鄭龍鳳 中國移動通信集團(tuán)上海有限公司視頻運(yùn)營中心系統(tǒng)維護(hù)部，上海市 200233

摘 要

通過現(xiàn)有門戶網(wǎng)站的內(nèi)容發(fā)布功能，部署Web應(yīng)用深度防御系統(tǒng)設(shè)備、Web應(yīng)用弱點(diǎn)掃描系統(tǒng)設(shè)備、網(wǎng)頁防篡改軟件系統(tǒng)，將主動防御、主動評估、被動保護(hù)、集中監(jiān)控、統(tǒng)一發(fā)布、集中管理等多方面功能有機(jī)結(jié)合，形成門戶網(wǎng)站防篡改的綜合防護(hù)解決方案。

關(guān)鍵詞

門戶網(wǎng)站；Web應(yīng)用深度防御；Web應(yīng)用弱點(diǎn)掃描；網(wǎng)頁防篡改

門戶網(wǎng)站防篡改解決方案

鄭龍鳳 中國移動通信集團(tuán)上海有限公司視頻運(yùn)營中心系統(tǒng)維護(hù)部，上海市 200233

摘 要

通過現(xiàn)有門戶網(wǎng)站的內(nèi)容發(fā)布功能，部署Web應(yīng)用深度防御系統(tǒng)設(shè)備、Web應(yīng)用弱點(diǎn)掃描系統(tǒng)設(shè)備、網(wǎng)頁防篡改軟件系統(tǒng)，將主動防御、主動評估、被動保護(hù)、集中監(jiān)控、統(tǒng)一發(fā)布、集中管理等多方面功能有機(jī)結(jié)合，形成門戶網(wǎng)站防篡改的綜合防護(hù)解決方案。

關(guān)鍵詞

門戶網(wǎng)站；Web應(yīng)用深度防御；Web應(yīng)用弱點(diǎn)掃描；網(wǎng)頁防篡改

引言

企業(yè)的門戶網(wǎng)站，是企業(yè)向各類客戶提供產(chǎn)品資訊、業(yè)務(wù)介紹、最新動態(tài)、客戶服務(wù)、公司簡介、新聞動態(tài)、企業(yè)文化等各方面信息的重要渠道，是客戶了解企業(yè)各方面信息的重要窗口。

但隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，各類新型的網(wǎng)絡(luò)攻擊手段也層出不窮。而企業(yè)的門戶網(wǎng)站由于直接暴露在互聯(lián)網(wǎng)之上，在企業(yè)向客戶提供通過瀏覽器訪問企業(yè)信息功能的同時，企業(yè)所面臨的風(fēng)險也在不斷增加，也就成了各類攻擊者所攻擊的主要對象。如今，以網(wǎng)頁篡改和針對Web應(yīng)用程序安全漏洞的網(wǎng)絡(luò)攻擊的安全事件正在大幅攀升。

網(wǎng)頁篡改事件的危害十分巨大，不僅會影響用戶正常獲取相關(guān)資訊，若被篡改的內(nèi)容涉及政治、淫穢色情等方面的內(nèi)容，還將對企業(yè)產(chǎn)生不可估量的負(fù)面影響；另外一些別有用心的人可能會利用對網(wǎng)頁進(jìn)行語義篡改，散布謠言，引起民眾不必要的恐慌和猜疑，這些都會直接對企業(yè)形象造成嚴(yán)重?fù)p害。

縱覽典型的門戶網(wǎng)站，均缺乏對直接篡改靜態(tài)或動態(tài)網(wǎng)頁文件和通過SQL注入、跨站等方式將惡意代碼植入后臺數(shù)據(jù)庫達(dá)到動態(tài)篡改網(wǎng)頁或網(wǎng)站掛馬等攻擊手段的有效防護(hù)。容易被不法分子利用，進(jìn)行頁面篡改以達(dá)到傳播反動、淫穢色情等內(nèi)容的目的，影響用戶正常獲取企業(yè)相關(guān)信息，并將對企業(yè)形象造成巨大的負(fù)面影響。在本方案中將通過部署相關(guān)的安全防護(hù)軟硬件，從主動和被動防御的角度充分保護(hù)門戶網(wǎng)站頁面免遭篡改，確保門戶網(wǎng)站的安全穩(wěn)定運(yùn)行，保護(hù)企業(yè)形象。

