设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14435] 2019-08-05_等保2.0高风险项判定汇总
返回列表 发新帖
查看: 1|回复: 0

[14435] 2019-08-05_等保2.0高风险项判定汇总

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-08-05_等保2.0高风险项判定汇总 等 保 2 . 0 高 风 险 项 判 定 汇 总 F r e e B u f   2 0 1 9 - 0 8 - 0 5 以 下 文 章 来 源 于 F r e e B u f 企 业 安 全   ， 作 者 宇 宸 默 安 前 不 久 （ 前 不 久 （ 7 月 月 1 4 日 ） 网 上 发 布 了 《 网 络 安 全 等 级 保 护 测 评 高 风 险 判 定 指 引 》 ， 并 计 划 于 日 ） 网 上 发 布 了 《 网 络 安 全 等 级 保 护 测 评 高 风 险 判 定 指 引 》 ， 并 计 划 于 2 0 1 9 年 年 1 0 月 月 1 日 起 施 行 。 日 起 施 行 。 看 到 后 ， 第 一 感 觉 ， 好 贴 心 哦 ， 还 告 诉 你 哪 些 是 重 点 ， 要 怎 么 改 。 看 完 后 感 觉 ， 这 是 要 我 们 半 条 命 么 ？ 看 到 后 ， 第 一 感 觉 ， 好 贴 心 哦 ， 还 告 诉 你 哪 些 是 重 点 ， 要 怎 么 改 。 看 完 后 感 觉 ， 这 是 要 我 们 半 条 命 么 ？ 无 论 怎 无 论 怎 样 ， 该 重 点 关 注 的 还 是 要 去 关 注 ， 做 好 安 全 工 作 。 样 ， 该 重 点 关 注 的 还 是 要 去 关 注 ， 做 好 安 全 工 作 。 引 言 引 言 所 谓 高 风 险 项 ， 就 是 等 保 测 评 时 可 以 一 票 否 决 的 整 改 项 ， 如 果 不 改 ， 无 论 你 多 少 分 都 会 被 定 为 不 合 格 。 全 文 共 5 8 页 ， 写 得 比 较 细 了 ， 但 是 想 到 大 家 基 本 不 会 有 耐 心 去 仔 细 看 的 （ 凭 直 觉 ） 。 这 几 天 挑 里 边 相 对 重 点 的 内 容 列 了 出 来 ， 就 是 企 业 要 重 点 关 注 的 ， 把 这 些 做 好 ， 上 7 0 分 应 该 不 成 问 题 ， 个 人 认 为 这 就 是 所 谓 的 抓 重 点 了 。 最 近 要 定 级 或 者 明 年 打 算 升 级 等 保 2 . 0 的 可 以 参 考 下 。 说 明 ： 文 中 标 记 （ 3 级 ） 的 表 示 3 级 及 以 上 系 统 适 用 ， 标 记 （ 4 级 ） 的 表 示 4 级 系 统 适 用 ， 未 标 记 的 表 示 所 有 系 统 适 用 。 物 理 环 境 部 分 物 理 环 境 部 分 1 .   无 防 盗 报 警 系 统 、 无 监 控 系 统 ， 可 判 定 为 高 风 险 。 2 .   机 房 未 配 备 冗 余 或 并 行 电 力 线 路 供 电 来 自 于 同 一 变 电 站 ， 可 判 高 风 险 。 3 .   系 统 所 在 的 机 房 必 须 配 备 应 急 供 电 措 施 ， 如 未 配 备 ， 或 应 急 供 电 措 施 无 法 使 用 ， 可 判 高 风 险 。 （ 4 级 ） 4 .   对 于 涉 及 大 量 核 心 数 据 的 系 统 ， 如 机 房 或 关 键 设 备 所 在 的 机 柜 未 采 取 电 磁 屏 蔽 措 施 ， 可 判 高 风 险 。 （ 4 级 ） 网 络 通 信 部 分 网 络 通 信 部 分 1 .   对 可 用 性 要 求 较 高 的 系 统 ， 网 络 设 备 的 业 务 处 理 能 力 不 足 ， 高 峰 时 可 能 导 致 设 备 宕 机 或 服 务 中 断 ， 影 响 金 融 秩 序 或 F r e e B u f 企 业 安 全 企 业 安 全   . 专 注 企 业 安 全 的 精 品 内 容 分 享 平 台 ， 聚 焦 热 点 企 业 安 全 话 题 与 策 略 方 案 ， 助 推 企 业 安 全 建 设 发 展 。
