安恒信息高校应数库安全方案网络安全解决方案
1概述
11黑客攻击网络层转应层
着互联网技术迅猛发展许政府企业高校关键业务活动越越赖WEB应公众学生提供通浏览器访问高校信息功时高校面风险断增加表现两层面：着Web应程序增Web应程序带安全漏洞越越二着互联网技术发展进行攻击黑客工具越越黑客活动越越猖獗组织性济利益驱动非常明显
然形成鲜明：现阶段安全解决方案例外重点放网络安全层面致面应层攻击（：针WEB应SQL注入攻击跨站脚攻击等）发生时传统网络防火墙IDSIPS等安全产品网站攻击起作许政府企业门户网站成黑客组织成批传播木马效途径
统计75网络攻击互联网安全侵害源应软件网页漏洞根源程序开发者网页程序编制检测未安全训练程序员缺乏相关网页安全知识应部门缺乏良编程规范代码检测机制等等解决类问题必须WEB应软件开发程序整治仅仅补丁安装防火墙远远够
2008 年半年中国陆篡改网站数量相年处明显升趋势国家互联网
应急中心（CNCERT）监测中国陆篡改网站总数达35113 增加237月统计情况图示：
2008 年半年中国篡改网站数量
2008 年1 月6 月期间中国陆政府网站篡改数量基保持稳月累计达2242年半年期监测情况相增加41中出月篡改govcn域名网站约占整陆区篡改网站7govcn 域名网站仅占cn 域名23政府网站然黑客攻击重目标具体例图：
12面应层新型攻击特点简析
隐蔽性强：利Web漏洞发起WEB应攻击纷繁复杂包括SQL 注入跨站脚攻击等等特点隐蔽性强易发觉
攻击时间短：短短秒分钟完成次数窃取次木马种植完成整数
库Web服务器控制非常困难做出反应
危害性：目前银行证券电信移动政府电子商务企业提供线交易查询交互服务户机密信息包括账户私密信息（身份证）交易信息等等通Web存储台数库中 样线服务器旦瘫痪正常运行台数已篡改者窃取 造成企业巨损失权威部门统计目前身份失窃（identity theft）已成全球严重问题
造成非常严重形形损失：目前型企业国外市企业 旦发生类安全事件 必造成心惶惶名誉扫造成济声誉巨损失便市影响损失估量
13现网络层防护产品面应层攻击束手策
传统防火墙IDS产品存足：
防火墙：通端口限制实现访问控制WEB应言HTTPHTTPS端口开放防火墙法检测WEB应攻击发生更谈阻止攻击
IDS：特征库检测已知攻击WEB应攻击变形非常（：SQL注入跨站脚恶意文件包含等）IDS法穷特征然更加预知未变形
14数库面安全挑战
数库信息系统核心业务开展程中具战略性资产通常保存着重商业伙伴客户信息信息需保护起防止竞争者非法者获取互联网急速发展企业数库信息价值访问性提升时高校中校园卡通系统重组成部分――电子钱包关系着位师生校园活动记录核心数库信息资产面严峻挑战概括起表现三层面：
理层面：表现员职责流程完善部员工日常操作规范第三方维护员操作监控失效等等致安全事件发生时法追溯定位真实操作者
技术层面：
保护数库信息安全性制定相应理制度没相应技术手段进行控制
数库安装部署时数库厂商默认配置缺省口令默认权限等现象普遍存
现数库部操作明法通外部安全工具（：防火墙IDSIPS等）阻止部户恶意操作滥资源泄露企业机密信息等行
审计层面：现赖数库日志文件审计方法存诸弊端：数库审计功开启会影响数库身性数库日志文件身存篡改风险难体现审计信息真实性
伴着数库信息价值访问性提升数库面部外部安全风险增加违规越权操作恶意入侵导致机密信息窃取泄漏事法效追溯审计
15数库户客观需求
针目前数库户概括说三方面需求：确保数完整性避免理缺位造成数丢失二理者全面解数库潜风险实际发生情况三疑行发生时动启动预先设置告警流程防范数库风险发生数库安全性方面求特高种遗漏关键活动行会导致数库安全错误判断干扰数库运行时性
16现数库安全解决方案足
