目前，在高校內部和外部的業(yè)務系統(tǒng)中，基于Web和數(shù)據(jù)庫結合的B/S架構應用已經得到廣泛應用，與此同時，越來越多的Web系統(tǒng)也因為存在安全隱患而頻繁遭受到各種攻擊。學校及其各院系部處中心的Web網站是各部門對外的窗口和形象，尤其如招生就業(yè)、政策數(shù)據(jù)決策研究等具有社會影響的網站，應該采取必要的信息安全保護措施。
由于針對Web系統(tǒng)前端，防火墻、入侵防御等網絡安全設備已被廣泛部署，網絡訪問控制策略設置也頗為嚴格，黑客已經難以通過傳統(tǒng)網絡層攻擊方式（查找并攻擊操作系統(tǒng)漏洞、數(shù)據(jù)庫漏洞）來攻擊網站；然而，隨著Web應用技術的深入普及，Web應用程序漏洞發(fā)掘和攻擊速度越來越快，基于Web漏洞的攻擊更容易被利用，已經成為黑客首選。
? 高校網站運維方面存在的主要問題
1.缺乏專業(yè)、系統(tǒng)的網站建設運維體系
? 高校網站建設水平參差不齊，網站的建設運維也比較混亂。建站系統(tǒng)不同，網站維護人員流動性高，由學生建設的，也有專門的網站建設廠商來建設的，采用的系統(tǒng)也不是很專業(yè)，有的系統(tǒng)本身就帶有漏洞。網站的安全防護和日常運維各自為政，難成體系。
2.網站多，站點數(shù)量龐大
? 一般來說，高校網站少則幾百個，多則上千個，站點數(shù)量龐大，有序安全的管理顯得尤為重要，這也是高校區(qū)別于其他行業(yè)需要對網站建設運維格外關注的主要原因之一。
?? 3.運行分散
?? 各個部門、學術機構的運行環(huán)境不同，有統(tǒng)一托管的，有采用云服務的，還有自建機房，甚至有的直接放置于自己的辦公室。分散的環(huán)境不利于管理，但是短期內卻無法統(tǒng)一。
? 4.內容維護缺乏有效監(jiān)管
很多高校網站的論壇隨意建立，無人管理，內容監(jiān)管混亂。
高校網站群安全防護原則
?? 遵循相關政策標準及法規(guī)要求
近年來，隨著高校信息安全事故頻頻見諸報端，國家對高校信息及網絡安全尤其重視。為加強高校信息安全防護，國家出臺了信息安全等保要求，高校信息安全需達到信息安全等保三級要求。高校網站安全設計要符合國家有關標準、法規(guī)要求，符合國家對高校信息安全系統(tǒng)的等級保護技術規(guī)范與管理要求_博達高校網站群管理平臺。
? 對信息安全進行均衡全面的保護
? 如果要提升整個系統(tǒng)的整體安全水平，那么就勢必要從系統(tǒng)當中最為薄弱的環(huán)節(jié)入手加以保護。因此，充分、全面、完整地對系統(tǒng)的安全漏洞和安全威脅進行分析，評估和檢測（包括模擬攻擊）是設計信息安全系統(tǒng)的必要前提條件。
? 技術和制度建設雙管齊下
信息安全保障體系是一個復雜的系統(tǒng)工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現(xiàn)。因此，必須將各種安全技術與運行管理機制、人員思想教育與技術培訓、安全規(guī)章制度建設相結合。
高校網站群安全防護具體應對方法
1.加強事前防范，進行安全風險識別
?? 據(jù)了解，學校管理網站總數(shù)超過50個時，應在校園網絡部署Web遠程安全掃描系統(tǒng)；如果校內服務器數(shù)超過50臺，則應部署服務器掃描系統(tǒng)。服務器掃描系統(tǒng)針對服務器漏洞進行探測掃描，Web遠程安全掃描系統(tǒng)主要針對Web頁面（掛馬、暗鏈等）進行掃描。
掃描結果可以提前展示信息系統(tǒng)存在的安全漏洞、安全配置問題、應用系統(tǒng)安全漏洞，檢查系統(tǒng)存在的弱口令，收集系統(tǒng)不必要開放的賬號、服務、端口，形成整體安全風險報告，幫助安全管理人員先于攻擊者發(fā)現(xiàn)安全問題，及時進行修補。全面滿足重大時期緊急安全檢查工作的需求和有效應對等級保護測評。
?? 2.部署web應用防火墻???
學校如果有三級（含）以上網站系統(tǒng)，或者集中網站的總數(shù)超過30個，應在信息系統(tǒng)前端部署Web應用防火墻（也稱為WAF），WAF這一防御系統(tǒng)能夠保護各網站Web服務器免受應用級入侵，它彌補了網絡防火墻、IPS這類安全設備對Web應用攻擊防護能力不足的問題，可及時發(fā)現(xiàn)網站可能發(fā)生的頁面篡改等安全事件，保證Web服務器的安全運營。
3.防止網頁內容篡改
各個高?；径加凶约旱闹黜摚撁鎯热荼淮鄹氖歉咝＞W站經常會面臨的攻擊行為。網頁內容的改變包括：文字、圖片或者正常字母組成的標語，變換范圍可能是小局部，這些很難靠機器全部識別，但對高校形象造成不良影響，所以應具有保證網頁內容安全的措施：安裝網頁防篡改系統(tǒng)或者購買遠程實時監(jiān)控的服務。
?? 4.加強網站安全管理制度建設
高校網站群安全管理制度應包括網站的建設、維護、備案、應急等方面，制度由學校發(fā)布并由信息安全部門監(jiān)督執(zhí)行。從安全策略主文檔中規(guī)定的安全各個方面所應遵守的原則方法和指導性策略引出的具體管理規(guī)定、管理辦法和實施辦法，是具體有可操作性，且必須得到有效推行和實施的制度。制定嚴格的制定與發(fā)布流程、方式和范圍等。定期對安全管理制度進行評審和修訂，修訂不足及進行改進。
?? 利用管理制度以及學校安全管理中心進行系統(tǒng)統(tǒng)一、高效的運維管理。包括：環(huán)境管理、資產管理、介質管理、設備管理、網絡安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復管理，安全事件處置、應急預案管理等，使系統(tǒng)始終處于相應的安全狀態(tài)中。

?