目录一. 高校网站安全二. 赛尔绿盟安全云三. 样本高校网站脆弱性分析 3.1 数据样本 3.2 样本高校区域分布 3.3 高校网站安全等级分布 3.4 一二级网站安全评分对比 3.5 安全脆弱性级别分布 3.6 高风险漏洞统计高风险 web 安全漏洞高风险系统安全漏洞

Size: px

Start display at page:

Download "目录一. 高校网站安全二. 赛尔绿盟安全云三. 样本高校网站脆弱性分析 3.1 数据样本 3.2 样本高校区域分布 3.3 高校网站安全等级分布 3.4 一二级网站安全评分对比 3.5 安全脆弱性级别分布 3.6 高风险漏洞统计高风险 web 安全漏洞高风险系统安全漏洞"

和琵晏
5 years ago
Views:

1 2016 年第四季度高校网站安全脆弱性白皮书

目录一. 高校网站安全二. 赛尔绿盟安全云三. 样本高校网站脆弱性分析 3.1 数据样本 3.2 样本高校区域分布 3.3 高校网站安全等级分布 3.4 一二级网站安全评分对比 3.5 安全脆弱性级别分布 3.6 高风险漏洞统计 3.6.1 高风险 web 安全漏洞 3.6.2 高风险系统安全漏洞四. 教育网站安全保障改进建议 4.1 教育网站安全管理改进建议 4.1.1 安全防护要贯穿整个 WEB 应用生命周期 4.

2 目录一. 高校网站安全二. 赛尔绿盟安全云三. 样本高校网站脆弱性分析 3.1 数据样本 3.2 样本高校区域分布 3.3 高校网站安全等级分布 3.4 一二级网站安全评分对比 3.5 安全脆弱性级别分布 3.6 高风险漏洞统计高风险 web 安全漏洞高风险系统安全漏洞四. 教育网站安全保障改进建议 4.1 教育网站安全管理改进建议安全防护要贯穿整个 WEB 应用生命周期需要构建以漏洞事件生命周期闭环管理体系提升安全管理人员工作能力 4.2 教育网站安全防护整体解决方案建议五. 网站安全保障技术 5.1 WEB 应用漏洞扫描技术 (WVSS) 5.2 网站漏洞闭环管理 (TVM) 5.3 WEB 应用防火墙技术 (WAF) 5.4 网站安全实时监测技术 (WSM) 5.5 网站安全云监测技术 5.6 网站恶意流量清洗技术 (ADS) 5.7 网站恶意流量云端清洗技术 5.8 网站安全保障服务附录 A 网站安全评分标准附录 B 安全脆弱性量化赋值标准

3 01 高校网站安全截至 2016 年底, 全国共有高等学校 2879 所, 建立的互联网站多达数万个 ( 含二级院系网站 ) 这些学校网站承载着形象宣传信息发布教学教务等关键应用, 为学校的正常运营发挥着重要支撑作用近年来, 通过持续推进信息系统安全等级保护合规建设, 等级保护监管所要求的控制措施陆续到位, 高校网站的基础安全防范能力显著提高然而, 不同高校之间安全保障能力水平的不均衡, 决定了全国高校的整体安全保障能力仍然存在缺陷与不足, 尤其是面向互联网提供服务的网站系统, 往往面临着更高的安全威胁, 如果存在着可被攻击者所利用的安全脆弱性, 则很容易引发安全事件, 给学校和学生造成危害, 并导致不良的社会影响与高校网站有关的典型安全事件包括以下几类 : 高校网站信息篡改媒体曾曝光过多起攻击者入侵高校网站, 为在校大学生篡改学业成绩, 并非法牟利的案件另外, 在国家重大活动期间, 也发生过著名高校的门户网站被攻击者非法篡改, 首页被替换成反动文字或图片, 造成不良社会影响的安全事件高考录取诈骗每年高考招生录取时期, 各种诈骗案件层出不穷, 其中就包括攻击者通过技术手段入侵高校招生网站, 篡改高考录取信息, 伪造高考录取通知书, 向考生实施诈骗的犯罪手段 2016 年, 攻击者利用高考报名网站漏洞, 窃取考生个人信息, 并打包出售给电信诈骗团伙, 导致山东考生徐玉玉不幸去世的案件, 引起了社会对高校网站和学生个人信息安全的广泛关注高校网站被挂马成为傀儡主机有些高校的网站因存在安全漏洞, 被攻击者在页面挂马, 成为恶意代码的传播途径, 直接危害网站访问者的信息安全 ; 或者被攻击者非法控制, 成为僵尸网络中的傀儡主机, 参与恶意攻击, 给互联网造成危害信息 [2] 安全风险被用来衡量发生信息安全事件的可能性, 安全风险的构成要素主要包括信息资产价值安全威胁水平安全脆弱性状况等一般来说, 高校的门户网站和下属院系网站是对外发布信息的窗口, 并承载着与教务有关的应用, 如果发生安全事件, 不仅会对学校的声誉造成影响, 还可能会影响学校的正常运营, 甚至导致学校将承担连带的法律责任当前恶意攻击者们已经形成了分工明确运作高效的黑色产业链, 各类攻击工具很容易通过互联网获取和使用当新的高危漏洞暴露时, 漏洞的原理和利用方法也能第一时间在网上发布和传播, 即便不是很高水平的恶意攻击者, 也能利用获取的工具和信息, 对网上的目标系统进行攻击和破坏, 再加上数据售卖和诈骗所得的利益驱使, 共同构成了安全风险升高的外部因素高校网站系统可能存在的各类安全脆弱性是导致安全风险升高的内部因素, 具体的安全脆弱性可能包括网站主机系统服务中的安全漏洞 Web 服务器软件中的安全漏洞以及网站 Web 应用程序代码中的安全漏洞, 网站系统存在的安全脆弱性一旦被恶意攻击者成功利用, 就会造成网站篡改信息泄露服务中断主机非法控制等安全事件已曝光的不同类型的高校网站系统安全事件有着共同特点由于高校网站存在安全脆弱性, 被来自互联网的外部恶意攻击者成功利用因此, 对安全脆弱性的及时识别和处置, 是实现高校网站安全保障目标的最有效途径, 只有依托专用的脆弱性扫描工具, 全面准确地发现网站系统的安全脆弱性, 并有效进行加固, 才能够实现安全风险的有效管控 1

