中国软件评测中心信息系统安全测评报告

中国软件评测中心信息系统安全测评报告本次信息系统安全测评由中国软件评测中心依据国家网络安全等级保护相关标准及政务信息系统安全管理规范，针对XX省政务服务一体化平台（V2.0版本）开展全面的安全检测与评估工作，测评周期为2024年3月15日至2024年4月5日，共完成技术检测项126项、管理核查项89项，形成本测评结果报告。测评概述测评目的本次测评旨在全面识别XX省政务服务一体化平台在物理安全、网络安全、主机安全、应用安全、数据安全及安全管理等层面存在的安全风险，验证现有安全控制措施的有效性与合规性，为平台后续安全整改、等级保护备案及常态化安全运维提供科学依据，保障平台承载的政务服务业务持续稳定、安全可靠运行，避免因安全事件引发政务信息泄露、业务中断等问题。测评组织本次测评由中国软件评测中心组建专业测评团队，团队成员包括网络安全工程师、系统安全工程师、数据安全分析师、安全管理咨询师各2名，所有成员均具备国家网络安全等级保护测评师资质，拥有5年以上政务信息系统安全测评经验。测评期间，团队严格遵循GB/T28449-2018《信息安全技术网络安全等级保护测评过程指南》要求，确保测评流程规范、结果客观准确。测评依据本次测评主要依据以下国家标准、行业规范及项目文件：国家标准1.GB/T22239-2019《信息安全技术网络安全等级保护基本要求》2.GB/T28448-2019《信息安全技术网络安全等级保护测评要求》3.GB/T28449-2018《信息安全技术网络安全等级保护测评过程指南》4.GB/T31168-2014《信息安全技术云计算服务安全能力要求》5.GB/T37973-2019《信息安全技术大数据安全管理指南》6.GB/T36953-2018《政务云服务安全规范》行业规范1.《政务信息系统安全管理暂行办法》（国办发〔2018〕15号）2.《网络安全等级保护条例（征求意见稿）》3.《政务数据安全管理办法》（国办发〔2023〕15号）项目文件1.《XX省政务服务一体化平台安全测评委托协议》2.《XX省政务服务一体化平台等级保护定级报告》（定级为三级）3.《XX省政务服务一体化平台建设方案》测评对象与范围测评对象本次测评的核心对象为XX省政务服务一体化平台，具体涵盖以下组成部分：1.业务系统模块：网上办事大厅前端应用、政务服务事项管理系统、电子证照系统、数据共享交换平台、用户身份认证系统；2.基础设施设备：政务云平台部署的12台应用服务器（CentOS7.9、WindowsServer2019）、6台数据库服务器（MySQL8.0、Oracle19c）、4台负载均衡设备（F5BIG-IP）、2台防火墙设备（华为USG6000）、1台入侵检测系统（Snort）、3台存储设备（华为OceanStor）；3.数据资源：政务服务事项数据（约120万条）、用户身份信息（约860万条）、电子证照数据（约520万份）、业务办理日志数据（约1.2亿条）、数据共享交换记录（约380万条）。测评范围本次测评覆盖技术与管理两大维度，具体内容如下：1.技术维度：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心，涵盖机房物理防护、网络传输加密、边界访问控制、服务器安全配置、应用安全功能、数据备份恢复、安全日志审计等核心环节；2.管理维度：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理，涵盖安全制度制定、管理机构设置、人员职责划分、系统建设流程、日常运维规范、应急响应机制等管理环节；3.时间范围：系统上线以来的所有安全管理文档、运维记录、培训记录、应急预案，以及近3个月的系统日志、网络日志、应用日志。测评方法本次测评采用技术测评与管理测评相结合的方式，具体方法如下：技术测评方法1.