高校敏感信息安全及APT防護(hù)建議

崔澤源

摘 要 本文探討了校園信息化所帶來(lái)的敏感信息泄露風(fēng)險(xiǎn)。通過(guò)介紹校園網(wǎng)滲透測(cè)試過(guò)程，指出常見(jiàn)安全漏洞和隱患，提出高校信息安全防護(hù)建議。

【關(guān)鍵詞】信息安全 高校 高級(jí)持續(xù)威脅

1 引言

校園信息化將學(xué)生與教職工敏感數(shù)據(jù)托付于云端，在獲得信息化管理便利的同時(shí)也增加了敏感數(shù)據(jù)泄露的風(fēng)險(xiǎn)。當(dāng)前高級(jí)持續(xù)威脅（Advanced Persistent Threat，APT）頻繁發(fā)生。攻擊者針對(duì)特定目標(biāo)進(jìn)行持續(xù)攻擊以達(dá)到控制目標(biāo)的效果。攻擊者一般為了滿足技術(shù)好奇心自我炫耀，或受經(jīng)濟(jì)利益驅(qū)使，持續(xù)向某一目標(biāo)進(jìn)行攻擊，以獲取政治、軍事、個(gè)人或企業(yè)的內(nèi)部敏感信息。與已知攻擊模式相比，APT的特點(diǎn)有：目標(biāo)特定性，攻擊手法針對(duì)性，隱匿性與持續(xù)性。由此得出，擁有大量敏感數(shù)據(jù)的現(xiàn)代高校很容易受到APT攻擊。根據(jù)APT攻擊校園網(wǎng)特點(diǎn)做好安全防護(hù)，是信息化運(yùn)維工作的重中之重。

過(guò)去，高校網(wǎng)絡(luò)安全保障的做法通常是建立私有內(nèi)網(wǎng)，并將內(nèi)網(wǎng)設(shè)備劃為信任域（Trust Zone）。近期勒索病毒（WannaCry）在中國(guó)高校，機(jī)關(guān)的肆虐，不僅證明了APT攻擊方式的威力與破壞性，更為我們敲響了警鐘：內(nèi)外網(wǎng)分離而疏于內(nèi)網(wǎng)維護(hù)的做法，是落后的，脆弱的，不安全的。維護(hù)人員應(yīng)采取更新的網(wǎng)絡(luò)架構(gòu)，用更積極的態(tài)度主動(dòng)應(yīng)對(duì)安全威脅，注重內(nèi)網(wǎng)與敏感數(shù)據(jù)安全。

2 高校敏感信息

高校信息一般包括招生考試信息、財(cái)務(wù)資產(chǎn)收費(fèi)信息、人事師資信息、教學(xué)質(zhì)量信息、學(xué)生管理服務(wù)信息等。其中學(xué)士和教職工的個(gè)人信息是最敏感信息。

2.1 學(xué)生信息類(lèi)

在大部分高校，學(xué)生的個(gè)人信息通常以電子學(xué)籍的方式進(jìn)行儲(chǔ)存，其中包括學(xué)生的生日、身份證號(hào)、學(xué)籍號(hào)、手機(jī)號(hào)、宗教信仰、家庭背景、刑事記錄和社團(tuán)等。

2.2 教職工信息類(lèi)

校園考評(píng)系統(tǒng)一般具有教師照片、職位、班級(jí)評(píng)分、老師簽退情況與班級(jí)評(píng)分、工資等。

2.3 公共安全信息類(lèi)

學(xué)校里連網(wǎng)的公共設(shè)施一般有門(mén)禁系統(tǒng)、監(jiān)控系統(tǒng)、停車(chē)場(chǎng)管理與放行系統(tǒng)、食堂/水費(fèi)系統(tǒng)、閱卷系統(tǒng)、網(wǎng)絡(luò)服務(wù)系統(tǒng)、防火墻、服務(wù)器機(jī)房管理系統(tǒng)、教學(xué)機(jī)房管理系統(tǒng)、多媒體教室與設(shè)備、自動(dòng)化無(wú)人販賣(mài)機(jī)等。

2.4 保密信息類(lèi)

從校內(nèi)可訪問(wèn)的系統(tǒng)一般有人防系統(tǒng)、高考監(jiān)控聯(lián)動(dòng)系統(tǒng)、緊急網(wǎng)絡(luò)化播音系統(tǒng)。