现数库安全解决方案注意力集中方面：
硬件层面：常见方案包括线存储RAID数库服务器集群工作离线备份异容灾等
软件层面：时发现误操作通数库软件身回滚通备份文件恢复数库软件身问题完全赖数库厂商补丁升级解决
数库安全防护风险控制通防火墙IDSIPS进行简单端口隔离访问策略控制实现外部风险控制部员违规操作更加缺乏效控制手段原：
传统网络安全方案：网络防火墙实现IP址端口协议访问控制法识特定户具体数库活动（：某户数库客户端删某张数库表）IPS然赖特征库限识数库软件已知漏洞攻击样法判具体数库户活动更谈细粒度审计
数库安全操作：需数库软件身开启审计功通采集数库系统日志信息方法形成审计报告样审计方案受限数库审计日志功访问控制功审计深度审计响应实时性方面难获审计效果时开启数库审计功方面会增加数库服务器资源消耗严重影响数库性方面审计信息真实性完整性法保证
诸应程序修改数源触发器统认证系统授权等等方式均记录限信息更加法提供细料度数库操作审计
17方案解决数库安全问题
安恒公司针数库面风险行业客户实际需求结合数库安全深入研究安全服务团队实践验积累推出数库安全整体解决方案该方案方面入手力求层面解决数库面理风险技术风险审计风险：
理风险：协助企业建立完善数库安全理体系规范部员职责流程
技术风险：
通专数库安全审计设备部署重数敏感信息设置细粒度风险控制策略审计规相应理制度够效贯彻落实
通数库静态审计（风险评估）实现数库安全配置潜弱点弱口令默认口令软件补丁等方面安全评估加固消默认配置默认权限等安全隐患实现数库攻击风险效控制
通灵活策略定制：根登录户源IP址数库象（分数库户表字段）操作时间SQL操作记录容灵活组合定义客户关心重事件风险事件实现部员操作透明化控制误操作违规操作恶意操作事件发生
通专数库安全审计设备部署实时监控层面数库活动（：业务系统理员远程登录数库客户端软件等）营造安全数库运行环境
审计风险：
通专数库安全审计设备部署实现安全审计日常数库理分离确保审计信息真实性完整性公正性
部署独立专数库安全审计设备部署确保审计工作影响数库身性
通专数库安全审计设备部署提供细粒度行检索安全事件回放辅助安全事件成分析责认定
2安全方案设计思想
21安全建设原
网站安全项动态整体系统工程技术说网站应采相应安全技术包括：防病毒防火墙入侵检测漏洞扫描检测网站实时监控恢复安全事件紧急响应体系等期针房产理局网站安全解决方案遵循原：
应安全产品符合信息系统安全国际标准国家标准
安全产品采取硬软结合方针
应安全产品部署成信息系统运行瓶颈
应安全覆盖房产理局相关WEB应
完整性：应安全建设必需保证整防御体系完整性较安全措施种方法适综合应结果单安全产品安全问题发现处理控制等力优劣安全性角度考虑需安全产品间安全互补通种较提高系统安全事件响应准确性全面性
动态性：着WEB应脆弱性改变威胁攻击技术发展WEB应安全变成动态程静止变产品根法适应WEB应安全需选安全产品必须时断改进完善时进行技术设备升级换代样保证系统安全性
专业性：攻击技术防御技术信息安全矛盾体两种技术角度断系统安全提出挑战掌握两种技术系统安全全面认识提供效安全技术产品服务需事安全公司拥量专业技术长期进行技术研究积累全面系统深入户提供服务
易性：安全措施完成果措施复杂求高般员难胜降低系统安全性
22安全实施策略
期安全方案重点某高校校园网站卡通系统安全提出合理效安全建议拟两方面着手：
全面掌握某高校校园网站卡通系统安全问题制定合理风险规避措施角度出发
确保某高校校园网站卡通系统安全运行实时阻挡恶意者攻击降低网站部
WEB应运行风险角度出发
通指导原实际实施时候采策略：
等级安全产品进行集成根网站应系统安全等级需求选合适安全产品效减少系统投资
