信息系統安全評估報告

信息系統安全評估報告本次評估覆蓋某省級政務服務單位核心業務承載的12套信息系統，包括政務服務一體化辦理系統、跨部門數據共享交換平臺、人口法人核心數據庫集群、協同辦公自動化系統、政務門戶網站群、同城容災備份系統、統一運維管理平臺、統一身份認證系統、終端安全管理系統、移動辦公VPN接入系統、“冀服辦”公共服務移動端應用及物聯網政務服務感知數據匯聚平臺，評估周期為202X年9月1日至202X年10月20日，嚴格遵循GB/T22239-2019《信息安全技術網絡安全等級保護基本要求》、GB/T28448-2019《信息安全技術網絡安全等級保護測評要求》、《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《關鍵信息基礎設施安全保護條例》《網絡安全等級保護條例》等法規標準要求，綜合采用資產梳理、漏洞掃描、滲透測試、配置核查、人員訪談、文檔審計、實戰化應急演練驗證等7類評估方法，累計識別核心信息資產1279項，發現不同等級安全風險87項，最終形成全維度安全評估結論及分優先級的可落地整改優化路徑，為單位網絡安全防護能力迭代、合規體系完善、數據安全治理落地提供量化決策依據。評估范圍與邊界界定本次評估嚴格按照業務全覆蓋、節點無遺漏的原則劃定評估邊界，其中物理層邊界覆蓋省政務云中心承載業務系統的專屬機房區域、單位自建同城災備機房的所有物理環境組件，包括門禁系統、監控系統、供電系統、消防系統、溫濕度調控系統及介質存放區域；網絡層邊界覆蓋互聯網出口、省政務外網接入邊界、17條跨部門數據專線邊界、2893臺物聯網感知終端接入邊界、移動辦公VPN接入邊界及內部核心交換網絡的所有路由、交換、安全設備；系統層邊界覆蓋所有承載業務的物理服務器、虛擬化宿主機、容器運行環境、終端設備的操作系統、虛擬化平臺、容器引擎及基礎組件；應用層邊界覆蓋各業務系統的前臺用戶交互模塊、后臺管理模塊、API服務接口、第三方對接組件；數據層邊界覆蓋所有結構化業務數據、個人敏感信息、政務工作涉密衍生數據、系統配置數據、日志審計數據從采集、存儲、傳輸、共享、使用到銷毀的全生命周期流轉節點。為避免評估范圍交叉、責任邊界模糊，本次評估明確排除三類非所屬責任范圍的對象：一是第三方支付機構自主運維的線上繳費渠道側系統及相關數據，二是基礎電信運營商負責維護的跨節點通信鏈路傳輸層安全，三是辦事群眾、外部用戶側的個人終端設備安全。評估實施流程與方法本次評估嚴格按照“資產盤點-風險識別-驗證確認-影響分析”的閉環流程開展，所有評估操作均提前獲得單位書面授權，在非業務峰值時段實施，確保評估過程不影響正常業務運行。資產梳理階段，評估團隊采用主動資產探測工具結合人工臺賬核驗的方式，對所有IP活躍資產、域名、API接口、數據資產、安全設備資產進行全量盤點，按照資產一旦發生安全事件對業務連續性、數據完整性、社會公信力的影響程度建立權重賦值標準，將資產劃分為極高、高、中、低四個等級，其中極高等級資產124項，主要包括核心數據庫服務器集群、政務服務一體化辦理系統主節點、統一身份認證系統根節點、數據共享交換平臺核心路由節點；高等級資產367項，包括各應用系統應用服務器、安全管理平臺節點、容災備份存儲節點；中等級資產592項，包括測試環境服務器、內部辦公終端、普通網絡交換設備；低等級資產196項，包括公共區域信息發布屏、非核心區域物聯網感知終端。