02-高校网站安全建设方案1071

单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,2010,绿盟科技,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,教育网站安全建设方案,绿盟科技,2010,年,6,月,限制分发,网站安全专家,4,网站安全建设方案,1,教育网站安全事件,3,攻击原理分析,2,事件影响分析,1,、教育网站安全事件,Case1:,国内某知名大学网站被篡改,骗子忽悠考生家长可以帮忙进入理想高校,骗子收取家长手续费,骗子造假录取通知书发给考生,骗子雇佣黑客篡改招生网数据，修改考生录取信息,最终骗子被武汉警方抓获,Case2:,武汉某高校招生网被篡改,Case3,：政府网上验证事件,入侵,网站,修改数据库,办理,假证,贩卖,假证,使用,假证,办理从业许可证,2008,年,6,月，某省政务网站使用单位向监管部门报案，他们的网站数据库被人篡改，有人借此造假、牟取暴利。犯罪团伙利用网站存在的漏洞，使用黑客工具攻击政府部门网站，篡改多个省份政府网站数据库资料，,其中一人,两个月牟利达,200,多万元。,先后入侵了江西省卫生厅、湖北省卫生厅、贵州省人事厅、四川省人事厅、江苏省教育厅、辽宁省建设厅、湖北省荆州市人事局等,11,个网站；每开一个“后门”,2700,元的价格成交,修改相关数据,700,余个,.,每上传一个客户的信息数据,就收取,1200,至,2000,元不等费用,四、六级英语考试成绩单,医师资格证书,建筑师证书,教师资格证,高考前后挂马严重,2,、事件影响分析,教育主题网站,学校门户网站很重要,Solaris,Linux,Windows,Unix,WWW,User Apps,CGI ASP,Database,电子教务,评估,加固,测试,监控,响应,协调,报告,人员保证,眼睛是心灵的窗户,眼睛里揉,不得,沙子,要像人的眼睛一样保护起来,学校门户网站,被攻击后果很严重,高校网站被挂马是个比较普遍的现象，,占挂马网站总量的,20%,以上,。高校网站频繁被黑客入侵，应引起校方的足够重视。,对学校意味着什么？,导致数据丢失,导致学校声誉下降,丧失评优资格,网站被第三方列入“黑名单”,有可能网站被整体屏蔽,影响正常的招生工作,被教育主管单位通报批评,对访问者则意味着什么？,导致学生和其他访问者中毒,被植入木马而受到黑客控制,重要数据被窃取,在线交易行为被偷窥,网游、网银等账号信息被窃取,虚拟财产被盗的威胁,对网络监管者意味着什么？,大量计算机被控制也对互联网的安全运行带来潜在威胁,教育部很重视教育信息安全,第十八条 教育网站和网校应遵循国家有关法律、法规，不得在网络上制作、发布、传播下列信息内容：,（一）泄露国家秘密危害国家安全的；,（二）违反国家民族、宗教与教育政策的；,（三）煽动暴力，宣扬封建迷信、邪教、黄色淫秽制品、违反社会公德、以及赌博和教唆犯罪等；,（四）煽动暴力,;,（五）散布谣言、扰乱社会秩序、鼓动聚众滋事；,（六）暴露个人隐私和攻击他人与损害他人合法权益；,（七）损害社会公共利益；,（八）计算机病毒；,（九）法律和法规禁止的其他有害信息。,如发现上述有害信息内容，应及时向有关主管部门报告，并采取有效措施制止其扩散。,安徽省教育网络安全通知,3,、攻击原理分析,网站所面临的各种挑战,Mapping from 2007 to 2010 Top 10,OWASP Top 10 2007(Previous),OWASP Top 10 2010,(New),A2 Injection Flaws,A1 Injection,A1 Cross,Site Scripting(XSS),A2 Cross Site Scripting(XSS),A7 Broken Authentication and Session Management,A3 Broken Authentication and Session Management,A4 Insecure Direct Object Reference,A4 Insecure Direct Object References,A5 Cross Site Request Forgery(CSRF),A5 Cross Site Request Forgery(CSRF),A6 Security Misconfiguration(NEW),A10 Failure to Restrict URL Access,A7 Failure to Restrict URL Access,A8 Unvalidated Redirects and Forwards(NEW),A8 Insecure Cryptographic Storage,A9 Insecure Cryptographic Storage,A9 Insecure,Communications,A10 Insufficient Transport Layer Protection,A3,Malicious File Execution,A6 Information Leakage and Improper Error Handling,+,+,-,-,=,=,*,A1,注入,(Injection),*,A2,跨站脚本,(Cross Site Scripting(XSS),*,A3,无效的验证和会话管理,(Broken Authentication and Session Management),*,A4,对资源不安全的直接引用,(Insecure Direct Object References),*,A5,跨站伪造请求,(Cross Site Request Forgery(CSRF),*,A6,错误的安全配置,(Security Misconfiguration)(,新加入,),*,A7,失败的网址访问权限限制,(Failure to Restrict URL Access),*,A8,未经验证的网址重定向,(Unvalidated Redirects and Forwards)(,新加入,),*,A9,不安全的密码存储,(Insecure Cryptographic Storage),*,A10,薄弱的传输层保护,(Insufficient Transport Layer Protection),这些问题是如何产生的？