等保测评

应对登录用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

口令是路由器用户防止非授权访问的常用手段，因此需要加强对路由器口令的管理，包括口令的设置和存储。
管理员应当依据需要，为路由器的相应端口添加身份鉴别所需的最基本安全控制机制

1.核查是否在用户登录时采用身份鉴别措施
2.核查用户列表，测试用户身份标识是否具有唯一性
3.查看用户配置信息或访谈管理员，核查是否存在空口令用户
4.核查用户鉴别信息是否满足复杂度要求并定期更换

1.路由器使用口令鉴别机制对登录用户进行身份标识和鉴别
2.在用户登录时提示输入用户名和口令，以错误口令或空口令登录时提示登录失败，证明登录控制功能的有效性
3.路由器不存在密码为空的用户
4.口令由数字、字母、特殊字符组成，口令长度大于8位，口令更换周期为3个月

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

可以通过配置结束会话、限制管理员的最大登录失败次数、设置网络连接超时自动退出等多种措施实现登录失败处理功能。

1.核查是否配置并启用登录失败处理功能，如果网络中部署了堡垒机，先核查堡垒机是否具有登录失败处理功能。如果没有堡垒机，则核查设备是否默认启用登录失败处理功能，例如登录失败三次即退出登录界面或锁定账户10分钟
2.核查是否配置并启用非法登录达到一定次数后锁定账户的功能
3.核查是否配置并启用远程登录连接超时自动退出功能

1.网络设备默认启用登录失败处理功能
2.堡垒机限制非法登录
3.堡垒机启用远程登录连接超时自动退出功能

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

在对网络设备远程管理时，不应使用明文传送的telnet服务，应该采用ssh、https加密协议等进行交互式管理

核查是否采用了加密方式对系统进行远程管理。如果网络中部署了堡垒机，则先核查堡垒机在远程连接时采用什么措施防止鉴别信息被窃听

远程管理网络设备时采用ssh或https协议方式防止被窃听

应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术实现

使用两种或以上不同种类的鉴别技术对用户身份鉴别，且至少采用一种密码技术实现

询问管理员，了解系统是否采用由口令、数字证书、生物技术等中的两种或两种以上组合的鉴别技术对用户身份鉴别，并核查其中一种鉴别技术是否为密码技术

至少采用了两种鉴别技术，其中之一为口令或生物技术，另一种为基于密码技术的鉴别技术，如使用基于国密算法的数字证书或数字令牌

应对登录的用户分配账户和权限

需要为登录的用户分配账户并合理配置账户权限。

1.访谈网络管理员、安全管理员、系统管理员或核查用户账户和权限设置情况
2.核查是否已禁用或限制匿名、默认账户的访问权限

1.相关管理人员具有与其职位相对应的账户和权限
2.网络设备已禁用或限制匿名、默认账户的访问权限

应重命名或删除默认账户，修改默认账户的默认口令

默认账户的某些权限与实际要求可能存在差异，这些默认账户应该被禁用，且应不存在默认账户（admin、huawei）及默认口令

1.核查默认账户是否已经重命名或默认账户是否已被删除
2.核查默认账户的默认口令是否已经修改。登录路由器，使用路由器的默认账户和默认口令进行测试，核查是否能登录

1.使用默认账户和默认口令无法登录路由器
2.路由器中不存在默认账户

应及时删除或停用多余的、过期的账户，避免共享账户的存在

应及时清理路由器中的账户，删除或停用多余、过期的账户，避免共享账户的存在

1.核查是否存在多余的或过期的账户，以及管理员用户与账户之间是否对应
2.核查并测试多余、过期的账户是否已经被删除或停用

1.配置的用户名都是确实和必要的
2.网络管理员、安全管理员、系统管理员等不同的用户使用不同的账户登录系统

应授予管理用户所需的最小权限，实现管理用户的权限分离

根据管理用户的角色对权限进行划分，授予用户所需的最小权限，可以避免出现权限漏洞而使一些用户拥有过高的权限。例如进行角色划分并设置对应权限

1.访谈管理员，核查是否进行角色划分，例如划分为系统管理员、安全管理员、网络管理员等
2.核查管理用户的权限是否已经分离
3.核查管理用户的权限是否为其工作所需的最小权限

1.进行角色划分，分为网络管理员、安全管理员、系统管理员三个角色，并设置对应的权限
2.网络管理员、安全管理员、系统管理员对应的账户权限为其工作所需的最小权限

应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

路由器的访问控制策略由授权主体进行配置，规定了主体可以对客体进行操作。访问控制粒度要求主体为用户级或进程级，客体为文件、数据库表级

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

路由器的访问控制策略由授权主体进行配置，规定了主体可以对客体进行操作。访问控制粒度要求主体为用户级或进程级，客体为文件、数据库表级

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

敏感标记是强制访问控制的依据，主体和客体都有，存在形式多样，既可能是整形数字，也可能是字母，总之，它表示主体和客体的安全级别。敏感标记由安全管理员设置

此项不适用

此项不适用

应启用安全审计功能，覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

为了对网络设备的运行情况、网络流量、管理记录等进行检测和记录，需要启用系统日志功能。系统日志中的每条信息都被分配了一个严重级别，并伴随一些指示性问题或事件描述信息。
路由器的系统日志信息通常被输出至各种管理端口、内部缓存或日志服务器。在默认情况下，控制台端口的日志功能处于启用状态

