基于WSUS的校園漏洞掃描及修復(fù)技術(shù)

摘 要：針對校園群體的特殊性，設(shè)計了基于WSUS服務(wù)的校園漏洞掃描及修復(fù)算法，綁定到校園上網(wǎng)客戶端上，定時掃描PC機(jī)漏洞，采用數(shù)據(jù)庫校驗、FTP服務(wù)器高速下載以及后臺無界面安裝的形式，不影響客戶正常使用，時刻保持PC機(jī)清潔無漏洞。并做日志記錄，確保PC機(jī)漏洞的完整修復(fù)，從而保障校內(nèi)大網(wǎng)絡(luò)的安全。

關(guān)鍵詞：WSUS；漏洞掃描；漏洞修復(fù)；網(wǎng)絡(luò)安全

中圖分類號：TP393.08

隨著網(wǎng)絡(luò)應(yīng)用的普及，國內(nèi)信息化水平的快速提高，網(wǎng)絡(luò)用戶數(shù)量迅速提升，網(wǎng)絡(luò)安全問題顯得越來越重要，現(xiàn)在的網(wǎng)絡(luò)應(yīng)用已經(jīng)涉及到用戶的個人隱私，涉及到用戶的銀行賬戶等等，一旦遭遇網(wǎng)絡(luò)攻擊，將會對個人用戶造成很大損失，如果是企業(yè)，甚至是國家的網(wǎng)絡(luò)遇到安全問題，那將是毀滅性的。然而，校園網(wǎng)一般都是最先接觸和應(yīng)用最先進(jìn)的網(wǎng)絡(luò)技術(shù)，且用戶群體大，安全意識又不高，極容易遭遇入侵，造成對校內(nèi)師生的個人損失。不僅如此，校園內(nèi)包含很多機(jī)密甚至絕密的信息，還有大量學(xué)生及教師的個人信息，校園信息內(nèi)網(wǎng)聯(lián)通，一旦黑客通過學(xué)生或教師個人計算機(jī)做跳板，攻擊校園服務(wù)器，校園的損失是不可估量的。目前最容易的攻擊個人計算機(jī)的方式就是通過操作系統(tǒng)漏洞或軟件漏洞，因此校園內(nèi)的漏洞掃描及修復(fù)工作成為校園安全的一道保護(hù)墻。

針對校園團(tuán)體的特殊性，我們研究了基于微軟WSUS漏洞更新服務(wù)和MSSQL作為數(shù)據(jù)存儲的漏洞掃描及修復(fù)技術(shù)，以綁定到學(xué)生上網(wǎng)客戶端的形式，利用內(nèi)網(wǎng)速度優(yōu)勢后臺無界面的定時漏洞掃描及漏洞修復(fù)，讓學(xué)生和教師在不影響正常使用的情況下，不知不覺的完成個人計算機(jī)的漏洞掃描及修復(fù)，保障校園網(wǎng)絡(luò)安全。

1 WSUS服務(wù)的相關(guān)配置

1.1 WSUS服務(wù)簡介。WSUS即Windows Server Update Services的簡稱，是微軟推出的免費的Windows更新管理服務(wù)。除了支持Windows操作系統(tǒng)的更新管理外，還可以支持Office、Exchange、SQL Sever等軟件產(chǎn)品。

目前WSUS最新版本是WSUS 3.0，它除了繼承2.0的優(yōu)點外，還增加了以下一些主要新特性：（1）從管理控制臺管理WSUS：WSUS 3.0管理控制臺已從基于Web的控制臺變?yōu)镸icrosoft管理控制臺3.0版的一個插件，操作更加方便；（2）配置向?qū)В菏褂孟驅(qū)渲冒惭b后的任務(wù)，指導(dǎo)新用戶進(jìn)行安裝后的服務(wù)器配置過程，每一步都有提示操作，用戶管理操作都非常便利；（3）準(zhǔn)確性更高的多個報告：現(xiàn)在可以直接從更新視圖生成報告。可以報告更新的子集，如計算機(jī)需要但還未批準(zhǔn)安裝的安全更新或計算機(jī)需要已經(jīng)批準(zhǔn)安裝的安全更新；（4）可使用清除向?qū)姆?wù)器中刪除舊的計算機(jī)、舊的更新和舊的更新文件，減輕客戶機(jī)的負(fù)擔(dān)，加快客戶機(jī)的運行速度；（5）更快獲得更新：使用WSUS 3.0，可以將服務(wù)器配置為最快每隔一小時自動同步更新一次；（6）采用更快的性能：WSUS 3.0可獲得比WSUS 2.0高大約50%的可伸縮性。

