所谓高危风险项，就是一旦发现被测系统、设备及环境符合高危风险项中的其中一条，那么测评工作立即停止，被测评单位或组织对测评发现的高危风险项进行整改，整改完成后经复测，符合取消对高危风险项的判定后，才可以继续进行测评任务，也就是说高危风险项具有一票否决权，无论你其他方面做得再好，只要有一条符合高危风险项的判定，是一定不会通过等保测评的，因此高危风险项的测评会放在整个测评的开始。
今天我们就来讲讲这些高危风险项中关于通信网络方面都有哪些，它判定为高危风险项的对应要求、判例内容、适用范围、满足条件、补偿措施、整改建议等，下面我们言归正传。
六、通过默认账户、默认口令即可登录几乎所有的应用系统一开始都会有默认的账户和口令，而且都是超级管理员用户，一些用户为了方便登录，基本上都是不做修改，反正自己也不用超级管理登录维护，万一哪天应用系统有问题了，找来开发商进行维护，问你要超级管理员的账户和密码，你改了但是你忘了那就太尴尬了，默认密码最起码开发商都知道，再不行没准网上一搜就知道了，开玩笑开玩笑。
轻松登录
1、对应要求
应重命名或删除默认账户，修改默认账户的默认口令。
2、判例内容
应用系统默认账号的默认口令未修改，可利用该默认口令登录系统，可判定为高风险。
3、适用范围
所有系统。
4、满足条件（同时）
（1）未修改默认帐户的默认口令；
（2）可使用该默认口令账号登录。
5、补偿措施
无
6、整改建议
建议应用系统重命名或删除默认管理员账户，修改默认密码，使其具备一定的强度，增强账户安全性。
七、存在越权访问一般越权访问包含未授权访问、平行越权、垂直越权。
未授权访问：就是在没有任何授权的情况下对需要认证的资源进行访问以及增删改查。
垂直越权：通过低权限向高权限跨越形成垂直越权访问。
平行越权，顾名思义就是同等用户权限之下，不用进入其他用户的账户也可以对别的用户资料或者订单等信息进行增删改查操作的目的。
非法越权
1、对应要求
应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
2、判例内容
应用系统访问控制策略存在缺陷，可越权访问系统功能模块或查看、操作其他用户的数据。如存在平行权限漏洞，低权限用户越权访问高权限功能模块等，可判定为高风险。
3、适用范围
所有系统。
4、满足条件
系统访问控制策略存在缺陷，可越权访问系统功能模块或查看、操作其他用户的数据。如存在平行权限漏洞，低权限用户越权访问高权限功能模块等。
5、补偿措施
（1）如应用系统部署在可控网络，有其他防护措施能限制、监控用户行为的，可酌情降低风险等级。
（2）可根据非授权访问模块的重要程度、越权访问的难度，酌情提高/减低风险等级。
6、整改建议
建议完善访问控制措施，对系统重要页面、功能模块进行重新进行身份、权限鉴别，确保应用系统不存在访问控制失效情况。
八、前后端均无任何安全审计功能应用系统包括前端系统，一般是指一般使用用户登陆的系统，后台管理系统，一般是指系统管理员登录系统后台进行管理的，安全审计对于这两种用户都要覆盖到，以便对用户发生的行为进行时候的追溯。
安全审计
1、对应要求：应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。
2、判例内容
应用系统（包括前端系统和后台管理系统）无任何日志审计功能，无法对用户的重要行为进行审计，也无法对事件进行溯源，可判定为高风险。
3、适用范围
3级及以上系统。
4、满足条件（同时）
（1）3级及以上系统
（2）应用系统无任何日志审计功能，无法对用户的重要行为进行审计；
（3）无其他技术手段对重要的用户行为和重要安全事件进行溯源。
5、补偿措施
（1）如有其他技术手段对重要的用户行为进行审计、溯源，可酌情降低风险等级。
（2）如审计记录不全或审计记录有记录，但无直观展示，可根据实际情况，酌情降低风险等级。
6、整改建议