1.核查是否开启安全审计功能，以及网络设备是否设置日志服务器的IP地址，并使用syslog或snmp方式将日志发送到日志服务器
2.核查安全审计范围是否覆盖每个用户
3.核查是否已对重要的用户行为和重要安全事件进行审计

网络设备设置了日志服务器，并使用syslog或snmp方式将日志发送到日志服务器

审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

路由器的日志审计内容包括日期和时间、用户、事件类型、事件是否成功等信息

核查审计记录是否包含事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

日志信息包含事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

应对审计记录进行保护，定期备份，避免受到的未逾期的删除、修改或覆盖等

审计记录能够帮助管理人员及时发现系统运行问题和网络攻击行为，因此，需要对审计记录实施技术和管理上的保护，防止未授权的修改、删除和破坏

1.访谈系统管理员，了解审计记录的存储、备份、保护措施
2.核查是否定时将路由器日志发送到日志服务器等，以及是否使用syslog或snmp方式将路由器日志发送到日志服务器。如果部署日志服务器，则登录日志服务器，核查被测路由器是否在收集范围内。

网络设备的日志信息被定期发送到日志服务器，在日志服务器上可以查看半年前的审计记录

应对审计进程进行保护，防止未授权的中断

保护审计进程，确保当安全事件发生时能及时记录事件的详细信息。非审计员账户不能中断审计进程

通过非审计员账户中断审计进程，以验证审计进程是否受到保护

非审计员账户无法中断审计进程

应遵循最小安装原则，仅安装需要的组件和应用程序

遵循最小安装的原则，仅安装需要的组件和应用程序，能够大大降低路由器遭受攻击的可能性。及时更新系统补丁，以避免系统漏洞给路由器带来的风险

此项不适用，一般在服务器上实现

此项不适用，一般在服务器上实现

应关闭不需要的系统服务、默认共享和高危端口

关闭不需要的系统服务、默认共享和高危端口，可以有效降低系统遭受攻击的可能性

1.访谈系统管理员，了解是否定期对系统服务进行梳理并关闭非必要的系统服务和默认共享端口
2.核查是否开启了非必要的高危端口

可在路由器执行查看命令核查

应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

需要对通过虚拟终端访问网络设备的登录地址进行限制来避免未授权的访问

核查配置文件是否对终端接入范围进行限制。如果网络中部署了堡垒机，则应核查堡垒机是否限制管理终端的地址范围，同时核查网络设备上是否仅配置了堡垒机的远程管理地址。

堡垒机限制终端的接入范围

应提供数据有效性验证功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定的要求

应用系统应对数据的有效性进行验证，防止个别用户输入畸形数据导致系统出错（如sql注入等）

此项不适用，一般在应用层面核查

此项不适用，一般在应用层面核查

应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

应核查漏洞扫描修补报告。管理员应定期进行漏洞扫描，如果发现漏洞，应在经过充分的测试和评估后及时修复漏洞

1.进行漏洞扫描，核查是否存在高风险漏洞
2.访谈系统管理员，核查是否在经过充分测试和评估后及时修补漏洞

管理员定期进行漏洞扫描，如果发现漏洞，在充分测试和评估后及时修复漏洞

应能检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

通常可以在网络边界、核心等重要节点部署IDS、IPS等系统，或在防火墙、utm启用入侵检测功能

此项不适用，一般在入侵防护系统上实现

此项不适用，一般在入侵防护系统上实现

可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

通信设备可能包括交换机、路由器和其他通信设备等，通过在设备的启动和运行过程中对预装软件的完整性进行验证或检测，可以确保对预装软件的篡改行为能被发现报警

核查是否基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证
核查是否在应用程序的关键执行关节进行动态可信验证
测试验证在检测到设备的可信性受到破坏后是否进行报警
核查测试验证结果是否以审计记录的形式被送至安全管理中心

通信设备具有可信根芯片或硬件
启动过程基于可信根对系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证度量
在检测到设备的可信性收到破坏后报警，并将验证结果形成审计记录送至安全管理中心
安全管理中心可以接收到设备的验证结果记录

应对登录用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

口令是交换机用户防止非授权访问的常用手段，因此需要加强对路交换机口令的管理，包括口令的设置和存储。
管理员应当依据需要，为交换机的相应端口添加身份鉴别所需的最基本安全控制机制

1.核查是否在用户登录时采用身份鉴别措施
2.核查用户列表，测试用户身份标识是否具有唯一性
3.查看用户配置信息或访谈管理员，核查是否存在空口令用户
4.核查用户鉴别信息是否满足复杂度要求并定期更换

1.交换机使用口令鉴别机制对登录用户进行身份标识和鉴别
2.在用户登录时提示输入用户名和口令，以错误口令或空口令登录时提示登录失败，证明登录控制功能的有效性
3.交换机不存在密码为空的用户
4.口令由数字、字母、特殊字符组成，口令长度大于8位，口令更换周期为3个月

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

可以通过配置结束会话、限制管理员的最大登录失败次数、设置网络连接超时自动退出等多种措施实现登录失败处理功能。

1.核查是否配置并启用登录失败处理功能，如果网络中部署了堡垒机，先核查堡垒机是否具有登录失败处理功能。如果没有堡垒机，则核查设备是否默认启用登录失败处理功能，例如登录失败三次即退出登录界面或锁定账户10分钟
2.核查是否配置并启用非法登录达到一定次数后锁定账户的功能
3.核查是否配置并启用远程登录连接超时自动退出功能

