信息系统安全评估报告

信息系统安全评估报告本次信息系统安全评估覆盖某省级政务服务平台22个业务子系统、3套核心数据中台、17个边缘接入节点及配套运维管控体系，评估周期为2024年3月15日至2024年4月25日，严格遵循《网络安全等级保护2.0基本要求》《信息安全技术信息系统安全评估指南》（GB/T20984-2022）及政务领域数据安全专项规范开展，累计完成漏洞探测12.7万次、渗透测试场景136个、配置核验项1724项、人员安全访谈42人次、管理制度文档审查79份，最终形成全维度风险研判与整改落地路径。评估过程综合采用黑盒渗透、白盒代码审计、配置基线核查、日志溯源分析、人员访谈、现场勘验六种技术手段，所有测试环节均在业务低峰期开展，提前配置业务回滚预案，全程未对正常业务运行造成影响；评估基线严格对照等保三级系统的防护要求，结合政务系统的数据敏感性、业务连续性要求，细化形成18个一级评估指标、72个二级评估指标、219个三级核验点，覆盖“事前防护、事中监测、事后响应”全流程，所有风险判定均以实际测试验证结果、客观日志记录为依据，未采用主观推断性结论。现场勘验核心机房、2个同城灾备机房及17个区县自助终端节点发现，核心机房位于政务中心大楼1层承重符合设计标准，防雷、温控、防水等基础防护措施基本到位，但存在四项突出问题：一是机房门禁、视频监控系统的日志存储周期仅为28天，未达到等保要求的不少于6个月的留存标准，无法对非授权人员进入机房的行为做长效溯源，抽查2024年1-3月的门禁记录，发现有7次非运维登记人员跟随运维人员进入机房的记录，因监控日志覆盖不足无法核实相关人员的活动范围；二是机房内2个烟感探测器因2023年机房局部装修被板材遮挡，实测烟雾触发报警延迟达到47秒，远超国家规范要求的10秒以内报警阈值，气体灭火系统的3个喷口存在压力不足问题，无法在火情发生时达到设计灭火浓度；三是核心机房UPS电源组因3组电池老化，实测满负载续航时间仅为2.7小时，未达到设计要求的8小时续航标准，调取2023年8月12日市电中断事件记录显示，当时UPS供电42分钟后即触发低电量告警，导致2个涉企审批子系统中断服务1小时27分钟，累计影响办件127笔；四是17个区县部署的政务服务自助终端中，有5个终端的机箱物理锁损坏未及时更换，任何人可直接打开机箱接触内置存储硬盘，所有终端均未配置USB端口管控策略，外接存储设备插入后可自动运行，评估人员使用搭载测试程序的普通U盘接入终端，仅用1分20秒即获取终端系统管理员权限，可直接读取终端本地缓存的1.2万条用户办件记录、身份信息，甚至可通过终端网络跳板访问政务外网区的非核心业务系统。通过拓扑核验、流量分析、访问控制策略测试发现，当前网络整体划分为互联网接入区、DMZ区、业务应用区、核心数据区、运维管理区、测试开发区六个区域，区域边界部署了下一代防火墙、入侵防御系统，出口带宽扩容后可承载峰值12Gbps的访问流量，基础抗DDoS能力可抵御10Gbps以内的流量攻击，但存在三类核心风险：一是区域访问控制策略配置粗粒度，核心数据区与测试开发区之间未配置隔离策略，测试开发区内23套未做安全加固的测试系统可直接访问核心数据区1521、3306等数据库端口及22、3389等管理端口，且开发团队为调试方便，在测试系统中配置了与生产环境完全一致的数据库连接凭证，攻击者仅需攻陷防护能力薄弱的测试系统，即可直接横向移动至核心数据库，无需开展额外的权限提升操作；二是网络边界未部署全流量威胁探针，对加密流量攻击、内网横向移动行为缺乏监测能力，调取出口防火墙2024年1-3月的日志发现，累计观测到来自境外17个IP段的12.4万次SSH、RDP弱口令爆破尝试，其中3台测试服务器因存在“Admin@123”类弱口令被植入挖矿程序，残留的恶意进程直到评估启动时仍在占用17%的CPU计算资源，因缺乏全流量溯源能力，无法确认攻击者是否曾通过被攻陷的测试服务器访问过核心数据区；三是通信加密策略存在短板，政务服务移动端APP的4个业务接口仍支持SSL3.0、TLS1.0等存在已知漏洞的加密协议，未强制启用TLS1.2以上版本加密，评估人员在模拟公共WiFi的测试环境中，成功通过中间人攻击截获用户的登录会话令牌，可直接冒用用户身份提交办事申请、查询个人办件信息，共测试27个用户会话，截获成功率达到100%。