高校图书馆数据中心网络安全现状分析与对策探讨
——以北京大学图书馆为例
张乃帅
（北京大学 图书馆，北京）
摘 要： 高校图书馆作为学校的文献信息资源中心，拥有大量异构的网络服务，为数据中心的网络安全管理带来巨大的挑战。文章分析了高校图书馆的网络服务类型，并以北京大学图书馆开展的漏洞扫描和安全渗透测试为例，分析了当前高校图书馆数据中心面临的网络安全风险，并对应该开展的对策进行了探讨。
关键词： 图书馆数据中心；网络安全；漏洞扫描；渗透测试
高等学校图书馆是学校的文献信息资源中心，是为人才培养和科学研究服务的学术性机构，是学校信息化建设的重要组成部分，是大学文化建设的重要基地[1]。为了满足学校的教学、科研需求，高校图书馆引进了大量的数字资源和业务系统，自建了为数众多的特色数据库。这些数字资源及业务系统，在为教学科研提供便利的同时，也为图书馆数据中心的网络安全管理带来了巨大的挑战。本文以北京大学图书馆数据中心在网络安全管理方面的实践为例，分析高校图书馆数据中心面临的网络安全现状，旨在为高校图书馆网络安全管理提供参考。
最好玩的就是iPad了。令人走火入魔的游戏，大快人心的漫画，搞笑的视频段子，都是我的最爱。还等什么？上手就玩“吃鸡”。不过我很有自觉性，只有老妈看不到，才能想玩多久就玩多久。再好吃的鸡，也有吃撑的时候，这会儿我已头晕目眩，站不起身。
一 图书馆网络服务分类
通过分析高校图书馆所购买和使用的数字资源和业务系统,可大致将图书馆提供的网络服务（以下将网络版数字资源、特色资源、业务系统等通过网络提供读者服务或馆内服务的资源平台等统称为网络服务）分为以下四类。
（一） 在线数字资源
在线数字资源运行于数字资源提供商的服务器上，高校图书馆作为订阅用户，只需访问数字资源平台，无需进行任何的维护及安全更新。目前高校图书馆订阅的大部分数字资源尤其是外文数字资源均属于此种类型。
(二）镜像数字资源
镜像数字资源是指运行于图书馆服务器上的商业数据资源，这类资源又可分为两类，一类是仅运行于图书馆服务器上、数字资源提供商不提供在线版本，另一类是既提供在线版本、又在图书馆服务器上部署一套与在线版完全一致的镜像版本，供校内读者使用。古文献类资源有较高比例为镜像资源。随着教育部对于规范和加强直属高校国有资产管理要求的不断提高[2]，越来越多的数字资源被部署到图书馆服务器上，作为国有资产进行管理。
(三）自主开发的特色资源库
XSS全称跨站脚本攻击（Cross Site Scripting），攻击者在web页面插入恶意的Script代码，当用户浏览该页时，嵌入Web页面中的Script代码会被执行，从而达到恶意攻击用户的特殊目的。常见的XSS漏洞分为反射型XSS和储存型XSS。反射型XSS漏洞需要发送一个包含了嵌入式JavaScript代码的请求，随后这些代码被反射给了发出请求的用户，因此被称为反射型XSS。存储型XSS漏洞则是攻击脚本被存储到服务器数据库或文件中，用户访问含有攻击脚本的“正常”页面即会被攻击，隐蔽性更高，危害更大。通过XSS漏洞，攻击者可以获取用户的Cookie从而以用户身份登录、篡改网页、植入木马、获取内网信息进行内网攻击等。本次渗透测试过程中，发现某机构仓储类站点存在存储型XSS漏洞，并可通过该漏洞获取登录用户的身份信息。以获取到的身份信息登录该站点，可以修改身份被盗用户的学术背景信息、科研成果信息等，甚至发布违法言论，将会对科研人员的学术声誉及学校声誉造成严重影响。
由于漏洞扫描和安全渗透测试需要专业的网络安全设备及安全渗透测试技术，需要花费大量的人力、财力、物力及时间，北大图书馆本次选取了部分重要的、面向全球提供服务的站点进行了漏洞扫描和渗透测试，共发现以下几类严重危害网站安全的高危漏洞。本次北大图书馆发现的漏洞虽已修复，为避免相同漏洞被利用于其他采用相同平台但尚未修复漏洞的高校图书馆，本文将不明确指出相关产品名称。
（四） 图书馆业务支撑系统
业务支撑系统是指用于支撑图书馆正常运行、对外提供服务的各类业务系统。包括图书自动化管理系统、门禁系统、一卡通系统、OA系统、邮件系统等。