引 发 群 体 事 件 ， 若 无 任 何 技 术 应 对 措 施 。 核 心 网 络 设 备 性 能 无 法 满 足 高 峰 期 需 求 ， 存 在 业 务 中 断 隐 患 ， 如 业 务 高 峰 期 ， 核 心 设 备 性 能 指 标 平 均 达 到 8 0 % 以 上 ， 可 判 定 为 高 风 险 。 2 .   应 按 照 不 同 网 络 的 功 能 、 重 要 程 度 进 行 网 络 区 域 划 分 ， 如 存 在 重 要 区 域 与 非 重 要 网 络 在 同 一 子 网 或 网 段 的 ， 可 判 定 为 高 风 险 。 3 .   互 联 网 出 口 无 任 何 访 问 控 制 措 施 ， 或 访 问 控 制 措 施 配 置 失 效 ， 存 在 较 大 安 全 隐 患 ， 可 判 定 为 高 风 险 。 （ 区 域 边 界 要 求 同 样 适 用 ） 4 .   办 公 网 与 生 产 网 之 间 无 访 问 控 制 措 施 ， 办 公 环 境 任 意 网 络 接 入 均 可 对 核 心 生 产 服 务 器 和 网 络 设 备 进 行 管 理 ， 可 判 定 为 高 风 险 。 5 .   对 可 用 性 要 求 较 高 的 系 统 ， 若 网 络 链 路 为 单 链 路 ， 核 心 网 络 节 点 、 核 心 网 络 设 备 或 关 键 计 算 设 备 无 冗 余 设 计 ， 一 旦 出 现 故 障 ， 可 能 导 致 业 务 中 断 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 6 .   对 数 据 传 输 完 整 性 要 求 较 高 的 系 统 ， 数 据 在 网 络 层 传 输 无 完 整 性 保 护 措 施 ， 一 旦 数 据 遭 到 篡 改 ， 可 能 造 成 财 产 损 失 的 ， 可 判 定 为 高 风 险 。 建 议 采 用 校 验 技 术 或 密 码 技 术 保 证 通 信 过 程 中 数 据 的 完 整 性 。 （ 3 级 ） 7 .   口 令 、 密 钥 等 重 要 敏 感 信 息 在 网 络 中 明 文 传 输 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 建 议 相 关 设 备 开 启   S S H   或 H T T P S   协 议 或 创 建 加 密 通 道 ， 通 过 这 些 加 密 方 式 传 输 敏 感 信 息 。 区 域 边 界 部 分 区 域 边 界 部 分 1 .   非 授 权 设 备 能 够 直 接 接 入 重 要 网 络 区 域 ， 如 服 务 器 区 、 管 理 网 段 等 ， 且 无 任 何 告 警 、 限 制 、 阻 断 等 措 施 的 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 如 接 入 的 区 域 有 严 格 的 物 理 访 问 控 制 ， 采 用 静 态   I P   地 址 分 配 ， 关 闭 不 必 要 的 接 入 端 口 ， I P - M A C   地 址 绑 定 等 措 施 的 ， 可 酌 情 降 低 风 险 等 级 。 2 .   核 心 重 要 服 务 器 设 备 、 重 要 核 心 管 理 终 端 ， 如 无 法 对 非 授 权 联 到 外 部 网 络 的 行 为 进 行 检 查 或 限 制 ， 或 内 部 人 员 可 旁 路 、 绕 过 边 界 访 问 控 制 设 备 私 自 外 联 互 联 网 ， 可 判 定 为 高 风 险 。 （ 3 级 ）
