校園網(wǎng)站風(fēng)險(xiǎn)評估綜述-預(yù)覽頁
【正文】 型包含 4 個主要部分： 策略安全、檢測、防護(hù)和響應(yīng)。新的安全漏洞不斷出現(xiàn)，黑客的攻擊手法不斷翻新，而校園數(shù)據(jù)中心自身的情況也在不斷地發(fā)展變化，在完成網(wǎng)站安全防范體系的架設(shè)后，必須不斷對此網(wǎng)站進(jìn)行風(fēng)險(xiǎn)評估，及時地維護(hù)和更新，才能保證網(wǎng)站的安全。 確定目標(biāo) 目標(biāo)基本上來源于組織業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。 確定方法 應(yīng)考慮評估的范圍、目的、時間、效果、組織文化、人員素質(zhì)以及具體開展的程度等因素來確定，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。 (1 校園網(wǎng)站有的是隸屬于學(xué)校的，有的是隸屬于某 一學(xué)院的，有的是屬于某一社團(tuán)組織的，管理情況非常復(fù) 雜。 (3 校園網(wǎng)與互聯(lián)網(wǎng)相聯(lián)。(3 破壞數(shù)據(jù)的完整性，指使用非法手段刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。(5 應(yīng)用系統(tǒng)的錯誤配置是影響網(wǎng)絡(luò)服務(wù)安全的主要因素。(7 數(shù)據(jù)缺乏必要的備份，數(shù)據(jù)是整個網(wǎng)絡(luò)的核心，網(wǎng)站里面存儲的重要的數(shù)據(jù)、檔案或歷史紀(jì)錄，不論是對學(xué)校，還是對個人用戶，都是至關(guān)重要的，一旦不慎丟失或是被惡意篡改、刪除，都會造成嚴(yán)重的損失。SQL注入漏洞攻擊就是是利用現(xiàn)有應(yīng)用程序沒有對用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，將惡意的SQL命令注入到后臺數(shù)據(jù)庫引擎執(zhí)行的黑客攻擊手段。XSS漏洞很容易在學(xué)校WEB應(yīng)用系統(tǒng)中發(fā)現(xiàn)。接下來，服務(wù)器端ASP腳本根據(jù)表單提供的信息生成SQL指令語句提交到SQL服務(wù)器，并通過分析SQL服務(wù)器的返回結(jié)果來判斷該用戶名/密碼組合是否有效。4. 3網(wǎng)站的整體安全檢測由網(wǎng)站W(wǎng)EB應(yīng)用弱點(diǎn)掃描子系統(tǒng)和數(shù)據(jù)庫弱點(diǎn)掃描子系統(tǒng)來完成。防攻擊子系統(tǒng)通過實(shí)時檢測和分析所有的訪問請求，識別各類惡意訪問和攻擊，實(shí)行阻斷且快速報(bào)警，并形成日志。系統(tǒng)的日志功能，為安全審計(jì)提供了基礎(chǔ)，日志信息包括詳細(xì)的訪問信息及訪問內(nèi)容，為對各類攻擊及異常訪問的完整追溯提供了基礎(chǔ)。 (2 信息搜集包括多方面的信息： i whois，dns 上查找目標(biāo)的 IP 地址，域名信息 以及其他一些注冊信息。 (4)嘗試攻擊是利用分析得到的脆弱點(diǎn)進(jìn)行攻擊。 防護(hù)體系結(jié)構(gòu)圖：實(shí)施安全評估方案前后：五. 校園網(wǎng)站的安全需求 校園網(wǎng)站的服務(wù)器存儲大量信息，要保證信息的真實(shí)性、可用性和完整性，其安全需求有：(1對服務(wù)器訪問要進(jìn)行安全身份認(rèn)證，非認(rèn)證用戶無法進(jìn)行訪問；(2 服務(wù)器提供的資源受控制，防止非授權(quán)人員拷貝、修改、發(fā)送；(3 支持遠(yuǎn)程安全管理，網(wǎng)站管理員能夠從遠(yuǎn)程進(jìn)行 安全登錄，為其傳輸?shù)男畔⒓用埽?4 服務(wù)器的操作行為有嚴(yán)格的審核，能夠防止黑客有意刪除；(5 服務(wù)的安全狀態(tài)能夠?qū)崟r顯示，各種安全組件的工作狀態(tài)能夠被監(jiān)測到；(6服務(wù)器在受到損害時，至少能做到數(shù)據(jù)恢復(fù)可用。