《信息系统评估风险分析.docx》由会员分享，可在线阅读，更多相关《信息系统评估风险分析.docx（84页珍藏版）》请在课桌文档上搜索。
1、信息系统风险分析XXX信息系统主要由HIS系统、1.IS系统、PACS系统以及医保、大屏、合理用药、折子工程等业务系统、内外网安全服务器、双翼服务渊、OAIH务器、交换机、防火墙以及安全控制设备等构成，内外网物理隔离，外网为访问互联网相关服务为主，内网为XXX生产网络.1.1. 网络通信1.1.1. V1.AN间未做访问控制(O内网V1.AN中的主机网关全部指到内网核心交换机C6509上，外网V1.AN的主机网关都指在外网核心交换机4506上。内外网对这些V1.AN的路由未作控制，各个V1.AN间通过C6509(4506)可以进行互访。威胁分析由于各个V1.AN代表不同的业务内容，安全级别也是
2、不同的，需要在不同的V1.AN间做访问控制。现有配置，各个V1.AN间路由都是通的，那么各个V1.AN间就都可以互访，安全级别低的V1.AN可以访问安全级别高的V1.AN,这样V1.AN设定的目的效果就大大削弱了。安全级别低的V1.AN尝试访问高级别V1.AN,有意或者无意的破坏高级别V1.AN中服务器上的数据，将会对XXX的业务造成重大的影响。(3)现有或已计划的安全措施核心交换机6509上配置了防火墙模块，但该模块没有配置访问控制策略，(4)风险评价风险名称者从例V1.AiaJ!核心V1.AN可级别3J描述非法者很可能从普通VIRN渗透到核心V1.AN.影级别3响描述非法者从普通VIKN渗
3、透到核心V1.AN,对XXX的管理运营具有一定影响。风险级别高（5）建幽制油施序号建议控制措施描述1定义V1.AN安全级别及访问关系由网络管理员定义各个V1.AN的安全级别和互相之间的访问关系表2修改核心交换机上V1.AN间访同控制策略按照己定义好的VIAN间访问关系表，重新定义访问控制列表，控制V1.AN间的访间关系1.1.2. 内网设计中存在单点故障风险（1）现状描述分析XXX目前实际的网络情况，我们发现内网中存在蛋单点故障风险，其中内网接入访问控制系统中WINS/DNS服务器没有采用热备或冷备措施“（2）威胁分析当此服务器发生故障后，网内所有域用户全部都不能正常登录到域，造成业务系统服务
4、停止。（3）现有或已计划的安领施无O（4）风险升价风险名称内网单点故障风险造成业务系统服务停止可能性级别；描述内网单点故幽风险很可能造成业务系统服务停止。影响级别5描述业务系统服务停止会造成用户对外眼务效率降低，并由丁用户业务为公众服务业务，服务停止后会对用户造成极大的影响。风险级别极高(5)建议控制擒施序号建议控制措施描述1配备内网WinHdns热备服务器采用双机热备技术，有效降低单一故障风险。2配备内网WinNdns冷备服务器配备冷备设备，能满足在可接受的时间范国恢复服务1.1.3. 外网设计中存在单点故障风险(O3M三分析XXX目前实际的网络情况我们发现外网中存在单点故障风险，其中外网接
5、入访问控制系统中WINSQNS服务器没有采用热备或冷备措施“Internet接入设备SSG52O防火墙，城市热点计我网关与外网核心交换机4506/单线接入，没有链路和设备备份措施。(2)威胁分析外网网络中存在4个单点故障风险点，每单点故障点发生故障都会造成Imeme1.访问中断，影响外网用户的正常工作。(3)现有或已甘划的安全措施无。(4)风险评价风险名称外网单点故障风险造成Internet访问中断可级别4能M、件描述网络接入控制系统系统中存在点故障风险,故障发生可能性较高影级别2晌描述外网单点故障风险造成IntemC1.访问中断，对XXX管理运营具有轻微影响。风除级别中（5）建议控IM措施序
6、号建议控制措施描述1外网单点设备配备热备服务器采用双机热备技术,有效降低单点故障风险。2外网单点设备配备冷备服务滞配备冷备设备，能满足在可接受的时间范困恢复服务1.1.4. 无专业审计系统现状描述现有XXX内外网网络均无专业审计系统。（2）威胁分析无专业审计系统，无法对已发生安全事件准确回溯，将给确认安全事件发生时间，分析攻击源造成极大困难.同时，在依法问灾时缺乏审计信息将无法作为安全事件发生的证据.（3）现有或己计戈!的安全措施无.（4）风险褥价风险名称出现安全事件无法进行有效定位和问责可级别2能M性描述出现安全事件而无法发现的情况有可能发生影级别2响描述出现安全事件无法进行有效定位和向抗将