漏洞掃描階段，評估團隊采用等保合規專用掃描器、開源漏洞驗證框架、Web應用漏洞掃描系統三類工具，對所有在網資產進行無死角掃描，掃描策略覆蓋CVE通用漏洞、CNVD公開漏洞、Web常見注入類漏洞、弱口令類漏洞、中間件配置漏洞，累計掃描IP地址1642個、域名37個、API接口1289個，初步識別漏洞324個，經過人工復現剔除掃描誤報、無利用條件的無效漏洞，確認真實有效漏洞176個。滲透測試階段，3名持有CISP-PTE資質的滲透測試人員組建獨立測試團隊，模擬真實APT攻擊組織的攻擊路徑，從互聯網邊界、政務外網邊界、內部辦公網絡三個入口開展黑盒與白盒結合的滲透測試，測試過程嚴格執行業務影響最小化原則，所有漏洞驗證采用手工無危害探測，不開展數據篡改、服務中斷類操作，累計發現可直接利用的高危滲透路徑11條，包括從門戶網站前臺SQL注入獲取服務器權限、從移動辦公接口未授權訪問獲取內部員工通訊錄、從物聯網終端弱口令橫向滲透進入核心業務網段等，全路徑攻擊最長耗時2小時17分鐘，未觸發任何現有安全設備的有效告警。配置核查階段，評估團隊對照等保2.0三級系統安全配置基線，對12套系統的網絡設備、安全設備、服務器、數據庫、中間件、應用組件的安全配置進行逐項核查，核查項覆蓋身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、資源控制6個維度，累計核查配置項2147項，發現不符合基線要求的配置問題142項。人員訪談與文檔審計階段，訪談對象覆蓋單位網絡安全分管領導、系統運維人員、安全管理人員、業務經辦人員、第三方開發駐場人員共27人，審計文檔包括現有安全管理制度體系、應急預案、過往3年安全事件處置記錄、人員入職離職安全流程、外包服務安全協議、數據分級分類臺賬共117份，發現管理類風險23項。應急演練驗證階段，評估團隊隨機抽取勒索軟件攻擊、核心數據庫宕機、網頁篡改、個人信息批量泄露4類典型安全事件場景開展實戰化演練，不提前告知運維人員演練時間和場景，檢驗現有應急響應流程的有效性、備份恢復機制的可靠性、人員處置的熟練度，累計發現應急體系層面問題9項，包括勒索軟件處置時未及時隔離受感染主機導致傳播范圍擴大、備份存儲因權限配置不當被加密、災備切換流程耗時超出業務連續性要求等。安全風險識別與等級判定本次評估采用風險矩陣法判定風險等級，綜合考慮風險被利用的可能性、發生后造成的影響程度兩個核心維度，將所有風險劃分為極高、高、中、低四個等級：極高風險指可被攻擊者直接利用，導致核心業務中斷、敏感數據批量泄露、系統控制權被完全獲取，且現有防護措施無法有效阻斷的風險，本次累計排查出極高風險7項；高風險指可被攻擊者利用，導致局部業務中斷、部分敏感信息泄露、部分系統權限被獲取，需要結合多環節條件才能觸發核心影響的風險，本次累計排查出高風險22項；中風險指利用難度較高，或影響范圍局限在非核心業務模塊，不會造成大范圍業務影響或數據泄露的風險，本次累計排查出中風險39項；低風險指僅存在局部配置缺陷，利用難度極大，或僅影響非核心測試環境、公共信息發布類內容，不會造成實質性業務損失或數據泄露的風險，本次累計排查出低風險19項。技術層面風險網絡與邊界安全維度共排查出風險21項，其中極高風險4項。