-.z.《信息安全工程》----校園風(fēng)險(xiǎn)評(píng)估課程設(shè)計(jì) 班級(jí)：0430801**：08490108：孔偉棟校園風(fēng)險(xiǎn)評(píng)估綜述對(duì)于校園而言，解決信息安全的關(guān)鍵就是明白面臨的風(fēng)險(xiǎn)所在。利用風(fēng)險(xiǎn)評(píng)估來(lái)識(shí)別可能存在的風(fēng)險(xiǎn)和威脅，對(duì)暴露出的問(wèn)題進(jìn)行有針對(duì)性的防護(hù)，這樣才能保證校園穩(wěn)定高效地為師生服務(wù)。信息風(fēng)險(xiǎn)評(píng)估的特點(diǎn)和意義1.1信息安全風(fēng)險(xiǎn)評(píng)估的基本意義信息系統(tǒng)的安全風(fēng)險(xiǎn)是指由于系統(tǒng)存在的脆弱性，人為或自然的威脅導(dǎo)致安全事件發(fā)生的可能性及其造成的影響。信息安全風(fēng)險(xiǎn)評(píng)估就是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的分析方法和手段，系統(tǒng)地分析信息化業(yè)務(wù)和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施，以防和化解風(fēng)險(xiǎn)，或者將殘余風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)與信息安全。風(fēng)險(xiǎn)評(píng)估的重要意義：風(fēng)險(xiǎn)評(píng)估是分析確定風(fēng)險(xiǎn)的過(guò)程系統(tǒng)的安全性都可以通過(guò)風(fēng)險(xiǎn)的大小來(lái)衡量?？茖W(xué)分析系統(tǒng)的安全風(fēng)險(xiǎn)，綜合平衡風(fēng)險(xiǎn)和代價(jià)的過(guò)程就是風(fēng)險(xiǎn)評(píng)估。信息安全風(fēng)險(xiǎn)評(píng)估是信息安全建設(shè)的起點(diǎn)和基礎(chǔ)安全風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)評(píng)估理論和方法在信息系統(tǒng)中的運(yùn)用，是科學(xué)分析理解信息和信息系統(tǒng)在性、完整性、可用性等方面所面臨的風(fēng)險(xiǎn)，并在風(fēng)險(xiǎn)的預(yù)防、風(fēng)險(xiǎn)的控制、風(fēng)險(xiǎn)的轉(zhuǎn)移、風(fēng)險(xiǎn)的補(bǔ)償、風(fēng)險(xiǎn)的分散等之間作出決策的過(guò)程。信息安全建設(shè)都應(yīng)該是基于信息安全風(fēng)險(xiǎn)評(píng)估，只有在正確地、全面地理解風(fēng)險(xiǎn)后，才能在控制風(fēng)險(xiǎn)、減少風(fēng)險(xiǎn)、轉(zhuǎn)移風(fēng)險(xiǎn)之間作出正確的判斷，決定調(diào)動(dòng)多少資源、以什么的代價(jià)、采取什么樣的應(yīng)對(duì)措施去化解、控制風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)評(píng)估是需求主導(dǎo)和突出重點(diǎn)原則的具體體現(xiàn)說(shuō)信息安全建設(shè)必須從實(shí)際出發(fā)，堅(jiān)持需求主導(dǎo)、突出重點(diǎn)，則風(fēng)險(xiǎn)評(píng)估（需求分析）就是這一原則在實(shí)際工作中的重要體現(xiàn)。從理論上講風(fēng)險(xiǎn)總是客觀存在的。安全是安全風(fēng)險(xiǎn)與安全建設(shè)管理代價(jià)的綜合平衡。重視風(fēng)險(xiǎn)評(píng)估是信息化比較發(fā)達(dá)國(guó)家的基本經(jīng)驗(yàn)上個(gè)世紀(jì)70年代，美國(guó)政府就發(fā)布了《自動(dòng)化數(shù)據(jù)外理風(fēng)險(xiǎn)評(píng)估指南》。其后頒布的關(guān)于信息安全基本政策文件《聯(lián)邦信息資源安全》明確提出了信息安全風(fēng)險(xiǎn)評(píng)估的要求，要求聯(lián)邦政府部門(mén)依據(jù)信息和信息系統(tǒng)所面臨的風(fēng)險(xiǎn)，根據(jù)信息丟失、濫用、泄露、未授權(quán)訪問(wèn)等造成損失的大小，制訂、實(shí)施信息安全計(jì)劃，以保證信息和信息系統(tǒng)應(yīng)有的安全。所以，總的來(lái)說(shuō)，信息安全風(fēng)險(xiǎn)評(píng)估的意義在于為用戶提供具有針對(duì)性的安全產(chǎn)品和安全技術(shù)。給用戶提供量化的信息資產(chǎn)價(jià)值列表和資產(chǎn)風(fēng)險(xiǎn)列表?？扇婧陀袟l理地向管理層反映現(xiàn)有的信息科技安全風(fēng)險(xiǎn)和所需的安全保障措施。為決策和政策考慮提供不同的解決方案，使信息科技安全管理能夠從策略性的層面推行。為日后比較信息科技安全措施的變化提供依據(jù)。1.2風(fēng)險(xiǎn)評(píng)估的基本特點(diǎn)：（1）決策支持性所有的安全風(fēng)險(xiǎn)評(píng)估都是旨在為安全管理提供支持和服務(wù)，無(wú)論它發(fā)生在系統(tǒng)生命周期的哪個(gè)階段，所不同的只在于其支持的管理決策階段和容。（2）比較分析性對(duì)信息安全管理和運(yùn)營(yíng)的各種安全方案進(jìn)行比較，對(duì)各種情況下的技術(shù)、經(jīng)濟(jì)投入和結(jié)果進(jìn)行分析、權(quán)衡。（3）前提假設(shè)性在風(fēng)險(xiǎn)評(píng)估中所使用的各種評(píng)估數(shù)據(jù)有兩種，一是系統(tǒng)既定事實(shí)的描述數(shù)據(jù)；而是根據(jù)系統(tǒng)各種假設(shè)前提條件確定的預(yù)測(cè)數(shù)據(jù)。不管發(fā)生在系統(tǒng)生命周期的哪個(gè)階段，在評(píng)估的時(shí)候，人們都必須對(duì)尚未確定的各種情況做出必要的假設(shè)，然后確定相應(yīng)的預(yù)測(cè)數(shù)據(jù)，并據(jù)此作出系統(tǒng)的風(fēng)險(xiǎn)評(píng)估。沒(méi)有哪個(gè)風(fēng)險(xiǎn)評(píng)估不需要給定假設(shè)前提條件，隱詞信息安全風(fēng)險(xiǎn)評(píng)估具有前提假設(shè)性這一基本特征。（4）時(shí)效性必須及時(shí)使用信息安全風(fēng)險(xiǎn)評(píng)估的結(jié)果，過(guò)期則可能出現(xiàn)失效而無(wú)法使用，失去風(fēng)險(xiǎn)評(píng)估的作用和意義。（5）主觀與客觀繼集成性信息安全風(fēng)險(xiǎn)評(píng)估是主管假設(shè)和判斷與客觀情況和數(shù)據(jù)的結(jié)合（6）目的性信息安全風(fēng)險(xiǎn)評(píng)估的最終目的是為信息安全管理決策和控制措施的實(shí)施提供支持。計(jì)算機(jī)安全的模型包含4個(gè)主要部分：策略安全、檢測(cè)、防護(hù)和響應(yīng)。