| 您當(dāng)前位置：保定理工學(xué)院 >> 信息技術(shù)中心 >> 網(wǎng)絡(luò)安全 >> 瀏覽文章 |
|
高校網(wǎng)站安全防護(hù)體系構(gòu)建方案 【網(wǎng)絡(luò)安全】 加入時(shí)間：2023年11月28日 信息來源：本站原創(chuàng) 作者：admin 訪問量： |
2022年《北京教育信息化“十四五”規(guī)劃》中提出“健全防護(hù)體系，提升教育系統(tǒng)網(wǎng)絡(luò)安全保障能力”，從落實(shí)法律法規(guī)、加快技術(shù)應(yīng)用、提升網(wǎng)絡(luò)安全監(jiān)測、健全數(shù)據(jù)安全、開展網(wǎng)絡(luò)安全宣傳教育和培訓(xùn)幾個(gè)方面對學(xué)校的網(wǎng)站安全提出了具體要求。高校網(wǎng)站作為高校信息化建設(shè)的重要組成部分和最直接的成果展示，其安全防護(hù)非常重要。
隨著高校主站、部處院系網(wǎng)站、學(xué)術(shù)研究機(jī)構(gòu)網(wǎng)站建設(shè)規(guī)模逐漸增大，網(wǎng)站統(tǒng)一監(jiān)管難度增大，安全防護(hù)難度也隨之增大，網(wǎng)站安全事故頻發(fā)。網(wǎng)站能否給公眾提供信息展示且滿足信息安全的要求，直接影響著高校的社會(huì)形象和招生、就業(yè)、宣傳等工作。目前，急需研究如何精細(xì)化網(wǎng)站安全管理手段、利用各類安全技術(shù)、適應(yīng)網(wǎng)絡(luò)安全新形勢，保證網(wǎng)站的安全，推動(dòng)高校網(wǎng)站的健康發(fā)展。
網(wǎng)站安全形勢嚴(yán)峻
高校網(wǎng)站安全問題關(guān)系學(xué)校的公信力和影響力，直接影響著學(xué)校部分職能的行使，關(guān)乎學(xué)校廣大師生校友的切身利益。目前，高校網(wǎng)站的安全形勢比較嚴(yán)峻，主要表現(xiàn)在以下三個(gè)方面。
首先，網(wǎng)站“重建設(shè)、輕管理”，網(wǎng)站安全制度和組織保障不完善。當(dāng)前高校網(wǎng)站的安全制度不夠完善，沒有成體系的、完整的網(wǎng)站安全管理制度，而且網(wǎng)站安全制度的制定、修訂、發(fā)布和執(zhí)行沒有規(guī)范的流程，導(dǎo)致網(wǎng)站安全管理制度不受重視，制度不能順利執(zhí)行。
高校對網(wǎng)站安全組織和人員方面的重視程度和投入還不夠，往往只有信息中心的一兩位工作人員在負(fù)責(zé)網(wǎng)站安全管理工作，不能保證全校網(wǎng)站安全管理的工作效率，也無法涵蓋所有部門的網(wǎng)站安全管理內(nèi)容。缺少從管理決策、組織協(xié)調(diào)、執(zhí)行落實(shí)等自上而下的安全組織保障體系。
其次，網(wǎng)站“重業(yè)務(wù)、輕安全”，網(wǎng)站安全防范意識(shí)不強(qiáng)。目前高校建設(shè)了學(xué)校主站、部門二級子站、學(xué)院研究機(jī)構(gòu)網(wǎng)站等數(shù)百個(gè)網(wǎng)站，但是網(wǎng)站使用單位的網(wǎng)站管理者只重視網(wǎng)站的內(nèi)容維護(hù)，而輕視網(wǎng)站安全方面存在的隱患。
同時(shí)，網(wǎng)站安全人員由于未經(jīng)系統(tǒng)化的網(wǎng)絡(luò)安全技術(shù)培訓(xùn)，導(dǎo)致其網(wǎng)站安全防范意識(shí)不強(qiáng)，不熟悉病毒防護(hù)、密碼保護(hù)和漏洞修復(fù)等網(wǎng)站安全操作，從而使其負(fù)責(zé)的網(wǎng)站系統(tǒng)很容易受到黑客攻擊，埋下非法訪問或信息泄露等網(wǎng)站安全隱患。
