网络实验室系统等保测评报告-正文(10)

网络实验室系统信息安全等级测评报告 [2015]

攻击行为。同时，部署了运维审计平台对服务器、网络设备等进行运维管理，回收了各服务器、网络设备的登录账号和口令，所有服务器、网络设备只能通过运维审计平台进行登录运维，且限制了登录运维审计平台的IP，即限定了管理终端。在一定程度上削弱了主机层面资源控制和应用层面通信保密性的脆弱性。通过对ESXi密码复杂度的控制，以及几乎不使用该密码登陆ESXi，在一定程度上削弱了ESXi不能定期更改密码的脆弱性。通过对ESXi访问地址的限制，以及ESXi是基于Linux的内核，在一定程度上削弱了ESXi未安装杀毒软件的脆弱性。西科大具有成体系的管理制度，削弱降低了系统建设管理上没有在制度对外包软件需提供源代码安全及系统运维管理上介质没有归档和查询过程记录的不足。

5.3区域间安全测评

区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。安全功能上的增强和补充可以使两个不同区域上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个区域上的安全功能影响另一个区域安全功能的发挥或者给其带来新的脆弱性。

该院内外网物理隔离。内网进行了有效的区域划分，各区域之间接入核心交换机，并于内网各区域间进行了VLAN划分，各VLAN间通过核心交换机的访问控制列表实现安全控制，因此，该系统与其他安全区域之间不存在安全功能上的削弱。

正文 第37页/共58页

网络实验室系统信息安全等级测评报告 [2015]

6 测评结果汇总

西科大网络实验室系统经整体测评后的测评结果以表格形式汇总如下。 西科大网络实验室系统经整体测评后的测评结果以表格形式汇总如下。表格中使用不同颜色对测评结果进行区分，测评结果为部分符合的指标子类采用黄色标识，不符合的指标子类采用红色标识。

表6-1测评结果汇总表

符合情况 序号 1 2 3 网络安全 4 5 6 7 8 9 主机安全 10 11 12 13 应用安全 入侵防范 恶意代码防范 资源控制 身份鉴别 √ √ √ √ 边界完整性检查 入侵防范 网络设备防护 身份鉴别 访问控制 安全审计 √ √ √ √ √ √ 安全分类 安全子类 符合 结构安全 访问控制 安全审计 √ √ √ 部分符合 不符合 不适用 正文 第38页/共58页

网络实验室系统信息安全等级测评报告 [2015]

符合情况 序号 14 15 16 17 18 19 20 21 合计 安全分类 安全子类 符合 访问控制 安全审计 数据保密性 通信完整性 数据完整性 通信保密性 软件容错 资源控制 √ √ √ √ √ 10 部分符合 √ 7 不符合 √ √ 4 不适用 正文 第39页/共58页

网络实验室系统信息安全等级测评报告 [2015]

7 风险分析和评价

本项目依据等级保护的相关规范和标准，采用风险分析的方法分析信息系统等级测评结果中存在的安全问题可能被威胁利用的可能性和后果，综合判定给出信息系统面临的风险值。安全问题的风险值如下：

表7-1风险分析评价表

序号 问题类别 安全问题 关联资产 关联威胁 后果 风险值 攻击者可通过网络安1 全 如设备默认没有配置登录失败策略，则该设备未对登录失败采取相关措施 业务数据 恶意攻击 探、破解，更容易入侵系统 越权访问本来无权访问的资主机安2 全 没有限制每个用户对资源的最大或最小使用限度 越权或滥业务数据 用 己的权限破坏信息系统 能访问该系统应用安3 全 未开启密码复杂度检测功能，部分用户密码为简单密码 他人的账号 业务数据容易应用安4 全 没有利用密码技术进行会话初始化验证 web系统 泄密 被窃取泄露给不应了解的他正文

第40页/共58页

不限次数的嗅低 源，或者滥用自低 web系统 泄密 的人员可尝试低 低 网络实验室系统信息安全等级测评报告 [2015]

序号 问题类别 安全问题 关联资产 关联威胁 后果 风险值 人 操作系统、应用Portal模块为所有功能的应用安5 全 入口，当它故障时，系统其他功能不能使用，但主机层实现了容灾功能 软件由于设计web系统 软件故障 缺陷等发生故障 没有限制最大低 应用安6 全 应用系统没有限制最大并发数 web系统 业务拥堵 并发，容易造成dos攻击 低 应用安7 全 应用安8 全 应用安9 全 会话空闲时没有自动结束会话，但会锁定系统界面 信息泄露给不web系统 泄密 应了解的他人 否认所做的操web系统 抵赖 作 入侵电脑得到低 低 没有对单个用户的多重并发进行限制 访问控制 设置密码 入侵 电脑中的信息 高

正文 第41页/共58页