信息系统安全评估报告

信息系统安全评估报告本次信息系统安全评估覆盖被测单位部署于主生产数据中心、同城灾备中心的12套核心业务系统、47套支撑类系统及关联网络基础设施、终端计算环境、数据资产全链路节点，评估周期为202X年3月15日至202X年4月26日，严格遵循《网络安全法》《数据安全法》《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）三级防护标准、《信息安全技术信息安全风险评估方法》（GB/T20984-2022）规范要求，采用资产梳理、漏洞扫描、渗透测试、配置核查、人员访谈、日志审计、压力测试七种技术与管理结合的评估方法，累计识别网络节点1247个、信息资产21369项，完成17类共926个安全控制点的符合性校验，旨在全面摸排系统现存安全脆弱性、量化风险等级、明确整改路径，为系统稳定运行与数据安全防护提供客观决策依据。评估团队首先对全量信息资产开展多维度梳理与价值定级，按照资产属性划分为硬件资产、软件资产、数据资产、服务资产、人员资产五个大类逐一核验，其中硬件资产包含核心交换机8台、汇聚交换机24台、接入交换机192台、边界安全设备37台、物理服务器219台、虚拟机1274台、存储设备16台、办公及生产工位终端、移动作业终端共16427台；软件资产覆盖操作系统、业务应用、开源组件三个层级，经统计WindowsServer系列服务器中2012及以下老旧版本占比18.7%，CentOS系列服务器中7及以下停服版本占比22.3%，业务应用包含ERP、MES、PLM、CRM、SCM、OA、财务共享等12套核心生产经营系统及日志审计、运维监控、域名解析、企业邮件等47套支撑类系统，累计梳理存量第三方开源组件14276个，其中存在已知公开漏洞的组件1894个；数据资产按照敏感程度划分为核心数据、重要数据、一般数据三个层级，其中涉及生产工艺参数、核心客户订单数据、财务核算数据、核心技术专利文档的核心数据总量约12.7TB，涉及供应商信息、员工个人敏感信息、生产排程数据、设备运行核心参数的重要数据约84.2TB，涉及公开宣传材料、普通行政通知、非敏感办公文档的一般数据约327TB，所有数据流转节点覆盖采集端的生产工位传感器、客户下单入口、员工录入终端，传输侧的企业专线、VPN通道、办公局域网络，存储侧的生产存储阵列、灾备存储节点、云备份资源池，使用侧的业务操作岗、管理岗、第三方运维通道及销毁环节的介质消磁、报废处理全流程。基于资产受损后对业务连续性、合规性、公众权益造成的影响程度，结合保密性、完整性、可用性三个维度的加权评分，评估团队将全量资产划分为四个价值等级，其中极高价值资产包含核心业务系统服务器、核心数据库节点、核心数据存储阵列、骨干网络核心节点共127项，占总资产规模的0.59%，该类资产一旦遭受破坏将直接导致全业务停摆、核心数据泄露，造成重大经济损失与合规风险；高价值资产包含支撑类系统服务器、重要数据存储节点、边界安全防护设备共1342项，占比6.28%，该类资产受损将导致局部业务中断、部分敏感数据泄露，造成较大范围的业务影响；中价值资产包含普通办公终端、非核心业务应用节点、普通网络接入设备共11872项，占比55.56%，该类资产受损仅影响局部非核心业务开展，不会造成全局性影响；低价值资产包含测试环境设备、闲置终端、非业务用途辅助系统共8028项，占比37.57%，该类资产受损对业务运行几乎无影响。技术维度的评估从物理环境、网络架构、主机节点、业务应用、数据全链路、终端环境六个层面逐层开展穿透式校验。