辣椒的辣感来源于果实所含辛辣成分如辣椒碱、二氢辣椒碱、降二氢辣椒碱、高辣椒碱、高二氢辣椒碱等；另外如壬酰香荚兰胺、辛酰香荚兰胺等决定了辣椒特殊的体香；而诱人的肤色则是依靠内在有辣椒红素、隐黄素、辣椒玉红素等的衬托；而胡萝卜素、维生素C、柠檬酸、酒石酸、苹果酸变成了它的钗头凤。
操作系统漏洞是指操作系统本身存在的问题或者技术缺陷。操作系统漏洞的特点是特征明显、危害巨大。一旦某一漏洞被黑客利用，漏洞危害将在全球范围内大规模传播。2017年全球范围爆发的勒索病毒，最初即是通过微软Windows SMB漏洞大规模传播的，在全球范围内造成了难以估量的经济损失。北大图书馆在本次漏洞扫描中发现某期刊镜像站点存在Windows SMB远程代码执行漏洞，通过安装最新Windows补丁得以解决。
二 数据中心网络安全现状
为了确切了解高校图书馆数据中心的网络安全现状，有必要对各类网络服务进行网络安全扫描和安全渗透测试，以了解存在的网络安全漏洞，分析漏洞危害并进行有针对性的修复整改。由于未经授权利用技术手段尝试攻击、破解、获取网络信息系统的数据及权限属于违法行为，本文将以北京大学图书馆（以下简称北大图书馆）内部进行的漏洞扫描和安全渗透测试结果为例，分析高校图书馆数据中心所面临的网络安全威胁，以期引起高校图书馆对网络安全的重视，加强网络安全防范措施，降低被攻击的安全风险。
从以上分类可以看出，图书馆数据中心主要承担镜像数字资源、自主开发的特色资源库及图书馆业务支撑系统的保障工作。这部分网络服务类型多样，即包括外购的数字资源及业务系统，也包括自主开发的特色资源原库；即包括封闭的商业产品，也包括基于开源系统开发的业务系统；即包括技术过时、已在线运行十余年的网络服务，也包括持续不断上线的各类新服务。为数众多且异构的网络服务，使用的技术各不相同，也表现出不同的网络安全特点。
背着母亲，我偷偷到父亲出事的现场去了几次，每次都待上很长的时间。父亲在我心中的无名英雄形象，变成了一个用白色漆线勾勒在柏油路面上的空白轮廓，肢体虽然扭曲，但是依然完整。南来北往的车辆不断地从父亲的轮廓上压辗而过，每压一回，关于父亲的生前种种便更加清晰起来。父亲依旧活在我的心中，依然继续为我增添新的记忆，只是不再与我分担新的悲伤。蹲在父亲的身旁时，我不止一次地想起那个在夜市口卖蒸饺的老人。有时，我甚至有一个冲动，想要把父亲的死讯告诉他；我知道这一切都与他无干，我只是想看看他听到我的述说之后，在一阵阵的白色蒸汽包围下，依旧两眼茫茫，仿佛世事原本并无可喜，亦无甚可悲的模样。
（一） SQL注入漏洞
越权漏洞属于逻辑安全漏洞，是由于服务器端缺少对用户操作权限的判定，导致用户错误地拥有了其他账户的增、删、改、查功能，从而导致逾越用户自身应有权限的漏洞。越权漏洞可分为平行越权和水平越权。平行越权是指通过遍历用户ID，可以查看其他用户的敏感信息并可对其进行删除修改。垂直越权是指通过改变用户ID从而获得高权限用户管理权限，从而用于审核、发布等权限。本次渗透测试中发现某学位论文库中存在越权漏洞，通过更改ID即可修改删除其他用户提交的学位论文数据及文件。一旦被某一用户利用，将有可能导致整个站点数据被篡改，后果不可想象。
（二） XSS漏洞
特色资源库由图书馆根据馆藏特色资源的使用和展示需求，自主开发特色资源平台，并进行特色资源加工与展示。各图书馆自主建设的特藏库、机构知识库等均属此类。
（三） 越权漏洞
SQL全称是结构化查询语言（Structured Query Language）, SQL注入是一种将恶意的SQL代码插入或添加到应用的输入参数的攻击。攻击者探测出开发者编程过程中的漏洞, 利用这些漏洞, 巧妙的构造SQL语句, 获取到数据库中的敏感信息，甚至对数据库系统的内容进行直接检索或修改[3]。SQL注入漏洞一旦被黑客利用，将会产生用户隐私信息大量泄露、特定网页被篡改、嵌入木马链接甚至提取服务器管理权限从而控制服务器等大量危害。本次发现SQL注入漏洞的服务，包括了期刊编辑界大量使用的期刊平台、高校图书馆统计类数据库、某期刊存档数据库等。通过SQL注入漏洞，均获取到了用于连接数据库的用户名、数据库角色等信息，甚至获取到了其中一个用户为DBA（Database Administrator）权限，一旦被利用，整个数据库的信息都有可能被非法获取或篡改。
