"安网2016"网络安全专项治理行动通报(第一期)

16.12.2015  12:51

近期,广东网警组织对部分重点网络进行了排查,发现102个重要系统和网站存在127个高危漏洞。主要问题如下:

一、安全意识不强,弱口令问题仍然多发。 排查发现28个重点网站的管理后台存在只有数字或字母的弱口令问题,黑客可通过简单的暴力破解,直接登陆管理后台,浏览、下载和删改各类信息数据。

安全提醒:一是请相关单位尽快修改密码,将密码改为由“数字+字母+符号”组成,且超过8位。二是调整网站管理后台的访问控制策略,防止未授权的网络访问。

二、开发平台漏洞,引发群体性安全风险。 由于一些建站平台自身的安全缺陷,造成基于该平台搭建的网站存在同一高危漏洞,安全风险大面积存在。如本次排查发现基于某平台搭建的高危重点网站就有28个。

安全提醒:建站平台开发者应专门跟踪平台的安全情况,一旦出现安全漏洞,及时向相关单位预警;尽快发布漏洞补丁或修补措施,并通知使用单位修补。

三、网站集中部署,一处漏洞导致多点爆发。 某县级市将本地23个重点网站部署在同一服务器上,由于其中1个网站存在高危漏洞,导致其他22个网站都存在安全风险。

安全提醒:网站要安装防篡改软件,定期开展技术漏洞检测,发现问题及时整改。同一服务器建站的,要加强网站之间的访问控制,如采用虚拟机隔离、服务器用户权限控制或使用第三方强访问控制软件等。

四、系统防护薄弱,容易造成个人信息泄露。 排查发现某市一医院的信息系统存在严重的高危漏洞,该漏洞会导致在医院就诊的12万多名患者的身份证、生日、住址、联系电话等隐私信息泄露。省内某电视台的内部管理系统也存在严重问题,数据库可被“脱库”,内部员工的账号密码和详细资料一览无余。

安全提醒:一是“进不来”。重要系统上线前要等级测评和风险评估,测评合格方可投入使用;定期组织系统技术扫描和技术渗透,及时排查安全问题。二是“拿不走”。加强对用户操作(下载和改删)重要敏感信息的严格控制和审计,对进出网络的敏感信息进行过滤。三是“看不懂”。重要敏感信息要采用加密的方式进行存储和传输。

(平安南粤网 编辑:飘云)