高校网站建设安全问题分析及应对策略

2015-03-20仝素梅

网络安全技术与应用 2015年1期

仝素梅

（山东理工职业学院山东 272000）

0 引言

在信息化和网络化飞速发展的今天，基本上所有的高校都进行了学校网站建设，通过网站建设更好的将学校的教学、科研、管理进行公开，让更多的人了解高校的发展状况，更好的宣传本校教学精神和校园文化。但是在高校的网站建设过程中出现了安全意识淡薄的现象，导致网站建设中出现了很多的安全问题，影响了高校网站的运行安全，这些问题的解决在高校网站建设中已经非常迫切。

1 高校网站建设的意义

高校的网站是每个高校的独有logo，是对外对内的重要信息窗口，高校利用这个窗口进行学校的宣传工作，高校网站的出现打破了时间和空间的限制，让不同地方的人在不同的时间都可以通过网站对学校进行全面的了解，将学校的教育理念和教学风采利用这种方式展现在人们面前。

校园网站除了能够对外进行宣传之外，还可以在进行教育资源的分配。信息资源是庞大的，通过互联网的联通学校将具备更多的教学资源，在信息不断的发展过程中，学校的教学资源也将逐步得到增长，对于一些偏远地区，经济水平发展相对落后，师资力量相对薄弱，通过校园网站这些学校就可以拥有同等的教学资源，让学生享受同等的教学机会，不会因为经济、交通等原因导致学生受到不公平的教育。所以高校的网站教育除了进行资源共享实现教育公平之外，还可以帮助高校培养出更多社会主义建设的人才，为社会发展和特色社会主义建设做贡献。

高校网站是最好的教学平台，通过和各种教育网站的链接，让老师的教学更加便利，老师可以通过对网络中各种教学资源的整合，做出更加精美的课件，制作更加全面的教学计划，提升教学效率，降低教学成本。不管是老师还是学生还可以利用学校网站进行跨地域交流，让更多的人在这个平台上进行交流，让高校网站成为一个“思想开放、兼容并包”的舞台。

高校网站建设可以实现个性化教学，和传统的教学方式不同，这种教学可以更好的实现资源共享，让不同年龄、不同性格的学生接受不同的教学，让老师通过学校网站和学生之间实现更好的互动，老师在互动的过程中因材施教，学生在学习的过程中积极思考，充分挖掘自己的潜力，让学生获得更广阔的教育空间。

2 高校网站建设现状和存在的安全问题

目前，我国的高校网站建设还处于初始阶段，很多的大学虽然都建立了自己的学校网站，但是在建设的过程中还存在很多的问题。

2.1 高校网站建设现状

目前，很多的学校网站都是由学校的主网页和各个二级学院的网页组合而成，在网站的维护和管理中都是网络管理中心负责，二级学院的则是由本院自行负责，这种建设和管理中缺乏统一的管理和规划，导致了网站建设质量不高。

2.1.1 信息不能共享

由于在建设的过程中各个二级学院的计划和标准不统一，所以各个二级学院之间缺少信息交流，将各自的网站孤立发展，资源的统一利用效率低，资源的共享程度低。另外，学校在管理的过程中通过购买各种管理信息系统，如：学籍管理系统、学习管理系统等等。但是这些信息系统之间没有采用统一的管理标准各个系统之间处于独立的状态，这种情况增加了信息共享的难度，导致了信息资源的浪费。

2.1.2 网站制作水平参差不齐

各个高校的二级网站基本上靠学生制作为主，但是学生的能力终究是有限的，对于一些网站的制作还只是保持在能制作的基础上，网站的建设水平一般，而且这种网站制作存在很多的安全隐患，维护起来比较麻烦。

2.1.3 投入产出不成比例

现在高校的二级网站都是由各个二级学院自己投资开发建设，然后托管于网络信息管理中心，但是二级学院在开发网站的过程中采用的技术却不相同，有的采用HLML静态网页制作技术，有的采用NET和PHP动态网页制作技术，不同的制作技术之间的成本也是不同的，在维护的过程中需要耗费更大的成本去维护。而且在投入高成本进行制作之后，不一定能够符合相关的专业风格和审美要求，对于学校的整体形象造成了不利影响。

2.1.4 管理难度大

管理难度主要体现在各个二级网站的管理维护中，由于各个二级学院的网站制作方式不同，平时也没有专人进行网站维护管理，所以在二级学院的网站维护管理中面临很多难题。另外很多的二级网站开发技术比较落后，在网站建设中留有很多的漏洞，安全性较差，若是遭受黑客攻击服务器极易陷入瘫痪。

