高校网站安全建设方案

单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,2010,绿盟科技,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,教育网站安全建设方案,绿盟科技,2010,年,6,月,限制分发,网站安全专家,4,网站安全建设方案,1,教育网站安全事件,3,攻击原理分析,2,事件影响分析,1,、教育网站安全事件,Case1:,国内某知名大学网站被篡改,骗子忽悠考生家长可以帮忙进入理想高校,骗子收取家长手续费,骗子造假录取通知书发给考生,骗子雇佣黑客篡改招生网数据，修改考生录取信息,最终骗子被武汉警方抓获,Case2:,武汉某高校招生网被篡改,Case3,：政府网上验证事件,入侵,网站,修改数据库,办理,假证,贩卖,假证,使用,假证,办理从业许可证,2008,年,6,月，某省政务网站使用单位向监管部门报案，他们的网站数据库被人篡改，有人借此造假、牟取暴利。犯罪团伙利用网站存在的漏洞，使用黑客工具攻击政府部门网站，篡改多个省份政府网站数据库资料，,其中一人,两个月牟利达,200,多万元。,先后入侵了江西省卫生厅、湖北省卫生厅、贵州省人事厅、四川省人事厅、江苏省教育厅、辽宁省建设厅、湖北省荆州市人事局等,11,个网站；每开一个“后门”,2700,元的价格成交,修改相关数据,700,余个,.,每上传一个客户的信息数据,就收取,1200,至,2000,元不等费用,四、六级英语考试成绩单,医师资格证书,建筑师证书,教师资格证,高考前后挂马严重,2,、事件影响分析,教育主题网站,学校门户网站很重要,Solaris,Linux,Windows,Unix,WWW,User Apps,CGI ASP,Database,电子教务,评估,加固,测试,监控,响应,协调,报告,人员保证,眼睛是心灵的窗户,眼睛里揉,不得,沙子,要像人的眼睛一样保护起来,学校门户网站,被攻,击,击后,果,果很,严,严重,高校,网,网站,被,被挂,马,马是,个,个比,较,较普,遍,遍的,现,现象,，,，占挂马网,站,站总量的,20%,以上。高校网,站,站频繁被,黑,黑客入侵,，,，应引起,校,校方的足,够,够重视。,对学校意,味,味着什么,？,？,导致数据,丢,丢失,导致学校,声,声誉下降,丧失评优,资,资格,网站被第,三,三方列入,“,“黑名单,”,”,有可能网,站,站被整体,屏,屏蔽,影响正常,的,的招生工,作,作,被教育主,管,管单位通,报,报批评,对访问者,则,则意味着,什,什么？,导致学生,和,和其他访,问,问者中毒,被植入木,马,马而受到,黑,黑客控制,重要数据,被,被窃取,在线交易,行,行为被偷,窥,窥,网游、网,银,银等账号,信,信息被窃,取,取,虚拟财产,被,被盗的威,胁,胁,对网络监,管,管者意味,着,着什么？,大量计算,机,机被控制,也,也对互联,网,网的安全,运,运行带来,潜,潜在威胁,教育部很,重,重视教育,信,信息安全,第十八条,教,教育网,站,站和网校,应,应遵循国,家,家有关法,律,律、法规,，,，不得在,网,网络上制,作,作、发布,、,、传播下,列,列信息内,容,容：,（一）泄,露,露国家秘,密,密危害国,家,家安全的,；,；,（二）违,反,反国家民,族,族、宗教,与,与教育政,策,策的；,（三）煽,动,动暴力，,宣,宣扬封建,迷,迷信、邪,教,教、黄色,淫,淫秽制品,、,、违反社,会,会公德、,以,以及赌博,和,和教唆犯,罪,罪等；,（四）煽,动,动暴力,;,（五）散,布,布谣言、,扰,扰乱社会,秩,秩序、鼓,动,动聚众滋,事,事；,（六）暴,露,露个人隐,私,私和攻击,他,他人与损,害,害他人合,法,法权益；,（七）损,害,害社会公,共,共利益；,（八）计,算,算机病毒,；,；,（九）法,律,律和法规,禁,禁止的其,他,他有害信,息,息。,如发现上,述,述有害信,息,息内容，,应,应及时向,有,有关主管,部,部门报告,，,，并采取,有,有效措施,制,制止其扩,散,散。,安徽省教,育,育网络安,全,全通知,3,、攻击原,理,理分析,网站所面,临,临的各种,挑,挑战,Mappingfrom2007 to2010 Top 10,OWASP Top 10 2007(Previous),OWASP Top 10 2010,(New),A2 Injection Flaws,A1 Injection,A1 Cross,Site Scripting(XSS),A2 Cross Site Scripting(XSS),A7 Broken Authentication and Session Management,A3 Broken Authentication and Session Management,A4 Insecure Direct Object Reference,A4 Insecure Direct Object References,A5 Cross Site Request Forgery(CSRF),A5 Cross Site Request Forgery(CSRF),A6 Security Misconfiguration(NEW),A10 Failure to Restrict URL Access,A7 Failure to Restrict URL Access,A8 Unvalidated Redirects and Forwards(NEW),A8 Insecure Cryptographic Storage,A9 Insecure Cryptographic Storage,A9 