教育
武漢**學(xué)院創(chuàng)辦于2000年，是經(jīng)國家教育部批準(zhǔn)的具有學(xué)士學(xué)位授予權(quán)的全日制普通高等學(xué)校，是湖北省首批應(yīng)用轉(zhuǎn)型發(fā)展試點(diǎn)高校，國家技能人才培育突出貢獻(xiàn)候選單位。全日制在校學(xué)生10000余人。學(xué)院的門戶網(wǎng)站是學(xué)院的門面，需要做重點(diǎn)安全保障，防止因?yàn)榫W(wǎng)站漏洞而發(fā)生網(wǎng)站篡改、敏感信息泄露、拒絕服務(wù)、網(wǎng)絡(luò)劫持拒絕服務(wù)等信息安全事件。特別要防止未知的攻擊者使用各種技術(shù)手段通過對網(wǎng)站的控制進(jìn)而內(nèi)部網(wǎng)絡(luò)進(jìn)行深度的入侵。要加大對各個(gè)領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施的安全檢查，摸清家底，認(rèn)清風(fēng)險(xiǎn)，找出漏洞，通報(bào)結(jié)果，督促整改。確保學(xué)院網(wǎng)站安全特別是在重要保障期間的安全。網(wǎng)站面臨的安全威脅如下：
網(wǎng)頁篡改：由于學(xué)院網(wǎng)站是最重要的信息發(fā)布平臺(tái)，故其真實(shí)性的準(zhǔn)確表達(dá)至關(guān)重要。網(wǎng)站被篡改，會(huì)嚴(yán)重?fù)p害政府及企事業(yè)單位的形象、影響信息準(zhǔn)確的表達(dá)。相關(guān)的網(wǎng)站主管負(fù)責(zé)人也要承擔(dān)相應(yīng)的管理責(zé)任。所以防止網(wǎng)站被攻擊者惡意篡改是最主要的防范工作。網(wǎng)站的篡改主要分為以下三種形式：
（1）反動(dòng)言論式篡改：此類篡改主要是一些對政府政策或現(xiàn)狀不滿的人，進(jìn)行情緒的宣泄或政治主張的表達(dá)，此類篡改對類網(wǎng)站的影響最為惡劣，嚴(yán)重影響了的政府及事業(yè)單位的形象和公信力。特別是比較活躍影響比較廣泛的“反共黑客”等政治組織依仗一定的技術(shù)先進(jìn)性和相關(guān)勢力的資金支持，對網(wǎng)站安全威脅較大。
（2）釣魚網(wǎng)站式的篡改：主要以插入看似和主站風(fēng)格相似的釣魚頁面，誘騙用戶使用其功能，來獲取經(jīng)濟(jì)利益，此類威脅對有著在線交易類的企業(yè)威脅較大。
（3）暗鏈?zhǔn)酱鄹模喊垫湣笔侵缚床灰姷木W(wǎng)站鏈接。它和友情鏈接有相似之處，可以有效地提高PR值。因此圍繞著搜索引擎優(yōu)化的“暗鏈”也成為了危害網(wǎng)站安全的重要風(fēng)險(xiǎn)。由于網(wǎng)站具有高社會(huì)關(guān)注度，高訪問量，高PR值的特點(diǎn)，因此對于攻擊者而言，針對網(wǎng)站進(jìn)行“掛暗鏈”攻擊有著非常高的經(jīng)濟(jì)回報(bào)。
網(wǎng)站敏感信息泄露：網(wǎng)站敏感信息泄露主要包括兩個(gè)方面。一方面是服務(wù)器及網(wǎng)站的敏感信息的泄露，這個(gè)主要是攻擊者在攻擊滲透的過程中就可以獲取，比如數(shù)據(jù)庫的類型、數(shù)據(jù)庫的表名、數(shù)據(jù)庫列名、數(shù)據(jù)庫中存儲(chǔ)的各級網(wǎng)站管理員的用戶名密碼、服務(wù)器的類型、服務(wù)器所使用的語言、服務(wù)器Web容器的版本等信息。攻擊者通過獲取這些敏感信息繼而進(jìn)一步對網(wǎng)站、服務(wù)器、網(wǎng)絡(luò)進(jìn)行攻擊。另一方面是用戶業(yè)務(wù)數(shù)據(jù)，也可能存在多個(gè)網(wǎng)站共享數(shù)據(jù)庫的情況，這就導(dǎo)致攻擊者在進(jìn)行攻擊時(shí)獲取業(yè)務(wù)數(shù)據(jù)成為可能，特別是涉及到機(jī)密信息的數(shù)據(jù)，危害極其重大。
