校园网站风险评估综述

《校园网站风险评估综述》由会员分享，可在线阅读，更多相关《校园网站风险评估综述（21页珍藏版）》请在金锄头文库上搜索。

1、信息安全工程 -校园网站风险评估课程设计 班级:043801学号：084908姓名:孔伟栋校园网站风险评估综述对于校园网站而言,解决信息安全的核心就是明白网 站面临的风险所在。运用风险评估来辨认也许存在的风险 和威胁，对暴露出的问题进行有针对性的防护,这样才干 保证校园网站稳定高效地为师生服务。一. 信息风险评估的特点和意义1信息安全风险评估的基本意义信息系统的安全风险是指由于系统存在的脆弱性,人为或自然的威胁导致安全事件发生的也许性及其导致的影响。信息安全风险评估就是从风险管理角度,运用科学的分析措施和手段，系统地分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件

2、一旦发生也许导致的危害限度，提出有针对性的抵御威胁的防护对策和整治措施,以防备和化解风险,或者将残存风险控制在可接受的水平,从而最大限度地保障网络与信息安全。风险评估的重要意义：1. 风险评估是分析拟定风险的过程系统的安全性都可以通过风险的大小来衡量。科学分析系统的安全风险，综合平衡风险和代价的过程就是风险评估。2. 信息安全风险评估是信息安全建设的起点和基本安全风险评估是风险评估理论和措施在信息系统中的运用,是科学分析理解信息和信息系统在机密性、完整性、可用性等方面所面临的风险，并在风险的避免、风险的控制、风险的转移、风险的补偿、风险的分散等之间作出决策的过程。 信息安全建设都应当是基于信息

3、安全风险评估，只有在对的地、全面地理解风险后，才干在控制风险、减少风险、转移风险之间作出对的的判断,决定调动多少资源、以什么的代价、采用什么样的应对措施去化解、控制风险。3. 信息安全风险评估是需求主导和突出重点原则的具体体现说信息安全建设必须从实际出发，坚持需求主导、突出重点,则风险评估（需求分析)就是这一原则在实际工作中的重要体现。从理论上讲风险总是客观存在的。安全是安全风险与安全建设管理代价的综合平衡。4. 注重风险评估是信息化比较发达国家的基本经验上个世纪0年代,美国政府就发布了自动化数据外理风险评估指南。其后颁布的有关信息安全基本政策文献联邦信息资源安全明确提出了信息安全风险评估的规

4、定，规定联邦政府部门根据信息和信息系统所面临的风险，根据信息丢失、滥用、泄露、未授权访问等导致损失的大小，制定、实行信息安全筹划，以保证信息和信息系统应有的安全。因此，总的来说，信息安全风险评估的意义在于为顾客提供具有针对性的安全产品和安全技术。给顾客提供量化的信息资产价值列表和资产风险列表。可全面和有条理地向管理层反映既有的信息科技安全风险和所需的安全保障措施。为决策和政策考虑提供不同的解决方案,使信息科技安全管理可以从方略性的层面履行 。为后来比较信息科技安全措施的变化提供根据 。.2风险评估的基本特点：(1）决策支持性所有的安全风险评估都是旨在为安全管理提供支持和服务,无论它发生在系统生

5、命周期的哪个阶段，所不同的只在于其支持的管理决策阶段和内容。（2)比较分析性对信息安全管理和运营的多种安全方案进行比较，对多种状况下的技术、经济投入和成果进行分析、权衡。（3)前提假设性在风险评估中所使用的多种评估数据有两种，一是系统既定事实的描述数据；而是根据系统多种假设前提条件拟定的预测数据。不管发生在系统生命周期的哪个阶段，在评估的时候,人们都必须对尚未拟定的多种状况做出必要的假设,然后拟定相应的预测数据，并据此作出系统的风险评估。没有哪个风险评估不需要给定假设前提条件,隐词信息安全风险评估具有前提假设性这一基本特性。（4）时效性必须及时使用信息安全风险评估的成果,过期则也许浮现失效而无

