前不久（7月14日）網(wǎng)上發(fā)布了《網(wǎng)絡安全等級保護測評高風險判定指引》，并計劃于2019年10月1日起施行?？吹胶?，第一感覺，好貼心哦，還告訴你哪些是重點，要怎么改?？赐旰蟾杏X，這是要我們半條命么？無論怎樣，該重點關(guān)注的還是要去關(guān)注，做好安全工作。
        引言
    所謂高風險項，就是等保測評時可以一票否決的整改項，如果不改，無論你多少分都會被定為不合格。全文共58頁，寫得比較細了，但是想到大家基本不會有耐心去仔細看的（憑直覺）。這幾天挑里邊相對重點的內(nèi)容列了出來，就是企業(yè)要重點關(guān)注的，把這些做好，上70分應該不成問題，個人認為這就是所謂的抓重點了。最近要定級或者明年打算升級等保2.0的可以參考下。
        說明：文中標記（3級）的表示3級及以上系統(tǒng)適用，標記（4級）的表示4級系統(tǒng)適用，未標記的表示所有系統(tǒng)適用。
        物理環(huán)境部分
    1. 無防盜報警系統(tǒng)、無監(jiān)控系統(tǒng)，可判定為高風險。
        2. 機房未配備冗余或并行電力線路供電來自于同一變電站，可判高風險。
        3. 系統(tǒng)所在的機房必須配備應急供電措施，如未配備，或應急供電措施無法使用，可判高風險。（4級）
        4. 對于涉及大量核心數(shù)據(jù)的系統(tǒng)，如機房或關(guān)鍵設備所在的機柜未采取電磁屏蔽措施，可判高風險。（4級）
        網(wǎng)絡通信部分
    1. 對可用性要求較高的系統(tǒng)，網(wǎng)絡設備的業(yè)務處理能力不足，高峰時可能導致設備宕機或服務中斷，影響金融秩序或引發(fā)群體事件，若無任何技術(shù)應對措施。核心網(wǎng)絡設備性能無法滿足高峰期需求，存在業(yè)務中斷隱患，如業(yè)務高峰期，核心設備性能指標平均達到80%以上，可判定為高風險。
        2. 應按照不同網(wǎng)絡的功能、重要程度進行網(wǎng)絡區(qū)域劃分，如存在重要區(qū)域與非重要網(wǎng)絡在同一子網(wǎng)或網(wǎng)段的，可判定為高風險。
        3. 互聯(lián)網(wǎng)出口無任何訪問控制措施，或訪問控制措施配置失效，存在較大安全隱患，可判定為高風險。（區(qū)域邊界要求同樣適用）
        4. 辦公網(wǎng)與生產(chǎn)網(wǎng)之間無訪問控制措施，辦公環(huán)境任意網(wǎng)絡接入均可對核心生產(chǎn)服務器和網(wǎng)絡設備進行管理，可判定為高風險。
        5. 對可用性要求較高的系統(tǒng)，若網(wǎng)絡鏈路為單鏈路，核心網(wǎng)絡節(jié)點、核心網(wǎng)絡設備或關(guān)鍵計算設備無冗余設計，一旦出現(xiàn)故障，可能導致業(yè)務中斷，可判定為高風險。（3級）
        6. 對數(shù)據(jù)傳輸完整性要求較高的系統(tǒng)，數(shù)據(jù)在網(wǎng)絡層傳輸無完整性保護措施，一旦數(shù)據(jù)遭到篡改，可能造成財產(chǎn)損失的，可判定為高風險。建議采用校驗技術(shù)或密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。（3級）
        7. 口令、密鑰等重要敏感信息在網(wǎng)絡中明文傳輸，可判定為高風險。（3級）
        建議相關(guān)設備開啟 SSH 或HTTPS 協(xié)議或創(chuàng)建加密通道，通過這些加密方式傳輸敏感信息。
        區(qū)域邊界部分
    1. 非授權(quán)設備能夠直接接入重要網(wǎng)絡區(qū)域，如服務器區(qū)、管理網(wǎng)段等，且無任何告警、限制、阻斷等措施的，可判定為高風險。（3級）
