一、概述

1.1 关于报告

保险行业是我国金融领域重点行业之—，自中国保险市场起步以来，信息与通信技术就在保险业得到了广泛应用。但随着网络技术的深入发展和应用，保险公司计算机网络日趋复杂，网络安全问题日益突出。

“安全值”利用大数据分析技术，从互联网的角度重点分析了从事财产保险和人寿保险的两大类保险公司的网络安全状况。

本报告参照保监会发布的“2017年保险公司服务评级”，以两类保险公司的服务能力为基础，将国内的保险公司分为9个等级：AA、A、BBB、BB、B、CCC、CC、C、D。

同时，报告还分析了保险业的互联网资产情况，包括注册的域名、线上的主机、IP网络，以及公有云迁移的情况。云技术的应用在优化了IT资源的同时，也使网络威胁发生变化，公有云系统成为了—个新的风险点。

报告对6种典型的互联网威胁事件进行分析，对2个领域共9个级别的117家保险公司进行综合评分，评估这些组织的安全风险。评分基于客观、明确的外部安全数据，通过建立多维度评价指标，经过科学算法计算形成，主要用于相同测量标准下的安全状况和趋势差异对比。

1.2 名词解释

• 四维评价：报告中“安全值（R值）”代表组织当前面临的风险状况，而非安全能力评价，分数越高代表了组织面临的风险越高，反之风险较低；“安全值（S值）”代表组织互联网资产数量，数值越高代表互联网暴露资产数量越多；“安全值（P值）”代表组织互联网信息访问群体统计，数值越高代表组织互联网信息被访问人群覆盖面越大；“安全值（T值）”代表组织安全值趋势走向，分值越高代表风险管理良好，负值代表安全值走势较差，面临的互联网风险在增加。
• 安全漏洞：主机操作系统和安装的组件存在的严重高危漏洞，会使服务器遭受病毒或黑客入侵，引起信息泄露或篡改。
• 网络攻击：企业在互联网上的应用系统或网络遭受到DDOS拒绝服务攻击，包括TCP攻击或UDP攻击的报警信息，拒绝服务攻击通过流量攻击的方式攻击系统或网络，过大的攻击流量会引起服务中断。
• 垃圾邮件：组织邮箱服务器被列为垃圾邮件发送域，一旦被反垃圾邮件设备拦截，将导致用户可能无法正常使用邮件。
• 恶意代码：来自国内外安全厂商的恶意代码检测结果，系统可能已经被植入后门、病毒或者恶意脚本。
• 僵尸网络：组织服务器被攻破，被当做“肉鸡”不断向外部发起扫描或者攻击行为，服务器主机可能被入侵，存在后门被远程控制。
• 黑名单：域名或者IP地址被权威黑名单机构列入黑名单，用户的正常网页访问可能被浏览器拦截或者IP网络通讯被防火墙阻断。

二、保险与各领域风险矩阵

2.1 各领域安全风险与规模

我们对部分行业的互联网资产规模与安全性做出统计与分析，发现结果如上图所示：行业的资产与风险基本呈正向分布，企业的互联网资产越多，面临的网络安全风险越高，可见资产规模越大的企业越需要强力且有效的风险控制能力来保障自身信息系统以及网络的安全；而金融行业中的银行、证券、保险行业的网络安全风险不符合上述规律，主要与这几大金融领域的流行程度有关。

2.2 保险行业安全数据概况

安全值对2018年第一季度全国保险公司（保监会“保险公司服务评级名单”中的117家保险公司）的互联网资产与面临的网络风险进行了重点分析，发现保险行业共有互联网资产19767个，其中域名276个，主机12212个，IP地址7279个；网络风险共计7105个，其中包括安全漏洞384个，网络攻击6329次，邮箱被封16次，域名信息泄露108条，僵尸网络187次，恶意代码72个，另外还发现共9条资产被列入黑名单。

三、两类保险公司风险概况

3.1 2018年第一季度保险行业四维评价

保险行业第一季度四维评价

如上表所示，相比前一年，2018年一季度保险行业总体风险呈升高趋势，总体处于“高风险”水平（风险评分小于600分）；人寿保险的资产规模略大于财产保险公司，两类公司的访问流行度差别不大，在金融行业中拥有较高流行度。

3.2 庞大的资产规模带来较高安全风险

资产规模最大的10家保险公司：

资产规模前10位的保险公司以AA与A级保险公司为主，庞大的资产规模成为了上述公司信息系统管理的难题，同时也带来了较高的网络风险，上述10家公司的平均R值为349，整体存在较高风险（R≤599）。业务的复杂性及资产的数量决定了组织将面临更多的风险。

3.3 资产数据概况

两类保险公司互联网资产详情

资产方面，财险公司的平均资产为118个、人寿保险公司的平均互联网资产为166个，略多于财险公司；33%的财产保险和46%人寿保险公司有云资产在使用中，可见保险公司对于使用第三方云服务持较为开放的态度。

3.4 访问流行度高的机构面临风险较高

我们按照组织互联网资产在网络访问的流行度进行整理，列举了访问流行度最高的10家机构，我们发现流行度最高的10家保险公司的风险指数全部低于500分，说明面临的网络风险较高；流行度较高的保险公司，客户关注度较高，由外部风险导致的安全事件可能造成信誉损害或业务中断。

四、保险公司第一季度安全风险总览

4.1 AA类、A类保险机构面临风险最严重

风险指数越低代表风险越高

4.2 各类安全风险影响保险机构分布情况

本次报告涉及的2类保险公司风险总览如下：

2018年第一季度出现风险的保险公司占总数量的比例

对保险行业2大类公司分析后，发现存在共性问题：50%的财产保险公司与58%的人寿保险公司都出现了安全漏洞，分别比去年统计结果增长3%和2%；网络攻击发生相比2017年略有减少，遭受DDOS攻击的财产保险公司减少近一半，遭受DDOS攻击的人寿保险公司数量也降低了近30%；同时恶意代码、僵尸网络和进入IP黑名单的保险公司也有下降，但几乎所有保险公司都存在域名注册人信息泄露问题，需要及时修复该风险。

五、网络风险详细说明

5.1 安全漏洞

2018年一季度中发现安全漏洞384个，出现数量较多的安全漏洞见下表所示：

出现数量排名前10位的安全漏洞（总名单见附录）

CVE漏洞比较容易被攻击者利用，会为攻击提供更便利的途径，对保险公司的信息系统威胁较大，需要根据各种漏洞的特点实施修补。

5.2 网络攻击

2018第一季度，两类保险公司攻击遭受DDOS攻击6329次，其中70.7%的DDOS攻击属于udp放大攻击，另外28.6%的DDOS流量属于tcp半连接攻击，此外还有极少量其他类型的流量攻击。通过优化服务器组件可对异常的连接进行快速处理，加上采用流量清洗服务方式可实现不同程度的DDOS防护。

两类保险公司遭受DDOS攻击的类型分布情况见下图示：

六、更多信息

本报告由“安全值”团队提供，如需更多、更详细数据请与我们取得联系。安全值是国内首个安全评价服务（SRS，Security Rating Service）。目前正面向企业提供免费评估服务，您可访问安全值免费评估网站来获取您的企业评估报告。我们同样面向全国各行业的安全状况进行分析。如果您需要长期订阅安全值分析报告，可扫下方二维码进入“牛市”来订阅安全值年服务（全年每月一份安全值评估报告）。

七、附录

7.1 安全漏洞列表（按数量降序排列）

7.2 财产保险公司列表（随机排序）

7.3 人寿保险公司列表（随机排序）