SCI论文（www.lunwensci.com）:
摘要：高校图书馆作为学校的文献信息资源中心，拥有大量异构的网络服务，为数据中心的网络安全管理带来巨大的挑战。文章分析了高校图书馆的网络服务类型，并以北京大学图书馆开展的漏洞扫描和安全渗透测试为例，分析了当前高校图书馆数据中心面临的网络安全风险，并对应该开展的对策进行了探讨。
关键词：图书馆数据中心；网络安全；漏洞扫描；渗透测试
本文引用格式：张乃帅.高校图书馆数据中心网络安全现状分析与对策探讨——以北京大学图书馆为例[J].教育现代化,2019,6(26):149-151.
Analysis on the Status of Network Security of University Library and the Countermeasures--Taking Peking University Library as an Example
ZHANG Nai-shuai
(Library of Peking University,Beijing)
Abstract：As the information resource center of colleges and universities,the library has a large number of heterogeneous network services,which brings great challenges to network security management of the library datacenter.Based on the experience of the vulnerability scanning and security penetration testing conducted by Peking University Library，this paper analyzes the network security risks faced by university library datacenters,and discusses the countermeasures that should be carried out.
Key words:Library datacenter；Network security;Vulnerability scanning;Penetration testing
高等学校图书馆是学校的文献信息资源中心，是为人才培养和科学研究服务的学术性机构，是学校信息化建设的重要组成部分，是大学文化建设的重要基地[1]。为了满足学校的教学、科研需求，高校图书馆引进了大量的数字资源和业务系统，自建了为数众多的特色数据库。这些数字资源及业务系统，在为教学科研提供便利的同时，也为图书馆数据中心的网络安全管理带来了巨大的挑战。本文以北京大学图书馆数据中心在网络安全管理方面的实践为例，分析高校图书馆数据中心面临的网络安全现状，旨在为高校图书馆网络安全管理提供参考。
一 图书馆网络服务分类
通过分析高校图书馆所购买和使用的数字资源和业务系统,可大致将图书馆提供的网络服务（以下将网络版数字资源、特色资源、业务系统等通过网络提供读者服务或馆内服务的资源平台等统称为网络服务）分为以下四类。
（一）在线数字资源
在线数字资源运行于数字资源提供商的服务器上，高校图书馆作为订阅用户，只需访问数字资源平台，无需进行任何的维护及安全更新。目前高校图书馆订阅的大部分数字资源尤其是外文数字资源均属于此种类型。
(二)镜像数字资源
镜像数字资源是指运行于图书馆服务器上的商业数据资源，这类资源又可分为两类，一类是仅运行于图书馆服务器上、数字资源提供商不提供在线版本，另一类是既提供在线版本、又在图书馆服务器上部署一套与在线版完全一致的镜像版本，供校内读者使用。古文献类资源有较高比例为镜像资源。随着教育部对于规范和加强直属高校国有资产管理要求的不断提高[2]，越来越多的数字资源被部署到图书馆服务器上，作为国有资产进行管理。
(三)自主开发的特色资源库
特色资源库由图书馆根据馆藏特色资源的使用和展示需求，自主开发特色资源平台，并进行特色资源加工与展示。各图书馆自主建设的特藏库、机构知识库等均属此类。
（四）图书馆业务支撑系统
业务支撑系统是指用于支撑图书馆正常运行、对外提供服务的各类业务系统。包括图书自动化管理系统、门禁系统、一卡通系统、OA系统、邮件系统等。