7、对XXX的管理运营具有轻微影响风看级别低（5）建议控磷施序号建议控制措施描述1采购专业的审计系统采购并集中部署专业的审计系统，并启动网络设备和安全设备上的日志服务“2定期审计日志中的异常记录指定专人负责，定期对H志进行审计，杳看是否有异常记录。1.1.5. SSG520防火墙配置策略不当(O分析SSG52O的配凭文件，发现防火墙配置的端口控制中开放了过多的不用使用端口,例如10700.3765,8888.445端口等。setserviceprotoco1.tcpSrC-Por1.(65535dst-port107(X)-1.()7(X)setservice+ICPsrv-port0-65535
8、dst-por1.21-22setservice+tcpsre-port0-65535dst-po11445-445setservice+tcpsre-port()-65535dst-ort25-25setSerViCe+icpsre-port()-65535dst-rtI1.()-1.K)setservice+tcpSrV-POn0-65535USt-POr1.8888-8888setsenicc+tcpsre-port0-65535dst-port8O8O8O8Osetsenice+tcpsre-port0-65535dst-port3765-3765setservicePnHOCO1.I
9、CPsrC-POn0-65535dst-port8()-80setservice+ICPsrc-POrt0-6553541.st-prt53-53setse11ice+udpsrc-port0-65535dst-port53-53setsen,ice+tcpsre-port()-65535dst-port443-443et(2)威胁分析防火墙配置不当，可能导致非法者更容易利用防火墙的配置问题而渗透入XXX外网，或者外网用户电脑被植入木马等程序后，更容易被非法者控制。(3)现有或已计划的安领施无。风险评价风险名称手法者利用防火墙配置不当渗透入外网可级别2I描述非法者可能利用防火墙配置不当渗透入外
10、网。影级别2响描述非法者利用防火墙配置不当渗透入外网.将对XXX的管理运营具有轻微的影响。风险级别低(5)建幽制油施序号建议控制措施描述1刑除SSG520防火墙不使用的端口的访问控制策略删除SerVice中的10700.3765.8888,445等不使用的端口访问控制策略1.1.6. 网络边界未做访问拄制(1)根据我们检食和访谈得知XXX内网和市医保网通过一台医保服务器配巴的双网卡和市医保网连接，医保网是不属于XXX范围内的专网，通过医保服务器采集数据通过专网传送到相关使用部门,跟医保网的连接属于边界连接，但在边界上未做任何访问控制。医保服务器也未作安全控制，医保的人可以远程登录该系统.(2)
11、威胁分析XXX内网是生产网，安全级别比较高，但跟安全级别相对较低的医保网连接边界未做访问控制从而绐从医保网的非法者入侵内网提供了条件，攻击者可以通过攻击医保服务器后再渗透入XXX内网。(3)现有或已计划的安全措Jfc无。（4）IW风险名称非法者利用医保服务器渗透进内网可能性级别3描述非法者可能利用医保服务器渗透进内网影响级别.1描述非法者可晶利用医保服务器渗透进内网，对XXX管理运营具有严重影响。风险级别高(5)建议控碗施序号建议控制措施描述1制定医保网对医保服务器的访问策略可在医保服务器上加装放火墙软件来实现对从医保网来的访问控制2制定加强医保股务器和内网连接的访问控制策略通过改变网络拓扑在
12、医保服务器和内网间配置,硬件防火墙，或通过内网核心交换机实现对医保服务器的访问控制。1.2. 安装部署1.2.1. WindOWS系统未安装最新补丁(1) 5W三当前，被检杳WindoWS系统均未安装最新补丁，并且补丁安装情况各不相同,有些补丁缺失较少，有些缺失较多,甚至缺失系列重要安全补丁。扫描结果也显示某些服务器具有严重安全漏洞：Vu1.nrrdb1.HyinServerServiceCou1.dA1.1.owRemoteCodeExecutioa(921883)-KetworkcheckSynosts:ArbitrarycodecanbeexecutedOntheremotehostdu
