校園網(wǎng)站風險評估綜述-文庫吧
2025-06-14 04:11 本頁面
【正文】 、組織文化、人員素質以及具體開展的程度等因素來確定，使之能夠與組織的環(huán)境和安全要求相適應。252。 獲得最高管理者批準 上述所有內(nèi)容應得到組織的最高管理者的批準，并對管理層和員工進行傳達。二. 校園網(wǎng)站存在風險的原因 校園網(wǎng)站由于以下自身的特點，導致安全問題比較突出。 (1 校園網(wǎng)站有的是隸屬于學校的，有的是隸屬于某 一學院的，有的是屬于某一社團組織的，管理情況非常復 雜。用作網(wǎng)站服務器的計算機，有的院系是由技術人員負 責維護的，有些院系則沒有專人維護，服務器系統(tǒng)建設完 畢之后無人管理，甚至被攻擊者攻破作為攻擊的跳板，變成攻擊者的溫床也無人覺察。 (2 大學生通常是最活躍的網(wǎng)絡用戶，對網(wǎng)絡新技術 充滿好奇，勇于嘗試。如果沒有意識到后果的嚴重性，有 些學生會嘗試使用網(wǎng)上學到的、甚至自己研究的各種攻擊技術，而他們首先所想到的目標很可能就是校內(nèi)網(wǎng)站，一方面由于校園網(wǎng)服務器存儲大量信息，例如學生檔案、成 績、作業(yè)、考卷等，這些數(shù)據(jù)對于學生來說很有誘惑力；一方面學生對校園網(wǎng)站比較熟悉，易于使用社會工程學，有些攻擊者甚至就是網(wǎng)站的建設者。 (3 校園網(wǎng)與互聯(lián)網(wǎng)相聯(lián)。校園網(wǎng)站一般都能被公網(wǎng)用戶訪問（特殊資源除外），所以校園網(wǎng)站面臨著外網(wǎng)攻擊和來自內(nèi)網(wǎng)攻擊的雙重安全威脅。 三. 校園網(wǎng)站的安全威脅 據(jù)統(tǒng)計，網(wǎng)受到的內(nèi)部攻擊比外部攻擊多，根據(jù)攻擊類型，校園網(wǎng)受到的威脅主要有：(1 非授權訪問， 指對網(wǎng)絡設備及信息資源進行非正常使用或越權使用等。(2 冒充合法用戶，主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權限，以達到占用合法用戶資源的目的。(3 破壞數(shù)據(jù)的完整性，指使用非法手段刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。(4系統(tǒng)漏洞是威脅校園網(wǎng)安全的長期因素。系統(tǒng)漏洞主要是指系統(tǒng)本身存在的、在設計時并沒有考慮到的缺陷或弊端。由于系統(tǒng)漏洞存在的長期性，導致針對漏洞的網(wǎng)絡安全問題也將是長期的，持久的。(5 應用系統(tǒng)的錯誤配置是影響網(wǎng)絡服務安全的主要因素。應用系統(tǒng)是網(wǎng)絡中主要服務提供者，因此其安全問題的產(chǎn)生也將會直接影響網(wǎng)絡服務的正常運行。(6搭建網(wǎng)站所用軟件自身存在著漏洞也是主要的安全威脅。在目前的校園網(wǎng)站中的 Web 服務器無論是IIS，還是 Apache，或多或少都存在著安全漏洞，正是因為軟件安全漏洞的存在，使得校園網(wǎng)站的安全受到極大的 威脅。(7 數(shù)據(jù)缺乏必要的備份，數(shù)據(jù)是整個網(wǎng)絡的核心，網(wǎng)站里面存儲的重要的數(shù)據(jù)、檔案或歷史紀錄，不論是對學校，還是對個人用戶，都是至關重要的，一旦不慎丟失或是被惡意篡改、刪除，都會造成嚴重的損失。如果沒有完善的備份機制，有些數(shù)據(jù)是根本無法重建的。令人擔憂的是大多數(shù)的校園網(wǎng)站并沒有做好數(shù)據(jù)備份工作。 主要攻擊類型：安全弱點：主要的漏洞攻擊：1. SQL注入攻擊注入漏洞的產(chǎn)生原因是網(wǎng)站程序在編寫時，沒有對用戶輸入數(shù)據(jù)的合法性進行判斷，導致應用程序存在安全隱患。SQL注入漏洞攻擊就是是利用現(xiàn)有應用程序沒有對用戶輸入數(shù)據(jù)的合法性進行判斷，將惡意的SQL命令注入到后臺數(shù)據(jù)庫引擎執(zhí)行的黑客攻擊手段。SQL注入攻擊技術就本質而言，它利用的工具是SQL的語法，針對的是應用程序開發(fā)者編程中的漏洞，當攻擊者能操作數(shù)據(jù)，向應用程序中插入一些SQL語句時，SQL Injection攻擊就發(fā)生了。實際上，SQL注入攻擊是存在于常見的多連接的應用程序中的一種漏洞，攻擊者通過在應用程序預先定義好的查詢語句結尾加上額外的SQL語句元素，欺騙數(shù)據(jù)庫服務器執(zhí)行非授權的任意查詢。2. XSS跨站攻擊跨站腳本攻擊簡稱為XSS又叫CSS (Cross Site Script Execution)，是指服務器端的CGI程序沒有對用戶提交的變量中的HTML代碼進行有效的過濾或轉換，允許攻擊者往WEB頁面里插入對終端用戶造成影響或損失的HTML代碼?？缯灸_本漏洞攻擊不是對服務器的實際攻擊，而是利用服務器把訪問該站點的用戶作為攻擊目標。當用戶瀏覽該頁之時，嵌入其中WEB里面的HTML代碼會被執(zhí)行，從而達到惡意用戶的特殊目的，如獲取其他用戶Cookie中的敏感數(shù)據(jù)、屏蔽頁面特定信息、偽造頁面信息、拒絕服務攻擊、突破外網(wǎng)內(nèi)網(wǎng)不同安全設置、與其它漏洞結合，修改系統(tǒng)設置，查看系統(tǒng)文件，執(zhí)行系統(tǒng)命令等。XSS漏洞很容易在學校WEB應用系統(tǒng)中發(fā)現(xiàn)。XSS漏洞攻擊是最為常見的基于WEB應用系統(tǒng)漏洞，面向客戶端的攻擊手段。 3. 表單繞過攻擊WEB網(wǎng)站采用表單來收集訪問者的用戶名和密碼以確認其是否具有足夠權限訪問某些保密信息，然后該表單被發(fā)送到 Web 服務器進行處理。接下來，服務器端ASP腳本根據(jù)表單提供的信息生成SQL指令語句提交到SQL服務器，并通過分析SQL服務器的返回結果來判斷該用戶名/密碼組合是否有效。表單繞過攻擊就是指利用表單存在的安全漏洞，通過構造一些畸形的特殊提交語句，繞過表單安全認證的一種攻擊手段。例1：某大學分析測試中心后臺管理系統(tǒng)存在表單繞過漏洞，可直接獲取后臺管理權限。4. 3多層防護系統(tǒng)建設網(wǎng)站系統(tǒng)基本的組成為網(wǎng)站代碼和后臺數(shù)據(jù)，在系統(tǒng)結構方面由WEB服務器和數(shù)據(jù)庫服務器構成，所以安全關注方面應該涵蓋WEB服務器的安全及數(shù)據(jù)庫服務器的安全。
范文總結相關推薦
鄂ICP備17016276號-1