监控系统访问权限检查表

监控系统访问权限检查表一、检查目的与适用范围监控系统访问权限检查是防范内部数据泄露与外部恶意篡改的第一道防线。本表用于规范视频监控系统（CCTV）、网络流量监控系统、系统日志监控平台等核心设施的账号生命周期与授权管理，确保所有访问行为可追溯、最小化、受控。本表适用于企业内所有涉及监控设备接入、平台登录、视频/数据调阅、配置修改的操作人员、管理人员及第三方维保人员。二、职责分工权限检查必须由独立的审计或安全专员执行，严禁系统管理员自查自纠，以避免利益冲突导致审查失效。•安全审计员：每月5日前导出监控系统账号清单与操作日志，依据本表逐项核查，出具《监控权限审计报告》。发现违规权限须在2小时内下发《权限整改通知单》。•系统管理员：负责提供准确的账号清单、权限分配记录，配合审计员核查，并在收到整改通知后24小时内完成权限回收或调整。•部门负责人：审批本部门人员提出的监控调阅申请，确保业务需求与授权范围匹配，对审批结果负责。三、检查前准备与基准要求任何检查动作前必须冻结当前权限状态，导出基准快照，避免动态变更导致审计盲区。1.账号清单导出：系统管理员登录监控管理后台，导出当前全量账号列表（包含用户名、所属组、角色、最后登录时间、创建时间），格式为加密的CSV文件。2.日志归档校验：确认监控系统的操作审计日志已连续记录且无断档，保存期限不得少于6个月。若存储空间不足，应估算日志增长速率（如日均50MB，则6个月需预留约9GB3.检查工具准备：准备网络扫描工具（用于核对设备实际开放端口与策略一致性）、权限矩阵对照表（基于《数据分类分级管理制度》制定）。四、核心检查项与执行标准权限审查的核心在于验证“最小权限原则”与“职责分离原则”的物理落实情况，而非仅仅核对配置界面的选项。4.1账户与身份认证检查•默认账户清理：严禁保留设备出厂默认账户（如admin/admin、admin/123456）。攻击者可利用公开字典轻易获取默认凭证登录后台，进而篡改录像或植入后门。必须在设备上线前重命名或禁用默认账户，改用由域控统一分发的强身份认证账户。发现未清理的默认账户，判定为高危漏洞，必须立即阻断该设备网络连接并整改。•多因素认证（MFA）覆盖：通过公网或非信任内网区访问监控平台时，必须启用MFA。若系统架构不支持MFA，则必须限制访问源IP仅为堡垒机地址，并绑定终端MAC地址；严禁将监控平台Web端口直接映射至公网。•僵尸账户清理：对于超过90天未登录的账户，系统管理员必须发起复核。若确认人员已离职或调岗，必须在HR系统流程闭环后24小时内执行账号停用。错误做法是仅将账号状态设为“禁用”但保留其关联的视频调阅权限，这会导致权限策略残留，账户恢复时产生越权风险。4.2角色与授权策略检查•职责分离（SOD）：系统配置修改权、录像调阅权、日志审计权必须分离，由不同角色持有。若同一账号同时具备修改监控阈值和删除告警日志的权限，该人员可随意屏蔽入侵行为而不被发现。必须将这三项权限分别绑定至“网络运维组”、“安全调阅组”、“合规审计组”。•最小权限原则验证：◦普通安保人员：仅授予特定区域（如大堂、周界）的实时视频查看权限，严禁授予历史录像回放与下载权限（防范内部人员拷贝敏感时段视频外泄）。◦IT网络运维：仅授予网络流量监控面板的只读权限；如需修改采集阈值，必须提交变更工单，经审批后由配置管理员执行。•特权账号检查：监控系统的root或超级管理员账号必须存放在密码保险箱中，实行“一事一申请、一次一授权”机制。严禁多人共享同一特权账号密码——这会导致操作日志无法定位到具体自然人，丧失审计追溯能力。替代方案是采用特权账号管理（PAM）系统进行密码代填与会话录像。