发布时间 : 星期日 文章00-信息系统安全风险评估总结报告更新完毕开始阅读8e0d12a3168884868762d6ea
(4) 运行安全方面：缺少人员安全管理制度、安全意识与安全技术教育制度、
操作安全管理制度、操作系统和数据库安全管理制度、系统运行记录编写制度、系统维护管理制度、安全审计管理制度等；
(5) 信息安全方面：没有信息分类标记制度、技术文档管理制度、存储介质管
理制度、信息披露与发布审批管理制度。
8. 已经制定了一些安全制度但执行力度不够，起不到相应安全的作用。 9. 应急预案中缺少中心关键设备故障、数据库故障、黑客攻击等方面的应急措施，
缺少解决问题的具体操作流程；
10. 没有完整的设备及数据备份制度以及与备份制度相对应的灾难恢复计划。 11. 机房门窗没有采取防护措施，不利于防盗、防尘。
12. 仅有办公大楼门卫制度，不能保证机房环境安全不受外来人员的威胁。 从被测方提供的技术文档、管理制度以及调查问卷中反映出来的管理方面的问题是比较多的，从这些问题上可以总结出，安全管理机制的脆弱性表现在信息安全管理组织机构建立、信息安全管理制度制定、安全技术及安全知识的培训等几个方面，造成信息管理人员安全职责不明确，安全管理制度执行力度不够，授权访问机制、应急处理及灾难恢复机制不健全等问题（详细内容见《安全管理机制评估报告》）。
4.2.2 网络通信方面的脆弱性
网络通讯组使用安全评估扫描工具进行了对网络进行了漏洞检测，涉及xxxxxx核心网络设备，包括：核心网络设备、接入线路、二级网络设备、信息中心安全设备。网络设备的软件版本号一致、配置也基本相同，通过网络安全评估工具检测出网络设备中每台设备都存在高风险漏洞3项，中风险漏洞1项，低风险漏洞1项。详细情况见《网络与通信漏洞检测报告》。
在高风险漏洞中：
未升级网络设备的软件版本到最新版本的高风险就占2项 网络设备的配置方面所引起的高风险占1项
我们对安全评估扫描工具和静态分析的结果进行了统计分析，在网络通信方面存在
的脆弱性包括：
1、 关键的网络核心设备没有采用冗余设计 2、 没有升级网络设备的IOS到最新的版本
3、 网络设备的配置中采用的SNMP默认的读写字符串 4、 对网络配置的更改及维护没有日志及审计制度 5、 没有有效的安全策略，容易遭到拒绝服务攻击 6、 VALN之间未实施安全策略
4.2.3 应用系统的脆弱性
本次评估采用了本地和远程的方式对xxxxxx应用服务器和信息部的PC机进行了动态扫描和手动检查，并尝试性的进行了渗透性测试。我们一共对54台机器进行了检测，其中以本地的方式测试了52台，依次为：信息部机房内22台服务器及24台PC机，基地2台服务器，68号楼3台财务结算服务器，飞行部1台服务器。
根据Retina扫描报告，对安全优先级别为3以上的12台服务器的漏洞统计如下： 由于没有及时升级和安装补丁程序造成的： 高风险漏洞有 74项 占到了90.24% 中风险漏洞有 44项 占到了29.53% 低风险漏洞有 6 项 占到了7.79% 由于没有关闭不必要的服务造成的： 高风险漏洞有 0项 占到了0 中风险漏洞有 1项 占到了0.67% 低风险漏洞有 7项 占到了9.09% 由于系统配置不当造成的： 高风险漏洞有 0 项 占到了0 中风险漏洞有 94项 占到了63.09% 低风险漏洞有 64 项 占到了83.12%
由于弱口令造成的：
高风险漏洞有8 项 占到了9.76% 中风险漏洞有 10 项 占到了6.71% 低风险漏洞有 0 项 占到了0
通过分析Retina扫描结果，可以看出：
68号楼财务结算的两台应用服务器存在的漏洞最多，其原因除了管理因素外，主要是操作系统为Windows NT，版本较低，且没有及时升级。
信息中心的主要数据库服务器上存在因为没有及时升级造成的高风险漏洞，该漏洞存在缓冲区溢出，容易造成拒绝服务攻击；开启了1433端口，这些端口的开启使攻击者可以很容易获得主机的访问权限，存在很大的安全隐患。
弱口令漏洞所占的比例不算太高，但是，其危害相当大。从扫描结果中可以发现：950333录音服务器上存在sa空口令；数据库服务器上有1个账户名与密码相同；航空维修服务器上有一个帐号未设置密码；68号楼应用服务器1上有1个账户名与密码相同、2个帐户密码为空；68号楼应用服务器2上有2个帐户密码为空。
根据Baseline Security Analyzer的扫描报告，扫描了17台主机，17项内容中有10项不符合要求，包括： 序号 1 2 3 4 5 6 7 8 9 10
名称 1.验证所有磁盘分区都以NTFS格式进行了格式化 3.禁用不必要的服务 6.确保禁用来宾帐户 7.保护注册表防止匿名访问 9.限制对公用的本地安全权限（LSA）信息的访问 10.设置更加可靠的密码策略 11.设置帐户锁定策略 12.配置管理员帐户 13.取消所有不必要的文件共享 17.在安装Service Pack之后安装适当的安全修补程序 不合格主机数 4 5 2 17 12 17 17 17 17 17 不合格率 23.5% 29.4% 11.8% 100% 70.6% 100% 100% 100% 100% 100% 综合分析结果,操作系统及其提供的服务、数据库系统及应用软件的脆弱性包括： （1） Windows操作系统安全特有的安全漏洞：不是所有磁盘分区都采用了
NTFS格式、没有取消所有不必要的文件共享。
（2） 系统弱口令问题，没有建立更加可靠的密码策略。包括用户名与口令相
同、口令为空、口令容易猜测等。
（3） 在系统管理上缺乏统一的管理策略。重要的软件未升级到最新版本，没
有及时安装系统安全补丁。
（4） 系统配置存在的问题，包括应该关闭的服务没有关闭、参数配置不完整。 （5） 系统访问控制存在的问题，包括赋予的访问权限过大、没有禁用和删除
不必要的帐户，没有保护注册表防止匿名访问。
（6） 没有设置客户端登录次数限制，可以尝试进行暴力破解。 （7） 缺乏用户标识及鉴别机制，操作者的身份无法得到确认。 （8） SQL SERVER安装目录权限设置不正确。 （9） SQL SERVER的身份验证设置成混合模式。
以上系统的脆弱性在防止内外部攻击、数据安全、身份鉴别、访问控制、抗抵赖等方面增加了系统的风险。
4.3 信息安全风险分析
总结上述所有系统现有的脆弱性，按照风险影响的大小分析如下：
1、在所有系统的脆弱性中，缺乏核心网络设备的冗余备份是整个信息系统中威胁最大的脆弱性，其主要原因就是：在xxxxxx公司很多重要的应用数据在xxxxxx公司信息中心，各部门之间通过核心交换访问和交换关键的业务信息，其可用性的要求最高，一旦出现单点故障，将造成核心网络瘫痪，所有的业务中断的后果，其损失难以用金钱估量，目前的核心网络设备冗余备份措施不能避免由于各种灾害造成的风险。
2、安全管理机制方面的脆弱性仅次与灾备系统，主要原因在于：在信息系统已经发现的漏洞中，很多漏洞与管理机制不健全有关，包括：