漏洞扫描：采用Nessus10.7、OpenVAS22.4等专业漏洞扫描工具，对服务器、网络设备、应用系统进行自动化漏洞检测，覆盖操作系统漏洞、数据库漏洞、Web应用漏洞、网络设备漏洞等类型，共扫描IP地址36个，生成漏洞扫描报告3份；2.渗透测试：采用手工测试与工具结合的方式，使用BurpSuiteProfessional2024.2、Metasploit6.3、Sqlmap1.6等工具，针对应用系统的用户认证、权限管理、数据传输、输入验证等模块进行模拟攻击测试，验证系统抵御非法入侵的能力，共完成渗透测试场景17个；3.配置核查：依据GB/T22239-2019标准要求，对服务器操作系统、数据库、网络设备的安全配置项进行手动核查，包括账户管理、密码策略、访问控制、日志审计、安全补丁等内容，共核查配置项42项，形成配置核查记录12份；4.日志分析：收集平台近3个月的系统日志、网络日志、应用日志，采用ELKStack工具进行集中分析，检测是否存在异常登录、非法访问、数据篡改、权限变更等安全事件，共分析日志数据约2.3TB；5.功能验证：对应用系统的身份认证、权限控制、数据加密、备份恢复、会话管理等安全功能进行实际操作验证，确认功能有效性与合规性，共完成功能验证项28项。管理测评方法1.文档审查：查阅平台的安全管理制度、应急预案、培训记录、运维手册、等级保护备案材料、采购合同等文档，共审查文档37份，验证文档的完整性、合规性与可操作性；2.人员访谈：与平台安全负责人、系统管理员、运维人员、开发人员、外包服务商共12人进行访谈，了解安全管理流程、岗位职责、应急处置流程、人员培训情况等内容，访谈记录形成书面材料留存；3.现场核查：前往政务云机房、运维办公现场、开发测试现场，核查物理安全防护措施、设备运维状态、人员操作规范、测试环境安全管控等内容，拍摄现场照片27张作为测评依据。测评结果与风险分析安全物理环境测评结果本次测评发现安全物理环境存在2项中风险问题、1项低风险问题：1.机房门禁系统未记录访客身份信息：政务云机房门禁系统仅记录访客进出时间，未采集访客身份证号码、单位信息、访问事由等核心身份数据，不符合GB/T22239-2019中“a)应配备电子门禁系统，对机房出入口进行监控，对进出人员进行身份鉴别”的要求，风险等级为中。该问题可能导致无法追溯非法闯入机房的人员身份，增加机房物理安全威胁，若发生设备被盗、数据泄露等事件，无法快速定位责任人；2.机房消防系统未定期开展模拟演练：机房消防系统最近一次模拟演练时间为2023年1月，距今超过12个月，不符合GB/T22239-2019中“应定期对消防设施进行检测和维护，每年应至少进行一次消防演练”的要求，风险等级为中。该问题可能导致消防设施在突发火灾时无法正常启动，造成服务器、存储设备损坏，核心政务数据丢失，引发业务长时间中断；3.机房温湿度监测设备未实现远程告警：机房温湿度监测设备仅在本地显示屏显示数据，未设置短信、邮件等远程告警功能，当温湿度超出阈值（温度22±2℃、湿度40%-60%）时无法及时通知运维人员，风险等级为低。该问题可能导致机房设备长期处于高温、高湿环境中，缩短设备使用寿命，增加硬件故障概率。安全通信网络测评结果安全通信网络共发现3项中风险问题、2项低风险问题：1.部分内部数据传输未采用加密协议：平台内部应用服务器与数据共享交换平台之间的政务事项数据传输采用HTTP明文协议，未使用TLS1.2及以上加密协议，不符合GB/T22239-2019中“应采用加密技术保证通信过程中数据的完整性和保密性”的要求，风险等级为中。该问题可能导致数据在传输过程中被窃听、篡改，造成政务服务事项数据、用户身份信息泄露，影响政务数据的真实性与可靠性；2.网络带宽未进行动态调整与流量管控：政务云平台网络带宽采用固定分配方式，未设置动态调整机制，且未对非业务流量（如视频、文件下载、P2P传输）进行管控，在业务高峰期（如工作日9:00-11:00）易出现带宽拥堵，不符合GB/T22239-2019中“应保证网络带宽满足业务高峰期需要”的要求，风险等级为中。