        如接入的區(qū)域有嚴格的物理訪問控制，采用靜態(tài) IP 地址分配，關(guān)閉不必要的接入端口，IP-MAC 地址綁定等措施的，可酌情降低風險等級。
        2. 核心重要服務器設備、重要核心管理終端，如無法對非授權(quán)聯(lián)到外部網(wǎng)絡的行為進行檢查或限制，或內(nèi)部人員可旁路、繞過邊界訪問控制設備私自外聯(lián)互聯(lián)網(wǎng)，可判定為高風險。（3級）
        如機房、網(wǎng)絡等環(huán)境可控，非授權(quán)外聯(lián)可能較小，相關(guān)設備上的 USB 接口、無線網(wǎng)卡等有管控措施，對網(wǎng)絡異常進行監(jiān)控及日志審查，可酌情降低風險等級。
        3.內(nèi)部核心網(wǎng)絡與無線網(wǎng)絡互聯(lián)，且之間無任何管控措施，一旦非授權(quán)接入無線網(wǎng)絡即可訪問內(nèi)部核心網(wǎng)絡區(qū)域，存在較大安全隱患，可判定為高風險。（3級）
        如無特殊需要，內(nèi)部核心網(wǎng)絡不應與無線網(wǎng)絡互聯(lián)；如因業(yè)務需要，則建議加強對無線網(wǎng)絡設備接入的管控，并通過邊界設備對無線網(wǎng)絡的接入設備對內(nèi)部核心網(wǎng)絡的訪問進行限制，降低攻擊者利用無線網(wǎng)絡入侵內(nèi)部核心網(wǎng)絡。
        4. 與互聯(lián)網(wǎng)互連的系統(tǒng)，邊界處如無專用的訪問控制設備或配置了全通策略，可判定為高風險。
        5. 可控網(wǎng)絡環(huán)境與不可控網(wǎng)絡環(huán)境之間數(shù)據(jù)傳輸未采用通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進行數(shù)據(jù)轉(zhuǎn)換（網(wǎng)閘或前置機），可判定為高風險。（4級）
        6. 關(guān)鍵網(wǎng)絡節(jié)點（如互聯(lián)網(wǎng)邊界處）未采取任何防護措施，無法檢測、阻止或限制互聯(lián)網(wǎng)發(fā)起的攻擊行為（無入侵防御設備、云防、WAF等），可判定為高風險。（3級）
        7. 關(guān)鍵網(wǎng)絡節(jié)點（如核心服務器區(qū)與其他內(nèi)部網(wǎng)絡區(qū)域邊界處）未采取任何防護措施，無法檢測、阻止或限制從內(nèi)部發(fā)起的網(wǎng)絡攻擊行為（無入侵防御、防火墻等），可判定為高風險。（3級）
        8. 主機和網(wǎng)絡層均無任何惡意代碼檢測和清除措施的，可判定為高風險。
        9. 在網(wǎng)絡邊界、重要網(wǎng)絡節(jié)點無任何安全審計措施，無法對重要的用戶行為和重要安全事件進行日志審計，可判定為高風險。
        計算環(huán)境部分
    1. 網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等存在空口令或弱口令帳戶（包括默認口令），并可通過該弱口令帳戶登錄，可判定為高風險。
        2. 通過不可控網(wǎng)絡環(huán)境遠程管理的網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等，鑒別信息明文傳輸，容易被監(jiān)聽，造成數(shù)據(jù)泄漏，可判定為高風險。
        3. 重要核心設備、操作系統(tǒng)等未采用兩種或兩種以上鑒別技術(shù)對用戶身份進行鑒別。例如僅使用用戶名/口令方式進行身份驗證，削弱了管理員賬戶的安全性，無法避免賬號的未授權(quán)竊取或違規(guī)使用，4級系統(tǒng)多種鑒別技術(shù)中未用到密碼技術(shù)或生物技術(shù)。可判定為高風險。（3級）
