网警检测宁波72%政务网站存在安全漏洞

2009/10/28/09:34 来源：中国宁波网作者：崔小明

　　慧聪安防网 一名外语系毕业的大学生，利用自己掌握的简单网络技术，竟然多次侵入宁波市某公司网站，盗窃货款130多万元人民币。这绝不仅是个案，最近，市公安局网警支队民警在检测中发现，宁波市72%的政府网站存在不同程度的安全漏洞。随着信息化进程的全面加快，宁波市机关、企事业单位信息化建设如火如荼，但大多数单位普遍存在重网络建设轻信息安全保护的误区。

　　李某先后五次非法入侵一家单位网站

　　今年7月，海曙区公安机关破获了一起典型的利用互联网入侵计算机系统实施盗窃的案件。去年11月至今年4月间，外语系毕业的犯罪嫌疑人李某偶然发现宁波市某公司网站存在安全漏洞，便先后五次利用技术手段非法入侵该公司网站，修改相关配置文件，盗窃该公司货款130多万元。今年3月，张某、王某等5人4次利用POS机、银联与银行系统信息传递的时间差，套走了18万元。今年上半年，宁波市某医院收费系统突然瘫痪，造成患者无法及时划价取药，酿成一次网络安全事故。去年，市公安局网络警察支队先后三次对全市117家政府网站进行安全检测和漏洞扫描，发现其中85家政府网站存在SQL注入漏洞或XSS跨站攻击漏洞，占被检测单位的72%。今年8月，省公安厅对全省政府网站进行安全检测显示，宁波市有29家政府网站被发现存在SQL注入漏洞或XSS跨站攻击漏洞。

　　大多数网络应用单位安全意识淡薄

　　宁波市公安局网络专家认为，造成网络犯罪、网络安全事故频发的原因，主要是大多数网络应用单位安全意识淡薄，普遍存在重建设、重应用、重发展，轻管理、轻安全、轻防范的现象。一些单位出于资金考虑，愿意花几十万元购买安全产品，却往往不愿意让技术人员参加培训。此外，单位内部控制制度不完善、不健全，没有形成系统化的制度体系，缺乏信息安全监督机制，难以实施网络安全的全面监督。很多网络应用单位的领导有很高的网络访问权限，但他们自己的密码控制并不严谨，给他人留下可乘之机。还有，防范技术手段落后。信息网络应用单位在对网络安全防范工作中，只注重安全产品的叠加，却未形成一套科学有效的网络安全防范制度。为了让信息系统简单和易用，在内网传输的数据往往是不加密的，这就让一些具有专业破密能力的人员能在网络数据传输过程中拦截数据。

　　堵住“安全思想上的漏洞”

　　有关专家认为，做好网络安全防范工作，首先要提高认识，堵住“安全思想上的漏洞”。在建设信息网络时，在人力、物力、财力上增加对安全工作的投入。其次，要完善网络安全管理体系。网络安全七分管理三分技术，有关单位应建立相关组织体系，确保信息网络安全工作有人管、管得好，确保发生网络安全事件时能在第一时间反应，迅速解决问题。再次，实行信息安全等级保护管理制度。定期聘请专业机构对信息系统实施安全测评工作，查找安全漏洞和安全隐患，及时加以改正，确保信息系统在一定范围内安全运转。最后，加强对网络安全管理人员的培训工作。针对技术人员进行定期的网络安全理论培训、安全技术培训、安全产品培训以及本部业务培训是保障信息网络安全的一个必要工作环节。