校園網(wǎng)站風(fēng)險(xiǎn)評估綜述-文庫吧
2025-06-14 04:11 本頁面
【正文】 、組織文化、人員素質(zhì)以及具體開展的程度等因素來確定，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。252。 獲得最高管理者批準(zhǔn) 上述所有內(nèi)容應(yīng)得到組織的最高管理者的批準(zhǔn)，并對管理層和員工進(jìn)行傳達(dá)。二. 校園網(wǎng)站存在風(fēng)險(xiǎn)的原因 校園網(wǎng)站由于以下自身的特點(diǎn)，導(dǎo)致安全問題比較突出。 (1 校園網(wǎng)站有的是隸屬于學(xué)校的，有的是隸屬于某 一學(xué)院的，有的是屬于某一社團(tuán)組織的，管理情況非常復(fù) 雜。用作網(wǎng)站服務(wù)器的計(jì)算機(jī)，有的院系是由技術(shù)人員負(fù) 責(zé)維護(hù)的，有些院系則沒有專人維護(hù)，服務(wù)器系統(tǒng)建設(shè)完 畢之后無人管理，甚至被攻擊者攻破作為攻擊的跳板，變成攻擊者的溫床也無人覺察。 (2 大學(xué)生通常是最活躍的網(wǎng)絡(luò)用戶，對網(wǎng)絡(luò)新技術(shù) 充滿好奇，勇于嘗試。如果沒有意識到后果的嚴(yán)重性，有 些學(xué)生會嘗試使用網(wǎng)上學(xué)到的、甚至自己研究的各種攻擊技術(shù)，而他們首先所想到的目標(biāo)很可能就是校內(nèi)網(wǎng)站，一方面由于校園網(wǎng)服務(wù)器存儲大量信息，例如學(xué)生檔案、成 績、作業(yè)、考卷等，這些數(shù)據(jù)對于學(xué)生來說很有誘惑力；一方面學(xué)生對校園網(wǎng)站比較熟悉，易于使用社會工程學(xué)，有些攻擊者甚至就是網(wǎng)站的建設(shè)者。 (3 校園網(wǎng)與互聯(lián)網(wǎng)相聯(lián)。校園網(wǎng)站一般都能被公網(wǎng)用戶訪問（特殊資源除外），所以校園網(wǎng)站面臨著外網(wǎng)攻擊和來自內(nèi)網(wǎng)攻擊的雙重安全威脅。 三. 校園網(wǎng)站的安全威脅 據(jù)統(tǒng)計(jì)，網(wǎng)受到的內(nèi)部攻擊比外部攻擊多，根據(jù)攻擊類型，校園網(wǎng)受到的威脅主要有：(1 非授權(quán)訪問， 指對網(wǎng)絡(luò)設(shè)備及信息資源進(jìn)行非正常使用或越權(quán)使用等。(2 冒充合法用戶，主要指利用各種假冒或欺騙的手段非法獲得合法用戶的使用權(quán)限，以達(dá)到占用合法用戶資源的目的。(3 破壞數(shù)據(jù)的完整性，指使用非法手段刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。(4系統(tǒng)漏洞是威脅校園網(wǎng)安全的長期因素。系統(tǒng)漏洞主要是指系統(tǒng)本身存在的、在設(shè)計(jì)時(shí)并沒有考慮到的缺陷或弊端。由于系統(tǒng)漏洞存在的長期性，導(dǎo)致針對漏洞的網(wǎng)絡(luò)安全問題也將是長期的，持久的。(5 應(yīng)用系統(tǒng)的錯誤配置是影響網(wǎng)絡(luò)服務(wù)安全的主要因素。應(yīng)用系統(tǒng)是網(wǎng)絡(luò)中主要服務(wù)提供者，因此其安全問題的產(chǎn)生也將會直接影響網(wǎng)絡(luò)服務(wù)的正常運(yùn)行。(6搭建網(wǎng)站所用軟件自身存在著漏洞也是主要的安全威脅。在目前的校園網(wǎng)站中的 Web 服務(wù)器無論是IIS，還是 Apache，或多或少都存在著安全漏洞，正是因?yàn)檐浖踩┒吹拇嬖?，使得校園網(wǎng)站的安全受到極大的 威脅。(7 數(shù)據(jù)缺乏必要的備份，數(shù)據(jù)是整個(gè)網(wǎng)絡(luò)的核心，網(wǎng)站里面存儲的重要的數(shù)據(jù)、檔案或歷史紀(jì)錄，不論是對學(xué)校，還是對個(gè)人用戶，都是至關(guān)重要的，一旦不慎丟失或是被惡意篡改、刪除，都會造成嚴(yán)重的損失。