等保20高風險項判定匯總

1、最新資料推薦等保2 0高風險項判定匯總等保2.0高風險項判定匯總引言所謂高風險項，就是等保測評 時可以 一票否決的整改項，如果不改，無論你多少分都會被定為不合格。全文共58頁，寫得比較細了，但是想到大家基本不會有耐心去仔細看 的（憑直覺）。這幾天挑里邊相對重點的內容列了出來，就是企業(yè)要重點 關注 的，把 這些做好，上70分應該不成問題，個人認為這就是所謂的抓重點了。最近要定級或者明年打算升級等保2. 0的可以參考下。說明：文中標記（3級）的表示3級及以上系統(tǒng)適用，標記（4級）的 表示4級系統(tǒng)適用，為標記的表示所有系統(tǒng)適用。物理環(huán)境部分1 .無防盜報警系統(tǒng)' 無監(jiān)控系統(tǒng)，可判定為高風 險

2、。2 .機房未配備冗余或并行電力線路供電來自于同一變電站，可判局風 險。3 .系統(tǒng)所在的機房必須配備應急供電措施，如未配備，或應急供電措 施無法使用，可判高風險。（4級）4.對于涉及大量核心數(shù)據的系統(tǒng)，如機房或關鍵設備所在的 機柜未采取電磁屏蔽措施，可判高風險。（4級）網絡通信部分1.對可用性要求較高的系統(tǒng)，網絡設備的業(yè)務處理能力不足，高峰時可能 導致設備宕機或服務中斷，影響金融秩序或引發(fā)群體事件，若無任何技術 應對措施。核心網絡設備性能無法滿足高峰期需求，存在業(yè)務中斷隱患，如業(yè)務高 峰期，核心設備性能指標平均達到80%以上，可判定為高風險。2 .應按照不同網絡的功能' 重要程度進行網

3、絡區(qū)域劃分，如存在重要 區(qū)域與非重要網絡在同一子網或網段的，可判定為高風險。3 .互聯(lián)網出口無任何訪問控制措施，或訪問控制措施配置失效，存在 較大安全隱患，可判定為高風險。（區(qū)域邊界要求同樣適用）4.辦公網與生產網之間無訪問控制措施， 辦公環(huán)境任意網絡接入均可對核心生產服務器和網絡設備進行管理，可判 定為圖風險。5 .對可用性要求較高的系統(tǒng)，若網絡鏈路為單鏈路，核心網絡節(jié)點' 核心網絡設備或關鍵計算設備無冗余設計，一旦出現(xiàn)故障，可能導致業(yè)務 中斷，可判定為高風險。（3級）6 .對數(shù)據傳輸完整性要求較高的系統(tǒng)，數(shù)據在網絡層傳輸無完整性保護措 施，一旦數(shù)據遭到篡改，可能造成財產損失的，可判

4、定為高風險。建議采用校驗技術或密碼技術保證通信過程中數(shù)據的完整性。（3級）7. 口令、密鑰等重要敏感信息在網絡中明文傳輸，可判定為 局風險。（3級）建議相關設備開啟SSH或HTTPS協(xié)議或創(chuàng)建加密通道，通過這些加密方式傳輸敏感信息。區(qū)域邊界部分1 .非授權設備能夠直接接入重要網絡區(qū)域，如服務器區(qū)' 管理網段等，且無任何 告警、限制' 阻斷等措施的，可判 定為圖風險。（3級）如接入的區(qū)域有嚴格的物理訪問控制，采用靜態(tài)IP地址分配， 關閉不必要的接入端口，IP-MAC地址綁定等措施的，可酌情降低風險等級。2 .核心重要服務器設備' 重要核心管理終端，如無法對非授權聯(lián)到外 部

5、網絡的行為進行檢查或限制，或內部人員可旁路、繞過邊界訪問控制設備 私自外聯(lián)互聯(lián)網，可判定為高風險。（3級）如機房' 網絡等環(huán)境可控，非授權外聯(lián)可能較小，相關設備上的USB接 口'無線網卡等有管控措施，對網絡異常進行監(jiān)控及日志審查，可酌情降 低風險等級。3 .內部核心網絡與無線網絡互聯(lián)，且之間無任何管控措施，一旦非授 權接入無線網絡即可訪問內部核心網絡區(qū)域，存在較大安全隱患，可判定 為圖風險。（3級）如無特殊需要，內部核心網絡不應與無線網絡互聯(lián)；如因業(yè) 務需要，則建議加強對無線網絡設備接入的管控，并通過邊界設備對無 線網絡的接入設備對內部核心網絡的訪問進行限制，降低攻擊者利用無