2.2 高校网站建设中存在的安全问题

2.2.1 网站存在安全漏洞

各个高校在制作网页的过程中考虑到网站的实用性，对网站设计的安全性设计欠缺考虑，还有很多设计人员是因为技术问题在网站建设中留下了漏洞，病毒或者黑客通过对数据库的侵入，就可以获得学校的敏感信息，影响整个网站的正常运行和使用。

2.2.2 网站运行维护缺乏持续性和安全性

二级学院在网站的运行中没有设定专人进行定期维护，甚至将网站交给学生干部进行使用，导致了管理信息的泄露，给网站带来了安全隐患。或者是在网站建设之初会进行专人维护，但是随着时间的延长，这种维护就被搁置，造成了网站中出现很多漏洞和病毒。有些设置了专业管理人员的网络服务器，在使用的过程中由于维护人员的安全意识不够，服务器的超级用户密码、网站后台账号密码等设置过于简单，很容易被破解，或者是维护人员的技术有限，没有对站点的相配套安全设置进行检查，导致了网站被攻击或者病毒入侵。

2.2.3 对网站安全建设重视不够

由于学校网站并不像政府网站中存在很多的机密，即使是遭到黑客入侵，病毒感染也不会出现特别大的损失，所以学校网站的安全性没有得到重视，二级学院的网站安全性就更差了。

2.2.4 网站程序存在安全漏洞

高校由于二级学院和各部门较多，所以网站数量也较多，很多的网站都是学生或者老师制作的，但是由于他们缺乏基本的网络安全知识，在网站程序的开发中肯定会存在一定的漏洞。例如，在设计的过程中没有设置相应的验证机制；还有的网站使用的是现有的开源CMS源程序，使用者只是进行了部分修改，数据库的路径和名称都没有改变，这点很容易受到SQL注入攻击、跨站脚本攻击等。

2.2.5 网站服务器操作系统和软件存在漏洞

现在的网络服务器操作系统主要有Windows Server、Linux等，这些操作系统都存在漏洞，在使用的时候不定时的进行升级和安装补丁，系统的漏洞就会越来越多。打开不必要的服务器端口和使用缺省用户名密码都是服务器配置中存在的漏洞。另外，网站运行所需的服务器软件也会存在漏洞，当使用的软件版本过低时就会存在一定的漏洞。

2.2.6 网站文件夹权限设置失当

网站程序中含有很多的文件夹，部分文件夹只允许用户读取，还有部分允许用户读写，这些文件夹在运行管理的过程中都需要放在合适的位置，若是管理过程中没有对网站文件夹进行权限设置，web服务器操作系统或者web应用程序配置不当，就有可能导致网站数据被下载篡改。

2.2.7 缺少网络安全设备

有些高校往往因为经费不足，或是对网络安全工作重视程度不够，网络安全设备尚不健全，甚至部分高校没有网络安全设备。在网络安全方面，很多高校只是通过网络防火墙设置来进行保护，但是现在的网络攻击可以绕过防火墙进行直接攻击，直接对Web进行渗透攻击，所以网站的安全就没有很好的保障。

3 高校网站建设安全问题的应对策略

3.1 高校网站建设安全管理策略

高校网站建设的安全问题不仅仅是技术问题，还是管理问题，所以在进行高校网站安全建设的时候要加强管理建设，制定明确的管理计划，确定明确的管理目标，对网站建设的相关人员和制度进行管理，才能确保高校网站的安全。

3.1.1 建设专业的管理团队

网站管理员是高校网站建设和维护的中坚力量，所以在选择管理人员的时候不仅仅要选择专业技术过硬的人员，还要选择具备责任心的人员，对选择的网站管理员要进行定期的培训，加强管理员的业务素质，提高管理人员的安全意识。

3.1.2 实现业务管理的智能化

随着高校的网站建设发展，信息技术是网站建设中不可或缺的重要技术，在高校的网站建设中管理体系应该朝着多元化和智能化方向发展，对管理系统进行信息化改革，网站建设中要充分的整合现在已有的资源，再经过分析和重新建设，形成一个高效智能化的管理模式，更好的进行网站管理工作。

3.1.3 加大管理投入

高校在进行网站安全建设的过程中要充分的调动社会各界力量，让他们为学校的网站建设提供技术指导，通过财政拨款、社会捐赠和银行贷款的方式进行网站建设资金筹集，或者是在网站的建设中引入市场化机制。

