校園網(wǎng)站風(fēng)險(xiǎn)評(píng)估綜述(存儲(chǔ)版)
【正文】 、責(zé)任認(rèn)定提供有力的證據(jù)?！舾咝阅埽夯谟布铀偌夹g(shù)確保WebMonitor具備高吞吐、低延時(shí)，保證了2～7層深度過濾超越千兆性能。◆有別于傳統(tǒng)的簡(jiǎn)單SQL語(yǔ)句還原，通過對(duì)不同數(shù)據(jù)庫(kù)的SQL語(yǔ)義分析，提取出SQL中相關(guān)的要素（用戶、SQL操作、表、字段…）l◆多協(xié)議層的遠(yuǎn)程訪問監(jiān)控：不僅對(duì)客戶端工具及應(yīng)用層JDBC、ODBC的訪問監(jiān)控，還支持對(duì)數(shù)據(jù)庫(kù)服務(wù)器的遠(yuǎn)程訪問（如：ftp、telnet）實(shí)時(shí)監(jiān)控及回放功能，有助于安全事件的定位查詢、成因分析及責(zé)任認(rèn)定職責(zé)分離：l◆公正性：基于獨(dú)立監(jiān)控審計(jì)的工作模式，實(shí)現(xiàn)了數(shù)據(jù)庫(kù)管理與審計(jì)的分離，保證了審計(jì)結(jié)果的真實(shí)性、完整性、公正性l有時(shí)即使提交了風(fēng)險(xiǎn)評(píng)估報(bào)告書，網(wǎng)站管理員也沒有予以重視。◆細(xì)粒度：細(xì)粒度的審計(jì)規(guī)則、精準(zhǔn)化的行為回溯、全方位的風(fēng)險(xiǎn)控制l◆靈活的策略定制：根據(jù)登錄用戶、源IP地址、數(shù)據(jù)庫(kù)對(duì)象（分為數(shù)據(jù)庫(kù)用戶、表、字段）、操作時(shí)間、SQL操作命令、返回的記錄數(shù)或受影響的行數(shù)、關(guān)聯(lián)表數(shù)量、SQL執(zhí)行結(jié)果、SQL執(zhí)行時(shí)長(zhǎng)、報(bào)文內(nèi)容的靈活組合來(lái)定義客戶所關(guān)心的重要事件和風(fēng)險(xiǎn)事件l網(wǎng)站數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)數(shù)據(jù)庫(kù)安全審計(jì)子系統(tǒng)安恒自主研發(fā)完成的業(yè)界首創(chuàng)細(xì)粒度審計(jì)、精準(zhǔn)化行為回溯、全方位風(fēng)險(xiǎn)控制的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)?！羧轿唬簩?shí)現(xiàn)對(duì)各類WEB攻擊（已知攻擊、變形攻擊、未知攻擊）的全方位、多層次攻擊告警。◆全方位的攻擊告警：當(dāng)網(wǎng)站（或其他Web 應(yīng)用程序）代碼受到WEB應(yīng)用層的已知及未知攻擊時(shí)，能夠提供多形式的實(shí)時(shí)告警。網(wǎng)站防篡改子系統(tǒng)的特點(diǎn)：n◆支持多臺(tái)主機(jī)對(duì)象的保護(hù)，包括不同域名不同IP，不同域名相同IP的情況l◆專利級(jí)WEB入侵異常檢測(cè)引擎獨(dú)有WEB入侵異常檢測(cè)引擎，能夠有效分析和識(shí)別各類已知和變形的應(yīng)用攻擊，為防御的準(zhǔn)確性和高效性提供了基礎(chǔ)。l◆緩沖區(qū)溢出 252?！翦e(cuò)誤配置252?！鬋ookie 注入252。很多學(xué)校院系服務(wù)器的管理員都是由助教研究生來(lái)?yè)?dān)任的，這些學(xué)生沒有經(jīng)過必要的培訓(xùn)，容易留下大量的安全問題。一旦攻擊者獲得了這些信息，他就能行駛賬號(hào)所有人的權(quán)限，因此必須重視用戶賬號(hào)、密碼的管理。 數(shù)據(jù)是整個(gè)網(wǎng)絡(luò)的核心。 (6審核方案是對(duì)已經(jīng)做過防護(hù)的網(wǎng)站再做測(cè)試，驗(yàn)證解決方案的有效性，如果有一個(gè)漏洞沒有修補(bǔ)就要退回上一步繼續(xù)執(zhí)行。確定目標(biāo)信息搜集分析漏洞嘗試攻擊提出解決方案審核方案說明： (1確定目標(biāo)即是確定要評(píng)估的網(wǎng)站。主動(dòng)防御由網(wǎng)站防攻擊子系統(tǒng)、網(wǎng)站防篡改子系統(tǒng)共同來(lái)完成。