1.网络设备默认启用登录失败处理功能
2.堡垒机限制非法登录
3.堡垒机启用远程登录连接超时自动退出功能

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

在对网络设备远程管理时，不应使用明文传送的telnet服务，应该采用ssh、https加密协议等进行交互式管理

核查是否采用了加密方式对系统进行远程管理。如果网络中部署了堡垒机，则先核查堡垒机在远程连接时采用什么措施防止鉴别信息被窃听

远程管理网络设备时采用ssh或https协议方式防止被窃听

应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术实现

使用两种或以上不同种类的鉴别技术对用户身份鉴别，且至少采用一种密码技术实现

询问管理员，了解系统是否采用由口令、数字证书、生物技术等中的两种或两种以上组合的鉴别技术对用户身份鉴别，并核查其中一种鉴别技术是否为密码技术

至少采用了两种鉴别技术，其中之一为口令或生物技术，另一种为基于密码技术的鉴别技术，如使用基于国密算法的数字证书或数字令牌

应对登录的用户分配账户和权限

需要为登录的用户分配账户并合理配置账户权限。

1.访谈网络管理员、安全管理员、系统管理员或核查用户账户和权限设置情况
2.核查是否已禁用或限制匿名、默认账户的访问权限

1.相关管理人员具有与其职位相对应的账户和权限
2.网络设备已禁用或限制匿名、默认账户的访问权限

应重命名或删除默认账户，修改默认账户的默认口令

默认账户的某些权限与实际要求可能存在差异，这些默认账户应该被禁用，且应不存在默认账户（admin、huawei）及默认口令

1.核查默认账户是否已经重命名或默认账户是否已被删除
2.核查默认账户的默认口令是否已经修改。登录交换机，使用交换机的默认账户和默认口令进行测试，核查是否能登录

1.使用默认账户和默认口令无法登录路由器
2.交换机中不存在默认账户

应及时删除或停用多余的、过期的账户，避免共享账户的存在

应及时清理交换机中的账户，删除或停用多余、过期的账户，避免共享账户的存在

1.核查是否存在多余的或过期的账户，以及管理员用户与账户之间是否对应
2.核查并测试多余、过期的账户是否已经被删除或停用

1.配置的用户名都是确实和必要的
2.网络管理员、安全管理员、系统管理员等不同的用户使用不同的账户登录系统

应授予管理用户所需的最小权限，实现管理用户的权限分离

根据管理用户的角色对权限进行划分，授予用户所需的最小权限，可以避免出现权限漏洞而使一些用户拥有过高的权限。例如进行角色划分并设置对应权限

1.访谈管理员，核查是否进行角色划分，例如划分为系统管理员、安全管理员、网络管理员等
2.核查管理用户的权限是否已经分离
3.核查管理用户的权限是否为其工作所需的最小权限

1.进行角色划分，分为网络管理员、安全管理员、系统管理员三个角色，并设置对应的权限
2.网络管理员、安全管理员、系统管理员对应的账户权限为其工作所需的最小权限

应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

交换机的访问控制策略由授权主体进行配置，规定了主体可以对客体进行操作。访问控制粒度要求主体为用户级或进程级，客体为文件、数据库表级

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

交换机的访问控制策略由授权主体进行配置，规定了主体可以对客体进行操作。访问控制粒度要求主体为用户级或进程级，客体为文件、数据库表级

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

敏感标记是强制访问控制的依据，主体和客体都有，存在形式多样，既可能是整形数字，也可能是字母，总之，它表示主体和客体的安全级别。敏感标记由安全管理员设置

此项不适用

此项不适用

应启用安全审计功能，覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

为了对网络设备的运行情况、网络流量、管理记录等进行检测和记录，需要启用系统日志功能。系统日志中的每条信息都被分配了一个严重级别，并伴随一些指示性问题或事件描述信息。
交换机的系统日志信息通常被输出至各种管理端口、内部缓存或日志服务器。在默认情况下，控制台端口的日志功能处于启用状态

1.核查是否开启安全审计功能，以及网络设备是否设置日志服务器的IP地址，并使用syslog或snmp方式将日志发送到日志服务器
2.核查安全审计范围是否覆盖每个用户
3.核查是否已对重要的用户行为和重要安全事件进行审计

网络设备设置了日志服务器，并使用syslog或snmp方式将日志发送到日志服务器

审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

交换机的日志审计内容包括日期和时间、用户、事件类型、事件是否成功等信息

核查审计记录是否包含事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

日志信息包含事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

应对审计记录进行保护，定期备份，避免受到的未逾期的删除、修改或覆盖等

审计记录能够帮助管理人员及时发现系统运行问题和网络攻击行为，因此，需要对审计记录实施技术和管理上的保护，防止未授权的修改、删除和破坏

1.访谈系统管理员，了解审计记录的存储、备份、保护措施
2.核查是否定时将交换机日志发送到日志服务器等，以及是否使用syslog或snmp方式将计划日志发送到日志服务器。如果部署日志服务器，则登录日志服务器，核查被测交换机是否在收集范围内。

