◆柳 強(qiáng)
高校二級(jí)網(wǎng)站安全問(wèn)題及防護(hù)策略研究
◆柳 強(qiáng)
(湖北大學(xué)外國(guó)語(yǔ)學(xué)院 湖北 430062)
日益復(fù)雜的網(wǎng)絡(luò)環(huán)境使高校二級(jí)網(wǎng)站面臨著各種安全危害,網(wǎng)站的安全問(wèn)題不容忽視。本文分析了高校二級(jí)網(wǎng)站存在的各種安全問(wèn)題及其產(chǎn)生的原因,從技術(shù)層面和管理層面提出了高校二級(jí)網(wǎng)站的安全防護(hù)策略。
高校二級(jí)網(wǎng)站;安全問(wèn)題;Web應(yīng)用防護(hù)系統(tǒng);策略
隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展,教育信息化水平的不斷提高,高校網(wǎng)站建設(shè)作為教育信息化環(huán)境建設(shè)的重要組成部分也得到了快速發(fā)展。各個(gè)高校都建立了校園門(mén)戶(hù)網(wǎng)站以及由二級(jí)學(xué)院網(wǎng)站、職能部門(mén)網(wǎng)站、各類(lèi)業(yè)務(wù)系統(tǒng)等組成的二級(jí)網(wǎng)站。高校二級(jí)網(wǎng)站是高校網(wǎng)站的主體,其建設(shè)水平在很大程度上反映了高校信息化建設(shè)的水平。同時(shí),高校二級(jí)網(wǎng)站作為學(xué)校形象宣傳、網(wǎng)絡(luò)教學(xué)和教育管理的窗口,已成為教學(xué)、科研、管理和公共服務(wù)的重要平臺(tái)[1]。然而,由于高校二級(jí)網(wǎng)站在建設(shè)過(guò)程中存在著缺乏統(tǒng)一標(biāo)準(zhǔn)、網(wǎng)站開(kāi)發(fā)和管理人員的技術(shù)水平參差不齊,網(wǎng)絡(luò)安全意識(shí)薄弱等問(wèn)題,導(dǎo)致不少二級(jí)網(wǎng)站存在很多安全隱患,為黑客入侵提供了機(jī)會(huì)。一旦網(wǎng)站被攻擊者非法入侵,可能會(huì)造成網(wǎng)頁(yè)信息被篡改、個(gè)人隱私數(shù)據(jù)被竊取、甚至可能被掛馬、成為傀儡主機(jī),從而造成不良社會(huì)影響。
近年來(lái)各高校通過(guò)信息系統(tǒng)安全等級(jí)保護(hù)合規(guī)建設(shè),加強(qiáng)了校園網(wǎng)的基礎(chǔ)安全防范能力。然而,由于不同高校之間網(wǎng)絡(luò)安全技術(shù)能力的不平衡,面向互聯(lián)網(wǎng)提供服務(wù)的網(wǎng)站系統(tǒng)在安全性上還存在不少缺陷。根據(jù)賽爾綠盟安全云平臺(tái)發(fā)布的2016 年第四季度高校網(wǎng)站安全脆弱性白皮書(shū),對(duì)103所樣本高校的101個(gè)高校門(mén)戶(hù)網(wǎng)站和79個(gè)下屬二級(jí)網(wǎng)站等180個(gè)樣本站點(diǎn)進(jìn)行安全檢測(cè),共發(fā)現(xiàn)64792個(gè)漏洞,其中中高危漏洞占28.7%。從180個(gè)樣本網(wǎng)站的安全評(píng)分統(tǒng)計(jì)結(jié)果看,一級(jí)網(wǎng)站平均分為52.23,二級(jí)網(wǎng)站的平均分為22.86[2]。這說(shuō)明,高校下屬的二級(jí)網(wǎng)站存在更多安全漏洞,面臨更高的安全風(fēng)險(xiǎn)級(jí)別。
高校二級(jí)網(wǎng)站安全面臨的主要安全危害有以下幾種:
(1)網(wǎng)站被篡改劫持
近年來(lái)黑客入侵高校網(wǎng)站,篡改在校大學(xué)生的學(xué)習(xí)成績(jī)進(jìn)行非法牟利的事件時(shí)有發(fā)生。另外,由于高校二級(jí)網(wǎng)站存在安全漏洞,經(jīng)常發(fā)生網(wǎng)站首頁(yè)被攻擊者劫持跳轉(zhuǎn)到黃賭毒等違法內(nèi)容,造成不良社會(huì)影響的安全事件。