如 机 房 、 网 络 等 环 境 可 控 ， 非 授 权 外 联 可 能 较 小 ， 相 关 设 备 上 的   U S B   接 口 、 无 线 网 卡 等 有 管 控 措 施 ， 对 网 络 异 常 进 行 监 控 及 日 志 审 查 ， 可 酌 情 降 低 风 险 等 级 。 3 . 内 部 核 心 网 络 与 无 线 网 络 互 联 ， 且 之 间 无 任 何 管 控 措 施 ， 一 旦 非 授 权 接 入 无 线 网 络 即 可 访 问 内 部 核 心 网 络 区 域 ， 存 在 较 大 安 全 隐 患 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 如 无 特 殊 需 要 ， 内 部 核 心 网 络 不 应 与 无 线 网 络 互 联 ； 如 因 业 务 需 要 ， 则 建 议 加 强 对 无 线 网 络 设 备 接 入 的 管 控 ， 并 通 过 边 界 设 备 对 无 线 网 络 的 接 入 设 备 对 内 部 核 心 网 络 的 访 问 进 行 限 制 ， 降 低 攻 击 者 利 用 无 线 网 络 入 侵 内 部 核 心 网 络 。 4 .   与 互 联 网 互 连 的 系 统 ， 边 界 处 如 无 专 用 的 访 问 控 制 设 备 或 配 置 了 全 通 策 略 ， 可 判 定 为 高 风 险 。 5 .   可 控 网 络 环 境 与 不 可 控 网 络 环 境 之 间 数 据 传 输 未 采 用 通 信 协 议 转 换 或 通 信 协 议 隔 离 等 方 式 进 行 数 据 转 换 （ 网 闸 或 前 置 机 ） ， 可 判 定 为 高 风 险 。 （ 4 级 ） 6 .   关 键 网 络 节 点 （ 如 互 联 网 边 界 处 ） 未 采 取 任 何 防 护 措 施 ， 无 法 检 测 、 阻 止 或 限 制 互 联 网 发 起 的 攻 击 行 为 （ 无 入 侵 防 御 设 备 、 云 防 、 W A F 等 ） ， 可 判 定 为 高 风 险 。 （ 3 级 ） 7 .   关 键 网 络 节 点 （ 如 核 心 服 务 器 区 与 其 他 内 部 网 络 区 域 边 界 处 ） 未 采 取 任 何 防 护 措 施 ， 无 法 检 测 、 阻 止 或 限 制 从 内 部 发 起 的 网 络 攻 击 行 为 （ 无 入 侵 防 御 、 防 火 墙 等 ） ， 可 判 定 为 高 风 险 。 （ 3 级 ） 8 .   主 机 和 网 络 层 均 无 任 何 恶 意 代 码 检 测 和 清 除 措 施 的 ， 可 判 定 为 高 风 险 。 9 .   在 网 络 边 界 、 重 要 网 络 节 点 无 任 何 安 全 审 计 措 施 ， 无 法 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 日 志 审 计 ， 可 判 定 为 高 风 险 。 计 算 环 境 部 分 计 算 环 境 部 分 1 .   网 络 设 备 、 安 全 设 备 、 操 作 系 统 、 数 据 库 等 存 在 空 口 令 或 弱 口 令 帐 户 （ 包 括 默 认 口 令 ） ， 并 可 通 过 该 弱 口 令 帐 户 登 录 ， 可 判 定 为 高 风 险 。 2 .   通 过 不 可 控 网 络 环 境 远 程 管 理 的 网 络 设 备 、 安 全 设 备 、 操 作 系 统 、 数 据 库 等 ， 鉴 别 信 息 明 文 传 输 ， 容 易 被 监 听 ， 造 成 数 据 泄 漏 ， 可 判 定 为 高 风 险 。 3 .   重 要 核 心 设 备 、 操 作 系 统 等 未 采 用 两 种 或 两 种 以 上 鉴 别 技 术 对 用 户 身 份 进 行 鉴 别 。 例 如 仅 使 用 用 户 名 / 口 令 方 式 进 行 身 份 验 证 ， 削 弱 了 管 理 员 账 户 的 安 全 性 ， 无 法 避 免 账 号 的 未 授 权 窃 取 或 违 规 使 用 ， 4 级 系 统 多 种 鉴 别 技 术 中 未 用 到 密 码 技 术 或 生 物 技 术 。 可 判 定 为 高 风 险 。 （ 3 级 ）