一是互聯網出口下一代防火墻存在12條全端口全IP放行的冗余策略，涉及核心數據庫服務器3306端口、運維管理平臺22端口、身份認證系統管理后臺443端口直接暴露在互聯網，結合后續發現的數據庫弱口令問題，可直接從互聯網獲取核心數據庫最高權限。二是跨部門數據專線未部署邊界訪問控制設備，與3個合作單位的專線直接連通核心業務網段，未對跨網訪問流量進行審計和訪問控制，測試中可通過合作單位側測試服務器直接訪問核心業務系統后臺管理地址，存在跨主體橫向滲透風險。三是物聯網感知終端接入網段未與核心業務網段實現邏輯隔離，所有感知終端采用統一默認密鑰接入，217臺路面感知攝像頭、72臺政務服務大廳自助終端的接入VLAN與辦公網段、核心業務網段未配置ACL策略，可通過被攻陷的感知終端作為跳板掃描內網全段資產。四是移動辦公VPN系統未配置二次身份認證機制，僅采用賬號口令單一鑒別方式，未配置異常登錄檢測規則，通過公開渠道泄露的員工賬號口令可從任意互聯網地址接入內部辦公網絡，訪問OA系統、文件共享服務器等核心資源。高風險層面，3臺核心交換機、2臺出口路由器的特權賬號口令已使用超過3年，復雜度不符合要求，存在被暴力破解風險；網絡流量審計系統規則庫超過6個月未更新，無法識別最新的隧道通信、加密流量攻擊、C2遠控通信行為，測試中模擬的CobaltStrikebeacon加密流量未觸發任何告警；邊界入侵防御系統存在規則繞過缺陷，對HTTP分塊傳輸、參數污染類Web攻擊檢測失效，滲透測試中采用分塊傳輸提交的SQL注入Payload完全繞過IPS檢測，成功命中后臺應用系統。主機與虛擬化層安全維度共排查出風險18項，其中極高風險2項。一是核心業務區42臺WindowsServer服務器、37臺CentOS服務器未安裝最新安全補丁，存在CVE-2021-44228（Log4j2遠程代碼執行）、CVE-2023-23397（WindowsOutlook權限提升）、CVE-2024-21762（FortinetSSLVPN遠程代碼執行）等12個CVSS評分9.8以上的高危漏洞，且服務器區未部署微隔離防護措施，單臺服務器被攻陷后可通過內網橫向移動快速擴散至所有核心服務器。二是虛擬化平臺宿主機管理員賬號存在多人共用情況，未配置操作審計機制，宿主機本地存儲未開啟磁盤加密，普通運維賬號登錄宿主機后可越權訪問其他租戶的虛擬機磁盤文件，獲取虛擬機內的業務數據。高風險層面，18臺服務器存在弱口令問題，涉及操作系統管理員、數據庫、中間件賬號，口令為“admin@123”“server202X”等常見組合，暴力破解耗時不超過10秒；服務器端惡意代碼防護軟件安裝率僅為62%，容災備份區、測試環境服務器均未安裝防惡意代碼軟件，已安裝的防病毒軟件病毒庫更新滯后超過1個月，無法防御最新勒索軟件變種；容器化部署的17個業務應用鏡像包含高危漏洞、內置后門賬號，鏡像倉庫未配置簽名驗證機制，攻擊者可上傳惡意鏡像替換正常業務鏡像，導致容器運行時被植入惡意代碼。應用與數據安全維度共排查出風險25項，其中極高風險1項，即核心業務系統與數據接口存在多類可直接利用的高危漏洞：政務服務一體化辦理系統前臺材料提交模塊存在SQL注入漏洞，無需登錄即可構造惡意請求讀取數據庫內存儲的群眾身份證號、手機號、辦事材料等敏感信息，甚至獲取數據庫最高權限篡改審批狀態；“冀服辦”移動端應用存在未授權訪問漏洞，后臺API接口未對用戶身份做有效性校驗，可通過遍歷用戶ID獲取任意用戶的辦事進度、身份信息、人臉比對數據，且接口未配置頻率限制，可通過自動化腳本在1小時內爬取全量1200萬注冊用戶的個人信息；數據共享交換平臺的數據輸出接口未配置敏感數據脫敏規則，向第三方合作單位共享數據時身份證號、手機號、銀行卡號等敏感字段均以明文傳輸，近6個月內存在3次第三方單位超范圍獲取敏感數據的行為未被發現；政務門戶網站群內容管理系統存在文件上傳漏洞，可通過前臺投稿功能上傳惡意腳本文件獲取服務器權限，存在網頁被篡改、掛載涉詐涉黃內容的風險。