02 赛尔绿盟安全云为了协助教育行业客户更好地保障互联网信息系统的安全运储容量达到 20TB 以及 10 套脆弱性检测引擎为全国客营赛尔网络携手绿盟科技建立了赛尔绿盟安全云在云端户提供网站安全监测服务远程漏洞扫描服务和可管理安提供以下 SaaS 模式的专业安全服务全服务 * 安全脆弱性扫描服务 [3] 目前云运营中心已为全国 1248 个客户的 41731 个 *

4 02 赛尔绿盟安全云为了协助教育行业客户更好地保障互联网信息系统的安全运储容量达到 20TB 以及 10 套脆弱性检测引擎为全国客营赛尔网络携手绿盟科技建立了赛尔绿盟安全云在云端户提供网站安全监测服务远程漏洞扫描服务和可管理安提供以下 SaaS 模式的专业安全服务全服务 * 安全脆弱性扫描服务 [3] 目前云运营中心已为全国 1248 个客户的个 * DDoS 攻击流量云端清洗服务站点提供了服务通过 7*24 小时运营监控平台结合人工 * 网站安全监测服务值守的方式平均每月帮客户发现 5400 多条真实安全事 * 安全威胁情报服务件凭借强大的数据分析引擎遍布全国的检测节点完赛尔绿盟云 [4] 运营中心目前共有员工约 80 人在北京和善的漏洞管理体系自动化的扫描与验证平台以及训练有成都分别设立了监控中心云运营中心依托 20 台虚拟机组成的素的专业团队确保在发现安全事件后第一时间通知客户处理集群 VCPU 容量达到 320 核内存容量达到 400GB 存并协助客户最大程度缩小影响范围 2

03 样本高校网站脆弱性分析数据样本据统计,2016 年 8 月至 12 月,103 所高校客户在赛尔绿盟安全云完成注册, 并正式授权赛尔绿盟云, 对学校门户网站和下属二级院系网站等 180 个站点 763936 个页面进行安全脆弱性扫描, 共计发现漏洞数量

7%, 即每四个漏洞中就有一个属于中高危级别, 该结果在一定程度上说明, 全国高校网站安全整体状况不容乐观 103 所高校网站安全分值区间统计样本高校区域分布 103 所样本高校分布在 25 个省级行政区域, 其中样本高校数量最多的五个区域依次为河北吉林福建

5 03 样本高校网站脆弱性分析数据样本据统计,2016 年 8 月至 12 月,103 所高校客户在赛尔绿盟安全云完成注册, 并正式授权赛尔绿盟云, 对学校门户网站和下属二级院系网站等 180 个站点个页面进行安全脆弱性扫描, 共计发现漏洞数量个, 中高危漏洞整体占比 28.7%, 即每四个漏洞中就有一个属于中高危级别, 该结果在一定程度上说明, 全国高校网站安全整体状况不容乐观 103 所高校网站安全分值区间统计样本高校区域分布 103 所样本高校分布在 25 个省级行政区域, 其中样本高校数量最多的五个区域依次为河北吉林福建北京海南和四川样本高校的网站系统整体安全性较低, 超过半数面临较高的安全风险样本高校区域分布一二级网站安全评分对比 103 所样本高校共计贡献了 180 个样本站点, 其中一级站点 101 个, 二级站点 79 个 ( 一级站点是指高校的官方门一级网站和二级网站安全评分高校网站安全等级分布通过对 103 所高校网站的安全等级评定结果进行统计, 非常安全的高校数量为 28 个, 仅占样本高校的 27%; 非常危险的高校数量达到 63 个, 占样本高校的 62% 由此可见, 3

Web 应用安全漏洞存在于网站的应用代码中, 而系统安全漏洞则存在于支撑网站服务的 Web 服务器软件数据库软件及相关中间件软件中高风险安全漏洞高校分布通过对 103 所样本高校的 180 个样本网站中发现的安全脆弱性及其危害级别进行统计分析, 在 133398 个网站安全脆弱性中, 共发现 WEB 漏洞 130715 个, 占比 97.

