淺析高校信息系統安全隱患及防范措施

王雪

（吉林農業科技學院教育技術與信息中心，吉林 132101）

淺析高校信息系統安全隱患及防范措施

王雪

（吉林農業科技學院教育技術與信息中心，吉林 132101）

隨著計算機及網絡技術的迅速發展及普及，信息化建設已經成為高校建設的重要組成部分，而信息系統安全問題則是高校信息化建設中必須要考慮的一個重要因素。本文從物理、網絡、主機及應用、數據安全及備份恢復和管理五個方面分析了當前高校信息系統可能存在的安全隱患，并結合以上方面提出了信息系統的具體安全防范措施。最后，根據信息系統安全問題的動態變化特點，提出了信息系統相關維護人員要不斷地進行研究探索，完善信息系統安全體系的必要性。

高校信息化；信息系統；信息系統安全

1 引言

隨著計算機及網絡技術的迅速發展及普及，高校信息化水平也在不斷的提高。在信息化不斷向前推進的過程中，各高校相繼建設了網站系統、OA辦公系統、教務系統、科研系統、一卡通及財務系統等信息系統，同時部署了防火墻等安全設備作為信息安全的保障，制訂了相關的信息安全策略，取得了一定的成績。但隨著信息安全技術和黑客攻擊技術的不斷發展和國際、國內信息安全形勢的不斷嚴峻，針對基礎信息網絡和重要信息系統的違法犯罪持續上升，不法分子利用安全漏洞，使用病毒、木馬、網絡釣魚等技術進行網絡盜竊、網絡詐騙、黑客攻擊等違法犯罪活動大幅度增加，校園網絡安全及信息系統安全問題日益彰顯。原有的信息安全保障框架存在諸多安全隱患和漏洞，同時存在較多的信息安全風險，不足以保障業務應用系統的安全性和可用性，一旦系統受到攻擊或網站數據遭到篡改，將對高校工作造成嚴重影響[1]。為進一步加強高校信息系統建設項目的管理工作，確保信息系統健康發展和正常運行，本文分析了高校信息化建設過程中信息系統存在的安全隱患，并針對安全隱患提出了具體的安全防范措施。

2 高校信息系統存在的安全隱患

隨著校園網絡規模的不斷擴大和業務應用系統越來越多且越來越復雜，在應用信息系統的過程中，由于人員的復雜性與多樣性，給信息系統的安全帶來更多的隱患和不確定因素。一旦信息系統被非法用戶攻擊導致系統癱瘓，信息很容易外泄，將給學校帶來無法挽回的損失。影響信息系統安全的隱患是多方面的，既有物理方面的隱患，也有來自技術和管理方面的隱患。

2.1 物理安全隱患

物理安全是從運行環境、保障設施等方面為信息系統提供物理保障（如機房、電力環境保障以及設備、設施、介質的防盜、防破壞等防護），盡量降低或避免因自然災害、環境威脅、人員惡意破壞等對信息系統可能造成的影響。高校數據中心機房安全環境建設是高校信息系統安全的關鍵，它是保證信息系統正常穩定運行的前提[2]。

2.2 網絡安全隱患

信息系統依賴于網絡與外部進行數據的交換，這就給一些非法用戶留下了可乘之機，非法用戶會以不同的途徑獲得信息系統的訪問權，給信息系統的安全留下了隱患，造成不可挽回的損失。

網絡攻擊的實質就是利用被攻擊方信息系統自身存在的安全漏洞，通過使用網絡命令和專用軟件進入對方網絡系統的攻擊。目前常見的網絡攻擊手段有拒絕服務攻擊（Dos/DDos）、欺騙類攻擊、控制類攻擊、探測類攻擊以及漏洞類攻擊等。

拒絕服務攻擊的目的是破壞組織的正常運行，最終使網絡連接堵塞，或者使服務器系統的相關服務崩潰，系統資源耗盡。常見的拒絕服務攻擊方式有同步洪流、LAND攻擊、Ping洪流、死亡之Ping。欺騙類攻擊包括Arp欺騙、DNS欺騙、IP地址欺騙，他們都是以不同的方式通過偽造假信息來實施欺騙攻擊。控制類攻擊最常見的有緩沖區溢出攻擊、木馬攻擊、口令入侵等，通過某種方式獲得對機器的控制權進行攻擊。探測類攻擊通過搜集目標系統的網絡安全缺陷相關信息，為以后的入侵提供幫助。漏洞類攻擊是根據網絡體系中存在的各種漏洞進行攻擊[3]。

