2025年"两高一弱"网络安全风险处置工作指南

第一章 工作目标与责任体系

1.1 总体目标

聚焦高危漏洞动态清零、高危端口有效管控、弱口令全面消除三大核心任务，建立"监测-处置-验证-考核"闭环管理机制，确保全年网络安全事件归零。

1.2 责任划分

• 领导小组：网信办牵头成立专项工作组，统筹资源配置与督导考核
• 技术部门：信息中心负责漏洞扫描、端口监测等技术实施
• 业务部门：落实系统整改责任，建立"谁主管谁负责"台账
• 个人用户：签订网络安全责任书，落实终端防护义务

第二章 高危漏洞处置规范

2.1 漏洞发现机制

• 部署Tenable/Nessus等漏洞扫描系统，执行"周扫描+重大节日专项扫描"
• 对接国家漏洞库（CNNVD），建立0day漏洞应急通道
• 引入第三方红队，年度渗透测试不低于2次

2.2 漏洞分级处置

风险等级	CVSS评分	处置时限	验证方式
紧急	≥9.0	24小时	渗透测试复测
高危	7.0-8.9	72小时	漏洞扫描器验证
中危	4.0-6.9	14天	人工配置核查

2.3 补丁管理流程

1. 测试环境验证补丁兼容性（不少于72小时）
2. 制定变更窗口期（建议凌晨0:00-5:00）
3. 实施灰度发布（先核心节点后边缘节点）
4. 生成修复报告（含前后对比截图）

第三章 高危端口治理方案

3.1 端口基线管理

建立"白名单+审批制"管理模式：

• 业务必需端口：提供应用架构图及通信协议说明
• 临时开放端口：最长有效期不超过7天
• 禁用高危端口：135/137/445/3389等必须关闭

3.2 访问控制策略

• 互联网区域：仅开放80/443端口，其他端口通过VPN接入
• 内网区域：实施微隔离，按业务需求开放最小端口范围
• 安全设备：配置IPS特征库拦截异常端口扫描行为

3.3 监控审计要求

• 部署NetFlow分析系统，监测异常端口流量
• 留存6个月完整流量日志（符合等保2.0要求）
• 每月生成端口使用分析报告（含TOP10活跃端口）

第四章 弱口令综合治理

4.1 密码强度标准

• 长度：普通系统≥8位，核心系统≥12位
• 复杂度：包含大小写字母+数字+特殊字符
• 更新周期：不超过90天强制更换
• 历史密码：禁止近5次内重复使用

4.2 技术防护措施

1. 部署密码保险箱（如LastPass）实现集中管理
2. 启用AD域策略强制复杂度要求
3. 对接堡垒机实现高危操作双因子认证
4. 设置账户锁定策略（5次失败锁定30分钟）

4.3 检查与问责

• 每月使用Hydra工具开展弱口令扫描
• 发现弱口令立即重置并通报责任人员
• 年度累计3次违规取消评优资格

第五章 保障机制

5.1 考核指标

• 高危漏洞修复率≥98%
• 非授权端口发现率≤0.5%
• 弱口令存在率≤1‰

5.2 应急演练

• 每季度开展"漏洞利用+横向渗透"红蓝对抗
• 建立"一键断网"应急响应机制
• 完善网络安全事件报告模板（含时间线追溯）

5.3 培训体系

• 新员工必考《网络安全基本法》题库
• 技术岗年度累计培训≥16学时
• 每半年举办CTF实战竞赛（设置专项奖励）