6 户网站, 二级站点是指高校下属二级院系的网站 ) 从样本网站的安全评分统计结果来看, 一级站点平均分为 52.23, 二级站点的平均分 22.86, 这说明在样本高校范围内, 门户网站的安全性明显优于下属院系网站, 样本高校的下属院系网站存在更多的安全脆弱性, 面临更高的安全风险级别高级别安全漏洞数量及占比安全脆弱性级别分布安全脆弱性类型分布高风险漏洞统计高风险安全漏洞更容易被攻击者利用, 从而导致影响较为严重的安全事件远程安全脆弱性扫描服务所发现的网站安全漏洞分为 Web 应用安全漏洞和系统安全漏洞两类, 其中 Web 应用安全漏洞存在于网站的应用代码中, 而系统安全漏洞则存在于支撑网站服务的 Web 服务器软件数据库软件及相关中间件软件中高风险安全漏洞高校分布通过对 103 所样本高校的 180 个样本网站中发现的安全脆弱性及其危害级别进行统计分析, 在个网站安全脆弱性中, 共发现 WEB 漏洞个, 占比 97.99%; 系统漏洞 2683 个, 占比 2.01% 可以推测, 部署在网站前端的网络边界防护机制, 如网络防火墙, 对外有效屏蔽了系统服务和其中存在的系统安全漏洞, 使得 Web 应用脆弱性在已识别出的安全脆弱性中占据较大比例在已识别出的安全脆弱性中, 高危级别共计 903 个, 约占 0.68%, 中危级别共计 1925 个, 约占 1.44%, 中高危脆弱性合计合计占比 2.12% 安全漏洞级别分布从 103 所高校中, 抽取 87 所学校的安全漏洞样本数据进行统计分析, 结果表明, 所有高校网站中共计存在 903 个高风险安全漏洞, 其中高风险的 Web 安全漏洞 549 个, 高风险系统安全漏洞 354 个 TOP3 高校网站高风险 WEB 漏洞数量及占比 4

7 高风险安全漏洞在 87 所样本高校中的分布非常不均衡, 其中有 29 所高校网站不存在高风险安全漏洞, 占样本高校总数的 34%, 其他 56 所高校网站均存在高风险安全漏洞, 占样本高校总数的 66% 高风险 web 安全漏洞在 Web 应用安全漏洞方面, 共有 46 所 ( 占 54%) 高校网站中不存在高风险漏洞, 而高风险漏洞数量最多的三所高校网站则分别发现了 224 个 92 个 83 个, 共计 399 个高风险漏洞, 换言之, 仅三所高校网站中就存在超过 72% 的高风险 web 安全漏洞对所有发现的高风险 Web 应用安全漏洞分布和数量进行统计分析, 五类主要安全漏洞分别为 [5]: * 跨站脚本型漏洞 ( 分布于 19 所 22% 的高校网站, 共计 336 个 ) * SQL 注入型漏洞 ( 分布于 9 所 11% 的高校网站, 共计 91 个 ) * 信息泄露型漏洞 ( 分布于 21 所 25% 的高校网站, 共计 29 个 ) * 内容欺骗型漏洞 ( 分布于 13 所 15% 的高校网站, 共计 65 个 ) * 拒绝服务型漏洞 ( 分布于 7 所 8% 的高校网站, 共计 8 个 ) TOP5 高风险 WEB 安全漏洞分布跨站脚本型漏洞, 是网站程序在编码时对用户输入过滤控制不充分留下的安全隐患攻击者能够利用该漏洞, 输入可以显示在页面上对其他用户造成影响的 HTML 代码, 从而盗取用户资料利用用户身份进行某种动作或者对访问者进行病毒侵害跨站脚本攻击一直都被认为是客户端 Web 安全中最主流的攻击方式, 虽然这种攻击不会对网站本身造成直接影响, 但是能够利用网站存在的漏洞, 对其他用户造成攻击, 成功实现钓鱼欺诈敏感信息窃取恶意代码传播感染等恶意目的 TOP3 高校网站高风险漏洞数量及占比 SQL 注入型漏洞, 也是网站程序在编码时对用户输入过滤控制不充分留下的安全隐患攻击者通过把 SQL 命令插入到 Web 表单递交或输入域名或页面请求的查询字符串, 最终达到欺骗服务器执行恶意 SQL 命令的目的,SQL 注入漏洞会导致网站服务器后台数据泄露, 还可能使攻击者获取网站服务器的完全控制权限内容欺骗型漏洞主要包括框架注入漏洞和链接注入漏洞, 也是网站程序在编码时对用户输入过滤控制不充分留下的安全隐患攻击者通过注入恶意网址或包含恶意内容的框架标记, 实现钓鱼欺诈, 获取其他用户敏感数据的目的信息泄露型漏洞主要包括 Web 服务器目录权限控制不严 IIS 短文件名泄露服务器启用 TRACE 方法等, 攻击者能够利用此类漏洞, 获得网站敏感数据拒绝服务型漏洞主要指 Web 服务器配置策略不严格, 容易遭受慢速 HTTP 拒绝服务攻击, 造成服务资源被非法消耗, 影响 Web 服务的可用性高风险系统安全漏洞在系统安全漏洞方面,56 所 ( 占 66%) 高校网站中不存在高风险漏洞, 而高风险漏洞数量最多的三所高校网站则分别发现了 81 个 54 个 44 个, 共计 179 个高风险漏洞, 换言之, 仅三所高校网站中就存在约 60% 的高风险系统安全漏洞高风险系统安全漏洞存在主要原因是支撑网站服务的系统软件版本过低, 缺乏持续有效的安全补丁加固手段, 数量占比最高的三类高风险系统安全漏洞分别是 A p a c h e W e b 服务器相关漏洞 P H P 相关漏洞 Openssl 相关漏洞攻击者可能成功利用高风险系统安全漏洞, 实现远程信息窃取远程命令执行拒绝服务数据篡改本地提权等恶意目的, 非法控制网站服务器系统 5