网络设备的日志信息被定期发送到日志服务器，在日志服务器上可以查看半年前的审计记录

应对审计进程进行保护，防止未授权的中断

保护审计进程，确保当安全事件发生时能及时记录事件的详细信息。非审计员账户不能中断审计进程

通过非审计员账户中断审计进程，以验证审计进程是否受到保护

非审计员账户无法中断审计进程

应遵循最小安装原则，仅安装需要的组件和应用程序

遵循最小安装的原则，仅安装需要的组件和应用程序，能够大大降低交换机遭受攻击的可能性。及时更新系统补丁，以避免系统漏洞给路由器带来的风险

此项不适用，一般在服务器上实现

此项不适用，一般在服务器上实现

应关闭不需要的系统服务、默认共享和高危端口

关闭不需要的系统服务、默认共享和高危端口，可以有效降低系统遭受攻击的可能性

1.访谈系统管理员，了解是否定期对系统服务进行梳理并关闭非必要的系统服务和默认共享端口
2.核查是否开启了非必要的高危端口

可在交换机执行查看命令核查

应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

需要对通过虚拟终端访问网络设备的登录地址进行限制来避免未授权的访问

核查配置文件是否对终端接入范围进行限制。如果网络中部署了堡垒机，则应核查堡垒机是否限制管理终端的地址范围，同时核查网络设备上是否仅配置了堡垒机的远程管理地址。

堡垒机限制终端的接入范围

应提供数据有效性验证功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定的要求

应用系统应对数据的有效性进行验证，防止个别用户输入畸形数据导致系统出错（如sql注入等）

此项不适用，一般在应用层面核查

此项不适用，一般在应用层面核查

应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

应核查漏洞扫描修补报告。管理员应定期进行漏洞扫描，如果发现漏洞，应在经过充分的测试和评估后及时修复漏洞

1.进行漏洞扫描，核查是否存在高风险漏洞
2.访谈系统管理员，核查是否在经过充分测试和评估后及时修补漏洞

管理员定期进行漏洞扫描，如果发现漏洞，在充分测试和评估后及时修复漏洞

应能检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

通常可以在网络边界、核心等重要节点部署IDS、IPS等系统，或在防火墙、utm启用入侵检测功能

此项不适用，一般在入侵防护系统上实现

此项不适用，一般在入侵防护系统上实现

可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

通信设备可能包括交换机、路由器和其他通信设备等，通过在设备的启动和运行过程中对预装软件的完整性进行验证或检测，可以确保对预装软件的篡改行为能被发现报警

核查是否基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证
核查是否在应用程序的关键执行关节进行动态可信验证
测试验证在检测到设备的可信性受到破坏后是否进行报警
核查测试验证结果是否以审计记录的形式被送至安全管理中心

通信设备具有可信根芯片或硬件
启动过程基于可信根对系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证度量
在检测到设备的可信性收到破坏后报警，并将验证结果形成审计记录送至安全管理中心
安全管理中心可以接收到设备的验证结果记录

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

子主题

1.防火墙使用口令鉴别机制对登录用户进行身份标识和鉴别
2.用户身份标识具有唯一性，不存在多人共用账户的情况，不存在空口令用户
3.口令长度至少8位及以上，由数字，大小写字母、特殊字符中的两种及以上组成，口令每季度至少更换一次

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数、当登录连接超时自动退出等相关措施

对防火墙。可以通过配置结束会话、限制管理员的最大登录失败次数、设置网络连接超时自动退出等多种措施实现登录失败处理功能。

1.应核查是否配置并启用登录失败处理功能，以及是否配置并启用非法登录达到一定次数后锁定账户功能
2.核查是否配置并启用远程登录连接超时自动退出功能。

1.web方式登录防火墙，配置并启用登录失败处理功能，以及非法登录到一定次数后锁定账户
2.配置并启用远程登录连接超时自动退出功能

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

不应使用明文传送的telnet、http服务，而应采用ssh、https加密协议等进行交互式管理

询问系统管理员采用什么方式对防火墙进行远程管理。核查通过web界面进行的管理操作是否都已使用ssl协议加密处理

在通过web界面进行远程管理时，使用ssl协议进行加密处理

应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术实现

使用两种或以上不同种类的鉴别技术对用户身份鉴别，且至少采用一种密码技术实现

询问管理员是否使用两种或以上不同种类的鉴别技术对用户身份鉴别，且至少采用一种密码技术实现

用户的认证方式为“本地口令+证书认证”或“外部口令+证书认证”

应对登录的用户分配账户和权限

为了确保防火墙的安全，需要为登录的用户分配账户并合理配置账户权限

1.针对每个用户账户，核查用户账户和权限设置是否合理
2.核查是否已禁用或限制匿名、默认账户的访问权限

1.相关管理人员具有与职位相对应的账户和权限
2.禁用或限制匿名、默认账户的访问权限

应重命名或删除默认账户，修改默认账户的默认口令

防火墙默认账户的某些权限与实际要求可能存在差异，从而造成安全隐患，因此，这些默认账户应禁用

1.核查默认账户是否已经重命名或默认账户是否已被删除
2.核查默认账户的默认口令是否已经修改

防火墙已重命名默认账户或删除默认账户，已经修改默认账户的默认口令

应及时删除或停用多余的、过期的账户，避免共享用户的存在

应及时清理防火墙中的账户、删除或停用多余的、过期的用户，避免共享账户的存在

1.核查防火墙用户账户列表，询问管理员各账户的具体用途，核查是否存在多余的或过期的账户
2.如果某些多余的或过期的账户无法被删除，则应测试这些多余的、过期的账户是否已经停用。