隨著計算機技術和網絡技術的快速發展，互聯網移動計算和云時代的到來，網絡攻擊的手段不僅僅是依賴于以上單一的攻擊手段，攻擊的形式更加多樣化。

2.3 主機及應用安全隱患

隨著主機操作系統上承載的應用越來越多且越來越復雜，同時操作系統本身存在技術上的缺陷，特別是Windows系列操作系統，系統漏洞往往會被病毒利用侵入并攻擊用戶主機，雖然操作系統供應商將定期對已知的系統漏洞發布補丁程序，但用戶如果沒有及時的進行下載并安裝補丁程序，將會帶來大量的安全隱患。另外，用戶賬號和權限設置不當，未設置安全的密碼策略，也會給入侵者留下攻擊的途徑，最終導致系統的崩潰和信息的泄漏等安全隱患。

2.4 數據及備份恢復安全隱患

信息系統中的數據安全是保證信息系統安全的重要前提，數據安全主要考慮數據的完整性、保密性和數據的備份恢復等方面。近兩年，黑客盜取數據庫的技術也在不斷提升，數據庫安全事件頻發。若數據庫的安全保護功能弱，內部人員非法竊取或本地用戶存在誤操作，備份及恢復策略設置不當，將造成數據的丟失或破壞，從而給系統帶來數據方面的安全隱患。

2.5 管理層面安全隱患

信息系統建設及應用過程中，如果沒有相應的安全管理機構及管理制度，將會造成人員安全意識淡薄、責權不明、管理上混亂，當出現安全事故時，沒有相應的制度進行約束及應急響應方案，將會給信息系統帶來管理上的安全隱患[4]。

3 信息系統安全防范的具體措施

信息系統的安全涉及到物理環境、技術、管理等方面的內容。在技術方面又涉及到網絡保護技術、主機及應用程序安全防護技術、數據安全及備份恢復技術等領域。管理方面涉及到管理機構及制度建設。作為信息系統安全管理員應針對信息系統所存在的安全隱患，采取相應的安全防范措施以保證系統的正常運行。

3.1 物理安全措施

信息系統的物理安全主要涉及的具體方面包括：物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護等。通常高校信息系統集中存放在數據中心機房，這就要求數據中心機房的建設要符合國家相應的標準，滿足信息系統的物理安全[5]。

3.2 網絡安全措施

在網絡安全方面主要關注網絡結構、網絡邊界以及網絡設備自身安全等，具體包括：結構安全、訪問控制、安全審計、入侵防范、網絡設備防護等。邊界處采用防火墻設備進行安全邊界隔離和訪問控制，根據邊界安全網關的防火墻特性，開啟包過濾策略，配置相應的規則，保護內部網絡設備的安全。邊界部署入侵防御系統和入侵檢測系統，檢測和防范端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、網絡蠕蟲攻擊等。網絡內部采用VLAN進行邊界隔離和訪問控制。為防止重要信息外泄，引入上網行為管理產品，同時，采用應用防火墻有效防止網站被惡意注入和篡改。校園網絡采用綜合監控管理平臺實時監測網絡和信息系統的運行情況。

3.3 主機及應用安全措施

在信息系統運維過程中，以高校大多數采用的Windows Server系列操作系統為例，系統管理員可以通過設置賬號規則、更改用戶權限、設置安全密碼、配置安全策略、關閉不必要的端口、開啟審核策略等方式來保障主機的安全[6]。

做好日常防毒工作，也是保證主機及應用程序安全的重要措施。若信息系統防毒措施不到位，病毒就會侵入到信息系統，破壞系統的正常運行，泄露系統中的重要信息，有些病毒甚至會通過網絡不斷的擴散，給其他系統的正常運行帶來安全威脅。通過在信息系統上安裝一些好的殺毒軟件不僅能殺掉一些著名的病毒，還能查殺大量的木馬和后門程序，保護系統的安全。