防護(hù)、檢測(cè)和響應(yīng)組成了一個(gè)完整的、動(dòng)態(tài)的安全循環(huán)，在安全策略的整體指導(dǎo)下保證信息系統(tǒng)的安全。風(fēng)險(xiǎn)評(píng)估主要屬于檢測(cè)疇，用它找出系統(tǒng)的漏洞，做好防護(hù)并為制定安全策略提供指導(dǎo)性意見(jiàn)。校園網(wǎng)服務(wù)對(duì)象是全體師生，而學(xué)生又是最為活躍的群體，因此在校園網(wǎng)中的信息安全更為突出。新的安全漏洞不斷出現(xiàn)，黑客的攻擊手法不斷翻新，而校園數(shù)據(jù)中心自身的情況也在不斷地發(fā)展變化，在完成安全防體系的架設(shè)后，必須不斷對(duì)此進(jìn)行風(fēng)險(xiǎn)評(píng)估，及時(shí)地維護(hù)和更新，才能保證的安全。1.3風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備確定圍圍可能是組織全部的信息和信息系統(tǒng)，可能是單獨(dú)的信息系統(tǒng)，可能是組織的關(guān)鍵業(yè)務(wù)流程，也可能是客戶的知識(shí)產(chǎn)權(quán)。確定目標(biāo)目標(biāo)基本上來(lái)源于組織業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。確定組織結(jié)構(gòu)組織結(jié)構(gòu)的建立應(yīng)考慮其結(jié)構(gòu)和復(fù)雜程度，以保證能夠滿足風(fēng)險(xiǎn)評(píng)估的圍、目標(biāo)。確定方法應(yīng)考慮評(píng)估的圍、目的、時(shí)間、效果、組織文化、人員素質(zhì)以及具體開(kāi)展的程度等因素來(lái)確定，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。獲得最高管理者批準(zhǔn)上述所有容應(yīng)得到組織的最高管理者的批準(zhǔn)，并對(duì)管理層和員工進(jìn)行傳達(dá)。校園存在風(fēng)險(xiǎn)的原因校園由于以下自身的特點(diǎn)，導(dǎo)致安全問(wèn)題比較突出。(1校園有的是隸屬于學(xué)校的，有的是隸屬于*一學(xué)院的，有的是屬于*一社團(tuán)組織的，管理情況非常復(fù)雜。用作服務(wù)器的計(jì)算機(jī)，有的院系是由技術(shù)人員負(fù)責(zé)維護(hù)的，有些院系則沒(méi)有專(zhuān)人維護(hù)，服務(wù)器系統(tǒng)建設(shè)完畢之后無(wú)人管理，甚至被攻擊者攻破作為攻擊的跳板，變成攻擊者的溫床也無(wú)人覺(jué)察。(2大學(xué)生通常是最活躍的網(wǎng)絡(luò)用戶，對(duì)網(wǎng)絡(luò)新技術(shù)充滿好奇，勇于嘗試。如果沒(méi)有意識(shí)到后果的嚴(yán)重性，有些學(xué)生會(huì)嘗試使用網(wǎng)上學(xué)到的、甚至自己研究的各種攻擊技術(shù)，而他們首先所想到的目標(biāo)很可能就是校，一方面由于校園網(wǎng)服務(wù)器存儲(chǔ)大量信息，例如學(xué)生檔案、成績(jī)、作業(yè)、考卷等，這些數(shù)據(jù)對(duì)于學(xué)生來(lái)說(shuō)很有誘惑力；一方面學(xué)生對(duì)校園比較熟悉，易于使用社會(huì)工程學(xué)，有些攻擊者甚至就是的建設(shè)者。(3校園網(wǎng)與互聯(lián)網(wǎng)相聯(lián)。校園一般都能被公網(wǎng)用戶訪問(wèn)（特殊資源除外），所以校園面臨著外網(wǎng)攻擊和來(lái)自網(wǎng)攻擊的雙重安全威脅。校園的安全威脅據(jù)統(tǒng)計(jì)，網(wǎng)受到的部攻擊比外部攻擊多，根據(jù)攻擊類(lèi)型，校園網(wǎng)受到的威脅主要有：(1非授權(quán)訪問(wèn)，指對(duì)網(wǎng)絡(luò)設(shè)備及信息資源進(jìn)行非正常使用或越權(quán)使用等。(2冒充合法用戶，主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限，以達(dá)到占用合法用戶資源的目的。(3破壞數(shù)據(jù)的完整性，指使用非法手段刪除、修改、重發(fā)*些重要信息，以干擾用戶的正常使用。(4系統(tǒng)漏洞是威脅校園網(wǎng)安全的長(zhǎng)期因素。系統(tǒng)漏洞主要是指系統(tǒng)本身存在的、在設(shè)計(jì)時(shí)并沒(méi)有考慮到的缺陷或弊端。由于系統(tǒng)漏洞存在的長(zhǎng)期性，導(dǎo)致針對(duì)漏洞的網(wǎng)絡(luò)安全問(wèn)題也將是長(zhǎng)期的，持久的。(5應(yīng)用系統(tǒng)的錯(cuò)誤配置是影響網(wǎng)絡(luò)服務(wù)安全的主要因素。應(yīng)用系統(tǒng)是網(wǎng)絡(luò)中主要服務(wù)提供者，因此其安全問(wèn)題的產(chǎn)生也將會(huì)直接影響網(wǎng)絡(luò)服務(wù)的正常運(yùn)行。(6搭建所用軟件自身存在著漏洞也是主要的安全威脅。在目前的校園中的Web服務(wù)器無(wú)論是IIS，還是Apache，或多或少都存在著安全漏洞，正是因?yàn)檐浖踩┒吹拇嬖冢沟眯@的安全受到極大的威脅。(7數(shù)據(jù)缺乏必要的備份，數(shù)據(jù)是整個(gè)網(wǎng)絡(luò)的核心，里面存儲(chǔ)的重要的數(shù)據(jù)、檔案或歷史紀(jì)錄，不論是對(duì)學(xué)校，還是對(duì)個(gè)人用戶，都是至關(guān)重要的，一旦不慎丟失或是被惡意篡改、刪除，都會(huì)造成嚴(yán)重的損失。如果沒(méi)有完善的備份機(jī)制，有些數(shù)據(jù)是根本無(wú)法重建的。令人擔(dān)憂的是大多數(shù)的校園并沒(méi)有做好數(shù)據(jù)備份工作。主要攻擊類(lèi)型：安全弱點(diǎn)：主要的漏洞攻擊：1.SQL注入攻擊注入漏洞的產(chǎn)生原因是程序在編寫(xiě)時(shí)，沒(méi)有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，導(dǎo)致應(yīng)用程序存在安全隱患。SQL注入漏洞攻擊就是是利用現(xiàn)有應(yīng)用程序沒(méi)有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，將惡意的SQL命令注入到后臺(tái)數(shù)據(jù)庫(kù)引擎執(zhí)行的黑客攻擊手段。SQL注入攻擊技術(shù)就本質(zhì)而言，它利用的工具是SQL的語(yǔ)法，針對(duì)的是應(yīng)用程序開(kāi)發(fā)者編程中的漏洞，當(dāng)攻擊者能操作數(shù)據(jù)，向應(yīng)用程序中插入一些SQL語(yǔ)句時(shí)，SQLInjection攻擊就發(fā)生了。實(shí)際上，SQL注入攻擊是存在于常見(jiàn)的多連接的應(yīng)用程序中的一種漏洞，攻擊者通過(guò)在應(yīng)用程序預(yù)先定義好的查詢(xún)語(yǔ)句結(jié)尾加上額外的SQL語(yǔ)句元素，欺騙數(shù)據(jù)庫(kù)服務(wù)器執(zhí)行非授權(quán)的任意查詢(xún)。