04 教育网站安全保障改进建议教育网站安全管理改进建议安全防护要贯穿整个 WEB 应用生命周期 WEB 生命周期安全防护手段在教育门户网站的规划阶段, 建议咨询国内专业安全公司获取安全规划建议并开展相应的培训工作 ; 在开发阶段, 需要对网站进行代码核查 ; 在测试阶段, 需要对上线前的网站做完整的安全检查当然, 对于绝大多数已投入运营的门户网站而言,

8 04 教育网站安全保障改进建议教育网站安全管理改进建议安全防护要贯穿整个 WEB 应用生命周期 WEB 生命周期安全防护手段在教育门户网站的规划阶段, 建议咨询国内专业安全公司获取安全规划建议并开展相应的培训工作 ; 在开发阶段, 需要对网站进行代码核查 ; 在测试阶段, 需要对上线前的网站做完整的安全检查当然, 对于绝大多数已投入运营的门户网站而言, 由于不太可能投入大量人力重新开发或做大规模的代码级整改, 因此如何在运行阶段进行有效的安全防护, 成为教育行业单位普遍关注的焦点在网站运行阶段, 建议在事前事中和事后进行分阶段多层面的完整防护具体的防护手段需要产品结合服务共同完成部署安全产品的目的是构建门户网站的防御体系, 快速发现和定位门户网站脆弱性所在, 完成自动化攻击的防护以及快速的系统恢复在产品的基础上, 人的因素也是不可忽视的关键诸多安全事件表明, 即便部署了多种安全产品, 规划设置了分层纵深的防护策略, 网站也存在被攻破的可能网站的攻击者是人, 而制约黑客入侵的利器之一也是人换句话说, 作为安全产品的重要补充, 安全服务是教育行业门户网站安全建设过程中必不可少的环节之一, 可为网站的安全运行提供有效支撑需要构建以漏洞事件生命周期闭环管理体系通过监测系统平台进行漏洞生命周期的管理并非只是简单的扫描, 它包含了漏洞扫描人工验证漏洞状态的追踪工作以及漏洞修复后的复验工作等要根据单位实际情况, 使漏洞管理流程化, 包括完善的管理制度自动化 IT 安全管理平台执行制度的人等共同支撑流程的运转提升安全管理人员工作能力建议网站安全管理岗位人员积极参加上级部门或业界专业的安全培训, 建立起信息安全管理的概念, 清楚网站安全的危害, 掌握识别安全漏洞及风险的专用技术, 以及对安全问题进行加固处置的技能同时, 建议网站安全管理岗位人员多参加安全界相关 6

网站安全建设方案的网络安全讲座及论坛, 积极与专业安全厂家及专业安全人员沟通交流, 学习了解市面上先进的网站安全管理思路及方案, 结合单位自身情况, 推动网站整体安全防护能力的升级教育网站安全防护整体解决方案建议预防教育 WEB 应用安全问题, 应该在软件开发生命周期遵循安全编码原则, 并在各阶段采取相应的安全措施然而, 多数网站的实际情况是 : 大量早期开发的教育 WEB 应用,