2.5 其他信息類(lèi)

校園網(wǎng)用戶網(wǎng)頁(yè)瀏覽記錄、未經(jīng)加密的帳號(hào)密碼、與服務(wù)器的通信數(shù)據(jù)。

3 模擬 APT攻擊（Intrusion）過(guò)程

3.1 模擬APT攻擊的思路

APT的攻擊手段主要有三種：入侵（Intrusion），釣魚(yú)欺詐（Phishing）與社會(huì)工程學(xué)（Social Engineering）。

社會(huì)工程學(xué)（Social Engineering）是數(shù)據(jù)收集手段的統(tǒng)稱(chēng)。例如通過(guò)一個(gè)人的社交媒體賬號(hào)與私人郵箱賬號(hào)獲得其工作單位，住址，姓名，手機(jī)號(hào)碼等信息；通過(guò)已經(jīng)泄露的數(shù)據(jù)庫(kù)，得到其常用密碼，出行軌跡等隱私信息。

3.2 模擬APT攻擊測(cè)試過(guò)程

3.2.1 掃描當(dāng)前網(wǎng)絡(luò)

在連接進(jìn)入內(nèi)外網(wǎng)邊界重合的網(wǎng)絡(luò)（如學(xué)校自習(xí)室/圖書(shū)館的公共網(wǎng)絡(luò)）后，嘗試掃描當(dāng)前所在的網(wǎng)段及網(wǎng)關(guān)，認(rèn)證服務(wù)器與DNS服務(wù)器所在的網(wǎng)段，收集信息。以使用NMAP（WINDOWS）為例，將目標(biāo)設(shè)定為網(wǎng)關(guān)所在網(wǎng)段，配置模式Instense scan（完全掃描模式），開(kāi)始進(jìn)行掃描。

3.2.2 尋找攻擊方案

掃描完成，發(fā)現(xiàn)有多個(gè)主機(jī)，尋找開(kāi)放端口信息。選擇從HTTP服務(wù)入手，訪問(wèn)目標(biāo)系統(tǒng)，查看網(wǎng)頁(yè)服務(wù)類(lèi)型，并收集信息。

3.2.3 發(fā)起攻擊

在確定找到系統(tǒng)安全漏洞之后，針對(duì)系統(tǒng)漏洞采用相應(yīng)代碼對(duì)其發(fā)起攻擊。

3.3 攻擊類(lèi)型：審查HTTP代碼

兩家監(jiān)控廠商的產(chǎn)品使用STRUTS2框架，利用STRTUS2反序列化漏洞執(zhí)行惡意命令，獲得監(jiān)控控制權(quán)，學(xué)校的監(jiān)控，包括高考監(jiān)控，可能外泄，可能被惡意切斷錄制，一旦發(fā)生特大突發(fā)情況，無(wú)法保證安全。

網(wǎng)關(guān)全線產(chǎn)品具有COOKIE惡意提權(quán)漏洞，獲得了網(wǎng)關(guān)所有權(quán)，可能導(dǎo)致網(wǎng)絡(luò)癱瘓。

門(mén)禁卡系統(tǒng)具有弱口令漏洞，同時(shí)具有圖片上傳執(zhí)行代碼漏洞，獲得門(mén)禁控制權(quán)，學(xué)校的物理安全與財(cái)產(chǎn)可能得到侵犯。

某停車(chē)場(chǎng)系統(tǒng)具有弱口令以及注入漏洞，導(dǎo)致大門(mén)車(chē)輛可能被隨意放行，大門(mén)打開(kāi)，以及車(chē)輛隨意進(jìn)出，以及車(chē)輛進(jìn)出門(mén)被監(jiān)視。

學(xué)生社團(tuán)活動(dòng)報(bào)名頁(yè)面具有SQL注入漏洞，可能導(dǎo)致數(shù)據(jù)庫(kù)被“拖庫(kù)”，進(jìn)而導(dǎo)致學(xué)生姓名，管理密碼（明文儲(chǔ)存），身份證號(hào)泄露。

