高校網(wǎng)站的安全分析及應(yīng)對策略研究

◆林維鏘

高校網(wǎng)站的安全分析及應(yīng)對策略研究

◆林維鏘

（廣東開放大學(xué) 廣東 510091）

本文通過對高校網(wǎng)站安全風(fēng)險的分析和探討，以某大學(xué)網(wǎng)站安全管理為例，提出了實用性較強的安全防護對策，以保障高校網(wǎng)站信息的安全，供相關(guān)讀者參考。

網(wǎng)站安全；安全威脅；安全防護

網(wǎng)站是高校對外信息發(fā)布、提供服務(wù)的重要窗口。隨著智慧校園建設(shè)推進，高校的門戶、二級部門、專題、教學(xué)和應(yīng)用系統(tǒng)等各種網(wǎng)站數(shù)量劇增，但由于缺乏統(tǒng)一規(guī)劃管理，普遍存在安全性差、管理混亂、信息泄露、維護不到位、內(nèi)容缺乏有效監(jiān)管等安全問題。當(dāng)前互聯(lián)網(wǎng)安全形勢嚴(yán)峻，高校網(wǎng)站因存在安全隱患多，是境外黑客組織攻擊的重點目標(biāo)，導(dǎo)致近年來高校網(wǎng)站被黑、學(xué)生個人敏感信息泄露等情況常有發(fā)生，而《網(wǎng)絡(luò)安全法》的第二十一條和第五十九條在法律層面明確提出對網(wǎng)站所有者的運營安全要求和懲罰規(guī)定，最新的等保2.0更是對網(wǎng)站安全提出更高的要求，如何做好網(wǎng)站安全防護工作，對高校非常的重要。本文以某高校多年網(wǎng)絡(luò)安全管理案例為基礎(chǔ)，分析了高校網(wǎng)站目前的主要安全問題，并提出了一些可行性較強的網(wǎng)站安全防護策略。

1 高校網(wǎng)站的主要安全問題分析

1.1 網(wǎng)站系統(tǒng)存在安全漏洞

高校的部門、院系及分支機構(gòu)眾多，加上每年推出的各種專題和應(yīng)用系統(tǒng)網(wǎng)站，大部分高校一般至少有上百個網(wǎng)站，甚至有幾百上千個，這其中不少網(wǎng)站是由缺乏專業(yè)安全意識的人員開發(fā)制作的，加上部分網(wǎng)站的管理人員缺乏安全專業(yè)技能，導(dǎo)致大部分網(wǎng)站系統(tǒng)存在安全漏洞。這些網(wǎng)站系統(tǒng)安全漏洞主要可分為應(yīng)用和主機兩個層面的漏洞。

（1）網(wǎng)站應(yīng)用程序漏洞

除了學(xué)校的門戶網(wǎng)站和部分重要應(yīng)用系統(tǒng)網(wǎng)站外，高校很多二級部門、專題和早期的網(wǎng)站大多是由在校學(xué)生或老師制作的，或是委托一些小公司定制，由于部分網(wǎng)站開發(fā)人員缺乏專業(yè)安全知識和技術(shù)，所開發(fā)的網(wǎng)站應(yīng)用程序存在一定漏洞，例如：有的缺乏必要安全設(shè)計，甚至沒有基本的有效驗證機制；有的使用網(wǎng)上開源的網(wǎng)站內(nèi)容管理程序，只是作了頁面上的修改，沒有對數(shù)據(jù)庫、上傳等重要配置進行修改，容易被攻擊；還有的使用網(wǎng)上公開各類小程序或組件，有些小程序或組件本身就存在安全漏洞，極易被黑客利用。基于相關(guān)數(shù)據(jù)統(tǒng)計及經(jīng)驗積累得知，目前大部分高校網(wǎng)站存在漏洞主要有：SQL注入漏洞，也是目前高校網(wǎng)站存在的最主要漏洞，攻擊者通過向網(wǎng)站提交的特殊構(gòu)造SQL查詢語句，獲取數(shù)據(jù)庫中的敏感信息，從而實現(xiàn)越權(quán)，獲得系統(tǒng)控制權(quán)；跨站腳本漏洞，攻擊者通過偽造請求，在用戶提交表單過程中惡意嵌入代碼，實現(xiàn)修改用戶的數(shù)據(jù)和執(zhí)行特定任務(wù)的目的；上傳漏洞，攻擊者利用應(yīng)用程序存在安全缺陷上傳惡意代碼，實現(xiàn)對網(wǎng)站的完全控制。

