周 輝

（湖南第一師范學(xué)院 網(wǎng)絡(luò)信息中心，湖南 長沙 410002）

淺談高校二級(jí)單位網(wǎng)站的安全管理*

周 輝

（湖南第一師范學(xué)院 網(wǎng)絡(luò)信息中心，湖南 長沙 410002）

高校網(wǎng)絡(luò)信息安全不僅僅是技術(shù)問題，同時(shí)也是一個(gè)安全管理問題。高校二級(jí)網(wǎng)站由于提供服務(wù)多樣，服務(wù)對(duì)象復(fù)雜，安全管理受到嚴(yán)重挑戰(zhàn)。文章在分析高校二級(jí)網(wǎng)站信息安全產(chǎn)生原因的基礎(chǔ)上提出了防范策略。

高校網(wǎng)絡(luò)；網(wǎng)站；安全管理

高校二級(jí)單位網(wǎng)站的建設(shè)在很大程度上體現(xiàn)了一個(gè)高校信息化建設(shè)的水平，是學(xué)校實(shí)施信息化教學(xué)的強(qiáng)力支撐，高校二級(jí)單位網(wǎng)站建設(shè)也越來越受到學(xué)校的重視。二級(jí)單位網(wǎng)站的建設(shè)和管理模式一般是學(xué)校網(wǎng)絡(luò)信息中心提供空間、技術(shù)指導(dǎo)和服務(wù)器管理，各二級(jí)單位網(wǎng)站由所屬的單位自己制作和管理維護(hù)。然而，隨著高校網(wǎng)站規(guī)模不斷擴(kuò)大，結(jié)構(gòu)趨于復(fù)雜，提供的服務(wù)更加多樣化，服務(wù)對(duì)象日益多元化，二級(jí)單位網(wǎng)絡(luò)安全管理也受到嚴(yán)重挑戰(zhàn)。

一、高校二級(jí)單位網(wǎng)站面臨的安全威脅

2010年6月8日，國務(wù)院新聞辦公室發(fā)表《中國互聯(lián)網(wǎng)狀況》白皮書指出，中國同世界其他國家一樣，面臨黑客攻擊、網(wǎng)絡(luò)病毒等違法犯罪活動(dòng)的嚴(yán)重威脅。中國是世界上黑客攻擊的主要受害國之一。據(jù)不完全統(tǒng)計(jì)，2009年中國被境外控制的計(jì)算機(jī)IP地址達(dá)100多萬個(gè)；被黑客篡改的網(wǎng)站達(dá)4.2萬個(gè)；被“飛客”蠕蟲網(wǎng)絡(luò)病毒感染的計(jì)算機(jī)每月達(dá)1,800萬臺(tái)，約占全球感染主機(jī)數(shù)量的30%。中國法律禁止任何形式的網(wǎng)絡(luò)黑客行為。校園網(wǎng)站有著互聯(lián)網(wǎng)的共性和自身的特點(diǎn)，也面臨嚴(yán)重的安全威脅。

1.網(wǎng)絡(luò)黑客入侵

高校校園網(wǎng)是廣大師生進(jìn)行教學(xué)與科研活動(dòng)的主要平臺(tái)，服務(wù)對(duì)象多元化，校園網(wǎng)與Internet相連，在享受Internet方便快捷的同時(shí)，也面臨著遭遇攻擊的風(fēng)險(xiǎn)。一類是掃描攻擊,這類攻擊黑客利用端口或地址掃描技術(shù)，探測(cè)目標(biāo)地址或開放的端口；另一類是體系機(jī)構(gòu)探測(cè),使用具有已知響應(yīng)類型數(shù)據(jù)庫的自動(dòng)工具，對(duì)來自目標(biāo)主機(jī)的數(shù)據(jù)包傳送所作出的響應(yīng)進(jìn)行檢查，從而獲取系統(tǒng)信息,進(jìn)一步達(dá)到控制服務(wù)器的目的；另外還有一類情況是部分二級(jí)學(xué)院網(wǎng)站可能采用動(dòng)易、風(fēng)訊等新聞?lì)惏l(fā)布系統(tǒng),由于其源代碼的開放性,黑客可輕而易舉獲取系統(tǒng)已知存在的漏洞。