        4.網(wǎng)絡設備、安全設備、操作系統(tǒng)等存在多余系統(tǒng)服務/默認共享/高危端口存在，且存在可被利用的高危漏洞或重大安全隱患，可判定為高風險。（注意不只系統(tǒng)和應用，還有設備也要關(guān)閉多余端口）
        5. 通過不可控網(wǎng)絡環(huán)境遠程管理的網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等，未采取技術(shù)手段對管理終端進行限制，可判定為高風險。（3級）
        6.對于一些互聯(lián)網(wǎng)直接能夠訪問到的網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等，如存在外界披露的重大漏洞，未及時修補更新，無需考慮是否有 POC 攻擊代碼，可判定為高風險。（不要說影響業(yè)務，某大型企業(yè)HW期間N年不能打的補丁2天全搞定了）
        7. 通過驗證測試或滲透測試能夠確認并利用的，可對網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等造成重大安全隱患的漏洞（包括但不限于緩沖區(qū)溢出、提權(quán)漏洞、遠程代碼執(zhí)行、嚴重邏輯缺陷、敏感數(shù)據(jù)泄露等），可判定為高風險。
        8. Windows 操作系統(tǒng)未安裝防惡意代碼軟件，并進行統(tǒng)一管理（這里覺得官方描述有問題，并未進行可能更準確），無法防止來自外部的惡意攻擊或系統(tǒng)漏洞帶來的危害，可判定為高風險。
        9. 應用系統(tǒng)無任何用戶口令復雜度校驗機制，校驗機制包括口令的長度、復雜度等，可判定為高風險。
        10. 應用系統(tǒng)存在易被猜測的常用/弱口令帳戶，可判定為高風險。
        11.可通過互聯(lián)網(wǎng)登錄的應用系統(tǒng)未提供任何登錄失敗處理措施，攻擊者可進行口令猜測，可判定為高風險。（3級）
        12.通過互聯(lián)網(wǎng)方式訪問，且涉及大額資金交易、核心業(yè)務等操作的系統(tǒng)，在進行重要操作前應采用兩種或兩種以上方式進行身份鑒別，如只采用一種驗證方式進行鑒別，可判定為高風險。（3級）
        13. 應用系統(tǒng)訪問控制功能存在缺失，無法按照設計策略控制用戶對系統(tǒng)功能、數(shù)據(jù)的訪問；可通過直接訪問 URL 等方式，在不登錄系統(tǒng)的情況下，非授權(quán)訪問系統(tǒng)功能模塊，可判定為高風險。
        14. 應用系統(tǒng)訪問控制策略存在缺陷，可越權(quán)訪問系統(tǒng)功能模塊或查看、操作其他用戶的數(shù)據(jù)。如存在平行權(quán)限漏洞，低權(quán)限用戶越權(quán)訪問高權(quán)限功能模塊等，可判定為高風險。
        15. 應用系統(tǒng)（包括前端系統(tǒng)和后臺管理系統(tǒng)）無任何日志審計功能，無法對用戶的重要行為進行審計，也無法對事件進行溯源，可判定為高風險。（3級）
        16. 由于校驗機制缺失導致的應用系統(tǒng)存在如 SQL 注入、跨站腳本、上傳漏洞等高風險漏洞，可判定為高風險。
        17. 應用系統(tǒng)所使用的環(huán)境、框架、組件等存在可被利用的高風險漏洞，導致敏感數(shù)據(jù)泄露、網(wǎng)頁篡改、服務器被入侵等安全事件的發(fā)生，可能造成嚴重后果的，可判定為高風險。
        18. 通過測試，發(fā)現(xiàn)應用系統(tǒng)的業(yè)務功能（如密碼找回功能等）存在高風險安全漏洞或嚴重邏輯缺陷，可能導致修改任意用戶密碼、繞過安全驗證機制非授權(quán)訪問等情況?？膳卸楦唢L險。
