22、高风险判定指引与加固对照表
高风险判定指引与加固对照表：以《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）为依据，列出高频高风险项的测评项编号、判定条件与本站加固专篇的对应关系，附使用说明与判定注意事项，作为测评发现问题后选择整改路径的索引入口。
Categories:
少于1分钟
定位：《网络安全等级保护测评高风险判定指引》与本站加固专篇的对照索引表：按高风险项定位测评项编号，直接跳转到对应的加固文章执行整改。
依据：网络安全等级保护测评高风险判定指引（联盟团标）。 用途：测评师出整改单、运维排整改优先级的索引表。高风险判定需同时满足指引中的"判定条件组合"（风险程度与影响），本表仅列可整改的高频项与去向，正式判定以指引原文为准。
使用说明：
- 本文为索引表，不含配置命令：测评发现问题后先在「对照表」按高风险项定位测评项编号，再跳转到对应的加固专篇执行整改；正式的风险判定以《网络安全等级保护测评高风险判定指引》原文为准。
- 高风险判定需同时满足指引中的「判定条件组合」（风险程度与影响范围），本表仅列可整改的高频项与整改去向，不得据本表单条直接下高风险结论。
- 整改结果按「16、安全评估加固记录表3.0」留痕，整改路径按「17、加固方案总纲」的层面矩阵选择；本表列出的对照关系如与新版指引不一致，以指引原文与最新团体标准为准。
不适用标识说明：
- 使用
【不适用】明确标记现场可判定为不适用的项目，并写明判定依据与承载该能力的上位组件。- 依据 GB/T 28448-2019「按测评对象实际承载功能与数据处理范围判定」原则：控制能力由统一认证平台、堡垒机、日志审计系统、终端管理系统、虚拟化平台或云托管平台承载时，应注明测评单元边界后判定不适用或转由上位组件核查，不得机械按缺失判不符合。
- 产品版本确实不提供该能力（如老旧设备无 SNMPv3、无可信根、社区版无审计模块、已停止官方支持的操作系统）时，须核查替代措施并按替代措施的实际效果定档，不得直接判不适用；已停止支持的版本应同时记录升级或补偿控制建议。
- 判定为不适用的高风险项仍须在报告中说明补偿控制与承载该能力的上位组件，不得直接销项。
使用说明
- 复测/整改时从问题清单定位到风险条目 → 查本表"测评项编号"列对回测评报告的条款号、按"加固方向"列 → 执行对应文章 → 用文章中的核查命令验证；
- 高风险项应在整改方案中明确责任人与期限；整改期间如不能立即消除，应评估补偿措施（如网络隔离、WAF 临时策略）并在报告中说明；
- 加固过程留痕用 16、加固记录表。
对照表
| # | 高风险项（常见表述） | 涉及层面/控制点 | 测评项编号 | 典型判定要点 | 加固方向 | 本板块文章 |
|---|---|---|---|---|---|---|
| 1 | 设备/主机/数据库/应用存在弱口令或默认口令 | 安全计算环境-身份鉴别 | 8.1.4.1 a)（身份鉴别信息复杂度与定期更换） | 空口令、与用户名相同、常见弱口令可登录；默认口令未修改 | 强口令+复杂度+有效期策略，改默认口令，删除空口令账户 | 05、06、08、09、11、12、20 |
| 2 | 管理方式明文传输（Telnet/HTTP/FTP 管理设备或主机） | 身份鉴别 c)/通信传输 | 8.1.4.1 c)；8.1.2.2（通信传输保密性/完整性） | 可嗅探获取鉴别信息 | 关闭明文协议，改 SSH/HTTPS/TLS | 02、06、11、19 |
| 3 | 互联网边界无访问控制设备或策略全通 | 安全区域边界-访问控制 | 8.1.3.1（边界防护 a)~e)）、8.1.3.2（访问控制 a)~c)）；8.1.3.2（访问控制） | any to any、默认允许、无边界设备 | 分区+默认拒绝+最小化策略 | 01 |
| 4 | 关键网络设备/安全设备单点无冗余 | 安全通信网络-网络架构 | 8.1.2.1（网络架构 a)~e)） | 核心链路/设备无冗余，单点故障影响业务 | 双机/双链路，属架构整改 | 01 |
| 5 | 未启用任何安全审计或日志留存 <6 个月 | 安全计算环境/管理中心-安全审计 | 8.1.4.3（安全审计 a)~c)）；8.1.5.2（审计管理） | 无审计功能、日志未外发、留存不足 | 开启审计并转发集中日志，留存 ≥6 个月 | 04、05、11 |
