针对近期连续出现企业系统使用安全问题，部电管局经过多方了解情况，现对加强企业侧备案系统安全措施提出如下建议措施和要求： 1.对企业系统安全性的要求 根据去年系统建设期间下发的《接入服务提供者互联网站备案管理功能要求》系列技术规范中第1部分对于企业侧备案系统安全可靠性设计原则中规定：“从系统安全、数据安全、网络安全等多方位保证系统的安全可靠性。采用高强度的身份认证、访问控制及数据加密等安全机制实现对用户的登录认证、访问授权和安全审计，防止来自系统内部和外部的威胁，保证系统运行正常，防止信息被窃取、假冒或篡改。建立完善的数据备份与恢复机制保证整个系统可用性和可靠性”。 2.目前企业系统问题分析 目前企业系统主要存在三方面安全隐患： （1）企业系统安装后没有变更初始密码或账号密码设置强度不够，可能造成企业侧备案系统管理账号被盗取。 （2）备案信息以xml文件格式下发至企业侧备案系统，企业侧备案系统对xml文件下载路径没有隐藏，没有禁止他人访问安全设置，可能造成备案信息被他人恶意浏览、下载。 （3）用户权限的安全漏洞，企业侧备案系统管理员用户权限可能被恶意篡改，将普通用户权限升级为超级管理员。 3.企业备案系统安全措施 根据目前企业侧备案系统出现的安全问题，建议各接入服务单位加强对本单位企业侧备案系统的账号密码管理，制定相应的系统安全维护责任制，并从技术手段上采取以下的安全措施进行防范： （1）加强管理员账号密码的强度。限制管理员账号使用简单密码，例如连续数字、相同字母、小于8位的长度、与用户名同名的密码等；建议采用8位以上包含数字、字母和特殊字符在内的、非特定单词的复杂密码。 （2）规范对账号密码的管理 限制同一管理员账号的密码尝试次数，当登录尝试失败次数过多时，系统可在某时间段内禁止其登录； 管理员要定期更改密码； 备案系统的开发企业分配给各个接入商用户的管理员初始密码不应相同； 管理员要及时更改初始密码； 密码的存储不要以明文的方式存储在数据库中。 （3）加强管理员登录时的验证手段，例如采取如下手段： 管理员登录时，其账号与特定的IP地址绑定，只有允许的IP地址方可登录； 管理员登录时，采用密钥或证书登录，拥有合法的密钥或证书方可登录； 管理员登录时，采用邮箱验证码或手机验证码，只有验证通过方可登录。 （4）加强对系统用户权限的检查 在浏览器中分别以网站主办者和系统管理员的身份登录并进入备案系统，在网站主办者的界面下，输入系统管理员界面对应的网址，检查是否可以直接登录系统管理员的界面；如果可以，则说明存在用户权限的安全漏洞； 在浏览器中以网站主办者的身份登录并进入备案系统，输入不属于其权限的备案信息xml文件或文件夹所在地址，检查是否可以直接浏览或下载xml文件；如果可以，则说明存在用户权限的安全漏洞； 对于存在安全漏洞的企业系统，建议其通过软件升级的办法予以解决。 （5）加强备案系统所在服务器端的安全 系统应及时做好升级和补丁修补工作； 系统的防火墙只开启必要的端口； 数据库服务器不建议直接连接到互联网，防止数据库被攻破； 对数据库中的数据进行定期备份，防止数据库被攻破或数据被篡改后无法恢复原有数据。 4.建立企业系统安全措施检查机制 各省管局应及时发现解决本省接入省级备案管理系统中的企业系统的安全问题，对相关接入服务单位的账号密码管理及安全措施的设定情况进行定期检查。如发现企业侧系统发生重大安全漏洞事件，应及时采取应急措施，并向部电管局报告。
本文出自快速备案，转载时请注明出处及相应链接。
本文永久链接: https://kuaisubeian.cc/4110.html
