校園網(wǎng)站風(fēng)險(xiǎn)評(píng)估綜述-預(yù)覽頁(yè)
【正文】 型包含 4 個(gè)主要部分： 策略安全、檢測(cè)、防護(hù)和響應(yīng)。新的安全漏洞不斷出現(xiàn)，黑客的攻擊手法不斷翻新，而校園數(shù)據(jù)中心自身的情況也在不斷地發(fā)展變化，在完成網(wǎng)站安全防范體系的架設(shè)后，必須不斷對(duì)此網(wǎng)站進(jìn)行風(fēng)險(xiǎn)評(píng)估，及時(shí)地維護(hù)和更新，才能保證網(wǎng)站的安全。 確定目標(biāo) 目標(biāo)基本上來(lái)源于組織業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。 確定方法 應(yīng)考慮評(píng)估的范圍、目的、時(shí)間、效果、組織文化、人員素質(zhì)以及具體開展的程度等因素來(lái)確定，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。 (1 校園網(wǎng)站有的是隸屬于學(xué)校的，有的是隸屬于某 一學(xué)院的，有的是屬于某一社團(tuán)組織的，管理情況非常復(fù) 雜。 (3 校園網(wǎng)與互聯(lián)網(wǎng)相聯(lián)。(3 破壞數(shù)據(jù)的完整性，指使用非法手段刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。(5 應(yīng)用系統(tǒng)的錯(cuò)誤配置是影響網(wǎng)絡(luò)服務(wù)安全的主要因素。(7 數(shù)據(jù)缺乏必要的備份，數(shù)據(jù)是整個(gè)網(wǎng)絡(luò)的核心，網(wǎng)站里面存儲(chǔ)的重要的數(shù)據(jù)、檔案或歷史紀(jì)錄，不論是對(duì)學(xué)校，還是對(duì)個(gè)人用戶，都是至關(guān)重要的，一旦不慎丟失或是被惡意篡改、刪除，都會(huì)造成嚴(yán)重的損失。SQL注入漏洞攻擊就是是利用現(xiàn)有應(yīng)用程序沒(méi)有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，將惡意的SQL命令注入到后臺(tái)數(shù)據(jù)庫(kù)引擎執(zhí)行的黑客攻擊手段。XSS漏洞很容易在學(xué)校WEB應(yīng)用系統(tǒng)中發(fā)現(xiàn)。接下來(lái)，服務(wù)器端ASP腳本根據(jù)表單提供的信息生成SQL指令語(yǔ)句提交到SQL服務(wù)器，并通過(guò)分析SQL服務(wù)器的返回結(jié)果來(lái)判斷該用戶名/密碼組合是否有效。4. 3網(wǎng)站的整體安全檢測(cè)由網(wǎng)站W(wǎng)EB應(yīng)用弱點(diǎn)掃描子系統(tǒng)和數(shù)據(jù)庫(kù)弱點(diǎn)掃描子系統(tǒng)來(lái)完成。防攻擊子系統(tǒng)通過(guò)實(shí)時(shí)檢測(cè)和分析所有的訪問(wèn)請(qǐng)求，識(shí)別各類惡意訪問(wèn)和攻擊，實(shí)行阻斷且快速報(bào)警，并形成日志。系統(tǒng)的日志功能，為安全審計(jì)提供了基礎(chǔ)，日志信息包括詳細(xì)的訪問(wèn)信息及訪問(wèn)內(nèi)容，為對(duì)各類攻擊及異常訪問(wèn)的完整追溯提供了基礎(chǔ)。 (2 信息搜集包括多方面的信息： i whois，dns 上查找目標(biāo)的 IP 地址，域名信息 以及其他一些注冊(cè)信息。 (4)嘗試攻擊是利用分析得到的脆弱點(diǎn)進(jìn)行攻擊。 防護(hù)體系結(jié)構(gòu)圖：實(shí)施安全評(píng)估方案前后：五. 校園網(wǎng)站的安全需求 校園網(wǎng)站的服務(wù)器存儲(chǔ)大量信息，要保證信息的真實(shí)性、可用性和完整性，其安全需求有：(1對(duì)服務(wù)器訪問(wèn)要進(jìn)行安全身份認(rèn)證，非認(rèn)證用戶無(wú)法進(jìn)行訪問(wèn)；(2 服務(wù)器提供的資源受控制，防止非授權(quán)人員拷貝、修改、發(fā)送；(3 支持遠(yuǎn)程安全管理，網(wǎng)站管理員能夠從遠(yuǎn)程進(jìn)行 安全登錄，為其傳輸?shù)男畔⒓用埽?4 服務(wù)器的操作行為有嚴(yán)格的審核，能夠防止黑客有意刪除；(5 服務(wù)的安全狀態(tài)能夠?qū)崟r(shí)顯示，各種安全組件的工作狀態(tài)能夠被監(jiān)測(cè)到；(6服務(wù)器在受到損害時(shí)，至少能做到數(shù)據(jù)恢復(fù)可用。