高風險層面，12套信息系統中有7套存在越權訪問漏洞，普通經辦人員賬號可訪問系統管理員功能模塊，修改系統配置、審批流程參數；各系統會話令牌未設置登出失效機制，令牌生成算法存在固定規律，可被偽造后冒用他人身份登錄；OA系統郵件模塊未配置釣魚郵件檢測、惡意附件查殺功能，測試中發送的包含宏病毒的釣魚郵件成功送達所有測試用戶郵箱，未被攔截；移動端應用存在超范圍收集個人信息問題，首次啟動時未明確告知用戶信息收集范圍，默認采集用戶位置、通訊錄等與業務功能無關的信息，且個人信息注銷流程耗時超過15個工作日，不符合《個人信息保護法》要求。物理與環境安全維度共排查出風險7項，均為中高風險。中心機房門禁系統采用單一刷卡驗證方式，未配置防尾隨裝置，測試中評估人員跟隨刷卡運維人員順利進入機房核心區域未被阻攔，且門禁日志僅留存30天，不符合等保要求的6個月留存標準；機房氣體滅火系統未配置遠程告警機制，非工作時間發生火情時運維人員無法第一時間獲取通知；同城災備機房環境監控系統未接入統一運維平臺，曾出現空調故障導致機房溫度超過40度持續4小時才被發現的情況；報廢硬盤、U盤等存儲介質未做消磁、粉碎處理，直接交由第三方回收公司處置，存在數據泄露風險。管理層面風險管理類風險共排查出16項，覆蓋責任體系、制度建設、應急管理、人員培訓、外包管控、供應鏈管理等多個領域。一是網絡安全責任體系未壓實，未設置專職網絡安全管理崗位，現有安全管理職責由運維人員兼職，未配備滲透測試、應急響應、數據安全治理等專職人員，也未與關鍵崗位人員簽訂網絡安全保密協議，內部人員違規操作風險較高，訪談中發現曾發生運維人員配置防火墻時誤將全端口開放到互聯網持續3天未被發現的事件。二是安全管理制度體系更新滯后，現有制度均為2019年制定，未結合近年新出臺的網絡安全法規補充數據安全管理、外包服務安全管理、供應鏈安全管理、個人信息保護等專項內容，日常安全操作僅靠運維人員個人經驗開展，無標準化流程支撐。三是應急預案體系不健全，現有預案僅覆蓋網絡中斷、服務器宕機等基礎場景，缺少勒索軟件攻擊、數據批量泄露、供應鏈攻擊、APT攻擊等新型場景的處置流程，近1年僅開展過1次桌面推演，未開展實戰化演練，勒索場景演練中運維人員因處置流程不熟悉，未第一時間隔離受感染主機，導致勒索軟件通過共享文件夾傳播到2臺應用服務器，甚至加密了備份存儲中的數據，核心業務恢復耗時超過6小時，遠高于30分鐘的恢復時間目標要求。四是人員安全培訓不到位，近1年未組織全員網絡安全培訓，一線人員釣魚郵件識別、弱口令風險防范、敏感數據保護意識薄弱，模擬釣魚測試中員工點擊惡意鏈接的比例達到37%，易被社會工程學攻擊攻破。五是外包服務安全管控缺失，3家駐場開發運維單位的人員未做入職背景審查，外包人員的系統權限未按照最小必要原則授權，存在人員離職后仍保留系統訪問權限的情況，且未對外包人員的操作行為做全量審計。