物理安全层面的核查覆盖两个数据中心的机房门禁、消防、供电、监控、介质管理全控制点，排查发现主生产数据中心第三机柜区的2个红外入侵检测点位硬件故障，形成约12平米的监控盲区，该区域恰好放置MES系统的2台核心数据库物理服务器，存在未经授权人员进入机房触碰核心硬件无法被记录的风险；同城灾备中心的UPS备用电源经带载测试显示实际续航时间仅72分钟，远低于设计要求的120分钟标准，查阅运维记录发现该UPS系统最近一次充放电测试为14个月前，未落实每季度开展性能测试的基本要求，若发生长时间市电中断，灾备中心将提前失去电力供应，无法承担灾备切换职能；机房核心介质存放区的门禁系统未启用双人双锁验证机制，仅单人工卡即可进入，202X年第一季度的介质出入库登记存在17笔记录缺失，涉及12块报废硬盘、3张数据备份磁带，无法追溯介质流转全轨迹；生产机房消防系统的3个烟感探测器经校准检测灵敏度低于告警阈值，上次校准时间为2021年11月，且机房内临时堆放的21箱办公打印纸距离电力机柜仅0.8米，不符合电气环境防火间距要求，存在火灾隐患。网络层安全评估结合配置核查、流量镜像、压力测试等方法开展，共排查出多类架构性与配置类风险。企业现有三个互联网出口，其中两个出口按等保要求部署了下一代防火墙、Web应用防火墙等防护设备，但第三个出口为生产部门2023年为方便设备厂商远程维护临时开通的专线，仅配置了基础ACL访问控制规则，未部署入侵防御、流量审计等安全设备，且该专线的访问规则自开通后未开展过全量梳理，存在23条全端口放通策略，外部攻击者可通过该专线直接访问生产网内32台设备的运维端口，是当前最易被突破的边界缺口；网络区域划分层面，生产区、办公区、DMZ区、测试区之间的隔离策略存在大量过度授权情况，办公网任意终端均可直接访问生产MES系统的1433、3306等数据库端口，测试区与生产区之间存在11条未纳入台账管理的跨区链路，测试环境的17个公网映射端口可直接跳转至生产网络节点，攻击者一旦突破防护相对薄弱的测试环境，可直接横向移动到核心生产区；网络设备配置抽查覆盖32台核心网络节点，发现11台设备的SNMP团体字沿用public、private默认配置，且未设置访问源IP限制，攻击者可通过SNMP协议获取设备全量配置信息、篡改路由表，7台设备的远程管理端口直接暴露在办公网，登录密码为8位以下纯数字，未配置登录失败锁定、操作日志审计功能，4台核心交换机的OSPF路由协议未启用认证机制，存在路由被篡改导致全网流量被劫持的风险；流量监测能力层面，现有流量探针仅部署在互联网出口总链路，未覆盖核心业务区内部的东西向流量，评估期间通过全流量镜像分析发现核心业务区内部存在12起异常端口扫描行为，其中3起为感染挖矿病毒的虚拟机主动扫描内网445、22端口，平均持续时间超过48小时未被现有监测设备发现，内部攻击行为完全处于监测盲区；抗DDoS攻击能力经压力测试验证，现有边界DDoS防护阈值为10Gbps，当攻击流量达到8.7Gbps时边界链路丢包率即超过30%，核心业务系统平均响应延迟从200ms上升至3.2s，无法抵御常见的UDP反射、SYN洪水等大流量攻击。主机层安全评估基于漏洞扫描、基线核查、恶意代码检测开展，累计完成219台物理服务器、1274台虚拟机的全量扫描，共发现各类安全漏洞4279个，其中高危漏洞327个、中危漏洞1562个、低危漏洞2390个。高危漏洞中，78台服务器运行已停止官方安全更新的WindowsServer2008R2系统，存在永恒之蓝、BlueKeep等可被远程直接利用的高危漏洞，攻击者无需认证即可获取服务器最高权限；124台运行CentOS6、CentOS7系统的服务器未配置开源安全更新源，存在Sudo权限提升、Polkit权限绕过等219个未修补的高危内核漏洞，本地普通用户可直接提升至root权限控制系统。基线核查覆盖187台核心业务服务器，发现92台服务器未部署主机安全代理，占比49.2%，无法对服务器上的异常进程、非法文件篡改、恶意代码运行行为进行监测；67台服务器的本地管理员账号密码使用周期超过180天，其中23台服务器的管理员密码与系统初始安装密码一致，极易被暴力破解；48台服务器未关闭无关服务与端口，平均每台开放135、139、445等高危共享端口等无关端口12个，扩大了攻击面；31台服务器的系统日志留存时间不足30天，最短仅留存7天，无法满足安全事件溯源的最低日志留存要求。