6、線網絡入侵內部核心網絡。4 .與互聯(lián)網互連的系統(tǒng)，邊界處如無專用的訪問控制設備或配置了全 通策略，可判定為高風險。5 .可控網絡環(huán)境與不可控網絡環(huán)境之間數(shù)據傳輸未采用通信協(xié) 議轉換或通信協(xié)議隔離等方式進行數(shù)據轉換（網閘或前置機），可判定為局風 險。（4級）9/166.關鍵網絡節(jié)點（如互聯(lián)網邊界處）未采取任何防護措施，無法檢測、阻 止或限制互聯(lián)網發(fā)起的攻擊行為（無入侵防御設備、云防、WAF等），可 判定為圖風險。（3級）7.關鍵網絡節(jié)點（如核心服務器區(qū)與其他內部網絡區(qū)域邊界 處）未采取任何防護 措施，無法檢測、阻止或限制從內部發(fā) 起的網絡攻擊 行為（無入侵防御、防火墻等），可判定為高風險。（3級

7、）8.主機和網絡層均無任何惡意代碼檢測和清除措施的，可判定為圖風險。9 .在網絡邊界' 重要網絡節(jié)點無任何安全審計措施，無法對重要的用 戶行為和重要安全事件進行日志審計，可判定為高風險。計算環(huán)境部分1 .網絡設備、安全設備、操作系統(tǒng)、數(shù)據庫等存在空口令 或弱口令帳戶（包括默認口令），并可通過該弱口令帳戶登錄，可判定為 局風險。10 通過不可控網絡環(huán)境遠程管理的網絡設備、安全設備、操作系統(tǒng)、 數(shù)據庫等，鑒別信息明文傳輸，容易被監(jiān)聽，造成數(shù)據泄漏，可判定為高風 險。11 重要核心設備' 操作系統(tǒng)等未采用兩種或兩種以上鑒別技術對用戶 身份進行鑒另IJ。例如僅使用用戶名/口令方式進行身

8、份驗證，削弱了管理員賬戶的安全 性，無法避免賬號的未授權竊取或違規(guī)使用，4級系統(tǒng)多種鑒別技術中未用到密碼技術或生物技術?？膳卸楦唢L險。（3級）4.網絡設備、安全設備、操作系統(tǒng)等存在多余系統(tǒng)服務/默認共享/高危端 口存在，且存在可被利用的高危漏洞或重大安全隱患，可判定為高風險。（注意不只系統(tǒng)和應用，還有設備也要關閉多余端口）5.通過不可控 網絡環(huán)境遠程管理的網絡設備、安全設備、操作系統(tǒng)' 數(shù)據庫等，未采取技 術手段對管理終端進行限制，可判定為高風險。（3級）6.對于一些互聯(lián)網直接能夠訪問到的網絡設備' 安全設備' 操作系統(tǒng)、數(shù)據庫等，如存在外界披露的重大漏洞，未及時修補

9、更新，無需 考慮是否有POC攻擊代碼，可判定為高風險。（不要說影響業(yè)務，某大型企業(yè)HW期間N年不能打的補丁 2天全搞 定了）7.通過驗證測試或滲透測試能夠確認并利用的，可對網絡設備' 安全 設備、操作系統(tǒng)' 數(shù)據庫等造成重大安全隱患的漏洞（包括但不限于緩沖區(qū) 溢出、提權漏洞、遠程代碼執(zhí)行、嚴重邏輯缺陷' 敏感數(shù)據泄露等），可判 定為圖風險。8. Windows操作系統(tǒng)未安裝防惡意代碼軟件，并進行統(tǒng)一管理（這里 覺得官方描述有問題，并未進行可能更準確），無法防止來自外部的惡意攻 擊或系統(tǒng)漏洞帶來的危害，可判定為高風險。9.應用系統(tǒng)無任何用戶口令復雜度校驗機制，校驗機制包括

