高校敏感信息安全及APT防護(hù)建議

崔澤源

摘 要 本文探討了校園信息化所帶來的敏感信息泄露風(fēng)險。通過介紹校園網(wǎng)滲透測試過程，指出常見安全漏洞和隱患，提出高校信息安全防護(hù)建議。

【關(guān)鍵詞】信息安全 高校 高級持續(xù)威脅

1 引言

校園信息化將學(xué)生與教職工敏感數(shù)據(jù)托付于云端，在獲得信息化管理便利的同時也增加了敏感數(shù)據(jù)泄露的風(fēng)險。當(dāng)前高級持續(xù)威脅（Advanced Persistent Threat，APT）頻繁發(fā)生。攻擊者針對特定目標(biāo)進(jìn)行持續(xù)攻擊以達(dá)到控制目標(biāo)的效果。攻擊者一般為了滿足技術(shù)好奇心自我炫耀，或受經(jīng)濟(jì)利益驅(qū)使，持續(xù)向某一目標(biāo)進(jìn)行攻擊，以獲取政治、軍事、個人或企業(yè)的內(nèi)部敏感信息。與已知攻擊模式相比，APT的特點(diǎn)有：目標(biāo)特定性，攻擊手法針對性，隱匿性與持續(xù)性。由此得出，擁有大量敏感數(shù)據(jù)的現(xiàn)代高校很容易受到APT攻擊。根據(jù)APT攻擊校園網(wǎng)特點(diǎn)做好安全防護(hù)，是信息化運(yùn)維工作的重中之重。

過去，高校網(wǎng)絡(luò)安全保障的做法通常是建立私有內(nèi)網(wǎng)，并將內(nèi)網(wǎng)設(shè)備劃為信任域（Trust Zone）。近期勒索病毒（WannaCry）在中國高校，機(jī)關(guān)的肆虐，不僅證明了APT攻擊方式的威力與破壞性，更為我們敲響了警鐘：內(nèi)外網(wǎng)分離而疏于內(nèi)網(wǎng)維護(hù)的做法，是落后的，脆弱的，不安全的。維護(hù)人員應(yīng)采取更新的網(wǎng)絡(luò)架構(gòu)，用更積極的態(tài)度主動應(yīng)對安全威脅，注重內(nèi)網(wǎng)與敏感數(shù)據(jù)安全。

2 高校敏感信息

高校信息一般包括招生考試信息、財(cái)務(wù)資產(chǎn)收費(fèi)信息、人事師資信息、教學(xué)質(zhì)量信息、學(xué)生管理服務(wù)信息等。其中學(xué)士和教職工的個人信息是最敏感信息。

2.1 學(xué)生信息類

在大部分高校，學(xué)生的個人信息通常以電子學(xué)籍的方式進(jìn)行儲存，其中包括學(xué)生的生日、身份證號、學(xué)籍號、手機(jī)號、宗教信仰、家庭背景、刑事記錄和社團(tuán)等。

2.2 教職工信息類

校園考評系統(tǒng)一般具有教師照片、職位、班級評分、老師簽退情況與班級評分、工資等。

2.3 公共安全信息類

學(xué)校里連網(wǎng)的公共設(shè)施一般有門禁系統(tǒng)、監(jiān)控系統(tǒng)、停車場管理與放行系統(tǒng)、食堂/水費(fèi)系統(tǒng)、閱卷系統(tǒng)、網(wǎng)絡(luò)服務(wù)系統(tǒng)、防火墻、服務(wù)器機(jī)房管理系統(tǒng)、教學(xué)機(jī)房管理系統(tǒng)、多媒體教室與設(shè)備、自動化無人販賣機(jī)等。

2.4 保密信息類

從校內(nèi)可訪問的系統(tǒng)一般有人防系統(tǒng)、高考監(jiān)控聯(lián)動系統(tǒng)、緊急網(wǎng)絡(luò)化播音系統(tǒng)。