虚拟化平台层面，3台核心ESXi主机存在CVE-2023-20867、CVE-2024-22243等高危漏洞，攻击者可通过管理网络直接获取虚拟化平台最高权限，且平台管理界面存在弱口令问题，测试中使用admin/123456的默认账号密码成功登录管理平台，可对所有虚拟机执行开关机、快照创建、镜像导出等高危操作，一旦被攻击者利用将导致全量虚拟机业务中断、数据被窃取。恶意代码防护层面，312台服务器未安装防病毒客户端，其中72台为生产核心数据库服务器，评估期间在未部署防护的服务器中发现3台存在挖矿病毒程序，病毒进程占用CPU资源平均达到78%，导致承载的供应链管理系统接口响应超时率从正常的0.1%上升至12.7%，严重影响业务正常运行。应用层安全评估采用黑盒渗透、白盒代码审计、接口测试结合的方式，对全部59套业务系统开展全覆盖测试，共发现应用层高危漏洞47个、中危漏洞129个、低危漏洞213个。身份认证环节，8套业务系统存在账号弱口令问题，涉及1247个普通用户账号、17个管理员账号，其中OA系统的超级管理员账号密码为admin123，财务共享系统的3个财务审批岗账号密码为员工工号后6位，可在短时间内被暴力破解；6套系统未为管理员账号配置多因素认证机制，尤其是面向互联网提供服务的CRM系统、供应商协同平台，仅通过账号密码即可完成登录，且未配置异常登录提醒，测试中通过境外IP尝试登录管理员账号连续失败20次未触发账号锁定机制，攻击者可无限次尝试暴力破解。访问控制环节，3套系统存在越权访问漏洞，其中PLM系统的普通研发账号可通过修改请求中的用户ID参数，查看其他用户上传的核心技术文档，甚至下载未公开的新一代产品设计全量图纸；MES系统的一线操作岗账号可越权访问生产排程管理模块，修改核心工艺参数；供应商协同平台的供应商账号可越权查看其他供应商的报价信息、合同条款，造成商业秘密泄露。代码安全层面，4套系统存在SQL注入漏洞，其中SCM系统的供应商查询接口存在字符型SQL注入缺陷，攻击者可通过构造恶意请求直接获取数据库内全量供应商信息、采购价格数据，甚至通过写入webshell获取服务器控制权；2套系统存在命令注入漏洞，可通过构造特殊的上传文件名拼接系统命令，执行任意操作系统指令；第三方开源组件层面，前期梳理出的1894个存在已知漏洞的开源组件中，327个为高危漏洞组件，涉及Log4j2远程代码执行、Fastjson反序列化、SpringFramework远程代码执行等可被直接利用的漏洞，其中21个高危组件部署在核心系统的对外服务接口上，公网攻击者可直接利用漏洞实现远程控制；文件上传校验机制缺失，OA系统的附件上传模块未做文件类型与内容校验，可上传jsp、php格式的网页木马，测试中成功上传木马文件并获取服务器权限，可访问OA系统内所有行政文档、合同审批流程数据。接口安全层面，累计梳理系统对外开放接口1247个，其中213个接口未配置身份认证与签名校验机制，可被任意主体调用，例如CRM系统的客户信息查询接口未做鉴权，遍历接口参数即可获取全量12.7万条客户敏感信息，包括联系人姓名、电话、交易金额、合作记录等；79个接口未配置请求限流措施，压力测试显示当每秒请求数达到200次时，接口对应的后端服务即出现资源耗尽、服务中断的情况，易被恶意攻击者发起接口攻击导致业务瘫痪。业务逻辑层面，电商订单系统存在订单金额篡改漏洞，可在支付环节修改订单金额参数，将大额订单的支付金额修改为0.01元完成支付；OA系统的审批流程存在绕过漏洞，可通过抓包修改审批状态参数，无需上级审批即可通过费用报销申请，造成资金损失。数据安全层面的评估覆盖数据全生命周期各节点，排查发现多类可能导致数据泄露、篡改、丢失的风险点。