六是供應鏈安全管理空白，未建立信息化產品采購安全審查機制，現有硬件設備、商業軟件采購時未做預置后門、惡意代碼檢測，也未建立開源軟件使用臺賬，業務系統中使用的開源組件存在大量未修復的高危漏洞，未持續跟蹤漏洞情報開展修復。風險影響量化評估本次評估從四個維度對所有風險的潛在影響進行量化測算，確保風險優先級判定客觀準確。業務連續性影響維度，若7項極高風險被惡意利用，將導致政務服務一體化辦理系統全量中斷，預計影響每日1.2萬件線上辦件業務，線下窗口業務因無法調用核心數據也無法正常開展，直接業務損失測算超過200萬元，同時會引發群眾投訴、政務服務滿意度下降，甚至被上級網絡安全主管部門通報，造成不良社會影響。數據安全影響維度，若核心數據庫被非法訪問，將導致累計1200萬條辦事群眾個人敏感信息泄露，可能被不法分子用于電信詐騙、精準營銷，直接損害群眾合法權益，按照《個人信息保護法》的處罰標準，最高可處上一年度營業額5%的罰款，合規風險極高。攻防對抗維度，現有防護體系的縱深防御能力不足，邊界防護存在明顯短板，內部橫向移動無有效阻斷措施，攻擊檢測能力滯后，在年度網絡攻防實戰演習場景下，預計被攻擊者攻破核心系統的時間不超過4小時，且攻擊者可在網絡內長期潛伏不被發現。合規性維度，對照等保2.0三級系統要求，當前12套信息系統的合規符合率僅為62%，存在38項不符合項，若未及時整改，在等保測評、年度網絡安全檢查中會被判定為不合格，面臨合規處罰。評估同時梳理了現有安全能力的基礎優勢，為后續整改提供可復用的能力底座：中心機房基礎供電保障能力達標，UPS系統可支持滿負荷運行8小時，接入雙路市政供電并配置柴油發電機作為備用電源，電力供應可靠性達到99.99%；核心業務系統初步建成“本地備份+同城災備”的雙備份機制，備份周期為每日增量、每周全量，基礎的數據備份能力具備；統一身份認證平臺已覆蓋80%的業務系統，賬號統一管理的基礎框架已搭建；已部署下一代防火墻、入侵防御系統、Web應用防火墻、終端安全管理軟件等基礎安全設備，可阻斷已知的常規網絡攻擊。分優先級整改優化路徑本次整改按照“風險導向、急用先行、體系構建、長效運營”的原則劃分為三個整改周期，明確整改目標與核心任務，確保風險閉環處置，安全能力持續迭代。立行立改項（整改周期15天，覆蓋所有極高風險）立行立改階段核心目標是快速封堵可被直接利用的高危缺口，杜絕重特大安全事件發生。一是由網絡運維崗牽頭，全量梳理互聯網出口防火墻訪問控制策略，刪除所有全端口全IP放行的冗余規則，按照最小權限原則重新配置策略，關閉核心數據庫、運維平臺、身份認證系統的互聯網暴露端口，確需開放的管理端口配置嚴格的源IP白名單，對所有互聯網開放端口開展一輪全量漏洞掃描，確保不存在可直接利用的高危漏洞。二是由各系統開發廠商牽頭，立即修復政務服務系統SQL注入、移動端未授權訪問、門戶網站文件上傳等高危應用漏洞，組織開發團隊對所有系統代碼開展一輪安全審計，重點排查注入、越權、文件上傳類邏輯缺陷，為所有API接口增加身份校驗、請求頻率限制、惡意參數過濾機制。三是由所有系統運維人員負責，對所有服務器、網絡設備、安全設備、應用系統的賬號口令開展全量排查，強制修改弱口令，配置統一的口令復雜度策略，要求口令長度不小于8位，包含大小寫字母、數字、特殊字符，口令更換周期不超過90天，禁止多人共用管理員賬號，為每個運維人員配置獨立的運維賬號并開啟全量操作審計。