高校二级网站安全威胁和对策探究.docVIP

高校二级网站安全威胁和对策探究 　　【 摘 要 】 近几年来，针对高校二级网站的入侵、挂马、黑链等网络安全事件呈上升趋势。此类安全威胁是以应用层渗透为主，结合传统层面攻击扩大攻击范围。分类分析安全威胁特点，结合架构优化、代码审计、安全渗透测试等防护手段，建立协同工作、相互支撑的安全防护系统才能有效的保证高校二级网站信息安全。 【 关键词 】 高校；二级网站；安全；防护策略 【 中图分类号 】 TP393 【 文献标识码 】 A A Study on Second-level Website Security in Colleges and Universities Che Lu Zhang Huan-yuan Xia Ya-dong Li Yi -yong （Network and Educational Technology Department， Shandong Agricultural University ShandongTaian 271018） 【 Abstract 】 Recent years， the second-level website security incidents show an increasing tendency in colleges and universities. This kind of threats expands their attack range mainly through penetrating application layer， combining traditional layer attack. Aiming to guarantee the second-level website security in colleges and universities， this paper， through classification analysis on the characteristics of security threats， tries to build a collaborative work and co-supporting security defense system with the help of architecture optimization， code audit and security penetration test. 【 Keywords 】 colleges and universities； second-level website； security； protection strategies 1 引言 校园网络是CerNet/Internet的重要组成部分，是高等学校教学、科研、管理、服务、文化娱乐等应用的信息支撑平台，是高校必不可少的基础设施。随着我国高校信息化建设的不断发展，各学校建立了门户网站和各种类型的二级网站。然而高校二级网站的安全防护和运维管理方面还存在着很多问题和不足，容易发生网络安全事件。 2009年9月份北京大学计算机所信息安全中心利用其研发的北大网页挂马检测平台发现属于314个不同高校的577个网站被恶意挂马，网站挂马率为3.15%，高于同期检测“”科研系统网站挂马率（2.46%）和“”政府网站挂马率（1.03%）。所发现的507个被挂马网站均为二级或三级域名网站，占比87.9%。可见高校二级网站的安全形势不容乐观，切实需要提高对安全形势的认识，加强高校二级网站的安全防护水平。 2 高校二级网站常见安全威胁 2.1 应用层面安全威胁 此类攻击主要针对Web应用中授权、认证、站点结构、输入验证、程序管理接口进行攻击。世界著名的OWASP（Open Web Application Security Project）是一个开源的、非盈利的全球性安全组织，致力于应用层面的安全研究。其最知名的研究报告OWASP Top 10（Owasp 十大Web弱点） 也是高校二级网站应用层面常见的安全威胁。 除此以外，近几年来的SEO（搜索引擎优化）技术的不断发展，黑帽SEO为了短期内提高网站搜索引擎排名而采用作弊方法，在搜索引擎权值较高的网站中植入广告外链。由于高校网站建立比较早、安全漏洞较多、用户访问量大、搜索引擎权值较高，已成为攻击者注入黑链的首选目标。 2.2 系统层面安全威胁 系统层面安全威胁主要指攻击者利用计算机软件（包括Cmos固化指令、操作系统、应用程序）自身固有缺陷或配置错误进行攻击。例如Windows、Linux等操作系统安全漏洞，应用发布软件安全漏洞，以及文件目录权限设置过高、配置文件设置不当等