晚會兒更新(第2/3 頁)

應用系統各伺服器之間的拓撲結構；梳理網路安全裝置及網路防護情況；梳理sslvpn和ipsecvpn接入情況。412風險評估。安全保障專家結合資訊化資產梳理結果進行安全風險評估。安全保障專家可使用調研問卷、人員訪談和安全技術（滲透測試、漏洞掃描、基線核查等）等方式，透過安全工具或人工方式從網路安全風險、應用安全風險、主機安全風險、終端安全風險和資料安全風險等維度進行安全風險評估，各部分內容可參考如下。（1）網路安全風險評估網路架構風險評估，利用人工和工具等方式從技術、策略和管理等角度更深層次挖掘出當前網路中存在的威脅和風險。安全漏洞和安全基線風險評估，利用掃描工具對網路裝置進行掃描和全面檢查。弱口令風險評估，嚴格禁止所有賬號的弱口令、空口令情況。賬號、許可權風險評估，檢查管理員賬號和許可權，關閉不必要的賬號，取消不合理的賬號許可權；保證密碼強度符合安全基線要求。遠端登入白名單風險評估，嚴格限制可以遠端管理的ip地址，禁用tel

et進行遠端管理。配置備份風險評估，所有網路裝置全部要做好配置備份，確認備份有效可以恢復。（2）應用安全風險評估身份鑑別風險評估，評估應用系統的身份標識與鑑別功能設定和使用配置情況，應用系統對使用者登入各種情況的處理，如登入失敗、登入連線超時等。訪問控制風險評估，評估應用系統的訪問控制功能設定情況，如訪問控制的策略、許可權設定情況等。安全審計風險評估，評估應用系統的安全審計配置情況，如覆蓋範圍、記錄的專案和內容等。資產暴露面風險評估，模擬駭客進行資訊收集，獲取資產詳細資訊（程式名稱、版本）、開放的危險埠、業務管理後臺等。應用漏洞風險評估，包括web服務，如apache、websphere、tocat、iis等，其他ssh、ftp等程式的缺失補丁或版本漏洞檢測。滲透測試，採用適當測試手段，發現測試目標在資訊系統認證及授權、程式碼審查等方面存在的安全漏洞，並再現利用該漏洞可能造成的損失，提供避免或防範此類威脅、風險或漏洞的具體改進或加固措施。（3）主機安全風險評估webshell風險評估，對提供web服務的系統進行webshell後門排查，驗證伺服器的安全性，確保清除曾經可能被入侵遺留下的後門。惡意檔案風險評估，利用專業殭屍木馬蠕蟲檢測工具對作業系統進行惡意檔案排查，並針對惡意檔案進行行為分析，確認病毒家族及其危害。弱口令風險評估，嚴格禁止所有賬號的弱口令、空口令情況。埠及服務風險評估，伺服器只開放自身提供服務相關埠，關閉不必要的埠和對外服務。伺服器防火牆風險評估，預設禁止所有主動對外訪問行為，如有需要，需嚴格制定訪問控制策略，實行伺服器對外訪問白名單。系統漏洞掃描風險評估，對作業系統、資料庫及常見應用、協議進行漏洞掃描。（4）終端安全風險評估安全基線風險評估，對終端的作業系統進行安全配置基線檢查，保證終端裝置安全。弱口令風險評估，嚴格禁止所有賬號的弱口令、空口令情況。防病毒軟體風險評估，檢查終端是否安裝防病毒軟體，安全策略是否開啟。非法外聯風險評估，檢查終端是否配置了雙網絡卡，是否開放或連線熱點。補丁更新風險評估，檢查補丁更新情況。（5）資料安全風險評估安全基線風險評估，對資料庫的作業系統進行安全配置基線檢查，保證資料庫系統安全。資料訪問控制風險評估，對資料的訪問、許可權設定進行評估。資料備份風險評估，檢查資料備份策略、災備情況。413安全加固。透過評估與檢查的方式，分析資訊化資產及重要資訊系統的安全漏洞與風險，並有針對性地進行安全加固。網路裝置、安全裝置、安全系統等網路層面安全問題由基礎網路運營部門負責加固；應用系統存