（2）服務(wù)器操作系統(tǒng)及Web應(yīng)用中間件漏洞

網(wǎng)站服務(wù)器操作系統(tǒng)主要有Windows Server、Linux、CentOS、Unix等，這些操作系統(tǒng)的廠商都定期推出補丁程序修補存在漏洞，高校服務(wù)器因管理人員安全意識不足未能及時安裝升級補丁，或是非Windows類操作系統(tǒng)因補丁修補相對復(fù)雜導(dǎo)致升級滯后，大部分網(wǎng)站服務(wù)器一般存在較多系統(tǒng)漏洞。同時，目前網(wǎng)站應(yīng)用運行環(huán)境所需的中間件軟件也可能存在漏洞，如IIS、Apache、nigix、PHP、MySQL、SSL等若部署版本過低，一般也存在漏洞。此外，有些服務(wù)器還存在安全配置的不嚴(yán)密也容易受到攻擊，如權(quán)限設(shè)置不嚴(yán)謹(jǐn)，管理員賬號密碼為弱口令空，系統(tǒng)及重要目錄的讀寫權(quán)限設(shè)備過低等。

1.2 網(wǎng)站有效安全防護設(shè)備的缺失

高校校園網(wǎng)出口或數(shù)據(jù)中心出口基本都配備了防火墻，可對網(wǎng)站進行IP端口層面的保護，但因管理或技術(shù)原因，很多時候防火墻的配置策略不夠細(xì)致，特別是有些網(wǎng)站沒有使用標(biāo)準(zhǔn)TCP端口時，容易就對整個IP進行了放行，沒有充分發(fā)揮防火墻作用。另外，即使對端口進行了嚴(yán)密的管理，但上述網(wǎng)站應(yīng)用程序漏洞和中間件漏洞是利用正常對外開放的端口進行攻擊，一般的防火墻無法對這種攻擊進行防護；同時，一般防火墻也無法對IP層的攻擊進行有識別，避免DDoS、syn flood、icmp洪水等攻擊，保證網(wǎng)站的可用性。

1.3 管理維護不到位

高校內(nèi)設(shè)機構(gòu)眾多，除了信息化部門、教務(wù)處等少數(shù)部門具有一定的安全管理能力外，大部分部門的網(wǎng)站管理人員技術(shù)水平有限，安全意識淡薄，所負(fù)責(zé)的網(wǎng)站系統(tǒng)缺乏有效的安全配置、數(shù)據(jù)備份和日常檢查，存在缺乏日志記錄和弱口令等嚴(yán)重安全隱患，容易被黑客入侵和事后無法追溯。另外，因高校經(jīng)常需要制作一些臨時性網(wǎng)站，如專題、評審、報名等，這些網(wǎng)站具有時效性，但大多事后沒有關(guān)閉，照常開放，導(dǎo)致長期無人管理，變成危險的僵尸網(wǎng)站，根據(jù)公安網(wǎng)警部門通報，這類網(wǎng)站最容易受到黑客入侵。

1.4 安全管理制度缺乏

高校信息化管理部門大多面臨任務(wù)繁重和人力資源不足的困境，只能把有限的資源投入在智慧應(yīng)用系統(tǒng)建設(shè)上，導(dǎo)致網(wǎng)絡(luò)安全體系的建設(shè)不完善，缺乏有效的校園網(wǎng)安全管理制度，即使有相應(yīng)制度，也是年代過久，無法適應(yīng)當(dāng)前安全形勢。有些高校制定了相應(yīng)的規(guī)則制度，但因缺乏足夠的人手和完善安全設(shè)備進行支撐，無法得到有效執(zhí)行，也未能發(fā)揮預(yù)期效果和作用。

2 高校網(wǎng)站安全防護策略研究

2.1 統(tǒng)一建設(shè)、規(guī)范漏洞管理

（1）采用網(wǎng)站群建設(shè)實現(xiàn)統(tǒng)一建設(shè)和集中管理

網(wǎng)站群是指統(tǒng)一規(guī)劃、集中部署、統(tǒng)一標(biāo)準(zhǔn)，建立在統(tǒng)一技術(shù)構(gòu)架基礎(chǔ)上，既可以統(tǒng)一管理，又可以分級管理、分級維護、耦合程度高，信息可以實現(xiàn)基于特定權(quán)限共享呈送的網(wǎng)站集合[1]。隨著智慧校園建設(shè)的深入，以及新形勢下對網(wǎng)絡(luò)安全的高要求，傳統(tǒng)制作網(wǎng)站的方式已不適應(yīng)高校要求，應(yīng)先對所有網(wǎng)站進行備案、梳理和歸類后，可應(yīng)采取網(wǎng)站群建站的方式，以學(xué)校門戶網(wǎng)站為中心，二級部門、專題等網(wǎng)站為子網(wǎng)站，對全校的各網(wǎng)站資源進行有效整合。對于新建的二級部門、專題、評審等網(wǎng)站必須基于高安全性的學(xué)校網(wǎng)站群進行建站，實現(xiàn)統(tǒng)一建設(shè)和規(guī)范管理。