在網(wǎng)站的服務(wù)器上安裝軟件防火墻后還要進(jìn)一步設(shè)置訪問(wèn)策略。數(shù)據(jù)一旦被破壞或丟失，對(duì)于 Web 服務(wù)器，嚴(yán)重影響學(xué)校的形象；對(duì)于郵件服務(wù)器，影響了學(xué)校員工的對(duì)外聯(lián)系；對(duì)于數(shù)據(jù)庫(kù)服務(wù)器，將嚴(yán)重影響到教學(xué)的正常進(jìn)行。在網(wǎng)站服務(wù)器上安反病毒軟件能從郵件、FTP 文件、網(wǎng)頁(yè)、軟盤、光盤等所有可能帶來(lái)病毒的信息源進(jìn)行監(jiān)控和病毒攔截。人們常用的賬號(hào)通常是自己名字的拼音，密碼是自己或是親人的生日，這樣的設(shè)置是極度不安全的。 （1安全培訓(xùn)：最終用戶的安全意識(shí)是信息系統(tǒng)是否安全的決定因素，因此對(duì)校園網(wǎng)絡(luò)用戶的安全培訓(xùn)是整個(gè)安全體系中重要、不可或缺的一部分。對(duì)于這些崗 位的安全培訓(xùn)是當(dāng)前校園網(wǎng)安全管理非常迫切的環(huán)節(jié)。 七. 主動(dòng)防御體系的建設(shè)防攻擊子系統(tǒng)是安恒結(jié)合多年應(yīng)用安全的攻防理論和應(yīng)急響應(yīng)實(shí)踐經(jīng)驗(yàn)積累的基礎(chǔ)上自主研發(fā)完成，滿足各類法律法規(guī)如PCI、等級(jí)保護(hù)、企業(yè)內(nèi)部控制規(guī)范等要求，以國(guó)內(nèi)首創(chuàng)的全透明部署模式全面支持HTTPS，在提供WEB應(yīng)用實(shí)時(shí)深度防御的同時(shí)實(shí)現(xiàn)WEB應(yīng)用加速及敏感信息泄露防護(hù)，為Web應(yīng)用提供全方位的防護(hù)解決方案。系統(tǒng)功能：l◆敏感信息泄露防護(hù)系統(tǒng)內(nèi)置安全防護(hù)策略，可以靈活定義HTTP/HTTPS錯(cuò)誤返回的默認(rèn)頁(yè)面，避免因?yàn)閃EB服務(wù)異常，導(dǎo)致敏感信息（如：WEB應(yīng)用安裝目錄、WEB服務(wù)器版本信息等）的泄露。lll◆支持用戶自定義規(guī)則庫(kù)用戶可以根據(jù)數(shù)據(jù)包的特征關(guān)鍵字等自定義安全策略規(guī)則，來(lái)實(shí)現(xiàn)安全檢測(cè)及過(guò)濾l◆新一代內(nèi)核驅(qū)動(dòng)級(jí)文件保護(hù)，確保防護(hù)功能不被惡意攻擊者非法終止n◆支持多服務(wù)器、多站點(diǎn)nn產(chǎn)品特性：nnn主要功能細(xì)粒度審計(jì)：l◆通過(guò)遠(yuǎn)程命令行執(zhí)行的SQL命令也能夠被審計(jì)與分析l◆多形式的實(shí)時(shí)告警：當(dāng)檢測(cè)到可疑操作或違反審計(jì)規(guī)則的操作時(shí)，系統(tǒng)可以通過(guò)監(jiān)控中心告警、短信告警、郵件告警、Syslog告警等方式通知數(shù)據(jù)庫(kù)管理員l◆對(duì)于客戶關(guān)心的操作可以回放整個(gè)相關(guān)過(guò)程，讓客戶可以看到真實(shí)輸入及屏幕顯示內(nèi)容產(chǎn)品特點(diǎn)l◆有效性：獨(dú)有專利技術(shù)實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)安全的各類風(fēng)險(xiǎn)（攻擊風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)）的有效控制；靈活的、可自定義的審計(jì)規(guī)則滿足了各類內(nèi)控和外審的需求（有效控制誤操作、越權(quán)操作、惡意操作等違規(guī)行為）l◆易操作：充分考慮國(guó)內(nèi)用戶的使用和維護(hù)習(xí)慣，提供Webbased全中文操作界面及在線操作提示
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1