6、法使用,失去风险评估的作用和意义。(5)主观与客观继集成性信息安全风险评估是主管假设和判断与客观状况和数据的结合(）目的性信息安全风险评估的最后目的是为信息安全管理决策和控制措施的实行提供支持。计算机安全的模型涉及 4 个重要部分： 方略安全、检测、防护和响应。防护、检测和响应构成了一种完整的、动态的安全循环，在安全方略的整体指引下保证信息系统的安全。 风险评估重要属于检测范畴，用它找出系统的漏洞,做好防护并为制定安全方略提供指引性意见。校园网服务 对象是全体师生,而学生又是最为活跃的群体,因此在校园网中的信息安全更为突出。新的安全漏洞不断浮现，黑客的袭击手法不断翻新，而校园数据中心自身的状况

7、也在不断地发展变化,在完毕网站安全防备体系的架设后,必须不断对此网站进行风险评估,及时地维护和更新，才干保证网站的安全。 3风险评估的准备 拟定范畴 范畴也许是组织所有的信息和信息系统，也许是单独的信息系统，也许是组织的核心业务流程,也也许是客户的知识产权。 拟定目的 目的基本上来源于组织业务持续发展的需要、满足有关方的规定、满足法律法规的规定等方面。 拟定组织构造 组织构造的建立应考虑其构造和复杂限度，以保证可以满足风险评估的范畴、目的。 拟定措施 应考虑评估的范畴、目的、时间、效果、组织文化、人员素质以及具体开展的限度等因素来拟定,使之可以与组织的环境和安全规定相适应。 获得最高管理者批准

8、 上述所有内容应得到组织的最高管理者的批准，并对管理层和员工进行传达。二. 校园网站存在风险的因素 校园网站由于如下自身的特点，导致安全问题比较突出。 ( 校园网站有的是从属于学校的，有的是从属于某 一学院的,有的是属于某一社团组织的,管理状况非常复 杂。用作网站服务器的计算机，有的院系是由技术人员负 责维护的，有些院系则没有专人维护，服务器系统建设完 毕之后无人管理,甚至被袭击者攻破作为袭击的跳板，变成袭击者的温床也无人察觉。 (大学生一般是最活跃的网络顾客,对网络新技术布满好奇，敢于尝试。如果没故意识到后果的严重性,有 些学生会尝试使用网上学到的、甚至自己研究的多种袭击技术,而她们一方面所

9、想到的目的很也许就是校内网站，一方面由于校园网服务器存储大量信息,例如学生档案、成 绩、作业、考卷等,这些数据对于学生来说很有诱惑力;一方面学生对校园网站比较熟悉,易于使用社会工程学，有些袭击者甚至就是网站的建设者。 ( 校园网与互联网相联。校园网站一般都能被公网顾客访问(特殊资源除外）,因此校园网站面临着外网袭击和来自内网袭击的双重安全威胁。 三. 校园网站的安全威胁 据记录,网受到的内部袭击比外部袭击多，根据袭击类型,校园网受到的威胁重要有:（1 非授权访问, 指对网络设备及信息资源进行非正常使用或越权使用等。( 冒充合法顾客，重要指运用多种假冒或欺骗的手段非法获得合法顾客的使用权限,以达

10、到占用合法顾客资源的目的。( 破坏数据的完整性,指使用非法手段删除、修改、重发某些重要信息,以干扰顾客的正常使用。(4系统漏洞是威胁校园网安全的长期因素。系统漏洞重要是指系统自身存在的、在设计时并没有考虑到的缺陷或弊端。由于系统漏洞存在的长期性，导致针对漏洞的网络安全问题也将是长期的,持久的。(5 应用系统的错误配备是影响网络服务安全的重要因素。应用系统是网络中重要服务提供者，因此其安全问题的产生也将会直接影响网络服务的正常运营。(搭建网站所用软件自身存在着漏洞也是重要的安全威胁。在目前的校园网站中的Web 服务器无论是IS,还是 Aahe，或多或少都存在着安全漏洞,正是由于软件安全漏洞的存在