        19. 對傳輸完整性要求較高的系統(tǒng)，如未采取任何措施保障重要數(shù)據(jù)傳輸完整性，重要數(shù)據(jù)在傳輸過程中被篡改可能造成嚴重后果的，可判定為高風險。（3級）
        20. 用戶鑒別信息、公民敏感信息數(shù)據(jù)或重要業(yè)務數(shù)據(jù)等以明文方式在不可控網(wǎng)絡中傳輸，可判定為高風險。（3級）
        21. 用戶身份認證信息、個人敏感信息數(shù)據(jù)、重要業(yè)務數(shù)據(jù)、行業(yè)主管部門定義的非明文存儲類數(shù)據(jù)等以明文方式存儲，且無其他有效保護措施，可判定為高風險。（3級）
        22. 應用系統(tǒng)未提供任何數(shù)據(jù)備份措施，一旦遭受數(shù)據(jù)破壞，無法進行數(shù)據(jù)恢復的，可判定為高風險。
        23. 對系統(tǒng)、數(shù)據(jù)容災要求較高的系統(tǒng)，如金融、醫(yī)療衛(wèi)生、社會保障等行業(yè)系統(tǒng)，如無異地數(shù)據(jù)災備措施，或異地備份機制無法滿足業(yè)務需要，可判定為高風險。
        24. 對數(shù)據(jù)處理可用性要求較高系統(tǒng)（如金融行業(yè)系統(tǒng)、競拍系統(tǒng)、大數(shù)據(jù)平臺等），應采用熱冗余技術(shù)提高系統(tǒng)的可用性，若核心處理節(jié)點（如服務器、DB 等）存在單點故障，可判定為高風險。（3級）
        25. 對容災、可用性要求較高的系統(tǒng)，如金融行業(yè)系統(tǒng)，如未設立異地應用級容災中心，或異地應用級容災中心無法實現(xiàn)業(yè)務切換，可判定為高風險。（4級）
        26. 身份鑒別信息釋放或清除機制存在缺陷，如在正常進行釋放或清除身份鑒別信息操作后，仍可非授權(quán)訪問系統(tǒng)資源或進行操作（同樣適用于敏感信息），可判定為高風險。
        27. 在采集和保存用戶個人信息時，應通過正式渠道獲得用戶同意、授權(quán)，如在未授權(quán)情況下，采取、存儲用戶個人隱私信息，可判定為高風險。
        28. 未授權(quán)訪問和非法使用個人信息，如在未授權(quán)情況下將用戶信息提交給第三方處理，未脫敏的情況下用于其他業(yè)務用途，未嚴格控制個人信息查詢以及導出權(quán)限，非法買賣、泄露用戶個人信息等，可判定為高風險。
        管理中心部分
    1. 《網(wǎng)絡安全法》要求“采取監(jiān)測、記錄網(wǎng)絡運行狀態(tài)、網(wǎng)絡安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡日志不少于六個月”；因此，如相關(guān)設備日志留存不滿足法律法規(guī)相關(guān)要求，可判定為高風險。（3級）
        2. 未部署相關(guān)安全設備，識別網(wǎng)絡中發(fā)生的安全事件，并對重要安全事件進行報警的，可判定為高風險。
        管理制度部分
    1. 判例內(nèi)容：未建立任何與安全管理活動相關(guān)的管理制度或相關(guān)管理制度無法適用于當前被測系統(tǒng)的，可判定為高風險。
        管理機構(gòu)部分
    1. 未成立指導和管理信息安全工作的委員會或領(lǐng)導小組，或其最高領(lǐng)導不是由單位主管領(lǐng)導委任或授權(quán)，可判定為高風險。（3級）
        建設管理部分
    1. 網(wǎng)絡關(guān)鍵設備和網(wǎng)絡安全專用產(chǎn)品的使用違反國家有關(guān)規(guī)定，可判定為高風險。（其實就是盡可能使用國產(chǎn)品牌）