2.*SS跨站攻擊跨站腳本攻擊簡(jiǎn)稱(chēng)為*SS又叫CSS(CrossSiteScriptE*ecution)，是指服務(wù)器端的CGI程序沒(méi)有對(duì)用戶提交的變量中的HTML代碼進(jìn)行有效的過(guò)濾或轉(zhuǎn)換，允許攻擊者往WEB頁(yè)面里插入對(duì)終端用戶造成影響或損失的HTML代碼?？缯灸_本漏洞攻擊不是對(duì)服務(wù)器的實(shí)際攻擊，而是利用服務(wù)器把訪問(wèn)該站點(diǎn)的用戶作為攻擊目標(biāo)。當(dāng)用戶瀏覽該頁(yè)之時(shí)，嵌入其中WEB里面的HTML代碼會(huì)被執(zhí)行，從而達(dá)到惡意用戶的特殊目的，如獲取其他用戶Cookie中的敏感數(shù)據(jù)、屏蔽頁(yè)面特定信息、偽造頁(yè)面信息、拒絕服務(wù)攻擊、突破外網(wǎng)網(wǎng)不同安全設(shè)置、與其它漏洞結(jié)合，修改系統(tǒng)設(shè)置，查看系統(tǒng)文件，執(zhí)行系統(tǒng)命令等。*SS漏洞很容易在學(xué)校WEB應(yīng)用系統(tǒng)中發(fā)現(xiàn)。*SS漏洞攻擊是最為常見(jiàn)的基于WEB應(yīng)用系統(tǒng)漏洞，面向客戶端的攻擊手段。3.