13、etoaf1.awntheserverSerVCe.Description:Tberemotehost8VUhefab1.RtoabufferoverrunintheServet*SerVKU*4mayXOWanEUCkeftoexecutearbitrarycodeontheremotehostwiththeSystemprivi1.eges.VuknerabAtyinSMBCou1.dAMowRemoteCodeExecution(896422)-HetvrorkCheckSynopsts:Arbitrarycodecanbeexecutedontheremotehostduetoafhw
14、htheSMBKnp1.ementatton.Description:TheremoteVers1.onofWndoWSContahSafwrtheServerMessageBtodc（SMB）ECmentdt）OnWhehmaya1.owanattackertoexecutearbitrarycodeOntheremotehostAnattackerdoesnotneedtobeauthenticatedtoexp1.oitthsHaw.Q）戚物分析未及时安装Windows操作系统的最新安全补丁，将使得已知漏洞仍然存在丁系统上。由于这些已知漏洞都已经通过Intcmci公布而被非法者获悉，非法
15、者就有可能利用这些已知漏洞攻击系统。（3）现有或已计划的安全措施内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统，无法对终端操作系统做更多操作.数据每天进行备份，具有应急系统。（4）风险评价风险名称非法者利用已知漏洞攻击Wind。、S系统可级别2能一性描述非法者有可能利用已知漏洞攻击WindOWS系统“级别4非法并利用已知漏洞攻击Windows系统,对XXX附属儿童医院的管Iv1.JJ1.Ht理运营具有严重影响.风险级别中（5）建蟠制措施序号建议控制措施描述1订阅安全漏洞补丁通告订阅Windows系统的安全漏洞补丁通告，以及时获知Windows系统的
16、安全漏洞补丁信息。2安装组件最新安全版本从厂商站点下数最新安全补丁，在测试环境里测试正常后，在生产环境里.及时安装。1.2.2. Windows系统开放了不需要的服务(I)现状描述当前，被检查WindOWS系统均开放了不需要的服务，如： DHCPGiem Prin1.Spoo1.er Wire1.essConfiguratkHi MSFTP SMTP等可能不需要的服务。(2)威胁分析不需要的服务却被启用，非法者就可以通过尝试攻击不需要的服务而攻击系统,而I1.管理员在管理维护过程通常会忽略不需要的服务，因此导致不需要服务中所存在的安全漏洞没有被及时修更，这使得非法者更有可能攻击成功.(3)现有
17、或已计划的安全摘窿内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统，无法对终端操作系统做更多操作。数据每天进行备份.具有应急系统。(4)风险讨价风险名称非法者利用已启用的不需要服务攻击Wind。，S系统可级别2,描述I-*-作法者有可能利用利用已启用的不需要服务攻击Windows系统影级别4响描述非法者利用已启用的不需要服务攻击Windows系统，对XXX附属儿童医院的管理运营具有严1E影响。风险级别中(5)建蟠制措施序号建议控制措施描述1禁用不需要的服务从系统正常运行、主机系统管理维护角度，确认系统上哪些服务是不需要的。对于系统上存在的不需要的服务
18、，立即禁用。1.2.3. Windows系统开放了默认共享(1)现状描述当前，被检查WindoWS系统均开放了默认共享,如:AcwwF-rAR3d.WEeOXrteXTmC-ChwgeMwrvDirwtoryMMEAe1.DwtorAC1.SMGW*TMtnIXKOTXfiewOpertnn-R1.MO,B1.aEAWw*3ra-F.MTAVTKWVtxrB-EyE-aCS6t*rfom-FDSOsVWCt*ecmMenoHQWWVeAeu8Wm凯*wwe,5.MJTKX11VAta1.um*tX.Qpereftani.BBg-F,NTEQvQMret.AEgWM93,HMTAUTKM11Ym