3.1.4 管理系统高度集成

校园网站是由网络系统集成和信息系统集成两大部分构成的。网络系统集成是在网络建设中根据用户的实际需求，采用系统集成的办法，将网络干线、服务器和防火墙等等组合在一起，形成一个安全可靠的计算机网络整体。信息系统集成是通过结构化的综合布线系统和计算机技术将各个设备和信息联接到一起，形成统一协调的管理系统，让各个部门之间形成良好的信息交流和共享。

3.2 高校网站建设安全技术策略

3.2.1 编写网络程序

要想防止网站程序漏洞的发生，就要严格控制初始阶段的网站制作，编写的程序代码必须经用户输入数据验证，同时对数据的字符串、类型和大小进行规范，对API函数和Web服务器资源予以限制，避免攻击服务器。

3.2.2 进行网站服务器的安全设置

网站服务器要及时的进行系统升级和补丁安装，系统安装中只需要安装必要的网络服务，开放必要的端口，服务器配置方面，通过密码设置限制访问权限，同时管理人员需要对Administrator用户名的密码进行加密，防止因为密码过于简单被破解。[3]另外，还要安装杀毒软件，定期进行病毒查杀和木马检测，做好安全防范工作。

3.2.3 网站文件夹的权限设置

Microsoft Windows系统运行的基本服务就是IIS，在应用的时候，必须将 IIS中的默认站点目录删除，在进行目录的自主创建，除此之外来要借助操作系统的NTFS权限设置文件的访问权限和站点目录，将读取目录的权利在静态网页中给予，将脚本资源访问权利在动态网页中给予。

3.2.4 安装防火墙、入侵检测系统

在校园网站建设中要重视相配套的安全设施建设，比如：防火墙、入侵检测系统。[4]通过这些系统软件的安装构筑安全防线。防火墙是在Internet和Intranet之间建立一个安全屏障，保护电脑不被非法用户入侵。入侵检测系统可以对对网络传输进行即时监控，对于发现的可疑传输做出预警。入侵检查系统可以监控整个系统，在访问服务器的关键位置进行监控，一旦发现危险可以第一时间做出反应。

3.2.5 建立完善的备份体系

除了对网络应用程序中存在的漏洞进行预防，对传输数据进行检测，对病毒木马等危险源进行查杀之外还要做好备份工作，防止网站出现问题数据丢失，虽然现在的网路防火墙、入侵检测技术非常强大，但是病毒和黑客的攻击也越来越厉害，所以为了避免文件在网站故障中丢失要做好备份工作。

3.2.6 网站建设和安全管理技术

将整个校园的网站建设包括各个二级学院的网站建设纳入统一规划、部署中，运用有效的服务器防护技术，确保高校网站的安全、有效运行。

（1）利用网站群技术，统一建设校园网

网站群可以统一规划建设校园的各个网站，实现各个网站之间的信息资源共享，将高校的各个网站按照一定的关系组织在一起，在统一规划的基础上实现各自管理。网站群是建立在一定的技术基础上的，利用网站群可以实现网站的分级管理和分级维护，使各个网站之间形成良好的契合，保持信息的有效性和特定权限信息的畅通。NEWCAPEC-CMSGROUP网站群就是一个很好的管理平台，这个网站群可以具备网站创建、信息发布、网站管理和内容维护多重功能，可以在这一个平台上建立学校的所有网站，包括各个学院的二级网站，通过这个平台的利用可以很好的实现教学资源整合和利用，确保网站建设的质量和安全。

（2）采用内外分离的3层网站群系统结构

校园网络存在的安全漏洞可以利用网站群系统结构，采用内网和外网想分离的3层网站群系统结构。将网站群管理和制作服务器作为建设、管理、维护的动态服务器，当用户提出请求时，可以将请求转到反向代理服务器，在通过负载分担技术发布到服务器，服务器将处理结果经过上述路线反馈给用户，反向代理服务器其实就是一个Web服务器，但是这个服务器是虚拟的，当代理服务器遭到攻击时，不会对信息资源形成威胁，可以保证高校的网站安全。

在外网布置两台基于Haproxy技术的反向代理服务器，可以提供负载均衡，还可以采用Keepalived技术提升服务的高可用性。Keepalived技术主要是检测服务器的状态，当反向代理服务器出现故障，就可以立马被检测到，这台服务器将停止工作，另一台服务器接替工作，不需要人工去实现这两个服务器的交接，只需要人工去维修出现故障的服务器。这种内外网相分离的3层系统结构不仅可以保护发布服务器的安全，还可以提高负载的均衡性，保证用户的网站访问速度。