2.病毒攻擊

計(jì)算機(jī)病毒由于具有寄生性、破壞性、隱蔽性、潛伏性、傳染性和可觸發(fā)性等特點(diǎn)，使得計(jì)算機(jī)病毒難于防范，中毒后將導(dǎo)致IIS等正常的程序無法運(yùn)行，系統(tǒng)癱瘓，網(wǎng)站內(nèi)容遭到刪除或受到不同程度的損壞。也會(huì)出現(xiàn)掉線、游戲帳號(hào)、QQ帳號(hào)、網(wǎng)上銀行卡等帳號(hào)和密碼被盜等問題，嚴(yán)重威脅了校園網(wǎng)絡(luò)的正常使用。

3.惡意代碼攻擊

所謂“網(wǎng)頁掛馬”，指的是黑客自己建立帶毒網(wǎng)站，或者攻擊流量大的現(xiàn)有網(wǎng)站，在其中植入木馬、病毒，用戶瀏覽后就會(huì)中毒。此類威脅在二級(jí)學(xué)院網(wǎng)站尤其突出，由于多個(gè)二級(jí)學(xué)院網(wǎng)站安裝在同一臺(tái)服務(wù)器上，惡意代碼會(huì)自動(dòng)在各個(gè)網(wǎng)站源代碼中嵌入病毒代碼，用戶瀏覽嵌套有惡意代碼網(wǎng)站時(shí)，會(huì)自動(dòng)在客戶端下載木馬，造成用戶電腦感染病毒。2009年，北大計(jì)算機(jī)所信安中心利用研發(fā)的北大網(wǎng)頁掛馬檢測(cè)平臺(tái)，針對(duì)采樣到的中國教育和科研計(jì)算機(jī)網(wǎng)（下文簡(jiǎn)稱：教育網(wǎng)）中的18，344個(gè).edu.cn域名網(wǎng)站進(jìn)行網(wǎng)站掛馬檢測(cè)，平臺(tái)檢測(cè)結(jié)果共發(fā)現(xiàn)分別屬于314個(gè)不同高校的477個(gè)網(wǎng)站被惡意掛馬，網(wǎng)站掛馬率為3.15%。所發(fā)現(xiàn)的507個(gè)被掛馬網(wǎng)站均為二級(jí)或三級(jí)域名網(wǎng)站，占87.9%。

4.用戶缺乏網(wǎng)絡(luò)信息安全意識(shí)和法律意識(shí)

從1996年至2002年，相關(guān)的管理部門已頒布了20余個(gè)涉及互聯(lián)網(wǎng)及網(wǎng)上活動(dòng)管理的行政規(guī)章，刑法和相關(guān)法律也對(duì)危害網(wǎng)絡(luò)安全的行為都有明確規(guī)定。由于對(duì)這些法律的宣傳和普及不夠，許多用戶的網(wǎng)絡(luò)信息安全法律意識(shí)還十分淡薄。

二、高校二級(jí)單位網(wǎng)站安全管理的策略

在高校二級(jí)單位網(wǎng)站安全管理中，比較突出的問題如下：一是網(wǎng)站設(shè)計(jì)制作先天不足，開發(fā)制作人員水平良莠不齊，采用技術(shù)不統(tǒng)一；二是網(wǎng)站缺乏專人管理，長期得不到更新和維護(hù)；三是師生網(wǎng)絡(luò)安全意識(shí)不夠?；谏鲜鰡栴}，提出以下對(duì)策。

1.建立一支安全管理的專業(yè)團(tuán)隊(duì)

對(duì)于校園網(wǎng)絡(luò)的管理，很多人都在講“三分技術(shù)，七分管理”的理念，這充分說明管理的重要性，培養(yǎng)一支專業(yè)素養(yǎng)較高、責(zé)任性強(qiáng)的管理團(tuán)隊(duì)無疑是關(guān)鍵所在。然而，目前在二級(jí)網(wǎng)站管理員隊(duì)伍建設(shè)方面，情況并不樂觀，人員專業(yè)素養(yǎng)較低，流動(dòng)性大是主要問題。在許多院校，二級(jí)單位網(wǎng)站管理員一般都為兼職，沒有明確的工作任務(wù)，也無必要的酬資，使得這一崗位變得可有可無，工作可多可少。要改變這一狀況，一是學(xué)校和二級(jí)單位應(yīng)該加大投資，設(shè)立專項(xiàng)經(jīng)費(fèi)，二是學(xué)校網(wǎng)絡(luò)管理部門要進(jìn)行較系統(tǒng)的業(yè)務(wù)培訓(xùn)。二級(jí)單位網(wǎng)站管理員應(yīng)該起到承上啟下的橋梁作用，應(yīng)該在提高自己業(yè)務(wù)水平的同時(shí)宣傳教育用戶養(yǎng)成良好的上網(wǎng)習(xí)慣，各級(jí)網(wǎng)站管理員都應(yīng)該把培養(yǎng)師生良好的上網(wǎng)習(xí)慣作為己任。