最后，網(wǎng)站“重建設(shè)、輕監(jiān)測”，網(wǎng)站安全監(jiān)測能力不強(qiáng)。在網(wǎng)站產(chǎn)生漏洞，甚至網(wǎng)站被掛馬或網(wǎng)頁內(nèi)容被篡改等情況發(fā)生時(shí)，網(wǎng)站管理者往往不能第一時(shí)間發(fā)現(xiàn)，經(jīng)常出現(xiàn)被動(dòng)防護(hù)、屢遭攻擊篡改的情況。造成損失后，網(wǎng)站管理者才會(huì)意識(shí)到出現(xiàn)了網(wǎng)站安全問題。由此可見，高校缺少完善的網(wǎng)站安全監(jiān)測體系，對高校各網(wǎng)站進(jìn)行實(shí)時(shí)監(jiān)測和統(tǒng)一防護(hù)，以實(shí)現(xiàn)網(wǎng)站監(jiān)測預(yù)警、事前防御。
網(wǎng)站安全防護(hù)架構(gòu)
結(jié)合目前網(wǎng)站建設(shè)、運(yùn)營和安全管理的實(shí)際情況，高?？蓮陌踩芾?、安全技術(shù)、安全運(yùn)營三個(gè)方面構(gòu)建一個(gè)全方位的、可行的、高效的網(wǎng)站安全防護(hù)體系，總體架構(gòu)如圖1所示。
圖1 高校網(wǎng)絡(luò)安全防護(hù)體系總體架構(gòu)
網(wǎng)站安全管理體系
1.安全管理制度。在遵循國家政策法規(guī)和符合信息安全標(biāo)準(zhǔn)規(guī)范的基礎(chǔ)上，建立完善的網(wǎng)站安全管理規(guī)范體系。這一體系是保障網(wǎng)站安全的法律基礎(chǔ)，提出全面的安全管理要求，包括安全策略、管理制度、制定和發(fā)布以及評審和修訂；完善網(wǎng)站安全準(zhǔn)入制度、網(wǎng)站登記備案制度、網(wǎng)站安全檢查制度、網(wǎng)站安全事件通報(bào)與處理制度；通過一系列的網(wǎng)站安全管理規(guī)范，明確各管理部門和人員的權(quán)利、責(zé)任和義務(wù)，為高校網(wǎng)站安全提供管理依據(jù)。
2.安全組織保障。為保障高校網(wǎng)站安全，需建立完善的網(wǎng)站安全組織體系，包括領(lǐng)導(dǎo)決策、組織協(xié)調(diào)、管理執(zhí)行三個(gè)層次的安全組織體系（如圖2所示）。
圖2 高校網(wǎng)站安全組織保障體系
第一層依托高?，F(xiàn)有的網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組，加強(qiáng)高校網(wǎng)站與信息安全工作的統(tǒng)籌領(lǐng)導(dǎo)和重大安全事項(xiàng)的決策；
第二層信息中心是高校網(wǎng)絡(luò)與信息安全的常設(shè)機(jī)構(gòu)，全面負(fù)責(zé)高校網(wǎng)站安全管理與組織協(xié)調(diào)工作；
第三層包括信息中心下屬的安全管理中心，為各院系/部處部門的網(wǎng)站安全提供技術(shù)支持和安全培訓(xùn)，負(fù)責(zé)網(wǎng)站安全技術(shù)體系建設(shè)及運(yùn)行管理。院系/部處的網(wǎng)站管理人員和安全聯(lián)絡(luò)人員負(fù)責(zé)本部的網(wǎng)站安全工作。安全中心的安全管理員定期將有檢測漏洞的網(wǎng)站報(bào)告通報(bào)給院系/部處的網(wǎng)站管理人員和安全聯(lián)絡(luò)人員，進(jìn)行網(wǎng)站安全整改。