10、口令的長度、 復雜度等，可判定為高風險。10 .應用系統(tǒng)存在易被猜測的常用/弱口令帳戶，可判定為高風險。11 .可通過互聯(lián)網登錄的應用系統(tǒng)未提供任何登錄失敗處理措施，攻 擊者可進行口令猜測，可判定為高風險。（3級）12.通過互聯(lián)網方式訪問，且涉及大額資金交易、核心業(yè) 務 等操作的系統(tǒng)，在進行重要操作前應采用兩種或兩種以上方式進行身份鑒 別，如只采用一種驗證方式進行鑒別，可判定為高風險。（3級）13.應用系統(tǒng)訪問控制功能存在缺失，無法按照設計策略控制用戶對系統(tǒng) 功能、數(shù)據的訪問；可通過直接訪問URL等方式，在不登錄系統(tǒng)的情況下， 非授權訪問系統(tǒng)功能模塊，可判定為高風險。14 .應用系統(tǒng)訪問控制策

11、略存在缺陷，可越權訪問系統(tǒng)功能模塊或查 看' 操作其他用戶的數(shù)據。如存在平行權限漏洞，低權限用戶越權訪問高權限功能模塊等，可判 定為圖風險。15 .應用系統(tǒng)（包括前端系統(tǒng)和后臺管理系統(tǒng)）無任何日志審計 功 能，無法對用戶的重要行為進行審計，也無法對事件進行溯源，可判定為 演風險。（3級）16.由于校驗機制缺失導致的應用系統(tǒng)存在如SQL注入' 跨 站腳木、上傳漏洞等高風險漏洞，可判定為高風險。17 .應用系統(tǒng)所使用的環(huán)境' 框架' 組件等存在可被利用的高風 險漏 洞，導致敏感數(shù)據泄露、網頁篡改' 服務器被入侵等安全事件的發(fā)生，可 能造成嚴重后果的，可判定為

12、高風險。18 .通過測試，發(fā)現(xiàn)應用系統(tǒng)的業(yè)務功能（如密碼找回功能等）存在 高風險安全漏洞或嚴重邏輯缺陷，可能導致修改任意用戶密碼' 繞過安全 驗證機制非授權訪問等情況?？膳卸楦唢L險。19 .對傳輸完整性要求較高的系統(tǒng)，如未采取任何措施保障重要數(shù)據傳輸完整性，重要數(shù)據在傳輸過程中被篡改可能造成嚴重后果 的，可判定為高風險。（3級）20.用戶鑒別信息、公民敏感信息數(shù)據或重要業(yè)務數(shù)據等以明文方式在不可控網絡中傳輸，可判定為高風險。（3級）最新資料推薦21 .用戶身份認證信息、個人敏感信息數(shù)據、重要業(yè)務數(shù)據、行業(yè)主 管部 門定義的非明文存儲類數(shù)據等以明文方式存儲，且無其他有效保護措施， 可判

13、定為高風險。（3級）22.應用系統(tǒng)未提供任何數(shù)據備份措施，一旦遭受數(shù)據破壞，無法進行數(shù)據恢復的，可判定為高風險。23 .對系統(tǒng)、數(shù)據容災要求較高的系統(tǒng)，如金融' 醫(yī)療衛(wèi)生' 社會保 障等行業(yè)系統(tǒng)，如無異地數(shù)據災備措施，或異地備份機制無法滿足業(yè)務需 要，可判定為圖風險。24 .對數(shù)據處理可用性要求較高系統(tǒng)（如金融行業(yè)系統(tǒng)' 競拍系統(tǒng)、 大數(shù)據平臺等），應采用熱冗余技術提高系統(tǒng)的可用性，若核心處理節(jié)點（如服務器' DB等）存在單點故障，可判定為高風險。（3級）25.對容災、可用性要求較高的系統(tǒng)，如金融行業(yè)系統(tǒng)，如未 設立異地應用級容災中心，或異地應用級容災中心無法實

14、現(xiàn)業(yè) 務切換，可 判定為圖風險。（4級）15 /26.身份鑒別信息釋放或清除機制存在缺陷，如在正常進行釋放或清除身份鑒別信息操作后，仍可非授權訪問系統(tǒng)資源或進行操作（同樣適用于敏 感信息），可判定為高風險。27 .在采集和保存用戶個人信息時，應通過正式渠道獲得用戶同意、授 權，如在未授權情況下，采取、存儲用戶個人隱私信息，可判定為高風險。28 .未授權訪問和非法使用個人信息，如在未授權情況下將用戶信息提 交給第三方處理，未脫敏的情況下用于其他業(yè)務用途，未嚴格控制個人信息 查詢以及導出權限，非法買賣' 泄露用戶個人信息等，可判定為高風險。管理中心部分1.網絡安全法要求“采取監(jiān)測、記錄網絡