（2）做好漏洞的規(guī)范管理

對于無法整合到學(xué)校網(wǎng)站群的網(wǎng)站，以及部分應(yīng)用系統(tǒng)網(wǎng)站，需嚴(yán)格做好漏洞管理工作。對于操作系統(tǒng)及Web應(yīng)用中間件的漏洞，補丁數(shù)量眾多的Windows server系統(tǒng)可通過部署WSUS服務(wù)實現(xiàn)漏洞補丁的自動修復(fù)；漏洞相對較少的Linux等系統(tǒng)可通過在做好備份情況下進行手工升級修補，在兼顧系統(tǒng)可用性和安全性的同時，采用有效的技術(shù)手段，將漏洞對系統(tǒng)帶來的影響降低。對于網(wǎng)站應(yīng)用程序漏洞，新建網(wǎng)站需在程序開發(fā)階段，嚴(yán)格按照代碼安全開發(fā)規(guī)范，采取敏感字符過濾、安全驗證、不使用網(wǎng)上公開源代碼等措施，提升新建網(wǎng)站程序安全性；對已有網(wǎng)站，條件允許的則進行代碼補漏，否則需停止直接對互聯(lián)網(wǎng)開放。對于向互聯(lián)網(wǎng)開放的網(wǎng)站，必須做好漏洞管理，否則可能被黑客入侵或受到上級管理部門的安全通報。

2.2 部署有效的安全防護措施

（1）Web應(yīng)用防火墻

目前高校網(wǎng)站的最大威脅是來自于Web應(yīng)用層的攻擊，傳統(tǒng)的防火墻無法對這些攻擊無法進行防護。Web應(yīng)用防火墻可以對HTTP和HTTPS等協(xié)議進行深入分析，在提供Web應(yīng)用實時、高效、深度檢測防御的同時，實現(xiàn)關(guān)鍵字檢查、DDoS攻擊防御、注入攻擊防御、掛馬檢測、漏洞防御等功能。Web應(yīng)用防火墻一般采用透明橋接方式部署，不需對網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)及應(yīng)用系統(tǒng)進行任何修改，具有部署方便、防護效果較好的特點，目前開始得到廣泛應(yīng)用。Web應(yīng)用防火墻基本上是采用規(guī)則匹配技術(shù)進行防護，需針對不同應(yīng)用網(wǎng)站程序配置相應(yīng)的安全策略，并按照從嚴(yán)原則，方能有效發(fā)揮防護效果。

（2）網(wǎng)站防篡改系統(tǒng)

網(wǎng)站防篡改系統(tǒng)能有效防止網(wǎng)頁內(nèi)容被非授權(quán)修改，目前主流產(chǎn)品是通過底層文件驅(qū)動保護技術(shù)，在用戶訪問網(wǎng)站時，只有經(jīng)過安全檢測后的合法請求被響應(yīng)，Web站點在進行網(wǎng)頁文件請求時，防篡改系統(tǒng)也會開始工作，對訪問網(wǎng)頁進行實時規(guī)則檢查，若有網(wǎng)頁的篡改及刪除等操作則進行攔截，并輸出詳細(xì)日志，合法的請求被通過后，最終返回給用戶。部署網(wǎng)站防篡改系統(tǒng)時需考慮與網(wǎng)站管理程序（CMS）無縫結(jié)合，且不需要做較大修改，以便于管理和實施。

（3）SSL VPN

SSL VPN是一種采用SSL （Security Socket Layer）協(xié)議來實現(xiàn)遠(yuǎn)程接入的一種VPN技術(shù)，與傳統(tǒng)的IPSec VPN相比，SSL通過簡單易用的方法實現(xiàn)信息遠(yuǎn)程連通，安裝瀏覽器的機器在通過權(quán)限審核后可訪問內(nèi)部資源，不需安裝專用軟件和復(fù)雜配置。對于一些包含內(nèi)容敏感的高校網(wǎng)站，如OA、工資、人事等網(wǎng)站，以及一些必須對校外開放但安全性存在問題又難以整改的網(wǎng)站，可將其發(fā)布在SSL VPN中。

（4）做好網(wǎng)站等級保護工作

網(wǎng)站的建設(shè)需實行安全等級保護制度，信息化管理部門按照國家有關(guān)管理規(guī)范、技術(shù)標(biāo)準(zhǔn)協(xié)助建設(shè)部門確定信息系統(tǒng)的安全保護等級。對新建、改建、擴建的網(wǎng)站系統(tǒng)，必須在規(guī)劃、設(shè)計階段確定信息系統(tǒng)的安全保護等級，并同步建設(shè)符合該安全保護等級要求的信息安全設(shè)施。涉及大量人員、財務(wù)、教學(xué)、物資的重要信息系統(tǒng)均應(yīng)通過等保測評，取得信息系統(tǒng)等級保護備案證書才可對外提供服務(wù)。

