政府门户网站安全方案

发布日期:2011-07-24首页 > 解决方案

政府门户网站安全防护措施探讨

 

       一、门户网站安全防护的重要性

政府门户网站是各级政府在互联网上的重要窗口,代表了政府的形象,同时也是老百姓了解有关政策、动态信息、实现与政府互动的快捷通道。

政府网站的信息安全防护能力仍处 初级阶段,尚未形成科学、完整、高效、统一的电子政务安全保障体系。国家计算机网络应急技术处理协调中心统计显示,我国各级政府网站仅在2005年就被篡改网页2027次,比2004年多一倍。我们身边所听到的或亲身经历到的网页被篡改事件,大部门还未统计在内,因此实际发生的此类事件远远大于这一统计数据。

门户网站直接或间接地与互联网相联,门户网站所面临的主要安全威胁是黑客入侵、篡改网页、植入木马、抗拒绝服务攻击、数据库注入攻击等。如果政府门户网站受到黑客攻击,轻则页面被篡改、信息被窃取、公众无法正常访问政府门户网站,造成政府形象受损;重则被别有用心的黑客加以利用,在网站上发布虚假疫情、地震信息公告,则会造成严重的政治、社会事件。

因此建立门户网站安全防护体系,是当前网站建设的重要目标之一。

二、传统安全防护的误区

目前大部分政府门户网站在建设的时候都部署了防火墙设备,但是依然有很多网站被黑客入侵,这是因为防火墙虽然有包过滤机制,但因为防火墙主要是工作在网络层,对应用层数据包无法进行深度检查,所以还是无法应对许多恶意行为,例如Unicode攻击、SQL注入攻击等。而且,服务器的操作系统、服务器软件都可能存在未被发现的漏洞,对此,一般防火墙有其缺陷。

另外黑客技术发展很快,各种方式的威胁技术层出不穷,不能单单依靠防火墙来防护,迫切需要专业设备做专业事,并建立一定的联动机制,构成一个立体的安全防护体系。这就象乡村诊所,一个医生能看百病,而到了医疗技术高超的医院,不同的病症要由专业科室来治疗,对于疑难杂症还要请各科专家会诊。

     、安全防护技术措施

门户网站安全防护技术手段,主要从网络安全、系统安全、内容安全三方面来考虑。在网络安全方面,除了防火墙,还应部署网闸、入侵检测、抗拒绝服务攻击措施;在系统安全方面,除了防病毒系统,还应经常进行漏洞扫描、查找系统弱点漏洞、进行内核加固和安装补丁程序;在数据安全方面要在服务器上部署网页防篡改系统用于监视网页运行和被篡改情况的发生。

1、防火墙技术

      防火墙是在不同的安全区域之间设置的安全隔离措施。它可提供接入控制、访问控制、过滤网络之间各种消息的传递等。防火墙是完成逻辑隔离的关键设备,是传统的成熟的安全隔离和访问控制设备。防火墙部署在网络出口处,是第一道基本的必不可少的安全屏障。
 
2、网闸隔离技术
 
      网闸隔离设备很好地解决了网络断开与数据交换的难题。它部署在两个物理隔离的网络边界,在保证两个网络协议中止的情况下,以非网络方式实现数据交换,没有任何包、命令和TCP/IP协议(包括UDP和ICMP)可以穿透网闸。网闸隔离设备较之防火墙设备,其隔离强度更高、效果更好、安全性能更可靠。
        政府部门的行业专网,其核心服务器或核心数据库是整个行业的数据命脉所在,对安全要求非常高,但其数据又要面向互联网提供服务,此时可采用前置服务器(门户网站)对互联网上的用户提供服务,而前置服务器读取核心服务器的数据时,用网闸进行隔离,以保护核心服务器的安全。

3、防病毒技术

病毒传播的主要途径是网络,网络防病毒系统的部署应该由点及面,全方位进行部署,彻底截断病毒入侵的途径。需要部署的防病毒系统可采用网关防病毒、邮件防病毒、服务器防病毒、桌面防病毒等方式进行部署。