3.安全運(yùn)維管理。網(wǎng)站安全運(yùn)維管理包括網(wǎng)站服務(wù)器巡檢、服務(wù)監(jiān)控、進(jìn)程監(jiān)控、異常登錄監(jiān)測。
網(wǎng)站服務(wù)器巡檢一般一周或兩周一次，出具巡檢報(bào)告。巡檢內(nèi)容包括網(wǎng)站系統(tǒng)服務(wù)器和Web服務(wù)器的CPU使用情況、內(nèi)存使用情況、磁盤空間使用情況、Apache運(yùn)行情況、日志文件情況、數(shù)據(jù)庫備份情況、文件備份情況、備機(jī)同步情況等。如有異常需及時(shí)進(jìn)行處理。
監(jiān)控網(wǎng)站系統(tǒng)的服務(wù)運(yùn)行狀態(tài)，包括服務(wù)名稱、服務(wù)性能、服務(wù)狀態(tài)是否正常、所用端口、端口響應(yīng)時(shí)間及變化趨勢等。展示指定服務(wù)器最新進(jìn)程數(shù)據(jù)列表，顯示各進(jìn)程對服務(wù)器資源的使用情況。系統(tǒng)每小時(shí)抓取一次服務(wù)器進(jìn)程并與上一次數(shù)據(jù)進(jìn)行對比，記錄進(jìn)程的變化情況，用于分析和追溯服務(wù)器異常情況。
對網(wǎng)站后臺(tái)系統(tǒng)異地登錄進(jìn)行監(jiān)測和提醒、非白名單IP登錄提醒、非法賬號(hào)登錄提醒等，記錄異常登錄的IP地址、登錄方式、登錄時(shí)間、登錄地點(diǎn)等。
4.網(wǎng)站備案管理。網(wǎng)站備案管理按照“誰主管誰負(fù)責(zé)、誰建設(shè)誰負(fù)責(zé)”的原則，學(xué)校二級部門負(fù)責(zé)本部門所有網(wǎng)站的備案申請工作，填寫備案申請表，提交信息處進(jìn)行備案。網(wǎng)站備案申請的內(nèi)容包括申請單位、網(wǎng)站名稱、硬件設(shè)備位置等（如圖3所示）。
圖3 網(wǎng)站備案申請表示意
信息處負(fù)責(zé)審批網(wǎng)站的備案申請，分配和管理備案號(hào)，對已備案的網(wǎng)站進(jìn)行監(jiān)督和安全檢測。網(wǎng)站將備案號(hào)標(biāo)注在網(wǎng)站底部。信息中心可以全面掌握學(xué)校所有的網(wǎng)站情況，沒有備案登記的系統(tǒng)不允許對外開放。通過網(wǎng)站備案管理，可以實(shí)現(xiàn)學(xué)校網(wǎng)站安全的統(tǒng)一防護(hù)和管理。
網(wǎng)站安全技術(shù)體系
1.物理安全。核心機(jī)房出入口安排專人管理，配置電子門禁系統(tǒng)，進(jìn)出機(jī)房需填寫《核心機(jī)房進(jìn)出登記表》；配備機(jī)房監(jiān)控系統(tǒng)，對機(jī)房溫濕度、空調(diào)、UPS、門禁、消防和漏水檢測等基礎(chǔ)環(huán)境進(jìn)行監(jiān)控和報(bào)警。同時(shí)，在分?；虍惖亟⒕W(wǎng)站系統(tǒng)容災(zāi)備份，以實(shí)現(xiàn)兩地網(wǎng)站系統(tǒng)的運(yùn)行監(jiān)視和快速切換恢復(fù)。
2.網(wǎng)絡(luò)安全。在網(wǎng)絡(luò)安全方面，安裝部署入侵檢測系統(tǒng)，實(shí)時(shí)檢測網(wǎng)絡(luò)通信；配備邊界防火墻，有效隔離內(nèi)網(wǎng)和互聯(lián)網(wǎng)；對學(xué)校相關(guān)網(wǎng)站安裝SSL證書，保證網(wǎng)站數(shù)據(jù)傳輸?shù)陌踩裕煌ㄟ^配置防火墻來啟用端口過濾、啟用IP地址過濾以阻止DDoS攻擊；通過網(wǎng)絡(luò)流量分析及時(shí)發(fā)現(xiàn)DDoS攻擊并采取措施。