4.3网络与接口访问控制检查•风险演化阻断：监控设备默认开放Telnet（23）、HTTP（80）等明文协议端口→中间人攻击者可通过网络抓包窃取管理员凭证→登录设备植入恶意固件→监控设备沦为内网跳板发起横向攻击。•传输加密强制：优先使用TLS1.2及以上版本的HTTPS与SSH协议进行管理与数据传输；若老旧设备不支持加密协议，则必须将其隔离至独立的监控VLAN，并在网关处部署ACL严格限制源IP访问；严禁监控设备直接暴露在办公网或互联网中。•API接口管控：第三方系统（如门禁系统、安防综合平台）对接监控平台API时，必须使用独立的服务账号，并配置IP白名单。严禁使用人员账号进行API对接，严禁在代码或配置文件中硬编码明文密码。4.4日志审计与行为追溯检查•日志完整性：监控平台自身的操作日志（登录、登出、视频下载、配置修改、账号增删）必须转发至独立的日志服务器（如Syslog服务器），防止系统管理员在本地清除作案痕迹。•重点行为审查：审计员每月必须抽查以下三类高危操作日志：1.非工作时间（如22:00-06:00）的录像下载行为。2.批量调阅非本部门管辖区域视频的行为。3.连续3次以上登录失败的账户锁定记录。•追溯机制：若发现日志中存在时间断层（如缺失了2小时的记录），应判定为中危事件。系统管理员必须排查日志服务状态、磁盘容量或NTP时间同步异常，并在48小时内出具根因分析报告。五、异常处置与闭环管理发现越权或僵尸账户必须立即执行阻断与回溯，绝不能仅停留在记录层面，必须形成PDCA（计划-执行-检查-改进）闭环。•紧急处置（判定标准：监控系统已被外部IP接管，或特权账号异常导出大量录像）：◦启动权限：安全审计员或值班安全主管。◦处置原则：立即在边界防火墙切断监控平台外网连接，物理隔离受控设备；冻结相关账号；保留内存快照与硬盘镜像作为证据；2小时内启动安全事件应急响应。•高危处置（判定标准：存在未清理的默认账户、明文传输凭证、越权修改配置）：◦启动权限：系统管理员。◦处置原则：接到通知后2小时内修改默认账户强密码或禁用；启用SSH/HTTPS；撤销越权账号的配置权限；追溯该账号过去30天的操作日志确认是否已被利用。•中危处置（判定标准：离职人员账号未在24小时内清理、最小权限划分过宽）：◦启动权限：系统管理员。◦处置原则：24小时内完成冗余账号停用；重新评估并缩减过宽权限角色；每周复查HR离职名单与系统账号的匹配度。•改进闭环：每次检查结束后，安全审计员必须将高频出现的问题（如某类设备普遍不支持MFA）纳入系统升级改造计划，从架构层面消除权限管理痛点。六、检查表单与交付物以下表单为标准执行工具，检查人员须逐项填写并签字确认，形成不可篡改的审计凭证。检查记录应至少保存3年备查。6.1监控系统访问权限例行检查表检查维度检查项标准要求/判据检查方法实际结果(符合/不符/不适用)异常说明与整改时限检查人/日期账户管理默认账户状态无出厂默认账户存在登录后台核查用户列表账户管理僵尸账户清理90天未登录账户已禁用导出登录日志比对身份认证MFA启用情况公网/跨区访问强制启用MFA模拟外部网络登录验证授权策略职责分离执行配置权、调阅权、审计权分离核对角色权限分配矩阵授权策略视频下载权限仅授权特定管理角色抽查3个普通账号权限网络控制明文端口开放禁用Telnet/HTTP，使用SSH/HTTPS执行端口扫描核对网络控制API接口鉴权使用服务账号及IP白名单审查API对接配置文档日志审计日志独立存储转发至独立Syslog服务器检查日志转发策略状态日志审计高危行为审查抽查上月非工作时间下载记录过滤审计日志并核对工单6.2异常权限处置工单模板•工单编号：MON-AUDIT-YYYYMMDD-XXX•发现时间：YYYY-MM-DDHH:MM•系统名称：[填写具体监控系统名称]•异常描述：[包含发现途径、违规账号、具体违规权