9 网站安全建设方案的网络安全讲座及论坛, 积极与专业安全厂家及专业安全人员沟通交流, 学习了解市面上先进的网站安全管理思路及方案, 结合单位自身情况, 推动网站整体安全防护能力的升级教育网站安全防护整体解决方案建议预防教育 WEB 应用安全问题, 应该在软件开发生命周期遵循安全编码原则, 并在各阶段采取相应的安全措施然而, 多数网站的实际情况是 : 大量早期开发的教育 WEB 应用, 由于历史原因, 都存在不同程度的安全问题对于这些已上线正提供生产的教育 WEB 应用, 其定制化特点致使没有通用补丁可用, 而整改代码因代价过大变得较难施行或者需要较长周期教育 WEB 应用系统既已投入使用, 又不太可能投入大量的人力重新开发或做大规模代码级整改, 如何在运行阶段进行有效的安全防护便成为关注的焦点本方案着重在网络层系统层应用层进行网站安全防护体系设计, 建议对教育 WEB 应用的安全威胁及业务运维路径采取以下安全措施进行防护 : DDoS 防御 :DDoS 防御一般包含两个方面, 一是针对不断发展的攻击形式, 尤其是采用多种欺骗技术的技术, 能够有效地进行检测 ; 二是如何降低对业务系统或者是网络的影响, 从而保证业务系统的连续性和可用性, 也是最为重要的方面建议教育 WEB 应用在特定时期 ( 如高招期间 ) 按需采购专业安全服务商的云清洗服务, 缓解针对业务的 DDOS 攻击, 避免对出口造成堵塞, 保障业务正常开展网络访问控制 : 利用防火墙进行访问控制, 防止不必要的服务请求进入网站系统, 减少被攻击的可能性远程用户安全接入 : 利用防火墙的 SSL VPN 功能实现对远程用户的安全加密接入功能通用安全防护 : 利用入侵防护系统, 对所有已知的应用层攻击手段和系统漏洞进行在线防护, 一旦发现攻击行为实时进行阻断应用层防护 : 通过 Web 应用防护系统可有效控制和缓解 HTTP 及 HTTPS 应用下各类安全威胁, 如 SQL 注入 XSS 跨站伪造 (CSRF) cookie 篡改以及应用层 DDoS 等, 有效应对网页篡改网页挂马敏感信息泄露等安全问题, 充分保障 WEB 系统的高可用性和可靠性网页防篡改 : 在 Web 服务器系统上部署网页防篡改系统, 针对 Web 应用网页和文件进行防护系统安全加固 : 通过安全评估系统, 找出主机系统网络设备及其他设备系统中存在的补丁漏洞和配置漏洞, 进行加固, 以保障系统的安全性数据库审计 : 通过数据库审计系统的三层关联审计功能, 实现对所有访问教育 WEB 应用系统引起的数据库操作进行精细化审计, 可直接审计前端用户运维安全审计 : 教育 WEB 应用系统均部署在学校 IDC 机房, 对系统的运维可以使用远程方式实现, 通过部署堡垒机, 可实现对所有运维人员的操作进行集中管控, 对重要服务器及相关设备的操作做到实时的跟踪, 并有可视化的操作日志, 对于高风险的操作进行实时的预警, 全程审计运维操作的每一个细节网站安全监测 : 通过专业化的托管式服务来实时监测和周期度量教育网站的风险隐患, 评估网站的安全状态, 衡量改进情况如 : 赛尔绿盟云安全服务 7

10 05 网站安全保障技术 WEB 应用漏洞扫描技术 (WVSS) WEB 应用漏洞扫描技术 (Web Vulnerability Scanning System 简称 : WVSS) 是针对网站安全进行漏洞评估的技术集合, 该技术可自动获取网站包含的所有资源, 并全面模拟网站访问的各种行为, 比如按钮点击鼠标移动表单复杂填充等, 通过内建的安全模型检测 Web 应用系统潜在的各种漏洞, 输出易读易懂权威有效的分析报告 WVSS 引入了漏洞判断依据过程文件取证等新技术, 对漏洞检测全过程进行跟踪说明, 通过通俗易懂的语言对每一个漏洞进行详细说明 WVSS 采用全流程的漏洞跟踪技术, 对每一个网站, 无论是在哪个任务或者哪种任务中进行了扫描, 都会自动汇总到统一的漏洞跟踪平台进行分析这个漏洞跟踪平台基于时间轴用直观图表的方式, 对包括漏洞发现修补增减等漏洞管理全生命周期进行详细的跟踪分析同时,WVSS 采用无损的漏洞扫描技术, 以避免对网站业务的健康性造成影响网站漏洞闭环管理 (TVM) 威胁和漏洞管理技术 (Threat and Vulnerability Management 简称 TVM) 引入漏洞情报快速发现漏洞披露, 通过技术共享人员选择优秀的漏洞修复方案, 漏洞修复工单管理形成闭环可视化的漏洞修补管理, 提升企业整体安全漏洞运维水平 ; 结合漏洞威胁数据和本地资产的多维度风险分析算法, 指导漏洞修补的优先顺序 WEB 应用防火墙技术 (WAF) 利用国际上公认的一种说法,Web 应用防火墙技术 ( 英文 :Web Application Firewall, 简称 :WAF) 是通过执行一系列针对 HTTP/HTTPS 的安全策略, 专门为 Web 应用提供保护的一款技术 Web 应用防火墙技术代表了一类新兴的信息安全技术, 用以解决诸如防火墙一类传统设备束手无策的 Web 应用安全问题与传统防火墙不同,WAF 工作在应用层, 因此对 Web 应用防护具有先天的技术优势基于对 Web 应用业务和逻辑的深刻理解,WAF 对来自 Web 应用程序客户端的各类请求进行内容检测和验证, 确保其安全性与合法性, 对非法的请求予以实时阻断, 从而对各类网站站点进行有效防护网站安全实时监测技术 (WSM) 网站安全监测技术 (Web Security Monitoring System 简称 :WSM) 即通过对目标站点进行不间断的页面爬取分析匹配, 为客户的互联网网站提供远程安全实时监测安全检查实时告警, 可对目标站点的脆弱性可用性完整性进行高频率持续监测, 一旦发生安全事件, 及时告警网站安全云监测技术将网站安全监测技术 (Web Security Monitoring System) 架设于云服务平台上形成的云端网站安全监测技术, 聚集专家运维团队, 实现网站安全的 7*24 小时监测利用本技术可以形成 SAAS 托管式服务, 用户端无需安装任何硬件或软件, 无需改变网络部署现状, 无需专人进行安全设备维护及分析日志, 便可定期获得由经验丰富的安全专家团队出具的周期性综合评估报告, 使客户及时掌握网站的风险状况及安全趋势 8

