朱犇，陈梦娴，孙望舒，戴文博

（国网浙江省电力有限公司温州供电公司，浙江温州 32500）

1 引言

2017年5月12日，WannaCry勒索病毒事件全球爆发，利用了微软公司Windows操作系统的SMB服务漏洞（MS17-010）进行传播感染，两天时间，约2242.3万个IP地址遭受“永恒之蓝”漏洞攻击。2017年12月15日， Oracle WebLogic存在CVE-2017-3506/CVE-2017-10352漏洞，被挖矿程序Watch-smartd所利用。2018年2月28日，知名代码托管网站 GitHub 遭遇了史上最大规模的 DDoS 网络攻击，每秒 1.35 TB 的流量瞬间冲击了这一开发者平台，攻击者利用了基于 Memcached 的超放大攻击。以上所有的这些安全事件受影响的设备基本都是暴露在互联网上的，因此掌握企业资产在全互联网中的暴露情况非常值得关注。

近年来互联网大发展，正逐渐改变企业办公、系统运维的工作方式，同时推动了生产系统的更新换代和生产方式的变革。因企业业务需要I T 业务系统越建越多，资产暴露面越来越大，给别有用心者更多可乘之机，甚至导致灾难性的破坏。

企业信息化工作经过数年发展，业务系统、互联网业务、手机应用已经得到了推广，但随着业务发展系统建设仍在不停发展，未经报备私搭私建的情况仍然存在。这些业务系统未经上线安全评估，存在极大的安全风险。主要表现在两个方面，一是多数应用使用未经安全检测的第三方应用，二是系统开发人员安全意识薄弱，业务安全漏洞层出不穷。

对于日常安全管理来说，基于上述情况，主要要求业务部门做上线前安全评估，通过系统安全检测挖掘安全风险，检测通过方可上线运行，同时发布上线前安全管理办法，从管理维度进行约束。……