信息系统安全评估报告

信息系统安全评估报告本次评估覆盖某省级政务服务单位核心业务承载的12套信息系统，包括政务服务一体化办理系统、跨部门数据共享交换平台、人口法人核心数据库集群、协同办公自动化系统、政务门户网站群、同城容灾备份系统、统一运维管理平台、统一身份认证系统、终端安全管理系统、移动办公VPN接入系统、“冀服办”公共服务移动端应用及物联网政务服务感知数据汇聚平台，评估周期为202X年9月1日至202X年10月20日，严格遵循GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T28448-2019《信息安全技术网络安全等级保护测评要求》、《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络安全等级保护条例》等法规标准要求，综合采用资产梳理、漏洞扫描、渗透测试、配置核查、人员访谈、文档审计、实战化应急演练验证等7类评估方法，累计识别核心信息资产1279项，发现不同等级安全风险87项，最终形成全维度安全评估结论及分优先级的可落地整改优化路径，为单位网络安全防护能力迭代、合规体系完善、数据安全治理落地提供量化决策依据。评估范围与边界界定本次评估严格按照业务全覆盖、节点无遗漏的原则划定评估边界，其中物理层边界覆盖省政务云中心承载业务系统的专属机房区域、单位自建同城灾备机房的所有物理环境组件，包括门禁系统、监控系统、供电系统、消防系统、温湿度调控系统及介质存放区域；网络层边界覆盖互联网出口、省政务外网接入边界、17条跨部门数据专线边界、2893台物联网感知终端接入边界、移动办公VPN接入边界及内部核心交换网络的所有路由、交换、安全设备；系统层边界覆盖所有承载业务的物理服务器、虚拟化宿主机、容器运行环境、终端设备的操作系统、虚拟化平台、容器引擎及基础组件；应用层边界覆盖各业务系统的前台用户交互模块、后台管理模块、API服务接口、第三方对接组件；数据层边界覆盖所有结构化业务数据、个人敏感信息、政务工作涉密衍生数据、系统配置数据、日志审计数据从采集、存储、传输、共享、使用到销毁的全生命周期流转节点。为避免评估范围交叉、责任边界模糊，本次评估明确排除三类非所属责任范围的对象：一是第三方支付机构自主运维的线上缴费渠道侧系统及相关数据，二是基础电信运营商负责维护的跨节点通信链路传输层安全，三是办事群众、外部用户侧的个人终端设备安全。评估实施流程与方法本次评估严格按照“资产盘点-风险识别-验证确认-影响分析”的闭环流程开展，所有评估操作均提前获得单位书面授权，在非业务峰值时段实施，确保评估过程不影响正常业务运行。资产梳理阶段，评估团队采用主动资产探测工具结合人工台账核验的方式，对所有IP活跃资产、域名、API接口、数据资产、安全设备资产进行全量盘点，按照资产一旦发生安全事件对业务连续性、数据完整性、社会公信力的影响程度建立权重赋值标准，将资产划分为极高、高、中、低四个等级，其中极高等级资产124项，主要包括核心数据库服务器集群、政务服务一体化办理系统主节点、统一身份认证系统根节点、数据共享交换平台核心路由节点；高等级资产367项，包括各应用系统应用服务器、安全管理平台节点、容灾备份存储节点；中等级资产592项，包括测试环境服务器、内部办公终端、普通网络交换设备；低等级资产196项，包括公共区域信息发布屏、非核心区域物联网感知终端。漏洞扫描阶段，评估团队采用等保合规专用扫描器、开源漏洞验证框架、Web应用漏洞扫描系统三类工具，对所有在网资产进行无死角扫描，扫描策略覆盖CVE通用漏洞、CNVD公开漏洞、Web常见注入类漏洞、弱口令类漏洞、中间件配置漏洞，累计扫描IP地址1642个、域名37个、API接口1289个，初步识别漏洞324个，经过人工复现剔除扫描误报、无利用条件的无效漏洞，确认真实有效漏洞176个。