3.4 審查遠(yuǎn)程主機(jī)的端口

圖書(shū)館與教師評(píng)教系統(tǒng)具有SMB溢出漏洞，所有老師的評(píng)價(jià)與借書(shū)情況可能導(dǎo)致外泄。

授權(quán)邏輯服務(wù)器的SMB以及RDP具有ETERNALBLUE（永恒之藍(lán)）漏洞，老師的個(gè)人上網(wǎng)密碼可能泄露。同時(shí)，授權(quán)服務(wù)器內(nèi)存放網(wǎng)絡(luò)拓?fù)鋱D以及維護(hù)管理密碼，可能導(dǎo)致內(nèi)網(wǎng)IP分布被泄露。

網(wǎng)絡(luò)化廣播系統(tǒng)具有 ETERNALROMANCE（永恒浪漫）漏洞，學(xué)校的廣播系統(tǒng)包括高考廣播，災(zāi)備廣播可能被控制。

門(mén)房VNC沒(méi)有設(shè)置密碼，可能導(dǎo)致隨意控制大門(mén)進(jìn)出。

某數(shù)據(jù)庫(kù)服務(wù)器SSH弱口令，可能導(dǎo)致其中數(shù)據(jù)外泄。

3.5 模擬APT攻擊測(cè)試總結(jié)

通過(guò)各種手段的入侵（Intrusion）方式，入侵者不僅得到了學(xué)生與老師的個(gè)人信息，更控制了學(xué)校的公共資產(chǎn)。如表1所示。

4 校園網(wǎng)絡(luò)安全建議

4.1 服務(wù)端設(shè)置與部署endprint

4.1.1 人為因素

為了切斷社會(huì)工程學(xué)（SocialEnginnering）與釣魚(yú)欺詐（Phising）帶來(lái)的危害，內(nèi)部服務(wù)器口令應(yīng)減少使用個(gè)人口令，常用口令以及弱口令，同時(shí)，口令與管理方法的記錄切勿以任何形式保存在服務(wù)器上。

4.1.2 部署技術(shù)

為了減少惡意攻擊帶來(lái)的危害，安全的業(yè)務(wù)與數(shù)據(jù)庫(kù)服務(wù)器應(yīng)具有三個(gè)特性：

（1）虛擬化。虛擬機(jī)（VM，Virtual Machine）是一種為部署，測(cè)試提供的一種穩(wěn)定，易于恢復(fù)的虛擬系統(tǒng)環(huán)境。使用虛擬系統(tǒng)環(huán)境擁有可以增加服務(wù)穩(wěn)定性，控制資源利用，安全隔離等優(yōu)點(diǎn)。使用虛擬機(jī)應(yīng)對(duì)網(wǎng)絡(luò)攻擊與突發(fā)狀況，可以在服務(wù)發(fā)生不可逆崩潰時(shí)數(shù)分鐘內(nèi)恢復(fù)正常運(yùn)行情況。在服務(wù)器被攻陷時(shí)，攻擊者僅會(huì)取得虛擬機(jī)的控制權(quán)，但無(wú)法取得實(shí)體主機(jī)系統(tǒng)的控制權(quán)，一定程度上保護(hù)了服務(wù)器與敏感數(shù)據(jù)庫(kù)。

（2）容器化。Docker是一種由dotCloud公司開(kāi)發(fā)，為批量部署與更新提供的虛擬環(huán)境。與虛擬機(jī)相比，Docker容器沒(méi)有虛擬系統(tǒng)層。因此，Docker容器支持秒級(jí)部署與毫秒級(jí)啟動(dòng)。但缺少虛擬系統(tǒng)層使Docker容器的安全性與虛擬機(jī)相比較差。Docker容器的優(yōu)點(diǎn)是擁有高效的批量部署與批量更新，運(yùn)行速度的同時(shí)不需要考慮環(huán)境與系統(tǒng)是否兼容。這樣的特性讓使用Docker容器的服務(wù)在遇到重大安全漏洞時(shí)可以用最快的速度更新，在服務(wù)受到破壞時(shí)以最快的時(shí)間恢復(fù)。

（3）角色隔離化。服務(wù)器角色是指一個(gè)服務(wù)器在當(dāng)前業(yè)務(wù)系統(tǒng)中的功能與所扮演的角色。常用的服務(wù)器角色有數(shù)據(jù)庫(kù)，代理，文件服務(wù)器等。在服務(wù)部署時(shí)，應(yīng)盡量避免將多個(gè)角色部署在同一臺(tái)服務(wù)器，應(yīng)將其部署在不同虛擬機(jī)/容器中。采取此種做法不僅提高了服務(wù)與維護(hù)的效率，更增加了安全性。