4 . 网 络 设 备 、 安 全 设 备 、 操 作 系 统 等 存 在 多 余 系 统 服 务 / 默 认 共 享 / 高 危 端 口 存 在 ， 且 存 在 可 被 利 用 的 高 危 漏 洞 或 重 大 安 全 隐 患 ， 可 判 定 为 高 风 险 。 （ 注 意 不 只 系 统 和 应 用 ， 还 有 设 备 也 要 关 闭 多 余 端 口 ） 5 .   通 过 不 可 控 网 络 环 境 远 程 管 理 的 网 络 设 备 、 安 全 设 备 、 操 作 系 统 、 数 据 库 等 ， 未 采 取 技 术 手 段 对 管 理 终 端 进 行 限 制 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 6 . 对 于 一 些 互 联 网 直 接 能 够 访 问 到 的 网 络 设 备 、 安 全 设 备 、 操 作 系 统 、 数 据 库 等 ， 如 存 在 外 界 披 露 的 重 大 漏 洞 ， 未 及 时 修 补 更 新 ， 无 需 考 虑 是 否 有   P O C   攻 击 代 码 ， 可 判 定 为 高 风 险 。 （ 不 要 说 影 响 业 务 ， 某 大 型 企 业 H W 期 间 N 年 不 能 打 的 补 丁 2 天 全 搞 定 了 ） 7 .   通 过 验 证 测 试 或 渗 透 测 试 能 够 确 认 并 利 用 的 ， 可 对 网 络 设 备 、 安 全 设 备 、 操 作 系 统 、 数 据 库 等 造 成 重 大 安 全 隐 患 的 漏 洞 （ 包 括 但 不 限 于 缓 冲 区 溢 出 、 提 权 漏 洞 、 远 程 代 码 执 行 、 严 重 逻 辑 缺 陷 、 敏 感 数 据 泄 露 等 ） ， 可 判 定 为 高 风 险 。 8 .   W i n d o w s   操 作 系 统 未 安 装 防 恶 意 代 码 软 件 ， 并 进 行 统 一 管 理 （ 这 里 觉 得 官 方 描 述 有 问 题 ， 并 未 进 行 可 能 更 准 确 ） ， 无 法 防 止 来 自 外 部 的 恶 意 攻 击 或 系 统 漏 洞 带 来 的 危 害 ， 可 判 定 为 高 风 险 。 9 .   应 用 系 统 无 任 何 用 户 口 令 复 杂 度 校 验 机 制 ， 校 验 机 制 包 括 口 令 的 长 度 、 复 杂 度 等 ， 可 判 定 为 高 风 险 。 1 0 .   应 用 系 统 存 在 易 被 猜 测 的 常 用 / 弱 口 令 帐 户 ， 可 判 定 为 高 风 险 。 1 1 . 可 通 过 互 联 网 登 录 的 应 用 系 统 未 提 供 任 何 登 录 失 败 处 理 措 施 ， 攻 击 者 可 进 行 口 令 猜 测 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 1 2 . 通 过 互 联 网 方 式 访 问 ， 且 涉 及 大 额 资 金 交 易 、 核 心 业 务 等 操 作 的 系 统 ， 在 进 行 重 要 操 作 前 应 采 用 两 种 或 两 种 以 上 方 式 进 行 身 份 鉴 别 ， 如 只 采 用 一 种 验 证 方 式 进 行 鉴 别 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 1 3 .   应 用 系 统 访 问 控 制 功 能 存 在 缺 失 ， 无 法 按 照 设 计 策 略 控 制 用 户 对 系 统 功 能 、 数 据 的 访 问 ； 可 通 过 直 接 访 问   U R L   等 方 式 ， 在 不 登 录 系 统 的 情 况 下 ， 非 授 权 访 问 系 统 功 能 模 块 ， 可 判 定 为 高 风 险 。
1 4 .   应 用 系 统 访 问 控 制 策 略 存 在 缺 陷 ， 可 越 权 访 问 系 统 功 能 模 块 或 查 看 、 操 作 其 他 用 户 的 数 据 。 如 存 在 平 行 权 限 漏 洞 ， 低 权 限 用 户 越 权 访 问 高 权 限 功 能 模 块 等 ， 可 判 定 为 高 风 险 。 1 5 .   应 用 系 统 （ 包 括 前 端 系 统 和 后 台 管 理 系 统 ） 无 任 何 日 志 审 计 功 能 ， 无 法 对 用 户 的 重 要 行 为 进 行 审 计 ， 也 无 法 对 事 件 进 行 溯 源 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 1 6 .   由 于 校 验 机 制 缺 失 导 致 的 应 用 系 统 存 在 如   S Q L   注 入 、 跨 站 脚 本 、 上 传 漏 洞 等 高 风 险 漏 洞 ， 可 判 定 为 高 风 险 。 