網(wǎng)站被仿冒：網(wǎng)站仿冒的威脅以金融行業(yè)用戶為主，但是部分網(wǎng)站也可能存在此類問題。攻擊者通過爬蟲工具爬取網(wǎng)站頁面文件，獲取網(wǎng)站內(nèi)容信息，并山寨偽造相似界面，注冊容易混淆的域名，以假亂真。如果網(wǎng)民未認(rèn)真辨識(shí)，通過搜索引擎、微信、QQ、論壇等處獲得仿冒網(wǎng)站URL并訪問后則可能上當(dāng)受騙。部分不發(fā)分子可以通過仿冒網(wǎng)站銷售偽造認(rèn)定證書、發(fā)布虛假消息牟利、竊取個(gè)人信息、傳播色情淫穢信息、詐騙企業(yè)財(cái)產(chǎn)、傳播色情淫穢信息等，這些仿冒網(wǎng)站，嚴(yán)重影響了學(xué)院的形象，侵害了學(xué)院利益。
網(wǎng)站被插入木馬后門：攻擊者對網(wǎng)站掛馬主要通過兩種形式。一種是通過對網(wǎng)站的攻擊上傳Web Shell木馬后門、一句話木馬等以達(dá)到獲取網(wǎng)站管理權(quán)限和控制服務(wù)器甚至進(jìn)一步對網(wǎng)絡(luò)進(jìn)行滲透入侵的目的，這種木馬主要是攻擊的手段。另外一種是獲取網(wǎng)站或服務(wù)器控制權(quán)限后在頁面掛網(wǎng)馬，當(dāng)用戶在訪問到掛馬網(wǎng)站時(shí)就會(huì)執(zhí)行網(wǎng)站頁面的木馬程序，彈出色情類、博彩類的頁面或者其他頁面，更有甚者會(huì)自動(dòng)下載木馬程序到用戶本地進(jìn)而危害用戶。
網(wǎng)站拒絕服務(wù)：由于網(wǎng)站的社會(huì)關(guān)注度較高，影響力較大，故網(wǎng)站也是攻擊者特別是有組織有預(yù)謀的國外攻擊者的重點(diǎn)攻擊目標(biāo)。但是由于近年來隨著對網(wǎng)站安全的重視和安全投入的提高，網(wǎng)站的安全建設(shè)有了很大的進(jìn)步。如果攻擊者無法找到網(wǎng)站漏洞并成功實(shí)施各種入侵攻擊時(shí)，就可以通過流量攻擊來消耗服務(wù)器的資源，導(dǎo)致網(wǎng)站服務(wù)器無法響應(yīng)正常訪問用戶的訪問請求，而拒絕服務(wù)。特別是在重要會(huì)議重要活動(dòng)期間，網(wǎng)站要實(shí)時(shí)做信息發(fā)布，如果此時(shí)網(wǎng)站遭受拒絕服務(wù)攻擊，就無法在第一時(shí)間發(fā)布信息。
武漢**學(xué)院網(wǎng)站安全云防護(hù)系統(tǒng)的設(shè)計(jì)主要為了解決需求分析中網(wǎng)站攻擊防護(hù)、拒絕服務(wù)防護(hù)、域名解析防護(hù)三部分。網(wǎng)站安全云防護(hù)系統(tǒng)是集成了WAF功能、抗DDOS功能、CC攻擊防護(hù)功能、高防DNS、緩存加速等功能為一體的的綜合性云端網(wǎng)站安全防護(hù)系統(tǒng)。
傳統(tǒng)WAF產(chǎn)品的不足：網(wǎng)站漏洞攻擊防護(hù)主要依靠WAF產(chǎn)品來進(jìn)行實(shí)時(shí)防護(hù)，但是很多網(wǎng)站管理員在運(yùn)維本地化的WAF時(shí)往往面臨應(yīng)用防護(hù)策略復(fù)雜，配置繁瑣，日志報(bào)表晦澀難懂、廠商規(guī)則庫升級不及時(shí)、云環(huán)境下無法部署等問題。而且在被監(jiān)管單位和黑客掃描時(shí)仍然可以不同程度的掃描出部分的網(wǎng)站漏洞，部署WAF的情況下仍然有不同程度的篡改、掛馬等信息安全事件發(fā)生。