表單繞過(guò)攻擊WEB采用表單來(lái)收集訪問(wèn)者的用戶名和密碼以確認(rèn)其是否具有足夠權(quán)限訪問(wèn)*些信息，然后該表單被發(fā)送到Web服務(wù)器進(jìn)行處理。接下來(lái)，服務(wù)器端ASP腳本根據(jù)表單提供的信息生成SQL指令語(yǔ)句提交到SQL服務(wù)器，并通過(guò)分析SQL服務(wù)器的返回結(jié)果來(lái)判斷該用戶名/密碼組合是否有效。表單繞過(guò)攻擊就是指利用表單存在的安全漏洞，通過(guò)構(gòu)造一些畸形的特殊提交語(yǔ)句，繞過(guò)表單安全認(rèn)證的一種攻擊手段。例1：*大學(xué)分析測(cè)試中心后臺(tái)管理系統(tǒng)存在表單繞過(guò)漏洞，可直接獲取后臺(tái)管理權(quán)限。

4.3

多層防護(hù)系統(tǒng)建設(shè)系統(tǒng)基本的組成為代碼和后臺(tái)數(shù)據(jù)，在系統(tǒng)結(jié)構(gòu)方面由WEB服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器構(gòu)成，所以安全關(guān)注方面應(yīng)該涵蓋WEB服務(wù)器的安全及數(shù)據(jù)庫(kù)服務(wù)器的安全。從整體的應(yīng)用安全防護(hù)角度出發(fā)，通過(guò)的整體安全檢測(cè)、主動(dòng)防御、監(jiān)控審計(jì)三部分的全面部署，是系統(tǒng)的應(yīng)用安全配置達(dá)到比較高的水平，促使系統(tǒng)運(yùn)行在比較安全的應(yīng)用環(huán)境。所以整體多層防護(hù)系統(tǒng)由WEB應(yīng)用弱點(diǎn)掃描子系統(tǒng)、防攻擊子系統(tǒng)、防篡改子系統(tǒng)、應(yīng)用安全審計(jì)子系統(tǒng)、數(shù)據(jù)庫(kù)弱點(diǎn)掃描子系統(tǒng)、數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)總共7大子系統(tǒng)構(gòu)成，從各個(gè)層面和各個(gè)角度為系統(tǒng)建立立體防御體系。的整體安全檢測(cè)由WEB應(yīng)用弱點(diǎn)掃描子系統(tǒng)和數(shù)據(jù)庫(kù)弱點(diǎn)掃描子系統(tǒng)來(lái)完成。首先由WEB應(yīng)用弱點(diǎn)掃描子系統(tǒng)通過(guò)掃描，快速檢測(cè)可能存在的SQL注入、跨站腳本、表單繞過(guò)、Cookie注入、程序后門(mén)等應(yīng)用弱點(diǎn)，根據(jù)檢測(cè)結(jié)果能夠針對(duì)性的采取有效的安全加固措施。通過(guò)數(shù)據(jù)庫(kù)弱點(diǎn)掃描子系統(tǒng)能夠有效檢測(cè)作為后臺(tái)支撐的數(shù)據(jù)庫(kù)系統(tǒng)，快速識(shí)別數(shù)據(jù)庫(kù)系統(tǒng)存在的補(bǔ)丁狀況、弱配置狀況等安全隱患，通過(guò)有效應(yīng)對(duì)，盡可能防通過(guò)各種途徑對(duì)后臺(tái)數(shù)據(jù)的入侵。主動(dòng)防御由防攻擊子系統(tǒng)、防篡改子系統(tǒng)共同來(lái)完成。防攻擊子系統(tǒng)通過(guò)實(shí)時(shí)檢測(cè)和分析所有的訪問(wèn)請(qǐng)求，識(shí)別各類(lèi)惡意訪問(wèn)和攻擊，實(shí)行阻斷且快速報(bào)警，并形成日志。通過(guò)防篡改子系統(tǒng)的防護(hù)，可以保護(hù)相關(guān)頁(yè)面不被篡改，杜絕非法容的外流，防止由于網(wǎng)頁(yè)篡改給單位帶來(lái)的形象上及經(jīng)濟(jì)上的損失。監(jiān)控審計(jì)通過(guò)應(yīng)用安全審計(jì)子系統(tǒng)、數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)實(shí)現(xiàn)。應(yīng)用安全審計(jì)子系統(tǒng)平臺(tái)通過(guò)深度檢測(cè)所有的HTTP訪問(wèn)數(shù)據(jù)，實(shí)現(xiàn)對(duì)訪問(wèn)進(jìn)行7*24小時(shí)實(shí)時(shí)監(jiān)控，通過(guò)系統(tǒng)可以一目了了的了解被訪問(wèn)的情況，一旦檢測(cè)到異常訪問(wèn)和攻擊行為，系統(tǒng)會(huì)及時(shí)報(bào)警，并且以各種方式通知維護(hù)員，從而可以在第一時(shí)間采取相關(guān)安全應(yīng)急措施。