2.5 其他信息類

校園網(wǎng)用戶網(wǎng)頁瀏覽記錄、未經(jīng)加密的帳號密碼、與服務(wù)器的通信數(shù)據(jù)。

3 模擬 APT攻擊（Intrusion）過程

3.1 模擬APT攻擊的思路

APT的攻擊手段主要有三種：入侵（Intrusion），釣魚欺詐（Phishing）與社會工程學(xué)（Social Engineering）。

社會工程學(xué)（Social Engineering）是數(shù)據(jù)收集手段的統(tǒng)稱。例如通過一個人的社交媒體賬號與私人郵箱賬號獲得其工作單位，住址，姓名，手機(jī)號碼等信息；通過已經(jīng)泄露的數(shù)據(jù)庫，得到其常用密碼，出行軌跡等隱私信息。

3.2 模擬APT攻擊測試過程

3.2.1 掃描當(dāng)前網(wǎng)絡(luò)

在連接進(jìn)入內(nèi)外網(wǎng)邊界重合的網(wǎng)絡(luò)（如學(xué)校自習(xí)室/圖書館的公共網(wǎng)絡(luò)）后，嘗試掃描當(dāng)前所在的網(wǎng)段及網(wǎng)關(guān)，認(rèn)證服務(wù)器與DNS服務(wù)器所在的網(wǎng)段，收集信息。以使用NMAP（WINDOWS）為例，將目標(biāo)設(shè)定為網(wǎng)關(guān)所在網(wǎng)段，配置模式Instense scan（完全掃描模式），開始進(jìn)行掃描。

3.2.2 尋找攻擊方案

掃描完成，發(fā)現(xiàn)有多個主機(jī)，尋找開放端口信息。選擇從HTTP服務(wù)入手，訪問目標(biāo)系統(tǒng)，查看網(wǎng)頁服務(wù)類型，并收集信息。

3.2.3 發(fā)起攻擊

在確定找到系統(tǒng)安全漏洞之后，針對系統(tǒng)漏洞采用相應(yīng)代碼對其發(fā)起攻擊。

3.3 攻擊類型：審查HTTP代碼

兩家監(jiān)控廠商的產(chǎn)品使用STRUTS2框架，利用STRTUS2反序列化漏洞執(zhí)行惡意命令，獲得監(jiān)控控制權(quán)，學(xué)校的監(jiān)控，包括高考監(jiān)控，可能外泄，可能被惡意切斷錄制，一旦發(fā)生特大突發(fā)情況，無法保證安全。

網(wǎng)關(guān)全線產(chǎn)品具有COOKIE惡意提權(quán)漏洞，獲得了網(wǎng)關(guān)所有權(quán)，可能導(dǎo)致網(wǎng)絡(luò)癱瘓。

門禁卡系統(tǒng)具有弱口令漏洞，同時具有圖片上傳執(zhí)行代碼漏洞，獲得門禁控制權(quán)，學(xué)校的物理安全與財(cái)產(chǎn)可能得到侵犯。

某停車場系統(tǒng)具有弱口令以及注入漏洞，導(dǎo)致大門車輛可能被隨意放行，大門打開，以及車輛隨意進(jìn)出，以及車輛進(jìn)出門被監(jiān)視。

學(xué)生社團(tuán)活動報(bào)名頁面具有SQL注入漏洞，可能導(dǎo)致數(shù)據(jù)庫被“拖庫”，進(jìn)而導(dǎo)致學(xué)生姓名，管理密碼（明文儲存），身份證號泄露。

3.4 審查遠(yuǎn)程主機(jī)的端口

圖書館與教師評教系統(tǒng)具有SMB溢出漏洞，所有老師的評價與借書情況可能導(dǎo)致外泄。

授權(quán)邏輯服務(wù)器的SMB以及RDP具有ETERNALBLUE（永恒之藍(lán)）漏洞，老師的個人上網(wǎng)密碼可能泄露。同時，授權(quán)服務(wù)器內(nèi)存放網(wǎng)絡(luò)拓?fù)鋱D以及維護(hù)管理密碼，可能導(dǎo)致內(nèi)網(wǎng)IP分布被泄露。