从以上分类可以看出，图书馆数据中心主要承担镜像数字资源、自主开发的特色资源库及图书馆业务支撑系统的保障工作。这部分网络服务类型多样，即包括外购的数字资源及业务系统，也包括自主开发的特色资源原库；即包括封闭的商业产品，也包括基于开源系统开发的业务系统；即包括技术过时、已在线运行十余年的网络服务，也包括持续不断上线的各类新服务。为数众多且异构的网络服务，使用的技术各不相同，也表现出不同的网络安全特点。
二 数据中心网络安全现状
为了确切了解高校图书馆数据中心的网络安全现状，有必要对各类网络服务进行网络安全扫描和安全渗透测试，以了解存在的网络安全漏洞，分析漏洞危害并进行有针对性的修复整改。由于未经授权利用技术手段尝试攻击、破解、获取网络信息系统的数据及权限属于违法行为，本文将以北京大学图书馆（以下简称北大图书馆）内部进行的漏洞扫描和安全渗透测试结果为例，分析高校图书馆数据中心所面临的网络安全威胁，以期引起高校图书馆对网络安全的重视，加强网络安全防范措施，降低被攻击的安全风险。
由于漏洞扫描和安全渗透测试需要专业的网络安全设备及安全渗透测试技术，需要花费大量的人力、财力、物力及时间，北大图书馆本次选取了部分重要的、面向全球提供服务的站点进行了漏洞扫描和渗透测试，共发现以下几类严重危害网站安全的高危漏洞。本次北大图书馆发现的漏洞虽已修复，为避免相同漏洞被利用于其他采用相同平台但尚未修复漏洞的高校图书馆，本文将不明确指出相关产品名称。
（一）SQL注入漏洞
SQL全称是结构化查询语言（Structured Query Language）,SQL注入是一种将恶意的SQL代码插入或添加到应用的输入参数的攻击。攻击者探测出开发者编程过程中的漏洞,利用这些漏洞,巧妙的构造SQL语句,获取到数据库中的敏感信息，甚至对数据库系统的内容进行直接检索或修改[3]。SQL注入漏洞一旦被黑客利用，将会产生用户隐私信息大量泄露、特定网页被篡改、嵌入木马链接甚至提取服务器管理权限从而控制服务器等大量危害。本次发现SQL注入漏洞的服务，包括了期刊编辑界大量使用的期刊平台、高校图书馆统计类数据库、某期刊存档数据库等。通过SQL注入漏洞，均获取到了用于连接数据库的用户名、数据库角色等信息，甚至获取到了其中一个用户为DBA（Database Administrator）权限，一旦被利用，整个数据库的信息都有可能被非法获取或篡改。
（二）XSS漏洞
XSS全称跨站脚本攻击（Cross Site Scripting），攻击者在web页面插入恶意的Script代码，当用户浏览该页时，嵌入Web页面中的Script代码会被执行，从而达到恶意攻击用户的特殊目的。常见的XSS漏洞分为反射型XSS和储存型XSS。反射型XSS漏洞需要发送一个包含了嵌入式JavaScript代码的请求，随后这些代码被反射给了发出请求的用户，因此被称为反射型XSS。存储型XSS漏洞则是攻击脚本被存储到服务器数据库或文件中，用户访问含有攻击脚本的“正常”页面即会被攻击，隐蔽性更高，危害更大。通过XSS漏洞，攻击者可以获取用户的Cookie从而以用户身份登录、篡改网页、植入木马、获取内网信息进行内网攻击等。本次渗透测试过程中，发现某机构仓储类站点存在存储型XSS漏洞，并可通过该漏洞获取登录用户的身份信息。以获取到的身份信息登录该站点，可以修改身份被盗用户的学术背景信息、科研成果信息等，甚至发布违法言论，将会对科研人员的学术声誉及学校声誉造成严重影响。
（三）越权漏洞
越权漏洞属于逻辑安全漏洞，是由于服务器端缺少对用户操作权限的判定，导致用户错误地拥有了其他账户的增、删、改、查功能，从而导致逾越用户自身应有权限的漏洞。越权漏洞可分为平行越权和水平越权。平行越权是指通过遍历用户ID，可以查看其他用户的敏感信息并可对其进行删除修改。垂直越权是指通过改变用户ID从而获得高权限用户管理权限，从而用于审核、发布等权限。本次渗透测试中发现某学位论文库中存在越权漏洞，通过更改ID即可修改删除其他用户提交的学位论文数据及文件。一旦被某一用户利用，将有可能导致整个站点数据被篡改，后果不可想象。
（四）操作系统漏洞
操作系统漏洞是指操作系统本身存在的问题或者技术缺陷。操作系统漏洞的特点是特征明显、危害巨大。一旦某一漏洞被黑客利用，漏洞危害将在全球范围内大规模传播。2017年全球范围爆发的勒索病毒，最初即是通过微软Windows SMB漏洞大规模传播的，在全球范围内造成了难以估量的经济损失。北大图书馆在本次漏洞扫描中发现某期刊镜像站点存在Windows SMB远程代码执行漏洞，通过安装最新Windows补丁得以解决。
三 对策探讨
从以上漏洞扫描和渗透测试结果可以看出，高校图书馆数据中心面临着多种网络安全风险的威胁，任一形式的漏洞爆发都足以影响数据中心内部的数据安全，甚至影响到图书馆提供的文献资源服务。加强数据中心的网络安全防范体系建设，有助于提高图书馆的服务保障能力，切实将线上图书馆延伸至读者身边。高校图书馆应针对自身网络特点，构建符合各自馆情的数据中心安全防御机制，开展馆内多部门合作，将网络安全提升到战略层面，并寻求开展馆际合作，共同提高高校图书馆的网络安全防护水平。