(2)網(wǎng)站被掛馬,成為傀儡主機(jī)
有些高校二級(jí)網(wǎng)站的Web應(yīng)用程序和服務(wù)器操作系統(tǒng)沒(méi)有進(jìn)行嚴(yán)格的安全配置,導(dǎo)致存在大量安全漏洞。一旦網(wǎng)站被黑客入侵植入木馬,它就成了木馬病毒傳播的源頭,對(duì)網(wǎng)站訪問(wèn)用戶(hù)的信息安全造成嚴(yán)重威脅,更有甚者還會(huì)被黑客控制成為僵尸網(wǎng)絡(luò)中的傀儡主機(jī),被利用攻擊其他站點(diǎn)。而網(wǎng)站因?yàn)閽祚R被安全軟件屏蔽,也會(huì)對(duì)網(wǎng)站的公眾信譽(yù)度造成損害。
(3)網(wǎng)站用戶(hù)數(shù)據(jù)被泄露
高校網(wǎng)站掌握著大量集中性人群的教學(xué)、科研和管理信息。很多高校二級(jí)網(wǎng)站存在著諸如SQL注入漏洞、XSS跨站腳本漏洞等各種形式的安全漏洞,一旦被攻擊者利用這些漏洞,就可以入侵網(wǎng)站數(shù)據(jù)庫(kù),竊取師生的個(gè)人隱私信息,造成極大的社會(huì)危害性。媒體曝光的黑客利用網(wǎng)站的安全漏洞入侵高考網(wǎng)上報(bào)名系統(tǒng),竊取高考考生個(gè)人信息,并打包出售給詐騙團(tuán)伙,導(dǎo)致徐玉玉被電信詐騙的案件,引起了全社會(huì)對(duì)高校網(wǎng)站和個(gè)人信息安全的廣泛關(guān)注。
高校二級(jí)網(wǎng)站在開(kāi)發(fā)過(guò)程中,往往只強(qiáng)調(diào)網(wǎng)站功能的實(shí)現(xiàn)和界面的美觀,而忽略了網(wǎng)站程序的安全設(shè)計(jì)。攻擊者很容易利用程序控制不嚴(yán)產(chǎn)生的安全漏洞對(duì)網(wǎng)站進(jìn)行Web腳本攻擊,導(dǎo)致網(wǎng)站數(shù)據(jù)庫(kù)被SQL注入、掛馬和暴庫(kù)。這些網(wǎng)站應(yīng)用程序存在身份驗(yàn)證和訪問(wèn)控制方面的缺陷,是導(dǎo)致SQL注入漏洞、XSS跨站腳本漏洞等應(yīng)用層威脅的直接原因。
(1)SQL注入漏洞
SQL注入漏洞產(chǎn)生的主要原因是網(wǎng)站開(kāi)發(fā)人員在編寫(xiě)程序過(guò)程中沒(méi)有規(guī)范書(shū)寫(xiě)SQL語(yǔ)句,對(duì)用戶(hù)輸入的數(shù)據(jù)沒(méi)有進(jìn)行過(guò)濾和轉(zhuǎn)換,導(dǎo)致攻擊者可以通過(guò)精心構(gòu)造的輸入?yún)?shù)傳入Web應(yīng)用程序去非法獲取數(shù)據(jù)庫(kù)中的數(shù)據(jù),造成網(wǎng)站數(shù)據(jù)庫(kù)中存儲(chǔ)的大量個(gè)人隱私信息泄露。此外,攻擊者還能侵入網(wǎng)站數(shù)據(jù)庫(kù)篡改網(wǎng)頁(yè)內(nèi)容和網(wǎng)站后臺(tái)管理賬戶(hù),在數(shù)據(jù)庫(kù)的某些字段信息里插入木馬鏈接,進(jìn)行網(wǎng)頁(yè)掛馬攻擊等。
(2)XSS跨站腳本漏洞
XSS跨站腳本漏洞形成的原因和SQL注入漏洞類(lèi)似,也是網(wǎng)站開(kāi)發(fā)人員在編寫(xiě)程序過(guò)程中對(duì)輸入輸出的控制不夠嚴(yán)格,沒(méi)有對(duì)用戶(hù)提交的數(shù)據(jù)進(jìn)行過(guò)濾和轉(zhuǎn)換就直接輸出到頁(yè)面。惡意攻擊者利用此安全漏洞將精心構(gòu)造的腳本插入到網(wǎng)頁(yè)的某個(gè)特定位置,當(dāng)用戶(hù)訪問(wèn)該頁(yè)面時(shí),嵌入其中的惡意腳本會(huì)被解析執(zhí)行從而產(chǎn)生危害。雖然XSS跨站腳本攻擊對(duì)網(wǎng)站不會(huì)造成直接影響,但它可以利用網(wǎng)站中的漏洞攻擊其他用戶(hù)實(shí)現(xiàn)惡意目的,如網(wǎng)絡(luò)釣魚(yú)詐騙,敏感信息竊取,惡意代碼傳輸和感染等。
