网络安全专项排查方案

网络安全专项排查方案一、工作目标本次排查旨在通过全量资产扫描与深度配置核查，在7个工作日内彻底摸清当前网络环境中的资产底数与风险敞口，并完成高危风险的闭环处置。工作不追求“大而全”的形式主义，而是聚焦于“可利用风险”的清零，确保排查结束后，系统不存在已知的高危漏洞（CVSS≥9.0）、弱口令账户及违规的外联通道，为后续通过等级保护测评及年度安全审计奠定坚实基础。二、组织架构与职责成立网络安全专项排查工作组，实行组长负责制，采用RACI模型明确各方权责，杜绝推诿扯皮。1.组织机构组长：分管信息化的副总经理（负责资源协调与最终决策）执行副组长：信息安全部经理（负责方案制定与进度管控）成员：系统运维组、网络运维组、应用开发组、业务部门接口人2.职责分工矩阵任务项信息安全部系统运维组网络运维组业务部门资产梳理与确认A(审批)R(执行)R(执行)C(咨询)漏洞扫描与验证R(执行)C(咨询)C(咨询)I(告知)弱口令专项治理A(审批)R(执行)I(告知)R(执行)配置核查与加固R(执行)R(执行)R(执行)I(告知)整改验收与复测A(审批)I(告知)I(告知)C(咨询)注：R=负责执行，A=最终审批，C=提供咨询，I=被告知三、排查范围与对象排查范围覆盖公司所有对外及对内信息系统，包括但不限于物理环境的安全基线，重点聚焦于“影子资产”与“互联网暴露面”。1.网络资产互联网出口：防火墙、WAF、抗DDoS设备、路由器、VPN网关。核心网络区：核心交换机、汇聚交换机、接入交换机、负载均衡器。隔离区域：DMZ区、测试区、运维管理区、guestWi-Fi网段。2.主机与系统资产服务器：物理机、虚拟机（VMware/KVM）、云主机（阿里云/腾讯云/华为云）。操作系统：WindowsServer2008R2及以上、CentOS6/7/8、Ubuntu18.04/20.04、RedHatEnterpriseLinux。终端：员工办公PC、开发测试笔记本、自助终端机。3.应用与数据资产Web应用：对外发布的门户网站、电商平台、API接口、小程序后端。中间件：Nginx、Apache、Tomcat、Java(JDK/JRE)、IIS、Weblogic、WebSphere。数据库：MySQL、Oracle、SQLServer、Redis、MongoDB、Elasticsearch。数据：客户身份证号、手机号、家庭住址（PII数据）、财务报表、源代码。四、排查内容与技术标准本次排查采用“工具扫描+人工核查”相结合的方式，工具负责发现漏洞与端口，人工负责验证误报与深挖逻辑漏洞。1.资产底数与暴露面核查资产的动态更新是安全防御的前提，重点发现未备案的“僵尸资产”和违规开放的端口。端口扫描：使用Nmap或Masscan对全网段（/判定标准：发现非业务必需的端口（如135,139,445,3389,22,23）直接对外开放视为高风险。处置动作：立即在防火墙侧配置ACL策略阻断，并溯源开放该端口的进程。ShadowIT发现：通过流量分析设备（如NetFlow分析器）检测未登记的域名解析请求与外联IP。风险演化：员工私自搭建测试站点→存在SQL注入漏洞→攻击者通过该站点内网横向移动→核心数据库拖库。动作机理：比对CMDB（配置管理数据库）与流量分析结果，差异项即为ShadowIT，必须在24小时内纳入备案或下线。2.脆弱性扫描与漏洞管理针对已知CVE漏洞进行全量检测，优先处置“可被远程代码执行（RCE）”的高危漏洞。扫描策略：使用Nessus或AWVS进行认证式扫描（需提供系统账号密码），确保能检测到OS补丁详情与配置缺陷。重点排查漏洞列表（截至当前日期的高危关注点）：Log4j2(CVE-2021-44228)：检测Java应用log4j-core包版本，严禁存在受影响版本。Spring4Shell(CVE-2022-22965)：核查SpringFramework捆绑版本。