高校网站安全检查技术规范探究
本文作者(刘 静 高东怀 高 岭),请您在阅读本文时尊重作者版权。
摘 要:针对高校网站中存在的安全问题,本文设计了一套高校网站安全检查技术规范,方便高校网站建设和使用过程中及时发现和解决安全问题。
关键词:网站;安全;技术规范一、引言
随着Web应用的发展,高校网站建设在促进高校信息化发展过程中发挥着不可替代的作用,然而高校网站由于存在安全隐患而可能遭受到各种攻击,如图1所示。[1]研究高校网站安全检查技术规范的目的是为查找服务器和网站中的不安全设置、漏洞提供一个标准,方便及时消除安全隐患,确保网站不被攻击、篡改,使其安全稳定运行。[2]
二、安全检查技术规范
安全检查技术规范从网站运行的环境和网站自身两个大的方面来进行设计。网站运行的环境包括操作系统、系统安全漏洞、安全防护软件、Web服务环境四个方面,网站自身包括网站程序设计和网站内容两个方面。如图2所示。具体规范设计如下:
1.操作系统检查
(1)系统安装
是否只安装了必需的服务软件,对网站服务只安装Web服务软件、FTP管理软件、数据库软件和备份工具软件,已安装的管理软件和工具软件不能存在已知的漏洞,其他与服务功能无关的软件均不能安装,以提供最小化的功能,减少可能的漏洞。
(2)磁盘分区配置
Windows系统磁盘分区应全部使用NTFS格式,实现文件访问权限设置。网站和应用系统不应安装在系统分区,避免网站安全漏洞影响操作系统安全。Linux系统应使用ext3分区格式。
(3)系统更新
操作系统补丁是否升级到最新,避免操作系统存在已知的安全漏洞。
(4)系统帐号
1)系统帐号设置:是否使用了强密码,密码是否定期更换。Windows系统应禁用Guest帐号,防止Guest帐号被利用。Linux系统应限制用户通过su命令使用root权限。
2)系统帐号变动:是否有异常的帐号变动,如增加新帐号,已禁用帐号被激活或权限提升等。
(5)系统服务
1)系统服务设置:是否只开启必需的系统服务,不使用的默认服务均应停止。
2)系统服务状态变动:是否有不正常的服务变动,如已禁用服务被开启,增加未知的服务等。
(6)系统日志
1)系统日志设置:是否对系统日志进行了正确设置,应确保能够记录系统重要事件,并自动保存至少90天的系统日志以便事后分析排查。
2)系统日志内容:是否有异常事件报警,以便及时发现异常事件。
(7)注册表设置
是否修改了Windows系统注册表中9项不安全的默认设置。
(8)网络协议
是否禁用了不必要的网络协议,包括默认开启的NetBios协议。
(9)远程管理限制
远程管理端口是否限定了访问范围,应仅供维护人员计算机IP地址登录。
(10)运行状态
1)检查CPU使用率是否在正常范围内;检查是否存在异常的系统进程,以便及时发现木马或病毒等恶意程序;检查网络连接,是否存在异常的网络连接。
2)通过服务器指示灯或硬件监控软件检查服务器硬件运行是否正常,以便及时发现设备硬件故障。
2.安全防护软件
(1)安装设置
是否安装了防病毒软件和防火墙软件并开启了实时防护。
(2)更新升级
安全防护软件是否设置为自动升级,病毒库、特征库是否更新到最新。
(3)防护日志
安全防护软件的防护日志是否有安全事件报警,如删除恶意软件、阻止入侵等,检查安全软件处理是否成功。
3.系统安全漏洞
(1)信息泄露
通过网站浏览、搜索引擎等公开信息获取途径,是否能够获得包括操作系统类型、应用类型、用户帐号、系统配置等信息,并直接发现漏洞。
(2)端口扫描
通过网站浏览、搜索引擎等公开信息获取途径,是否能够获得包括操作系统类型、应用类型、用户帐号、系统配置等信息,并直接发现漏洞。
(3)溢出测试
是否能够通过系统溢出攻击直接获得系统控制权限。注意溢出测试可能导致系统死机,应谨慎进行。
(4)SQL注入
是否具备防止SQL注入的过滤、屏蔽措施,防止通过SQL注入获取、篡改、控制网站数据库中的信息。
(5)跨站脚本
通过Web扫描软件检查是否存在跨站脚本(XSS)漏洞,使攻击者可以借助网站来攻击访问网站的用户。
(6)Web访问控制漏洞
针对Web及数据库服务器进行检查,包括:1)应用系统架构是否能够防止用户绕过系统直接修改数据库;2)身份认证模块是否能够防止非法用户绕过身份认证;3)数据库接口模块是否能够防止用户获取系统权限;4)文件接口模块是否能够防止用户获取系统文件;5)是否存在其他访问控制安全漏洞。
(7)代码检查
是否存在会导致安全问题的不安全编码技术和漏洞,包括:跨站脚本漏洞、SQL注入漏洞、缓冲区溢出、其他编程错误和漏洞。
(8)辅助软件漏洞
除操作系统、服务软件和数据库以外,系统中安装使用的辅助软件,是否存在安全漏洞或错误设置。
(9)Cookie处理
是否存在不安全的Cookie使用处理,如使用Cookie保存密码等敏感信息,使入侵者可能通过篡改Cookie内容,获取用户帐号。
(10)后门程序检查
是否存在遗留的后门和调试选项,导致被入侵者利用,实施攻击。