系統(tǒng)的日志功能，為安全審計(jì)提供了基礎(chǔ)，日志信息包括詳細(xì)的訪問(wèn)信息及訪問(wèn)容，為對(duì)各類(lèi)攻擊及異常訪問(wèn)的完整追溯提供了基礎(chǔ)。數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)能夠檢視所有的針對(duì)數(shù)據(jù)庫(kù)服務(wù)器的訪問(wèn)，除了日常的SQL，還包括通過(guò)FTP、TELNET等其他的訪問(wèn)方式，可以實(shí)現(xiàn)后臺(tái)數(shù)據(jù)庫(kù)運(yùn)行可視化、日常操作可監(jiān)控、危險(xiǎn)操作可控制、所有行為可審計(jì)、安全事件可追溯。校園的風(fēng)險(xiǎn)評(píng)估的方法的風(fēng)險(xiǎn)評(píng)估一般從兩方面進(jìn)行，一方面從部審核它的各項(xiàng)配置是否正確，軟件有沒(méi)有及時(shí)升級(jí)；另一方面從外部滲透測(cè)試，這方面的評(píng)估流程圖如圖所示。確定目標(biāo)確定目標(biāo)信息搜集信息搜集分析漏洞分析漏洞嘗試攻擊嘗試攻擊提出解決方案提出解決方案審核方案審核方案說(shuō)明：(1確定目標(biāo)即是確定要評(píng)估的。(2信息搜集包括多方面的信息：iwhois，dns上查找目標(biāo)的IP地址，域名信息以及其他一些注冊(cè)信息。ii掃描器掃描服務(wù)器開(kāi)放的端口，通過(guò)端口號(hào)判斷開(kāi)放服務(wù)的類(lèi)型。iii這些服務(wù)，通過(guò)獲得banner或是出錯(cuò)信息獲得服務(wù)器所使用的操作系統(tǒng)、應(yīng)用軟件、庫(kù)、腳本語(yǔ)言的類(lèi)型和版本信息。(3)分析漏洞是利用搜集來(lái)的信息分析存在的脆弱點(diǎn)，可以人工分析，對(duì)于常見(jiàn)的一些漏洞可以借助漏洞掃描器進(jìn)行測(cè)試。(4)嘗試攻擊是利用分析得到的脆弱點(diǎn)進(jìn)行攻擊。因?yàn)榧词箤ふ业搅舜嗳觞c(diǎn)也不意味者攻擊一定能成功，需要在嘗試攻擊中更加深入地了解系統(tǒng)，往往在這個(gè)過(guò)程中能發(fā)現(xiàn)平時(shí)不易察覺(jué)的漏洞。(5提出解決方案是給出針對(duì)已經(jīng)發(fā)現(xiàn)的漏洞進(jìn)行修補(bǔ)和防護(hù)的措施。(6審核方案是對(duì)已經(jīng)做過(guò)防護(hù)的再做測(cè)試，驗(yàn)證解決方案的有效性，如果有一個(gè)漏洞沒(méi)有修補(bǔ)就要退回上一步繼續(xù)執(zhí)行。防護(hù)體系結(jié)構(gòu)圖：實(shí)施安全評(píng)估方案前后：校園的安全需求校園的服務(wù)器存儲(chǔ)大量信息，要保證信息的真實(shí)性、可用性和完整性，其安全需求有：(1對(duì)服務(wù)器訪問(wèn)要進(jìn)行安全身份認(rèn)證，非認(rèn)證用戶無(wú)法進(jìn)行訪問(wèn)；(2服務(wù)器提供的資源受控制，防止非授權(quán)人員拷貝、修改、發(fā)送；(3支持遠(yuǎn)程安全管理，管理員能夠從遠(yuǎn)程進(jìn)行安全登錄，為其傳輸?shù)男畔⒓用埽?4服務(wù)器的操作行為有嚴(yán)格的審核，能夠防止黑客有意刪除；(5服務(wù)的安全狀態(tài)能夠?qū)崟r(shí)顯示，各種安全組件的工作狀態(tài)能夠被監(jiān)測(cè)到；(6服務(wù)器在受到損害時(shí)，至少能做到數(shù)據(jù)恢復(fù)可用。校園安全解決方案安全這個(gè)話題是多層次的，一個(gè)要安全必須滿足物理安全、鏈路安全、網(wǎng)絡(luò)級(jí)安全、應(yīng)用安全和用戶安全這5個(gè)層次。大多數(shù)校園沒(méi)有完整的采取防護(hù)措施，因此，建立一套有效的網(wǎng)絡(luò)安全機(jī)就顯得尤為重要，以下是必須考慮的安全防護(hù)要點(diǎn)：6.1部署防火墻在互聯(lián)網(wǎng)與校園網(wǎng)網(wǎng)之間部署了硬件防火墻，其中、、FTP、DNS服務(wù)器連接在防火墻的DMZ區(qū)，與、外網(wǎng)間進(jìn)行隔離，網(wǎng)口連接校園網(wǎng)網(wǎng)交換機(jī)，外網(wǎng)口通過(guò)路由器與互聯(lián)網(wǎng)連接。這樣，通過(guò)互聯(lián)網(wǎng)進(jìn)來(lái)的外網(wǎng)用戶只能訪問(wèn)到對(duì)外公開(kāi)的一些服務(wù)（如、、FTP、DNS等），既保護(hù)網(wǎng)資源不被非法訪問(wèn)或破壞，也阻止了部用戶對(duì)外部不良資源的使用，并能夠?qū)Πl(fā)生的安全事件進(jìn)行跟蹤和審核。