另外，由于Windows server系列操作系統非常龐大，常常存在一些技術漏洞。系統管理員在運維過程中，要及時下載補丁，安裝最新補丁，防止因系統漏洞而帶來安全隱患。

3.4 數據及備份恢復安全措施

數據是信息系統中最重要的資源，保證系統中數據的完整性、準確性及保密性，做好數據的備份及恢復工作，是信息系統管理員的首要職責。

在信息系統數據的維護中，制訂數據備份與恢復的管理制度和操作規程，建立備份與恢復策略，完善備份與恢復的應急響應方案并進行演練。系統管理員要做好定期備份和修改后即時備份工作。

關鍵性的設備如不能提供冗余，應采用冷備方式，提高整體的備份與恢復能力。對于業務應用系統，可采用虛擬化模式，實現業務應用的不中斷，最大限度增強業務應用系統的備份與恢復能力。當信息系統數據總量不大的情況下，可采用專人定期進行人工備份的方式，一旦發生數據安全問題，立即進行恢復。

3.5 安全管理措施

在高校進行信息化建設的過程中，如何保證信息系統的安全，消除安全隱患，不僅要從信息安全技術的角度考慮，更為重要的是根據信息系統的等級保護要求，結合信息系統的實際安全運維模式，建立符合信息系統安全要求的管理制度。

完善當前機房安全管理制度，建立機房出入登記制度，保護信息系統主機及所依賴的網絡設備等硬件和通信線路安全。建立并完善相關的安全管理制度，保證相關人員按照規定的制度行事，做到各行其職、各負其責，避免責任事故的發生和防止惡意侵犯。加強安全教育和人員培訓，將安全管理制度和管理技術結合起來，保障信息系統的安全[7]。

建立信息安全應急機構，制定信息安全應急響應預案，通過建立校方運維人員隊伍、專家資源庫以及廠商資源庫等人力資源措施，并通過組織應急響應預案演練，規范操作，保證在發生緊急事件時，更快的恢復系統應用和數據，最大可能的降低損失。

4 結語

本文分析了高校信息系統存在的安全隱患，并針對安全隱患提出了具體的防范措施。隨著計算機技術和網絡技術的不斷提升，可能會出現新的攻擊手段，防御能力不足，導致攻擊事件的發生。所以，信息系統的安全問題并非是一成不變的，而是一個動態的持續過程，對于系統維護人員來說并沒有一勞永逸的防范措施。因此，不斷地進行研究探索，完善信息系統的安全體系，對于保障信息系統的安全是非常必要的。

[1]張 劍，王 琦.淺析管理在信息系統安全中的必要性[J].信息網絡安全，2012（6）：1-2.

[2]羅 崢，王 寧.信息安全等級保護測評管理體系建設初探[J].信息網絡安全，2011(增刊)：61-62.

[3]郭 臣.安全檢查保障信息系統安全[J].信息安全與技術，2010 （7）：6-9.

[4]程立明.淺談計算機網絡安全防范措施[J].電腦知識與技術，2010，6（6）：1 356-1 357.

[5]洪小堅.淺談計算機的網絡安全應用及防御措施[J].計算機光盤軟件與應用，2013，33（2）：181-182.

[6]李國強.淺談數據安全與備份恢復技術研究[J].科技傳播，2010（32）：250-251.

[7]方華峰.數據容災備份與恢復的關鍵技術及應用研究[J].網絡安全技術與應用，2014（3）：43-44.

責任編輯：吳艷玲

Analysis on the Hidden Dangers of Information System in Universities and the Preventive Measures

WANG Xue
（Jilin Agricultural Science and Technology University Educational Technology and Information Center,Jilin 132101）

With the rapid development and popularity of computer and network technology,information construction has become an important part of the construction of universities,however,information system security is an important factor that must be considered in the information construction of university.This paper analyzed the potential security problems of information systems in universities from five aspects∶physical, network,host and application,data security and backup and recovery and management,and then combined with the above aspects,this paper presented the specific security preventive measures of information system.Finally, according to the dynamic characteristics of information system security,this paper presented the necessity of the information system maintenance staffs should continue to carry out research and exploration,and the need to improve the security system of information system.

university informatization;information system;information system security

TP393.08

A

2016-10-29

王 雪（1982-），女，吉林省永吉縣人，研究實習員，研究方向：計算機應用技術。