1 7 .   应 用 系 统 所 使 用 的 环 境 、 框 架 、 组 件 等 存 在 可 被 利 用 的 高 风 险 漏 洞 ， 导 致 敏 感 数 据 泄 露 、 网 页 篡 改 、 服 务 器 被 入 侵 等 安 全 事 件 的 发 生 ， 可 能 造 成 严 重 后 果 的 ， 可 判 定 为 高 风 险 。 1 8 .   通 过 测 试 ， 发 现 应 用 系 统 的 业 务 功 能 （ 如 密 码 找 回 功 能 等 ） 存 在 高 风 险 安 全 漏 洞 或 严 重 逻 辑 缺 陷 ， 可 能 导 致 修 改 任 意 用 户 密 码 、 绕 过 安 全 验 证 机 制 非 授 权 访 问 等 情 况 。 可 判 定 为 高 风 险 。 1 9 .   对 传 输 完 整 性 要 求 较 高 的 系 统 ， 如 未 采 取 任 何 措 施 保 障 重 要 数 据 传 输 完 整 性 ， 重 要 数 据 在 传 输 过 程 中 被 篡 改 可 能 造 成 严 重 后 果 的 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 2 0 .   用 户 鉴 别 信 息 、 公 民 敏 感 信 息 数 据 或 重 要 业 务 数 据 等 以 明 文 方 式 在 不 可 控 网 络 中 传 输 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 2 1 .   用 户 身 份 认 证 信 息 、 个 人 敏 感 信 息 数 据 、 重 要 业 务 数 据 、 行 业 主 管 部 门 定 义 的 非 明 文 存 储 类 数 据 等 以 明 文 方 式 存 储 ， 且 无 其 他 有 效 保 护 措 施 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 2 2 .   应 用 系 统 未 提 供 任 何 数 据 备 份 措 施 ， 一 旦 遭 受 数 据 破 坏 ， 无 法 进 行 数 据 恢 复 的 ， 可 判 定 为 高 风 险 。 2 3 .   对 系 统 、 数 据 容 灾 要 求 较 高 的 系 统 ， 如 金 融 、 医 疗 卫 生 、 社 会 保 障 等 行 业 系 统 ， 如 无 异 地 数 据 灾 备 措 施 ， 或 异 地 备 份 机 制 无 法 满 足 业 务 需 要 ， 可 判 定 为 高 风 险 。 2 4 .   对 数 据 处 理 可 用 性 要 求 较 高 系 统 （ 如 金 融 行 业 系 统 、 竞 拍 系 统 、 大 数 据 平 台 等 ） ， 应 采 用 热 冗 余 技 术 提 高 系 统 的 可 用 性 ， 若 核 心 处 理 节 点 （ 如 服 务 器 、 D B   等 ） 存 在 单 点 故 障 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 2 5 .   对 容 灾 、 可 用 性 要 求 较 高 的 系 统 ， 如 金 融 行 业 系 统 ， 如 未 设 立 异 地 应 用 级 容 灾 中 心 ， 或 异 地 应 用 级 容 灾 中 心 无 法 实 现 业 务 切 换 ， 可 判 定 为 高 风 险 。 （ 4 级 ） 2 6 .   身 份 鉴 别 信 息 释 放 或 清 除 机 制 存 在 缺 陷 ， 如 在 正 常 进 行 释 放 或 清 除 身 份 鉴 别 信 息 操 作 后 ， 仍 可 非 授 权 访 问 系 统 资 源 或 进 行 操 作 （ 同 样 适 用 于 敏 感 信 息 ） ， 可 判 定 为 高 风 险 。 2 7 .   在 采 集 和 保 存 用 户 个 人 信 息 时 ， 应 通 过 正 式 渠 道 获 得 用 户 同 意 、 授 权 ， 如 在 未 授 权 情 况 下 ， 采 取 、 存 储 用 户 个 人 隐 私 信 息 ， 可 判 定 为 高 风 险 。 2 8 .   未 授 权 访 问 和 非 法 使 用 个 人 信 息 ， 如 在 未 授 权 情 况 下 将 用 户 信 息 提 交 给 第 三 方 处 理 ， 未 脱 敏 的 情 况 下 用 于 其 他 业 务 用 途 ， 未 严 格 控 制 个 人 信 息 查 询 以 及 导 出 权 限 ， 非 法 买 卖 、 泄 露 用 户 个 人 信 息 等 ， 可 判 定 为 高 风 险 。 管 理 中 心 部 分 管 理 中 心 部 分
