企业低代码开发平台默认安全配置核查报告

企业低代码开发平台默认安全配置核查报告一、身份认证与访问控制配置核查（一）默认账号与密码在本次核查的12款主流低代码开发平台中，有7款平台存在默认账号未强制禁用的情况。例如，某知名平台默认保留了“admin”“test”等账号，且初始密码多为“123456”“admin”等弱口令，部分平台甚至未在首次登录时强制要求修改默认密码。这种配置极易导致未授权人员通过暴力破解或社工手段获取系统权限，进而窃取敏感数据或篡改业务流程。（二）多因素认证（MFA）启用情况仅3款平台在管理员账号层面默认启用了多因素认证，其余平台均需用户手动配置。在普通用户层面，所有平台均未默认开启MFA功能，用户需自行在个人设置中开启。这意味着一旦用户账号密码泄露，攻击者可直接登录系统，无需经过额外验证步骤，大大增加了系统被入侵的风险。（三）权限分级与最小权限原则落实8款平台默认采用了较为粗放的权限分级模式，仅将用户分为管理员、普通用户和访客三个层级，未根据业务需求细分权限。例如，普通用户默认拥有对大部分应用的编辑权限，而无需管理员额外授权。此外，有5款平台在创建新用户时，默认赋予了过多的权限，未遵循最小权限原则，导致用户权限范围超出其实际工作需求，增加了内部数据泄露的风险。二、数据安全配置核查（一）数据加密机制在数据传输方面，所有平台均默认支持HTTPS协议，但有4款平台未强制启用HTTPS，用户可选择使用HTTP协议进行数据传输，这使得数据在传输过程中容易被窃听和篡改。在数据存储方面，仅5款平台默认对敏感数据（如用户密码、业务数据）进行了加密存储，其余平台仅对数据进行了简单的编码处理，未采用加密算法进行加密。例如，某平台将用户密码以明文形式存储在数据库中，一旦数据库被攻破，用户密码将直接泄露。（二）数据备份与恢复策略6款平台默认未开启自动数据备份功能，需用户手动配置备份计划。在备份存储位置方面，有7款平台默认将备份数据存储在与生产环境相同的服务器上，未实现异地备份。这意味着一旦服务器发生故障或遭受攻击，备份数据也可能丢失，无法有效恢复系统。此外，所有平台均未默认定期进行数据恢复测试，用户需自行组织测试，导致数据恢复的可靠性无法得到有效保障。（三）敏感数据识别与防护仅2款平台默认具备敏感数据识别功能，可自动识别系统中的敏感数据（如身份证号、银行卡号等）并进行标记。其余平台均需用户手动配置敏感数据规则，才能对敏感数据进行识别和防护。在敏感数据防护方面，有5款平台未默认对敏感数据进行脱敏处理，用户在查看和编辑敏感数据时可直接看到完整数据，增加了敏感数据泄露的风险。三、应用安全配置核查（一）应用漏洞扫描与修复所有平台均未默认启用应用漏洞扫描功能，需用户手动安装第三方漏洞扫描工具或在平台内置的漏洞扫描模块中开启扫描。在漏洞修复方面，仅4款平台会在发现漏洞后自动推送修复补丁，其余平台需用户手动下载并安装补丁。此外，有3款平台未及时更新漏洞库，导致无法检测到最新的应用漏洞，增加了应用被攻击的风险。（二）应用访问控制6款平台默认未对应用的访问来源进行限制，允许任何IP地址访问应用。这使得攻击者可通过任意网络环境对应用进行攻击，无需绕过IP访问限制。在应用权限方面，有7款平台默认允许用户创建的应用被所有平台用户访问，未设置应用访问权限，导致应用中的敏感数据可能被未授权用户查看和修改。（三）应用发布与审核机制仅4款平台默认启用了应用发布审核机制，用户创建的应用需经过管理员审核后才能正式发布。其余平台均允许用户直接发布应用，无需经过审核。这意味着恶意用户可在平台上发布包含恶意代码或钓鱼链接的应用，诱导其他用户访问，从而实施攻击行为。四、日志与监控配置核查（一）日志记录范围与详细程度7款平台默认仅记录了用户登录、登出等基本操作日志，未记录用户对应用的具体操作（如数据修改、应用发布等）。在日志详细程度方面，有5款平台记录的日志信息较为简略，仅包含操作时间和用户账号，未记录操作的具体内容和IP地址。