15、運行狀態(tài)、 網絡安全事件的技術措施，并按照規(guī)定留存相關的網絡日志不少于六個月”； 因此，如相關設備日志留存不滿足法律法規(guī)相關要求，可判定為高風險。（3級）2.未部署相關安全設備，識別網絡中發(fā)生的安全事件，并對重 要安全事件進行報警的，可判定為高風險。管理制度部分1 .判例內容：未建立任何與安全管理活動相關的管理制 度或相關管理制度無法適用于當前被測系統(tǒng)的，可判定為高風險。管理機構部分1.未成立指導和管理信息安全工作的委員會或領導小組，或其最高領導不 是由單位主管領導委任或授權，可判定為高風險。（3級）建設管理部分1 .網絡關鍵設備和網絡安全專用產品的 使用違 反國家有關規(guī)定，可判定為高風險。（

16、其實就是盡可能使用國產品牌）建議依據國家有關規(guī)定，采購和使 用網絡關鍵設備和網絡安全專用產品。（網絡安全法第二十三條規(guī)定網絡關鍵設備和網絡安全專用 產品 應當按照相關國家標準的強制性要求，由具備資格的機構安全認證合格或 者安全檢測符合要求后，方可銷售或者提供。國家網信部門會同國務院有關部門制定、公布網絡關鍵設備和網絡安 全專用產品目錄，并推動安全認證和安全檢測結果互認，避免重復認證、 檢測。）2.對于涉及金融、民生' 基礎設施等重要行業(yè)的業(yè)務核心系統(tǒng)由外 包公司開發(fā)，上線前未對外包公司開發(fā)的系統(tǒng)進行源代碼審查，外包商也 無法提供相關安全檢測證明，可判定為高風險。（3級）3.系統(tǒng)上線前未

17、通過安全性測試，或未對相關高風險 問題進 行安全評估仍舊“帶病”上線的，可判定為高風險。安全檢查內容可以包括但不限于掃描滲透測試' 安全功能驗證、 源代 碼安全審核（國家逐步開始推廣SDL的落地）。（3級）運維管理部分1 .未對發(fā)現(xiàn)的安全漏洞和隱患及時修補，會導致系統(tǒng)存在較大的安全隱患， 黑客有可能利用安全漏洞對系統(tǒng)實施惡意攻擊，如果安全漏洞和隱患能夠 構成高危風險，可判定為高風險（對應前邊漏洞管理的內容，要求相同）。（3級）2.未對運維過程中改變連接' 安裝系統(tǒng)組件或調整配置 參數(shù) 進行變更審批，且未進行變更性測試，一旦安裝系統(tǒng)組件或調整配置參數(shù)對 系統(tǒng)造成影響，有可能導致系

18、統(tǒng)無法正常訪問，出現(xiàn)異常，可判定為高風險 （系統(tǒng)變更管理上升為高危風險點）。（3級）3.未明確變更管理流程，未對需要變更的內容進行分析 與論 證，未制定詳細的變更方案，無法明確變更的需求與必要性；變更的同時也 伴隨著可能導致系統(tǒng)無法正常訪問的風險，可判定為高風險（變更流程無完 善，缺乏理論驗證和分析）。（3級）4.未對各類運維工具（特別是未商業(yè)化的運維工具）進行有效性檢查，未對運維工具的接入進行嚴格的控制和審批，運維工具中可能存 在漏洞或后門，一旦被黑客利用有可能造成數(shù)據泄漏，可判定為高風險（使 用盜版工具的可能會被判定為高風險）。（3級）5.制度上服務器及終端與外部連接的授權和批準制度（此處原文描述可能不準確），也未定期對相關違反網絡安全策略的行 為進行檢查，存在違規(guī)外聯(lián)的安全隱患，一旦內網服務器或終端違規(guī)外聯(lián)， 可能造成涉密信息（商密信息）的泄露，同時增加了感染病毒的可能性，可 判定為高風險（管理層而的違規(guī)外聯(lián)管理，