校園網(wǎng)站風(fēng)險評估綜述-在線瀏覽
2024-08-09 04:11本頁面
【正文】 技安全風(fēng)險和所需的安全保障措施。為日后比較信息科技安全措施的變化提供依據(jù) 。（2）比較分析性對信息安全管理和運營的各種安全方案進行比較，對各種情況下的技術(shù)、經(jīng)濟投入和結(jié)果進行分析、權(quán)衡。不管發(fā)生在系統(tǒng)生命周期的哪個階段，在評估的時候，人們都必須對尚未確定的各種情況做出必要的假設(shè)，然后確定相應(yīng)的預(yù)測數(shù)據(jù)，并據(jù)此作出系統(tǒng)的風(fēng)險評估。（4）時效性必須及時使用信息安全風(fēng)險評估的結(jié)果，過期則可能出現(xiàn)失效而無法使用，失去風(fēng)險評估的作用和意義。計算機安全的模型包含 4 個主要部分： 策略安全、檢測、防護和響應(yīng)。 風(fēng)險評估主要屬于檢測范疇，用它找出系統(tǒng)的漏洞，做好防護并為制定安全策略提供指導(dǎo)性意見。新的安全漏洞不斷出現(xiàn)，黑客的攻擊手法不斷翻新，而校園數(shù)據(jù)中心自身的情況也在不斷地發(fā)展變化，在完成網(wǎng)站安全防范體系的架設(shè)后，必須不斷對此網(wǎng)站進行風(fēng)險評估，及時地維護和更新，才能保證網(wǎng)站的安全。 確定范圍 范圍可能是組織全部的信息和信息系統(tǒng)，可能是單獨的信息系統(tǒng)，可能是組織的關(guān)鍵業(yè)務(wù)流程，也可能是客戶的知識產(chǎn)權(quán)。 確定目標 目標基本上來源于組織業(yè)務(wù)持續(xù)發(fā)展的需要、滿足相關(guān)方的要求、滿足法律法規(guī)的要求等方面。 確定組織結(jié)構(gòu) 組織結(jié)構(gòu)的建立應(yīng)考慮其結(jié)構(gòu)和復(fù)雜程度，以保證能夠滿足風(fēng)險評估的范圍、目標。 確定方法 應(yīng)考慮評估的范圍、目的、時間、效果、組織文化、人員素質(zhì)以及具體開展的程度等因素來確定，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。 獲得最高管理者批準 上述所有內(nèi)容應(yīng)得到組織的最高管理者的批準，并對管理層和員工進行傳達。 (1 校園網(wǎng)站有的是隸屬于學(xué)校的，有的是隸屬于某 一學(xué)院的，有的是屬于某一社團組織的，管理情況非常復(fù) 雜。 (2 大學(xué)生通常是最活躍的網(wǎng)絡(luò)用戶，對網(wǎng)絡(luò)新技術(shù) 充滿好奇，勇于嘗試。 (3 校園網(wǎng)與互聯(lián)網(wǎng)相聯(lián)。 三. 校園網(wǎng)站的安全威脅 據(jù)統(tǒng)計，網(wǎng)受到的內(nèi)部攻擊比外部攻擊多，根據(jù)攻擊類型，校園網(wǎng)受到的威脅主要有：(1 非授權(quán)訪問， 指對網(wǎng)絡(luò)設(shè)備及信息資源進行非正常使用或越權(quán)使用等。(3 破壞數(shù)據(jù)的完整性，指使用非法手段刪除、修改、重發(fā)某些重要信息，以干擾用戶的正常使用。系統(tǒng)漏洞主要是指系統(tǒng)本身存在的、在設(shè)計時并沒有考慮到的缺陷或弊端。(5 應(yīng)用系統(tǒng)的錯誤配置是影響網(wǎng)絡(luò)服務(wù)安全的主要因素。(6搭建網(wǎng)站所用軟件自身存在著漏洞也是主要的安全威脅。