渗透测试阶段，3名持有CISP-PTE资质的渗透测试人员组建独立测试团队，模拟真实APT攻击组织的攻击路径，从互联网边界、政务外网边界、内部办公网络三个入口开展黑盒与白盒结合的渗透测试，测试过程严格执行业务影响最小化原则，所有漏洞验证采用手工无危害探测，不开展数据篡改、服务中断类操作，累计发现可直接利用的高危渗透路径11条，包括从门户网站前台SQL注入获取服务器权限、从移动办公接口未授权访问获取内部员工通讯录、从物联网终端弱口令横向渗透进入核心业务网段等，全路径攻击最长耗时2小时17分钟，未触发任何现有安全设备的有效告警。配置核查阶段，评估团队对照等保2.0三级系统安全配置基线，对12套系统的网络设备、安全设备、服务器、数据库、中间件、应用组件的安全配置进行逐项核查，核查项覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制6个维度，累计核查配置项2147项，发现不符合基线要求的配置问题142项。人员访谈与文档审计阶段，访谈对象覆盖单位网络安全分管领导、系统运维人员、安全管理人员、业务经办人员、第三方开发驻场人员共27人，审计文档包括现有安全管理制度体系、应急预案、过往3年安全事件处置记录、人员入职离职安全流程、外包服务安全协议、数据分级分类台账共117份，发现管理类风险23项。应急演练验证阶段，评估团队随机抽取勒索软件攻击、核心数据库宕机、网页篡改、个人信息批量泄露4类典型安全事件场景开展实战化演练，不提前告知运维人员演练时间和场景，检验现有应急响应流程的有效性、备份恢复机制的可靠性、人员处置的熟练度，累计发现应急体系层面问题9项，包括勒索软件处置时未及时隔离受感染主机导致传播范围扩大、备份存储因权限配置不当被加密、灾备切换流程耗时超出业务连续性要求等。安全风险识别与等级判定本次评估采用风险矩阵法判定风险等级，综合考虑风险被利用的可能性、发生后造成的影响程度两个核心维度，将所有风险划分为极高、高、中、低四个等级：极高风险指可被攻击者直接利用，导致核心业务中断、敏感数据批量泄露、系统控制权被完全获取，且现有防护措施无法有效阻断的风险，本次累计排查出极高风险7项；高风险指可被攻击者利用，导致局部业务中断、部分敏感信息泄露、部分系统权限被获取，需要结合多环节条件才能触发核心影响的风险，本次累计排查出高风险22项；中风险指利用难度较高，或影响范围局限在非核心业务模块，不会造成大范围业务影响或数据泄露的风险，本次累计排查出中风险39项；低风险指仅存在局部配置缺陷，利用难度极大，或仅影响非核心测试环境、公共信息发布类内容，不会造成实质性业务损失或数据泄露的风险，本次累计排查出低风险19项。技术层面风险网络与边界安全维度共排查出风险21项，其中极高风险4项。一是互联网出口下一代防火墙存在12条全端口全IP放行的冗余策略，涉及核心数据库服务器3306端口、运维管理平台22端口、身份认证系统管理后台443端口直接暴露在互联网，结合后续发现的数据库弱口令问题，可直接从互联网获取核心数据库最高权限。二是跨部门数据专线未部署边界访问控制设备，与3个合作单位的专线直接连通核心业务网段，未对跨网访问流量进行审计和访问控制，测试中可通过合作单位侧测试服务器直接访问核心业务系统后台管理地址，存在跨主体横向渗透风险。三是物联网感知终端接入网段未与核心业务网段实现逻辑隔离，所有感知终端采用统一默认密钥接入，217台路面感知摄像头、72台政务服务大厅自助终端的接入VLAN与办公网段、核心业务网段未配置ACL策略，可通过被攻陷的感知终端作为跳板扫描内网全段资产。四是移动办公VPN系统未配置二次身份认证机制，仅采用账号口令单一鉴别方式，未配置异常登录检测规则，通过公开渠道泄露的员工账号口令可从任意互联网地址接入内部办公网络，访问OA系统、文件共享服务器等核心资源。高风险层面，3台核心交换机、2台出口路由器的特权账号口令已使用超过3年，复杂度不符合要求，存在被暴力破解风险；网络流量审计系统规则库超过6个月未更新，无法识别最新的隧道通信、加密流量攻击、C2远控通信行为，测试中模拟的CobaltStrikebeacon加密流量未触发任何告警；边界入侵防御系统存在规则绕过缺陷，对HTTP分块传输、参数污染类Web攻击检测失效，渗透测试中采用分块传输提交的SQL注入Payload完全绕过IPS检测，成功命中后台应用系统。