对427台云主机、89台物理服务器、36台网络设备、12台安全设备做基线配置核查与漏洞扫描发现，79%的设备已按照基线要求开启了日志审计、恶意代码防护功能，但仍存在三类突出问题：一是高危漏洞修复不及时，19%的服务器存在超过180天未更新的系统补丁，其中包含CVE-2024-21762（FortinetSSLVPN远程代码执行漏洞，CVSS评分9.8）、CVE-2023-46604（ActiveMQ远程代码执行漏洞，CVSS评分9.8）等可直接被利用获取系统权限的高危漏洞17个，所有漏洞均存在公开的EXP脚本，攻击者可直接利用工具实现一键getshell；二是身份认证策略配置不严谨，31%的服务器未开启登录失败处理功能，可被无限次爆破账号密码，72台服务器开启了Telnet、FTP等明文传输协议，账号口令可通过网络嗅探直接获取，抽查126个运维账号的口令哈希值，有34个账号的口令属于常见弱口令，占比达到27%，还有4个已离职运维人员的账号未及时注销，日志显示其中1个账号在人员离职后的3个月内累计登录堡垒机17次，登录IP地址均为外部民用IP段；三是设备权限配置过度，42%的服务器给业务应用账号配置了系统管理员权限，应用进程一旦被攻击者控制，可直接获取整个服务器的操作权限，无需开展权限提升，网络设备的管理员账号未分权，所有运维人员均使用同一个超级管理员账号登录设备，无法溯源具体操作人。渗透测试、代码审计、接口测试、数据流转全链路追踪结果显示，当前平台已建成统一实名认证系统，采用人脸比对、短信验证、eID核验等多因子认证机制，评估过程中尝试的27种身份绕过方法均未成功，核心数据的本地备份、异地灾备策略执行到位，备份数据完整性校验通过率100%，但存在四类极高风险：一是业务系统存在严重的注入类、未授权访问类漏洞，22个业务子系统中有8个存在对象级未授权访问漏洞，集中在政务服务事项申报、办件进度查询模块，接口未对用户身份与查询对象的归属关系做二次校验，攻击者可通过遍历申报单ID批量获取其他用户提交的身份证号、手机号、房产信息、收入证明等敏感数据，评估过程中测试人员在未授权情况下成功获取127条真实用户的申报记录，其中包含32条涉及低保申请、残疾证办理的敏感个人信息；3个子系统的办事进度查询模块存在SQL注入漏洞，攻击者可构造恶意参数直接拖取业务库全量数据，经测算单库存储数据量约1200万条，覆盖2019年平台上线以来所有注册用户的基础信息、办件记录。二是数据共享接口未落实最小必要原则，平台向3家社会化合作平台开放的6个数据共享接口，原本仅需返回用户姓名、办件编号即可满足业务需求，但实际配置的返回字段包含用户身份证号、户籍地址、联系方式、办件详情等17个非必要字段，且接口未配置调用频率阈值、异常调用告警机制，调取接口日志发现，某合作平台在2024年1-3月的非业务时段（凌晨2点至5点）累计批量调用接口12.7万次，拉取数据量远超其业务承载范围，存在违规批量获取数据的嫌疑。三是敏感数据保护措施缺失，核心用户数据库中的身份证号、手机号等敏感字段均以明文形式存储，未做字段级加密，业务系统的查询接口未配置动态脱敏策略，拥有数据库查询权限的运维人员可直接查看全量用户敏感信息，测试人员在代码审计中发现，7个业务模块的前端配置文件中硬编码了数据库管理员账号密码，用户通过浏览器查看网页源码即可直接获取相关凭证，无需任何攻击操作。