02-高校网站安全建设方案

©2010绿盟科技www.nsfocus.comnsfocus.comwww.nsfocus.comnsfocus.com教育网站安全建设方案绿盟科技2010年6月限制分发——网站安全专家4网站安全建设方案1教育网站安全事件3攻击原理分析2事件影响分析1、教育网站安全事件Case1:国内某知名大学网站被篡改骗子忽悠考生家长可以帮忙进入理想高校骗子收取家长手续费骗子造假录取通知书发给考生骗子雇佣黑客篡改招生网数据，修改考生录取信息最终骗子被武汉警方抓获Case2:武汉某高校招生网被篡改Case3：政府网上验证事件入侵网站修改数据库办理假证贩卖假证使用假证办理从业许可证2008年6月，某省政务网站使用单位向监管部门报案，他们的网站数据库被人篡改，有人借此造假、牟取暴利。犯罪团伙利用网站存在的漏洞，使用黑客工具攻击政府部门网站，篡改多个省份政府网站数据库资料，其中一人两个月牟利达200多万元。先后入侵了江西省卫生厅、湖北省卫生厅、贵州省人事厅、四川省人事厅、江苏省教育厅、辽宁省建设厅、湖北省荆州市人事局等11个网站；每开一个“后门”2700元的价格成交修改相关数据700余个.每上传一个客户的信息数据,就收取1200至2000元不等费用《四、六级英语考试成绩单》《医师资格证书》《建筑师证书》《教师资格证》高考前后挂马严重2、事件影响分析教育主题网站学校门户网站很重要电子教务眼睛是心灵的窗户眼睛里揉不得沙子要像人的眼睛一样保护起来学校门户网站被攻击后果很严重高校网站被挂马是个比较普遍的现象，占挂马网站总量的20%以上。高校网站频繁被黑客入侵，应引起校方的足够重视。对学校意味着什么？导致数据丢失导致学校声誉下降丧失评优资格网站被第三方列入“黑名单”有可能网站被整体屏蔽影响正常的招生工作被教育主管单位通报批评对访问者则意味着什么？导致学生和其他访问者中毒被植入木马而受到黑客控制重要数据被窃取在线交易行为被偷窥网游、网银等账号信息被窃取虚拟财产被盗的威胁对网络监管者意味着什么？大量计算机被控制也对互联网的安全运行带来潜在威胁教育部很重视教育信息安全第十八条教育网站和网校应遵循国家有关法律、法规，不得在网络上制作、发布、传播下列信息内容：（一）泄露国家秘密危害国家安全的；（二）违反国家民族、宗教与教育政策的；（三）煽动暴力，宣扬封建迷信、邪教、黄色淫秽制品、违反社会公德、以及赌博和教唆犯罪等；（四）煽动暴力;（五）散布谣言、扰乱社会秩序、鼓动聚众滋事；（六）暴露个人隐私和攻击他人与损害他人合法权益；（七）损害社会公共利益；（八）计算机病毒；（九）法律和法规禁止的其他有害信息。如发现上述有害信息内容，应及时向有关主管部门报告，并采取有效措施制止其扩散。安徽省教育网络安全通知六、加强教育网络技术规范和运行管理。全省教育网络应以安徽教育网（www.ahedu.gov.cn）为基础，面向全省教育系统，形成统一、规范的教育网站基本构架。厅内各种网站全部集成于门户网站之内，并与市、县教育网站和各级各类学校网站链接，形成安徽教育网络集群。全省教育系统的域名全部规范到.ahedu.gov.cn系统下，由安徽教育网负责统一设计、注册和引导。教育网站不得以营利为目的，严禁与非法的网站建立链接，严禁从事影响教育形象的活动。教育网页设计应当庄重、典雅、大方和美观，体现政府形象、教育形象。教育网站应保证工作日和节假日24小时开通，方便公众访问。3、攻击原理分析拒绝服务攻击（系统瘫痪、停止服务)网站所面临的各种挑战非法入侵（网页被篡改、被挂马)恶意代码（破坏、盗取）诚信？和谐？……跨站脚本（盗取、挂马）Mappingfrom2007to2010Top10OWASPTop10–2007(Previous)OWASPTop10–2010(New)A2–InjectionFlawsA1–InjectionA1–CrossSiteScripting(XSS)A2–CrossSiteScripting(XSS)A7–BrokenAuthenticationandSessionManagementA3–BrokenAuthenticationandSessionManagementA4–InsecureDirectObjectReferenceA4–InsecureDirectObjectReferencesA5–CrossSiteRequestForgery(CSRF)A5–CrossSiteRequestForgery(CSRF)wasT102004A10–InsecureConfigurationManagementA6–SecurityMisconfiguration(NEW)A10–FailuretoRestrictURLAccessA7–FailuretoRestrictURLAccessnotinT102007A8–UnvalidatedRedirectsandForwards(NEW)A8–InsecureCryptographicStorageA9–InsecureCryptographicStorageA9–InsecureCommunicationsA10–InsufficientTransportLayerProtectionA3–MaliciousFileExecutiondroppedfromT102010A6–InformationLeakageandImproperErrorHandlingdroppedfromT102010++--==*A1–注入(Injection)*A2–跨站脚本(CrossSiteScripting(XSS))*A3–无效的验证和会话管理(BrokenAuthenticationandSessionManagement)*A4–对资源不安全的直接引用(InsecureDirectObjectReferences)*A5–跨站伪造请求(CrossSiteRequestForgery(CSRF))*A6–错误的安全配置(SecurityMisconfiguration)(新加入)*A7–失败的网址访问权限限制(FailuretoRestrictURLAccess)*A8–未经验证的网址重定向(UnvalidatedRedirectsandForwards)(新加入)*A9–不安全的密码存储(InsecureCryptographicStorage)*A10–薄弱的传输层保护(InsufficientTransportLayerProtection)这些问题是如何产生的？