近年來，高校應(yīng)用的普及，在便利學(xué)校管理與增強(qiáng)社會(huì)服務(wù)功能的同時(shí)，也招來了大量或“黑”或“紅”的不速之客。特別是應(yīng)用系統(tǒng)Web化之后，也開始瞄準(zhǔn)校園網(wǎng)，高校網(wǎng)絡(luò)以往的安全 “免疫系統(tǒng)”已經(jīng)明顯失去了效力，用戶急需商開出更有效的安全“新藥方”。
近幾年來，各大高校為了增強(qiáng)系統(tǒng)的社會(huì)服務(wù)功能和訪問的便捷性，都在向Web應(yīng)用模式轉(zhuǎn)型。為了保證這些Web應(yīng)用系統(tǒng)的安全，大多高校網(wǎng)也都部署了安全代理、、/ ，以及軟件防火墻、防這類安全設(shè)備。但是，高校網(wǎng)遭遇的惡性攻擊事件不僅沒有因此減少，反而還出現(xiàn)了大幅飆升的趨勢(shì)。
“老三樣”安全防護(hù)失效
“湖北多所高校網(wǎng)站遭攻擊 考生錄取記錄被篡改”;“北大網(wǎng)站遭篡改 假冒校長(zhǎng)抨擊大學(xué)教育”;“黑客攻擊清華大學(xué)新聞網(wǎng) 捏造顧秉林粗俗講話假新聞”;“知名高校掛馬現(xiàn)象嚴(yán)重 考生面臨安全風(fēng)險(xiǎn)”。如今，類似的高校網(wǎng)“中招”事件比比皆是，這些網(wǎng)絡(luò)攻擊不僅能輕易穿透高校網(wǎng)的安全屏障，還能在后臺(tái)隨便篡改數(shù)據(jù)。據(jù)杭州安恒信息技術(shù)有限公司技術(shù)總監(jiān)范淵介紹，這些幕后黑手正是通過Web應(yīng)用系統(tǒng)的漏洞，越過了高校網(wǎng)的安全防護(hù)體系。
“事實(shí)上，當(dāng)前以Web應(yīng)用系統(tǒng)為跳板，甚至控制整個(gè)內(nèi)網(wǎng)系統(tǒng)的攻擊行為已成為黑色產(chǎn)業(yè)鏈最普遍的攻擊手段。據(jù)一些搜索網(wǎng)站的統(tǒng)計(jì)，目前70%以上的攻擊行為都是基于WEB應(yīng)用系統(tǒng)的?！?/P>
在范淵看來，校園網(wǎng)之所以在遭遇攻擊后損失重大，主要是因?yàn)榇蟛糠謱W(xué)校的對(duì)外服務(wù)網(wǎng)站都與其內(nèi)網(wǎng)系統(tǒng)相關(guān)聯(lián)，攻擊者更容易以器為跳板實(shí)現(xiàn)對(duì)校園內(nèi)部系統(tǒng)的入侵。所以，對(duì)高校用戶來說，因此導(dǎo)致信息泄露、信息被篡改及重要數(shù)據(jù)被破壞等損失的幾率就更高。所以，高校網(wǎng)的第一道防線，其實(shí)應(yīng)該是基于WEB應(yīng)用系統(tǒng)的安全防護(hù)。
“很多用戶認(rèn)為，在網(wǎng)絡(luò)中部署多層的防火墻，入侵檢測(cè)系統(tǒng)(IDS)，入侵防御系統(tǒng)(IPS)等設(shè)備，就可以保障網(wǎng)絡(luò)的安全性了，就能全面立體的防護(hù)WEB應(yīng)用了。但是，為什么攻擊事件依舊不斷發(fā)生，并不斷造成損失呢?其根本的原因在于，傳統(tǒng)的網(wǎng)絡(luò)安全設(shè)備對(duì)于應(yīng)用層的攻擊防范，作用十分有限，如今的這些攻擊正是基于WEB應(yīng)用的攻擊。”
范淵告訴記者, 目前的大多防火墻都是工作在網(wǎng)絡(luò)層，通過狀態(tài)防火墻保證內(nèi)部網(wǎng)絡(luò)不會(huì)被外部網(wǎng)絡(luò)非法接入。由于所有的處理都是在網(wǎng)絡(luò)層，所以應(yīng)用層攻擊的特征在網(wǎng)絡(luò)層次上是無法檢測(cè)出來的。而IDS、IPS這類設(shè)備對(duì)于未知攻擊，和將來才會(huì)出現(xiàn)的攻擊，以及通過靈活編碼和報(bào)文分割來實(shí)現(xiàn)的應(yīng)用層攻擊，IDS和IPS同樣無法提供有效的防護(hù)。而軟件防病毒、防火墻產(chǎn)品，一般采用被動(dòng)的檢測(cè)機(jī)制，只能檢測(cè)已知病毒或，并且無法識(shí)別外部的正常訪問請(qǐng)求。