Weblogic反序列化漏洞：检测T3/IIOP协议是否开启。永恒之蓝(MS17-010)：检测Windows系统是否安装KB4013389补丁。分级响应标准：P0级（危急）：CVSS评分≥9.0或存在公开Exploit。必须在24小时内完成修补或临时规避措施（如禁用漏洞模块、隔离主机）。P1级（高危）：CVSS评分7.0-8.9。应当在3个工作日内完成修补。P2级（中低危）：CVSS评分<7.0。可安排在下个月度补丁日统一修复。3.身份鉴别与访问控制弱口令是入侵的主要途径，必须杜绝默认密码、空口令及通用密码。弱口令爆破测试：使用Hydra或Medusa对以下账户进行字典攻击（字典包含Top10000常用密码）。对象：操作系统root/administrator账户、数据库管理员账户、应用后台admin账户、网络设备enable密码。安全基线：密码长度≥12位。复杂度要求：必须包含大写字母、小写字母、数字、特殊符号中的3种。90天强制轮换一次，且最近3次密码不得重复。后果与替代：严禁弱口令登录。若发现账户被锁定（连续5次失败），必须由管理员通过线下流程重置，禁止自动解锁机制。特权账号审计：检查/etc/passwd或AD域控中UID为0的账户，除root外严禁存在其他UID0账户。检查sudoers配置，严禁授予普通用户ALL=(ALL)ALL的全量权限。4.日志审计与监测日志是事后追溯的唯一依据，必须确保日志的完整性、保密性与可用性。日志留存策略：关键设备（防火墙、WAF、核心交换机、数据库）必须开启日志功能。日志留存时间≥6个月（符合《网络安全法》要求）。日志内容核查：Web服务器日志必须记录源IP、请求时间、HTTPMethod、请求URL、Referer、User-Agent、HTTP状态码、响应字节数。严禁在URL参数中明文传输密码，若发现此类日志，必须判定为应用代码安全缺陷并整改。外联监测：部署网络全流量分析（NDR）工具，监测针对恶意C2域名的连接请求（如.cc,.su,*.tk等非常见顶级域名，或在威胁情报库中标记的IoC）。5.数据安全与隐私保护防止敏感数据“裸奔”，重点检查存储加密与传输加密。传输加密检查：使用openssls_client-connectdomain:443或testssl.sh检测Web服务。严禁使用SSLv2/v3或TLS1.0/1.1。必须启用TLS1.2或TLS1.3。加密套件必须优先使用ECDHE组（支持前向保密），禁止使用NULL匿名套件或EXPORT弱加密套件。存储敏感度检查：使用正则表达式扫描数据库备份文件及配置文件。身份证号：^[1-9]\d{5}(18|19|20)\d{2}((0[1-9])|(1[0-2]))(([0-2][1-9])|10|20|30|31)\d{3}[0-9Xx]$手机号：^1(3\d|4[5-9]|5[0-35-9]|6[567]|7[0-8]|8\d|9[0-35-9])\d{8}$动作机理：若在配置文件（如.properties,.xml,.ini）中发现匹配明文，视为严重违规，必须修改为引用环境变量或加密存储。五、实施步骤与时间表本次排查分为4个阶段，总工期控制在10个工作日内，确保快速见效。第一阶段：准备与动员（第1-2天）工具调试：部署扫描引擎，获取最新漏洞特征库（CVEDB），测试扫描账号连通性。基线制定：下发《安全配置基线检查表v2.0》，明确各系统的检查指标。业务通知：发布邮件通知全员，告知扫描期间可能出现网络抖动或账号锁定情况，提供24小时应急联系电话。第二阶段：全面扫描与核查（第3-5天）自动化作业：每日22:00至次日06:00执行漏洞扫描（避开业务高峰）。全天候执行弱口令爆破测试（限制并发速率为10threads/s，防止造成DoS）。人工核查：登录核心设备抽查Top10高危风险。询问开发人员关于测试环境的数据脱敏落实情况。