網(wǎng)絡(luò)化廣播系統(tǒng)具有 ETERNALROMANCE（永恒浪漫）漏洞，學(xué)校的廣播系統(tǒng)包括高考廣播，災(zāi)備廣播可能被控制。

門房VNC沒有設(shè)置密碼，可能導(dǎo)致隨意控制大門進(jìn)出。

某數(shù)據(jù)庫服務(wù)器SSH弱口令，可能導(dǎo)致其中數(shù)據(jù)外泄。

3.5 模擬APT攻擊測試總結(jié)

通過各種手段的入侵（Intrusion）方式，入侵者不僅得到了學(xué)生與老師的個人信息，更控制了學(xué)校的公共資產(chǎn)。如表1所示。

4 校園網(wǎng)絡(luò)安全建議

4.1 服務(wù)端設(shè)置與部署endprint

4.1.1 人為因素

為了切斷社會工程學(xué)（SocialEnginnering）與釣魚欺詐（Phising）帶來的危害，內(nèi)部服務(wù)器口令應(yīng)減少使用個人口令，常用口令以及弱口令，同時，口令與管理方法的記錄切勿以任何形式保存在服務(wù)器上。

4.1.2 部署技術(shù)

為了減少惡意攻擊帶來的危害，安全的業(yè)務(wù)與數(shù)據(jù)庫服務(wù)器應(yīng)具有三個特性：

（1）虛擬化。虛擬機(jī)（VM，Virtual Machine）是一種為部署，測試提供的一種穩(wěn)定，易于恢復(fù)的虛擬系統(tǒng)環(huán)境。使用虛擬系統(tǒng)環(huán)境擁有可以增加服務(wù)穩(wěn)定性，控制資源利用，安全隔離等優(yōu)點(diǎn)。使用虛擬機(jī)應(yīng)對網(wǎng)絡(luò)攻擊與突發(fā)狀況，可以在服務(wù)發(fā)生不可逆崩潰時數(shù)分鐘內(nèi)恢復(fù)正常運(yùn)行情況。在服務(wù)器被攻陷時，攻擊者僅會取得虛擬機(jī)的控制權(quán)，但無法取得實(shí)體主機(jī)系統(tǒng)的控制權(quán)，一定程度上保護(hù)了服務(wù)器與敏感數(shù)據(jù)庫。

（2）容器化。Docker是一種由dotCloud公司開發(fā)，為批量部署與更新提供的虛擬環(huán)境。與虛擬機(jī)相比，Docker容器沒有虛擬系統(tǒng)層。因此，Docker容器支持秒級部署與毫秒級啟動。但缺少虛擬系統(tǒng)層使Docker容器的安全性與虛擬機(jī)相比較差。Docker容器的優(yōu)點(diǎn)是擁有高效的批量部署與批量更新，運(yùn)行速度的同時不需要考慮環(huán)境與系統(tǒng)是否兼容。這樣的特性讓使用Docker容器的服務(wù)在遇到重大安全漏洞時可以用最快的速度更新，在服務(wù)受到破壞時以最快的時間恢復(fù)。

（3）角色隔離化。服務(wù)器角色是指一個服務(wù)器在當(dāng)前業(yè)務(wù)系統(tǒng)中的功能與所扮演的角色。常用的服務(wù)器角色有數(shù)據(jù)庫，代理，文件服務(wù)器等。在服務(wù)部署時，應(yīng)盡量避免將多個角色部署在同一臺服務(wù)器，應(yīng)將其部署在不同虛擬機(jī)/容器中。采取此種做法不僅提高了服務(wù)與維護(hù)的效率，更增加了安全性。