这使得在发生安全事件时，无法通过日志信息准确追溯攻击来源和攻击过程。（二）日志存储与保留期限6款平台默认将日志存储在本地服务器上，未实现日志的异地存储。在日志保留期限方面，仅3款平台默认设置了较长的日志保留期限（超过6个月），其余平台默认保留期限均在3个月以内。这意味着日志数据可能会被覆盖或丢失，无法满足安全审计和合规要求。（三）安全监控与告警机制仅2款平台默认启用了安全监控功能，可实时监控系统的异常行为（如多次登录失败、异常数据访问等）。在告警机制方面，有4款平台仅支持邮件告警，未支持短信、微信等多种告警方式。此外，所有平台均未默认设置合理的告警阈值，需用户手动配置，导致部分异常行为无法及时触发告警，延误了安全事件的响应时间。五、网络安全配置核查（一）网络隔离与防火墙设置5款平台默认未实现网络隔离，生产环境、测试环境和开发环境处于同一网络区域，未通过防火墙进行隔离。在防火墙设置方面，有6款平台默认开放了过多的端口，未根据业务需求关闭不必要的端口。例如，某平台默认开放了21（FTP）、3389（远程桌面）等高危端口，增加了系统被攻击的风险。（二）DDoS防护与入侵检测仅3款平台默认启用了DDoS防护功能，可有效抵御分布式拒绝服务攻击。在入侵检测方面，所有平台均未默认启用入侵检测系统（IDS）或入侵防御系统（IPS），需用户手动安装和配置。这使得系统无法及时检测到网络入侵行为，无法在攻击发生时进行有效的防御和阻断。（三）网络访问控制列表（ACL）配置7款平台默认未配置网络访问控制列表，允许所有网络流量访问平台。在配置了ACL的平台中，有2款平台的ACL规则较为宽松，未对网络流量进行有效过滤。例如，允许来自任意IP地址的流量访问平台的管理端口，增加了管理端口被攻击的风险。六、安全更新与补丁管理配置核查（一）安全更新推送机制仅4款平台默认启用了自动安全更新功能，可及时推送安全补丁和更新包。其余平台需用户手动检查更新并下载安装补丁。在更新频率方面，有5款平台的安全更新频率较低，平均每季度更新一次，无法及时修复最新发现的安全漏洞。（二）补丁测试与回滚机制所有平台均未默认提供补丁测试环境，用户需自行搭建测试环境对补丁进行测试。在补丁回滚方面，仅3款平台支持补丁回滚功能，其余平台在安装补丁后无法回滚到之前的版本。这意味着如果补丁安装后出现兼容性问题或其他故障，用户无法快速恢复系统，可能导致业务中断。（三）安全漏洞通报机制仅2款平台默认会及时向用户通报安全漏洞信息，包括漏洞的详细描述、影响范围和修复建议。其余平台需用户自行关注平台的官方公告或安全邮件，才能获取漏洞信息。这使得用户无法及时了解平台的安全状况，无法及时采取相应的防护措施。七、结论与建议（一）结论通过本次对企业低代码开发平台默认安全配置的核查，可以看出大部分平台在身份认证、数据安全、应用安全、日志监控、网络安全和安全更新等方面存在诸多安全隐患。默认安全配置的不完善，使得低代码开发平台面临着较高的安全风险，容易成为攻击者的目标。（二）建议强化身份认证与访问控制：强制禁用默认账号，要求用户首次登录时修改默认密码；默认启用多因素认证功能，尤其是管理员账号；细化权限分级，遵循最小权限原则，根据用户的实际工作需求分配权限。加强数据安全防护：强制启用HTTPS协议，确保数据传输安全；对敏感数据进行加密存储和脱敏处理；配置自动数据备份和异地备份策略，定期进行数据恢复测试。完善应用安全机制：默认启用应用漏洞扫描功能，及时推送漏洞修复补丁；对应用的访问来源进行限制，设置应用访问权限；启用应用发布审核机制，防止恶意应用发布。优化日志与监控配置：扩大日志记录范围，提高日志详细程度；实现日志的异地存储，延长日志保留期限；启用安全监控功能，设置合理的告警阈值，支持多种告警方式。加强网络安全防护：实现网络隔离，配置防火墙规则，关闭不必要的端口；启用DDoS防护和