防火墙用户账户列表中不存在多余的或过期的账户，不存在共享用户

应授予管理用户所需的最小权限，实时管理用户的权限分离

根据管理用户的角色对权限进行细致的划分，仅授予管理用户所需的最小权限。

1.核查是否进行了角色划分，例如分为系统管理员、安全管理员、审计管理员。其中，安全管理员可以制定安全策略，系统管理员可以配置安全策略，审计管理员可以查看日志
2.查看管理用户的权限是否分离，是否为其工作任务所需的最小权限。例如禁止管理员用户同时拥有审计管理员和安全管理员的权限。

1.系统用户进行了角色划分。
2.管理用户的权限已经分离

应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

防火墙的访问控制策略由授权主体进行配置，规定了主体可以对客体进行操作。访问控制粒度要求主体为用户级或进程级，客体为文件、数据库表级

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级

防火墙的访问控制策略由授权主体进行配置，规定了主体可以对客体进行操作。访问控制粒度要求主体为用户级或进程级，客体为文件、数据库表级

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

此项不适用，此项主要针对主机和数据库，网络设备的主要用户为运维管理人员，无其他用户

应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

敏感标记是强制访问控制的依据，主体和客体都有，存在形式多样，既可能是整形数字，也可能是字母，总之，它表示主体和客体的安全级别。敏感标记由安全管理员设置

此项不适用

此项不适用

应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

启用系统日志功能，系统日志中的每条信息都被分配了一个严重级别，并伴随一些指示性问题或事件描述信息

登录防火墙，查看日志告警信息

防火墙设置了正确的服务器地址、服务端口、日志级别和日志类型等

审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

防火墙的日志审计内容应包括日期和时间、用户、事件类型、事件是否成功等信息

登录防火墙查看审计日志记录信息项

审计记录包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等

对审计记录实施技术和管理上的保护，防止未授权的修改、删除和破坏

查看防火墙审计是否转发到日志服务器或采取其他备份措施

防火墙的日志信息被定期转发至日志服务器，在日志服务器上可以查看半年前的审计记录

应对审计进程进行保护，防止未授权的中断

保护审计进程，确保当安全事件发生时能够及时记录事件的详细信息

通过非审计员账户中断审计进程，以验证审计进程是否受到了保护

非审计员账户不能中断审计进程

应遵循最小安装原则，仅安装需要的组件和应用程序

遵循最小安装原则，仅安装需要的组件和应用程序，及时更新系统补丁。

此项不适用，一般在服务器上实现

此项不适用，一般在服务器上实现

应关闭不需要的系统服务、默认共享和高危端口

关闭不需要的系统服务、默认共享和高危端口

此项不适用

此项不适用

应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

需要对远程管理防火墙的登录地址限制（可以是特定IP、子网地址、范围或地址组）

如果网络中部署了堡垒机，应先核查堡垒机是否限制终端的接入范围。如果网络中没有部署堡垒机，应登录设备进行核查

堡垒机限制了终端的接入范围，或者在设备本地设置了访问控制列表以限制终端的接入范围

应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求

应用系统应对数据有效性进行验证，防止用户输入畸形数据导致系统错误（例如SQL注入攻击等）

此项不适用，一般在应用层进行核查

此项不适用，一般在应用层进行核查

应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修复漏洞

应对系统进行漏洞扫描，及时发现系统中存在的已知漏洞，在测试评估后更新系统补丁

1.进行漏洞扫描，核查是否存在高风险漏洞
2.访谈系统管理员，核查是否在经过充分的测试评估后及时修复漏洞，查看系统版本即补丁升级时间

管理员定期进行漏洞扫描，发现漏洞后，经过测试评估及时修复漏洞

应能够检测到对重要节点入侵的行为，并在发生严重入侵时提供报警

通常在网络边界，核心等重要节点处部署IDS/IPS等系统，或在防火墙、UTM处启用入侵检测功能

1.核查防火墙是否具有入侵检测功能，查看入侵检测功能是否已经正确启用
2.核查在发生严重入侵事件时是否能报警，报警方式一般包括短信、邮件等

1.防火墙已经启用入侵检测功能
2.在发生严重入侵事件时能通过短信、邮件等方式报警

可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

应将设备作为通信设备对待，通信设备可能包括交换机、路由器和其他通信设备等，通过在设备的启动和运行过程中对预装软件的完整性进行验证或检测，可以确保对预装软件的篡改行为能被发现报警

核查是否基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证
核查是否在应用程序的关键执行关节进行动态可信验证
测试验证在检测到设备的可信性受到破坏后是否进行报警
核查测试验证结果是否以审计记录的形式被送至安全管理中心

通信设备具有可信根芯片或硬件
启动过程基于可信根对系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证度量
在检测到设备的可信性收到破坏后报警，并将验证结果形成审计记录送至安全管理中心
安全管理中心可以接收到设备的验证结果记录

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

Linux操作系统中的/etc/login.defs是 登录程序的配置文件，在该文件中可以配置密码的过期天数、密码的长度约束等参数。
如果/etc/pam.d/system-auth文件中有与该文件相同的选项，则以/etc/pam.d/system-auth文件的设置为准。

1.访谈系统管理员，了解系统用户是否已设置密码，核查登录过程中系统账户是否使用密码进行验证登录
2.以具有相应权限的账户身份登录操作系统，使用more命令查看/etc/shadow文件，核查系统中是否存在空口令账户
3.使用more命令查看/etc/login.defs文件，核查是否设置了密码长度和密码定期更换规则。使用more命令查看/etc/pam.d/system-auth文件，核查是否设置了密码长度和复杂度规则。
4.核查是否存在旁路或身份鉴别措施可绕过的安全风险