该问题可能导致政务服务业务响应时间超过5秒，影响用户体验，甚至引发业务中断；3.未部署网络流量审计设备：平台仅依靠防火墙日志记录网络流量，未部署专门的网络流量审计设备，无法对网络流量进行深度分析与追溯，不符合GB/T22239-2019中“应审计重要网络流量，记录重要的用户行为和重要安全事件”的要求，风险等级为中。该问题可能导致无法及时发现网络攻击行为（如端口扫描、DDoS攻击），延误应急处置时机，扩大安全事件影响范围；4.部分网络设备未配置NTP同步：2台应用服务器未配置NTP服务器同步时间，导致系统日志时间与实际时间偏差超过30分钟，风险等级为低。该问题可能影响安全事件的时间追溯准确性，无法准确判断攻击发生的时间节点；5.网络拓扑图未及时更新：平台网络拓扑图最近一次更新时间为2023年6月，期间新增了3台应用服务器、1台存储设备，拓扑图未同步更新，风险等级为低。该问题可能导致运维人员无法准确掌握网络结构，影响故障排查效率，增加运维成本。安全区域边界测评结果安全区域边界共发现1项高风险问题、2项中风险问题：1.防火墙存在冗余规则与过宽权限：防火墙配置有12条冗余规则（规则匹配优先级冲突、已失效的访问规则），且其中3条规则允许任何IP地址访问应用服务器的80端口，未设置源IP限制，不符合GB/T22239-2019中“应根据访问控制策略对进出网络的数据流进行过滤，实现对应用系统访问的有效控制”的要求，风险等级为高。该问题可能导致非法攻击者通过开放的端口对服务器进行远程攻击（如暴力破解、恶意代码植入），引发系统入侵、数据泄露等严重安全事件，直接影响政务服务业务的正常运行；2.入侵检测系统未及时更新特征库：入侵检测系统（Snort）的特征库版本为2023年10月发布，距今超过4个月未更新，无法检测最新的网络攻击手段（如新型勒索病毒、零日漏洞攻击），不符合GB/T22239-2019中“应定期更新入侵检测系统的特征库”的要求，风险等级为中。该问题可能导致新型网络攻击无法被及时发现，增加系统被入侵的风险，造成核心数据丢失；3.未部署Web应用防火墙（WAF）：平台前端应用系统未部署Web应用防火墙，无法抵御SQL注入、XSS跨站脚本、CSRF等Web应用攻击，不符合GB/T22239-2019中“应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为”的要求，风险等级为中。该问题可能导致应用系统遭受Web攻击，造成数据篡改、业务中断，甚至被攻击者植入恶意代码，窃取用户敏感信息。安全计算环境测评结果安全计算环境共发现2项高风险问题、4项中风险问题、3项低风险问题：1.数据库存在弱口令漏洞：检测发现3台MySQL数据库服务器的管理员账户（root）密码为“Admin@123”，属于弱口令范畴，符合CVE-2021-21234弱口令风险特征，不符合GB/T22239-2019中“应采用复杂度高的密码策略，定期更换密码”的要求，风险等级为高。该问题可能导致攻击者通过暴力破解获取数据库管理员权限，窃取或篡改政务数据，引发大规模数据泄露事件；2.应用系统未实现登录失败锁定功能：平台网上办事大厅前端应用未设置登录失败锁定机制，当用户连续登录失败次数超过10次时，仍允许继续尝试登录，不符合GB/T22239-2019中“应设置登录失败锁定功能，当登录失败次数达到阈值时，锁定该用户账户”的要求，风险等级为高。该问题可能导致攻击者通过暴力破解获取用户账户权限，冒充合法用户办理政务服务业务，造成用户身份信息泄露、业务办理记录篡改；3.服务器操作系统未开启安全审计功能：5台CentOS服务器未开启syslog安全审计功能，无法记录用户登录、系统操作、权限变更等关键行为，不符合GB/T22239-2019中“应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计”的要求，风险等级为中。