1安全审核说明.doc

（安全服务提供商名称） 企业网络平台安全审核服务 安全策略审核报告 （接受审核服务企业名称） 2003年8月14日 文档说明 安全性审核报告 制作者 XX有限公司 参与审核者 郑华 版本/日期 1．0 2003-08-14 附件 1、服务器安全审核表 2、SQL Server 2000安全审核表 3、网络平台安全性审核表 安全审核说明 企业网络平台安全策略审核服务是专门设计的用于帮助企业在现有微软产品和技术的基础上，建立安全可靠的企业信息系统和商业解决方案的管理服务，以及帮助企业建立专业的管理策略。应XX公司信息中心的请求，XX公司对其信息系统进行安全审核。 安全审核服务说明 此项服务是面向特定需求的服务，主要针对那些以微软Windows平台为基础，对信息系统的安全性有较高要求的企业用户。安全审核（Security Assessment） 审核目标 在经过XX公司信息中心确认后，我们制定了如下的审核范围和审核目标。 审核范围 由于XX公司网络架构的复杂性，经过XX公司信息中心的确认，我们确定本次审核范围包括XX公司现有网络环境中的四台Windows 2000 Server（其中两台安装有SQL Server 2000）以及网络平台。 审核目标 检查当前网络结构是否合理并符合安全设计的要求；服务器和客户端的安装和配置是否符合微软推荐的安全规范，是否已经针对主要的安全问题安装了相应的安全补丁。除了检查上述内容外，也会针对用户在企业信息安全管理上的日常运作及规范进行审核并给出完整的报告。此外，针对此报告的内容，将会提出本次安全审核的结果及所建议的方法、步骤，为客户提供咨询服务。 审核过程 2003.8.12 用户现场信息收集、确认 2003.8.13 分析所收集的信息，完成安全审核报告 2003.8.14 递交安全审核报告 审核结果 评价标准 问题严重程度 定义 建议 5 严重安全问题 严重的安全漏洞，会对业务产生严重的破坏 记录，评估，立即更改 4 高风险安全问题 严重的安全漏洞，可能会对业务产生严重的影响 记录，评估，在15至30天内更改 3 中度风险的安全问题 中度风险的安全问题，可能会影响业务的进行 记录，评估，在90天内改进 2 轻微风险的安全问题 轻微风险的安全问题，不会对业务带来直接的影响 记录，评估，在120天内改进 1 安全建议 不属于安全问题，但改进后可进一步提高安全性 记录，评估，在可行的情况下采用 网络结构与设计 参看如下拓扑结构图 XX公司现有网络系统架 服务器基本配置 服务器基本配置信息表 序号 服务器名称 IP地址 备注 1 AC-WEB1 192.168.0.1 域控制器，IIS服务器 2 AC-WEB2 192.168.0.2 域控制器，IIS服务器，SQL Server 2000 3 AC-DBS1 192.168.0.3 SQL Server 2000，IIS 服务器 4 AC-DBS2 192.168.0.4 SQL Server 2000，IIS 服务器 服务器安全配置 具体清单请查阅“服务器安全检查列表”。 服务器安全问题列表 在下列安全问题列表中，我们将列出4台服务器的安全问题以及如何解决的方法。 服务器1： 严重级 别 安全问题 说明和解决办法 5 Windows 系统没有安装SP3之后必威体育精装版的热修复 缺少以下24个热修复: MS02-042 MS02-045 MS02-048 MS02-050 MS02-055 MS02-063 MS02-070 MS02-071 MS03-001 MS03-011 MS03-013 MS03-020 MS03-023 MS03-024 MS03-025 MS03-026 MS01-022 MS02-008 MS02-053 MS02-064 MS02-065 MS03-008 MS03-030 立即安装Windows 2000 SP4并运行Windows Update进行安装必威体育精装版的热修复以及安全补丁，特别是MS03-026补丁 5 没有安装IIS的重要漏洞补丁 没有安装下列补丁： MS03-018 立即安装 4 缺少Media Player重要漏洞补丁