第三阶段：风险整改与加固（第6-8天）漏洞修补：Windows系统通过WSUS推送补丁，强制重启（需业务方确认窗口期）。Linux系统通过yumupdatesecurity或apt-getupdate更新，验证内核版本。配置修正：修改SSH配置/etc/ssh/sshd_config，禁止root直连（PermitRootLoginno），修改默认端口（22→随机高位端口）。关闭数据库公网访问端口，仅允许应用服务器IP通过白名单访问。第四阶段：复测与验收（第9-10天）回归测试：对已整改的漏洞进行二次验证，确保修补未引入新故障。报告生成：汇总数据，输出《网络安全专项排查总结报告》，列出剩余风险及处置建议。六、应急处置预案排查过程中可能触发安全设备误报或导致服务异常，需做好快速回滚准备。1.扫描导致业务中断触发条件：CPU占用率>90%持续5分钟，或应用响应时间>3s。处置流程：立即停止扫描任务（Kill进程）。检查系统负载，排查是否因扫描并发过高导致死锁。恢复应用服务（重启Tomcat/PHP-FPM或数据库）。调整扫描策略（降低并发、排除高危URL），在次日重试。2.发现正在进行入侵触发条件：在排查中发现Webshell木马、异常反弹Shell或勒索病毒加密进程。处置流程：断网：立即拔除网线或禁用网卡，防止数据外传或横向扩散。取证：对内存进行镜像抓取（使用LiME或Volatility），保存现场环境。溯源：分析Web日志，确定攻击者IP、入口路径及时间点。通报：启动网络安全事件应急预案，上报当地网安部门（如涉及敏感数据）。七、整改与验收机制排查的终点不是发现漏洞，而是消除隐患。实行“清单制”管理，逐项销号。1.整改优先级立即整改：弱口令、高危端口对外开放、勒索病毒感染、网页被篡改。限期整改：系统补丁更新、配置基线加固（如日志留存、加密传输）。风险规避：无法立即修复的漏洞（如旧系统无补丁），必须部署网络层隔离（WAF拦截规则）或物理隔离。2.验收标准漏洞修复：扫描报告中对应状态由Vulnerable变为Fixed或Filter。配置变更：提供变更后的配置文件截图或命令回显（如showrun）。复核签字：整改责任人需在《漏洞整改确认单》上签字确认，信息安全部归档留存。八、保障措施1.工具与技术保障授权使用商业版漏扫工具（如NessusProfessional）及DAST工具（如AWVS）。准备合法的测试字典及POC验证脚本库。2.备份与回退保障操作前备份：在进行配置修改或补丁更新前，必须对配置文件（cp/etc/ssh/sshd_config/etc/ssh/sshd_config.bak）及关键数据进行快照备份。回退窗口：若修补后业务出现异常，必须在15分钟内完成回滚操作。3.保密要求排查过程中获取的所有账号、密码、IP拓扑、漏洞详情，严禁通过微信、QQ等即时通讯工具明文传输。报告仅限内部传阅，对外发布时必须进行脱敏处理（隐藏具体IP段或漏洞路径）。附录A：资产核查登记表（样表）序号资产名称IP地址资产类型操作系统/版本责任部门责任人备注1核心交易数据库0数据库CentOS7.9/MySQL5.7技术部张某某需24h运行2官网前置机0服务器WindowsServer2019市场部李某某位于DMZ区........................附录B：高危漏洞整改跟踪表（样表）漏洞编号漏洞名称受影响资产CVSS评分整改措施计划完成时间实际完成时间状态验证人CVE-2021-44228ApacheLog4j2远程代码执行漏洞订单系统10.0升级至log4j-2.17.1.jar2024-XX-XX2024-XX-XX已整改王工...........................附录C：常用安全检查命令速查Linux系统检查#检查UID为0的特权账户

awk-F:'($3==0){print}'/etc/passwd

#检查SSH配置（禁止root