主机与虚拟化层安全维度共排查出风险18项，其中极高风险2项。一是核心业务区42台WindowsServer服务器、37台CentOS服务器未安装最新安全补丁，存在CVE-2021-44228（Log4j2远程代码执行）、CVE-2023-23397（WindowsOutlook权限提升）、CVE-2024-21762（FortinetSSLVPN远程代码执行）等12个CVSS评分9.8以上的高危漏洞，且服务器区未部署微隔离防护措施，单台服务器被攻陷后可通过内网横向移动快速扩散至所有核心服务器。二是虚拟化平台宿主机管理员账号存在多人共用情况，未配置操作审计机制，宿主机本地存储未开启磁盘加密，普通运维账号登录宿主机后可越权访问其他租户的虚拟机磁盘文件，获取虚拟机内的业务数据。高风险层面，18台服务器存在弱口令问题，涉及操作系统管理员、数据库、中间件账号，口令为“admin@123”“server202X”等常见组合，暴力破解耗时不超过10秒；服务器端恶意代码防护软件安装率仅为62%，容灾备份区、测试环境服务器均未安装防恶意代码软件，已安装的防病毒软件病毒库更新滞后超过1个月，无法防御最新勒索软件变种；容器化部署的17个业务应用镜像包含高危漏洞、内置后门账号，镜像仓库未配置签名验证机制，攻击者可上传恶意镜像替换正常业务镜像，导致容器运行时被植入恶意代码。应用与数据安全维度共排查出风险25项，其中极高风险1项，即核心业务系统与数据接口存在多类可直接利用的高危漏洞：政务服务一体化办理系统前台材料提交模块存在SQL注入漏洞，无需登录即可构造恶意请求读取数据库内存储的群众身份证号、手机号、办事材料等敏感信息，甚至获取数据库最高权限篡改审批状态；“冀服办”移动端应用存在未授权访问漏洞，后台API接口未对用户身份做有效性校验，可通过遍历用户ID获取任意用户的办事进度、身份信息、人脸比对数据，且接口未配置频率限制，可通过自动化脚本在1小时内爬取全量1200万注册用户的个人信息；数据共享交换平台的数据输出接口未配置敏感数据脱敏规则，向第三方合作单位共享数据时身份证号、手机号、银行卡号等敏感字段均以明文传输，近6个月内存在3次第三方单位超范围获取敏感数据的行为未被发现；政务门户网站群内容管理系统存在文件上传漏洞，可通过前台投稿功能上传恶意脚本文件获取服务器权限，存在网页被篡改、挂载涉诈涉黄内容的风险。高风险层面，12套信息系统中有7套存在越权访问漏洞，普通经办人员账号可访问系统管理员功能模块，修改系统配置、审批流程参数；各系统会话令牌未设置登出失效机制，令牌生成算法存在固定规律，可被伪造后冒用他人身份登录；OA系统邮件模块未配置钓鱼邮件检测、恶意附件查杀功能，测试中发送的包含宏病毒的钓鱼邮件成功送达所有测试用户邮箱，未被拦截；移动端应用存在超范围收集个人信息问题，首次启动时未明确告知用户信息收集范围，默认采集用户位置、通讯录等与业务功能无关的信息，且个人信息注销流程耗时超过15个工作日，不符合《个人信息保护法》要求。物理与环境安全维度共排查出风险7项，均为中高风险。中心机房门禁系统采用单一刷卡验证方式，未配置防尾随装置，测试中评估人员跟随刷卡运维人员顺利进入机房核心区域未被阻拦，且门禁日志仅留存30天，不符合等保要求的6个月留存标准；机房气体灭火系统未配置远程告警机制，非工作时间发生火情时运维人员无法第一时间获取通知；同城灾备机房环境监控系统未接入统一运维平台，曾出现空调故障导致机房温度超过40度持续4小时才被发现的情况；报废硬盘、U盘等存储介质未做消磁、粉碎处理，直接交由第三方回收公司处置，存在数据泄露风险。管理层面风险管理类风险共排查出16项，覆盖责任体系、制度建设、应急管理、人员培训、外包管控、供应链管理等多个领域。一是网络安全责任体系未压实，未设置专职网络安全管理岗位，现有安全管理职责由运维人员兼职，未配备渗透测试、应急响应、数据安全治理等专职人员，也未与关键岗位人员签订网络安全保密协议，内部人员违规操作风险较高，访谈中发现曾发生运维人员配置防火墙时误将全端口开放到互联网持续3天未被发现的事件。