當(dāng)用戶瀏覽該頁(yè)之時(shí)，嵌入其中WEB里面的HTML代碼會(huì)被執(zhí)行，從而達(dá)到惡意用戶的特殊目的，如獲取其他用戶Cookie中的敏感數(shù)據(jù)、屏蔽頁(yè)面特定信息、偽造頁(yè)面信息、拒絕服務(wù)攻擊、突破外網(wǎng)內(nèi)網(wǎng)不同安全設(shè)置、與其它漏洞結(jié)合，修改系統(tǒng)設(shè)置，查看系統(tǒng)文件，執(zhí)行系統(tǒng)命令等。 主要攻擊類型：安全弱點(diǎn)：主要的漏洞攻擊：1. SQL注入攻擊注入漏洞的產(chǎn)生原因是網(wǎng)站程序在編寫時(shí)，沒有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，導(dǎo)致應(yīng)用程序存在安全隱患。由于系統(tǒng)漏洞存在的長(zhǎng)期性，導(dǎo)致針對(duì)漏洞的網(wǎng)絡(luò)安全問題也將是長(zhǎng)期的，持久的。如果沒有意識(shí)到后果的嚴(yán)重性，有 些學(xué)生會(huì)嘗試使用網(wǎng)上學(xué)到的、甚至自己研究的各種攻擊技術(shù)，而他們首先所想到的目標(biāo)很可能就是校內(nèi)網(wǎng)站，一方面由于校園網(wǎng)服務(wù)器存儲(chǔ)大量信息，例如學(xué)生檔案、成 績(jī)、作業(yè)、考卷等，這些數(shù)據(jù)對(duì)于學(xué)生來(lái)說很有誘惑力；一方面學(xué)生對(duì)校園網(wǎng)站比較熟悉，易于使用社會(huì)工程學(xué)，有些攻擊者甚至就是網(wǎng)站的建設(shè)者。252。校園網(wǎng)服務(wù) 對(duì)象是全體師生，而學(xué)生又是最為活躍的群體，因此在校園網(wǎng)中的信息安全更為突出。（3）前提假設(shè)性在風(fēng)險(xiǎn)評(píng)估中所使用的各種評(píng)估數(shù)據(jù)有兩種，一是系統(tǒng)既定事實(shí)的描述數(shù)據(jù)；而是根據(jù)系統(tǒng)各種假設(shè)前提條件確定的預(yù)測(cè)數(shù)據(jù)。其后頒布的關(guān)于信息安全基本政策文件《聯(lián)邦信息資源安全》明確提出了信息安全風(fēng)險(xiǎn)評(píng)估的要求，要求聯(lián)邦政府部門依據(jù)信息和信息系統(tǒng)所面臨的風(fēng)險(xiǎn)，根據(jù)信息丟失、濫用、泄露、未授權(quán)訪問等造成損失的大小，制訂、實(shí)施信息安全計(jì)劃，以保證信息和信息系統(tǒng)應(yīng)有的安全。風(fēng)險(xiǎn)評(píng)估的重要意義：1. 風(fēng)險(xiǎn)評(píng)估是分析確定風(fēng)險(xiǎn)的過程系統(tǒng)的安全性都可以通過風(fēng)險(xiǎn)的大小來(lái)衡量。信息安全風(fēng)險(xiǎn)評(píng)估就是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的分析方法和手段，系統(tǒng)地分析信息化業(yè)務(wù)和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施，以防范和化解風(fēng)險(xiǎn)，或者將殘余風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)與信息安全。4. 重視風(fēng)險(xiǎn)評(píng)估是信息化比較發(fā)達(dá)國(guó)家的基本經(jīng)驗(yàn)上個(gè)世紀(jì)70年代，美國(guó)政府就發(fā)布了《自動(dòng)化數(shù)據(jù)外理風(fēng)險(xiǎn)評(píng)估指南》。（2）比較分析性對(duì)信息安全管理和運(yùn)營(yíng)的各種安全方案進(jìn)行比較，對(duì)各種情況下的技術(shù)、經(jīng)濟(jì)投入和結(jié)果進(jìn)行分析、權(quán)衡。 風(fēng)險(xiǎn)評(píng)估主要屬于檢測(cè)范疇，用它找出系統(tǒng)的漏洞，做好防護(hù)并為制定安全策略提供指導(dǎo)性意見。 確定組織結(jié)構(gòu) 組織結(jié)構(gòu)的建立應(yīng)考慮其結(jié)構(gòu)和復(fù)雜程度，以保
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1