图 1 抗拒绝服务系统核心技术网站恶意流量清洗技术 (ADS) DoS(Denial of Service 拒绝服务 ) 攻击由于手法简单目的易达难以预防和追溯等特点, 成为了较为常见的网络攻击方式之一, 分为资源消耗服务中止和物理破坏三类 DDoS 攻击技术通过伪造流量和操控肉鸡发起攻击, 使目标服务器网络链路或是网络设备 ( 如防火墙路由器等 ) 负载过高, 从而导致系统崩溃,

11 图 1 抗拒绝服务系统核心技术网站恶意流量清洗技术 (ADS) DoS(Denial of Service 拒绝服务 ) 攻击由于手法简单目的易达难以预防和追溯等特点, 成为了较为常见的网络攻击方式之一, 分为资源消耗服务中止和物理破坏三类 DDoS 攻击技术通过伪造流量和操控肉鸡发起攻击, 使目标服务器网络链路或是网络设备 ( 如防火墙路由器等 ) 负载过高, 从而导致系统崩溃, 无法提供正常的 Internet 服务 DDoS 攻击是一种可以造成大规模破坏的黑客武器随着业务发展对 Internet 依赖程度日益加强,DDoS 攻击所带来的损失也愈加严重, 对面向互联网开展业务的网站系统也造成了严重威胁当前主流的网站恶意流量清洗技术有旁路部署和在线部署两种方式在线部署方式通过抗 DDoS 设备透明地串联在网络入口端, 对 DDoS 攻击进行检测分析和阻断 ; 旁路部署方式通过 BGP OSPF 和静态路由等方式牵引到抗 DDoS 设备上, 回注采用跨接二层回注和三层回注等方式核心技术原理包括 : 反欺骗技术 Anti-DDoS 技术将会对数据包源地址和端口的正确性进行验证, 在统计和分析的基础上对流量提供针对性的反向探测协议栈行为模式分析技术根据协议包类型判断其是否符合 RFC 规定, 若发现异常, 则立即启动统计分析机制 ; 随后针对不同的协议, 采用专有的协议栈行为模式分析算法, 决定是否对数据包进行过滤限制或放行特定应用防护技术抗 DDoS 产品还会根据某些特殊协议类型, 诸如 DNS HTTP VOIP SIP 等, 启用分析模式算法机制, 进一步对不同协议类型的 DDoS 攻击进行防护用户行为模式分析技术网络上的真实业务流量往往含有大量的背景噪声, 这体现了网络流量的随机性, 而攻击者或攻击程序, 为了提高攻击的效率, 往往采用较为固定的负载进行攻击抗 DDoS 产品对用户的行为模式进行统计跟踪和分析, 分辨出真实业务浏览, 并对攻击流量进行带宽限制和信誉惩罚动态指纹识别技术作为一种通用算法, 指纹识别和协议无关, 抗 DDoS 技术采用滑动窗口对数据包负载的特定字节范围进行统计, 采用模式识别算法计算攻击包的特征对匹配指纹特征的攻击包进行带宽限制和信誉惩罚带宽控制技术对经过系统净化的流量进行整形输出, 减轻对下游网络系统的压力地理位置过滤技术攻击者虽然可以利用全球肉鸡 ( 也称傀儡机, 是指可以被黑客远程控制的机器 ) 发起 DDoS 攻击, 但是客户对可以根据自身业务的情况明确业务流量来源, 根据源 IP 地理位置过滤攻击, 实现快速有效的保护云信誉技术云信誉平台通过集合全系列安全产品的发现与验证, 从获取的全球流量中进行信誉等级的评定抗 DDoS 产品通过与云信誉平台联动, 可及时掌握肉鸡数据并进行拦截防护网站恶意流量云端清洗技术云清洗技术是在云端建设恶意流量清洗平台的技术, 通常定位于本地清洗大流量备援服务, 主要帮助客户突破本地清洗方案的局限, 以最小的经济投入应对大流量 DDoS 攻击中小企业客户业务由于带宽较小无法承载大流量攻击, 可以采用本地防护 + 云端清洗的解决方案客户通过在本地部署抗 DDoS 设备, 进行小流量攻击的清洗以及精细化防护, 当攻击流量超过带宽负荷时, 一键通告云端清洗中心展开防护, 从高处拦截大流量攻击, 保障本地带宽的可利用性当遇到大流量攻击时, 如果决定将流量牵引至云清洗中心, 客户需要将网站域名的 DNS 解析地址更改为云清洗中心提供的防护 IP( 可以采用 A 记录或者 CNAME, 推荐 CNAME), 这样攻击者通过域名获取到的只能是云清洗中心的 IP, 从而将攻击流量引流到云清洗中心进行清洗防护, 并隐藏真实服务器的地址, 以达到安全防护的作用网站安全保障服务必要的安全服务是网站安全保障体系中重要的组成内容, 建议教育客户与专业的安全服务公司合作, 为自身网站提供专业的网络安全服务, 主要包括风险评估应急响应安全值守等信息安全风险存在于组织所采用的 IT 技术环境组 9