(7 數(shù)據(jù)缺乏必要的備份，數(shù)據(jù)是整個網(wǎng)絡(luò)的核心，網(wǎng)站里面存儲的重要的數(shù)據(jù)、檔案或歷史紀錄，不論是對學(xué)校，還是對個人用戶，都是至關(guān)重要的，一旦不慎丟失或是被惡意篡改、刪除，都會造成嚴重的損失。令人擔憂的是大多數(shù)的校園網(wǎng)站并沒有做好數(shù)據(jù)備份工作。SQL注入漏洞攻擊就是是利用現(xiàn)有應(yīng)用程序沒有對用戶輸入數(shù)據(jù)的合法性進行判斷，將惡意的SQL命令注入到后臺數(shù)據(jù)庫引擎執(zhí)行的黑客攻擊手段。實際上，SQL注入攻擊是存在于常見的多連接的應(yīng)用程序中的一種漏洞，攻擊者通過在應(yīng)用程序預(yù)先定義好的查詢語句結(jié)尾加上額外的SQL語句元素，欺騙數(shù)據(jù)庫服務(wù)器執(zhí)行非授權(quán)的任意查詢?？缯灸_本漏洞攻擊不是對服務(wù)器的實際攻擊，而是利用服務(wù)器把訪問該站點的用戶作為攻擊目標。XSS漏洞很容易在學(xué)校WEB應(yīng)用系統(tǒng)中發(fā)現(xiàn)。 3. 接下來，服務(wù)器端ASP腳本根據(jù)表單提供的信息生成SQL指令語句提交到SQL服務(wù)器，并通過分析SQL服務(wù)器的返回結(jié)果來判斷該用戶名/密碼組合是否有效。例1：某大學(xué)分析測試中心后臺管理系統(tǒng)存在表單繞過漏洞，可直接獲取后臺管理權(quán)限。4. 3從整體的應(yīng)用安全防護角度出發(fā)，通過網(wǎng)站的整體安全檢測、主動防御、監(jiān)控審計三部分的全面部署，是網(wǎng)站系統(tǒng)的應(yīng)用安全配置達到比較高的水平，促使網(wǎng)站系統(tǒng)運行在比較安全的應(yīng)用環(huán)境。網(wǎng)站的整體安全檢測由網(wǎng)站W(wǎng)EB應(yīng)用弱點掃描子系統(tǒng)和數(shù)據(jù)庫弱點掃描子系統(tǒng)來完成。通過數(shù)據(jù)庫弱點掃描子系統(tǒng)能夠有效檢測作為網(wǎng)站后臺支撐的數(shù)據(jù)庫系統(tǒng)，快速識別數(shù)據(jù)庫系統(tǒng)存在的補丁狀況、弱配置狀況等安全隱患，通過有效應(yīng)對，盡可能防范通過各種途徑對后臺數(shù)據(jù)的入侵。防攻擊子系統(tǒng)通過實時檢測和分析所有的訪問請求，識別各類惡意訪問和攻擊，實行阻斷且快速報警，并形成日志。監(jiān)控審計通過網(wǎng)站應(yīng)用安全審計子系統(tǒng)、網(wǎng)站數(shù)據(jù)庫安全審計子系統(tǒng)實現(xiàn)。系統(tǒng)的日志功能，為安全審計提供了基礎(chǔ)，日志信息包括詳細的訪問信息及訪問內(nèi)容，為對各類攻擊及異常訪問的完整追溯提供了基礎(chǔ)。四. 校園網(wǎng)站的風(fēng)險評估的方法 網(wǎng)站的風(fēng)險評估一般從兩方面進行，一方面從網(wǎng)站內(nèi)部審核它的各項配置是否正確，軟件有沒有及時升級；另一方面從網(wǎng)站外部滲透測試，這方面的評估流程圖如圖 所示。 (2 信息搜集包括多方面的信息： i whois，dns 上查找目標的 IP 地址，域名信息 以及其他一些注冊信息。 iii這些服務(wù)，通過獲得 banner 或是出錯信息獲得服務(wù)器所使用的操作系統(tǒng)、應(yīng)用軟件、庫、腳本語言的類型和版本信息。 (4)嘗試攻擊是利用分析得到的脆弱點進行攻擊。 (5 提出解決方案是給出針對已經(jīng)發(fā)現(xiàn)的漏洞進行修補和防護的措施。 防護體系結(jié)構(gòu)圖：實施安全評估方
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1