产品选型时需厂家提供客户化支持服务产品样保证系统安全户化针户应业务提供安全保证国具知识产权安全产品时根户求产品进行相应改进产品更加适合户实际需般通性产品
采提供化服务厂家产品提供化服务产品户安全关重时提供应急安全响应服务黑客入侵事件发生时候第时间进行响应程度保护户利益
选择产品时需保证符合相应国际国标准尤国相关安全标准
产品应具友全中文支持户界面户理维护量简单直观
3建设容
31WEB应弱点检测
着WEB应脆弱性改变威胁攻击技术发展WEB应安全变成动态程静止变产品根法适应WEB应安全需根高校WEB应系统特性应建立WEB应风险定期检测评估机制通部署安恒明鉴WEB应弱点扫描器某高效校园网外网站WEB应系统进行检测评估发现问题时进行加固提高应系统抗风险力
明鉴WEB应弱点扫描器优势：
品牌优势：该产品已公安部第研究公安部第三研究浙江省电子产品检验等众等
级保护测评机构采作WEB应系统唯等级保护测评工具
功优势：够检测众WEB应层漏洞（：SQL注入跨站点脚攻击伪造跨站点请求网页木马弱配置第三方软件误配置检测隐藏字段CGI缺陷表单弱口令Cookie注入URL重定检测单表逃逸恶意代码数窃取GOOGLEHACK中间攻击oracle密码爆力破解Web Service XPath注入Web 20 AJAX注入HI－JACK类CGI弱点：LDAP注入CFS跨域攻击敏感文件目录遍历远程文件包含应层拒绝服务等类漏洞种类）
优势：支持意深度（配置）扫描层次支持HTTPS检测支持验证码检测等
32应安全防御
信息发布类栏目确保网站信息完整性真实性首务网互动类栏目确保数真实性完整性保密性首务
述分析需保护WEB服务器前端部署安恒公司明御WEB应防火墙保护WEB服务器实行7X24时实时监控防御保护WEB服务器受互联网应层攻击
明御WEB应防火墙优势：
全透明直连部署：国首创全透明部署WEB应防火墙硬件设备需改变户现网络结构DNS配置安装部署方便简单
HTTPHTTPS支持：全面支持HTTPS实现类高安全求WEB应系统深度实时防护（网银证券交易等）
深度防御体系：采专利级WEB入侵异常检测引擎够效防御日益盛行WEB应黑客攻击SQL注入钓鱼攻击敏感信息泄露表单绕缓区溢出CGI扫描遍历目录等
Web应加速：系统嵌应加速模块通类静态页面部分脚高速缓存提高访问速度
33数库安全审计
现赖数库日志文件审计方法存诸弊端：数库审计功开启会影响数库身性数库日志文件身存篡改风险难体现审计信息真实性针目前数库系统存素软件漏洞风险迫切需专门针数库安全进行整体审计实现数库运行视化日常操作监控危险操作控制行审计安全事件追溯
容：
全方位实时审计：实时监控层面数库活动（包括通远程命令行方式运行SQL命令）：应程序发起数库操作请求数库客户端工具操作请求等
细粒度行检索：旦发生安全事件提供基数库象（户表字段记录容）完全定义审计查询审计数展现彻底摆脱数库黑盒状态（快速掌握：安全事件发生前谁数库做操作？做什操作？什时候做操作？通什方式做操作？）
灵活策略定制：根登录户源IP址数库象（分数库户表字段）操作时间SQL操作返回记录数受影响行数关联表数量SQL执行结果SQL执行时长记录容灵活组合定义客户关心重事件风险事件
形式实时告警：检测疑操作违反审计规操作时系统通监控中心告警短信告警邮件告警SYSlog告警等方式通知数库理员
友真实操作程回放：客户关心操作回放整相关程客户真实输入屏幕显示容
协议远程访问监控：提供数库服务器远程访问（：ftptelnet）实时监控回放功助安全事件定位查询成分析责认定
文档香网(httpswwwxiangdangnet)户传
《香当网》用户分享的内容，不代表《香当网》观点或立场，请自行判断内容的真实性和可靠性！
该内容是文档的文本内容，更好的格式请下载文档