12 织管理人员信息基础设施等各个方面, 且随着威胁因素组织业务流程的发展不断变化风险评估手段可以使企业 / 组织客观充分准确地把握面临的潜在风险, 明确组织在技术管理方面存在的脆弱性弱点及其可能的不良影响, 为选择和部署有针对性的风险处置措施提供了基础应急响应是指安全技术人员在遇到突发事件后所采取的措施和行动而突发事件则是指影响一个系统正常工作的情况这里的系统包括主机范畴内的问题, 也包括网络范畴内的问题, 例如黑客入侵信息窃取拒绝服务攻击网络流量异常等现场值守服务是由服务方指派安全技术人员, 以客户指定场所为现场办公地点, 开展如安全设备监控安全巡检安全日志分析应急处置等与运维相关的工作, 由专业人员从事专业工作, 最大化节省客户人力成本, 充分保障客户 IT 系统网络及业务的顺畅运行附录 A 网站安全评分标准赛尔绿盟云的网站安全脆弱性扫描服务将根据扫描到的每个站点的安全脆弱性结果, 对网站整体安全水平量化评分按照评分高低, 将网站安全划分为四个等级, 标准如下表所示网站安全等级网站安全等级得分区域非常危险 0<= 网站安全等级得分 <45 比较危险 45<= 网站安全等级得分 <61 比较安全 61<= 网站安全等级得分 <85 非常安全 85<= 网站安全等级得分 <=100 附录 B 安全脆弱性量化赋值标准赛尔绿盟云的网站安全脆弱性扫描服务对于识别出的安全脆弱性进行量化评分, 并根据评分结果对脆弱性的危害程度给予定性级别划分由于系统安全脆弱性和 Web 应用安全脆弱性的危害方式不同, 因此对两种类型的安全脆弱性级别的判定分别设定了不同标准 Web 应用安全脆弱性级别判定标准如下图所示漏洞危险等级漏洞危险值区域漏洞危险等级说明高 7 <= 漏洞危险值 <= 10 中 4 <= 漏洞危险值 < 7 攻击者可以远程操作系统文件读写后台数据库执行任意命令或进行远程拒绝服务攻击攻击者可以利用 Web 网站攻击其他用户, 读取系统文件或后台数据库低 1 <= 漏洞危险值 < 4 攻击者可以获取某些系统文件的信息或冒用身份分值评估标准 1 可远程获取 Web 服务器组件的版本信息 2 目标 Web 服务器开放了不必要的服务 3 可远程访问到某些不在目录树中的文件或读取服务器动态脚本的源码 4 可远程因为会话管理的问题导致身份冒用 5 可远程利用受影响的 Web 服务器攻击其他浏览网站的用户 6 可远程读取系统文件或后台数据库 7 可远程读写系统文件操作后台数据库 8 可远程以普通用户身份执行命令或进行拒绝服务攻击 9 可远程以管理用户身份执行命令 ( 受限不太容易利用 ) 10 可远程以管理用户身份执行命令 ( 不受限容易利用 ) 10

13 联系方式平台网址 : 技术支持热线 : 转 2 销售联系电话 : 联系地址 : 北京市海淀区清华科技园 8 号楼 B 座赛尔大厦 9 层公司网址 : 广东分公司联系电话 :(020) 传真 :(020) 地址 : 广州市天河区五山路华南理工大学科技园 2 号楼 610 邮政编码 : contact_guangdong@cernet.com 北京分公司联系电话 :(010) 传真 :(010) 地址 : 海淀区中关村东路 1 号院清华科技园 8 号楼 B 座赛尔大厦 9 层邮政编码 : contact_beijing@cernet.com 安徽分公司联系电话 :(0551) 传真 :(0551) 地址 : 合肥市金寨路 162 号安徽国际商务中心 B 座 2003 室邮政编码 : contact_anhui@cernet.com 广西分公司联系电话 :(0771) 传真 :(0771) 地址 : 南宁市东葛路 18-1 号嘉和自由空间 A 座 2801 室邮政编码 : contact_guangxi@cernet.com 贵州分公司联系电话 :(0851) 传真 :(0851) 地址 : 贵州省贵阳市云岩区中华北路银夏大厦 1 幢 1 单元 19 层 6 号邮政编码 : contact_guizhou@cernet.com 福建分公司联系电话 :(0591) 传真 :(0591) 地址 : 福建省福州市鼓楼区西江滨大道 66 号融侨锦江 B 区 10 号楼 1701 室邮政编码 : contact_fujian@cernet.com 甘肃 ( 青海 ) 分公司联系电话 :(0931) 传真 :(0931) 地址 : 兰州市城关区定西路 13 号 1602 室邮政编码 : contact_gansu@cernet.com 海南分公司联系电话 :(0898) 传真 :(0898) 地址 : 海南省海口市龙昆南路 99 号海南师范大学实验楼 5 楼邮政编码 : contact_hainan@cernet.com 河南分公司联系电话 :(0371) 传真 :(0371) 地址 : 大学路 75 号郑州大学逸夫楼 1 楼河南教育和科研计算机网网络中心邮政编码 : contact_henan@cernet.com 11