11、,使得校园网站的安全受到极大的 威胁。(7 数据缺少必要的备份，数据是整个网络的核心，网站里面存储的重要的数据、档案或历史纪录,不管是对学校,还是对个人顾客,都是至关重要的，一旦不慎丢失或是被歹意篡改、删除，都会导致严重的损失。如果没有完善的备份机制，有些数据是主线无法重建的。令人担忧的是大多数的校园网站并没有做好数据备份工作。重要袭击类型：安全弱点：重要的漏洞袭击:1. QL注入袭击注入漏洞的产生因素是网站程序在编写时，没有对顾客输入数据的合法性进行判断,导致应用程序存在安全隐患。SQL注入漏洞袭击就是是运用既有应用程序没有对顾客输入数据的合法性进行判断，将歹意的QL命令注入到后台数据库引擎

12、执行的黑客袭击手段。SQL注入袭击技术就本质而言，它运用的工具是SQ的语法，针对的是应用程序开发者编程中的漏洞,当袭击者能操作数据,向应用程序中插入某些SQL语句时,SL jecto袭击就发生了。事实上,SQL注入袭击是存在于常用的多连接的应用程序中的一种漏洞，袭击者通过在应用程序预先定义好的查询语句结尾加上额外的SQL语句元素，欺骗数据库服务器执行非授权的任意查询。2. XSS跨站袭击跨站脚本袭击简称为SS又叫S（CrossSite ScriptExecuion),是指服务器端的CGI程序没有对顾客提交的变量中的HML代码进行有效的过滤或转换，容许袭击者往WEB页面里插入对终端顾客导致影响或

13、损失的HM代码。跨站脚本漏洞袭击不是对服务器的实际袭击,而是运用服务器把访问该站点的顾客作为袭击目的。当顾客浏览该页之时，嵌入其中EB里面的TL代码会被执行,从而达到歹意顾客的特殊目的,如获取其她顾客ooi中的敏感数据、屏蔽页面特定信息、伪造页面信息、回绝服务袭击、突破外网内网不同安全设立、与其他漏洞结合,修改系统设立,查看系统文献，执行系统命令等。XSS漏洞很容易在学校WEB应用系统中发现。XSS漏洞袭击是最为常用的基于WEB应用系统漏洞，面向客户端的袭击手段。 3 表单绕过袭击WB网站采用表单来收集访问者的顾客名和密码以确认其与否具有足够权限访问某些保密信息,然后该表单被发送到 Web 服

14、务器进行解决。接下来,服务器端ASP脚本根据表单提供的信息生成SQ指令语句提交到SQL服务器，并通过度析SQL服务器的返回成果来判断该顾客名密码组合与否有效。表单绕过袭击就是指运用表单存在的安全漏洞,通过构造某些畸形的特殊提交语句,绕过表单安全认证的一种袭击手段。例1:某大学分析测试中心后台管理系统存在表单绕过漏洞,可直接获取后台管理权限。4 3多层防护系统建设网站系统基本的构成为网站代码和后台数据,在系统构造方面由WEB服务器和数据库服务器构成，因此安全关注方面应当涵盖WE服务器的安全及数据库服务器的安全。从整体的应用安全防护角度出发，通过网站的整体安全检测、积极防御、监控审计三部分的全面部

15、署,是网站系统的应用安全配备达到比较高的水平,促使网站系统运营在比较安全的应用环境。因此整体多层防护系统由网站WEB应用弱点扫描子系统、网站防袭击子系统、网站防篡改子系统、网站应用安全审计子系统、网站数据库弱点扫描子系统、网站数据库安全审计子系统总共7大子系统构成,从各个层面和各个角度为网站系统建立立体防御体系。网站的整体安全检测由网站EB应用弱点扫描子系统和数据库弱点扫描子系统来完毕。一方面由网站WEB应用弱点扫描子系统通过扫描,迅速检测网站也许存在的SQ注入、跨站脚本、表单绕过、Cooie注入、程序后门等应用弱点,根据检测成果可以针对性的采用有效的安全加固措施。通过数据库弱点扫描子系统可以有效检测作为网站后台支撑的数据库系统，迅速辨认数据库系统存在的补丁状况、弱配备状况等安全隐患,通