建议应用系统完善审计模块，对重要用户操作、行为进行日志审计，审计范围不仅针对前端用户的操作、行为，也包括后台管理员的重要操作。
九、人机接口无任何限制且存在高危漏洞所谓人机接口，最常见的就是我们登录应用系统时的登录入口，也包括注册界面，搜索窗口等需要用户手动输入内容的地方，这些地方一般都会对用户输入的内容进行限制，如果不做任何限制，用户很有可能就会输入一些自己构造的语句在系统执行，从而得到自己想要的信息，或者更直接的上传木马，非法获取我们应用系统的权限。
任意搜索
1、对应要求
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求。
2、判例内容
由于校验机制缺失导致的应用系统存在如SQL注入、跨站脚本、上传漏洞等高风险漏洞，可判定为高风险。
3、适用范围
所有系统。
4、满足条件
（1）应用系统存在如SQL注入、跨站脚本、上传漏洞等可能导致敏感数据泄露、网页篡改、服务器被入侵等安全事件的发生，造成严重后果的高风险漏洞；
（2）无其他技术手段对该漏洞进行防范。
5、补偿措施
（1）如应用系统存在SQL注入、跨站脚本等高风险漏洞，但是系统部署了WAF、云盾等应用防护产品，在防护体系下无法成功利用，可酌情降低风险等级。
（2）不与互联网交互的内网系统，可根据系统重要程度、漏洞危害情况等，酌情判断风险等级。
6、整改建议
建议通过修改代码的方式，对数据有效性进行校验，提交应用系统的安全性，防止相关漏洞的出现。
十、未及时修补已知重大漏洞应用系统会定时或者不定时地发布自己的更新包补丁，用来修补自身所存在的严重漏洞，使用方要及时关注系统开发商发布的这些重要补丁，保障应用系统处于最新版。
及时更新
1、对应要求
应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
2、判例内容
应用系统所使用的环境、框架、组件等存在可被利用的高风险漏洞，导致敏感数据泄露、网页篡改、服务器被入侵等安全事件的发生，可能造成严重后果的，可判定为高风险。
3、适用范围
所有系统。
4、满足条件（同时）
（1）应用系统所使用的环境、框架、组件等存在可被利用的，可能导致敏感数据泄露、网页篡改、服务器被入侵等安全事件的发生，造成严重后果的高风险漏洞；
（2）无其他有效技术手段对该漏洞进行防范。
5、补偿措施
（1）如应用系统使用的环境、框架、组件等存在高风险漏洞，但是系统部署了WAF、云盾等应用防护产品，在防护体系下无法成功利用，可酌情降低风险等级。
（2）不与互联网交互的内网系统，可通过分析内网环境对相关漏洞的影响、危害以及利用难度，酌情提高/降低风险等级。
6、整改建议
建议定期对应用系统进行漏洞扫描，对可能存在的已知漏洞，在重复测试评估后及时进行修补，降低安全隐患。
十一、存在通过验证测试证明可利用的重大安全隐患对于市面上已经发现并且公布的严重漏洞，应用系统应该通过专业的机构测试确保不存在这些漏洞，一经发现要及时修补，并经过专业的测评机构测试后确保漏洞已经不存在。
安全隐患
1、对应要求
应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。
2、判例内容
如应用系统的业务功能（如密码找回功能等）存在高风险安全漏洞或严重逻辑缺陷，可能导致修改任意用户密码、绕过安全验证机制非授权访问等情况，可判定为高风险。
3、适用范围
所有系统。
4、满足条件
通过测试，发现应用系统的业务功能（如密码找回功能等）存在高风险安全漏洞或严重逻辑缺陷，可能导致修改任意用户密码、绕过安全验证机制非授权访问等情况。
5、补偿措施
无
6、整改建议
建议通过修改应用程序的方式对发现的高风险/严重逻辑缺陷进行修补，避免出现安全隐患。
以上就是一项一项教你测等保2.0——高危风险项之应用安全计算环境第二部分的内容，之后我们会继续讲解等保2.0中的其他高危风险项，希望对大家有所帮助，欢迎关注了解更多科技尤其是网络安全方面的资讯和知识。