14 河北分公司联系电话 :(0311) 传真 :(0311) 地址 : 河北省石家庄市南二环东路 20 号河北师范大学理科群计算机网络中心 B-406 邮政编码 : contact_hebei@cernet.com 湖南分公司联系电话 :(0731) 传真 :(0731) 地址 : 湖南省长沙市中南大学新校区外语网络楼 130 室邮政编码 : contact_hunan@cernet.com 江苏分公司联系电话 :(025) 传真 :(025) 地址 : 南京市珠江路 88 号新世界中心 B 座 3403 室邮政编码 : contact_jiangsu@cernet.com 江西分公司联系电话 :(0791) 传真 :(0791) 地址 : 江西省南昌市北京东路 339 号南昌大学南区网络中心 3 楼邮政编码 : contact_jiangxi@cernet.com 黑龙江分公司联系电话 :(0451) 传真 :(0451) 地址 : 黑龙江省哈尔滨市南岗区一匡街 2 号哈尔滨工业大学科学园国际会议中心 (2H 栋 )433 室邮政编码 : contact_heilongjiang@cernet.com 山东分公司联系电话 :(0531) 传真 :(0531) 地址 : 山东省济南市历城区山大南路 29-1 号鲁能科技大厦 B 座 502 室邮政编码 : contact_shandong@cernet.com 湖北分公司联系电话 :(027) 传真 :(027) 转 827 地址 : 武汉市洪山区鲁磨路 6 号联峰时代 C 栋 15 楼室邮政编码 : contact_hubei@cernet.com 辽宁分公司联系电话 :(024) 传真 :(024) 地址 : 辽宁省沈阳市和平区三好街 84-2 号东大科学馆五层赛尔网络邮政编码 : contact_liaoning@cernet.com 吉林分公司联系电话 :(0431) 传真 :(0431) 地址 : 吉林省长春市西康路 889 号威宝大厦 1204 室邮政编码 : contact_jilin@cernet.com 内蒙古分公司联系电话 :(0471) 传真 :(0471) 地址 : 内蒙古呼和浩特市呼伦南路雅阁星城 3 号楼 806 室邮政编码 : contact_neimenggu@cernet.com 12

15 陕西分公司联系电话 :(029) 传真 :(029) 地址 : 西安市南二环东段 62 号伟业都市远景大厦二十八层 H 室邮政编码 : contact_shanxi029@cernet.com 新疆分公司联系电话 :(0991) 传真 :(0991) 地址 : 新疆乌鲁木齐市胜利路 14 号新疆大学现代教育技术中心网络部三楼邮政编码 : contact_xinjiang@cernet.com 上海分公司联系电话 :(021) 传真 :(021) 地址 : 上海市大连路 1619 号财富国际广场 1708 室邮政编码 : contact_shanghai@cernet.com 云南分公司联系电话 :(0871) 传真 :(0871) 地址 : 云南省昆明市翠湖南路翠丽苑 4 单元 3 楼 A 座邮政编码 : contact_yunnan@cernet.com 深圳分公司联系电话 :(0755) 传真 :(0755) 地址 : 深圳市高新技术产业园南区清华大学研究院 5 楼 C 区 515 邮政编码 : contact_shenzhen@cernet.com 四川分公司联系电话 :(028) 传真 :(028) 地址 : 成都市一环路东一段 159 号电子信息产业大厦 510 室邮政编码 : contact_sichuan@cernet.com 天津分公司联系电话 :(022) 传真 :(022) 地址 : 天津南开区白堤路 186 号天津电子科技中心 1904 邮政编码 : contact_tianjin@cernet.com 浙江分公司联系电话 :(0571) 传真 :(0571) 地址 : 浙江省杭州市西湖区古翠路 76 号怡泰大厦 702 室邮政编码 : contact_zhejiang@cernet.com 重庆分公司联系电话 :(023) 传真 :(023) 地址 : 重庆市沙坪坝区渝碚路 39 号庆泰大厦 10 楼 15 室邮政编码 : contact_chongqing@cernet.com 山西分公司联系电话 :(0351) 传真 :(0351) 地址 : 山西省太原市迎泽西大街 79 号太原理工大学科学楼 13 层邮政编码 : contact_shanxi@cernet.com

16 赛联地赛尔绿盟安全云平台介绍网站

北京市招生情况一览表专业年份专业名称 2014 招生计划最高分文 2015 最低分史平均分招生计划最高分类文 2016 最低分史平均分招生计划最高分类文最低分史平均分类金融学财政学

北京市招生情况一览表专业年份专业名称 2014 招生计划最高分文 2015 最低分史平均分招生计划最高分类文 2016 最低分史平均分招生计划最高分类文最低分史平均分类金融学财政学北京市招生情况一览表名称财政学国际经济与贸易市场营销旅游管理 8 0. 农林经济管理人力资源管理化产业管理法学 0 0 0 法学经济法方向 0 8 广告学新闻学税收学理工理工理 0 96 99 管理科学工程管理 7 信息管理与信息系统 8 8 8 电子商务 7. 工商管理物流管理财务管理 7 7 7 金融数学 7 7 7 经济统计学 8 8 8 0 0 0 工