信息系统安全评估报告-1

信息系统安全评估报告本次评估对象为国内中型零售连锁企业A公司全渠道业务核心信息系统，评估范围覆盖支撑线上电商交易、线下门店收银、会员数据管理、供应链调度的全栈信息资产，评估周期为2024年2月15日至2024年3月20日，严格遵循《网络安全等级保护基本要求》（GB/T22239-2019）、《信息安全技术信息系统安全评估准则》（GB/T19711-2021）、《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规与国家标准完成全流程风险识别、分析与判定。评估方法与实施流程本次评估采用“人工访谈+工具扫描+渗透测试+文档审核”四维组合评估方法，针对不同层级资产适配差异化评估方案，确保风险识别无遗漏、结果准确可靠：针对基础设施层，采用Qualys企业级漏洞扫描器配合Nmap端口探测、Masscan全端口扫描完成服务器、网络设备、云资源、物联网终端的漏洞全量扫描，累计扫描在线资产节点127个，其中物理服务器21台、云服务器68台、网络交换机与防火墙32台、门店智能收银物联网终端6台；针对应用层，采用动态应用安全测试（DAST）、静态应用安全测试（SAST）结合交互式应用安全测试（IAST）完成核心交易系统、会员管理系统、供应链管理系统的代码审计与功能测试，累计覆盖核心代码模块112个，测试开放接口89个，模拟不同权限角色完成了17类业务场景的安全验证；针对数据层，通过自动化数据分级分类工具结合人工梳理，完成全系统数据资产的识别、分级，验证敏感个人信息、核心业务数据在存储、传输、使用、共享全流程的合规性；针对管理层面，访谈信息安全负责人、系统运维负责人、业务运营负责人、人力资源负责人共9人，审核现有安全管理制度、应急响应预案、人员权限管理文档、第三方合作协议共47份，通过实际操作验证制度落地执行情况，避免文档与实际执行脱节。本次评估实施流程分为四个阶段：第一阶段为准备阶段，组建由网络安全工程师、数据安全合规专家、渗透测试工程师构成的评估团队，明确评估边界与范围，收集系统拓扑图、资产清单、管理制度等基础资料，签订保密协议明确双方保密责任；第二阶段为现场实施阶段，进场完成资产探测、漏洞扫描、人工渗透测试、人员访谈、文档审核等工作，实时记录发现的所有异常问题，同步进行初步验证，避免误报；第三阶段为风险分析判定阶段，对发现的问题进行分类整理，按照“发生概率*影响程度”计算风险值，划分重大、高、中、低四个风险等级，交叉验证风险的可利用性与潜在危害；第四阶段为报告编制阶段，整理评估结果，结合企业实际业务情况提出可落地的整改建议。资产梳理与风险识别结果本次评估共梳理核心信息系统全链路资产342项，按业务重要性分为核心资产、重要资产、一般资产三个等级，其中核心资产包括支撑全渠道交易的核心业务服务器集群1套、存储1.2亿条会员个人信息与交易数据的核心数据库2套、对接第三方支付机构的支付网关1套，占总资产比例7.3%；重要资产包括各区域门店的前置服务器、线上CDN节点、企业办公终端、供应链管理系统，占比38.6%；一般资产包括内部文档服务器、测试环境节点、内部办公系统，占比54.1%。本次评估共识别各类安全问题72项，其中重大风险2项，高风险11项，中风险28项，低风险31项，各层级风险具体情况如下：基础设施层安全风险基础设施层共识别重大风险2项，高风险4项，中风险10项，低风险12项，重大风险具体情况为：第一，核心业务区边界防火墙规则配置错误，访问控制策略失效，评估过程中通过渗透测试发现，核心业务区与办公区之间的防火墙未限制办公区对核心数据库区的访问，办公区任意终端均可直接访问核心Oracle数据库的默认1521端口，且核心数据库本身未配置IP访问白名单，任何跨区域访问请求均可直接响应，攻击者一旦通过钓鱼邮件攻陷办公区任意普通终端，即可快速横向移动至核心数据区，直接窃取、篡改或删除核心业务数据，风险值计算为9.2（满分10分，≥8分为重大风险）。第二，公有云控制台权限管理混乱，A公司核心业务系统部署在公有云平台，评估发现共有7名已离职员工的云控制台管理员账号未被注销，其中3名账号拥有核心云服务器、云数据库的完全控制权限，且云平台操作日志未开启异常登录告警，未启用多因素身份认证，离职人员若恶意登录控制台删除数据、修改配置，无法被及时发现，会直接导致全系统业务中断，风险值计算为8.9。