| 6 | 数据库无访问控制（如 MongoDB 未启用认证） | 安全计算环境-访问控制 | 8.1.4.2 a)（登录用户分配账户和权限） | 无需认证即可读写业务数据 | 启用认证+角色最小化+网络限制 | 09、12、14 |
| 7 | 无恶意代码防范措施 | 安全计算环境-恶意代码防范 | 8.1.4.5（恶意代码防范） | 主机/终端无防病毒或统一管控 | 部署防病毒并纳入统一管理 | 05、11、13 |
| 8 | 存在可被利用的高危漏洞且无补偿措施 | 安全计算环境-入侵防范 | 8.1.4.4 e)（已知漏洞发现与修补） | SMBv1/永恒之蓝、中间件 Ghostcat、已停维护版本 | 打补丁/升级/禁用组件，临时隔离过渡 | 05、21 |
| 9 | 无重要数据备份或备份不可恢复 | 安全计算环境-数据备份恢复 | 8.1.4.9（数据备份恢复 a)~c)） | 无备份、备份失败未演练、无异地 | 本地+异地备份与恢复演练 | 11、12、14、15 |
| 10 | 应用系统未授权访问/严重越权 | 安全计算环境-应用系统 | 8.1.4.2 a)/f)（账户权限分配、访问控制粒度） | 不登录可访问核心功能、可越权操作他人数据 | 服务端统一鉴权、权限矩阵、修复越权 | 20 |
| 11 | 应用存在默认口令/可获取敏感数据的注入 | 安全计算环境-应用系统 | 8.1.4.1 a)；8.1.4.8（数据保密性）；8.1.4.7（数据完整性） | admin/123456 可登录；SQL 注入拖库 | 改口令、参数化查询、上线前漏扫复测 | 20 |
| 12 | 管理终端可从任意地址接入 | 安全计算环境-入侵防范 | 8.1.4.4 c)（管理终端接入方式/地址范围限制） | 设备/主机管理面未限定来源 | ACL/白名单/堡垒机收敛 | 02、04、06、19 |
判定时注意
- 条件组合：指引对每项给出"判高风险需同时满足"的条件（如暴露面、影响对象等级、是否有补偿措施），不要见关键词就套；
- 补偿措施：已有边界防护/加密/隔离等补偿且有效的，可降级为中低风险，报告中写明；
- 留痕闭环：高风险整改必须有验证记录（命令输出/截图），复测时逐项核对。
参考依据
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（索引、模板与检查表类文章，覆盖 8.1.2~8.1.5 各层面的整改留痕、风险定级与对象选择，不直接对应单一控制点）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》（测评对象边界认定、单元测评实施与结果判定：符合/部分符合/不符合/不适用）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
- GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》、GB/T 25070-2019《安全设计技术要求》、GB/T 28449-2018《测评过程指南》，可在全国标准信息公共服务平台检索：http://openstd.samr.gov.cn/bzgk/gb/
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）——高风险情形判定口径
- 命令核验说明：本文为索引表，不含配置命令，故无命令核验项；对照关系以《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）与本站各加固专篇的现行内容为准（核对日期 2026-09-02）。使用时须注意：① 高风险判定需同时满足指引中的「风险程度与影响范围」判定条件组合，本表仅列可整改的高频项与整改去向，不得据本表单条直接下高风险结论；② 指引原文以站内「联盟团标」页与联盟发布的最新版本为准，本表对照关系如与新版指引不一致，以指引原文为准；③ 判定为不适用的高风险项仍须在报告中说明补偿控制与承载该能力的上位组件，不得直接销项；④ 整改结果按「16、安全评估加固记录表3.0」留痕，整改路径按「17、加固方案总纲」的层面矩阵选择。