圖書館信息安全與管理(20130104)

圖書館信息安全與管理上海財經(jīng)大學(xué)信息化辦公室汪洋Wang.yang@2013年1月4日信息安全態(tài)勢二信息安全管理一三信息安全態(tài)勢一二二四信息安全保障工作經(jīng)驗交流三二信息安全技術(shù)應(yīng)用系統(tǒng)故障：2%數(shù)據(jù)庫故障：30%人為操作故障：60%網(wǎng)絡(luò)故障：8%各類安全事件的起因統(tǒng)計【安全案例】某高校圖書館由于技術(shù)人員維護(hù)Oracle數(shù)據(jù)庫不當(dāng)，造成了匯文系統(tǒng)的關(guān)鍵數(shù)據(jù)庫固定臨時表被損壞，造成匯文系統(tǒng)癱瘓1小時10分鐘。技術(shù)人員花費(fèi)了5個多小時查找故障原因，但實際處理問題僅僅用了１５分鐘。技術(shù)處理根本無難度,但由于沒有應(yīng)急處置預(yù)案，所以對事件沒有明確的分工，沒有技術(shù)牽頭人，沒有明確的故障排查流程和技術(shù)恢復(fù)方案、諸多管理方面的原因，導(dǎo)致浪費(fèi)了寶貴時間來及時恢復(fù)系統(tǒng)正常運(yùn)作，最終，為恢復(fù)系統(tǒng)，修補(bǔ)圖書借還流通數(shù)據(jù)，用了整整7天的時間，其教訓(xùn)令人切膚之痛。

Web相關(guān)威脅已取代蠕蟲成為網(wǎng)絡(luò)安全威脅的主流

資料來源：TrendLabs思考目前從我國大多數(shù)高校的信息系統(tǒng)運(yùn)行情況可以看出，盡管各高校網(wǎng)絡(luò)信息中心在建立雙機(jī)熱備、IPS防火墻、Web防篡、應(yīng)用層網(wǎng)關(guān)、安全殺毒軟件、人員培訓(xùn)、權(quán)限管理、應(yīng)急管理等方面做了大量的部署工作，但依然存在諸多安全方面的隱患，一個子系統(tǒng)故障都可能導(dǎo)致多米偌骨牌效應(yīng),校園網(wǎng)或信息系統(tǒng)癱瘓影響正常教學(xué)和管理工作的例子仍屢見不鮮。

出口認(rèn)證網(wǎng)關(guān)服務(wù)器/數(shù)據(jù)中心校內(nèi)用戶外網(wǎng)訪問垃圾郵件網(wǎng)關(guān)網(wǎng)絡(luò)防毒系統(tǒng)出口防火墻校園網(wǎng)用戶單機(jī)防護(hù)產(chǎn)品典型校園網(wǎng)絡(luò)和應(yīng)用系統(tǒng)安全部署示意圖防火墻（安全域）（VPN接入）公網(wǎng)用戶CERNET/Internet應(yīng)用層防火墻（WAF）信息安全基本要求信息安全解決方案要確定的信息安全建設(shè)總體目標(biāo)信息系統(tǒng)安全整體解決方案信息系統(tǒng)安全保障體系信息安全組織管理事前預(yù)警防范事中監(jiān)控處置事后追溯定位安全技術(shù)17網(wǎng)絡(luò)與信息安全威脅-攻擊的類型拒絕服務(wù)（DoS）竊聽局域網(wǎng)嗅包、截取無線傳輸中的數(shù)據(jù)偽裝破壞機(jī)密性和數(shù)據(jù)完整性利用一些密鑰交換和認(rèn)證協(xié)議實現(xiàn)及使用中的漏洞，甚至可以獲取加密會話的控制權(quán)攻入系統(tǒng)入侵者權(quán)限逐步提高解除機(jī)密性和完整性18網(wǎng)絡(luò)與信息安全威脅-攻擊的類型病毒利用合法用戶繞過認(rèn)證和訪問控制機(jī)制，以執(zhí)行入侵者注入的惡意代碼通常是無目標(biāo)的，在易感系統(tǒng)和用戶中傳播大量消耗處理能力及網(wǎng)絡(luò)帶寬，直接或間接地削弱受感染系統(tǒng)的可用性特洛伊木馬也是一種病毒，它將惡意功能隱藏于用戶需要并使用的功能之后用以繞過機(jī)密性和訪問控制目標(biāo)19網(wǎng)絡(luò)與信息安全威脅-攻擊的類型蠕蟲其傳播機(jī)制是對目標(biāo)系統(tǒng)中漏洞的自動發(fā)現(xiàn)和利用，并不需要任何用戶的介入蠕蟲感染是無目標(biāo)的，通常造成受影響的系統(tǒng)的可用性問題，甚至給整個網(wǎng)絡(luò)的可用性帶來影響蠕蟲可攜帶惡意代碼，可以從受感染的主機(jī)發(fā)起分布式、有目標(biāo)的攻擊安全隱患-SQL注入漏洞原因分析：本質(zhì)是對數(shù)據(jù)庫輸入語句檢查不充分，導(dǎo)致SQL語句將用戶提交的非法數(shù)據(jù)當(dāng)作語句的一部分來執(zhí)行。危害：