1概述
11黑客攻击网络层转应层
着互联网技术迅猛发展许政府企业高校关键业务活动越越赖WEB应公众学生提供通浏览器访问高校信息功时高校面风险断增加表现两层面：着Web应程序增Web应程序带安全漏洞越越二着互联网技术发展进行攻击黑客工具越越黑客活动越越猖獗组织性济利益驱动非常明显
然形成鲜明：现阶段安全解决方案例外重点放网络安全层面致面应层攻击（：针WEB应SQL注入攻击跨站脚攻击等）发生时传统网络防火墙IDSIPS等安全产品网站攻击起作许政府企业门户网站成黑客组织成批传播木马效途径
统计75网络攻击互联网安全侵害源应软件网页漏洞根源程序开发者网页程序编制检测未安全训练程序员缺乏相关网页安全知识应部门缺乏良编程规范代码检测机制等等解决类问题必须WEB应软件开发程序整治仅仅补丁安装防火墙远远够
2008 年半年中国陆篡改网站数量相年处明显升趋势国家互联网
应急中心（CNCERT）监测中国陆篡改网站总数达35113 增加237月统计情况图示：
2008 年半年中国篡改网站数量
2008 年1 月6 月期间中国陆政府网站篡改数量基保持稳月累计达2242年半年期监测情况相增加41中出月篡改govcn域名网站约占整陆区篡改网站7govcn 域名网站仅占cn 域名23政府网站然黑客攻击重目标具体例图：
12面应层新型攻击特点简析
隐蔽性强：利Web漏洞发起WEB应攻击纷繁复杂包括SQL 注入跨站脚攻击等等特点隐蔽性强易发觉
攻击时间短：短短秒分钟完成次数窃取次木马种植完成整数
库Web服务器控制非常困难做出反应
危害性：目前银行证券电信移动政府电子商务企业提供线交易查询交互服务户机密信息包括账户私密信息（身份证）交易信息等等通Web存储台数库中 样线服务器旦瘫痪正常运行台数已篡改者窃取 造成企业巨损失权威部门统计目前身份失窃（identity theft）已成全球严重问题
造成非常严重形形损失：目前型企业国外市企业 旦发生类安全事件 必造成心惶惶名誉扫造成济声誉巨损失便市影响损失估量
13现网络层防护产品面应层攻击束手策
传统防火墙IDS产品存足：
防火墙：通端口限制实现访问控制WEB应言HTTPHTTPS端口开放防火墙法检测WEB应攻击发生更谈阻止攻击
IDS：特征库检测已知攻击WEB应攻击变形非常（：SQL注入跨站脚恶意文件包含等）IDS法穷特征然更加预知未变形
14数库面安全挑战
数库信息系统核心业务开展程中具战略性资产通常保存着重商业伙伴客户信息信息需保护起防止竞争者非法者获取互联网急速发展企业数库信息价值访问性提升时高校中校园卡通系统重组成部分――电子钱包关系着位师生校园活动记录核心数库信息资产面严峻挑战概括起表现三层面：
理层面：表现员职责流程完善部员工日常操作规范第三方维护员操作监控失效等等致安全事件发生时法追溯定位真实操作者
技术层面：
保护数库信息安全性制定相应理制度没相应技术手段进行控制
数库安装部署时数库厂商默认配置缺省口令默认权限等现象普遍存
现数库部操作明法通外部安全工具（：防火墙IDSIPS等）阻止部户恶意操作滥资源泄露企业机密信息等行
审计层面：现赖数库日志文件审计方法存诸弊端：数库审计功开启会影响数库身性数库日志文件身存篡改风险难体现审计信息真实性
伴着数库信息价值访问性提升数库面部外部安全风险增加违规越权操作恶意入侵导致机密信息窃取泄漏事法效追溯审计
15数库户客观需求
针目前数库户概括说三方面需求：确保数完整性避免理缺位造成数丢失二理者全面解数库潜风险实际发生情况三疑行发生时动启动预先设置告警流程防范数库风险发生数库安全性方面求特高种遗漏关键活动行会导致数库安全错误判断干扰数库运行时性
16现数库安全解决方案足