在的服務(wù)器上安裝軟件防火墻后還要進(jìn)一步設(shè)置訪問(wèn)策略。6.2漏洞及補(bǔ)丁管理校園網(wǎng)是一個(gè)由多協(xié)議、多系統(tǒng)、多應(yīng)用、多用戶組成的復(fù)雜性網(wǎng)絡(luò)環(huán)境，校園網(wǎng)中的網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用軟件都存在難以避免的安全漏洞。為了要保障校園的安全,必須做好漏洞管理。6.3備份和恢復(fù)數(shù)據(jù)是整個(gè)網(wǎng)絡(luò)的核心。數(shù)據(jù)一旦被破壞或丟失，對(duì)于Web服務(wù)器，嚴(yán)重影響學(xué)校的形象；對(duì)于服務(wù)器，影響了學(xué)校員工的對(duì)外聯(lián)系；對(duì)于數(shù)據(jù)庫(kù)服務(wù)器，將嚴(yán)重影響到教學(xué)的正常進(jìn)行。所以做一套完整的數(shù)據(jù)備份和恢復(fù)機(jī)制可以在服務(wù)器發(fā)生故障時(shí)將損失降低到最小。6.4安裝反病毒軟件病毒、木馬、蠕蟲(chóng)等惡意代碼是的主要安全隱患，必須做到有效控制?，F(xiàn)在的反病毒軟件查殺面也非常廣，還具有注冊(cè)表、文件、、存等監(jiān)控功能。在服務(wù)器上安反病毒軟件能從、FTP文件、網(wǎng)頁(yè)、軟盤(pán)、光盤(pán)等所有可能帶來(lái)病毒的信息源進(jìn)行監(jiān)控和病毒攔截。安裝完后要及時(shí)升級(jí)，這樣殺毒軟件查殺能力能夠覆蓋最新的惡意代碼。6.5和密碼管理校園網(wǎng)設(shè)備和系統(tǒng)中一般采用賬號(hào)和密碼來(lái)識(shí)別用戶，劃分用戶權(quán)限。一旦攻擊者獲得了這些信息，他就能行駛賬號(hào)所有人的權(quán)限，因此必須重視用戶賬號(hào)、密碼的管理。人們常用的賬號(hào)通常是自己名字的拼音，密碼是自己或是親人的生日，這樣的設(shè)置是極度不安全的。制定安全的賬號(hào)和密碼時(shí)應(yīng)遵循一些規(guī)則：保證長(zhǎng)度大于8；要盡量混合使用大小寫(xiě)字符、數(shù)字和特殊字符；定期修改密碼；避免在不同場(chǎng)合使用相同密碼等。6.6安全管理安全不是簡(jiǎn)單的技術(shù)問(wèn)題，不落實(shí)到管理，再好的技術(shù)、設(shè)備也是徒勞的。所以，加強(qiáng)校園的安全性不光技術(shù)層面上加強(qiáng)，還要提高廣大管理員和學(xué)生的安全意識(shí)，做好安全培訓(xùn)工作，提供完善的安全服務(wù)，制定切實(shí)可行的管理制度。（1安全培訓(xùn)：最終用戶的安全意識(shí)是信息系統(tǒng)是否安全的決定因素，因此對(duì)校園網(wǎng)絡(luò)用戶的安全培訓(xùn)是整個(gè)安全體系中重要、不可或缺的一部分。對(duì)于用戶的安全意識(shí)的培訓(xùn)，可以安排在新生入學(xué)教育和新員工上崗培訓(xùn)，也可以開(kāi)展一些在職培訓(xùn)、學(xué)生選修課等形式的安全培訓(xùn)。對(duì)于系統(tǒng)管理員，一定要重視上崗培訓(xùn)。很多學(xué)校院系服務(wù)器的管理員都是由助教研究生來(lái)?yè)?dān)任的，這些學(xué)生沒(méi)有經(jīng)過(guò)必要的培訓(xùn)，容易留下大量的安全問(wèn)題。對(duì)于這些崗位的安全培訓(xùn)是當(dāng)前校園網(wǎng)安全管理非常迫切的環(huán)節(jié)。（2安全服務(wù)：安全服務(wù)容包括系統(tǒng)級(jí)、應(yīng)用級(jí)、客戶級(jí)安全服務(wù)。建議在校園成立一個(gè)信息安全風(fēng)險(xiǎn)評(píng)估小組，定期對(duì)校園進(jìn)行風(fēng)險(xiǎn)評(píng)估。（3安全制度：制度的制定要符合實(shí)際情況，不能是一紙空文，還要配備一定的監(jiān)督機(jī)制。主動(dòng)防御體系的建設(shè)防攻擊子系統(tǒng)是安恒結(jié)合多年應(yīng)用安全的攻防理論和應(yīng)急響應(yīng)實(shí)踐經(jīng)驗(yàn)積累的基礎(chǔ)上自主研發(fā)完成，滿足各類(lèi)法律法規(guī)如PCI、等級(jí)保護(hù)、企業(yè)部控制規(guī)等要求，以國(guó)首創(chuàng)的全透明部署模式全面支持HTTPS，在提供WEB應(yīng)用實(shí)時(shí)深度防御的同時(shí)實(shí)現(xiàn)WEB應(yīng)用加速及敏感信息泄露防護(hù)，為Web應(yīng)用提供全方位的防護(hù)解決方案。