1.登录时需要密码
2.不存在空口令账户
3.已配置登录有效期、定期修改密码、密码复杂度
4.不存在可绕过的安全风险

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

Linux操作系统具有调用pam的应用程序认证用户、登录服务、屏保等功能。本地登录失败处理功能在/etc/pam.d/system-auth或/etc/pam.d/login文件中配置。ssh远程登录失败处理功能在/etc/pam.d/sshd文件中配置。

1.核查系统是否配置并启用了登录失败处理功能
2.以root身份登录Linux系统，核查/etc/pam.d/system-auth或/etc/pam.d/login文件中本地登录失败处理功能的配置情况，以及/etc/pam.d/sshd文件中ssh远程登录失败处理功能的配置情况
3.核查/etc/profile文件中的TIMEOUT环境变量是否配置了超时锁定参数。

1.查看本地登录失败处理功能相关参数，/etc/pam.d/system-auth或/etc/pam.d/login文件中存在“auth required pam_tally2.so   onerr=fail deny=5 unloack_time=300 even_deny_root root_unlock_time=10”
2.查看远程登录失败处理功能相关参数，/etc/pam.d/sshd文件中存在“auth required pam_tally2.so  onerr=fail deny=5 unlock_time=300 even_deny_root root_unlock_time=10”
3./etc/profile文件中设置了超时锁定参数，例如在该文件中设置了TMOUT=300s

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

Linux操作系统提供远程访问与管理接口，以便管理员进行管理操作，网络登录方式可以使用telnet协议登录，也可以使用ssh协议登录。但是，telnet协议不安全，所以使用ssh协议远程登录管理。

1.询问系统管理员，了解采取的远程管理方式，以root身份登录Linux系统，查看是否运行了sshd服务，查看相关端口是否打开，
若未使用ssh协议进行远程管理，则查看是否使用telnet协议进行管理
2.使用抓包工具查看协议是否是加密的
3.本地化管理，此项不适用

1.使用ssh协议进行远程管理。
2.抓包工具截获的信息为密文，无法读取
3。本地化管理，此项不适用

应采用口令、密码技术、生物技术等两种或以上组合的鉴别技术对身份鉴别，其中至少一种是密码技术。

使用两种或以上的不同种类的鉴别技术对用户身份鉴别，且至少一种是密码技术

询问系统管理员，了解系统是否采用由口令、数字证书、生物技术等中的两种或以上的鉴别技术对身份鉴别，并核查其中一种是否使用密码技术

至少采用了两种鉴别技术，其中一种是密码技术（如国密算法的数字证书或数字令牌），另一种为口令或生物技术

应对登录的用户分配账户和权限

对于Linux系统中的重要文件，应检查系统主要目录的权限设置情况
Linux系统的文件操作权限有四种，分别是读(r,4)、写(w,2)、执行(x,1)、空(-,0)，文件的权限分别是属主、属组、其他用户、用户组

以具有相应权限的账户身份登录Linux系统，使用“ls -l 文件名”命令查看重要文件和目录的权限设置是否合理
-rwx------：数字表示为700
-rwxr--r--：数字表示为744
-rw-rw-r-x：数字表示为665
drwx--x--x：数字表示为711
drwx------：数字表示为700

配置文件的权限不大于644，可执行文件的权限不大于755

应重命名或删除默认账户，修改默认账户的默认口令

Linux系统本身提供各种账户，如adm，lp，sync，shutdown，halt，mail，uucp，operator，games，ftp等，这些账户并不会被使用，因此，应禁用或删除这些用户。

1.以具有相应权限的账户身份登录linux系统，执行more命令，查看/etc/shadow文件中是否存在adm，lp，sync，shutdown，halt，mail，uucp，operator，games，ftp等默认无用的账户
2.查看root账户是否能进行远程登录（通常为不能）

1.不存在默认无用的账户
2.已将/etc/ssh/sshd_config文件中的 PermitRootLogin参数设置为no，表示不允许root远程登录系统

应及时删除或停用多余、过期的账户，避免共享账户的存在

多余的、过期的账户可能会被非法利用，因此，应及时清理系统中的账户，删除或停用多余、过期的账户

1.核查是否存在啊多余、过期的账户，例如查看games、news等系统默认账户是否已被禁用，特权账户halt，shutdown是否被删除
2.访谈网络管理员，系统管理员，安全管理员，核查不同的用户是否使用不同的账户登录系统

1.已禁用或删除不需要的系统默认账户
2.各类管理员均已使用自己的特定权限账户登录，不存在多余，过期账户

应授予管理用户所需最小权限，实现管理用户的权限分离

根据管理用户的角色对权限进行划分，仅授权用户所需的最小权限。

1.以具有相应权限的账户身份登录系统，执行more命令，查看/etc/passwd文件中非默认用户，了解各用户的权限，核查是否实现了管理用户的权限分离
2.以具有权限的账户身份登录系统，执行more命令，查看/etc/sudoers文件，核查哪些用户有root权限。

1.各用户仅具备最小权限，且不和其他用户的权限交叉。设备支持新建多用户角色功能
2.管理员权限仅分配给root用户

应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则

操作系统的访问控制策略应由授权主体（如安全管理员）进行配置，非授权主体不能更改访问控制策略。访问控制策略规定了操作系统用户对操作系统资源有哪些权限、能进行哪些操作。通过在操作系统中配置访问控制策略，可以实现对操作系统各用户权限的限制

