基于STRIDE威胁模型的高校关键业务系统潜在风险分析及对策研究

陈单英 任凤君 黄 磊 张小霞

（福建医科大学，福建福州，350122）

基于STRIDE威胁模型的高校关键业务系统潜在风险分析及对策研究

陈单英 任凤君 黄 磊 张小霞

（福建医科大学，福建福州，350122）

解决高校关键业务系统潜在的风险和漏洞的方法有很多种，现利用STRIDE威胁模型对高校关键业务系统所面临的威胁进行实践研究。通过建立STRIDE安全威胁模型，对关键业务系统的数据流进行梳理和风险分析，量化和细化各类安全威胁，并结合OWASP TOP 10进行漏洞验证，进而有针对性地提出各类威胁相应的解决方法和应对策略。

威胁；STRIDE威胁模型；安全性；数据流

引言

近年来，随着国家对教育事业的支持和投入不断增加，高等教育从深度和广度上都有了显著的发展和提高。信息化、网络与计算机技术的不断发展也为教育事业提供了强有力的支持手段，为教育模式的创新、先进教育理念的实现提供了可靠的实现方法。高校信息化主要以数字化校园建设为主，主要内容包括校园信息管理系统、数据中心、统一信息门户、统一身份认证、校园一卡通、网络安全体系等[1]。在高校对外开放度不断提高，信息化建设高速发展的背景下，高校关键业务系统的安全风险日渐凸显。信息系统的安全风险使一些不法分子入侵学校信息系统有了可乘之机，信息系统的安全漏洞的风险造成学生和教职工的信息泄露已经严重影响了广大师生的工作和生活，给师生带来了严重的困扰。如何杜绝此类现象的发生，在信息系统正式运行过程中，对其每个流程的关键业务点的安全风险和漏洞进行评估，消除安全风险是高校信息安全面临的重要的任务之一。……