（1）查詢敏感信息：了解后臺數(shù)據(jù)庫的種類、版本，操作系統(tǒng)信息，數(shù)據(jù)庫名、表名、字段名以及數(shù)據(jù)庫中的數(shù)據(jù)信息；

（2）繞過認(rèn)證機(jī)制：無需知道口令就能以某些用戶身份登陸應(yīng)用系統(tǒng)篡改敏感數(shù)據(jù)；

（3）篡改敏感數(shù)據(jù)：對數(shù)據(jù)庫進(jìn)行增加、刪除、篡改的操作；

（4）執(zhí)行任意命令：利用數(shù)據(jù)庫支持的特定功能（例如存儲過程）在數(shù)據(jù)庫所在操作系統(tǒng)中執(zhí)行任意命令。安全隱患-跨站腳本攻擊（XXS）漏洞

原因分析：

是一種網(wǎng)站應(yīng)用程序的安全漏洞攻擊，是代碼注入的一種。它允許惡意使用者將程序原碼注入到網(wǎng)頁上，用戶在瀏覽網(wǎng)頁時就會觸發(fā)代碼執(zhí)行。這類攻擊通常包含了HTML以及用戶端的腳本語言。防范：

在設(shè)計開發(fā)階段就考慮XSS問題，是最有效的防范辦法。提高警惕，避免費(fèi)授權(quán)用戶使用和訪問工作終端在網(wǎng)絡(luò)中（特別是一些論壇中），盡量避免泄漏個人各單位的信息，如真實姓名、地址、身份證號和EMAIL地址等不要隨便執(zhí)行可疑的程序不要隨便打開陌生的電子郵件不要連接到未知網(wǎng)站（釣魚網(wǎng)站）系統(tǒng)登錄密碼不要太簡單（弱口令）在操作系統(tǒng)中關(guān)閉不必要的文件共享在操作系統(tǒng)中不要使用賬戶設(shè)置的系統(tǒng)默認(rèn)值在操作系統(tǒng)中安裝安全軟件，并經(jīng)常更新（360安全衛(wèi)士、360安全殺毒等）定期更新系統(tǒng)補(bǔ)?。ㄒ⒁庵话惭b相關(guān)的）針對個人的信息系統(tǒng)安全防范措施【網(wǎng)絡(luò)方面】使用狀態(tài)檢測防火墻（FW），防止外部對內(nèi)部的掃描使用入侵防御系統(tǒng)（IDS），防止來自內(nèi)外部的攻擊使用VPN（虛擬專用網(wǎng)絡(luò)），控制連接用戶實行網(wǎng)絡(luò)流量監(jiān)控和連接監(jiān)控，優(yōu)化網(wǎng)絡(luò)連通性定期進(jìn)行基于IP的網(wǎng)絡(luò)主機(jī)漏洞掃描定期檢查系統(tǒng)日志（Log），及時發(fā)現(xiàn)問題針對技術(shù)人員的信息系統(tǒng)安全防范措施【主機(jī)方面】部署應(yīng)用層網(wǎng)關(guān)（ALG）或Web應(yīng)用防護(hù)系統(tǒng)（WAF）確認(rèn)每一個在執(zhí)行的Service用途確認(rèn)每一個在執(zhí)行的Process用途確認(rèn)每一個監(jiān)聽端口及建立連接的程序的用途。