数据存储环节，核心数据库中有17个字段存储的个人敏感信息、核心工艺参数未做加密处理，包括员工身份证号、银行卡号、客户联系人手机号、核心生产配方参数，测试中通过数据库漏洞直接获取到明文存储的2.3万条员工身份证信息、12.7万条客户联系人手机号；数据库备份数据未设置加密保护，同城灾备中心存储的12份全量数据备份文件未配置访问密码，且备份服务器直接接入办公网，任意办公终端均可访问备份文件存储目录，一旦备份文件被窃取将导致全量数据泄露。数据传输环节，7套系统的内部数据传输链路、4套面向互联网提供服务的系统数据传输未启用TLS加密，采用HTTP明文方式传输，测试中通过ARP欺骗在办公网内成功嗅探到用户登录账号密码、业务操作数据、传输的文件内容；2套系统的数据库连接链路采用明文方式传输认证信息，攻击者可在网络链路中直接抓取数据库账号密码，直接访问核心数据库。数据使用环节，数据库权限配置存在大量过度授权情况，抽查的23个核心业务数据库中，11个数据库的业务账号拥有DBA级最高权限，可执行删表、全量数据导出、高权限账号创建等高危操作；7个数据库存在多人共用管理员账号的情况，无法追溯数据操作的具体责任人，出现数据泄露、篡改事件后无法定责；数据脱敏机制缺失，开发测试环境直接使用生产环境导入的真实数据，未对敏感信息做脱敏处理，测试环境数据库中存储了全量真实客户信息、员工信息、生产数据共约2300万条，且测试环境存在公网映射端口，数据泄露风险极高。数据销毁环节，2023年全年报废的72块存储过核心数据的硬盘，仅做了简单的高级格式化处理，未按照规范要求开展消磁或物理粉碎，其中17块硬盘直接流向外部电子废弃物回收机构，存在数据被技术恢复后泄露的风险。数据出境管理层面，评估发现3套生产设备的远程运维通道直接连接至境外厂商服务器，设备运行的核心工艺参数实时传输至境外节点，未按照《数据出境安全评估办法》要求履行安全评估申报流程，涉及核心生产数据约1.2TB，存在合规风险与数据被境外窃取的安全风险。终端层安全评估覆盖全部16427台终端设备，包括办公PC、生产工位终端、移动作业终端，共发现终端侧安全风险点17923个。终端基础配置层面，2142台终端未安装终端安全管理客户端，占比13.04%，这些终端未纳入统一病毒查杀、补丁管理、外设管控范围，其中327台为直接接入生产网络的工位终端，一旦被攻陷可直接成为攻击生产系统的跳板；3729台终端存在未修补的高危系统漏洞，占比22.7%，涉及永恒之蓝、Office宏病毒等可被利用的漏洞，易被恶意代码感染。外设管控层面，4218台终端未配置USB存储设备禁用策略，占比25.68%，评估期间通过模拟U盘摆渡攻击，在127台未管控的终端上成功运行恶意程序，其中7台终端直接连接生产网络，可通过该终端横向移动到生产服务器节点。移动作业终端层面，现有327台用于仓储盘点、设备巡检的安卓手持终端，系统版本普遍为Android8及以下，已停止官方安全更新，124台终端允许安装非官方应用商店的第三方应用，存在被植入恶意程序的风险，且终端本地存储的巡检数据、仓储数据未做加密保护，终端丢失后可直接被读取获取敏感数据。邮件安全层面，调取近3个月邮件网关日志显示，累计截获钓鱼邮件1274封，其中213封邮件携带恶意宏附件、仿冒登录链接，有37名员工点击了钓鱼链接、下载了恶意附件，占员工总数的2.1%；评估期间面向全员发送仿冒公司高管的钓鱼测试邮件，邮件打开率达到17.2%，有3名员工在钓鱼页面输入了自己的办公系统账号密码，员工社工攻击防范意识薄弱。上网行为管控层面，1200余台办公终端未配置恶意网站访问拦截策略，可直接访问互联网上的恶意站点、违规资源下载站，评估期间监测到172台终端存在访问暗网、赌博网站、恶意软件下载站点的记录，其中23台终端下载了携带木马的软件安装包，存在终端被控风险。