        建議依據(jù)國家有關(guān)規(guī)定，采購和使用網(wǎng)絡關(guān)鍵設備和網(wǎng)絡安全專用產(chǎn)品。（《網(wǎng)絡安全法》第二十三條規(guī)定網(wǎng)絡關(guān)鍵設備和網(wǎng)絡安全專用產(chǎn)品應當按照相關(guān)國家標準的強制性要求，由具備資格的機構(gòu)安全認證合格或者安全檢測符合要求后，方可銷售或者提供。國家網(wǎng)信部門會同國務院有關(guān)部門制定、公布網(wǎng)絡關(guān)鍵設備和網(wǎng)絡安全專用產(chǎn)品目錄，并推動安全認證和安全檢測結(jié)果互認，避免重復認證、檢測。）
        2. 對于涉及金融、民生、基礎設施等重要行業(yè)的業(yè)務核心系統(tǒng)由外包公司開發(fā)，上線前未對外包公司開發(fā)的系統(tǒng)進行源代碼審查，外包商也無法提供相關(guān)安全檢測證明，可判定為高風險。（3級）
        3. 系統(tǒng)上線前未通過安全性測試，或未對相關(guān)高風險問題進行安全評估仍舊“帶病”上線的，可判定為高風險。安全檢查內(nèi)容可以包括但不限于掃描滲透測試、安全功能驗證、源代碼安全審核（國家逐步開始推廣SDL的落地）。（3級）
        運維管理部分
    1. 未對發(fā)現(xiàn)的安全漏洞和隱患及時修補，會導致系統(tǒng)存在較大的安全隱患，黑客有可能利用安全漏洞對系統(tǒng)實施惡意攻擊，如果安全漏洞和隱患能夠構(gòu)成高危風險，可判定為高風險（對應前邊漏洞管理的內(nèi)容，要求相同）。（3級）
        2. 未對運維過程中改變連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)進行變更審批，且未進行變更性測試，一旦安裝系統(tǒng)組件或調(diào)整配置參數(shù)對系統(tǒng)造成影響，有可能導致系統(tǒng)無法正常訪問，出現(xiàn)異常，可判定為高風險（系統(tǒng)變更管理上升為高危風險點）。（3級）
        3. 未明確變更管理流程，未對需要變更的內(nèi)容進行分析與論證，未制定詳細的變更方案，無法明確變更的需求與必要性；變更的同時也伴隨著可能導致系統(tǒng)無法正常訪問的風險，可判定為高風險（變更流程無完善，缺乏理論驗證和分析）。（3級）
        4. 未對各類運維工具（特別是未商業(yè)化的運維工具）進行有效性檢查，未對運維工具的接入進行嚴格的控制和審批，運維工具中可能存在漏洞或后門，一旦被黑客利用有可能造成數(shù)據(jù)泄漏，可判定為高風險（使用盜版工具的可能會被判定為高風險）。（3級）
        5. 制度上服務器及終端與外部連接的授權(quán)和批準制度（此處原文描述可能不準確），也未定期對相關(guān)違反網(wǎng)絡安全策略的行為進行檢查，存在違規(guī)外聯(lián)的安全隱患，一旦內(nèi)網(wǎng)服務器或終端違規(guī)外聯(lián)，可能造成涉密信息（商密信息）的泄露，同時增加了感染病毒的可能性，可判定為高風險（管理層面的違規(guī)外聯(lián)管理，要有制度還要有執(zhí)行的過程）。（3級）
        6. 外來計算機或存儲設備本身可能已被感染病毒或木馬，未對其接入系統(tǒng)前進行惡意代碼檢查，可能導致系統(tǒng)感染病毒或木馬，對信息系統(tǒng)極大的危害，可判定為高風險。
        7. 未制定重要事件的應急預案，未明確重要事件的應急處理流程、系統(tǒng)恢復流程等內(nèi)容，一旦出現(xiàn)應急事件，無法合理有序的進行應急事件處置過程，造成應急響應時間增長，導致系統(tǒng)不能在最短的事件內(nèi)進行恢復，可判定為高風險。
        8. 未定期對相關(guān)人員進行應急預案培訓，未根據(jù)不同的應急預案進行應急演練，無法提供應急預案培訓和演練記錄，可判定為高風險（無應急培訓，無應急演練）。（3級）