基础设施层高风险问题主要包括：12台面向公网的云服务器存在未修复的高危通用漏洞，包括Log4j2远程代码执行漏洞（CVE-2021-44228）、SpringCloud远程代码执行漏洞（CVE-2022-22965）、ApacheHTTP服务路径穿越漏洞，其中3台漏洞位于可直接访问的前端服务器，攻击者无需身份认证即可利用漏洞获取服务器权限；现有边界入侵检测系统（IDS）规则已187天未更新，无法识别最新的Web攻击手段与漏洞利用工具，近三个月的攻击告警未安排专人复盘分析，累计积压未处理告警超过12万条，IDS完全失去预警作用；物理机房门禁仅采用单一密码验证，未启用生物识别验证与出入登记制度，非授权人员可通过尾随方式进入机房，且物理机房监控视频仅保留15天，不符合监管要求的至少90天存储要求。应用系统层安全风险应用系统层共识别高风险7项，中风险15项，低风险9项，主要安全问题包括：第一，核心交易系统商品查询接口存在无身份认证的SQL注入漏洞，接口未对用户输入的特殊字符进行过滤转义，攻击者可通过构造恶意SQL语句直接查询核心数据库内所有会员信息、交易数据，经实际测试验证，该漏洞可直接利用，10分钟内即可导出全量会员账号信息，属于高危可利用漏洞。第二，用户身份认证机制存在缺陷，会员登录接口未启用暴力破解防护与图形验证码校验，攻击者可通过批量工具尝试账号密码组合，且系统未强制要求用户设置长度超过8位的复杂密码，评估过程中利用公开泄露密码库开展撞库测试，成功获取1217个有效会员账号，其中32个为管理员测试账号。第三，前端敏感信息存储不规范，系统将用户的收货地址、手机号、登录凭证等敏感信息存储在浏览器LocalStorage中，未做加密处理，若用户访问恶意网站，攻击者可通过跨站脚本（XSS）攻击窃取LocalStorage中的所有敏感信息，直接盗用用户账号。第四，越权访问漏洞普遍存在，普通用户登录后，通过修改订单查询请求中的订单ID参数，即可获取其他用户的完整订单信息，包括收货地址、联系电话、支付金额等敏感信息，评估过程中随机测试100个订单ID，成功获取96个非授权订单信息。第五，第三方接口权限配置不当，对接的第三方物流服务商接口拥有查询全量会员收货信息的权限，未做接口访问频次限制，未启用接口签名校验，第三方服务商系统一旦发生安全问题，会直接导致A公司全量用户信息泄露。第六，系统上线前未清理测试遗留后门，评估过程中在会员管理后台发现2个预留的测试账号，账号密码均为默认的test/test，拥有全平台后台管理权限，攻击者可直接登录获取所有权限。数据安全与合规风险A公司核心系统累计处理超过1.2亿条个人信息，属于《个人信息保护法》规定的重要个人信息处理者，本次评估共识别数据安全高风险4项，中风险10项，低风险6项，主要问题包括：第一，数据分级分类工作未落实，未按照《信息安全技术数据分类分级规则》（GB/T41479-2022）对全系统数据进行梳理分级，核心会员敏感个人信息与普通业务数据混存，未对敏感数据采取加密存储、加密传输措施，核心数据库中存储的会员身份证号、银行卡号、收货地址均为明文存储，若数据库发生非授权访问，所有敏感信息会直接泄露。第二，个人信息收集处理不符合合规要求，注册会员环节强制要求用户提供家庭住址、工作单位、收入水平等与交易服务无关的个人信息，未在隐私政策中明确公示各类个人信息的使用范围、保存期限，未提供便捷的线上账号注销与个人信息删除通道，用户提交注销申请需要线下拨打客服电话，经过7个工作日的人工审核，不符合《个人信息保护法》关于个人信息主体权益保障的要求。第三，数据传输未做加密保护，约三分之一的线下门店收银系统与核心服务器之间的数据传输采用明文HTTP协议，攻击者可在门店局域网内通过抓包获取用户的支付信息与会员信息，截获交易订单数据。第四，数据备份与容灾机制不完善，核心业务数据虽然做到了每日增量备份，但是所有备份数据均存储在本地机房的同区域存储设备中，未建立异地灾备机制，也未定期验证备份数据的可用性，若发生机房火灾、水灾等不可抗力事件，会导致核心数据永久丢失，无法恢复。第五，未按监管要求开展合规评估，近三年未针对核心数据资产开展专项数据安全风险评估，也未完成个人信息保护影响评估（PIA）并向监管部门报送，不符合合规要求。安全管理层面风险安全管理层面共识别高风险3项，中风险10项，低风险18项，主要问题包括：第一，未设立专职网络安全管理岗位，现有系统运维工作由运维部门3名人员兼职负责，未明确专职信息安全负责人，安全职责划分模糊，发生安全事件后无法快速定位责任、启动响应，不符合等级保护2.0对安全管理机构的要求。