19、dFrvgrarnMTMrwnnrtF,*nw-RM71.dnr*TMy-F.r*RW-R1.Kr2YAJ-等系统默认共享。(2)威胁分析存在的默认共享可能使非法者获得访问共享文件夹内数据的机会，对非法者侵入系统、扩大渗透程度提供了额外的机会,另外，默认共享可能增加受蜥虫病毒的传播机会。因此，除非必要，应该去掉默认共享。(3)现有或已沙戈!的安全措施内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统，无法对终端操作系统做更多操作。数据每天进行备份,具仃应急系统.(4)风险评价风险名称非法者或虫病毒利用默认共享攻击Windows系统可能性级别I描述非法者
20、或蠕虫病毒有可能利用默认共享攻击Windovs系统。影响级别3描述非法者或蠕虫病毒利用默认共享攻击Windows系统，对XXX附属儿童医院的管理运营具有一定影响。风险级别中(5)建议控岫施序号建议控制措施描述1关闭系统默认共享关闭所有非必要开放的系统默认共享。2设置访问控制策略对所有相关服务器设置必要的访问控制策略限制非必要客户端对相关服务器的非必要端口的访问.1.2.4. WindOWS系统存在权限控制不当的共享(1) %t三当前,被检包WindoWS系统(192,1680.16、192.168.0.24,I92.I68.I00.I02x192.168.0.102)存在一些权限控制不当的共享
21、，如卜图：Accmk:F-FuI.RfUudvW-Wrtt.DM0t0.X-fxcueC-CIwmqScoreShareDirectorySKtreAC1.OirectoryAC1.N：AdwShreCMtorycAnoberMd.ACWIMGWMXMSA*rShweuUTMenX.Bixe*eusesRD,U1.TDCM25F,WTAUTKMITVYSTB11t1.ntait*WnIUnEMm5F,KTM11CRZr11PWM-F,HmTWVwn-WD1.(XSUEHMwwaws-F,NTK11CRITr5TSTD4-F,1.11MVsers-W.eroneRXODSSeWOC6SetoEe
22、roeeuaE，MTOVator$F,WTAU1.KwrYSTWf.三U1.11Hei-ftXOH/CorcMftyJ1.林斯CPoarvWi*rDoojrentot*ySwrrJUWft*,farers*uMkw,wM11Hcmrrystsm.KeunTRAW*ttt9rFOHSCOftrtHnWtrVtoAkSeVerVSC4pfU1.Y1.HMW9atsrsF.ev*MSvmnteCOer*wwy3tortF,WTwC*wr，MTTM*MM94torv-F,KTMnMoRIrFYJTW-F.R11H)wn-X共享权限设置为Everyone完全控制。(2)威胁分析存在权限控制不当的共享可能
23、使非法者获得访问共享文件夹内数据的机会大大增加，对非法者侵入系统、扩大渗透程度提供了额外的机会，另外，也很可能增加受蠕虫病毒的传播机会。因此，应对共享设置适当的访问控制权限。(3)现有或已廿回的安全措施内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统，无法对终端操作系统做更多操作。数据每天进行备份.具仃应急系统.(4)风险评价风险名称非法者或虫病毒利用权限控制不当的共享攻击WindoWS系统可能性级别2描述柞法者或孀虫病毒有可能利用权限控制不当的共享攻击WindowS系统.影响级别3描述非法者或蟠虫病毒利用权限控制不当的共享攻击Window、系统，对
24、XXX附属儿童医院的管理运营具有一定影响。风险级别中(5)建傩涮措施序号建议控制措施描述1对共享进行适当的访问控制权限设置对共享进行适当的访问控制权限设置，限制非必要的账号对共享的访问。2取消共享如非必要，取消共享。3设置访问控制策略对所仃相关服务器设置必要的访问控制策略限制非必要客户端对相关服务器的非必要端口的访问。1.2.5. Windows系统过多的管理员账号（1）现状描述当前，被检包WindOWS系统部分主机存在过多的管理员账号，如主域控制器192.168.0.23上存在大量本地管拜访账号和域管理员账号，其中ZyC账号（住院处）属于域管理分组，权限过高.另外，医保服务器、医保论坛、外网