1 .   《 网 络 安 全 法 》 要 求 “ 采 取 监 测 、 记 录 网 络 运 行 状 态 、 网 络 安 全 事 件 的 技 术 措 施 ， 并 按 照 规 定 留 存 相 关 的 网 络 日 志 不 少 于 六 个 月 ” ； 因 此 ， 如 相 关 设 备 日 志 留 存 不 满 足 法 律 法 规 相 关 要 求 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 2 .   未 部 署 相 关 安 全 设 备 ， 识 别 网 络 中 发 生 的 安 全 事 件 ， 并 对 重 要 安 全 事 件 进 行 报 警 的 ， 可 判 定 为 高 风 险 。 管 理 制 度 部 分 管 理 制 度 部 分 1 .   判 例 内 容 ： 未 建 立 任 何 与 安 全 管 理 活 动 相 关 的 管 理 制 度 或 相 关 管 理 制 度 无 法 适 用 于 当 前 被 测 系 统 的 ， 可 判 定 为 高 风 险 。 管 理 机 构 部 分 管 理 机 构 部 分 1 .   未 成 立 指 导 和 管 理 信 息 安 全 工 作 的 委 员 会 或 领 导 小 组 ， 或 其 最 高 领 导 不 是 由 单 位 主 管 领 导 委 任 或 授 权 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 建 设 管 理 部 分 建 设 管 理 部 分 1 .   网 络 关 键 设 备 和 网 络 安 全 专 用 产 品 的 使 用 违 反 国 家 有 关 规 定 ， 可 判 定 为 高 风 险 。 （ 其 实 就 是 尽 可 能 使 用 国 产 品 牌 ） 建 议 依 据 国 家 有 关 规 定 ， 采 购 和 使 用 网 络 关 键 设 备 和 网 络 安 全 专 用 产 品 。 （ 《 网 络 安 全 法 》 第 二 十 三 条 规 定 网 络 关 键 设 备 和 网 络 安 全 专 用 产 品 应 当 按 照 相 关 国 家 标 准 的 强 制 性 要 求 ， 由 具 备 资 格 的 机 构 安 全 认 证 合 格 或 者 安 全 检 测 符 合 要 求 后 ， 方 可 销 售 或 者 提 供 。 国 家 网 信 部 门 会 同 国 务 院 有 关 部 门 制 定 、 公 布 网 络 关 键 设 备 和 网 络 安 全 专 用 产 品 目 录 ， 并 推 动 安 全 认 证 和 安 全 检 测 结 果 互 认 ， 避 免 重 复 认 证 、 检 测 。 ） 2 .   对 于 涉 及 金 融 、 民 生 、 基 础 设 施 等 重 要 行 业 的 业 务 核 心 系 统 由 外 包 公 司 开 发 ， 上 线 前 未 对 外 包 公 司 开 发 的 系 统 进 行 源 代 码 审 查 ， 外 包 商 也 无 法 提 供 相 关 安 全 检 测 证 明 ， 可 判 定 为 高 风 险 。 （ 3 级 ） 3 .   系 统 上 线 前 未 通 过 安 全 性 测 试 ， 或 未 对 相 关 高 风 险 问 题 进 行 安 全 评 估 仍 旧 “ 带 病 ” 上 线 的 ， 可 判 定 为 高 风 险 。 安 全 检 查 内 容 可 以 包 括 但 不 限 于 扫 描 渗 透 测 试 、 安 全 功 能 验 证 、 源 代 码 安 全 审 核 （ 国 家 逐 步 开 始 推 广 S D L 的 落 地 ） 。 （ 3 级 ） 运 维 管 理 部 分 运 维 管 理 部 分 1 .   未 对 发 现 的 安 全 漏 洞 和 隐 患 及 时 修 补 ， 会 导 致 系 统 存 在 较 大 的 安 全 隐 患 ， 黑 客 有 可 能 利 用 安 全 漏 洞 对 系 统 实 施 恶 意 攻 击 ， 如 果 安 全 漏 洞 和 隐 患 能 够 构 成 高 危 风 险 ， 可 判 定 为 高 风 险 （ 对 应 前 边 漏 洞 管 理 的 内 容 ， 要 求 相 同 ） 。 （ 3 级 ） 2 .   未 对 运 维 过 程 中 改 变 连 接 、 安 装 系 统 组 件 或 调 整 配 置 参 数 进 行 变 更 审 批 ， 且 未 进 行 变 更 性 测 试 ， 一 旦 安 装 系 统 组 件 或 调 整 配 置 参 数 对 系 统 造 成 影 响 ， 有 可 能 导 致 系 统 无 法 正 常 访 问 ， 出 现 异 常 ， 可 判 定 为 高 风 险 （ 系 统 变 更 管 理 上 升 为 高 危 风 险 点 ） 。 （ 3 级 ） 3 .   未 明 确 变 更 管 理 流 程 ， 未 对 需 要 变 更 的 内 容 进 行 分 析 与 论 证 ， 未 制 定 详 细 的 变 更 方 案 ， 无 法 明 确 变 更 的 需 求 与 必 要 性 ； 变 更 的 同 时 也 伴 随 着 可 能 导 致 系 统 无 法 正 常 访 问 的 风 险 ， 可 判 定 为 高 风 险 （ 变 更 流 程 无 完 善 ， 缺 乏 理 论 验 证 和 分 析 ） 。 （ 3 级 ） 4 .   未 对 各 类 运 维 工 具 （ 特 别 是 未 商 业 化 的 运 维 工 具 ） 进 行 有 效 性 检 查 ， 未 对 运 维 工 具 的 接 入 进 行 严 格 的 控 制 和 审 批 ， 运 维 工 具 中 可 能 存 在 漏 洞 或 后 门 ， 一 旦 被 黑 客 利 用 有 可 能 造 成 数 据 泄 漏 ， 可 判 定 为 高 风 险 （ 使 用 盗 版 工 具 的 可 能 会 被 判 定 为 高 风 险 ） 。 （ 3 级 ） 5 .   制 度 上 服 务 器 及 终 端 与 外 部 连 接 的 授 权 和 批 准 制 度 （ 此 处 原 文 描 述 可 能 不 准 确 ） ， 也 未 定 期 对 相 关 违 反 网 络 安 全 策 略 的 行 为 进 行 检 查 ， 存 在 违 规 外 联 的 安 全 隐 患 ， 一 旦 内 网 服 务 器 或 终 端 违 规 外 联 ， 可 能 造 成 涉 密 信 息 （ 商 密 信 息 ） 的 泄 露 ， 同 时 增 加 了 感 染 病 毒 的 可 能 性 ， 可 判 定 为 高 风 险 （ 管 理 层 面 的 违 规 外 联 管 理 ， 要 有 制 度 还 要 有 执 行 的 过 程 ） 。 （ 3 级 ）
6 .   外 来 计 算 机 或 存 储 设 备 本 身 可 能 已 被 感 染 病 毒 或 木 马 ， 未 对 其 接 入 系 统 前 进 行 恶 意 代 码 检 查 ， 可 能 导 致 系 统 感 染 病 毒 或 木 马 ， 对 信 息 系 统 极 大 的 危 害 ， 可 判 定 为 高 风 险 。 7 .   未 制 定 重 要 事 件 的 应 急 预 案 ， 未 明 确 重 要 事 件 的 应 急 处 理 流 程 、 系 统 恢 复 流 程 等 内 容 ， 一 旦 出 现 应 急 事 件 ， 无 法 合 理 有 序 的 进 行 应 急 事 件 处 置 过 程 ， 造 成 应 急 响 应 时 间 增 长 ， 导 致 系 统 不 能 在 最 短 的 事 件 内 进 行 恢 复 ， 可 判 定 为 高 风 险 。 8 .   未 定 期 对 相 关 人 员 进 行 应 急 预 案 培 训 ， 未 根 据 不 同 的 应 急 预 案 进 行 应 急 演 练 ， 无 法 提 供 应 急 预 案 培 训 和 演 练 记 录 ， 可 判 定 为 高 风 险 （ 无 应 急 培 训 ， 无 应 急 演 练 ） 。 （ 3 级 ） 汇 总 一 下 汇 总 一 下

* 本 文 作 者 ： 本 文 作 者 ： 宇 宸 默 安 ， 本 文 属 宇 宸 默 安 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:16 , Processed in 0.799567 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表