二是安全管理制度体系更新滞后，现有制度均为2019年制定，未结合近年新出台的网络安全法规补充数据安全管理、外包服务安全管理、供应链安全管理、个人信息保护等专项内容，日常安全操作仅靠运维人员个人经验开展，无标准化流程支撑。三是应急预案体系不健全，现有预案仅覆盖网络中断、服务器宕机等基础场景，缺少勒索软件攻击、数据批量泄露、供应链攻击、APT攻击等新型场景的处置流程，近1年仅开展过1次桌面推演，未开展实战化演练，勒索场景演练中运维人员因处置流程不熟悉，未第一时间隔离受感染主机，导致勒索软件通过共享文件夹传播到2台应用服务器，甚至加密了备份存储中的数据，核心业务恢复耗时超过6小时，远高于30分钟的恢复时间目标要求。四是人员安全培训不到位，近1年未组织全员网络安全培训，一线人员钓鱼邮件识别、弱口令风险防范、敏感数据保护意识薄弱，模拟钓鱼测试中员工点击恶意链接的比例达到37%，易被社会工程学攻击攻破。五是外包服务安全管控缺失，3家驻场开发运维单位的人员未做入职背景审查，外包人员的系统权限未按照最小必要原则授权，存在人员离职后仍保留系统访问权限的情况，且未对外包人员的操作行为做全量审计。六是供应链安全管理空白，未建立信息化产品采购安全审查机制，现有硬件设备、商业软件采购时未做预置后门、恶意代码检测，也未建立开源软件使用台账，业务系统中使用的开源组件存在大量未修复的高危漏洞，未持续跟踪漏洞情报开展修复。风险影响量化评估本次评估从四个维度对所有风险的潜在影响进行量化测算，确保风险优先级判定客观准确。业务连续性影响维度，若7项极高风险被恶意利用，将导致政务服务一体化办理系统全量中断，预计影响每日1.2万件线上办件业务，线下窗口业务因无法调用核心数据也无法正常开展，直接业务损失测算超过200万元，同时会引发群众投诉、政务服务满意度下降，甚至被上级网络安全主管部门通报，造成不良社会影响。数据安全影响维度，若核心数据库被非法访问，将导致累计1200万条办事群众个人敏感信息泄露，可能被不法分子用于电信诈骗、精准营销，直接损害群众合法权益，按照《个人信息保护法》的处罚标准，最高可处上一年度营业额5%的罚款，合规风险极高。攻防对抗维度，现有防护体系的纵深防御能力不足，边界防护存在明显短板，内部横向移动无有效阻断措施，攻击检测能力滞后，在年度网络攻防实战演习场景下，预计被攻击者攻破核心系统的时间不超过4小时，且攻击者可在网络内长期潜伏不被发现。合规性维度，对照等保2.0三级系统要求，当前12套信息系统的合规符合率仅为62%，存在38项不符合项，若未及时整改，在等保测评、年度网络安全检查中会被判定为不合格，面临合规处罚。评估同时梳理了现有安全能力的基础优势，为后续整改提供可复用的能力底座：中心机房基础供电保障能力达标，UPS系统可支持满负荷运行8小时，接入双路市政供电并配置柴油发电机作为备用电源，电力供应可靠性达到99.99%；核心业务系统初步建成“本地备份+同城灾备”的双备份机制，备份周期为每日增量、每周全量，基础的数据备份能力具备；统一身份认证平台已覆盖80%的业务系统，账号统一管理的基础框架已搭建；已部署下一代防火墙、入侵防御系统、Web应用防火墙、终端安全管理软件等基础安全设备，可阻断已知的常规网络攻击。分优先级整改优化路径本次整改按照“风险导向、急用先行、体系构建、长效运营”的原则划分为三个整改周期，明确整改目标与核心任务，确保风险闭环处置，安全能力持续迭代。立行立改项（整改周期15天，覆盖所有极高风险）立行立改阶段核心目标是快速封堵可被直接利用的高危缺口，杜绝重特大安全事件发生。一是由网络运维岗牵头，全量梳理互联网出口防火墙访问控制策略，删除所有全端口全IP放行的冗余规则，按照最小权限原则重新配置策略，关闭核心数据库、运维平台、身份认证系统的互联网暴露端口，确需开放的管理端口配置严格的源IP白名单，对所有互联网开放端口开展一轮全量漏洞扫描，确保不存在可直接利用的高危漏洞。