Insecure,Communications,A10 Insufficient Transport Layer Protection,A3,Malicious File Execution,A6 Information Leakage and Improper Error Handling,+,+,-,-,=,=,*,A1,注入,(Injection),*,A2,跨站脚本,(Cross SiteScripting(XSS),*,A3,无效的验,证,证和会话,管,管理,(BrokenAuthentication and Session Management),*,A4,对资源不,安,安全的直,接,接引用,(Insecure DirectObjectReferences),*,A5,跨站伪造,请,请求,(Cross SiteRequestForgery(CSRF),*,A6,错误的安,全,全配置,(Security Misconfiguration)(,新加入,),*,A7,失败的网,址,址访问权,限,限限制,(FailuretoRestrictURLAccess),*,A8,未经验证,的,的网址重,定,定向,(UnvalidatedRedirects and Forwards)(,新加入,),*,A9,不安全的,密,密码存储,(Insecure CryptographicStorage),*,A10,薄弱的传,输,输层保护,(Insufficient TransportLayer Protection),这些问题,是,是如何产,生,生的？,脆弱性,(,漏洞,),威胁,(,攻击,),资产,(web,服务系统,),对象,内因,外因,风险,(,损害,),结果,拒绝服务,恶意代码,跨站脚本,非法入侵,SQL,注入,什么是,SQL,注入,SQL,注入是攻,击,击者通过,输,输入恶意,的,的请求直,接,接操作数,据,据库服务,器,器的攻击,技,技巧,SQL,注入产,生,生原因,应用开,发,发过程,中,中没有,对,对用户,输,输入进,行,行校验,和,和过滤,SQL,注入的,危,危害,机密数,据,据泄漏,服务器,被,被控制,网站数,据,据的恶,意,意破坏,网页挂,马,马,SQL,攻击过,程,程演示,Firewall,HardenedOS,WebServer,AppServer,Firewall,Databases,LegacySystems,WebServices,Directories,HumanResrcs,Billing,CustomCode,APPLICATIONATTACK,Network Layer,ApplicationLayer,Accounts,Finance,Administration,Transactions,Communication,KnowledgeMgmt,E-Commerce,Bus.Functions,HTTP request,SQLquery,DBTable,HTTP response,SELECT*FROMaccountsWHEREacct=OR 1=1-,1.,通过扫描和手动探,测,测发现应,用,用程序,包,包含注,入,入点,2.,攻击者,通,通过应,用,用程序发送恶意指,令,令,3.,应用程,序,序把攻,击,击者的,输,输入递,交,交给数,据,据库查,询,询,Account Summary,Acct:5424-6066-2134-4334,Acct:4128-7574-3921-0192,Acct:5424-9383-2039-4029,Acct:4128-0004-1234-0293,4.,数据库,运,运行查,询,询指令,并,并返回,给,给应用,程,程序,5.,应用程,序,序把结,果,果呈现给攻击,者,者,Account:,SKU:,Account:,SKU:,6.,篡改或删除网站数,据,据,4,、网站,安,安全建,设,设方案,WEB,应用生,命,命周期,各,各个阶,段,段存在,的,的问题,规划阶,段,段,开发阶,段,段,测试阶,段,段,运行阶,段,段,缺乏安全规划和意识的培养,缺乏代码的安全检查,缺乏网站的安全测试,安全规划与培训,代码审计,（白盒测试）,黑盒,/,渗透测试,网页存,在,在代码,漏,漏洞,缺乏对,用,用户提,交,交数据,核,核查,缺乏对,返,返回网,页,页内容,过,过滤,缺乏对,被,被篡改,网,网页的,恢,恢复,运营维,护,护期,WEB,风险永,在,在,规划设,计,计开发测试上,线,线运维,评估可能性因素,评估影响因素,漏洞因素,威胁者因素,商业影响因素,技术影响因素,发现难易度,技能层次,经济受损,损失保密性,利用难易度,动机,声誉受损,损失完整性,察觉度,机会,不遵守,损失可用性,入侵检测,群体,隐私侵犯,损失审计机制,风险永,在,在,WEB,各阶段,风,风险因,素,素,安全事,件,件生命,周,周期,风险,事件,损失,恢复,检测,抑制,纠正,评价,预防,减少,资产,威胁,影响,脆弱性,暴露,/,缓解,概率,事态,知识,预防,保护,风险评,估,估,资产管,理,理,威胁管,理,理,脆弱性,管,管理,访问控,制,制,监测响,应,应,事态管,理,理,事件管,理,理,问题管,理,理,响应恢,复,复,业务持,续,续性计,划,划,（应急,灾备,）,）,检测,事前,事中,事后,绿盟专,家,家知识,事前预,警,警,-,网站监,测,测服务,绿盟网,站,站安全,监,监测服,务,务,漏洞扫描,挂马检,测,测,敏感内容,平稳度监测,网页篡改,监测站,点,点内容,，,，避免,法,法律风,险,险,监控站,点,点运营,状,状况，,提,提升访,问,问者满,意,意度,预防恶,意,意篡改,，,，维护,形,形象，,增,增强站,点,点