服務(wù)器是提供Web服務(wù)運(yùn)行的環(huán)境基礎(chǔ),一旦服務(wù)器被攻擊者侵入,服務(wù)器上部署的所有網(wǎng)站系統(tǒng)都會(huì)受到威脅。目前高校Web服務(wù)器常用的操作系統(tǒng)主要有Windows Server和Linux。由于軟件在邏輯設(shè)計(jì)和編碼時(shí)存在缺陷,操作系統(tǒng)不可避免會(huì)存在安全漏洞。如果不及時(shí)更新操作系統(tǒng)的安全補(bǔ)丁,服務(wù)器將會(huì)面臨感染病毒、系統(tǒng)崩潰、隱私泄露等安全風(fēng)險(xiǎn)。另外用于構(gòu)建網(wǎng)站運(yùn)行環(huán)境的Web服務(wù)器軟件(如IIS、Apache、Nginx)也存在安全漏洞,例如IIS中存在的IIS遠(yuǎn)程代碼執(zhí)行漏洞和IIS寫(xiě)權(quán)限漏洞(HTTP PUT方法利用)。此外,服務(wù)器在配置管理上也存在不少安全漏洞,例如系統(tǒng)啟用和打開(kāi)了一些不必要的服務(wù)和端口、使用默認(rèn)用戶(hù)名和密碼等[3]。這些服務(wù)器安全策略配置的不完善是導(dǎo)致信息泄露型漏洞、拒絕服務(wù)型漏洞的直接原因。
(1)信息泄露型漏洞
信息泄露型漏洞主要包括Web服務(wù)器文件夾安全權(quán)限設(shè)置不嚴(yán)、IIS短文件名枚舉漏洞、服務(wù)器啟用TRACE Method等。惡意攻擊者能夠利用此類(lèi)漏洞,獲取網(wǎng)站諸如用戶(hù)名和密碼等重要信息數(shù)據(jù)。
(2)拒絕服務(wù)型漏洞
拒絕服務(wù)型漏洞主要指Web 服務(wù)器的安全配置策略不嚴(yán)格,導(dǎo)致遭受HTTP緩慢拒絕服務(wù)攻擊,造成服務(wù)器的系統(tǒng)資源和可用連接被非法消耗,影響Web服務(wù)器的正常工作。
通常高校在校園網(wǎng)的出口都設(shè)置了防火墻,但各個(gè)單位建立的二級(jí)網(wǎng)站普遍缺少基于Web應(yīng)用層的安全防護(hù)設(shè)備。目前超過(guò)80%的Web攻擊都發(fā)生在應(yīng)用層,形式多樣的攻擊手段僅靠傳統(tǒng)的防病毒、防火墻措施是無(wú)法防御的。由于傳統(tǒng)防火墻無(wú)法檢測(cè)和攔截Web服務(wù)請(qǐng)求,這些針對(duì)高校二級(jí)網(wǎng)站的攻擊可以繞過(guò)防火墻的檢測(cè),對(duì)Web應(yīng)用層進(jìn)行滲透,從而獲取網(wǎng)站敏感信息,進(jìn)行腳本攻擊[3]。
在網(wǎng)站的日常管理中,有些管理員的安全意識(shí)薄弱,對(duì)服務(wù)器操作系統(tǒng)超級(jí)管理員密碼、網(wǎng)站后臺(tái)管理員密碼的設(shè)置過(guò)于簡(jiǎn)單,容易被破解。網(wǎng)站管理員沒(méi)有定期檢查網(wǎng)站系統(tǒng)軟硬件運(yùn)行環(huán)境,網(wǎng)站程序和數(shù)據(jù)沒(méi)有定期進(jìn)行備份。
高校二級(jí)網(wǎng)站的安全防護(hù)單靠技術(shù)或單靠管理都是無(wú)法實(shí)現(xiàn)的,必須綜合考慮。針對(duì)高校二級(jí)網(wǎng)站存在的各種安全問(wèn)題,本文從技術(shù)層面和管理層面提出以下防護(hù)對(duì)策。
網(wǎng)站程序漏洞是Web應(yīng)用系統(tǒng)中被攻擊者利用最多的漏洞類(lèi)型。要避免Web應(yīng)用程序安全性問(wèn)題,就應(yīng)該在網(wǎng)站程序開(kāi)發(fā)過(guò)程中執(zhí)行安全編碼規(guī)范,包括:用戶(hù)輸入輸出的統(tǒng)一驗(yàn)證、過(guò)濾和編碼;使用安全身份驗(yàn)證,包括采取驗(yàn)證碼、連續(xù)多次登錄失敗強(qiáng)制鎖定賬戶(hù)以阻止黑客暴力攻擊等措施;對(duì)網(wǎng)站賬戶(hù)密碼等敏感數(shù)據(jù)采取哈希加密方式進(jìn)行存儲(chǔ);建立訪問(wèn)控制策略,防止未授權(quán)用戶(hù)的訪問(wèn);保證文件上傳和下載安全,包括對(duì)上傳文件的格式進(jìn)行檢查、對(duì)上傳和下載路徑進(jìn)行過(guò)濾限制等[4]。