系統(tǒng)功能：

◆深度防御防攻擊子系統(tǒng)基于安恒專(zhuān)利級(jí)WEB入侵異常檢測(cè)技術(shù)，對(duì)WEB應(yīng)用實(shí)施全面、深度防御，能夠有效識(shí)別、阻止日益盛行的WEB應(yīng)用黑客攻擊（如SQL注入、釣魚(yú)攻擊、表單繞過(guò)、緩沖區(qū)溢出、CGI掃描、目錄遍歷等）：

◆SQL注入

◆命令注入

◆Cookie注入

◆跨站腳本(*SS)

◆敏感信息泄露

◆惡意代碼

◆錯(cuò)誤配置

◆隱藏字段

◆會(huì)話劫持

◆參數(shù)篡改

◆緩沖區(qū)溢出

◆應(yīng)用層拒絕服務(wù)

◆弱口令

◆其他變形的應(yīng)用攻擊

◆Web應(yīng)用加速系統(tǒng)嵌應(yīng)用加速模塊，通過(guò)對(duì)各類(lèi)靜態(tài)頁(yè)面及部分腳本的高速緩存，大大提高訪問(wèn)速度。

◆敏感信息泄露防護(hù)系統(tǒng)置安全防護(hù)策略，可以靈活定義HTTP/HTTPS錯(cuò)誤返回的默認(rèn)頁(yè)面，避免因?yàn)閃EB服務(wù)異常，導(dǎo)致敏感信息（如：WEB應(yīng)用安裝目錄、WEB服務(wù)器版本信息等）的泄露。

◆策略配置自定義策略配置

◆告警實(shí)時(shí)告警，支持、短信等多種方式告警。

◆系統(tǒng)報(bào)表支持自定義報(bào)表，支持各類(lèi)導(dǎo)出格式（WORD、E*CEL、PDF、HTML等）。系統(tǒng)特點(diǎn)

◆專(zhuān)利級(jí)WEB入侵異常檢測(cè)引擎獨(dú)有WEB入侵異常檢測(cè)引擎，能夠有效分析和識(shí)別各類(lèi)已知和變形的應(yīng)用攻擊，為防御的準(zhǔn)確性和高效性提供了基礎(chǔ)。

◆支持全透明部署業(yè)界首創(chuàng)支持全透明部署，無(wú)需更改原有的DNS或IP配置，對(duì)原有應(yīng)用不會(huì)造成任何影響。

◆HTTPS支持國(guó)首創(chuàng)全面支持HTTPS，實(shí)現(xiàn)各類(lèi)高安全要求WEB應(yīng)用系統(tǒng)的深度實(shí)時(shí)防護(hù)（如網(wǎng)銀、證券交易等）。

◆支持多保護(hù)對(duì)象

◆支持多臺(tái)主機(jī)對(duì)象的保護(hù)，包括不同域名不同IP，不同域名相同IP的情況

◆支持用戶自定義規(guī)則庫(kù)用戶可以根據(jù)數(shù)據(jù)包的特征關(guān)鍵字等自定義安全策略規(guī)則，來(lái)實(shí)現(xiàn)安全檢測(cè)及過(guò)濾

◆統(tǒng)一日志平臺(tái)接口

◆支持阻斷、告警、By-Pass等多種應(yīng)用模式防篡改子系統(tǒng)

：防篡改子系統(tǒng)是業(yè)界首創(chuàng)的新一代防篡改系統(tǒng)，采用目前最新服務(wù)器核心嵌技術(shù)、核驅(qū)動(dòng)級(jí)文件保護(hù)技術(shù)、基于事件觸發(fā)式監(jiān)測(cè)機(jī)制，高效實(shí)現(xiàn)網(wǎng)頁(yè)監(jiān)測(cè)、即時(shí)容恢復(fù)、杜絕了被非法篡改、用戶瀏覽非法容的可能。