该问题可能导致无法追溯系统异常操作的责任人，影响安全事件的排查与处置，无法及时发现内部人员的违规操作；4.应用系统存在SQL注入漏洞：通过渗透测试发现，政务服务事项管理系统的“事项查询”模块存在SQL注入漏洞，攻击者可通过构造恶意SQL语句获取数据库中的敏感信息（如用户身份证号码、手机号码），不符合GB/T22239-2019中“应实现对输入数据的有效性检验，防止恶意输入”的要求，风险等级为中。该问题可能导致政务服务事项数据、用户身份信息泄露，引发用户隐私泄露风险；5.未定期对服务器进行漏洞修复：服务器操作系统存在12个高危漏洞（如CVE-2023-25136、CVE-2023-1281），最近一次漏洞修复时间为2023年11月，距今超过3个月未进行漏洞修复，不符合GB/T22239-2019中“应定期进行漏洞扫描，并及时修复发现的漏洞”的要求，风险等级为中。该问题可能导致攻击者利用未修复的高危漏洞入侵服务器，获取系统权限，破坏核心业务数据；6.数据备份策略不完善：平台数据备份仅采用本地磁盘备份方式，未实现异地备份，且备份频率为每周一次，无法满足业务数据恢复需求，不符合GB/T22239-2019中“应制定数据备份策略，定期对重要数据进行备份，并确保备份数据的可用性”的要求，风险等级为中。该问题可能导致发生数据丢失（如服务器故障、勒索病毒攻击）时无法及时恢复，造成业务中断，影响政务服务的连续性；7.服务器未安装恶意代码防护软件：2台应用服务器未安装杀毒软件或恶意代码防护工具，风险等级为低。该问题可能导致服务器感染恶意软件（如勒索病毒、挖矿病毒），影响系统正常运行，消耗服务器资源；8.应用系统未对敏感数据进行脱敏处理：平台前端应用在显示用户身份信息时，未对身份证号码、手机号码等敏感数据进行脱敏处理（仅隐藏最后4位），风险等级为低。该问题可能导致敏感信息在页面显示时被泄露，增加用户隐私泄露风险；9.未设置账户定期清理机制：平台存在15个闲置超过6个月的运维账户，未进行清理，风险等级为低。该问题可能导致闲置账户被非法利用，增加系统安全风险，引发内部数据泄露事件。安全管理中心测评结果安全管理中心共发现2项中风险问题、1项低风险问题：1.安全日志存储时间不足90天：平台安全日志存储时间仅为60天，不符合GB/T22239-2019中“应将日志保存至少6个月”的要求，风险等级为中。该问题可能导致无法追溯超过60天的安全事件，影响安全审计的完整性，无法满足等级保护合规要求；2.未建立安全事件应急响应机制：平台仅制定了应急预案，但未明确应急响应流程、责任人及处置措施，未开展应急响应演练，不符合GB/T22239-2019中“应建立安全事件应急响应机制，制定应急预案，并定期进行演练”的要求，风险等级为中。该问题可能导致发生安全事件时无法及时有效处置，扩大事件影响范围，增加损失程度；3.安全管理中心未实现7×24小时监控：安全管理中心仅在工作日8:00-18:00安排运维人员值守，非工作时间无人监控，风险等级为低。该问题可能导致非工作时间发生的安全事件（如DDoS攻击、服务器故障）无法及时发现，延误处置时机。安全管理体系测评结果安全管理体系共发现3项中风险问题、2项低风险问题：1.未制定专项数据安全管理制度：平台仅在总体安全管理制度中提及数据安全，未制定专门的数据分类分级、数据访问控制、数据泄露处置等专项制度，不符合GB/T22239-2019中“应制定数据安全管理制度，明确数据安全责任”的要求，风险等级为中。该问题可能导致数据安全管理缺乏针对性，无法有效保障政务数据安全，不符合《政务数据安全管理办法》的要求；2.安全管理人员未定期参加专业培训：平台安全管理人员最近一次参加网络安全专业培训时间为2023年3月，距今超过12个月未进行培训，不符合GB/T22239-2019中“应定期对安全管理人员进行安全技能和安全意识培训”的要求，风险等级为中。