25、托管服务器，均存在过多本地管理员账号。而医保论坛上还存在大量本地账号（不受域控制器控制）。威胁分析过多的管理员账号意味若有更多的人具有操作系统的管理权限，不利于服务潜的安全管理，另外，过多的管理员账号，可能由下管理员疏忽等原因而导致无法控制账号的安全性，可能对服务器造成安全威胁，另一方面，过多的管理员账号，发生安全事件:可能难以追查安全员任。（3）现有或已计划的安全措施内网与互联网隔离.终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统，无法时终湍操作系统做更多操作.数据每天进行备份，具有应急系统。（4）风险评价风险名称系统管理员账号失控威胁Wind,zs系统安全可能性
26、级别2描述可能由于系统管理员账号失控威胁WindOw、系统安全。影晌级别4描述系统管理员账号失控威胁Windows系统安全，对XXX附属儿童医院的管理运营具有严重影响.，风险级别中（5）建幽制擒施序号建议控制措施描述1收回多余的管理员账号将不需要的多余的管理员账号收【可，仅分配适当权限的账号。2所有管理员账号设置强壮密码要求所有管理员设置.强壮的密码，并妥善保管。3取消多余的本地账号取消多余的本地账号，统一使用域账号。1.2.6. Windows系统账户策略配不当(1)当前，被检查WindOWS系统账户策略均配置不当,均为默认配置,如下图所示:一控制台银亍点效。设置计算矶设置，安全配置相分析。
27、丽加!符合曲缰求己用己*用/j*Kr*KO=台最小直8个字符0个字苻O堂均最亮笠用距跟1天。天信帆y定第格O品M氏使用期康30天42天J在道第88支姓口士O娱制历史24个记住的注码。个记住的的O用可还原的加田*阈我已至用日用5控制台检可点策略SSEffSf1.计算机e置，安全Ea和分析,盅帐户策8D1际策第3帐户3定第SJ说,复位帐户s定计Sa1.-帐户!定时间。帐三屏值30分仲ZS30分仲10次无效登录没有分析没有分析05SS5S未启用密码复杂性要求，未设置漏码长度最小值，未设置密码最短使用期限,没有强制密码历史。没仃设置账号锁定策略。(2)威胁分析不当的WindoWS密码策略，如将“密码必
28、需纪杂性要求”设置为已停用，则无法强制用户使用复杂宓码：未设置“密码长度最小值”，聘使得用户可以使用短密码甚至空密码：未设置密码最短存留期和强制密码历史，用户就可以在达到密码最长存留期、系统强制要求更改密码时通过再次输入相同的密码而满足系统的要求(也就是密码最长存留期实际上无法起到原有的作用。以上这些都可能使得非法者有更多的机会可以破解用户密码，从而使用用户卷码登录windows主机。未设置帐号锁定陶值,将使得非法柠可无限制地尝忒登录WindoWS系统，最终有可能破解windows系统帐号密码，从而登录系统.(3)现有或已甘划的安全措施内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终
29、端的域策略,只能使用特定的业务系统，无法对终端操作系统做更多操作。数据每天进行备份，具有应急系统.Q)XIWt风险名称非法者有更多机会破解Wind。、S系统密码可级别1;:描述可能由于系统管理员账号失控威胁WindoWS系统安全。W级别4影（In1.上性决系统管理员账号失控或胁Windows系统安全，对XXX附属儿童医院的管理运营具有严重影响。风看级别中（5）建议控磷施序号建议控制措施描述1明确规定要求的密码组合在密码管理规定中，明确说明系统允许的密码字符组合。2明确规定允许的最短密码长度在密码管理规定中,明确说明系统允许的最短密码长度（如普通用户为6位，管理员为8位）。3明确规定密码变更要求
30、在密码管理规定中，明确要求用户多长时间更改一次密码（如普通用户为90天，管理员为30天）。4设置密码策略根据密码策略，设置WindOWS主机的密码策略,例如：启用“密码必须符合复杂性要求”:将最小密码长度”设电为8位：将“密码最长存留期的值设为不长于90天的值：将“密码最短存留期的值设为不少于1天的值：启用“强制密码历史将值设为如24个的值。5进行安全意识培训和教育在提供访问之前，以及此后定期或不定期对员工进行有关帐号密码的安全意识培训和教育。6启用限制不成功登录尝试的功能将Windows系统上的“帐号锁定阀值设为如3次或5次的值。1.2.7. Windows系统审核策略配置不当（1）现状描述
