外部系统对接安全风险检查表

外部系统对接安全风险检查表一、对接前架构与资产评估盲目开放内网端口是导致系统性数据泄露的根源，对接前必须划定明确的网络边界与资产暴露面。1.1网络边界与隔离设计•部署架构：必须将对接网关部署在独立隔离的DMZ（隔离区）区域。严禁将外部请求直接路由至内网核心数据库或业务服务器（外部攻击者可通过未修复的0day漏洞长驱直入，直接获取内网横向移动权限）。•访问控制策略：外部系统仅能与DMZ区网关的指定端口（如TCP443）通信。DMZ区至内网业务区的调用必须通过防火墙白名单放行，白名单应当精确到「源IP-目的IP-目的端口-协议」四元组。严禁在防火墙配置中开放网段到网段的宽松规则（如/24到/24）。•流量清洗：对接流量优先经过WAF（Web应用防火墙）或API网关的安全模块过滤；若对接协议为非HTTP/S的自定义TCP协议，应当部署具有深度包检测（DPI）能力的工业级防火墙；严禁将外部IP直接映射至内部负载均衡器。1.2接口资产台账登记•资产建档：每一次对接必须生成唯一的接口资产ID。台账必须包含：接口名称、提供方/消费方、数据流向、数据敏感级别、网络通道、负责人及联系方式。严禁未经登记私自开通点对点对接通道（避免形成暗链，导致安全审计盲区）。•数据分级映射：依据《数据安全法》及企业数据分类分级制度，对接传输的数据必须在台账中标记敏感级别。涉及个人隐私信息（PII）或核心商业机密的接口，应当采用最高级别的加密与鉴权措施。二、身份认证与访问控制审查身份认证是外部系统进入内部网络的第一道防线，一旦被绕过，所有后端数据将面临直接暴露的风险。2.1认证机制设计•认证协议选择：优先采用OAuth2.0客户端凭证模式或基于mTLS（双向TLS）的证书认证；若对接老旧系统不支持上述协议，可使用基于HMAC-SHA256算法的APIKey签名机制；严禁使用BasicAuth或明文APIKey通过公网传输（攻击者可通过中间人攻击截获凭证，进而冒充合法客户端发起越权请求）。•令牌生命周期：访问令牌有效期必须限制在1小时以内，刷新令牌有效期不得超过7天。令牌刷新机制必须确保旧令牌立即失效。严禁配置永久有效的静态Token。2.2权限收敛与最小化原则•接口级鉴权：必须实施基于角色或Scope的细粒度鉴权。外部系统申请的Token仅授予其业务必需的接口路径访问权。严禁授予全局通配符权限（如/*或`/api/`），防止Token泄露后被用于探测和调用其他敏感接口。•数据级过滤：后端服务应当在代码逻辑中校验外部系统的数据访问边界。例如，外部系统A仅能查询其自身租户ID下的数据，严禁仅依赖前端传入的租户ID进行数据过滤，必须在服务端Session或Token解析中强制注入租户隔离条件。三、数据传输与存储安全检测数据在传输链路中最易遭受截获与篡改，必须实施强制加密与完整性校验。3.1传输链路加密•加密协议标准：必须使用TLS1.2或TLS1.3版本进行通信。严禁使用TLS1.0/1.1或SSLv3协议（存在BEAST、POODLE等降级攻击漏洞，攻击者可在同一网络环境下解密加密流量）。加密套件必须禁用RC4、DES等弱算法，优先使用ECDHE-RSA-AES256-GCM-SHA384。•证书管理：服务端证书应当从受信任的CA机构签发，优先采用ECC算法证书以降低握手开销。严禁使用自签名证书进行生产环境对接（无法防范中间人攻击，且客户端无法验证服务器真实身份）。3.2数据完整性与防重放•签名校验：对于关键业务指令（如资金划拨、工单状态变更），除了HTTPS外，应当对请求体进行SHA-256签名。签名串拼接顺序必须为：HTTPMethod+请求URI+请求时间戳+请求体MD5。•防重放机制：服务端必须校验请求时间戳。若客户端请求时间戳与服务端当前时间偏差超过5分钟，应当返回HTTP401拒绝处理。对于核心写操作，必须引入Nonce随机数机制，服务端在Redis中缓存Nonce值10分钟，重复提交相同Nonce的请求应当被拒绝。3.3敏感数据脱敏与日志安全•数据脱敏：接口返回的敏感数据（如身份证号、银行卡号、手机号）必须在出口网关进行掩码处理（如手机号保留前3后4，中间以*填充）。严禁将全量明文返回给外部系统。•日志安全：严禁将请求体中的敏感字段（如密码、完整卡号）明文写入ELK等日志平台。日志收集组件应当在打印前通过正则匹配脱敏，脱敏失败时应当直接丢弃该日志段并触发告警。四、接口防攻击与容错能力测试外部系统既可能是恶意攻击源，也可能是性能瓶颈的传播者，必须在网关层与代码层建立双重防御机制。4.1流量控制与限流熔断•速率限制：必须在API网关层配置全局限流策略。单接口并发请求超过500次/秒时，网关应当返回HTTP429（TooManyRequests）。