在網(wǎng)站的服務(wù)器上安裝軟件防火墻后還要進(jìn)一步設(shè)置訪問策略。數(shù)據(jù)一旦被破壞或丟失，對于 Web 服務(wù)器，嚴(yán)重影響學(xué)校的形象；對于郵件服務(wù)器，影響了學(xué)校員工的對外聯(lián)系；對于數(shù)據(jù)庫服務(wù)器，將嚴(yán)重影響到教學(xué)的正常進(jìn)行。在網(wǎng)站服務(wù)器上安反病毒軟件能從郵件、FTP 文件、網(wǎng)頁、軟盤、光盤等所有可能帶來病毒的信息源進(jìn)行監(jiān)控和病毒攔截。人們常用的賬號通常是自己名字的拼音，密碼是自己或是親人的生日，這樣的設(shè)置是極度不安全的。 （1安全培訓(xùn)：最終用戶的安全意識是信息系統(tǒng)是否安全的決定因素，因此對校園網(wǎng)絡(luò)用戶的安全培訓(xùn)是整個安全體系中重要、不可或缺的一部分。對于這些崗 位的安全培訓(xùn)是當(dāng)前校園網(wǎng)安全管理非常迫切的環(huán)節(jié)。 七. 主動防御體系的建設(shè)防攻擊子系統(tǒng)是安恒結(jié)合多年應(yīng)用安全的攻防理論和應(yīng)急響應(yīng)實(shí)踐經(jīng)驗(yàn)積累的基礎(chǔ)上自主研發(fā)完成，滿足各類法律法規(guī)如PCI、等級保護(hù)、企業(yè)內(nèi)部控制規(guī)范等要求，以國內(nèi)首創(chuàng)的全透明部署模式全面支持HTTPS，在提供WEB應(yīng)用實(shí)時深度防御的同時實(shí)現(xiàn)WEB應(yīng)用加速及敏感信息泄露防護(hù)，為Web應(yīng)用提供全方位的防護(hù)解決方案。系統(tǒng)功能：l◆敏感信息泄露防護(hù)系統(tǒng)內(nèi)置安全防護(hù)策略，可以靈活定義HTTP/HTTPS錯誤返回的默認(rèn)頁面，避免因?yàn)閃EB服務(wù)異常，導(dǎo)致敏感信息（如：WEB應(yīng)用安裝目錄、WEB服務(wù)器版本信息等）的泄露。lll◆支持用戶自定義規(guī)則庫用戶可以根據(jù)數(shù)據(jù)包的特征關(guān)鍵字等自定義安全策略規(guī)則，來實(shí)現(xiàn)安全檢測及過濾l◆新一代內(nèi)核驅(qū)動級文件保護(hù)，確保防護(hù)功能不被惡意攻擊者非法終止n◆支持多服務(wù)器、多站點(diǎn)nn產(chǎn)品特性：nnn主要功能細(xì)粒度審計(jì)：l◆通過遠(yuǎn)程命令行執(zhí)行的SQL命令也能夠被審計(jì)與分析l◆多形式的實(shí)時告警：當(dāng)檢測到可疑操作或違反審計(jì)規(guī)則的操作時，系統(tǒng)可以通過監(jiān)控中心告警、短信告警、郵件告警、Syslog告警等方式通知數(shù)據(jù)庫管理員l◆對于客戶關(guān)心的操作可以回放整個相關(guān)過程，讓客戶可以看到真實(shí)輸入及屏幕顯示內(nèi)容產(chǎn)品特點(diǎn)l◆有效性：獨(dú)有專利技術(shù)實(shí)現(xiàn)對數(shù)據(jù)庫安全的各類風(fēng)險(xiǎn)（攻擊風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)）的有效控制；靈活的、可自定義的審計(jì)規(guī)則滿足了各類內(nèi)控和外審的需求（有效控制誤操作、越權(quán)操作、惡意操作等違規(guī)行為）l◆易操作：充分考慮國內(nèi)用戶的使用和維護(hù)習(xí)慣，提供Webbased全中文操作界面及在線操作提示
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1