2.3 加強網(wǎng)站日常管理維護

（1）明確網(wǎng)站系統(tǒng)的管理維護要求

所有網(wǎng)站需安排和配置專門管理人員和安全管理人員從事網(wǎng)站的日常維護工作，并對其工作要求進行規(guī)劃，如：要求定期做好漏洞修補工作，網(wǎng)站訪問日志需進行記錄并保存6個月以上，采用多種方式對系統(tǒng)及數(shù)據(jù)進行備份，定期對服務(wù)器及網(wǎng)站的運行狀況進行檢查等，做到責(zé)任要落實到人。

（2）定期對網(wǎng)站系統(tǒng)進行掃描等安全檢查

網(wǎng)站建設(shè)完成后，信息化管理部門應(yīng)對全校已經(jīng)備案的網(wǎng)站進行定期的漏洞、木馬掃描及滲透測試，并將結(jié)果反饋給相關(guān)部門。對存在問題的網(wǎng)站，要求整改，并限制其使用，待符合要求后方可重新上線。

（3）合理控制網(wǎng)站的服務(wù)范圍和開放時段

根據(jù)網(wǎng)站的服務(wù)對象，不需對外提供服務(wù)和不宜對外公開的網(wǎng)站或欄目，限制在校園網(wǎng)內(nèi)訪問，若校園網(wǎng)外師生需使用，可通過發(fā)布在SSL VPN進行訪問。對于部分應(yīng)用系統(tǒng)網(wǎng)站，可根據(jù)其服務(wù)對象的使用規(guī)律，只在特定時間段開放，如工作日的8-17點或每天的7-22點等。通過合理控制網(wǎng)站開放范圍和時段，可有效減低網(wǎng)站被入侵的風(fēng)險。

2.4 制定完善的管理制度并有效執(zhí)行

三分技術(shù)七分管理的原則同樣適用于高校網(wǎng)站安全管理工作，為使各種防護措施有效落地，須制定完善的網(wǎng)站安全管理制度。制度應(yīng)分為常規(guī)管理、應(yīng)急處理和定期評估等幾方面制度。常規(guī)管理制度應(yīng)覆蓋網(wǎng)站的制作規(guī)劃要求、內(nèi)容審核機制、安全配置規(guī)范、管理人員培訓(xùn)要求、日常管理維護要求等各方面；應(yīng)急處理制度應(yīng)包括網(wǎng)站的應(yīng)急預(yù)案、網(wǎng)站數(shù)據(jù)備份及恢復(fù)指引等；定期評估方面應(yīng)建立定期掃描、定時測評、隨時抽查等網(wǎng)站檢查制度。同時，為使制度有效得到執(zhí)行，應(yīng)成立學(xué)校層面的多級安全管理機構(gòu)，人員包括校領(lǐng)導(dǎo)、中層干部、信息化部門及各二級部門的技術(shù)人員，并制定具體的工作職責(zé)，以及詳細(xì)規(guī)定各網(wǎng)站安全管理人員的考核辦法，使網(wǎng)站安全管理工作落到實處。

3 結(jié)束語

網(wǎng)絡(luò)攻擊技術(shù)不斷發(fā)展進步，高校網(wǎng)站面臨的威脅也在不斷變化，為保障網(wǎng)站的安全穩(wěn)定運行和避免重要信息泄露，應(yīng)不斷提升網(wǎng)站安全防護應(yīng)用技術(shù)，增強維護人員的管理及技術(shù)水平，并根據(jù)學(xué)校的實際情況，研究制定完善的管理制度和有效落地，才能充分發(fā)揮網(wǎng)站在校園智慧化中窗口作用。

[1]張慶來.張軍.甘肅省政府網(wǎng)站群建設(shè)研究[J].信息技術(shù)與信息化，2018，（6）：136-140.

[2]王宇.易秀雙.王興偉.邁向深水區(qū)：高校網(wǎng)絡(luò)安全治理的現(xiàn)狀、實踐和挑戰(zhàn)[J].中國教育網(wǎng)絡(luò)，2018，（5）：30-32.

[3]黃曉華. 高校網(wǎng)站安全問題分析[J].軟件導(dǎo)刊，2014，（8）：130-131.

[4]車路.張煥遠(yuǎn).夏亞東.李義勇.高校二級網(wǎng)站安全威脅與對策研究[J].信息安全與技術(shù)，2014（2）：40-43．