可見，基于“老三樣”安全產(chǎn)品的WEB應(yīng)用系統(tǒng)安全解決方案，對(duì)應(yīng)用層的安全問題并不適用。高校用戶就算更多這樣的安全設(shè)備，也無法有針對(duì)性的解決他們現(xiàn)在的安全問題。這也是當(dāng)前一些方案商在提出解決方案后，遭遇出局命運(yùn)的原因。
多層防護(hù)鑄就銅墻鐵壁
范淵表示，應(yīng)用層的安全問題更為復(fù)雜，和傳統(tǒng)的解決方案相比，“新藥方”需要具備綜合治療的效應(yīng)，單一的產(chǎn)品很難徹底幫用戶解決問題。
“所以，我們的解決方案是由7大子系統(tǒng)構(gòu)成的，目標(biāo)是構(gòu)建一個(gè)整體多層防護(hù)系統(tǒng)。它包含網(wǎng)站W(wǎng)EB應(yīng)用弱點(diǎn)掃描子系統(tǒng)、網(wǎng)站防攻擊子系統(tǒng)、網(wǎng)站防篡改子系統(tǒng)、網(wǎng)站應(yīng)用安全審計(jì)子系統(tǒng)、網(wǎng)站弱點(diǎn)掃描子系統(tǒng)、網(wǎng)站數(shù)據(jù)庫安全審計(jì)子系統(tǒng)總共7大部分，從各個(gè)層面和各個(gè)角度為網(wǎng)站系統(tǒng)建立起一個(gè)立體的防御體系?！?/P>
范淵解釋道，網(wǎng)站的整體安全檢測(cè)主要依靠網(wǎng)站W(wǎng)EB應(yīng)用弱點(diǎn)掃描子系統(tǒng)和數(shù)據(jù)庫弱點(diǎn)掃描子系統(tǒng)來完成。通過WEB應(yīng)用弱點(diǎn)掃描子系統(tǒng)，可以快速檢測(cè)網(wǎng)站可能存在的SQL注入、跨站腳本、表單繞過等應(yīng)用弱點(diǎn)，并根據(jù)檢測(cè)結(jié)果有針對(duì)性的采取安全加固措施。而通過數(shù)據(jù)庫弱點(diǎn)掃描子系統(tǒng)，就能快速識(shí)別數(shù)據(jù)庫系統(tǒng)存在的補(bǔ)丁狀況、弱配置狀況等安全隱患，再通過有效應(yīng)對(duì)去盡可能防范對(duì)后臺(tái)數(shù)據(jù)的入侵。
而監(jiān)控審計(jì)也是防御Web攻擊的關(guān)鍵。通過網(wǎng)站應(yīng)用安全審計(jì)子系統(tǒng)和網(wǎng)站數(shù)據(jù)庫安全審計(jì)子系統(tǒng)的協(xié)作。安恒的解決方案可以深度檢測(cè)所有HTTP訪問數(shù)據(jù)，并實(shí)現(xiàn)對(duì)網(wǎng)站訪問的7x24小時(shí)實(shí)時(shí)監(jiān)控，對(duì)檢測(cè)到的異常訪問和攻擊行為，系統(tǒng)都會(huì)報(bào)警、通知用戶，協(xié)助網(wǎng)管人員第一時(shí)間采取安全應(yīng)急措施。而且，系統(tǒng)的日志功能，也為安全審計(jì)提供了基礎(chǔ)。網(wǎng)站數(shù)據(jù)庫安全審計(jì)子系統(tǒng)同時(shí)在幫助用戶檢視所有的針對(duì)數(shù)據(jù)庫服務(wù)器的訪問，除了日常的SQL，還包括通過、TELNET等其他的訪問方式，實(shí)現(xiàn)了對(duì)后臺(tái)數(shù)據(jù)庫日常操作的監(jiān)控、危險(xiǎn)操作控制以及安全事件的追溯。