,脆弱性,(,漏洞,),威胁,(,攻击,),资产,(web,服务系统,),对象,内因,外因,风险,(,损害,),结果,拒绝服务,恶意代码,跨站脚本,非法入侵,SQL,注入,什么是,SQL,注入,SQL,注入是攻击者通过输入恶意的请求直接操作数据库服务器的攻击技巧,SQL,注入产生原因,应用开发过程中没有对用户输入进行校验和过滤,SQL,注入的危害,机密数据泄漏,服务器被控制,网站数据的恶意破坏,网页挂马,SQL,攻击过程演示,Firewall,Hardened OS,Web Server,App Server,Firewall,Databases,Legacy Systems,Web Services,Directories,Human Resrcs,Billing,Custom Code,APPLICATIONATTACK,Network Layer,Application Layer,Accounts,Finance,Administration,Transactions,Communication,Knowledge Mgmt,E-Commerce,Bus.Functions,HTTP request,SQL query,DB Table,HTTP response,SELECT*FROM accounts WHERE acct=,OR 1=1-,1.,通过,扫描,和,手动探测,发现应用程序包含注入点,2.,攻击者通过应用程序,发送,恶意指令,3.,应用程序把攻击者的输入递交给数据库查询,Account Summary,Acct:5424-6066-2134-4334,Acct:4128-7574-3921-0192,Acct:5424-9383-2039-4029,Acct:4128-0004-1234-0293,4.,数据库运行查询指令并返回给应用程序,5.,应用程序把结果,呈现,给攻击者,Account:,SKU:,Account:,SKU:,6.,篡改,或,删除,网站数据,4,、网站安全建设方案,WEB,应用生命周期各个阶段存在的问题,规划阶段,开发阶段,测试阶段,运行阶段,缺乏安全规划和意识的培养,缺乏代码的安全检查,缺乏网站的安全测试,安全规划与培训,代码审计,（白盒测试）,黑盒,/,渗透测试,网页存在代码漏洞,缺乏对用户提交数据核查,缺乏对返回网页内容过滤,缺乏对被篡改网页的恢复,运营维护期,WEB,风险永在,规划设计,开发,测试上线,运维,评估可能性因素,评估影响因素,漏洞因素,威胁者因素,商业影响因素,技术影响因素,发现难易度,技能层次,经济受损,损失保密性,利用难易度,动机,声誉受损,损失完整性,察觉度,机会,不遵守,损失可用性,入侵检测,群体,隐私侵犯,损失审计机制,风险永在,WEB,各阶段风险因素,安全事件生命周期,风险,事件,损失,恢复,检测,抑制,纠正,评价,预防,减少,资产,威胁,影响,脆弱性,暴露,/,缓解,概率,事态,知识,预防,保护,风险评估,资产管理,威胁管理,脆弱性管理,访问控制,监测响应,事态管理,事件管理,问题管理,响应恢复,业务持续性计划,（应急灾备）,检测,事前,事中,事后,绿盟专家知识,事前预警,-,网站监测服务,绿盟网站安全监测服务,漏洞扫描,挂马检测,敏感内容,平稳度监测,网页篡改,监测站点内容，避免法律风险,监控站点运营状况，提升访问者满意度,预防恶意篡改，维护形象，增强站点公信力,深入检测,Web,应用，直观呈现,Web,网站漏洞风险,检索,Web,应用各个页面，挖掘隐藏木马,事中防护：部署专业防护设备,WAF,部署在,DMZ,区：,在线双向,WEB,应用内容清洗，有效应对,OWASP Top10,（,SQL,注入,/,跨站脚本等）,事前预防,+,事中防护,+,事后补偿的网页篡改防护综合解决方案,应用层,DDoS,防护,WEB,应用加速，优化业务资源,WAF,部署在学校数据中心：,抵御,WEB,攻击，保护核心,WEB,应用和敏感数据,WEB,应用交付方面，降低服务响应时间、显著改善终端用户体验，提高数据中心的效率和服务器的投资回报率,(ROI),WEB,客户端,学校网络边界,DMZ,区,学校数据中心,基于,WEB,的应用服务器集群,WEB,服务器集群,WAF,WAF,防火墙,端口,80/443,专业,WEB,防护功能,集成领先,WEB应用漏洞扫描技术，提供预防解决方案,应用多维防护体系，有效应对,SQL注入、跨站脚本及应用层DDoS攻击,实时检测网页篡改，降低网站安全风险,提供挂马检测功能，维护网站公信度,提供High Availability（HA）和Bypass，有效避免网络单点故障,网络,OS,Web Server,应用,威胁,OWASP Top 10,网页挂马,网页篡改,恶意扫描,HTTP Flood,传统攻击,“,0,”,day,攻击,网络层抗,DDoS,ARP,欺骗防护,Tier,合规,日志,/,监控,报表系统,可用性,Caching,压缩,SSL,加速及卸载,H