31、当前，被检位WindOWS系统的审核策略均为默认，不同版本策略不一，如下图所示：控制台根节点策BB散疮库设黄计玛矶设25，击安全无方Q分析O宙核第略更改砌无扇核出它策略市核设秘则韧fi2%/j主炮第8S宙核对象访问成功,失败无由核tJ亩修策第市接进程曳将没有定义无市核1.J用户权限分包tJ妄全选项3事代日主国核目录服务访问砌,谢无亩核.市核有权使用曲.初无市核.jD4受跟制的组，3承够考亩核军统事件三J.谢无宙核市核帐户登录事件则韧频”的表O宙核斯苫理ffi晒无宙核（2）威胁分析系统审核可以记录安全相关事件，如果不记录，或者记录的不够完整，则一旦发生安全事件，将很难利用审核日志记录来追查安全事
32、件的来源，追踪非法者，雄以最大程度消除由此带来的影响.，（3）现有或已廿回的安全措J1.i无。（4）风险升价风险名称WindoWS发生安全事件难以追稣M限行为可能性级别2描述可能在WindOWS发生安全事件时难以追查来源或非法行为影响级别2描述Windows发生安全事件难以追杳来源或非法行为，对XXX附属儿童医院的管理运营具有轻微影响。风险级别低（5）建设控岫施序号建议控制措施描述1配置适当的Window*系统审核策略根据WindOWS主机的用途及公司的策略,设置适当的审核策略，例如：将“审核策略更改”、“审核登录事件”、“审核对象访问”、“审核过程追踪”、“审核11录服务访问”、“审核特权使
33、用“、”审核系统事件“、审核帐号登录事件、审核帐号管理”设置为成功，失败”.1.2.8. Windows系统事件日志策略配置不当(1)现状描述当前，被检杳WindOWS系统的事件日志策略均为默认，不同版本策略不一，如卜图所示：二笠刷台83点*s数匍Cg耸计答机窗5，为安全配8H3分析.安全日志的保国方法按实要5帐户第SeC1.安全日志最大值81920KB16384KB，jxs三O宴娩日志国备冏去三8c(J+核第88O系统8志大小城大值81920KB16384KBJ用户廖分百JS制本地耒宾组访问安全日志用ee用J女王可室住日S-限制本JS耒宾相方可察统日志BS用已e用.1PB制本地来典柜访可应用
34、程序日志Ba用已启用:14爰磁8等O应用程冷日古奥品方法按垂受三.Ji三to应用程序B*大小得大tfi81920KB16384KB(2)威胁分析事件日志的大小如果过小，则在高负栽服务器上由于产生的事件非常多，可能很快达到日志文件的最大值。达到日志文件圾大值后，历史事件将被按需要覆盖，如果日志文件很快被填满,则可追查的历史时间将大大缩短，不利于安全事件发生时的追查来源和非法行为“XXX应用系统服务器处理员大，事件日志大小最大值配置为至少80MB应足以存储足够的执行审核信息，或根据检查日志的频率、可用磁盘空间等设置为适当值。(3)现有或已计划的安全措施无。风评价风险名称Win1。“、发生安全事件难
35、以追查来源西吃行为可能性级别2描述可能在WindoWS发生安全事件时难以追查来源或非法行为影响级别2描述Windows发生安全事件琲以追查来源或非法行为,对XXX附属儿童医院的管理运营具有轻微影响。风险级别低（5）建幽制措施序号建议控制措施描述1配置适当的WindoWS系统日志策略设置日志文件上限为适当值。1.2.9. WindOWS系统终端服务开放在常规端口（1）当前，被检杳windows系统（192.168023、192.168.4.1）等开放了终端服务（远程京面），并且终端服务开放在常规端口，如卜溷所示：ProcessID：224(svchost.exe)serviceDisp1.ays
36、erviceName:erserv1ceName:Tereina1.Servicesype:sharesaprocesswithotherservicesPXO224Porr1.oca1.XPTCP33890.0.0.0state1.ISTENINGReoreip：Port0.0.0.0:2224（2）威胁分析Windows远程泉面是windows操作系统远程管理的全要手段，默认服务端口为TCP3389,非法者可以轻易根据端口判断为远程Jii面股务，如果非法者通过某种手段获得了管理员帐号，则可以轻易的通过远程桌面服务完全控制生机。如果开放在非常规端口，或者高端端口，则非法者无法轻易获得远程桌面