四是完成網絡邊界區域隔離，在物聯網終端網段、測試環境網段、辦公網段、核心業務網段、災備網段之間配置嚴格的ACL訪問控制策略，禁止跨網段非授權訪問，尤其是限制物聯網終端網段對核心業務系統資源的訪問權限。五是為移動辦公VPN系統啟用雙因素認證機制，結合短信驗證碼、硬件令牌實現身份二次鑒別，配置異常登錄檢測規則，對非常用IP登錄、異常時間登錄的行為進行二次核驗或直接阻斷。六是為核心數據庫集群部署數據庫審計系統，對所有數據庫操作行為進行全量留存審計，配置敏感數據批量導出、非工作時間訪問、越權操作的實時告警規則，落實數據庫權限分離機制，拆分系統管理員、安全管理員、審計管理員權限，禁止DBA賬號直接擁有全量數據導出權限，敏感數據訪問必須經過線上審批流程。七是完成數據共享交換平臺的敏感數據脫敏配置，所有對外輸出的敏感數據按照最小必要原則進行脫敏處理，身份證號僅顯示前6位和后4位、手機號僅顯示前3位和后4位，對第三方單位的數據訪問行為開展全量審計，立即排查歷史上第三方超范圍獲取數據的情況，督促第三方單位刪除超范圍獲取的數據，留存審計記錄。短期整改項（整改周期90天，覆蓋所有高風險）短期整改階段核心目標是補全基礎防護短板，提升合規符合率，構建基礎的檢測防御能力。一是完成所有服務器、網絡設備、安全設備的高危漏洞修復，建立常態化漏洞掃描和補丁更新機制，每月開展一次全量漏洞掃描，高危漏洞修復周期不超過7天，中危漏洞修復周期不超過30天，在服務器區部署微隔離系統，實現虛擬機之間、容器之間的細粒度訪問控制，阻斷內網橫向移動路徑。二是完成所有安全設備的規則庫升級，確保入侵防御系統、Web應用防火墻、流量審計系統、防病毒軟件的特征庫更新滯后時間不超過7天，優化WAF和IPS的檢測規則，增加對分塊傳輸、參數污染、加密流量攻擊的檢測能力，部署高級持續性威脅檢測系統，對網絡內異常流量、異常行為進行全量分析，發現潛伏的攻擊行為。三是完善虛擬化平臺、容器平臺的安全配置，為宿主機管理員賬號配置雙因素認證，開啟虛擬機磁盤加密功能，建立容器鏡像安全掃描機制，所有上線鏡像必須經過漏洞掃描、惡意代碼檢測、簽名驗證后才能部署到生產環境。四是開展個人信息保護合規整改，對照《個人信息保護法》及APP合規相關要求，優化移動端隱私政策，明確告知用戶個人信息收集范圍，停止收集與業務功能無關的位置、通訊錄等信息，優化個人信息注銷流程，實現用戶提交注銷申請后15個工作日內完成處理，為用戶提供便捷的個人信息查詢、更正、刪除渠道。五是完善物理環境安全管控，升級機房門禁系統為刷卡+人臉驗證的雙因素認證模式，加裝防尾隨裝置，將門禁日志、機房環境監控日志接入統一運維平臺，確保日志留存時間不低于6個月，建立存儲介質全生命周期管理流程，報廢存儲介質必須經過消磁、物理粉碎后才能處置，禁止未經處理直接交由第三方回收。六是補全網絡安全管理制度體系，結合最新法規標準要求修訂現有制度，補充數據安全管理、個人信息保護、外包服務管理、供應鏈安全管理、漏洞管理、應急響應等專項制度，明確各崗位網絡安全責任，設置2名以上專職網絡安全管理人員，與所有關鍵崗位人員、外包駐場人員簽訂網絡安全保密協議。七是優化應急預案體系，補充勒索軟件攻擊、數據泄露、供應鏈攻擊、APT攻擊等新型場景的處置流程，每季度開展一次實戰化應急演練，針對演練中發現的問題優化處置流程，確保核心業務系統恢復時間目標控制在30分鐘以內，恢復點目標控制在15分鐘