傳統(tǒng)抗DDOS產(chǎn)品無法抵抗大流量攻擊：當(dāng)網(wǎng)站遭遇大流量的DDOS攻擊或CC攻擊時(shí)網(wǎng)絡(luò)出口帶寬直接被堵死，傳統(tǒng)的抗DDOS設(shè)備無法在起到流量清洗作用；傳統(tǒng)抗DDoS設(shè)備有性能瓶頸，當(dāng)DDoS流量超出設(shè)備處理性性能時(shí)將無法抵御，導(dǎo)致網(wǎng)站繼續(xù)遭受DDoS攻擊；傳統(tǒng)抗DDoS設(shè)備可靠性較差，一旦出現(xiàn)可靠性問題可能影響用戶整個(gè)網(wǎng)絡(luò)的正常使用和網(wǎng)站業(yè)務(wù)系統(tǒng)的訪問；傳統(tǒng)抗DDoS設(shè)備需要做雙機(jī)熱備來確?？煽啃岳速M(fèi)用戶投資。
網(wǎng)站DNS安全性問題：網(wǎng)站一般由域名服務(wù)商提供域名解析，但不同的域名服務(wù)商對域名解析服務(wù)器的保護(hù)力度不足，導(dǎo)致網(wǎng)站容易遭受DNS Flood攻擊、DNS放大攻擊、DNS緩存投毒、DNS域名劫持等攻擊，使得DNS服務(wù)器無法做正常的域名解析而導(dǎo)致網(wǎng)站拒絕服務(wù)。
從技術(shù)原理上來講，網(wǎng)站云防護(hù)系統(tǒng)屬于一個(gè)云端大反向代理，可以隱藏服務(wù)器細(xì)節(jié)，網(wǎng)站在云端保護(hù)之下，攻擊者獲取的是云防護(hù)系統(tǒng)的IP地址，而無法獲取真實(shí)網(wǎng)站服務(wù)器的IP地址，這樣可以減少因網(wǎng)站服務(wù)器IP泄露而被攻擊的風(fēng)險(xiǎn)。
網(wǎng)站安全云防護(hù)系統(tǒng)在形式上對用戶云端賬戶交付，不需要用戶在本地部署硬件設(shè)備，不需要考慮硬件設(shè)備的冗余投資，同時(shí)以服務(wù)的形式安需按年收費(fèi)，較為靈活，也可以節(jié)約預(yù)算。
公有云端防護(hù)系統(tǒng)一般是由上千臺(tái)的網(wǎng)站安全云防護(hù)系統(tǒng)、云緩存、云抗D、云負(fù)載均衡等部分組成，所以其解決了單臺(tái)WAF的應(yīng)用層性能處理瓶頸問題，管理員不需要考慮平臺(tái)的性能問題。正是由于性能強(qiáng)大，所以其內(nèi)置的特征庫也遠(yuǎn)比本地化的WAF產(chǎn)品豐富，對Web攻擊的防護(hù)能力也更強(qiáng)大。同時(shí)網(wǎng)站安全云防護(hù)系統(tǒng)一般集成了威脅情報(bào)的功能，內(nèi)置威脅情報(bào)IP地址庫，可以將惡意威脅IP阻止在云防護(hù)系統(tǒng)之外，對網(wǎng)站的保護(hù)效果更好。
而在針對大流量攻擊上網(wǎng)站云防護(hù)系統(tǒng)可以通過自身的負(fù)載均衡系統(tǒng)將大流量的DDOS分發(fā)到全國各地的高防機(jī)房進(jìn)行清洗，清洗完成再講流量回注給后端的網(wǎng)站服務(wù)器，徹底解決了網(wǎng)站所面臨的大流量DDOS攻擊和CC攻擊的威脅。
網(wǎng)站云防護(hù)系統(tǒng)的接入用戶量一般比較大，系統(tǒng)每天會(huì)抵御百萬次的黑客攻擊，這使得云防護(hù)系統(tǒng)獲得了一個(gè)巨大的攻擊數(shù)據(jù)庫，通過對這些攻擊大數(shù)據(jù)的詳細(xì)分析，可以精確預(yù)警攻擊源頭，從而對其他站點(diǎn)進(jìn)行協(xié)同防御，可以實(shí)現(xiàn)一處攔截全網(wǎng)攔截的效果。
傳統(tǒng)的WAF產(chǎn)品一般會(huì)有緩存加速的功能，但是很少有客戶使用此功能，因?yàn)閃AF設(shè)備只能將文件從服務(wù)器緩存到設(shè)備內(nèi)，由于WAF設(shè)備一般緊鄰網(wǎng)站服務(wù)器部署，所以互聯(lián)網(wǎng)用戶距離網(wǎng)站服務(wù)器的網(wǎng)絡(luò)距離基本相當(dāng)于WAF設(shè)備的距離，故實(shí)際起不到緩存加速的效果。