现数库安全解决方案注意力集中方面：
硬件层面：常见方案包括线存储RAID数库服务器集群工作离线备份异容灾等
软件层面：时发现误操作通数库软件身回滚通备份文件恢复数库软件身问题完全赖数库厂商补丁升级解决
数库安全防护风险控制通防火墙IDSIPS进行简单端口隔离访问策略控制实现外部风险控制部员违规操作更加缺乏效控制手段原：
传统网络安全方案：网络防火墙实现IP址端口协议访问控制法识特定户具体数库活动（：某户数库客户端删某张数库表）IPS然赖特征库限识数库软件已知漏洞攻击样法判具体数库户活动更谈细粒度审计
数库安全操作：需数库软件身开启审计功通采集数库系统日志信息方法形成审计报告样审计方案受限数库审计日志功访问控制功审计深度审计响应实时性方面难获审计效果时开启数库审计功方面会增加数库服务器资源消耗严重影响数库性方面审计信息真实性完整性法保证
诸应程序修改数源触发器统认证系统授权等等方式均记录限信息更加法提供细料度数库操作审计
17方案解决数库安全问题
安恒公司针数库面风险行业客户实际需求结合数库安全深入研究安全服务团队实践验积累推出数库安全整体解决方案该方案方面入手力求层面解决数库面理风险技术风险审计风险：
理风险：协助企业建立完善数库安全理体系规范部员职责流程
技术风险：
通专数库安全审计设备部署重数敏感信息设置细粒度风险控制策略审计规相应理制度够效贯彻落实
通数库静态审计（风险评估）实现数库安全配置潜弱点弱口令默认口令软件补丁等方面安全评估加固消默认配置默认权限等安全隐患实现数库攻击风险效控制
通灵活策略定制：根登录户源IP址数库象（分数库户表字段）操作时间SQL操作记录容灵活组合定义客户关心重事件风险事件实现部员操作透明化控制误操作违规操作恶意操作事件发生
通专数库安全审计设备部署实时监控层面数库活动（：业务系统理员远程登录数库客户端软件等）营造安全数库运行环境
审计风险：
通专数库安全审计设备部署实现安全审计日常数库理分离确保审计信息真实性完整性公正性
部署独立专数库安全审计设备部署确保审计工作影响数库身性
通专数库安全审计设备部署提供细粒度行检索安全事件回放辅助安全事件成分析责认定
2安全方案设计思想
21安全建设原
网站安全项动态整体系统工程技术说网站应采相应安全技术包括：防病毒防火墙入侵检测漏洞扫描检测网站实时监控恢复安全事件紧急响应体系等期针房产理局网站安全解决方案遵循原：
应安全产品符合信息系统安全国际标准国家标准
安全产品采取硬软结合方针
应安全产品部署成信息系统运行瓶颈
应安全覆盖房产理局相关WEB应
完整性：应安全建设必需保证整防御体系完整性较安全措施种方法适综合应结果单安全产品安全问题发现处理控制等力优劣安全性角度考虑需安全产品间安全互补通种较提高系统安全事件响应准确性全面性
动态性：着WEB应脆弱性改变威胁攻击技术发展WEB应安全变成动态程静止变产品根法适应WEB应安全需选安全产品必须时断改进完善时进行技术设备升级换代样保证系统安全性
专业性：攻击技术防御技术信息安全矛盾体两种技术角度断系统安全提出挑战掌握两种技术系统安全全面认识提供效安全技术产品服务需事安全公司拥量专业技术长期进行技术研究积累全面系统深入户提供服务
易性：安全措施完成果措施复杂求高般员难胜降低系统安全性
22安全实施策略
期安全方案重点某高校校园网站卡通系统安全提出合理效安全建议拟两方面着手：
全面掌握某高校校园网站卡通系统安全问题制定合理风险规避措施角度出发
确保某高校校园网站卡通系统安全运行实时阻挡恶意者攻击降低网站部
WEB应运行风险角度出发
通指导原实际实施时候采策略：
等级安全产品进行集成根网站应系统安全等级需求选合适安全产品效减少系统投资