如果沒有完善的備份機(jī)制，有些數(shù)據(jù)是根本無法重建的。令人擔(dān)憂的是大多數(shù)的校園網(wǎng)站并沒有做好數(shù)據(jù)備份工作。 主要攻擊類型：安全弱點(diǎn)：主要的漏洞攻擊：1. SQL注入攻擊注入漏洞的產(chǎn)生原因是網(wǎng)站程序在編寫時(shí)，沒有對用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，導(dǎo)致應(yīng)用程序存在安全隱患。SQL注入漏洞攻擊就是是利用現(xiàn)有應(yīng)用程序沒有對用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，將惡意的SQL命令注入到后臺數(shù)據(jù)庫引擎執(zhí)行的黑客攻擊手段。SQL注入攻擊技術(shù)就本質(zhì)而言，它利用的工具是SQL的語法，針對的是應(yīng)用程序開發(fā)者編程中的漏洞，當(dāng)攻擊者能操作數(shù)據(jù)，向應(yīng)用程序中插入一些SQL語句時(shí)，SQL Injection攻擊就發(fā)生了。實(shí)際上，SQL注入攻擊是存在于常見的多連接的應(yīng)用程序中的一種漏洞，攻擊者通過在應(yīng)用程序預(yù)先定義好的查詢語句結(jié)尾加上額外的SQL語句元素，欺騙數(shù)據(jù)庫服務(wù)器執(zhí)行非授權(quán)的任意查詢。2. XSS跨站攻擊跨站腳本攻擊簡稱為XSS又叫CSS (Cross Site Script Execution)，是指服務(wù)器端的CGI程序沒有對用戶提交的變量中的HTML代碼進(jìn)行有效的過濾或轉(zhuǎn)換，允許攻擊者往WEB頁面里插入對終端用戶造成影響或損失的HTML代碼?？缯灸_本漏洞攻擊不是對服務(wù)器的實(shí)際攻擊，而是利用服務(wù)器把訪問該站點(diǎn)的用戶作為攻擊目標(biāo)。當(dāng)用戶瀏覽該頁之時(shí)，嵌入其中WEB里面的HTML代碼會被執(zhí)行，從而達(dá)到惡意用戶的特殊目的，如獲取其他用戶Cookie中的敏感數(shù)據(jù)、屏蔽頁面特定信息、偽造頁面信息、拒絕服務(wù)攻擊、突破外網(wǎng)內(nèi)網(wǎng)不同安全設(shè)置、與其它漏洞結(jié)合，修改系統(tǒng)設(shè)置，查看系統(tǒng)文件，執(zhí)行系統(tǒng)命令等。XSS漏洞很容易在學(xué)校WEB應(yīng)用系統(tǒng)中發(fā)現(xiàn)。XSS漏洞攻擊是最為常見的基于WEB應(yīng)用系統(tǒng)漏洞，面向客戶端的攻擊手段。 3. 表單繞過攻擊WEB網(wǎng)站采用表單來收集訪問者的用戶名和密碼以確認(rèn)其是否具有足夠權(quán)限訪問某些保密信息，然后該表單被發(fā)送到 Web 服務(wù)器進(jìn)行處理。接下來，服務(wù)器端ASP腳本根據(jù)表單提供的信息生成SQL指令語句提交到SQL服務(wù)器，并通過分析SQL服務(wù)器的返回結(jié)果來判斷該用戶名/密碼組合是否有效。表單繞過攻擊就是指利用表單存在的安全漏洞，通過構(gòu)造一些畸形的特殊提交語句，繞過表單安全認(rèn)證的一種攻擊手段。例1：某大學(xué)分析測試中心后臺管理系統(tǒng)存在表單繞過漏洞，可直接獲取后臺管理權(quán)限。4. 3多層防護(hù)系統(tǒng)建設(shè)網(wǎng)站系統(tǒng)基本的組成為網(wǎng)站代碼和后臺數(shù)據(jù)，在系統(tǒng)結(jié)構(gòu)方面由WEB服務(wù)器和數(shù)據(jù)庫服務(wù)器構(gòu)成，所以安全關(guān)注方面應(yīng)該涵蓋WEB服務(wù)器的安全及數(shù)據(jù)庫服務(wù)器的安全。
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1