4.1.3 網(wǎng)絡(luò)架構(gòu)的調(diào)整

在現(xiàn)階段的新安全形勢(shì)下，傳統(tǒng)“三網(wǎng)一庫(kù)”架構(gòu)體現(xiàn)出了其劣勢(shì)：

主流安全軟件一般采用“云引擎”技術(shù)，即利用病毒特征在云端快速匹配病毒，如果無(wú)法訪問(wèn)外網(wǎng)，安全軟件的查殺惡意軟件的準(zhǔn)確度會(huì)下降。

與外網(wǎng)隔離，會(huì)使內(nèi)網(wǎng)的設(shè)備無(wú)法及時(shí)獲得安全更新。假如入侵者通過(guò)物理手段入侵內(nèi)網(wǎng)（如部署可聯(lián)網(wǎng)的攻擊設(shè)備等），會(huì)導(dǎo)致薄弱的內(nèi)網(wǎng)環(huán)境被完全擊破。

如果當(dāng)前網(wǎng)絡(luò)架構(gòu)難以改變，嘗試關(guān)注特定的服務(wù)，設(shè)定防火墻過(guò)濾規(guī)則來(lái)屏蔽非服務(wù)器間的數(shù)據(jù)庫(kù)/遠(yuǎn)程控制端口通信。

4.2 開(kāi)發(fā)注意事項(xiàng)

為了能使開(kāi)發(fā)的軟件更安全，開(kāi)發(fā)的軟件應(yīng)具有的三個(gè)特性：

4.2.1 接口集成化

開(kāi)發(fā)過(guò)程中，對(duì)于數(shù)據(jù)庫(kù)的請(qǐng)求，應(yīng)避免請(qǐng)求代碼過(guò)于分散，將請(qǐng)求處理代碼與接口高度集成，可有效避免對(duì)輸入數(shù)據(jù)的處理疏漏。對(duì)于已經(jīng)棄用的文件或代碼，應(yīng)及時(shí)刪除，保持結(jié)構(gòu)精簡(jiǎn)，謹(jǐn)防安全問(wèn)題。

4.2.2 加密化

將加密作用于服務(wù)端開(kāi)發(fā)的每一個(gè)方面，例如密碼使用md5技術(shù)加密，使用https協(xié)議加密，將源碼加密或混淆防止非法修改，這將極大提高服務(wù)器安全性。

4.2.3 標(biāo)準(zhǔn)化

正確引導(dǎo)用戶配置時(shí)拒絕使用弱口令，更改默認(rèn)密碼，檢測(cè)網(wǎng)絡(luò)安全狀況。建立完善的“日志”系統(tǒng)，方便追蹤異常操作。在網(wǎng)頁(yè)開(kāi)發(fā)中，不要將用戶數(shù)據(jù)保存于cookie等不安全的介質(zhì)中，謹(jǐn)防惡意操作。在應(yīng)用中增加異常流量與請(qǐng)求追蹤技術(shù)，使數(shù)據(jù)流向得到控制。

4.3 網(wǎng)絡(luò)安全宣傳以及執(zhí)行力

當(dāng)前高校對(duì)外交流頻次增多，學(xué)校內(nèi)師生等各方面的信息需要得到嚴(yán)密的保護(hù)。一些個(gè)人信息被盜用之后可能會(huì)引發(fā)較為嚴(yán)重的問(wèn)題，之前就曾經(jīng)出現(xiàn)過(guò)高校師生銀行卡卡號(hào)、身份證信息及密碼泄漏的情況，很多學(xué)生的銀行卡遭到盜刷。因此，除了對(duì)網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)防火墻、服務(wù)器加密加以重視之外，還應(yīng)加強(qiáng)高校內(nèi)部網(wǎng)絡(luò)安全宣傳，并提高安全宣傳的執(zhí)行力。

4.3.1 多種宣傳手段，引起師生重視

針對(duì)高校網(wǎng)絡(luò)信息安全問(wèn)題，可以盡可能利用校內(nèi)所有的宣傳途徑進(jìn)行宣傳，包括校園廣播、校報(bào)、高校網(wǎng)站、學(xué)校微信公眾號(hào)、校園微博、校園宣傳欄等途徑，對(duì)網(wǎng)絡(luò)安全入侵常見(jiàn)的情況進(jìn)行總結(jié)并指出其危害性，從而引起師生的重視。還可以利用學(xué)生班會(huì)、院會(huì)的形式，由輔導(dǎo)員對(duì)學(xué)生進(jìn)行普及教育。另外，在高校信息技術(shù)公共課程中，可以就校園敏感信息安全以及內(nèi)網(wǎng)防滲透的問(wèn)題及風(fēng)險(xiǎn)組織專(zhuān)題教學(xué)。