（一）构建基于防火墙的多层访问控制机制
根据网络架构及特点，构建以网络防火墙和Web应用防火墙为主体的多层访问控制体系。通过网络防火墙实施网络层的访问控制，禁止馆外地址使用RDP协议访问馆内主机及服务器、禁止连接SSH默认的22端口、禁止访问SMB协议对应的端口等，从网络层拒绝高风险协议的连接；通过Web应用防火墙过滤HTTP协议请求，抵御潜在的SQL注入漏洞攻击和XSS漏洞攻击。
（二）构建以内网更新服务器为基础的定时更新机制
高校图书馆不同于公共图书馆，提供的服务主要面向校内读者，大部分服务器仅需提供校内访问即可，无需面向互联网提供服务。相应地，这部分服务器无需具备互联网访问权限。为尽量降低操作系统漏洞带来的安全风险，应建立定时更新机制，及时更新操作系统补丁。构建内网更新服务器，即能满足无互联网访问权限的服务器的更新需求，还有助于降低网络出口流量，减少拥塞，提高图书馆提供服务的访问速度。
（三）构建完善的备份机制
严密的访问控制并不代表数据中心内部绝对安全，为数众多的网络服务仍有可能因各类不断爆发的网络安全漏洞遭到攻击。构建完善的备份机制，确保网络服务因被攻击出现数据丢失时可以进行有效的数据恢复，保障数据中心提供稳定的网络服务。
（四）加强馆员的网络安全意识
切实提高馆员尤其是参与软件开发馆员的网络安全意识，定期组织网络安全培训，确保在进行系统开发过程中，除实现基本的功能需求外，还应满足网络安全的相关要求。涉及用户操作的功能应首先进行鉴权，规避越权漏洞，并对涉及用户交互的功能进行充分的隔离过滤，杜绝SQL注入漏洞及XSS漏洞的出现。
（五）探索先漏洞扫描后订购的文献资源建设机制
传统的数字文献资源建设流程是资源建设部门根据本馆文献资源建设布局评估与订购数字文献资源，将需要安装本地镜像的资源交给技术部门部署于数据中心，使用过程中发现网络安全漏洞再采取技术措施修复或者封堵漏洞。这种方式属于被动防御方式。应探索主动进攻的漏洞发现机制，资源建设部门在订购前要求资源提供商提交漏洞扫描报告，确保镜像资源没有已知漏洞后再签订订购协议。进一步地，应将这种主动进攻的漏洞发现机制向高校图书馆界推广，寻求相应的联盟如高校图书馆数字资源采购联盟（DRAA）支持，通过联盟机制向数字资源提供商提出要求，促使资源提供商主动提高数字资源平台的网络安全特性，形成高校图书馆与数字资源提供商共同受益的双赢局面。
（六）探索漏洞通报机制
高校图书馆订购的数字资源及其平台，有很多是相同的，一旦其中一所高校图书馆发现某一资源中存在网络安全漏洞，则其他高校图书馆也将受到影响。因此，各个高校图书馆要联手探索图书馆界的漏洞通报机制，某一所高校图书馆发现网络安全漏洞，则上报至漏洞通报平台，漏洞通报平台自动推送提醒消息给所有的高校订购馆，收到提醒的图书馆可联系资源提供商修复漏洞或者采取其他技术手段封堵漏洞。这一机制不但有利于全面提高全国高校图书馆的网络安全水平，还能节约国有经费，避免各高校独自花费大量人力财力物力挖掘修复相同的漏洞。
四 结语
通过前述分析可以看出，高校图书馆数据中心存在比较严重的网络安全隐患，目前还处于被动防御阶段。《中华人民共和国网络安全法》的实施标志着网络安全已上升至国家战略层面，高校图书馆也应引起足够重视。近日，有些移动图书馆馆藏书目查询平台被境外黑客组织攻击，也再次为图书馆数据中心的网络安全形势敲响警钟。高校图书馆应立即行动起来，加强数据中心网络安全防护措施，提升网络安全战略级别，寻求馆际合作，共同应对网络安全危机。
参考文献
[1]教育部.教育部关于印发《普通高等学校图书馆规程》的通知[EB/OL].[2016-01-04].http://www.moe.gov.cn/srcsite/A08/moe_736/s3886/201601/t20160120_228487.html
[2]教育部.教育部关于规范和加强直属高校国有资产管理的若干意见[EB/OL].[2017-12-28].http://www.moe.edu.cn/srcsite/A05/s7504/201802/t20180205_326755.html
[3]张晓翠.基于SQL注入漏洞的渗透测试技术研究[J].电子世界，2018（14）:62+66
关注SCI论文创作发表，寻求SCI论文修改润色、SCI论文代发表等服务支撑，请锁定SCI论文网！ 文章出自SCI论文网转载请注明出处：https://www.lunwensci.com/jiaoyulunwen/9210.html