1.2 WSUS校園運行方案。WSUS的運行機(jī)制是：首先，WSUS服務(wù)器通過互聯(lián)網(wǎng)與Windows Update連接并獲得更新程序，這些更新程序主要包括為Feature Pack，Service Pack、安全更新程序、定義更新、更新程序、更新程序集、工具、關(guān)鍵更新程序、驅(qū)動程序等，我們稱這個過程為同步過程。

之后可以配置WSUS自帶的客戶端自動更新功能更新補(bǔ)丁，但這種方案需要學(xué)生在自己的PC機(jī)上進(jìn)行修改組策略和修改注冊表等復(fù)雜的配置，并無法做日志，無法確保每臺校內(nèi)計算機(jī)都做了最新的補(bǔ)丁修復(fù)，因此，我們采用MSSQL做漏洞編號記錄和記錄日志功能，F(xiàn)TP服務(wù)器做補(bǔ)丁存儲的可保證的漏洞掃描及修復(fù)方案。

1.4 WSUS服務(wù)器配置。從微軟網(wǎng)站下載WSUS安裝程序，目前最新版本為WSUS3.0，安裝WSUS 3.0時，需要安裝IIS服務(wù)和net2.0組件以及MMC 3.0控制臺程序，否則將不能使用WSUS管理UI。在“網(wǎng)站選擇”頁中，指定WSUS 3.0將使用的網(wǎng)站。若在端口號80上使用默認(rèn)IIS網(wǎng)站，請選擇第一個選項；若端口號80己經(jīng)有一個網(wǎng)站，可以通過選擇第二個選項在端口號8530上創(chuàng)建備用站點。

在完成WSUS的安裝后，安裝程序會自動跳轉(zhuǎn)到“WSUS配置向?qū)А薄＿B續(xù)單擊“下一步”，直到選擇“上游服務(wù)器”，在這里選擇“從Microsoft Update進(jìn)行同步”。選擇校內(nèi)常用Windows系統(tǒng)，如Windows XP、Windows Vista、Windows 7、Windows 8等Windows系統(tǒng)的更新，以及常用校園軟件Office、.NET Framework等軟件的更新，定時1小時同步一次，同步的補(bǔ)丁編號保存到數(shù)據(jù)庫，補(bǔ)丁包同步到FTP服務(wù)器上，并在數(shù)據(jù)庫做標(biāo)示，搭建好服務(wù)器的補(bǔ)丁池。

2 MSSQL數(shù)據(jù)庫設(shè)計

4 結(jié)束語

通過對WSUS服務(wù)實現(xiàn)對校園PC漏洞實時掃描及修復(fù)的研究，了解到WSUS服務(wù)的強(qiáng)大功能，學(xué)習(xí)到.NET中WMI以及Windows API的使用?，F(xiàn)在的校園仍然面臨著很多問題，漏洞修復(fù)只是其中之一，今后面向校園的校園類軟件會越來越多，實現(xiàn)的功能也將越來越豐富，我們下一步研究的是關(guān)于校園保密文件粉碎功能的實現(xiàn)。

參考文獻(xiàn)：

[1]劉戰(zhàn)武.構(gòu)建基于WSUS的內(nèi)網(wǎng)補(bǔ)丁升級服務(wù)器[J].科技創(chuàng)業(yè)家，2013（11）：56.

[2]黃耀鋒，孫劍.WSUS在內(nèi)網(wǎng)機(jī)房中的架構(gòu)與實現(xiàn)[J].科技資訊，2011（33）：19.

[3]肖紅.WSUS服務(wù)器在圖書館網(wǎng)內(nèi)的架設(shè)[J].圖書館學(xué)刊，2010（09）：95-97.

作者簡介：莫新宇（1992-），男，北京房山人，學(xué)生，研究方向：網(wǎng)絡(luò)工程。

作者單位：北京信息科技大學(xué)計算機(jī)學(xué)院，北京 100101