4)联合速度控制的使用，减少了制动器使用频率，从而降低了车辆制动噪声和摩擦材料的排放，有利于保护环境。
（四） 操作系统漏洞
减速机行业是一个不容易产生大变革的传统行业，而继续创新始终是杭州诠世的目标和动力。众所周知，随着市场竞争的加剧尤其是客户需求的不断升级，现如今减速机产品也面临着响应时间缩短、灵活性提高、可靠性更稳定等要求，但不管需求有何变化，诠世都秉承着产品品质始终如一的原则。专注于细分领域，在产品质量提高的同时，大幅降低生产成本。谈及明年的市场目标，寿总乐观的表示，杭州诠世通过不断地创新和对质量的严格把控，预计明年能够实现稳健的增长。
三 对策探讨
从以上漏洞扫描和渗透测试结果可以看出，高校图书馆数据中心面临着多种网络安全风险的威胁，任一形式的漏洞爆发都足以影响数据中心内部的数据安全，甚至影响到图书馆提供的文献资源服务。加强数据中心的网络安全防范体系建设，有助于提高图书馆的服务保障能力，切实将线上图书馆延伸至读者身边。高校图书馆应针对自身网络特点，构建符合各自馆情的数据中心安全防御机制，开展馆内多部门合作，将网络安全提升到战略层面，并寻求开展馆际合作，共同提高高校图书馆的网络安全防护水平。
（一）构建基于防火墙的多层访问控制机制
根据网络架构及特点，构建以网络防火墙和Web应用防火墙为主体的多层访问控制体系。通过网络防火墙实施网络层的访问控制，禁止馆外地址使用RDP协议访问馆内主机及服务器、禁止连接SSH默认的22端口、禁止访问SMB协议对应的端口等，从网络层拒绝高风险协议的连接；通过Web应用防火墙过滤HTTP协议请求，抵御潜在的SQL注入漏洞攻击和XSS漏洞攻击。
（二） 构建以内网更新服务器为基础的定时更新机制
高校图书馆不同于公共图书馆，提供的服务主要面向校内读者，大部分服务器仅需提供校内访问即可，无需面向互联网提供服务。相应地，这部分服务器无需具备互联网访问权限。为尽量降低操作系统漏洞带来的安全风险，应建立定时更新机制，及时更新操作系统补丁。构建内网更新服务器，即能满足无互联网访问权限的服务器的更新需求，还有助于降低网络出口流量，减少拥塞，提高图书馆提供服务的访问速度。
（三） 构建完善的备份机制
严密的访问控制并不代表数据中心内部绝对安全，为数众多的网络服务仍有可能因各类不断爆发的网络安全漏洞遭到攻击。构建完善的备份机制，确保网络服务因被攻击出现数据丢失时可以进行有效的数据恢复，保障数据中心提供稳定的网络服务。
（四） 加强馆员的网络安全意识
切实提高馆员尤其是参与软件开发馆员的网络安全意识，定期组织网络安全培训，确保在进行系统开发过程中，除实现基本的功能需求外，还应满足网络安全的相关要求。涉及用户操作的功能应首先进行鉴权，规避越权漏洞，并对涉及用户交互的功能进行充分的隔离过滤，杜绝SQL注入漏洞及XSS漏洞的出现。
（五） 探索先漏洞扫描后订购的文献资源建设机制
传统的数字文献资源建设流程是资源建设部门根据本馆文献资源建设布局评估与订购数字文献资源，将需要安装本地镜像的资源交给技术部门部署于数据中心，使用过程中发现网络安全漏洞再采取技术措施修复或者封堵漏洞。这种方式属于被动防御方式。应探索主动进攻的漏洞发现机制，资源建设部门在订购前要求资源提供商提交漏洞扫描报告，确保镜像资源没有已知漏洞后再签订订购协议。进一步地，应将这种主动进攻的漏洞发现机制向高校图书馆界推广，寻求相应的联盟如高校图书馆数字资源采购联盟（DRAA）支持，通过联盟机制向数字资源提供商提出要求，促使资源提供商主动提高数字资源平台的网络安全特性，形成高校图书馆与数字资源提供商共同受益的双赢局面。
（六） 探索漏洞通报机制