為了有效保障網(wǎng)站服務(wù)器的安全穩(wěn)定運(yùn)行,應(yīng)定期對(duì)網(wǎng)站系統(tǒng)進(jìn)行安全掃描,并對(duì)在掃描中發(fā)現(xiàn)的服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)和Web應(yīng)用系統(tǒng)的安全漏洞進(jìn)行加固配置。
(1)操作系統(tǒng)安全加固
操作系統(tǒng)的安全加固措施包括更新系統(tǒng)安全補(bǔ)丁、關(guān)閉不需要的端口和服務(wù)、配置防火墻并開(kāi)啟防火墻策略、加強(qiáng)權(quán)限管理,對(duì)系統(tǒng)重要文件進(jìn)行訪問(wèn)控制,限制用戶(hù)的訪問(wèn)權(quán)限、修改系統(tǒng)安全配置策略,檢查用戶(hù)賬號(hào)和密碼安全、開(kāi)啟審核策略等。
(2)數(shù)據(jù)庫(kù)系統(tǒng)安全加固
網(wǎng)站數(shù)據(jù)庫(kù)系統(tǒng)的安全加固包括使用安全的賬號(hào)和密碼策略、使用加密通訊協(xié)議、修改并加固默認(rèn)端口、限制可以訪問(wèn)數(shù)據(jù)庫(kù)的IP、加強(qiáng)數(shù)據(jù)庫(kù)日志的記錄和管理,防止非授權(quán)用戶(hù)對(duì)日志文件進(jìn)行訪問(wèn)等。
(3)Web應(yīng)用系統(tǒng)安全加固
Web應(yīng)用系統(tǒng)的安全加固包括對(duì)要進(jìn)行網(wǎng)站數(shù)據(jù)庫(kù)訪問(wèn)的程序進(jìn)行安全檢查,防止攻擊者構(gòu)造惡意腳本、合理配置用戶(hù)權(quán)限和安全策略等。
由于傳統(tǒng)的網(wǎng)絡(luò)防火墻無(wú)法有效地防御攻擊者對(duì)Web應(yīng)用層的攻擊,高校二級(jí)網(wǎng)站需要部署Web應(yīng)用防護(hù)系統(tǒng)攔截來(lái)自應(yīng)用層的非法請(qǐng)求,全面防御網(wǎng)站被非法攻擊與入侵,Web應(yīng)用防護(hù)系統(tǒng)具有以下功能。
(1)防止攻擊者控制網(wǎng)站服務(wù)器,降低信息泄露風(fēng)險(xiǎn)。Web應(yīng)用防護(hù)系統(tǒng)能對(duì)HTTP請(qǐng)求進(jìn)行安全檢測(cè),通過(guò)精練的正則表達(dá)規(guī)則對(duì)攻擊腳本實(shí)施過(guò)濾,加上HTTP狀態(tài)碼攔截等機(jī)制,降低網(wǎng)站數(shù)據(jù)庫(kù)數(shù)據(jù)泄露風(fēng)險(xiǎn)。
(2)保障網(wǎng)站服務(wù)的可用性。Web應(yīng)用防護(hù)系統(tǒng)集成DDOS(包括CC)攻擊防護(hù)功能,提供SYN Flood、ICMP Flood、UDP Flood等多層次攻擊過(guò)濾,保障網(wǎng)站的可用性。
(3)對(duì)網(wǎng)站進(jìn)行訪問(wèn)控制。Web應(yīng)用防護(hù)系統(tǒng)支持多種Web訪問(wèn)控制,包括IP白名單和黑名單、URL訪問(wèn)控制、Cookie過(guò)濾、控制文件非法上傳和下載、阻止網(wǎng)站圖片文件等資源被非法盜鏈和限制搜索引擎爬蟲(chóng)等。
