馬健++金濤偉

摘要：隨著“互聯(lián)網(wǎng)+”時代的到來，高校網(wǎng)站群系統(tǒng)安全風(fēng)險問題逐漸凸顯。本文作者針對網(wǎng)站群系統(tǒng)存在的安全風(fēng)險從安全漏洞、病毒防護(hù)、安全配置等方面指出高校網(wǎng)站群系統(tǒng)存在的安全風(fēng)險，并有針對性的提出了應(yīng)對策略，希望能夠探討解決一些安全問題。

關(guān)鍵詞：網(wǎng)站群；安全風(fēng)險；安全應(yīng)對策略

中圖分類號：TP393.092 文獻(xiàn)標(biāo)識碼：A 文章編號：1007-9416（2017）10-0189-02

由于高校各級單位部門眾多，網(wǎng)站數(shù)量日漸增多，越來越多的高校應(yīng)用網(wǎng)站群系統(tǒng)構(gòu)建學(xué)校網(wǎng)站。網(wǎng)站群系統(tǒng)的應(yīng)用，一方面解決了以往高校網(wǎng)站建設(shè)存在的問題，但另一方面由于其高度集成性，也將高校網(wǎng)站的安全性問題推到了新的高度。

1 網(wǎng)站群系統(tǒng)安全風(fēng)險分析

為改變以往網(wǎng)站重復(fù)建設(shè)、數(shù)據(jù)無法共享、監(jiān)管難度大等問題，許多高校根據(jù)“統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一規(guī)范、統(tǒng)籌規(guī)劃、分步實施”的原則，采用網(wǎng)站群系統(tǒng)構(gòu)建以學(xué)校門戶網(wǎng)站為主站，其他部門單位為子站的網(wǎng)站群體系，但也帶來了一定的安全風(fēng)險，主要包括以下幾個方面：

1.1 安全漏洞

安全漏洞是指硬件、軟件、協(xié)議在具體實現(xiàn)或系統(tǒng)安全策略上的缺陷，從而可使攻擊者能在未授權(quán)的情況下訪問或破壞計算機系統(tǒng)[1]。安全漏洞主要包括：

（1）服務(wù)器系統(tǒng)與配置漏洞。目前，高校網(wǎng)站群系統(tǒng)服務(wù)器上操作系統(tǒng)一般是Linux、Unix、Windows Server等，這些系統(tǒng)本身就有安全漏洞，會成為攻擊者可利用的突破點，從而發(fā)起對網(wǎng)站群系統(tǒng)服務(wù)器的攻擊。例如2017年5月12日在全球爆發(fā)的勒索病毒，就是利用了操作系統(tǒng)本身的漏洞對學(xué)校、醫(yī)院等部門服務(wù)器發(fā)起攻擊，導(dǎo)致相關(guān)機構(gòu)的日常業(yè)務(wù)無法開展。此外，部署在服務(wù)器上的Apache Tomcat、MySQL、SQL Server等也具有潛在可被攻擊的漏洞。如被攻擊者利用，會導(dǎo)致網(wǎng)站權(quán)限被非法獲取，數(shù)據(jù)被篡改或者被泄露。在服務(wù)器配置方面，如未關(guān)閉不必要的端口，也存在被攻擊的風(fēng)險。（2）應(yīng)用程序漏洞。雖然高校網(wǎng)站群系統(tǒng)提供了多種類型的組件，例如留言板、計數(shù)器等。但高校日常業(yè)務(wù)眾多，有些需求無法通過這些功能組件實現(xiàn)。因此，需要網(wǎng)站管理員自行編制代碼，例如使用Javascript語言編制腳本應(yīng)用程序。由于開發(fā)者技術(shù)水平不同，這些腳本程序安全性無法保障，對網(wǎng)站群系統(tǒng)的安全構(gòu)成極大威脅。

1.2 計算機病毒感染

高校網(wǎng)站群系統(tǒng)在使用過程中，需要各級管理員上傳文章、圖片、附件等。在這個過程中，會使用移動硬盤、U盤、存儲卡等，容易感染計算機病毒，丟失重要數(shù)據(jù)文件或網(wǎng)頁被篡改等。

1.3 安全配置不到位

高校網(wǎng)站群系統(tǒng)作為全校網(wǎng)站核心系統(tǒng)，自帶安全防范功能，需要網(wǎng)站管理員熟悉并啟動服務(wù)。例如后臺登錄IP限制，非法行為禁止登陸等。如網(wǎng)站群管理員對這些功能不熟悉，會導(dǎo)致配置不到位，導(dǎo)致埋下安全隱患。

2 網(wǎng)站群系統(tǒng)安全風(fēng)險應(yīng)對策略

高校實施網(wǎng)站群系統(tǒng)，需要在物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全四個方面加強安全措施[2]。具體的安全策略如下：