防篡改子系統(tǒng)的特點(diǎn)：

◆新一代核驅(qū)動(dòng)級(jí)文件保護(hù)，確保防護(hù)功能不被惡意攻擊者非法終止

◆采用核心嵌技術(shù)，支持大規(guī)模連續(xù)篡改攻擊防護(hù)

◆實(shí)時(shí)檢測(cè)與容恢復(fù)，完全杜絕被篡改容被外界瀏覽

◆支持?jǐn)嗑€/連線狀態(tài)下篡改檢測(cè)

◆支持多服務(wù)器、多站點(diǎn)

◆保護(hù)各種類(lèi)型文件：如ASP、ASP*、JSP、HTM、HTML、SHTML、PHP、CGI等眾多網(wǎng)頁(yè)文件及其它各類(lèi)文檔、圖片、多媒體文件。3.監(jiān)控審計(jì)體系的建立主要功能：

◆全方位的攻擊告警：當(dāng)（或其他Web應(yīng)用程序）代碼受到WEB應(yīng)用層的已知及未知攻擊時(shí)，能夠提供多形式的實(shí)時(shí)告警。

◆多協(xié)議的訪問(wèn)監(jiān)控：提供對(duì)WEB應(yīng)用及WEB服務(wù)器的訪問(wèn)實(shí)時(shí)監(jiān)控及回放功能，為安全事件的快速查詢(xún)、定位、成因分析、責(zé)任認(rèn)定提供有力的證據(jù)。

◆豐富的監(jiān)控審計(jì)：實(shí)現(xiàn)用戶訪問(wèn)WEB應(yīng)用的統(tǒng)計(jì)分析，如：訪問(wèn)時(shí)段統(tǒng)計(jì)、攻擊源統(tǒng)計(jì)、攻擊類(lèi)型統(tǒng)計(jì)、受攻擊頁(yè)面統(tǒng)計(jì)、訪問(wèn)頁(yè)面數(shù)、訪問(wèn)流量、TOP10請(qǐng)求包長(zhǎng)度等。產(chǎn)品特性：

◆零風(fēng)險(xiǎn)：旁路部署模式，無(wú)需改變現(xiàn)有網(wǎng)絡(luò)體系結(jié)構(gòu)及應(yīng)用程序，實(shí)現(xiàn)應(yīng)用層的零風(fēng)險(xiǎn)部署。

◆全方位：實(shí)現(xiàn)對(duì)各類(lèi)WEB攻擊（已知攻擊、變形攻擊、未知攻擊）的全方位、多層次攻擊告警。

◆高性能：基于硬件加速技術(shù)確保WebMonitor具備高吞吐、低延時(shí)，保證了2～7層深度過(guò)濾超越千兆性能。

◆高可靠：提供多層次的物理保護(hù)、掉電保護(hù)、自我監(jiān)測(cè)及冗余部署，提升設(shè)備整體可靠性，達(dá)到99.9999%的可靠性。

◆易操作：充分考慮國(guó)用戶的使用和維護(hù)習(xí)慣，自動(dòng)實(shí)現(xiàn)規(guī)則的生成，彌補(bǔ)手工創(chuàng)建及維護(hù)安全規(guī)則的不足；依靠置的安全策略配合完全自定義策略，滿足不同層次使用人員的個(gè)性化需求。

數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)安恒自主研發(fā)完成的業(yè)界首創(chuàng)細(xì)粒度審計(jì)、精準(zhǔn)化行為回溯、全方位風(fēng)險(xiǎn)控制的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)。主要功能細(xì)粒度審計(jì)：

◆有別于傳統(tǒng)的簡(jiǎn)單SQL語(yǔ)句還原，通過(guò)對(duì)不同數(shù)據(jù)庫(kù)的SQL語(yǔ)義分析，提取出SQL中相關(guān)的要素（用戶、SQL操作、表、字段…）

◆全方位的實(shí)時(shí)審計(jì)：實(shí)時(shí)監(jiān)控來(lái)自各個(gè)層面的所有數(shù)據(jù)庫(kù)活動(dòng)。如：來(lái)自應(yīng)用程序發(fā)起的數(shù)據(jù)庫(kù)操作請(qǐng)求、來(lái)自數(shù)據(jù)庫(kù)客戶端工具的操作請(qǐng)求等

◆通過(guò)遠(yuǎn)程命令行執(zhí)行的SQL命令也能夠被審計(jì)與分析

◆完善的雙向?qū)徲?jì)：系統(tǒng)不僅對(duì)數(shù)據(jù)庫(kù)操作請(qǐng)求進(jìn)行實(shí)時(shí)審計(jì)，而且還可對(duì)數(shù)據(jù)庫(kù)系統(tǒng)返回結(jié)果進(jìn)行完整的還原和審計(jì)精準(zhǔn)化行為回溯：

◆一旦發(fā)生安全事件，提供基于數(shù)據(jù)庫(kù)對(duì)象（用戶、表、字段及記錄容）的完全自定義審計(jì)