4、入侵检测(防护)技术

入侵检测系统是从计算机网络系统中的若干关键点收集信息,并分析这些信息,如果发现有黑客入侵或者入侵前的准备行为(例如对服务器的端口进行扫描),就及时向管理员进行报警,并由管理员做出相应的应对措施。入侵检测系统一般旁路在所要检测网段的交换机上,如果在其上加上入侵防护功能,就成为入侵防护系统,入侵防护设备一般部署在互联网出口位置。

5、抗拒绝服务攻击技术

拒绝服务攻击(DoS)就是利用正常的服务请求来占用过多的服务资源,从而使合法用户无法得到服务响应。DDoS就是利用更多的傀儡机来发起进攻,比单个的DoS攻击的规模更大。

目前能有效对付DDoS攻击的手段主要是一些专业的硬件来代替服务器完成TCP三次握手,从而保障只有正常的请求才能进入服务器,而这样的解决办法对设备的硬件性能及软件算法速度都有很高的要求。

6、漏洞扫描技术

通过对网络设备及服务器系统的扫描,可以了解安全配置和运行的应用服务,及时发现安全漏洞,客观评估网络风险等级。网络管理员根据扫描结果更正系统中的错误配置、进行系统加固、安装补丁程序,或采用其它相关防范措施。

7、服务器内核加固技术

内核加固系统是在服务器上安装一套软件系统,该系统通过拦截I/O管理器创造代表I/O操作的IRP请求包,过滤所有文件操作来实现对操作系统的保护。它把对操作系统的保护做在了底层,对被保护的文件,具有读不了、改不了、宕不了的坚固防护。同时,它又对原有系统超级用户权限进行合理分散与适度制约。

8、网页防篡改技术

网页防篡改技术是通过对网站的全面监控,实时捕获篡改事件,并在第一时间对发生篡改的网页进行自动恢复和报警,并通过日志实现对网站文件更新过程的全程记录。网页防篡改系统部署在服务器上,对服务器的资源占用较小,不影响服务器的正常使用。

9、对服务器进行安全配置

服务器的安全配置是至关重要。首先是调整服务器的属性,做到必要时关闭TCP 445端口的访问,关闭TCP 139端口的访问;其次是停止不必要的服务,这不仅是安全加固的需要,同时也是服务器性能优化的一部分;最后是增强日志审计能力,当网站被入侵后,只有日志能够帮助定位入侵事件。

10、其它安全防护技巧

除了上面介绍的主要防护措施之外,还应该关注以下防护技巧。

l         SQL注入攻击的防范

目前黑客攻入网站最常见的伎俩是SQL注入攻击。由于SQL注入是从正常的WWW端口访问,跟一般的Web页面访问没什么区别,所以防火墙都不会对SQL注入发出警报。为了防范黑客通过SQL注入攻进网站,可以使用防注入攻击的专用软件对数据库进行加固处理。

l         堵住数据库下载漏洞

目前仍有许多动态网站采用Access数据库,但Access数据库是以文件方式存放,后缀为*.mdb。如果不采取相应的措施,就有可能被一些恶意用户下载,从而造成重要信息的泄露。对于此威胁,应采取措施堵住漏洞防止下载。

l         尽量不使用上传程序

网站中最好不使用任何上传程序,建议采用FTP上传、维护网页,不要安装ASP的上传程序。如果ASP上传文件功能必须保留,也应该进行严格的身份认证。

l         注意后台管理程序

不要在网页上显示后台管理程序的入口链接,以免黑客攻入网站后台管理程序。管理员的用户名和密码也不能过于简单,注意定期更改。建议维护时通过ftp上传后台管理程序,使用后即时删除。

l         检查是否有木马,并做好数据库备份工作

 WEB虚拟路径下的所有文件定期做批量的MD5效验,审核每个文件,对有来历不明的文件要立即删除。除了日常维护外,还要时常备份数据库等重要文件。

 四、结束语

根据笔者经验,部署上述技术措施后的网站,基本未出现安全事件。但在具体技术措施的选取上,也可根据实际情况,如网站规模、宣传范围、知名度、数据内容重要程度、实时性要求强度、可容忍的网站停运时间、资金状况等因素来进行裁减,选择具体的技术措施。

另外,解决门户网站安全问题,除了要有好的安全防护技术措施外,还要有一支具有丰富安全服务经验的专业技术队伍,在运维支撑方面才能得到可靠的保障。