学校各单位：

网络安全是信息系统（网站）的生命线，各单位在推进 信息化建设过程中，务必时刻紧绷安全之弦，保持高度警惕， 完善防护措施，强化教育培训。近期学校多次收到教育部、省委网信办、省公安厅、省通管局信息系统（网站）网 络存在弱口令、木马后门植入、数据库身份验证、FTP 匿名 访问等网络安全风险的通报。为加强信息系统（网站）安全， 提升我省教育系统网络安全保障能力，请各单位根据通报的 网络安全风险开展自查整改。

1.弱口令 风险等级：高 风险描述：未对密码设置策略进行强制要求，用户使用 弱口令、通用口令，账户被黑客破解并控制，造成信息泄露， 发布欺骗信息、恶意文件、钓鱼邮件等问题，产生严重的后 果及影响。 修复建议：设定强制密码策略，密码至少由数字、字母、 符号等三种字符组合、长度不少于 12 位；定期更换密码； 禁用长期未登录账户和已离职人员账户；增加多因素验证机 制。

2.木马后门植入

风险等级：高风险描述：木马植入是攻击者通过技术手段将木马程序 上传于服务器中，对被感染木马病毒的计算机实施操作并取 得网站或服务器管理员权限，一般木马植入会伴随系统本身 存在的漏洞、脆弱性配置、弱口令等其他威胁。 修复建议：定期开展木马查杀，删除被植入的后门木马， 并通过检查日志文件查明入侵途径及影响危害。及时修复网 站或服务器漏洞，对服务器上传文件类型进行检验和限制。

3.数据库身份验证 风险等级：高 风险描述：数据库未设置身份验证，造成默认用户或空 密码，外部人员无需认证便可以任意访问内部数据，造成用 户名、密码等敏感信息泄露。 修复建议：在数据库配置中开启认证机制并设置强口令， 对访问数据库 IP 进行白名单限制。

4.FTP 匿名访问 风险等级：高 风险描述：目标服务器对外开放了 FTP 服务，并未对 FTP 设置权限认证，导致任意用户未经过认证便可访问相关服务， 造成敏感信息泄露。 修复建议：对外开放服务设定权限验证，对长期未使用、 未维护的系统进行关闭处理，定期检查防火墙映射关系，及 时发现对外开放的高危端口。

5.补丁升级 风险等级：高风险详情：应用程序、WEB 中间件版本过低或已安装版 本存在安全漏洞时，黑客可通过程序缺陷进行命令执行、拒 绝服务攻击、反序列化等多种攻击获取网站服务器权限。 修复建议：关注厂商发布的更新动态，及时安装补丁和 升级软件版本。

信息化中心