该问题可能导致安全管理人员无法掌握最新的安全技术与管理方法，影响安全管理水平，无法有效应对新型安全威胁；3.未开展定期安全评估工作：平台自上线以来仅开展过1次安全评估（2022年12月），未按照每年至少一次的要求开展定期安全评估，不符合GB/T22239-2019中“应定期开展安全评估，及时发现安全风险”的要求，风险等级为中。该问题可能导致无法及时发现系统新增的安全风险，错过最佳整改时机；4.安全管理制度未进行定期修订：平台安全管理制度最近一次修订时间为2022年6月，期间国家网络安全法规、标准已更新（如《网络安全等级保护条例（征求意见稿）》《政务数据安全管理办法》发布），制度未同步修订，风险等级为低。该问题可能导致安全管理制度不符合最新法规要求，存在合规风险；5.未与运维人员签订保密协议：部分运维外包人员未签订保密协议，风险等级为低。该问题可能导致运维人员泄露政务敏感信息，引发数据泄露事件。整改建议高风险问题整改建议针对本次测评发现的2项高风险问题，需立即启动整改工作，整改期限不超过15天：1.防火墙冗余规则与过宽权限整改：组织网络安全工程师对防火墙规则进行全面梳理，删除冗余规则、失效规则，对允许外部访问的端口（如80、443）设置源IP白名单，仅允许合法的政务服务终端IP地址、合作单位IP地址访问；整改完成后，对防火墙规则进行审计验证，采用漏洞扫描工具模拟攻击测试，确保规则符合最小权限原则；2.数据库弱口令与登录失败锁定整改：立即修改所有数据库管理员账户密码，采用“大小写字母+数字+特殊字符”组合，长度不小于16位，并设置密码定期更换机制（每90天更换一次），同时配置密码复杂度校验规则；在应用系统中添加登录失败锁定功能，设置连续登录失败5次后锁定账户1小时，同时支持管理员手动解锁功能；整改完成后，采用密码强度检测工具验证密码合规性，通过模拟暴力破解测试验证登录失败锁定功能有效性。中风险问题整改建议针对本次测评发现的15项中风险问题，需在30天内完成整改：1.安全物理环境整改：升级机房门禁系统，增加访客身份信息采集功能（身份证识别、单位信息登记、访问事由填写），记录访客进出时间、身份信息、陪同人员信息；制定消防演练计划，每半年开展一次消防模拟演练，邀请专业消防机构指导，留存演练记录与评估报告；为机房温湿度监测设备添加远程告警功能，设置温湿度阈值，当超出阈值时通过短信、邮件通知运维人员，同时配置告警历史记录查询功能；2.安全通信网络整改：将内部数据传输协议从HTTP升级为TLS1.2，配置应用服务器与数据共享交换平台的加密传输参数，禁用TLS1.0、TLS1.1等不安全协议；部署网络流量管控设备，设置动态带宽调整机制，根据业务流量自动分配带宽，同时限制非业务流量的带宽占比不超过10%；部署专门的网络流量审计设备，实现对网络流量的深度分析与追溯，留存审计日志不少于6个月；为所有服务器配置NTP服务器，确保系统时间与标准时间偏差不超过5分钟；及时更新网络拓扑图，每季度对网络结构进行一次梳理，同步更新拓扑图并归档保存；3.安全区域边界整改：立即更新入侵检测系统的特征库，设置自动更新机制（每周更新一次），同时配置特征库更新日志记录；部署Web应用防火墙（WAF），针对SQL注入、XSS跨站脚本、CSRF等Web攻击手段配置防护规则，定期优化规则库，每月开展一次Web攻击模拟测试；4.安全计算环境整改：开启所有服务器的syslog安全审计功能，配置审计规则，记录用户登录、系统操作、权限变更、文件访问等关键行为，留存审计日志不少于6个月；修复应用系统的SQL注入漏洞，采用参数化查询方式对输入数据进行有效性检验，同时配置Web应用防火墙的SQL注入防护规则；立即对服务器操作系统的高危漏洞进行修复，采用漏洞扫描工具验证修复效果，制定漏洞修复计划（每月进行一次漏洞扫描与修复）；完善数据备份策略，采用“本地备份+异地备份”方式，备份频率调整为每日增量备份、每周全量备份，每月对备份数据进行一次恢复测试，确保备份数据可