二是由各系统开发厂商牵头，立即修复政务服务系统SQL注入、移动端未授权访问、门户网站文件上传等高危应用漏洞，组织开发团队对所有系统代码开展一轮安全审计，重点排查注入、越权、文件上传类逻辑缺陷，为所有API接口增加身份校验、请求频率限制、恶意参数过滤机制。三是由所有系统运维人员负责，对所有服务器、网络设备、安全设备、应用系统的账号口令开展全量排查，强制修改弱口令，配置统一的口令复杂度策略，要求口令长度不小于8位，包含大小写字母、数字、特殊字符，口令更换周期不超过90天，禁止多人共用管理员账号，为每个运维人员配置独立的运维账号并开启全量操作审计。四是完成网络边界区域隔离，在物联网终端网段、测试环境网段、办公网段、核心业务网段、灾备网段之间配置严格的ACL访问控制策略，禁止跨网段非授权访问，尤其是限制物联网终端网段对核心业务系统资源的访问权限。五是为移动办公VPN系统启用双因素认证机制，结合短信验证码、硬件令牌实现身份二次鉴别，配置异常登录检测规则，对非常用IP登录、异常时间登录的行为进行二次核验或直接阻断。六是为核心数据库集群部署数据库审计系统，对所有数据库操作行为进行全量留存审计，配置敏感数据批量导出、非工作时间访问、越权操作的实时告警规则，落实数据库权限分离机制，拆分系统管理员、安全管理员、审计管理员权限，禁止DBA账号直接拥有全量数据导出权限，敏感数据访问必须经过线上审批流程。七是完成数据共享交换平台的敏感数据脱敏配置，所有对外输出的敏感数据按照最小必要原则进行脱敏处理，身份证号仅显示前6位和后4位、手机号仅显示前3位和后4位，对第三方单位的数据访问行为开展全量审计，立即排查历史上第三方超范围获取数据的情况，督促第三方单位删除超范围获取的数据，留存审计记录。短期整改项（整改周期90天，覆盖所有高风险）短期整改阶段核心目标是补全基础防护短板，提升合规符合率，构建基础的检测防御能力。一是完成所有服务器、网络设备、安全设备的高危漏洞修复，建立常态化漏洞扫描和补丁更新机制，每月开展一次全量漏洞扫描，高危漏洞修复周期不超过7天，中危漏洞修复周期不超过30天，在服务器区部署微隔离系统，实现虚拟机之间、容器之间的细粒度访问控制，阻断内网横向移动路径。二是完成所有安全设备的规则库升级，确保入侵防御系统、Web应用防火墙、流量审计系统、防病毒软件的特征库更新滞后时间不超过7天，优化WAF和IPS的检测规则，增加对分块传输、参数污染、加密流量攻击的检测能力，部署高级持续性威胁检测系统，对网络内异常流量、异常行为进行全量分析，发现潜伏的攻击行为。三是完善虚拟化平台、容器平台的安全配置，为宿主机管理员账号配置双因素认证，开启虚拟机磁盘加密功能，建立容器镜像安全扫描机制，所有上线镜像必须经过漏洞扫描、恶意代码检测、签名验证后才能部署到生产环境。四是开展个人信息保护合规整改，对照《个人信息保护法》及APP合规相关要求，优化移动端隐私政策，明确告知用户个人信息收集范围，停止收集与业务功能无关的位置、通讯录等信息，优化个人信息注销流程，实现用户提交注销申请后15个工作日内完成处理，为用户提供便捷的个人信息查询、更正、删除渠道。五是完善物理环境安全管控，升级机房门禁系统为刷卡+人脸验证的双因素认证模式，加装防尾随装置，将门禁日志、机房环境监控日志接入统一运维平台，确保日志留存时间不低于6个月，建立存储介质全生命周期管理流程，报废存储介质必须经过消磁、物理粉碎后才能处置，禁止未经处理直接交由第三方回收。六是补全网络安全管理制度体系，结合最新法规标准要求修订现有制度，补充数据安全管理、个人信息保护、外包服务管理、供应链安全管理、漏洞管理、应急响应等专项制度，明确各岗位网络安全责任，设置2名以上专职网络安全管理人员，与所有关键岗位人员、外包驻场人员签订网络安全保密协议。七是优化应急预案体系，补充勒索软件攻击、数据泄露、供应链攻击、APT攻击等新型场景的处置流程，每季度开展一次实战化应急演练，针对演练中发现的问题优化处置流程，确保核心业务系统恢复时间目标控制在30分钟以内，恢复点目标控制在15分钟