浅谈高校二级单位网站的安全管理*

周 辉

（湖南第一师范学院 网络信息中心，湖南 长沙 410002）

浅谈高校二级单位网站的安全管理*

周 辉

（湖南第一师范学院 网络信息中心，湖南 长沙 410002）

高校网络信息安全不仅仅是技术问题，同时也是一个安全管理问题。高校二级网站由于提供服务多样，服务对象复杂，安全管理受到严重挑战。文章在分析高校二级网站信息安全产生原因的基础上提出了防范策略。

高校网络；网站；安全管理

高校二级单位网站的建设在很大程度上体现了一个高校信息化建设的水平，是学校实施信息化教学的强力支撑，高校二级单位网站建设也越来越受到学校的重视。二级单位网站的建设和管理模式一般是学校网络信息中心提供空间、技术指导和服务器管理，各二级单位网站由所属的单位自己制作和管理维护。然而，随着高校网站规模不断扩大，结构趋于复杂，提供的服务更加多样化，服务对象日益多元化，二级单位网络安全管理也受到严重挑战。

一、高校二级单位网站面临的安全威胁

2010年6月8日，国务院新闻办公室发表《中国互联网状况》白皮书指出，中国同世界其他国家一样，面临黑客攻击、网络病毒等违法犯罪活动的严重威胁。中国是世界上黑客攻击的主要受害国之一。据不完全统计，2009年中国被境外控制的计算机IP地址达100多万个；被黑客篡改的网站达4.2万个；被“飞客”蠕虫网络病毒感染的计算机每月达1,800万台，约占全球感染主机数量的30%。中国法律禁止任何形式的网络黑客行为。校园网站有着互联网的共性和自身的特点，也面临严重的安全威胁。

1.网络黑客入侵

高校校园网是广大师生进行教学与科研活动的主要平台，服务对象多元化，校园网与Internet相连，在享受Internet方便快捷的同时，也面临着遭遇攻击的风险。一类是扫描攻击,这类攻击黑客利用端口或地址扫描技术，探测目标地址或开放的端口；另一类是体系机构探测,使用具有已知响应类型数据库的自动工具，对来自目标主机的数据包传送所作出的响应进行检查，从而获取系统信息,进一步达到控制服务器的目的；另外还有一类情况是部分二级学院网站可能采用动易、风讯等新闻类发布系统,由于其源代码的开放性,黑客可轻而易举获取系统已知存在的漏洞。

2.病毒攻击

计算机病毒由于具有寄生性、破坏性、隐蔽性、潜伏性、传染性和可触发性等特点，使得计算机病毒难于防范，中毒后将导致IIS等正常的程序无法运行，系统瘫痪，网站内容遭到删除或受到不同程度的损坏。也会出现掉线、游戏帐号、QQ帐号、网上银行卡等帐号和密码被盗等问题，严重威胁了校园网络的正常使用。

3.恶意代码攻击

所谓“网页挂马”，指的是黑客自己建立带毒网站，或者攻击流量大的现有网站，在其中植入木马、病毒，用户浏览后就会中毒。此类威胁在二级学院网站尤其突出，由于多个二级学院网站安装在同一台服务器上，恶意代码会自动在各个网站源代码中嵌入病毒代码，用户浏览嵌套有恶意代码网站时，会自动在客户端下载木马，造成用户电脑感染病毒。2009年，北大计算机所信安中心利用研发的北大网页挂马检测平台，针对采样到的中国教育和科研计算机网（下文简称：教育网）中的18，344个.edu.cn域名网站进行网站挂马检测，平台检测结果共发现分别属于314个不同高校的477个网站被恶意挂马，网站挂马率为3.15%。所发现的507个被挂马网站均为二级或三级域名网站，占87.9%。

4.用户缺乏网络信息安全意识和法律意识

从1996年至2002年，相关的管理部门已颁布了20余个涉及互联网及网上活动管理的行政规章，刑法和相关法律也对危害网络安全的行为都有明确规定。由于对这些法律的宣传和普及不够，许多用户的网络信息安全法律意识还十分淡薄。

二、高校二级单位网站安全管理的策略

在高校二级单位网站安全管理中，比较突出的问题如下：一是网站设计制作先天不足，开发制作人员水平良莠不齐，采用技术不统一；二是网站缺乏专人管理，长期得不到更新和维护；三是师生网络安全意识不够。基于上述问题，提出以下对策。

1.建立一支安全管理的专业团队

对于校园网络的管理，很多人都在讲“三分技术，七分管理”的理念，这充分说明管理的重要性，培养一支专业素养较高、责任性强的管理团队无疑是关键所在。然而，目前在二级网站管理员队伍建设方面，情况并不乐观，人员专业素养较低，流动性大是主要问题。在许多院校，二级单位网站管理员一般都为兼职，没有明确的工作任务，也无必要的酬资，使得这一岗位变得可有可无，工作可多可少。要改变这一状况，一是学校和二级单位应该加大投资，设立专项经费，二是学校网络管理部门要进行较系统的业务培训。二级单位网站管理员应该起到承上启下的桥梁作用，应该在提高自己业务水平的同时宣传教育用户养成良好的上网习惯，各级网站管理员都应该把培养师生良好的上网习惯作为己任。

2.多级保护网络安全

要保证高校二级单位网站系统安全还必须采取技术措施，进行多重保护。系统安全要在内容管理、用户权限和身份认证、数据库管理等方面做到可控、可用和完整。对于整个网络，网络设备管理、信息访问等都应该设立不同的级别加以限制和约束，比如服务器、交换机只能在规定的IP地址段内进行登录管理，合理配置FTP,确保服务器必须验证所有 FTP申请，某些通知、新闻也有内外网访问限制；而对于用户而言，也应该区别对待，授予不同的权限，并进行身份认证；对于数据库的管理，进行使用者的权限设置，数据库的备份和恢复措施，并对操作进行日志记录，确保数据存储和访问安全。

3.使用统一的二级网站管理系统

学校二级部门在网站建设方面一般技术力量薄弱，维护和管理也有诸多困难。学校应该提供二级网站内容管理系统及模板，这样二级部门无需进行程序开发，只需修改模板文件，设计一些个性图片，便可制作出适合自己部门的网站风格。各二级网站实行集中管理，分散维护，管理权限统一分配和管理，各子页站点的设计和维护有相应的部门分散进行。

4.实施实名制认证上网

随着校园网络资源越来越丰富，功能越来越复杂，对网络管理和网络安全问题提出了新的挑战。作为网络安全管理的重要组成部分实施实名制，建设认证计费系统势在必行。

[1]中华人民共和国国务院新闻办公室,中国互联网状况白皮书 （全文）.http://news.sina.com.cn/c/2010-06-08/111220434279.shtm l.

[2]诸葛建伟.高校二级网站遭遇严重挂马和篡改[J].中国教育网络,2009（12）.

[3]肖毅敏.法律敲响网络安全事件的警钟[J].中国教育网络,2010（7）.

（编辑：杨馥红）

TP393.08

B

1673-8454（2011）05-0062-02

湖南省高校科技创新团队支持计划资助（湘教通[2010]212号）。