2.1 物理安全策略

物理安全是網(wǎng)站群系統(tǒng)安全的前提條件。物理安全也稱實體安全，是指包括環(huán)境、設(shè)備和記錄介質(zhì)在內(nèi)的所有支持信息系統(tǒng)運行的硬件設(shè)備的安全[3]。網(wǎng)站群系統(tǒng)服務(wù)器應(yīng)部署在符合國家標(biāo)準(zhǔn)的機房，通過機房門禁系統(tǒng)對出入人員進(jìn)行監(jiān)控。應(yīng)使用獨立機柜，配置多路冗余電源及機房環(huán)境監(jiān)控裝置，如機房溫度過高或斷電等，將自動發(fā)送短信給機房值班人員。

2.2 網(wǎng)絡(luò)安全策略

（1）網(wǎng)站群安全技術(shù)架構(gòu)模型。高校網(wǎng)站群安全技術(shù)架構(gòu)模型采用管理服務(wù)器、網(wǎng)頁防篡改服務(wù)器、Web發(fā)布服務(wù)器和反向代理服務(wù)器四層架構(gòu)，如圖1所示。反向代理服務(wù)器的設(shè)置，將用戶的訪問請求轉(zhuǎn)到反向代理服務(wù)器，由反向代理服務(wù)器將請求轉(zhuǎn)發(fā)到Web發(fā)布服務(wù)器，從而隱藏Web發(fā)布服務(wù)器。一旦有攻擊者對Web發(fā)布服務(wù)器發(fā)起攻擊，那么只能攻擊到反向代理服務(wù)器，不會引起網(wǎng)站數(shù)據(jù)破壞，增強了安全性。此外，通過將安全審計系統(tǒng)、Web應(yīng)用防火墻、入侵檢測系統(tǒng)部署在網(wǎng)站群系統(tǒng)外部，增強了網(wǎng)站群系統(tǒng)應(yīng)對網(wǎng)絡(luò)風(fēng)險的能力。

（2）入侵檢測系統(tǒng)。入侵檢測系統(tǒng)（Intrusion Detection System），簡稱IDS，實時檢測外網(wǎng)或內(nèi)網(wǎng)的入侵事件并進(jìn)行響應(yīng)。在網(wǎng)站群系統(tǒng)實施部署過程中，應(yīng)將入侵檢測系統(tǒng)部署在外網(wǎng)防火墻之后的主干網(wǎng)絡(luò)上，用于實時檢測任何破壞網(wǎng)站群系統(tǒng)數(shù)據(jù)的行為，并對該行為進(jìn)行約束。

（3）Web應(yīng)用防火墻。Web應(yīng)用防火墻（Web Application Firewall），簡稱WAF，是通過一系列針對HTTP/HTTPS的安全策略為Web應(yīng)用提供專門保護(hù)[4]。與傳統(tǒng)防火墻不同，WAF部署在網(wǎng)絡(luò)中的應(yīng)用層，可對Web應(yīng)用程序的訪問請求實施安全檢測，只有符合WAF安全規(guī)則，才可訪問網(wǎng)站群系統(tǒng)，否則將阻斷非法訪問請求。

（4）網(wǎng)頁防篡改系統(tǒng)。網(wǎng)頁防篡改系統(tǒng)是一種針對網(wǎng)站的保護(hù)軟件，只保護(hù)網(wǎng)站最重要的內(nèi)容，也就是網(wǎng)站群系統(tǒng)上的大量網(wǎng)頁[5]。高校網(wǎng)站群系統(tǒng)可以通過部署該系統(tǒng)檢測網(wǎng)站群系統(tǒng)內(nèi)部的網(wǎng)頁、圖片、電子文檔、音視頻等文件，如文件發(fā)生了規(guī)則外的改變，將啟動自動恢復(fù)功能。網(wǎng)頁防篡改系統(tǒng)運用事件觸發(fā)、核心內(nèi)嵌、文件過濾驅(qū)動等技術(shù)檢測網(wǎng)頁、圖片、電子文檔、數(shù)據(jù)庫等文件是否被非法修改或破壞。

（5）安全審計系統(tǒng)。安全審計系統(tǒng)遵照既定的安全策略，通過記錄網(wǎng)站、信息系統(tǒng)上的用戶活動信息，發(fā)現(xiàn)系統(tǒng)存在的漏洞或網(wǎng)絡(luò)入侵行為。網(wǎng)站群系統(tǒng)作為高校網(wǎng)站核心服務(wù)系統(tǒng)，安全性的提升不僅限于傳統(tǒng)防火墻、Web應(yīng)用防火墻、入侵檢測系統(tǒng)等，還需要做到對各類用戶活動的可查與可控。安全審計系統(tǒng)的部署，將會對網(wǎng)站群上各種活動行為進(jìn)行記錄，及早發(fā)現(xiàn)非法行為，確保網(wǎng)站群系統(tǒng)安全。endprint