1.询问系统管理员，核查是否由指定授权人对操作系统的访问控制权限进行配置
2.核查账户权限配置，了解是否依据安全策略配置各账户的访问规则

1.由专门的安全员负责访问控制权限的授权工作
2.各账户权限基于安全员的安全策略配置进行访问控制

访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据表级

重点目录的访问控制主体可能为某个用户或某个进程，应能控制用户或进程对文件、数据库表等客体的访问

使用“ls -l 文件名”命令查看重要文件和目录权限的设置是否合理。应重点核查文件和目录权限是否被修改过

由管理用户进行用户访问权限的分配，用户依据访问控制策略对各类文件和数据库表进行访问。重要文件和目录的权限均在合理范围中，用户可根据自身拥有的权限对文件进行操作

应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问

敏感标记是由强认证的安全管理员设置的，通过对重要信息资源设置敏感标记，可以决定主体以什么权限对客体进行操作，实现强制访问控制。
linux2.6及以上版本都集成了SELinux模块，在SELinux中，主体等同于进程，客体是主体访问的资源（如文件、目录、端口、设备等）。
SELinux有三种工作模式：enforcing强制模式，违反SELinux规则的行为将被阻止并记录到日志中。
permissive宽容模式，违反SELinux规则的行为只会被记录到日志中，一般在调试时使用
disabled关闭SELinux，表示不使用SELinux

1.核查系统中是否有敏感信息
2.核查是否为主体用户或进程划分了级别并设置了敏感标记，以及是否在客体文件中设置了敏感标记
3.测试验证是否依据主体和客体的安全标记来控制主体对客体访问的强制访问控制策略
4.以具有相应权限的账户身份登录linux系统，使用more命令，查看/etc/selinux/config文件中SELinux参数

Linux服务器默认关闭SELinux服务，或者已使用第三方主机加固系统或对系统内核进行了二次开发加固

应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计

linux的auditd进程主要用于记录安全信息及对系统安全事件进行溯源，rsyslog进程用于记录系统中各种信息。
linux系统在安全审计配置文件/etc/audit/audit.rules中配置安全事件审计规则

1.以root身份登录linux系统，查看服务进程
2.若开启了安全审计服务，则核查安全审计的 守护进程是否正常
3.若未开启系统安全审计功能，则核查是否部署了第三方安全审计工具
4.以root身份登录linux系统，查看安全事件的配置

1.开启了审计进程
2.linux服务器默认开启守护进程
3.audit.rules文件记录了文件和底层调用信息，记录的安全事件较为全面

审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

linux用户空间审计系统由auditd、ausearch、aureport等应用程序组成，其中ausearch是用于查找审计事件的工具，可以查看系统日志

以具有相应权限的账户身份登录linux系统，执行“ausearch -ts today”命令或“tail -20 /var/log/audit/audit.log”命令来查看审计日志

审计记录包括事件的日期和时间、事件类型、主体标识、客体标识和结果

应对审计记录进行保护、定期备份。避免受到未预期的删除、修改或覆盖等

对审计记录进行保护、定期备份。避免受到未预期的删除、修改或覆盖等

1.访谈系统管理员，了解审计记录的存储、备份和保护措施
2.核查是否定时将系统日志发送到日志服务器等，以及是否使用syslog或snmp方式将系统日志发送到日志服务器。核查日志服务器是否有被测操作系统日志

操作系统日志已定期备份，已定期将本地存储日志发送到日志服务器

应对审计进程进行保护，防止未经授权的中断

保护审计进程，确保安全事件发生时能够及时记录事件的详细信息。
在linux系统中，auditd是审计守护进程，syslogd是日志守护进程

1.访问系统管理员，了解对审计进程采取的监控和保护措施
2.以非安全审计人员身份中断审计进程，验证审计进程的访问权限设置是否合理
3.核查是否通过第三方系统对被测系统的审计进程进行监控和保护

1.审计进程不能被非安全审计人员修改
2.部署了第三方审计工具，可以实时记录审计日志，管理员不可以对日志进行删除操作。

应遵循最小安装原则，近安装需要的组件和应用程序

在安装linux操作系统时，遵循最小安装原则，不需要的 包不安装

1.查看安装操作手册，核查安装操作系统时是否遵循最小安装原则
2.使用“yum list installed”命令查看操作系统中已安装的程序包，询问管理员是否有目前不需要使用的组件和应用程序

1.操作系统的安装遵循最小安装原则
2.操作系统中没有安装业务不需要的组件和应用程序

应关闭不需要的系统服务、默认共享和高危端口

关闭不需要的系统服务、默认共享和高危端口

1.以具有相应权限的身份登录系统，使用“service -status-all | grep running”命令查看危险的网络服务是否关闭
2.以具有相应权限的身份登录系统，使用“netstat -ntlp”命令查看并确认开发的端口是否都为业务需要的端口，是否已关闭非必须的端口
3.linux系统中不存在共享问题

1.已关闭操作系统中多余的、危险的服务和进程
2.已关闭非必须的端口

应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

linux系统中有/etc/hosts.allow和/etc/hosts.deny两个文件，
/etc/hosts.allow文件用于控制可以访问本机的ip，/etc/hosts.deny文件用于控制禁止访问本机的ip，如果他们有冲突以/etc/hosts.deny的配置为准。