一、現(xiàn)狀分析

門戶網(wǎng)站系統(tǒng)通常的網(wǎng)絡(luò)結(jié)構(gòu)模型如下圖所示：

從上圖可見，門戶網(wǎng)站的安全防護(hù)通常依靠門戶網(wǎng)站系統(tǒng)對外接口處部署的防火墻以及核心網(wǎng)絡(luò)部署的抗DDoS攻擊設(shè)備進(jìn)行安全防護(hù)。

但傳統(tǒng)防火墻作為訪問控制設(shè)備，主要工作在OSI模型三、四層，基于IP報文進(jìn)行檢測。設(shè)計之初，它就無需理解Web應(yīng)用程序語言如HTML及XML，也無需理解HTTP會話。因此，它也不可能對HTML應(yīng)用程序用戶端的輸入進(jìn)行驗證、或是檢測到一個已經(jīng)被惡意修改過參數(shù)的URL請求。惡意的攻擊流量將封裝為HTTP請求，從80或443端口順利通過防火墻檢測。所以防火墻對網(wǎng)頁篡改、網(wǎng)頁掛馬、SQL注入、跨站腳本等這類攻擊手段無法采取有效防護(hù)。而抗DDoS攻擊設(shè)備由于也主要工作在OSI模型三、四層，也無法對應(yīng)用層攻擊進(jìn)行防護(hù)。

攻擊者往往通過直接篡改靜態(tài)或動態(tài)網(wǎng)頁文件或通過SQL注入、跨站等方式將惡意代碼植入后臺數(shù)據(jù)庫達(dá)到動態(tài)篡改網(wǎng)頁或網(wǎng)站掛馬的目的，但由于傳統(tǒng)防火墻和抗DDoS攻擊設(shè)備無法對應(yīng)用層攻擊進(jìn)行防護(hù)，且Web服務(wù)器本身也沒有相應(yīng)的防護(hù)手段，容易使攻擊者有可乘之機(jī)。

二、優(yōu)化方案

根據(jù)上述分析，提出優(yōu)化及安全加固解決方案如下：

1、在系統(tǒng)中部署內(nèi)容發(fā)布服務(wù)器，并在其上部署網(wǎng)頁防篡改的發(fā)布模塊及監(jiān)控模塊軟件。

1)發(fā)布模塊實(shí)時檢測需要發(fā)布內(nèi)容的文件目錄的變化，有文件刪除、修改、新增，發(fā)布模塊都會通過SFTP方式同步到同步模塊中進(jìn)行內(nèi)容發(fā)布；

2)監(jiān)控模塊提供統(tǒng)一監(jiān)控功能和界面，對各門戶網(wǎng)站頁面發(fā)布情況以及各Web服務(wù)器上部署的同步模塊和防篡改模塊運(yùn)行情況進(jìn)行集中監(jiān)控，對發(fā)生的篡改事件進(jìn)行記錄和告警顯示（并通過E-mail或短信等方式實(shí)時將頁面篡改告警發(fā)送給相關(guān)系統(tǒng)工程師進(jìn)行進(jìn)一步查證和處理）。

2、在門戶網(wǎng)站的Web服務(wù)器上安裝部署網(wǎng)頁防篡改模塊（同步模塊）軟件，根據(jù)文件的大小、日期、內(nèi)容以及門戶網(wǎng)站的標(biāo)志等特征信息生成文件的數(shù)字水印，并將數(shù)字水印以加密方式保存到數(shù)據(jù)庫中，用于對指定的網(wǎng)頁目錄和文件進(jìn)行實(shí)時對比監(jiān)測。當(dāng)發(fā)現(xiàn)數(shù)字水印產(chǎn)生變化時，則同步模塊將會通過SFTP方式，從發(fā)布模塊抓取原始文件進(jìn)行恢復(fù)。