4.1.3 網(wǎng)絡(luò)架構(gòu)的調(diào)整

在現(xiàn)階段的新安全形勢下，傳統(tǒng)“三網(wǎng)一庫”架構(gòu)體現(xiàn)出了其劣勢：

主流安全軟件一般采用“云引擎”技術(shù)，即利用病毒特征在云端快速匹配病毒，如果無法訪問外網(wǎng)，安全軟件的查殺惡意軟件的準(zhǔn)確度會下降。

與外網(wǎng)隔離，會使內(nèi)網(wǎng)的設(shè)備無法及時獲得安全更新。假如入侵者通過物理手段入侵內(nèi)網(wǎng)（如部署可聯(lián)網(wǎng)的攻擊設(shè)備等），會導(dǎo)致薄弱的內(nèi)網(wǎng)環(huán)境被完全擊破。

如果當(dāng)前網(wǎng)絡(luò)架構(gòu)難以改變，嘗試關(guān)注特定的服務(wù)，設(shè)定防火墻過濾規(guī)則來屏蔽非服務(wù)器間的數(shù)據(jù)庫/遠(yuǎn)程控制端口通信。

4.2 開發(fā)注意事項(xiàng)

為了能使開發(fā)的軟件更安全，開發(fā)的軟件應(yīng)具有的三個特性：

4.2.1 接口集成化

開發(fā)過程中，對于數(shù)據(jù)庫的請求，應(yīng)避免請求代碼過于分散，將請求處理代碼與接口高度集成，可有效避免對輸入數(shù)據(jù)的處理疏漏。對于已經(jīng)棄用的文件或代碼，應(yīng)及時刪除，保持結(jié)構(gòu)精簡，謹(jǐn)防安全問題。

4.2.2 加密化

將加密作用于服務(wù)端開發(fā)的每一個方面，例如密碼使用md5技術(shù)加密，使用https協(xié)議加密，將源碼加密或混淆防止非法修改，這將極大提高服務(wù)器安全性。

4.2.3 標(biāo)準(zhǔn)化

正確引導(dǎo)用戶配置時拒絕使用弱口令，更改默認(rèn)密碼，檢測網(wǎng)絡(luò)安全狀況。建立完善的“日志”系統(tǒng)，方便追蹤異常操作。在網(wǎng)頁開發(fā)中，不要將用戶數(shù)據(jù)保存于cookie等不安全的介質(zhì)中，謹(jǐn)防惡意操作。在應(yīng)用中增加異常流量與請求追蹤技術(shù)，使數(shù)據(jù)流向得到控制。

4.3 網(wǎng)絡(luò)安全宣傳以及執(zhí)行力

當(dāng)前高校對外交流頻次增多，學(xué)校內(nèi)師生等各方面的信息需要得到嚴(yán)密的保護(hù)。一些個人信息被盜用之后可能會引發(fā)較為嚴(yán)重的問題，之前就曾經(jīng)出現(xiàn)過高校師生銀行卡卡號、身份證信息及密碼泄漏的情況，很多學(xué)生的銀行卡遭到盜刷。因此，除了對網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)防火墻、服務(wù)器加密加以重視之外，還應(yīng)加強(qiáng)高校內(nèi)部網(wǎng)絡(luò)安全宣傳，并提高安全宣傳的執(zhí)行力。

4.3.1 多種宣傳手段，引起師生重視

針對高校網(wǎng)絡(luò)信息安全問題，可以盡可能利用校內(nèi)所有的宣傳途徑進(jìn)行宣傳，包括校園廣播、校報(bào)、高校網(wǎng)站、學(xué)校微信公眾號、校園微博、校園宣傳欄等途徑，對網(wǎng)絡(luò)安全入侵常見的情況進(jìn)行總結(jié)并指出其危害性，從而引起師生的重視。還可以利用學(xué)生班會、院會的形式，由輔導(dǎo)員對學(xué)生進(jìn)行普及教育。另外，在高校信息技術(shù)公共課程中，可以就校園敏感信息安全以及內(nèi)網(wǎng)防滲透的問題及風(fēng)險組織專題教學(xué)。

