CIS关键安全控制 第8.1版 8.1

在企业资产上配置自动会话锁定，在定义的不活动时间后触发。对于通用操作系统，该时间不得超过15分钟。对于移动终端用户设备，该时间不得超过2分钟。

在企业资产上配置受信任的DNS服务器。示例实现包括：将资产配置为使用企业控制的DNS服务器和/或信誉良好的外部可访问DNS服务器。

在支持的情况下，在便携式终端用户设备上达到预设的本地认证失败次数阈值后，强制启用自动设备锁定。对于笔记本电脑，认证失败次数不得超过 20 次；对于平板电脑和智能手机，认证失败次数不得超过 10 次。示例实现包括 Microsoft® InTune 设备锁定和 Apple® 配置文件 maxFailedAttempts。

在认为适当的情况下，例如设备丢失或被盗，或个人不再为企业提供支持时，可远程擦除企业拥有的便携式终端用户设备上的企业数据。

为企业资产（终端用户设备，包括便携式和移动设备、非计算/物联网设备以及服务器）和软件（操作系统和应用程序）建立并维护安全配置流程。每年审查并更新文档，或在发生可能影响此防护措施的重大企业变更时进行更新。

建立并维护网络设备的安全配置流程。每年审查并更新文档，或在可能影响此防护措施的重大企业变更发生时进行更新。

在终端用户设备上实施和管理基于主机的防火墙或端口过滤工具，采用默认拒绝规则，丢弃所有流量，除非明确允许的服务和端口。

在支持的服务器上实施和管理防火墙。示例实现包括虚拟防火墙、操作系统防火墙或第三方防火墙代理。

管理企业资产和软件上的默认账户，如 root、管理员以及其他预配置的供应商账户。示例实施方式可以包括：禁用默认账户或使其无法使用。

安全管理企业资产和软件。示例实现包括通过版本控制的基础设施即代码（Infrastructure-as-Code）管理配置，以及通过安全网络协议（如安全外壳（SSH）和超文本传输安全协议（HTTPS））访问管理界面。除非操作上必需，否则不要使用不安全的管理协议，如Telnet（电传网络）和HTTP。

在支持的情况下，确保在移动终端用户设备上使用独立的企业工作区。示例实现包括使用苹果®配置文件或安卓™工作配置文件，将企业应用和数据与个人应用和数据分开。

卸载或禁用企业资产和软件中不必要的服务，例如未使用的文件共享服务、Web 应用模块或服务功能。