XXXXXX网风险评估报告
一、网络单元概况
XXXXXX网核心服务器和网络接入由阿里云提供。用户和管理员可通过PC、手机经互联网用https协议访问网站内容。硬件设备使用一台1核2G阿里云服务器，服务器位置位于阿里云计算有限公司浙江杭州机房。服务器操作系统为CentOS8，网站基础软件采用Nginx+php7.2+mysql8架构，网站短信服务由阿里云短信平台提供。网站网络边界使用阿里云安全防护预警防火墙提供保护。网站数据实施了本地和异地定期备份。
本网站网络拓扑如下图。
二、风险评估测试内容
包括所开展的漏扫、渗透等评估过程简要描述
1、端口开放情况。
防火墙一共开放5个tcp端口，分别用于https、http、ssh、数据库、服务器后台管理，其余端口全部关闭。
2、系统漏洞扫描情况。
∙禁止SSH空密码登录：无风险
∙系统后门用户检测：无风险
∙CVE-2021-4034 polkit pkexec 本地提权漏洞检测：无风险
∙检测MySQL root用户是否具备数据库备份权限：无风险
∙Docker API 未授权访问：无风险
∙检测已启用的FTP服务弱口令：无风险
∙Mysql 弱口令检测：无风险
∙检测MySQL root用户是否具备数据库备份权限：无风险
∙PHP未禁用危险函数：无风险
∙PHP存在版本泄露：无风险
∙检测当前Redis密码是否安全：无风险
∙检测当前Redis是否安全：无风险
∙检测所有已部署安全证书的网站是否过期：无风险
∙SSH 最大连接数检测：无风险
∙SSH过期提前警告天数：无风险
∙/etc/profile用户缺省权限检查：无风险
∙/etc/bashrc用户缺省权限检查：无风险
∙/etc/csh.cshrc用户缺省权限检查：无风险
∙检测文件回收站是否开启：无风险
∙检测是否开启系统防火墙：无风险
∙开启地址空间布局随机化：无风险
∙检测当前Memcached是否安全：无风险
∙检测当前服务器的MySQL端口是否安全：无风险
∙Nginx 版本泄露：无风险
∙检测所有网站是否部署安全证书：无风险
∙检测是否安装WAF防火墙：无风险
∙检测所有网站日志保存周期是否合规：无风险
∙SSH 空闲超时时间检测：低风险
∙SSH密码复杂度检查：低风险
∙ssh工具手机版检查SSH密码失效时间：低风险
∙检查SSH密码修改最小间隔：低风险
∙SSH密码长度度检查：低风险
∙检测是否禁止ICMP协议访问服务器：低风险
3、渗透测试情况。
（1）测试工具：WVS程序安全测试工具，Nmap网络扫描和嗅探工具包，Burpsuite网络抓包工具，对网络的数据包传输进行抓取。
（2）测试方法：通过端口扫描或主机查看，确定主机所开放的服务。来检查是否有非正常的 服务程序在运行。通过工具软件 Nessus 进行主机扫描，通过 WVS 进行 WEB 扫描，通
过 Nmap 进 行端口扫描，得出扫描结果。三个结果进行对比分析。对工具扫描结果进行人工检测，来判定问题是否真实存在。
（3）测试风险情况记录。
攻击者可通过工具或者人工猜解获取管理后台 url 地址，低风险。
可利用工具列出数据库名和数据表中部分非核心字段内容，低风险。
系统一直受到外部SSH登录攻击，尚未发现攻击成功情况，低风险。
三、风险评估测试结果
本次风险测试共发现2个类型的中风险漏洞，1个类型的低风险漏洞。这些漏洞可以直接登陆 web 管理后台管理员权限，同时可能引起内网渗透。系统总体安全程度良好，存在少量系统安全漏洞和渗透风险，可以通过后期整改修正。
四、测试人员信息
1、姓名：AAA，所属单位：XXXXXXXXXX有限公司信息部
2、姓名：BBB，所属单位：XXXXXXXXXX有限公司信息部
3、姓名：CCC，所属单位：XXXXXXXXXX有限公司财务部
五、风险值计算
根据YD/T 1730-2008《电信网和互联网风险评估实施指南》中附录B中相关要求，按相乘法计算本网络单元风险值如下：
风险值=资产价值×威胁值×脆弱性值=1×2×2=4
风险值对应的风险等级为1级。
六、网络单元安全隐患（脆弱性）情况说明
1、隐患描述及位置
主要隐患为服务器SSH登录相关设置、网站后台登录地址保密性、网站数据库管理权限等三个方面存在一定风险。
2、隐患的威胁分析
本次风险测试共发现2个类型的中风险漏洞，1个类型的低风险漏洞。这些漏洞可以直接登陆 web 管理后台管理员权限，同时可能引起内网渗透。系统总体安全程度良好，存在少量系统安全漏洞和渗透风险，可以通过后期整改修正。
七、隐患整改建议和整改情况
1、修正服务器SSH登录设置，已整改。
2、修改管理后台 url，已整改。
3、修正数据库管理权限，已整改。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。