第二，人员安全意识薄弱，近一年未组织全员网络安全培训与钓鱼演练，评估过程中对办公区30名员工开展模拟钓鱼测试，共21名员工点击了钓鱼链接并输入了办公账号密码，点击成功率达到70%，远高于零售行业30%的平均水平，攻击者通过钓鱼邮件获取内部权限的难度极低。第三，应急响应机制不完善，现有网络安全应急预案为三年前编制，未根据系统升级、业务扩张、监管要求更新，近三年未组织过任何实战化应急演练，预案中未明确安全事件的上报流程、上报时限与责任分工，发生安全事件后无法快速处置。第四，权限管理不符合最小权限原则，约42%的在职业务人员账号开通了超出其工作需求的系统权限，本次评估共清理出59个过度权限账号、127个已离职人员未注销的业务系统账号，权限管控完全处于失控状态。第五，第三方安全管理缺失，对接的11家第三方服务商均未签订专门的安全保密协议，未明确双方数据安全责任，也未对第三方服务商的安全能力进行定期评估，部分第三方服务商拥有核心系统访问权限，却未对其访问行为进行审计，第三方带来的风险无法管控。风险综合分析从网络攻击链的角度分析，本次评估发现的问题覆盖了攻击者入侵的全流程：公网服务器存在未修复的高危漏洞，为攻击者提供了现成的入侵入口；防火墙错误配置与核心数据库白名单缺失，为攻击者横向移动窃取核心数据提供了通道；核心敏感数据明文存储，让攻击者攻击获利的成本极低；未开启安全告警与日志审计，让攻击者可以长期驻留系统不被发现。整体来看，A公司核心信息系统未建立纵深防御体系，安全防护能力处于行业中下游水平，不满足等级保护三级的合规要求，也不符合《数据安全法》《个人信息保护法》的监管要求。从潜在影响来看，本次识别的2项重大风险均属于极高发生概率、极高影响程度的风险，零售行业是黑产攻击的高发领域，核心会员数据是黑产重点窃取的目标，一旦攻击者利用重大风险窃取全量会员信息，不仅会造成千万级别的直接经济损失，还会面临监管部门的行政处罚，根据《个人信息保护法》规定，发生大规模个人信息泄露的，最高可处上一年度营业额百分之五的罚款，同时会对企业品牌声誉造成不可逆的损害，引发用户信任危机。11项高风险多为配置不当、管理缺失导致的常见问题，攻击者结合多个中高风险漏洞即可完成从公网到核心区域的完整入侵，潜在危害较大，需要尽快完成整改。整改建议与实施路径本次评估按照风险等级划分整改优先级：重大风险要求立即整改，高风险要求1个月内完成整改，中风险要求3个月内完成整改，低风险要求6个月内完成长效整改，具体整改建议如下：重大风险立即整改措施第一，3个工作日内完成防火墙访问控制规则梳理调整，关闭核心数据库端口对办公区、公网的非授权访问，为核心数据库配置IP访问白名单，仅允许授权应用服务器访问数据库端口，配置完成后开展多轮访问验证，确保规则配置正确，不存在误拦截与误放行问题。第二，立即开展全平台账号清理，1周内注销所有离职人员的云控制台账号与业务系统账号，梳理在职人员云控制台权限，落实最小权限原则，仅为必要管理人员开放管理员权限，开启云平台操作日志全量存储与异常登录、异常操作告警，为所有管理员账号启用多因素身份认证，建立每周一次的账号权限复盘机制，及时清理异常账号。高风险限期整改措施第一，1个月内完成所有高危漏洞的修复，对于无法直接安装补丁的业务系统，临时配置Web应用防火墙（WAF）防护规则、限制访问IP范围，避免被攻击者利用，建立常态化漏洞管理机制，每月开展一次全资产漏洞扫描，要求高危漏洞7天内完成修复，中低风险漏洞30天内完成修复。第二，4周内完成应用层所有漏洞的代码修复，修复完成后开展二次安全验证，确认漏洞完全修复，核心业务系统上线前必须完成安全测试，遗留后门账号、测试配置必须清理完毕才可上线，同时上线WAF对所有Web应用进行防护，拦截常见Web攻击。第三，3周内完成敏感数据加密改造，对核心数据库中的身份证号、银行卡号、手机号等敏感信息进行加密存储，所有数据传输启用HTTPS加密，关闭明文HTTP服务，完成全量数据的分级分类梳理，明确核心敏感数据范围，落实分级防护要求。第四，2周内完成所有业务系统的账号清理，回收在职人员的过度权限，建立账号全生命周期管理制度，将离职账号注销纳入人力资源离职流程，人员离职必须完成账号注销才可办理离职手续。中低风险长效整改措施第一，落实合规整改要求，调整个人信息收集范围，严格落实最小必要原则，删除与业务无关的个人信息收集项