四是数据全流程审计能力不足，当前仅对数据库的操作日志做了留存，但未对数据的下载、外发、共享行为做内容审计，无法及时发现敏感数据批量流出的行为，抽查2024年以来的运维操作记录，发现有3次运维人员通过堡垒机批量下载用户数据的操作，系统未触发任何告警，也未留存数据下载的具体内容、流向记录。通过文档审查、人员访谈、流程核验发现，当前平台已建立初步的安全运维团队，明确了基础的运维操作流程，但管理体系存在明显的滞后性：一是安全管理制度更新不及时，现有管理制度为2019年平台上线时制定，未根据《数据安全法》《个人信息保护法》及等保2.0的要求修订，缺乏数据分类分级、供应链安全管理、第三方人员访问管理、零信任远程访问等专项制度，现有应急预案最近一次演练开展于2021年，演练场景仅覆盖服务器硬件故障导致的业务中断，未覆盖勒索病毒攻击、数据泄露、供应链投毒等当前高发的安全风险，预案中明确的应急响应小组人员已有60%发生岗位变动，未及时更新联系人清单。二是人员安全能力与意识不足，12人规模的运维团队中仅有3人持有CISP等网络安全专业资质，近3年未组织过全员安全意识培训，抽查20名运维、开发人员的安全认知，有11人存在多系统共用同一密码的习惯，有14人无法准确识别钓鱼邮件的典型特征，2023年全年共发生3次员工点击钓鱼邮件导致办公终端感染恶意程序的事件，均未纳入安全事件复盘流程。三是供应链安全管理存在盲区，平台在用的17套商用软件、9类开源组件未建立动态漏洞跟踪台账，某表单系统使用的Log4j组件版本为2.14.1，存在已知的远程代码执行漏洞，自2021年漏洞披露以来从未做过版本更新；外包开发团队的代码交付流程未设置强制安全审计环节，2024年以来上线的3个功能模块累计存在42个中高危代码缺陷，其中就包含前述的硬编码密码、SQL注入等高危问题；所有第三方合作方均未签订专门的数据安全责任协议，未明确数据泄露后的责任划分与赔偿机制。本次评估采用“风险发生可能性×风险影响程度”的二维矩阵法对所有发现的问题做量化赋值，其中风险发生可能性从攻击难度、漏洞公开程度、攻击者动机三个维度赋值，风险影响程度从业务中断范围、数据泄露规模、合规处罚等级、社会影响四个维度赋值，最终将风险划分为极高、高、中、低四个等级。经研判，共识别极高风险6项，分别为核心区与测试区未做隔离、SQL注入漏洞、未授权访问敏感数据、第三方接口过度授权、存在可被直接利用的CVSS9.8级高危漏洞、代码硬编码数据库管理员凭证，该类风险的攻击复杂度极低，公开EXP可直接利用，一旦被攻击者触发，将直接导致1200万条用户敏感数据泄露、核心业务中断超过4小时，符合《网络安全事件报告管理办法》规定的重大网络安全事件标准，可能触发《网络安全法》《数据安全法》规定的最高等级行政处罚，严重损害政务服务公信力。高风险共21项，包含弱口令问题、离职账号未注销、自助终端物理防护不足、UPS续航不达标、未开启登录失败锁定策略等，该类风险的攻击门槛较低，被利用后可能造成局部业务中断、10万条以下用户数据泄露，影响范围覆盖单个或少数业务模块。中风险共47项，包含非高危漏洞修复不及时、日志留存时间不足、安全培训不到位、制度更新不及时等，该类风险单独被利用的影响有限，但可能成为极高、高风险的攻击跳板。低风险共73项，主要为个别设备的配置不规范、巡检记录不完整等局部问题，对整体安全防护能力影响较小。从风险传导路径看，单一风险的影响可能沿着网络链路、权限链路不断放大，例如测试区与核心区未隔离的风险，结合测试环境存储的生产数据库凭证、测试系统弱口令问题，可形成完整的“外网渗透测试服务器-横向移动至核心数据库-批量拖取数据-清除操作日志”攻击链，按照当前黑产的平均攻击能力测算，该路径的攻击成功率超过85%，从发起攻击到获取全量核心数据的时间不超过20分钟；第三方接口过度授权的风险，若合作方的系统被攻击者攻陷，可能导致全量用户数据通过合作渠道泄露，结合黑产个人信息交易的平均价格测算，1200万条涵盖公民身份、联系方式、办件信息的敏感数据直接黑产交易价值超过6000万元，后续可能引发精准诈骗、电信网络诈骗等次生风险，社会影响难以估量。