4.3.2 多重加密保護(hù)，手機(jī)驗(yàn)證信息

高校網(wǎng)站是十分容易被入侵的，網(wǎng)站中存有師生的登錄密鑰，可以通過(guò)登錄來(lái)獲取在校師生的信息。而一旦被入侵，一方面信息可能遭到被更改，另一方面隱私信息的泄漏可能會(huì)給師生生活帶來(lái)風(fēng)險(xiǎn)。因此在高校此類(lèi)站點(diǎn)中，可以實(shí)施多重加密保護(hù)的方式，并讓師生將密碼和手機(jī)號(hào)進(jìn)行捆綁。而不在校師生的信息需要定期移出站點(diǎn)。

4.4 安全檢測(cè)

網(wǎng)絡(luò)維護(hù)人員應(yīng)定期對(duì)內(nèi)網(wǎng)設(shè)備進(jìn)行資產(chǎn)檢查，漏洞掃描和更新，保證數(shù)據(jù)安全。

4.4.1 漏洞掃描

使用可視化工具對(duì)內(nèi)網(wǎng)機(jī)器進(jìn)行批量定期掃描，不僅可以審計(jì)內(nèi)網(wǎng)機(jī)器，而且可以快速發(fā)展漏洞。常用的掃描工具有xunfeng，NMAP等。

4.4.2 嵌入式設(shè)備以及還原卡保護(hù)設(shè)備

嵌入式設(shè)備往往難以得到安全更新，增加了網(wǎng)絡(luò)被入侵的隱患。維護(hù)人員應(yīng)及時(shí)聯(lián)系廠家獲得最新更新。

5 總結(jié)

總之，高校作為一個(gè)龐大的運(yùn)營(yíng)單位，其內(nèi)部人員眾多、流動(dòng)性強(qiáng)，信息量大，其中不乏各類(lèi)敏感信息，因此高校也成為了安全入侵的一個(gè)主要目標(biāo)。通過(guò)對(duì)校園網(wǎng)進(jìn)行滲透測(cè)試發(fā)現(xiàn)，校園網(wǎng)中存在多種多樣的安全漏洞和隱患，一些敏感信息也容易被泄漏，因此必須采取技術(shù)以及管理的手段來(lái)加強(qiáng)高校信息安全防護(hù)，尤其是要定期加強(qiáng)安全檢測(cè)，更新安全防護(hù)方案，提高高校各方面負(fù)責(zé)人的安全管理意識(shí)，從而避免信息的泄漏以及所造成的不必要的安全問(wèn)題。本文的研究只是對(duì)高校敏感信息安全防護(hù)方面做出了一個(gè)大致的分析論述，提出了框架性的指導(dǎo)方案，但是沒(méi)有針對(duì)實(shí)際的入侵手段來(lái)給出相應(yīng)的應(yīng)對(duì)方法，還需在日后的研究中加以完善。

參考文獻(xiàn)

[1]印第安納大學(xué)（Indiana University）知識(shí)檢索引擎 https：//kb.iu.edu/d/augs.

[2]APT対策入門(mén)：新型サイバー攻撃の検知と対応日本セキュリティ監(jiān)査協(xié)會(huì) APTによる攻撃対策と情報(bào)セキュリティ監(jiān)査研究會(huì)インプレスr&d， JP，2015.

[3]世界各地で発生したランサムウェア WannaCry の感染事案についてまとめてみたhttp：//d.hatena.ne.jp/Kango/touch/20170513/1494700355.

[4]Report on the dataprotection guidance we gave schools in 2012The Information Commissioner's Office， UK，2012.

[5]Safe Computing Techniques-Sensitive Data：Your Money AND Your LifeMassachusetts Institute of Technology（MIT），USA，2008.

[6]Social Engineering：The Art of Human Hack Christopher Hadnagy，USA，2010.

作者單位

呼和浩特市第一中學(xué) 內(nèi)蒙古自治區(qū)呼和浩特市 010010endprint