严禁无阈值放行（外部系统若存在Bug触发死循环重试，瞬时流量洪峰将打满后端数据库连接池，导致服务雪崩）。•熔断降级：当外部系统调用本方接口的错误率连续1分钟超过10%，或平均响应时间超过3秒时，必须触发熔断器开启，默认熔断60秒。•异常处置：熔断期间应当执行降级策略（返回缓存数据或默认提示），严禁持续向已故障的后端服务发起重试。熔断恢复后应当采用递增式放行策略（如先放行10%流量，成功率恢复后逐步至100%）。4.2输入验证与注入防护•参数校验：后端服务必须对所有入参进行强类型校验和长度限制（如字符串字段限制最大255字符，数字字段校验范围）。严禁信任外部传入的任何数据格式。•防注入机制：SQL查询必须使用参数化预编译语句。严禁通过字符串拼接方式构造SQL语句（攻击者可通过构造恶意参数如'OR1=1--实现拖库或删库）。对于JSON格式请求体，应当配置最大深度（如不超过20层）和最大长度（如不超过1MB），防范深度嵌套引发的解析器耗尽攻击。五、风险分级与应急处置规程外部对接通道不可避免地会成为攻击入侵的跳板，必须有清晰的分级阻断机制防止单点故障蔓延至全系统。5.1风险事件分级标准事件级别判定标准启动权限处置原则（响应时间与动作）一级（重大）发现未授权访问漏洞被利用、大范围数据异常导出、接口引发后端服务OOM宕机或数据被勒索加密。安全总监或分管副总15分钟内通过防火墙阻断对接源IP，冻结相关Token；30分钟内启动应急溯源审计；保留全量访问日志。二级（较大）接口限流被频繁触发、错误率突破5%、部分非核心字段越权暴露、异常慢查询导致数据库CPU占用超80%。IT部门负责人1小时内联系对接方排查，临时调低该系统的QPS限额至正常的10%，启用降级策略阻断写操作。三级（一般）单次请求失败或偶发超时、个别鉴权失败告警、非业务高峰期网络抖动。运维值班人员通过监控系统自动告警，检查网络链路与对方服务状态，4小时内出具单次故障分析报告。5.2应急阻断与回退机制•一键阻断：必须在API网关配置「一键阻断」脚本或按钮。当确认对接通道存在高危风险时，运维人员可立即执行阻断，阻断动作应当在1分钟内生效。阻断策略应当包含：拒绝该客户端IP访问、吊销当前有效Token、关闭对应路由转发。•回退方案：对于核心业务对接，必须准备手工旁路方案。若接口自动化对接完全中断，应当能在2小时内切换至人工审核+批量文件导入模式，确保基础业务不中断。六、对接后日常监控与审计机制上线不是安全的终点，持续无盲区的监控是发现潜伏型攻击与数据缓慢渗出的唯一手段。6.1行为基线与异常分析•基线建模：对接系统稳定运行1个月后，应当利用机器学习或统计算法建立行为基线。基线维度应当包含：日均请求量、活跃时段分布、平均响应时间、高频访问接口Top10。•异常检测告警：若某对接方在非工作时间（如凌晨2:00-5:00）请求量较日常平均值增长300%以上，或单次请求响应体超过日常均值5倍（疑似全量数据拉取），必须触发高危告警，自动临时封禁该Token1小时并通知人工复核。6.2安全审计与定期复查•日志留存：所有对接接口的请求与响应日志必须实时推送至独立SIEM（安全信息和事件管理）平台。日志字段必须包含：时间戳、源IP、目标接口、TraceID、响应状态码、响应耗时。留存时间不得少于6个月，涉及核心交易数据不少于1年。•定期渗透与复核：每季度对开放给外部的接口进行一次专项渗透测试，重点检测越权访问与注入漏洞。每年与合作方签署安全协议时，必须要求对方提供上一周期的安全审计报告或等保测评结果，资质过期或评估不合格者必须暂停数据提供。七、附录：安全检查执行清单与联络通讯录7.1外部系统对接上线安全检查表检查项次检查类别具体检查内容与判定标准责任方检查结果（通过/不通过/不适用）备注1.1网络隔离外部请求是否仅到达DMZ区，未直连内网网段网络工程师1.2防火墙策略防火墙规则是否基于四元组最小化放行，无ANY-ANY规则网络工程师2.1认证机制是否采用OAuth2.0/mTLS/HMAC签名，禁用明文Token架构师2.2权限控制Token权限是否限定在业务必需的单一接口或路径后端开发3.1传输加密是否强制TLS1.2+，禁用了RC4等弱算法运维工程师3.2防重放请求是否携带时间戳与Nonce，服务端是否校验5分钟时效后端开发3.3敏感数据返回报文中的身份证、卡号等是否已做掩码处理后端开发4.1限流熔断网关是否配置QPS限流，后端是否配置错误率熔断运维工程师4.2注入防护数据库查询是否全部使用参数化预编译，无拼接SQL后端开发5.1应急响应是否在网关配置一键阻断脚本，验证可在1分钟内生效安全工程师6.1日志审计访问日志是否推送至