(4)保護(hù)Web客戶(hù)端。Web服務(wù)的提供者有責(zé)任對(duì)Web客戶(hù)端進(jìn)行安全保護(hù),Web應(yīng)用防護(hù)系統(tǒng)通過(guò)實(shí)施CSRF跨站請(qǐng)求偽造防御、XSS跨站腳本防御、Cookie防篡改(包括對(duì)Cookie進(jìn)行加密和添加簽名)等多種安全保護(hù)策略,對(duì)Web客戶(hù)端進(jìn)行安全保護(hù)[5]。
高校二級(jí)網(wǎng)站必須要確保其數(shù)據(jù)的安全性才能發(fā)揮其應(yīng)有的作用。因此高校二級(jí)網(wǎng)站的安全管理問(wèn)題應(yīng)該受到單位領(lǐng)導(dǎo)和網(wǎng)站管理員的高度重視。增強(qiáng)網(wǎng)站管理員的網(wǎng)絡(luò)安全意識(shí)是保證網(wǎng)站信息安全的前提[6]。高校每個(gè)單位都可以通過(guò)參加網(wǎng)絡(luò)安全、網(wǎng)絡(luò)技術(shù)、網(wǎng)絡(luò)管理等方式對(duì)網(wǎng)站管理員進(jìn)行培訓(xùn),提高網(wǎng)站工作人員的安全意識(shí),豐富安全知識(shí)。高??蓪⒕W(wǎng)站安全責(zé)任明確劃分、落實(shí)到人,將網(wǎng)站建設(shè)管理情況納入考核指標(biāo),增強(qiáng)網(wǎng)站管理員在工作中的主觀能動(dòng)性。
網(wǎng)站的安全運(yùn)行離不開(kāi)高效的維護(hù)和管理,高校要從多個(gè)方面建立完善的網(wǎng)站管理制度,以保障安全技術(shù)措施的有效性,并在網(wǎng)站的日常管理維護(hù)中嚴(yán)格執(zhí)行。網(wǎng)站安全管理制度主要包括:服務(wù)器機(jī)房管理制度、網(wǎng)站用戶(hù)信息安全管理制度、網(wǎng)站信息發(fā)布和審核制度、信息系統(tǒng)密碼管理制度、計(jì)算機(jī)病毒防范制度、網(wǎng)站數(shù)據(jù)信息備份管理制度和網(wǎng)絡(luò)安全教育培訓(xùn)制度等[7]。高校通過(guò)建立健全二級(jí)網(wǎng)站的各項(xiàng)安全管理規(guī)章制度,使網(wǎng)站信息發(fā)布、數(shù)據(jù)備份、人員培訓(xùn)等各項(xiàng)管理工作做到有章可循。
高校二級(jí)網(wǎng)站在建設(shè)和運(yùn)行中遇到的安全問(wèn)題既有技術(shù)方面的,如程序代碼漏洞造成的網(wǎng)絡(luò)攻擊,也有管理方面的,如網(wǎng)站后臺(tái)管理賬戶(hù)密碼存在弱口令。為了保障網(wǎng)站應(yīng)用系統(tǒng)安全可靠地運(yùn)行,需要同時(shí)從技術(shù)和管理入手,構(gòu)建全面的網(wǎng)站安全防護(hù)策略。只有這樣,才能提高二級(jí)網(wǎng)站的抗風(fēng)險(xiǎn)能力,更好地為學(xué)校師生和社會(huì)提供服務(wù)。
[1]黃曉華.高校網(wǎng)站安全問(wèn)題分析[J].軟件導(dǎo)刊,2014.
[2]《2016年第四季度高校網(wǎng)站安全脆弱性白皮書(shū)》 http://blog.nsfocus.net/wp-content/uploads/2017/07/2016年第四季度高校網(wǎng)站安全脆弱性白皮書(shū).pdf.
[3]樊強(qiáng).高校網(wǎng)站安全防范措施研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2016.
[4]付明騰.政府網(wǎng)站安全漏洞分析及防范措施[J].信息安全與技術(shù),2014.
[5]趙江.高校圖書(shū)館Web應(yīng)用安全問(wèn)題與對(duì)策[J].電腦知識(shí)與技術(shù),2018.
[6]周琦.網(wǎng)站安全管理中的問(wèn)題及對(duì)策[J].電子技術(shù)與軟件工程,2017.
[7]忽海娜,歐陽(yáng)鋒.高校網(wǎng)站建設(shè)安全問(wèn)題分析與對(duì)策[J].軟件導(dǎo)刊,2014.
網(wǎng)絡(luò)安全技術(shù)與應(yīng)用2019年12期