定期審計和更新主機(jī)訪問權(quán)限口令定期審計和更新主機(jī)安全策略定期進(jìn)行基于URL的應(yīng)用系統(tǒng)漏洞掃描確認(rèn)系統(tǒng)安裝最新的ServicePack及補(bǔ)丁程序針對技術(shù)人員的信息系統(tǒng)安全防范措施校園網(wǎng)千兆匯聚交換機(jī)千兆防火墻1HA千兆防火墻2機(jī)架服務(wù)器組虛擬服務(wù)器組審計堡壘主機(jī)備份一體機(jī)DELL網(wǎng)絡(luò)存儲系統(tǒng)服務(wù)器安全域安全管理教育技術(shù)中心（IDC托管機(jī)房）信息化辦公室網(wǎng)絡(luò)宣傳辦公室圖書館各院、系、所信息系統(tǒng)安全防控點網(wǎng)絡(luò)與系統(tǒng)主機(jī)信息系統(tǒng)安全信息系統(tǒng)安全監(jiān)控點信息系統(tǒng)安全防控點職責(zé)：對部門管理的應(yīng)用系統(tǒng)信息安全負(fù)責(zé)，具有日常應(yīng)用系統(tǒng)和數(shù)據(jù)信息的安全防護(hù)，及時排除高危安全風(fēng)險的職責(zé)。信息系統(tǒng)安全監(jiān)控點職責(zé)：負(fù)責(zé)全校網(wǎng)絡(luò)與信息系統(tǒng)安全監(jiān)控，具有定期檢測和發(fā)布全校應(yīng)用系統(tǒng)信息安全風(fēng)險報告、對排除高危安全風(fēng)險進(jìn)行技術(shù)指導(dǎo)的職責(zé)。

值班制度

-盡早發(fā)現(xiàn)網(wǎng)絡(luò)和應(yīng)用系統(tǒng)故障

技術(shù)分析-縮短故障維修時間

冗余方案

-提高系統(tǒng)可靠性

緊急預(yù)案

-預(yù)防重大災(zāi)難的發(fā)生防控點-主動式安全管理要點技術(shù)值班制度根據(jù)應(yīng)用系統(tǒng)緊急處置應(yīng)急預(yù)案，部門應(yīng)設(shè)立“技術(shù)值班”輪班制度，值班人員正常工作日7：30到校，任務(wù)是對校園網(wǎng)拓?fù)浜蚈A等應(yīng)用系統(tǒng)進(jìn)行例行檢查，發(fā)現(xiàn)情況及時通告和排除故障，同時明確在重大事情發(fā)生時的責(zé)任和分工，避免出現(xiàn)更大災(zāi)難性的故障。值班人員17：30離校，下班前例行檢查主機(jī)房、和應(yīng)用系統(tǒng)的運(yùn)行狀態(tài)，和安保、災(zāi)防監(jiān)控系統(tǒng)，做好日志記錄。規(guī)范處理流程–技術(shù)應(yīng)急處置預(yù)案故障排除中的組織協(xié)調(diào)是十分重要的，有條不紊地指揮運(yùn)籌是關(guān)鍵。技術(shù)值班一旦監(jiān)測到或接報同時上報有三位校園網(wǎng)用戶發(fā)生運(yùn)行速度慢或無法正常使用應(yīng)用系統(tǒng)時，技術(shù)值班人員將立即報備并由主管決定是否啟動應(yīng)急預(yù)案。圖書館技術(shù)部可根據(jù)日常維護(hù)的實際需求配備一套基于短消息和郵件平臺的系統(tǒng)監(jiān)測報警軟件。提高了處理系統(tǒng)和設(shè)備和應(yīng)用系統(tǒng)故障的應(yīng)急速度和準(zhǔn)確度，對系統(tǒng)維護(hù)提供了極大的便利，提高了應(yīng)用系統(tǒng)的安全性和可用性為排除故障搶“時間”監(jiān)控系統(tǒng)“健康”狀況作用:系統(tǒng)監(jiān)控平臺圖書館信息安全保障經(jīng)驗交流一、強(qiáng)化安全意識，落實值班備班制度各位館員應(yīng)在任何時候，意識到信息安全的重要性，自覺地遵守安全規(guī)范，維護(hù)好應(yīng)用統(tǒng)。技術(shù)人員在關(guān)鍵時期，要加強(qiáng)信息安全隱患的排查力度，加強(qiáng)安全值班備班，確保信息系統(tǒng)安全：