1.查看/etc/hosts.deny文件中是否有“ALL:ALL”字样，
2.核查是否已通过防火墙对接入终端进行限制

1./etc/hosts.allow文件中配置了某个ip及访问方式
2.对终端接入方式、网络地址范围等条件进行限制，通过radus、堡垒机、防火墙等运维方式对终端接入方式限制

应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

1.查看漏洞扫描报告或由第三方提供的漏洞报告中是否存在高风险漏洞
2.核查操作系统中是否有漏洞测试环境及补丁更新机制和流程
3.访谈系统管理员，了解补丁升级机制，查看补丁安装情况

1.运维团队定期进行漏洞扫描，在发现安全风险后及时进行修补
2.补丁更新时间为最近，已对补丁进行控制和管理

应能够检测到对重要节点进行入侵的行为，并在发生严重入侵时进行报警

能够检测到对重要节点进行入侵的行为，并在发生严重入侵时进行报警

1.访谈系统管理员并查看入侵检测措施，例如，通过“#more /var/log/secure | grep refused”命令查看入侵重要线索
2.核查是否启用了主机防火墙、TCPSYN保护机制等
3.访谈系统管理员，了解是否安装了主机入侵检测软件，查看已安装的主机入侵检测软件是否具备报警功能
4.查看网络拓扑图，核查网络中是否部署了网络入侵检测系统

1.入侵的重要路径被切断，不存在系统级入侵的可能
2.开启了主机防火墙的相关配置
3.安装了基于主机的IDS设备
4.在发生入侵事件时有记录和报警措施等

应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断

采用免受恶意代码攻击的技术措施或主动免疫可信验证机制对恶意代码进行检测

1.核查操作系统中安装的防病毒软件，访谈系统管理员，了解病毒库是否经常更新。核查病毒库是否为最新版本
2.核查操作系统是否实现了可信验证机制，是否能够对系统程序、应用程序和重要配置文件/参数进行可信验证。

1.部署了网络版防病毒软件，病毒库为最新版本，支持防恶意代码统一管理
2.部署了主动免疫可信验证机制，可及时阻断病毒入侵行为

可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性收到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心

对服务器设备，需要在启动过程中对预装软件进行完整性验证或检测，确保系统引导程序、系统程序、重要配置参数和关键应用程序的篡改行为能被发现并报警

1.核查服务器启动时是否进行了可信验证，查看对哪些系统引导程序、系统程序、重要配置参数进行了可信验证
2.通过修改重要系统程序之一和应用程序之一，核查是否能够检测到修改行为并报警
3.核查是否已将验证结果形成审计记录送至安全管理中心

1.服务器具有可信根芯片或硬件
2.在启动过程中，已基于可信根对系统引导程序、应用程序、系统程序等进行可信验证度量
3.在检测到可信性受到破坏后能报警，并将验证结果形成审计记录送至安全管理中心
4.安全管理中心可以接收设备的验证结果记录

应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

身份标识应具有唯一性，在用户进入Windows前，系统会弹出一个用户登录界面，要求用户输入用户名和密码，用户通过系统对用户名和密码的验证后即可登录

1.核查用户是否需要输入用户名和密码才能登录
2.核查Windows的默认用户名是否具有唯一性
3.选择“控制面板”-“管理工具”-“计算机管理”-“本地用户和组”选项，检查有哪些用户，并尝试使用空口令登录。
4.选择“控制面板”-“管理工具”-“本地安全策略”-“账户策略”-“密码策略”选项，核查密码策略设置是否合理。

1.用户登录时需要输入用户名和密码
2.Windows用户名具有唯一性
3.无法使用空口令登录
4.密码复杂性要求：已启用
密码长度：至少8位
密码最长使用期限：不为0
密码最短使用期限：不为0
强制密码历史：至少记住5个密码

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

Windows操作系统具有登录失败处理功能，可以通过适当配置账户锁定策略对用户的登录行为进行限制。

1.选择“控制面板”-“管理工具”-“本地安全策略”-“账户策略”-“密码锁定策略”选项，查看账户锁定事件和账户锁定阈值
2.在桌面“个性化”-“屏幕保护程序”选项，查看“等待时间”，以及“在恢复时显示登录屏幕”复选框是否被勾选。

1.账户锁定时间：不为不适用
2.账户锁定阈值：不为不适用
3.已启用远程登录连接超时自动退出的功能

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

Windows操作系统一般使用远程桌面进行远程管理。Windows server 2003 SP1针对远程桌面提供ssl加密功能，可以基于ssl对rdp客户端提供终端服务器的服务器身份验证、加密和rdp客户端通信。

1.如果采用本地管理或KVM等硬件管理方式，则此项要求默认满足
2.如果采用远程管理，则需采用带有加密管理的远程管理方式。在命令行窗口输入gpedit.msc命令，在弹出的“本地组策略编辑器”窗口查看“本地计算机 策略”-“计算机配置”-“管理模板”-“Windows组件”-“远程桌面服务”-“远程桌面会话主机”-“安全”中的相关项目。

1.本地或KVM默认符合此项
2.远程运维采用加密的rdp协议

应采用口令、密码技术、生物技术等两种或以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术为密码技术。

采用口令、密码技术、生物技术等两种或以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术为密码技术。

询问系统管理员，了解系统是否采用由口令、数字证书、生物技术等中的两种或以上组合的鉴别技术，并其中一种为密码技术

至少采用两种鉴别技术，其中一种为密码技术，