4.3.2 多重加密保護(hù)，手機(jī)驗(yàn)證信息

高校網(wǎng)站是十分容易被入侵的，網(wǎng)站中存有師生的登錄密鑰，可以通過登錄來獲取在校師生的信息。而一旦被入侵，一方面信息可能遭到被更改，另一方面隱私信息的泄漏可能會給師生生活帶來風(fēng)險。因此在高校此類站點(diǎn)中，可以實(shí)施多重加密保護(hù)的方式，并讓師生將密碼和手機(jī)號進(jìn)行捆綁。而不在校師生的信息需要定期移出站點(diǎn)。

4.4 安全檢測

網(wǎng)絡(luò)維護(hù)人員應(yīng)定期對內(nèi)網(wǎng)設(shè)備進(jìn)行資產(chǎn)檢查，漏洞掃描和更新，保證數(shù)據(jù)安全。

4.4.1 漏洞掃描

使用可視化工具對內(nèi)網(wǎng)機(jī)器進(jìn)行批量定期掃描，不僅可以審計(jì)內(nèi)網(wǎng)機(jī)器，而且可以快速發(fā)展漏洞。常用的掃描工具有xunfeng，NMAP等。

4.4.2 嵌入式設(shè)備以及還原卡保護(hù)設(shè)備

嵌入式設(shè)備往往難以得到安全更新，增加了網(wǎng)絡(luò)被入侵的隱患。維護(hù)人員應(yīng)及時聯(lián)系廠家獲得最新更新。

5 總結(jié)

總之，高校作為一個龐大的運(yùn)營單位，其內(nèi)部人員眾多、流動性強(qiáng)，信息量大，其中不乏各類敏感信息，因此高校也成為了安全入侵的一個主要目標(biāo)。通過對校園網(wǎng)進(jìn)行滲透測試發(fā)現(xiàn)，校園網(wǎng)中存在多種多樣的安全漏洞和隱患，一些敏感信息也容易被泄漏，因此必須采取技術(shù)以及管理的手段來加強(qiáng)高校信息安全防護(hù)，尤其是要定期加強(qiáng)安全檢測，更新安全防護(hù)方案，提高高校各方面負(fù)責(zé)人的安全管理意識，從而避免信息的泄漏以及所造成的不必要的安全問題。本文的研究只是對高校敏感信息安全防護(hù)方面做出了一個大致的分析論述，提出了框架性的指導(dǎo)方案，但是沒有針對實(shí)際的入侵手段來給出相應(yīng)的應(yīng)對方法，還需在日后的研究中加以完善。

參考文獻(xiàn)

[1]印第安納大學(xué)（Indiana University）知識檢索引擎 https：//kb.iu.edu/d/augs.

[2]APT対策入門：新型サイバー攻撃の検知と対応日本セキュリティ監(jiān)査協(xié)會 APTによる攻撃対策と情報(bào)セキュリティ監(jiān)査研究會インプレスr&d， JP，2015.

[3]世界各地で発生したランサムウェア WannaCry の感染事案についてまとめてみたhttp：//d.hatena.ne.jp/Kango/touch/20170513/1494700355.

[4]Report on the dataprotection guidance we gave schools in 2012The Information Commissioner's Office， UK，2012.

[5]Safe Computing Techniques-Sensitive Data：Your Money AND Your LifeMassachusetts Institute of Technology（MIT），USA，2008.

[6]Social Engineering：The Art of Human Hack Christopher Hadnagy，USA，2010.

作者單位

呼和浩特市第一中學(xué) 內(nèi)蒙古自治區(qū)呼和浩特市 010010endprint