3、部署一套Web應(yīng)用弱點(diǎn)掃描系統(tǒng)設(shè)備，用于對Web網(wǎng)站中所存在的SQL注入漏洞、跨站腳本漏洞、惡意代碼（木馬）等進(jìn)行安全掃描檢測，提供檢測報告給系統(tǒng)工程師用于安全加固。該系統(tǒng)可用于門戶網(wǎng)站建設(shè)過程中的安全檢測，對所有門戶網(wǎng)站在割接入網(wǎng)前均需進(jìn)行嚴(yán)格的檢測，確認(rèn)不存在現(xiàn)有的安全問題后才能發(fā)布使用。并且在門戶網(wǎng)站的運(yùn)營過程中，還可定期對門戶網(wǎng)站進(jìn)行安全掃描，通過更新最新的安全插件以發(fā)現(xiàn)新出現(xiàn)的安全漏洞，并進(jìn)行及時加固。

4、在核心網(wǎng)絡(luò)出口處部署Web應(yīng)用深度防御系統(tǒng)設(shè)備，對進(jìn)入各門戶網(wǎng)站系統(tǒng)的外部請求等進(jìn)行7×24小時的實(shí)時主動監(jiān)控，對非法攻擊流量進(jìn)行過濾，抵御通過SQL注入、跨站等方式將惡意代碼植入后臺數(shù)據(jù)庫達(dá)到動態(tài)篡改網(wǎng)頁或網(wǎng)站掛馬的攻擊。并且對于一些新出現(xiàn)但還未在門戶網(wǎng)站中完成安全加固的漏洞隱患，可以起到預(yù)防的作用。

優(yōu)化和安全加固后的門戶網(wǎng)站網(wǎng)絡(luò)結(jié)構(gòu)模型如下圖所示：

上述解決方案采用軟件/硬件防護(hù)產(chǎn)品相結(jié)合的方式，實(shí)現(xiàn)對門戶網(wǎng)站的實(shí)時防護(hù)。硬件產(chǎn)品的使用，在一定程度上減少了對服務(wù)器性能的影響；軟件產(chǎn)品的部署又使Web服務(wù)器本身可以對各類網(wǎng)頁文件或腳本進(jìn)行實(shí)時的保護(hù)。此方案將主動防御（實(shí)時監(jiān)測和過濾攻擊請求流量）、主動評估（定期進(jìn)行Web應(yīng)用弱點(diǎn)掃描）、被動保護(hù)（通過數(shù)字水印技術(shù)監(jiān)測網(wǎng)頁文件和腳本是否被篡改）、集中監(jiān)控、統(tǒng)一發(fā)布、集中管理等多方面有機(jī)結(jié)合，真正做到“防患于未然”，解決了門戶網(wǎng)站所存在的頁面篡改的隱患。

三、結(jié)語

通過門戶網(wǎng)站防篡改解決方案的實(shí)施，將能有效解決門戶網(wǎng)站所存在的頁面篡改的安全隱患。可以確保各類客戶能隨時準(zhǔn)確地獲知企業(yè)的各類信息，保護(hù)企業(yè)形象不被惡意破壞。通過自動化監(jiān)控及防護(hù)手段的應(yīng)用，可以大大提高門戶網(wǎng)站安全防護(hù)的工作效率，降低維護(hù)人員的工作壓力，有效減少維護(hù)成本的支出，并可以有效避免由于網(wǎng)站無法正常運(yùn)營以及企業(yè)形象遭受破壞所帶來的直接和間接經(jīng)濟(jì)損失。

[1]楊飛.網(wǎng)頁防篡改技術(shù).計算機(jī)安全.2008,9:76 77

[2]上海天存信息技術(shù)公司.網(wǎng)頁防篡改技術(shù)比較.2008

[3]楊雷.網(wǎng)頁防篡改安全技術(shù)的研究與實(shí)現(xiàn).西安:西安電子科技大學(xué).2008

[4]丁勝.網(wǎng)站安全防篡改系統(tǒng)的研究與實(shí)現(xiàn).上海:上海交通大學(xué).2009

[5]姚瀅.網(wǎng)頁防篡改系統(tǒng)的研究與設(shè)計方案.計算機(jī)安全.2010

10.3969/j.issn.1001-8972.2011.13.045