网络(物理/链路/网络)操作系统(windows/unix)应用软件(Iis/apache/sqlserver)Web程序(第三方/自开发)脆弱性(漏洞)明文传输arp认证……威胁(攻击)缓冲区溢出密码猜测Sql注入攻击资产(web服务系统)对象内因外因拒绝服务攻击(syn/ack/icmpfloodhttpgetflood……)TCP/IP协议的漏洞系统级别的漏洞Sniffer/arpspoof/……程序漏洞跨站脚本攻击目录遍历攻击密码窃取/突破授权/……信息探测文件操控安全架构不合理安全功能不足Tcp三次握手http无连接控制……弱口令缓冲区溢出未经验证的输入风险(损害)结果拒绝服务恶意代码跨站脚本非法入侵SQL注入•什么是SQL注入–SQL注入是攻击者通过输入恶意的请求直接操作数据库服务器的攻击技巧•SQL注入产生原因–应用开发过程中没有对用户输入进行校验和过滤•SQL注入的危害–机密数据泄漏–服务器被控制–网站数据的恶意破坏–网页挂马SQL攻击过程演示FirewallHardenedOSWebServerAppServerFirewallDatabasesLegacySystemsWebServicesDirectoriesHumanResrcsBillingCustomCodeAPPLICATIONATTACKNetworkLayerApplicationLayerAccountsFinanceAdministrationTransactionsCommunicationKnowledgeMgmtE-CommerceBus.FunctionsHTTPrequestSQLqueryDBTableHTTPresponseSELECT*FROMaccountsWHEREacct=‘’OR1=1--’1.通过扫描和手动探测发现应用程序包含注入点2.攻击者通过应用程序发送恶意指令3.应用程序把攻击者的输入递交给数据库查询AccountSummaryAcct:5424-6066-2134-4334Acct:4128-7574-3921-0192Acct:5424-9383-2039-4029Acct:4128-0004-1234-02934.数据库运行查询指令并返回给应用程序5.应用程序把结果呈现给攻击者Account:SKU:Account:SKU:6.篡改或删除网站数据4、网站安全建设方案WEB应用生命周期各个阶段存在的问题规划阶段开发阶段测试阶段运行阶段缺乏安全规划和意识的培养缺乏代码的安全检查缺乏网站的安全测试安全规划与培训代码审计（白盒测试）黑盒/渗透测试网页存在代码漏洞缺乏对用户提交数据核查缺乏对返回网页内容过滤缺乏对被篡改网页的恢复运营维护期WEB风险永在规划设计开发测试上线运维评估可能性因素评估影响因素漏洞因素威胁者因素商业影响因素技术影响因素发现难易度技能层次经济受损损失保密性利用难易度动机声誉受损损失完整性察觉度机会不遵守损失可用性入侵检测群体隐私侵犯损失审计机制WEB各阶段风险因素安全事件生命周期风险事件损失恢复资产威胁影响脆弱性暴露/缓解概率事态知识预防保护风险评估资产管理威胁管理脆弱性管理访问控制监测响应事态管理事件管理问题管理响应恢复业务持续性计划（应急＋灾备）绿盟专家知识事前预警-网站监测服务绿盟网站安全监测服务漏洞扫描挂马检测敏感内容平稳度监测网页篡改监测站点内容，避免法律风险监控站点运营状况，提升访问者满意度预防恶意篡改，维护形象，增强站点公信力深入检测Web应用，直观呈现Web网站漏洞风险检索Web应用各个页面，挖掘隐藏木马事中防护：部署专业防护设备WAF部署在DMZ区：在线双向WEB应用内容清洗，有效应对OWASPTop10（SQL注入/跨站脚本等）事前预防+事中防护+事后补偿的网页篡改防护综合解决方案应用层DDoS防护WEB应用加速，优化业务资源WAF部署在学校数据中心：抵御WEB攻击，保护核心WEB应用和敏感数据WEB应用交付方面，降低服务响应时间、显著改善终端用户体验，提高数据中心的效率和服务器的投资回报率(ROI)WEB客户端学校网络边界DMZ区学校数据中心基于WEB的应用服务器集群WEB服务器集群WAFWAF防火墙端口80/443专业WEB防护功能•集成领先WEB应用漏洞扫描技术，提供预防解决方案•应用多维防护体系，有效应对SQL注入、跨站脚本及应用层DDoS攻击•实时检测网页篡改，降低网站安全风险•提供挂马检测功能，维护网站公信度•提供HighAvailability（HA）和Bypass，有效避免网络单点故障网络OSWebServer应用威胁OWASPTop10网页挂马网页篡改恶意扫描HTTPFlood传统攻击“0”day攻击网络层抗DDoSARP欺骗防护Tier合规日志/监控报表系统可用性Caching压缩SSL加速及卸载HA软/硬BypassWeb客户端防火墙端口80/443WEB服务器群内容安全模块在线防护引擎WAF目录遍历缓存溢出Apache/IIS漏洞利用恶意远程文件执行XSSSQL注入跨站请求伪造网络爬虫网页盗链HTTPFlood恶意扫描蠕虫Cookie篡改出错信息恶意内容违规信息WAFWAF降低OWASP风险因素网站安全风险评估可能性因素评估影响性因素攻击者因素漏洞因素技术影响性机会群体发现难易度利用难易度