非常時期實行7:30-22:30有人值守的值班制度技術(shù)部負(fù)責(zé)人實行24小時備班制度。?？傊蛋嗍抑蛋嗳藛T館領(lǐng)導(dǎo)信息化辦公室校長辦公室技術(shù)部負(fù)責(zé)人校武保處學(xué)?；蚬炯夹g(shù)人員第一時間（保護(hù)現(xiàn)場或及時恢復(fù)系統(tǒng)）（按緊急預(yù)案組織恢復(fù)性搶修）（按值班工作職責(zé)監(jiān)控和報告）非工作日時段發(fā)現(xiàn)重大安全事故或隱患時第一時間（技術(shù)指導(dǎo)）（協(xié)調(diào)指導(dǎo)）（及時查處和匯報）

分管校領(lǐng)導(dǎo)市教委辦公室匯報網(wǎng)絡(luò)與信息安全緊急突發(fā)事件報告與處理流程圖

（負(fù)責(zé)及時匯報）二、提高IT系統(tǒng)供應(yīng)和集成商的保障力度1.對網(wǎng)絡(luò)設(shè)備和服務(wù)器、UPS供電系統(tǒng)、機(jī)房空調(diào)系統(tǒng)、消防系統(tǒng)等主機(jī)房內(nèi)的主要設(shè)施實行每月1次的巡檢，每季度1次的保養(yǎng)。2.對有故障的設(shè)備做到及時維修、并保障備機(jī)數(shù)量。3.對所有關(guān)鍵的軟硬件設(shè)備在采購時即做到3-5年免費(fèi)維保。三、增強(qiáng)技術(shù)管理部門的內(nèi)涵建設(shè)圖書館技術(shù)管理部門應(yīng)加強(qiáng)內(nèi)涵建設(shè)：（1）重視技術(shù)文檔的規(guī)范化：從規(guī)范理線開始，讓館內(nèi)網(wǎng)絡(luò)、機(jī)房設(shè)備及配架布局做到清晰規(guī)范，并形成技術(shù)文檔備查。（2）學(xué)習(xí)信息安全保障技術(shù)，提高技術(shù)人員對系統(tǒng)安全隱患的排查和處置能力。（3）技術(shù)部門應(yīng)通過多種形式的宣傳和引導(dǎo)手段，帶動全體館員提高信息安全意識，遵守信息安全管理制度，避免出現(xiàn)安全事故。四、落實信息安全等級保護(hù)為確保應(yīng)用系統(tǒng)安全，對應(yīng)用系統(tǒng)應(yīng)進(jìn)行安全等級保護(hù)劃分，對重要關(guān)鍵的應(yīng)用系統(tǒng)進(jìn)行安全等級備案和合規(guī)性測評，確保關(guān)鍵系統(tǒng)的信息安全。

制定《信息系統(tǒng)安全運(yùn)維技術(shù)操作規(guī)程》，重要系統(tǒng)指定專人維護(hù)，確保信息系統(tǒng)日常運(yùn)維的合規(guī)性。五、認(rèn)真對待應(yīng)急預(yù)案，做好演練工作按應(yīng)用系統(tǒng)整理并制訂《系統(tǒng)故障應(yīng)急處置預(yù)案》，做到一案一立，并打印成冊備用。平時做好預(yù)案演練工作，明確演練次數(shù)及時間，明確演練責(zé)任人、確保應(yīng)急方案有效實施。技術(shù)上不斷改進(jìn)預(yù)案，提高應(yīng)急實施能力和技術(shù)水平。六、信息安全時時總結(jié)，時時在心圖書館技術(shù)部可以基于系統(tǒng)運(yùn)維日志建立《安全運(yùn)維大事記》。在日常工作例會中，對信息系