信息中心
高校應用及數據庫安全解決方案
1概述
黑客攻擊由網絡層轉向應用層
隨著互聯網技術的迅猛發展，許多政府、企業及高校的關鍵業務活動越來越多地依賴于WEB應用，在向公眾及學生提供通過瀏覽器訪問高校信息功能的同時，高校所面臨的風險在不斷增加。主要表現在兩個層面：一是隨著Web應用程序的增多，這些Web應用程序所帶來的安全漏洞越來越多;二是隨著互聯網技術的發展，被用來進行攻擊的黑客工具越來越多、黑客活動越來越猖獗,組織性和經濟利益驅動非常明顯。
然而與之形成鮮明對比的卻是：現階段的安全解決方案無一例外的把重點放在網絡安全層面，致使面臨應用層攻擊(如：針對WEB應用的SQL注入攻擊、跨站腳本攻擊等)發生時，傳統的網絡防火墻、IDS/IPS等安全產品對網站攻擊幾乎不起作用，許多政府和企業門戶網站成為黑客組織成批傳播木馬的最有效途徑。
據統計75%的網絡攻擊和互聯網安全侵害源于應用軟件，網頁上的漏洞的根源還是來自程序開發者對網頁程序編制和檢測。未經過安全訓練的程序員缺乏相關的網頁安全知識;應用部門缺乏良好的編程規范和代碼檢測機制等等。解決此類問題必須在WEB應用軟件開發程序上整治，僅僅靠打補丁和安裝防火墻是遠遠不夠的。
2008年上半年，中國大陸被篡改網站的數量相比往年處于明顯上升趨勢。
國家互聯網應急中心(CNCERT)監測到中國大陸被篡改網站總數達到35113個，同比增加了23.7%。按月統計情況如圖所示：
2008年上半年中國被篡改網站數量
2008年1月至6月期間，中國大陸政府網站被篡改數量基本保持平穩，各月累計達2242個。與去年上半年同期監測情況相比，增加了41%。從中可以看出，每月被篡改的gov.cn域名網站約占整個大陸地區被篡改網站的7%，而gov.cn域名網站僅占.cn域名的2.3%，因此政府網站仍然是黑客攻擊的重要目標。具體比例如下圖：
1.1面向應用層新型攻擊特點簡析
n隱蔽性強：利用Web漏洞發起對WEB應用的攻擊紛繁復雜，包括SQL注入，跨站腳本攻擊等等，一個共同特點是隱蔽性強，不易發覺。
n攻擊時間短：可在短短幾秒到幾分鐘內完成一次數據竊取、一次木馬種植、完成對整個數據庫或Web服務器的控制，以至于非常困難做出人為反應。
n危害性大：目前幾乎所有銀行，證券，電信，移動，政府以及電子商務企業都提供在線交易，查詢和交互服務。用戶的機密信息包括賬戶，個人私密信息(如身份證)，交易信息等等，都是通過Web存儲于后臺數據庫中，這樣，在線服務器一旦癱瘓，或雖在正常運行，但后臺數據已被篡改或者竊取，都將造成企業或個人巨大的損失。據權威部門統計，目前身份失竊(identitytheft)已成為全球最嚴重的問題之一。
n造成非常嚴重的有形和無形損失：目前，很多大型企業都是在國內外上市的企業，一旦發生這類安全事件，必將造成人心惶惶，名譽掃地，以至于造成經濟和聲譽上的巨大損失，即便不上市，其影響和損失也是不可估量的。
1.2現有的網絡層防護產品面對應用層攻擊束手無策
傳統的防火墻或IDS產品存在以下不足：
n防火墻：通過端口限制實現訪問控制，但對于WEB應用而言，其HTTP/HTTPS端口是開放的。因此，防火墻無法檢測到WEB應用攻擊的發生，更談不上阻止攻擊。
nIDS：依靠特征庫檢測已知攻擊，而對于WEB應用攻擊，變形非常多(比如：SQL注入、跨站腳本、惡意文件包含等)，IDS無法窮盡所有的特征，當然，更加不可能預知未來的變形。
1.3數據庫面臨的安全挑戰
數據庫是信息系統核心業務開展過程中最具有戰略性的資產，通常都保存著重要的商業伙伴和客戶信息，這些信息需要被保護起來，以防止競爭者和其他非法者獲取。互聯網的急速發展使得企業的數據庫信息價值及可訪問性得到了提升，同時，高校中的校園一卡通系統的重要組成部分――電子錢包，關系著每位師生在校園活動的記錄，對核心的數據庫信息資產也面臨嚴峻的挑戰，概括起來主要表現在以下三個層面：
n管理層面：主要表現為人員的職責、流程有待完善，內部員工的日常操作有待規范，第三方維護人員的操作監控失效等等，致使安全事件發生時，無法追溯并定位真實的操作者。
n技術層面：
為保護數據庫信息的安全性，制定了相應的管理制度，但沒有相應的技術手段進行控制。
數據庫安裝部署時，使用數據庫廠商默認配置、缺省口令、默認權限等現象普遍存在。
現有的數據庫內部操作不明，無法通過外部的任何安全工具(比如：防火墻、IDS、IPS等)來阻止內部用戶的惡意操作、濫用資源和泄露企業機密信息等行為。
n審計層面：現有的依賴于數據庫日志文件的審計方法，存在諸多的弊端,比如:數據庫審計功能的開啟會影響數據庫本身的性能、數據庫日志文件本身存在被篡改的風險，難于體現審計信息的真實性。
伴隨著數據庫信息價值以及可訪問性提升，使得數據庫面對來自內部和外部的安全風險大大增加，如違規越權操作、惡意入侵導致機密信息竊取泄漏，但事后卻無法有效追溯和審計。
文章作者：國脈電子政務網
集成系統網絡情報信息數據庫
CIO頻道人物視窗
CIO頻道方案案例庫
大數據建設方案案例庫
電子政務建設方案案例庫
互聯集成系統構建方案案例庫
商務智能建設方案案例庫
系統集成類軟件信息研發企業名錄