而網(wǎng)站云防護(hù)系統(tǒng)可以將網(wǎng)站服務(wù)器文件緩存到全國各地機(jī)房，并可以對數(shù)據(jù)進(jìn)行全局負(fù)載均衡和鏈路負(fù)載均衡，這樣可以達(dá)到用戶就近訪問緩存機(jī)房，同時(shí)也解決了跨運(yùn)營商網(wǎng)絡(luò)路由導(dǎo)致網(wǎng)站訪問慢的問題。
網(wǎng)站安全云防護(hù)系統(tǒng)大多配置都是系統(tǒng)內(nèi)置，采用默認(rèn)配置，故其在保證強(qiáng)大防護(hù)能力的同時(shí)，其配置異常傻瓜化，簡單化。用戶只需要登錄自己的云端管理控制臺(tái)，修改DNS指向即可完成防護(hù)接入。網(wǎng)站安全云防護(hù)系統(tǒng)由廠商直接在云端做平臺(tái)層面的優(yōu)化和特征庫的升級，用戶只需要通過控制臺(tái)管理自己的網(wǎng)站，云端用戶和用戶之間互不干擾。這種方式即可以保證網(wǎng)站高能力的安全防護(hù)可以大大簡化網(wǎng)站管理員的配置工作量。
Web攻擊防護(hù)：在防護(hù)能力上，WAF能防護(hù)OWASP Top10的漏洞攻擊防護(hù)。能夠識(shí)別黑客針對網(wǎng)站的手工的滲透測試攻擊。能防護(hù)黑客常用的SQL注入攻擊、命令注入攻擊、跨站腳本攻擊、目錄遍歷、文件包含、溢出攻擊等多種攻擊方式?？梢詸z查包括Get域、Post域、Cookie域、Response域等多個(gè)黑客攻擊代碼常見的數(shù)據(jù)包所在位置。內(nèi)置深度解碼引擎，防止黑客通過URL編碼、ANSII編碼、Hex編碼、Base64編碼、大小寫混淆、注釋字符、參數(shù)污染等多種繞過方式繞過WAF的防護(hù)。
抗DDOS攻擊防護(hù)：可以防護(hù)攻擊者針對網(wǎng)站常見的SYS Flood攻擊、TCP Flood攻擊、ICMP Flood攻擊、UDP Flood攻擊、Smurf 攻擊、Land攻擊等大流量的攻擊方式。
CC攻擊防護(hù)：安域Web應(yīng)用云防護(hù)系統(tǒng)有機(jī)器學(xué)習(xí)的能力，可以根據(jù)用戶訪問的URL、攻擊URL、攻擊源、攻擊頻率等參數(shù)，自動(dòng)學(xué)習(xí)到用戶業(yè)務(wù)特點(diǎn)并生成針對CC防護(hù)的閾值，當(dāng)攻擊者通過工具或僵尸網(wǎng)絡(luò)對保護(hù)站點(diǎn)進(jìn)行CC攻擊時(shí)，360安域Web應(yīng)用安全云防護(hù)系統(tǒng)可以自動(dòng)識(shí)別出CC攻擊并針對CC攻擊進(jìn)行阻斷。
高防DNS：可以防護(hù)DNS Flood攻擊、DNS放大攻擊、DNS緩存投毒、DNS域名劫持等針對DNS服務(wù)器的各種DNS攻擊。防止因網(wǎng)站域名解析服務(wù)器被打死而導(dǎo)致無法網(wǎng)站無法解析的情況發(fā)生。
緩存加速：采用集群的部署方式，可對JS、CSS、圖片、Html等文件進(jìn)行緩存，支持用戶手動(dòng)更新緩存。
重保只讀：重保開始前，管理員可以通過配置將被保護(hù)的網(wǎng)站靜態(tài)頁面主動(dòng)爬取緩存到奇安信WEB安全云防護(hù)系統(tǒng)緩存服務(wù)器中，靜態(tài)網(wǎng)站的靜態(tài)頁面可以緩存爬取最多6級網(wǎng)站目錄。重保期間，當(dāng)源站出現(xiàn)網(wǎng)站服務(wù)停止、網(wǎng)站服務(wù)器宕機(jī)、網(wǎng)絡(luò)異常等原因無法正常訪問時(shí)，奇安信WEB應(yīng)用安全云防護(hù)系統(tǒng)可以使用緩存的靜態(tài)頁面文件繼續(xù)對外展示網(wǎng)站頁面。用戶可以自定義重保開始時(shí)間、重保時(shí)間段、非鏡像URL、爬蟲緩存層數(shù)等配置。