产品选型时需厂家提供客户化支持服务产品样保证系统安全户化针户应业务提供安全保证国具知识产权安全产品时根户求产品进行相应改进产品更加适合户实际需般通性产品
采提供化服务厂家产品提供化服务产品户安全关重时提供应急安全响应服务黑客入侵事件发生时候第时间进行响应程度保护户利益
选择产品时需保证符合相应国际国标准尤国相关安全标准
产品应具友全中文支持户界面户理维护量简单直观
3建设容
31WEB应弱点检测
着WEB应脆弱性改变威胁攻击技术发展WEB应安全变成动态程静止变产品根法适应WEB应安全需根高校WEB应系统特性应建立WEB应风险定期检测评估机制通部署安恒明鉴WEB应弱点扫描器某高效校园网外网站WEB应系统进行检测评估发现问题时进行加固提高应系统抗风险力
明鉴WEB应弱点扫描器优势：
品牌优势：该产品已公安部第研究公安部第三研究浙江省电子产品检验等众等
级保护测评机构采作WEB应系统唯等级保护测评工具
功优势：够检测众WEB应层漏洞（：SQL注入跨站点脚攻击伪造跨站点请求网页木马弱配置第三方软件误配置检测隐藏字段CGI缺陷表单弱口令Cookie注入URL重定检测单表逃逸恶意代码数窃取GOOGLEHACK中间攻击oracle密码爆力破解Web Service XPath注入Web 20 AJAX注入HI－JACK类CGI弱点：LDAP注入CFS跨域攻击敏感文件目录遍历远程文件包含应层拒绝服务等类漏洞种类）
优势：支持意深度（配置）扫描层次支持HTTPS检测支持验证码检测等
32应安全防御
信息发布类栏目确保网站信息完整性真实性首务网互动类栏目确保数真实性完整性保密性首务
述分析需保护WEB服务器前端部署安恒公司明御WEB应防火墙保护WEB服务器实行7X24时实时监控防御保护WEB服务器受互联网应层攻击
明御WEB应防火墙优势：
全透明直连部署：国首创全透明部署WEB应防火墙硬件设备需改变户现网络结构DNS配置安装部署方便简单
HTTPHTTPS支持：全面支持HTTPS实现类高安全求WEB应系统深度实时防护（网银证券交易等）
深度防御体系：采专利级WEB入侵异常检测引擎够效防御日益盛行WEB应黑客攻击SQL注入钓鱼攻击敏感信息泄露表单绕缓区溢出CGI扫描遍历目录等
Web应加速：系统嵌应加速模块通类静态页面部分脚高速缓存提高访问速度
33数库安全审计
现赖数库日志文件审计方法存诸弊端：数库审计功开启会影响数库身性数库日志文件身存篡改风险难体现审计信息真实性针目前数库系统存素软件漏洞风险迫切需专门针数库安全进行整体审计实现数库运行视化日常操作监控危险操作控制行审计安全事件追溯
容：
全方位实时审计：实时监控层面数库活动（包括通远程命令行方式运行SQL命令）：应程序发起数库操作请求数库客户端工具操作请求等
细粒度行检索：旦发生安全事件提供基数库象（户表字段记录容）完全定义审计查询审计数展现彻底摆脱数库黑盒状态（快速掌握：安全事件发生前谁数库做操作？做什操作？什时候做操作？通什方式做操作？）
灵活策略定制：根登录户源IP址数库象（分数库户表字段）操作时间SQL操作返回记录数受影响行数关联表数量SQL执行结果SQL执行时长记录容灵活组合定义客户关心重事件风险事件
形式实时告警：检测疑操作违反审计规操作时系统通监控中心告警短信告警邮件告警SYSlog告警等方式通知数库理员
友真实操作程回放：客户关心操作回放整相关程客户真实输入屏幕显示容
协议远程访问监控：提供数库服务器远程访问（：ftptelnet）实时监控回放功助安全事件定位查询成分析责认定
文档香网(httpswwwxiangdangnet)户传
《香当网》用户分享的内容，不代表《香当网》观点或立场，请自行判断内容的真实性和可靠性！
该内容是文档的文本内容，更好的格式请下载文档