2.多級(jí)保護(hù)網(wǎng)絡(luò)安全

要保證高校二級(jí)單位網(wǎng)站系統(tǒng)安全還必須采取技術(shù)措施，進(jìn)行多重保護(hù)。系統(tǒng)安全要在內(nèi)容管理、用戶權(quán)限和身份認(rèn)證、數(shù)據(jù)庫管理等方面做到可控、可用和完整。對(duì)于整個(gè)網(wǎng)絡(luò)，網(wǎng)絡(luò)設(shè)備管理、信息訪問等都應(yīng)該設(shè)立不同的級(jí)別加以限制和約束，比如服務(wù)器、交換機(jī)只能在規(guī)定的IP地址段內(nèi)進(jìn)行登錄管理，合理配置FTP,確保服務(wù)器必須驗(yàn)證所有 FTP申請(qǐng)，某些通知、新聞也有內(nèi)外網(wǎng)訪問限制；而對(duì)于用戶而言，也應(yīng)該區(qū)別對(duì)待，授予不同的權(quán)限，并進(jìn)行身份認(rèn)證；對(duì)于數(shù)據(jù)庫的管理，進(jìn)行使用者的權(quán)限設(shè)置，數(shù)據(jù)庫的備份和恢復(fù)措施，并對(duì)操作進(jìn)行日志記錄，確保數(shù)據(jù)存儲(chǔ)和訪問安全。

3.使用統(tǒng)一的二級(jí)網(wǎng)站管理系統(tǒng)

學(xué)校二級(jí)部門在網(wǎng)站建設(shè)方面一般技術(shù)力量薄弱，維護(hù)和管理也有諸多困難。學(xué)校應(yīng)該提供二級(jí)網(wǎng)站內(nèi)容管理系統(tǒng)及模板，這樣二級(jí)部門無需進(jìn)行程序開發(fā)，只需修改模板文件，設(shè)計(jì)一些個(gè)性圖片，便可制作出適合自己部門的網(wǎng)站風(fēng)格。各二級(jí)網(wǎng)站實(shí)行集中管理，分散維護(hù)，管理權(quán)限統(tǒng)一分配和管理，各子頁站點(diǎn)的設(shè)計(jì)和維護(hù)有相應(yīng)的部門分散進(jìn)行。

4.實(shí)施實(shí)名制認(rèn)證上網(wǎng)

隨著校園網(wǎng)絡(luò)資源越來越豐富，功能越來越復(fù)雜，對(duì)網(wǎng)絡(luò)管理和網(wǎng)絡(luò)安全問題提出了新的挑戰(zhàn)。作為網(wǎng)絡(luò)安全管理的重要組成部分實(shí)施實(shí)名制，建設(shè)認(rèn)證計(jì)費(fèi)系統(tǒng)勢(shì)在必行。

[1]中華人民共和國國務(wù)院新聞辦公室,中國互聯(lián)網(wǎng)狀況白皮書 （全文）.http://news.sina.com.cn/c/2010-06-08/111220434279.shtm l.

[2]諸葛建偉.高校二級(jí)網(wǎng)站遭遇嚴(yán)重掛馬和篡改[J].中國教育網(wǎng)絡(luò),2009（12）.

[3]肖毅敏.法律敲響網(wǎng)絡(luò)安全事件的警鐘[J].中國教育網(wǎng)絡(luò),2010（7）.

（編輯：楊馥紅）

TP393.08

B

1673-8454（2011）05-0062-02

湖南省高?？萍紕?chuàng)新團(tuán)隊(duì)支持計(jì)劃資助（湘教通[2010]212號(hào)）。