级备案、等级测评、安全建设整改、安全检查等强制性及规定性工作;商用密码应用安全是保障网络和信息系统安全的一项防护措施,也是保障关键基础设施安全的重要手段
一、说明 在进行等级保护测评时,需要检查主机的安全审计功能,这里就以等级保护2.0来说一说centos6在这方面的检测,以下是安全计算环境的安全审计控制点中的测评项。 二、测评项a ?...audit 来记录内核信息,包括文件的读写,权限的改变等。...对于文件,可以定义审计规则监控对该文件的读、写、执行等操作,一旦发生,就会记录到日志文件中。...剩下的,面对测评要求,在实际测评过程中大家自然能做出合适的取舍,使用相应的技术作为测评支撑。...要不然,就拿着初级教程或测评要求,在啥都不懂的情况下一条条的套,那只不过是在走过场拉低等保的水准(虽然其实也没多少水准啦)。
一、说明 权限控制在等保测评里仅仅说了要求,但是怎么落地却基本没写,怎么说呢,比较抽象。...所以,我觉得还是有必要了解一下centos系统大概有什么方法可以实现对用户的权限控制,不至于测评的时候完全不知道怎么测。 这里我把我现在知道的关于权限控制的方法都列举出来,供大家参考参考。...第一:你可以运行这个可执行文件,但是这个进程可能会涉及到的对其他文件的操作(读、写、执行等)不一定具备足够的权限。...更何况,很多被测评单位自己压根就没做权限控制…… 不过无论如何,访问控制必然要用某些方法实现,那么其中用户、用户组,目录、文件的基础知识是怎么也绕不过去的。...说句不好听的,如果通过访谈,被测评单位说他做了访问控制,你至少也得知道怎么去取证吧?
有小伙伴说有没有Nginx的作业指导书,个人认为这个中间件主要测评点就在安全审计,本文这里就简单聊一下等保2.0 条款中对应Nginx中间件的测评要求。...四、入侵防范 a)应遵循最小安装的原则,仅安装需要的组件和应用程序 该测评点在操作系统层面核查,中间件不适用该条款。...b)应关闭不需要的系统服务、默认共享和高危端口 该测评点在操作系统层面核查,中间件不适用该条款。...该测评点在设备层面核查,中间件不适用该条款。...重要配置数据、重要审计数据需要询问管理人员,是否有对配置文件,日志文件等做定期的哈希完整性校验等。
由于本人也不是做运维的,这个Redis数据库是一个缓存数据库,具体怎么用,在项目中怎么部署我不太清楚,这里仅针对于等保的测评要求,对其进行分析如何配置相应的策略。如有不对的地方,欢迎指正哈。...前期调研 针对于等保前期系统情况方面,这里我们要了解的是数据库的版本。 查看数据库版本:运维人员一般都会配置redis命令的环境变量,如果下面命令不行就用 find 找吧,一些基础知识这里就不说了。...这里只要看bind后面跟的ip地址即可。 e)应能发现可能存在的已知漏洞,并在经过充分测试评估后,及时修补漏洞 这条就结合漏扫、测试等方法进行判断,redis这玩意可是出了名的漏洞多。。...像非授权访问漏洞,本地也测试过能成功,这里就不细说了,交给渗透工程师去看吧,然后我们等保的拿他们的报告确认是否存在对应漏洞即可。 五、数据完整性 针对这个数据库,下面两条默认都是不符合。...a)应采用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等 b)应采用密码技术保证重要数据在存储过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等
领取专属 10元无门槛券
手把手带您无忧上云