2.3 系統(tǒng)安全

（1）系統(tǒng)升級與漏洞掃描。高校網(wǎng)站群系統(tǒng)服務(wù)器系統(tǒng)一般是Linux、Windows Server操作系統(tǒng)，這些系統(tǒng)本身有漏洞，必須定期掃描系統(tǒng)漏洞并及時修復(fù)。同時，要安裝系統(tǒng)升級包，嚴(yán)防網(wǎng)絡(luò)攻擊行為。定期與第三方評估機構(gòu)合作，對網(wǎng)站群系統(tǒng)進(jìn)行漏洞掃描，主動發(fā)現(xiàn)網(wǎng)站群系統(tǒng)中的SQL注入、跨站腳本等安全問題。（2）端口管理。服務(wù)器端口經(jīng)常成為網(wǎng)絡(luò)攻擊和入侵的途徑，必須關(guān)閉不常用或者無用的端口，減少網(wǎng)站群系統(tǒng)暴露在網(wǎng)絡(luò)中的端口數(shù)量。在網(wǎng)站群系統(tǒng)前端，通過使用反向代理服務(wù)器的方式，讓外網(wǎng)防火墻僅僅開放反向代理服務(wù)器的端口，大幅度降低網(wǎng)絡(luò)攻擊者入侵的可能。（3）計算機病毒防護(hù)。高校網(wǎng)站群系統(tǒng)必須部署服務(wù)器版殺毒軟件，實現(xiàn)對網(wǎng)站群系統(tǒng)各網(wǎng)站的病毒監(jiān)控與預(yù)警，制定升級病毒庫計劃，確保病毒庫時刻保持最新。對各級管理員要進(jìn)行管理權(quán)限限制，用戶操作要有日志記錄。

2.4 應(yīng)用安全

（1）權(quán)限控制。高校網(wǎng)站群系統(tǒng)通過統(tǒng)一身份模式管理權(quán)限，實現(xiàn)跨多個網(wǎng)站的單點登錄。通過分級授權(quán)，為各級網(wǎng)站管理員授予不同權(quán)限，設(shè)置可管理的站點、欄目、文章等。系統(tǒng)用戶角色分為系統(tǒng)管理員、站點管理員、欄目管理員、普通用戶等，可根據(jù)上述角色劃分不同權(quán)限。（2）登錄密碼防破解。高校網(wǎng)站群系統(tǒng)應(yīng)具備登錄密碼防破解功能，如連續(xù)3次以上輸入密碼有誤，系統(tǒng)自動鎖定賬號，在設(shè)定的鎖定時間內(nèi)無法登錄。如反復(fù)多次輸入密碼有誤，系統(tǒng)永久鎖定該賬號。（3）IP地址訪問控制。高校網(wǎng)站群系統(tǒng)通過設(shè)置IP地址或IP地址段，限制訪問管理后臺。例如設(shè)定只能在內(nèi)網(wǎng)指定的IP地址或IP地址段訪問管理后臺，或在校外使用VPN訪問，防止他人竊取管理員密碼后直接登陸網(wǎng)站群管理后臺，增強了系統(tǒng)安全性。

3 結(jié)語

應(yīng)用高校網(wǎng)站群系統(tǒng)時，要對其安全風(fēng)險進(jìn)行全面分析，探索研究符合本校實際情況的網(wǎng)站群安全策略，制定符合本校實際情況的網(wǎng)站群系統(tǒng)安全管理制度，將信息安全工作落到實處，確保學(xué)校網(wǎng)站群安全、可靠、穩(wěn)定地運行。

參考文獻(xiàn)

[1]張慶吉，曹連剛，趙玉秀.高校網(wǎng)站安全問題分析及其對策[J].電子商務(wù)，2010，（6）：58-59.

[2]羅南.高校網(wǎng)站群建設(shè)中信息安全保障的探索[J].電腦知識與技術(shù)，2015，（26）：83-84.

[3]黃虹.基于等級保護(hù)的網(wǎng)絡(luò)物理安全建設(shè)[J].信息網(wǎng)絡(luò)安全，2010，（1）：226-228.

[4]黃曉華.高校網(wǎng)站安全問題分析[J].軟件導(dǎo)刊，2014，（8）：130-131.

[5]姚瀅.網(wǎng)頁防篡改系統(tǒng)的研究與設(shè)計方案[J].計算機安全，2010，（9）：61.endprint