3.應(yīng)用安全。在應(yīng)用安全方面，根據(jù)學(xué)校整體的網(wǎng)絡(luò)安全要求，部署Web應(yīng)用防火墻，對學(xué)校網(wǎng)站進(jìn)行Web防護(hù)、網(wǎng)頁保護(hù)、負(fù)載均衡等；部署網(wǎng)頁防篡改系統(tǒng)，對網(wǎng)站內(nèi)部進(jìn)行文件實(shí)時(shí)監(jiān)控，一旦發(fā)現(xiàn)有對網(wǎng)頁進(jìn)行修改、刪除等非法操作時(shí)，立即進(jìn)行實(shí)時(shí)自動(dòng)恢復(fù)；網(wǎng)站應(yīng)用程序代碼安全方面，防范SQL注入、跨站腳本攻擊、文件上傳漏洞、系統(tǒng)信息泄露、不同權(quán)限賬戶之間存在越權(quán)訪問、跨站請求偽造、IIS目錄漏洞等。
4.數(shù)據(jù)安全。在數(shù)據(jù)安全方面，嚴(yán)格用戶訪問控制，例如不允許私自新建用戶，需要從學(xué)校的LDAP里同步用戶；配置要求用戶定期修改口令，開啟弱密碼檢測，提供登錄失敗處理功能；網(wǎng)站進(jìn)行Session校驗(yàn)，防止未經(jīng)授權(quán)的人員非法登錄網(wǎng)站；建議使用BCrypt加密方式對系統(tǒng)用戶密碼進(jìn)行加密存儲(chǔ)；完善網(wǎng)站數(shù)據(jù)備份策略，例如每日對網(wǎng)站數(shù)據(jù)庫文件備份，實(shí)時(shí)備份網(wǎng)站的圖片、附件、樣式表等信息，為數(shù)據(jù)的存儲(chǔ)備份和數(shù)據(jù)恢復(fù)提供安全保障。
網(wǎng)站安全運(yùn)營體系
1.安全漏洞掃描。信息中心定期對學(xué)校的網(wǎng)站進(jìn)行安全漏洞掃描，包括系統(tǒng)漏洞和Web漏洞的掃描。網(wǎng)站在上線前必須通過掃描系統(tǒng)進(jìn)行安全性檢查。網(wǎng)站漏洞掃描后，將漏洞風(fēng)險(xiǎn)報(bào)告發(fā)送給網(wǎng)站建設(shè)單位，要求其修復(fù)高危和中危漏洞。網(wǎng)站整改完成后再次進(jìn)行安全漏洞掃描，直到?jīng)]有中高危漏洞時(shí)才能上線提供對外服務(wù)，以確保網(wǎng)站的安全。
對于上線后的網(wǎng)站，每月定期進(jìn)行安全掃描。信息中心負(fù)責(zé)對漏洞修復(fù)和整改情況進(jìn)行復(fù)核，還可以通過設(shè)置安全檢測時(shí)間查詢一定時(shí)間段內(nèi)漏洞掃描的結(jié)果，包括嚴(yán)重、高、中、低危漏洞數(shù)量的情況。如圖4所示，可查看對比每次安全檢測新增漏洞的風(fēng)險(xiǎn)級別和情況特征。對超過規(guī)定時(shí)間未完成漏洞修復(fù)的網(wǎng)站，信息中心將關(guān)閉網(wǎng)站外網(wǎng)訪問。
圖4 網(wǎng)站漏洞掃描結(jié)果對比情況
2.網(wǎng)站健康度檢測。如圖5所示，提供監(jiān)測網(wǎng)站的健康度數(shù)值，以及網(wǎng)站存在的斷鏈、敏感詞、外部鏈接。掌握網(wǎng)站的健康情況與風(fēng)險(xiǎn)數(shù)值，通過掃描結(jié)果可以快速定位風(fēng)險(xiǎn)源鏈接。
圖5 網(wǎng)站健康度情況