高校图书馆订购的数字资源及其平台，有很多是相同的，一旦其中一所高校图书馆发现某一资源中存在网络安全漏洞，则其他高校图书馆也将受到影响。因此，各个高校图书馆要联手探索图书馆界的漏洞通报机制，某一所高校图书馆发现网络安全漏洞，则上报至漏洞通报平台，漏洞通报平台自动推送提醒消息给所有的高校订购馆，收到提醒的图书馆可联系资源提供商修复漏洞或者采取其他技术手段封堵漏洞。这一机制不但有利于全面提高全国高校图书馆的网络安全水平，还能节约国有经费，避免各高校独自花费大量人力财力物力挖掘修复相同的漏洞。
（四）摄影藏品“罗苏文摄李铁夫像”，尺寸较大（高83.5厘米，宽55.7厘米），相片右下角有香港著名摄影师罗苏文先生英文签名及“48”二字，是李铁夫晚年形象的经典写照（图17）。
四 结语
通过前述分析可以看出，高校图书馆数据中心存在比较严重的网络安全隐患，目前还处于被动防御阶段。《中华人民共和国网络安全法》的实施标志着网络安全已上升至国家战略层面，高校图书馆也应引起足够重视。近日，有些移动图书馆馆藏书目查询平台被境外黑客组织攻击，也再次为图书馆数据中心的网络安全形势敲响警钟。高校图书馆应立即行动起来，加强数据中心网络安全防护措施，提升网络安全战略级别，寻求馆际合作，共同应对网络安全危机。
参考文献
[1] 教育部.教育部关于印发《普通高等学校图书馆规程》的通知[EB/OL].[2016-01-04]. http://www.moe.gov.cn/srcsite/A08/moe_736/s3886/201601/t20160120_228487.html
[2] 教育部.教育部关于规范和加强直属高校国有资产管理的若干意见[EB/OL].[2017-12-28]. http://www.moe.edu.cn/srcsite/A05/s7504/201802/t20180205_326755.html
[3] 张晓翠.基于SQL注入漏洞的渗透测试技术研究[J] .电子世界，2018（14）: 62+66
Analysis on the Status of Network Security of University Library and the Countermeasures--Taking Peking University Library as an Example
ZHANG Nai-shuai
(Library of Peking University, Beijing)
Abstract： As the information resource center of colleges and universities, the library has a large number of heterogeneous network services, which brings great challenges to network security management of the library datacenter. Based on the experience of the vulnerability scanning and security penetration testing conducted by Peking University Library，this paper analyzes the network security risks faced by university library datacenters, and discusses the countermeasures that should be carried out.
Key words: Library datacenter； Network security; Vulnerability scanning; Penetration testing
本文引用格式： 张乃帅.高校图书馆数据中心网络安全现状分析与对策探讨——以北京大学图书馆为例[J]. 教育现代化,2019,6(26):149-151.
doi： 10.16541/j.cnki.2095-8420.2019.26.054
作者简介 ：张乃帅，北京大学图书馆馆员,计算机硕士，研究方向：图书馆信息化。