除技术层面的风险外，评估团队对安全管理体系开展全流程访谈与文档核验，发现多类管理机制缺陷。安全管理制度体系层面，现有制度文件最近一次修订为2020年，未适配《数据安全法》《个人信息保护法》等新出台的法律法规要求，缺少数据分类分级、数据出境管理、第三方人员安全管理、供应链安全管理、应急响应演练等专项管理制度，现有制度中17项条款与实际执行情况不符，例如制度要求每月开展一次全量漏洞扫描，但实际执行周期为每季度，制度要求核心系统账号密码90天更换一次，但实际未配置强制技术管控措施，条款完全落地率不足60%。安全组织架构层面，目前仅在信息部设置1名兼职安全管理员，未成立专门的网络安全管理部门，该管理员同时承担系统运维、项目建设等多项工作，每月投入安全管理的时间不足30%，未在各业务部门设置专职安全联络员，安全责任未层层落实到具体岗位，出现安全事件后存在责任推诿的情况。人员安全管理层面，近2年新入职的127名员工未开展入职网络安全培训与考核，未签订网络安全责任书，202X年第一季度共发生12起员工违规操作事件，包括将个人账号密码转借他人使用、通过个人微信传输核心业务数据、使用私人U盘拷贝生产数据等，人为操作风险突出。第三方人员管理存在流程漏洞，现有12家第三方运维服务商、7家软件供应商的47名驻场或远程运维人员，未全部签署保密协议，第三方人员的系统运维账号未设置自动过期时间，12个第三方账号在合作项目结束6个月后仍保留系统登录权限，第三方远程运维过程未建立全程审计、双人监督机制，存在第三方人员违规操作、窃取数据的风险。安全运维流程层面，近3年上线的7个信息系统项目未开展同步的安全需求设计、安全测试，系统上线前未经过安全评估即投入运行，从源头引入大量安全漏洞；漏洞补丁管理流程缺失，未建立统一的补丁测试、灰度发布、效果验证机制，高危漏洞的平均修补时长为47天，远低于等级保护要求的高危漏洞72小时内修补的标准。应急响应能力层面，现有应急预案上次更新为2021年，未针对勒索病毒攻击、大规模数据泄露、DDoS攻击等高发安全场景制定专项处置流程，近2年仅开展过1次桌面推演形式的应急演练，未组织过实战化攻防演练；应急物资储备不足，未储备应急隔离设备、离线备份介质、恶意代码分析工具，评估中模拟勒索病毒攻击场景，处置团队从发现异常到完成感染主机隔离耗时2小时17分钟，远超过15分钟的响应要求，且通过现有备份恢复核心业务数据耗时12小时，未达到核心系统RTO4小时的防护目标。供应链安全管理层面，未建立软件供应链安全检测机制，采购的软件产品、引入的开源组件未经过安全检测即投入使用，硬件设备采购未对供应商开展常态化安全资质审查，2台核心网络设备为境外品牌，存在已知的预置后门风险，设备深度运维依赖境外厂商远程支持，存在供应链断供、数据泄露的潜在风险。基于资产价值、脆弱性严重程度、威胁发生可能性三个核心要素，评估团队采用风险值量化模型对所有发现的风险点开展等级划分，风险值计算规则为资产价值赋值×脆弱性严重程度赋值×威胁发生可能性赋值，按照分值区间将风险划分为极高、高、中、低四个等级。其中极高风险共7项，分别为核心业务系统存在可被远程直接利用的高危漏洞且未及时修补，攻击者可直接获取核心系统控制权，可能导致生产全链路停摆、核心数据泄露，风险值92；虚拟化平台存在默认弱口令与未修补高危漏洞，攻击者可获取全平台控制权，导致所有虚拟机被加密、篡改，风险值90；生产网与办公网、互联网边界存在过度授权访问规则，攻击者可从互联网、办公网直接访问核心数据库与生产控制节点，风险值89；核心数据明文存储、明文传输且测试环境使用未脱敏生产数据，存在大规模敏感数据泄露的合规风险，可能触发最高5%年营业额的行政处罚，风险值88；灾备中心UPS续航能力不足、核心硬件区域监控存在盲区，可能导致突发供电中断时业务无法切换、硬件资产被盗，风险值87；境外远程运维通道未落实安全管控、数据出境未履行申报流程，可能导致核心生产数据被境外窃取、面临监管部门行政处罚，风险值85；终端恶意代码防护覆盖率不足、钓鱼邮件攻击成功率较高，存在勒索病毒大规模感染导致全网络加密的风险，风险值84。