通過斷鏈掃描監(jiān)測，可以直觀顯示出當(dāng)前已經(jīng)過期或者不能訪問的頁面地址。不規(guī)范的劣質(zhì)外部鏈接會(huì)給網(wǎng)站帶來風(fēng)險(xiǎn)，展示不屬于本網(wǎng)站或指向第三方網(wǎng)站的鏈接地址。
結(jié)合語義分析和預(yù)設(shè)敏感詞庫，自動(dòng)識(shí)別涉政、涉限、暴力傾向、不健康色彩的文字。通過健康度掃描工具，可以快速查掃網(wǎng)站帶有敏感詞的文章鏈接，點(diǎn)擊鏈接可以快速定位到敏感詞，方便后臺(tái)管理員快速查找敏感詞源頭并對其快速修改，阻斷敏感源造成的負(fù)面影響。
3.網(wǎng)站熱力圖分析。網(wǎng)站熱力圖通過統(tǒng)計(jì)點(diǎn)擊流數(shù)據(jù)分析，圓型色斑顯示，以顏色變化展現(xiàn)訪客在頁面上的點(diǎn)擊分布情況；通過顏色的深淺，可以明顯看出用戶點(diǎn)擊了哪里，哪一區(qū)域點(diǎn)擊量高，哪一篇文章用戶閱讀得多，同時(shí)能直觀反映用戶對網(wǎng)頁上內(nèi)容的點(diǎn)擊情況，為網(wǎng)站運(yùn)營管理提供了直觀的參考模型。
4.網(wǎng)頁快照。系統(tǒng)會(huì)定時(shí)抓取運(yùn)行網(wǎng)站的首頁樣式，對網(wǎng)頁進(jìn)行備份，并存在自己的服務(wù)器里。通過網(wǎng)頁快照，搜索引擎將Spider系統(tǒng)當(dāng)時(shí)所抓取并保存的網(wǎng)頁內(nèi)容展現(xiàn)出來。如因突發(fā)事件導(dǎo)致網(wǎng)站無法訪問或者丟失數(shù)據(jù)時(shí)，可以通過網(wǎng)頁快照作為恢復(fù)網(wǎng)站以往版本的參考依據(jù)。
5.僵尸網(wǎng)站監(jiān)控。信息中心定期對超過半年沒有更新的僵尸網(wǎng)站進(jìn)行監(jiān)控管理。系統(tǒng)提供半年內(nèi)更新次數(shù)為0的網(wǎng)站列表。采用多維度統(tǒng)計(jì)數(shù)值，可以按半年內(nèi)更新次數(shù)、周訪問量、月訪問量和年訪問量進(jìn)行排序，為僵尸網(wǎng)站的監(jiān)管提供數(shù)據(jù)依據(jù)。
6.態(tài)勢感知檢測。在信息中心建立態(tài)勢感知監(jiān)測平臺(tái)，通過可視化威脅檢測，檢測出包括暴力破解、Web攻擊、異常行為、漏洞攻擊等網(wǎng)站安全風(fēng)險(xiǎn)。通過采集網(wǎng)站流量數(shù)據(jù)和安全防護(hù)設(shè)備日志信息，并進(jìn)行數(shù)據(jù)處理和分析，提供態(tài)勢感知檢測威脅告警，實(shí)時(shí)為用戶呈現(xiàn)完整的攻擊態(tài)勢，進(jìn)而為安全事件的處置決策提供依據(jù)。
如今，人工智能等信息技術(shù)的不斷應(yīng)用，將為高校網(wǎng)站安全防護(hù)提供更深入的技術(shù)支持。在網(wǎng)站安全運(yùn)營體系中，高校還可以納入諸如信息安全等級保護(hù)定級、備案、測評等內(nèi)容，為高校網(wǎng)站安全提供全方位防護(hù)。
基金項(xiàng)目：對外經(jīng)濟(jì)貿(mào)易大學(xué)2022年智慧校園建設(shè)專項(xiàng)課題(ZHXY202205) 來源：《中國教育網(wǎng)絡(luò)》2023年7月刊 作者：張福蒸、王義（對外經(jīng)濟(jì)貿(mào)易大學(xué)網(wǎng)絡(luò)安全和信息化處） 責(zé)編：陳永杰 |