37、开放的信息，增加r非法者成功登录服务器的难度。（3）现有或已计划的安全措施内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终端的域策略,只能使用特定的业务系统，无法对终端操作系统做更多操作。数据每天进行备份，具有应急系统.Q)XIWt风险名称非法者利用远程桌面登录Wind。、VS系统可能性级别2描述非法者可能利用远程束面登录WindOws系统影响级别3描述作法者利用远程束面登录Windows系统，对XXX附属儿童医院的管理运营具有定影响。风看级别中(5)建议控磷施序号建议控制措施描述1调整远程桌面端口将远程泉面端口设置为非常规端口或高端端口。2设置访问控制策略对所仃相关服务器的远程桌面
38、端口设置必要的访问控制策略，限制非必要客户端对相关服务器的远程桌面端口的访问,1.2.10. Windows系统未禁用Guest账号(O当前，被检查WindoWS系统(192.168.0.56、192.168Q60)的GUCS1.账号未被禁用。如下图所示：用户名全名Guest注程供来客访问计SiW或访与域的内资兴户用户的注狂宫家（地区）代理OOO（系统默认值）怅户启用SZI帐户到期上次设宜密码2006/1/13上午09:00密码到期永不密码H更改2006/1/13上午09:00三要考四NO用户可以更改笆塔NO允许的工作站A1.1.登录脚本用户说理文件OFCSCAN.BAT主目录上次登录永不可允
39、许的登录小时数A1.1.本地组会员全的组成员命令成功完成*Domainusers（2）威胁分析WindoWS系统中，GUCSt默认是禁用的，启用GUeSt账号可能带来一定风险，可能被非法者利用对操作系统进行攻击。（3）现有或已计划的安全措施内网与互联网隔离,终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统，无法对终端操作系统做更多操作.数据每天进行备份，具有应急系统。（4）风!险评价风险名称非法者利用GUCS1.屐号攻击WindCWS系统可能性级别2描述非法者可能利用GUeSI账号攻击WirXioWS系统影碗级别3描述非法者利用Guest账号攻击Windows系统,对
40、XXX附属儿童医院的管理运营具有一定影响.风险级别中（5）建议控IM措施序号建议控制措施描述1立即禁用Guest账号立即将启用的GUeSt账号禁用2为GUeN账号设置强壮密码如果一定要启用Guest账号，则为Guest账号设以强壮密码。1.2.11. Windows系统没有重命名管理员账号现状描述当前，被检行windows系统均没有凿命名管理员账号和Gucst账号。（2）威胁分析Windows2003中两个最常见的己知内St帐户是Gucst和AdminiSIrator。默认情况下，在成员服务器和域控制器上禁用Guest帐户，应当重命名内置的Administrator帐户并更改说明,以便防止攻击
41、者使用己知帐户攻击远程服务器“许多恶意代码的变体在首次尝试攻击服务器时使用内置AdminiS1.ra15帐户。（3）现有或已计划的安断施内网与互联网隔离，终端接入进行控制，终端登录域，具有登录终端的域策略，只能使用特定的业务系统,无法对终端操作系统做更多操作。数据每天进行备份，具有应急系统。（4）风除用价风险名称非法者利用已知Windows管理员账号卷试攻击WindONS系统可级别2I:描述非法者可能利用已知WindoWS管理员账号尝试攻击WindoWs系统。级别3（Yn1.上也涂非法者利用已知Windows管理员账号尝试攻击Windows系统,对XXX附属儿童医院的管理运营具有一定影响。风除级别中（5）建议控IM措施序号建议控制措施描述1重:命名Adinistrator账号揖命名administrator账号，新建个名为administrator的账号,并设置足够强度的密码。1.2.12. Windows系统管理员账号弱口令（1）%t三当前，通过微软MBSA工具枪件，发现被检杳WindoWS系统（192.168070、192.168.0.60192.168.100.150192.168.100.