高风险共29项，涵盖网络设备弱口令、业务系统越权访问与SQL注入漏洞、服务器主机安全代理覆盖率不足、数据库权限过度授权、专职安全管理团队缺失、漏洞补丁管理流程缺位等，这类风险被外部攻击者或内部违规人员利用的可能性较高，可能导致局部业务中断、局部敏感数据泄露，风险值区间为60-80。中风险共124项，包括系统日志留存时间不足、普通终端高危漏洞未修补、安全制度部分条款与实际不符、员工常态化安全培训缺失等，这类风险被利用的可能性中等，可能导致局部系统异常、少量非敏感数据泄露，风险值区间为30-59。低风险共327项，涉及系统低危漏洞、非核心区域配置基线不符合、部分运维操作记录不完整等，这类风险被利用的可能性较低，影响范围局限于个别非核心节点，风险值低于30。针对不同等级的风险点，评估团队结合行业最佳实践与单位实际情况，按照优先级明确分阶段整改路径。1个月内优先完成极高风险点的闭环处置，一是开展边界安全紧急加固，立即关停无安全防护的临时运维专线，对所有互联网出口的访问控制策略进行全量梳理，删除全端口放通的高危规则，在所有出口补全入侵防御、Web应用防火墙、流量审计设备，将DDoS防护阈值扩容至50Gbps，按照最小权限原则重新配置跨区域访问策略，关闭办公网到生产区数据库端口的直接访问权限，在核心业务区补全东西向流量监测探针，实现全网络流量的全覆盖监测；二是紧急修补可被直接利用的高危漏洞，对所有存在永恒之蓝、Log4j、Spring等远程利用漏洞的服务器、应用系统立即安装安全补丁，对无法直接打补丁的老旧停服系统，先通过微隔离策略、访问控制列表限制访问源，确保只有授权IP可访问相关端口，立即完成所有网络设备、服务器、业务系统、虚拟化平台的弱口令整改，启用密码复杂度校验规则，对所有核心系统管理员账号强制启用多因素认证，配置登录失败自动锁定机制；三是落实数据安全紧急管控措施，立即对数据库中明文存储的敏感字段启用加密存储，切断测试环境与生产环境的非授权链路，清理测试环境中存储的未脱敏生产数据，对所有数据备份文件设置加密密码与严格的访问权限控制，立即排查所有连接境外的运维与数据传输链路，按照数据出境管理要求履行申报流程，对不符合安全要求的境外传输链路立即断开；四是完成物理安全隐患整改，立即更换故障的红外入侵检测装置、灵敏度不足的烟感探测器，清理机房内堆放的易燃物品，对UPS电池组开展全量检测与故障更换，确保带载续航时间达到120分钟以上，启用介质存放区双人双锁门禁机制，补全全年介质出入库登记记录，对之前流向外部回收机构的报废硬盘开展追溯，核实数据泄露风险。3-6个月阶段集中完成高风险点的整改，构建基础安全防护体系。一是完成主机与终端安全能力建设，实现服务器、终端的安全代理100%覆盖，统一纳入病毒查杀、补丁管理、外设管控、恶意行为监测体系，制定老旧操作系统迁移计划，12个月内完成所有WindowsServer2008、CentOS6等停服系统的替换升级，在核心服务器区部署微隔离系统，实现服务器之间的访问最小化授权，阻断攻击横向移动路径；二是开展应用层安全全面加固，对所有业务系统开展深度代码审计，修复存在的SQL注入、越权访问、文件上传、命令注入等应用漏洞，建立软件供应链安全检测机制，在系统上线前、开源组件引入时开展自动化漏洞检测，对所有对外开放接口全面启用身份认证、签名校验、请求限流措施，防止接口被恶意调用、数据被批量爬取，修复关键业务流程的逻辑漏洞，对支付、审批等核心环节增加多维度参数校验，防止参数篡改导致的资金损失、流程绕过；三是建立数据安全基础管控体系，完成全量数据的分类分级梳理，明确不同级别数据的安全防护要求，在数据采集、传输、存储、使用、共享、销毁各环节落实对应管控措施，部署数据脱敏