在识别风险的同时，评估组也对现有安全防护措施的有效性做了验证，平台部署的网页防篡改系统在评估周期内有效拦截了127次针对门户网站的网页篡改尝试，其中包含3次来自境外黑客组织的挂马攻击，未出现网页被非法篡改的情况；核心数据的灾备体系满足业务连续性要求，在模拟勒索病毒加密生产数据的测试场景下，核心业务的恢复时间目标（RTO）可达到3.7小时，恢复点目标（RPO）为12分钟，优于政务系统要求的RTO≤4小时、RPO≤30分钟的标准；统一实名认证模块的防护能力突出，上线以来未发生身份冒用、虚假申报的问题，有效防范了办件环节的身份欺诈风险。针对所有发现的风险，按照“风险等级匹配整改优先级、技术与管理措施同步落地”的原则，分三个阶段推进整改工作。第一阶段为15个工作日内完成的立即整改项，针对6项极高风险，第一时间完成核心数据区与测试开发区的边界隔离，配置严格的访问控制策略，全面重置测试环境的所有系统账号、数据库凭证，清除所有服务器上残留的恶意程序，关闭不必要的服务与端口；24小时内完成所有SQL注入、未授权访问漏洞的修复，对所有业务接口补充身份校验、参数过滤逻辑，在WAF上配置针对性的防护规则，漏洞修复完成前对敏感数据查询接口做IP白名单限制；立即开展第三方数据共享接口专项排查，按照最小必要原则裁剪非必要返回字段，配置接口调用频率阈值与异常告警，全面回溯第三方的历史调用日志，对存在异常拉取行为的第三方启动合规调查，要求其提交数据留存情况的自证材料，对存在违规留存数据的立即终止合作并追责；第一时间修复所有CVSS评分7.0以上的高危漏洞，对暂时无法修复的漏洞通过虚拟补丁、访问控制做临时防护，全面排查所有系统账号的弱口令问题，强制所有账号设置符合复杂度要求的密码，开启登录失败锁定策略，立即清理所有离职人员的闲置账号，对所有在用账号做权限审计，收回过度授权的权限；3个工作日内完成所有自助终端的物理锁更换，配置USB端口管控策略，禁止未经授权的存储设备接入，完成终端系统的安全加固；7个工作日内完成所有硬编码凭证的清理工作，将所有系统密钥、数据库凭证迁入专用密钥管理系统，完成移动端接口的加密协议升级，禁用所有老旧加密协议，强制启用TLS1.3加密标准。第二阶段为1个月内完成的短期整改项，重点补齐监测能力与基础管理短板，在互联网出口、核心区域边界部署全流量威胁探针，关联国家级、省级威胁情报库，实现对爆破攻击、横向移动、数据外发等异常行为的实时监测与溯源，将所有系统的日志留存时间提升至6个月以上，满足等保合规要求；建立常态化漏洞管理机制，每周开展一次全量漏洞扫描，对新披露的高危漏洞建立24小时响应、72小时处置的工作流程，建立开源组件、商用软件的动态管理台账，持续跟踪组件漏洞披露情况，及时更新存在风险的组件版本；1个月内完成机房物理安全隐患整改，调整被遮挡的烟感探测器位置，补充气体灭火系统的灭火剂储量，更换老化的UPS电池组，确保满负载续航时间不低于8小时，将门禁、视频监控系统的日志留存周期提升至6个月以上；组织开展首轮全员安全意识培训，覆盖所有运维、开发、业务人员，培训内容包括钓鱼邮件识别、弱口令风险、数据安全操作规范、应急处置流程，培训后组织闭卷考核，考核通过率需达到100%，要求关键岗位运维人员在6个月内取得对应网络安全专业资质。第三阶段为3-6个月完成的中长期能力建设项，从体系层面构建长效安全防护能力，对照现行法律法规与标准规范，全面修订安全管理制度体系，补充数据分类分级、供应链安全、第三方访问管理、远程访问管控等专项制度，每季度组织一次覆盖勒索病毒攻击、数据泄露、供应链攻击等场