◆羅傳軍 武國(guó)良 王 琪

（天津市氣象局 天津 300074）

網(wǎng)站安全防護(hù)策略

◆羅傳軍 武國(guó)良 王 琪

（天津市氣象局 天津 300074）

網(wǎng)站是各單位樹(shù)立形象和擴(kuò)大社會(huì)影響的有效工具，安全防護(hù)是其必須解決的重要問(wèn)題。本文分析了網(wǎng)站常見(jiàn)安全隱患，從安全設(shè)備、網(wǎng)站建設(shè)、網(wǎng)站管理三方面闡述了防護(hù)策略。

網(wǎng)站安全；安全設(shè)備；網(wǎng)站建設(shè)；管理制度

0 引言

互聯(lián)網(wǎng)已經(jīng)成為人們工作和生活不可或缺的部分，網(wǎng)站在各單位發(fā)揮著重要的作用。網(wǎng)站處于互聯(lián)網(wǎng)的相對(duì)開(kāi)放環(huán)境中，病毒木馬和惡意代碼網(wǎng)上肆虐，網(wǎng)站本身存在漏洞和安全隱患，容易被植入木馬程序、系統(tǒng)管理員賬戶和數(shù)據(jù)庫(kù)賬戶易泄露、服務(wù)器易被上傳非法網(wǎng)站內(nèi)容。黑客入侵和篡改網(wǎng)站的安全事件時(shí)有發(fā)生，造成了重大經(jīng)濟(jì)損失和形象損壞。網(wǎng)站安全防護(hù)策略需從網(wǎng)站的安全設(shè)備、網(wǎng)站建設(shè)、網(wǎng)站管理三方面設(shè)計(jì)，保障網(wǎng)站安全運(yùn)行。

1 安全設(shè)備

網(wǎng)站一般放置在互聯(lián)網(wǎng)DMZ區(qū)，該區(qū)是對(duì)外提供服務(wù)的區(qū)域，面臨來(lái)自互聯(lián)網(wǎng)的各種主動(dòng)攻擊，如黑客掃描和滲透攻擊、病毒或蠕蟲(chóng)侵襲、DDoS/DoS攻擊、Web相關(guān)攻擊、SQL注入等【1】，需要進(jìn)行重點(diǎn)防護(hù)。為有效保護(hù)網(wǎng)站的安全性、可用性、穩(wěn)定性，應(yīng)加強(qiáng)安全設(shè)備建設(shè)，如圖1所示。主要包括部署防Ddos攻擊系統(tǒng)、Web應(yīng)用防火墻、入侵防御系統(tǒng)、網(wǎng)頁(yè)防篡改系統(tǒng)、網(wǎng)絡(luò)防病毒系統(tǒng)、堡壘機(jī)、審計(jì)系統(tǒng)。

防DDoS攻擊系統(tǒng)在吞吐量、最大新建連接數(shù)、http并發(fā)連接數(shù)等性能方面要求較高，以串聯(lián)部署方式為主，可將設(shè)備管理功能與業(yè)務(wù)流量處理分離。防DDoS攻擊系統(tǒng)針對(duì)SYN Flood、ACK Flood、ICMP Flood等流量型攻擊，Smurf、Fragment Flood等漏洞型攻擊，HTTP Proxy Flood、CC Proxy Flood等連接型攻擊進(jìn)行有效識(shí)別和過(guò)濾【2】。防DDoS攻擊系統(tǒng)應(yīng)具備對(duì)連接耗盡型攻擊的防御能力，利用TCP重傳等機(jī)制實(shí)現(xiàn)自我防護(hù)。入侵防護(hù)系統(tǒng)集成了網(wǎng)絡(luò)數(shù)據(jù)包分析系統(tǒng)、風(fēng)險(xiǎn)特征庫(kù)、網(wǎng)絡(luò)響應(yīng)系統(tǒng)等多種內(nèi)在安全措施，通過(guò)設(shè)置檢測(cè)與阻斷策略，對(duì)流經(jīng)入侵防御系統(tǒng)的網(wǎng)絡(luò)流量進(jìn)行分析過(guò)濾，并對(duì)異常及可疑流量進(jìn)行積極阻斷。應(yīng)用防火墻包含目的地址、源地址轉(zhuǎn)換功能，實(shí)現(xiàn)真實(shí)地址隱藏。對(duì)網(wǎng)站、應(yīng)用、文件等實(shí)施帶寬分配和流量控制。通過(guò)分析應(yīng)用層的用戶請(qǐng)求數(shù)據(jù)，如URL、參數(shù)、鏈接，可以有效地保護(hù)Web站點(diǎn)和應(yīng)用免受來(lái)自于應(yīng)用層的攻擊，對(duì)網(wǎng)站內(nèi)容過(guò)濾，實(shí)現(xiàn)文件過(guò)濾上傳與下載。

圖1 安全設(shè)備部署拓?fù)鋱D

防篡改系統(tǒng)分析網(wǎng)站的靜態(tài)網(wǎng)頁(yè)和動(dòng)態(tài)網(wǎng)頁(yè)，可以杜絕篡改內(nèi)容流出，實(shí)現(xiàn)Web頁(yè)面自動(dòng)恢復(fù)。防病毒軟件病毒庫(kù)及時(shí)更新，實(shí)時(shí)監(jiān)控病毒、木馬、廣告軟件、惡意插件，對(duì)多層數(shù)的存檔和壓縮格式包內(nèi)病毒掃描和清除。審計(jì)系統(tǒng)通過(guò)syslog、snmp、agent代理等多種方式對(duì)各類(lèi)網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、安全設(shè)備、數(shù)據(jù)庫(kù)等實(shí)現(xiàn)日志收集，實(shí)現(xiàn)各類(lèi)系統(tǒng)日志、事件等信息的審計(jì)。

日志收集完成后，可實(shí)現(xiàn)統(tǒng)一的分析、查詢(xún)，為整體安全提供安全指導(dǎo)意見(jiàn)。堡壘機(jī)為多個(gè)用戶與業(yè)務(wù)系統(tǒng)提供了安全記錄與處理平臺(tái)，記錄地址、端口、操作指令、訪問(wèn)結(jié)果等消息，支持telnet、ssh等遠(yuǎn)程終端服務(wù)，具有密碼、動(dòng)態(tài)口令、指紋識(shí)別等多種認(rèn)證方式。

2 網(wǎng)站建設(shè)

若網(wǎng)站代碼漏洞多、用戶名及密碼簡(jiǎn)單、系統(tǒng)權(quán)限大，網(wǎng)站架構(gòu)存在問(wèn)題，運(yùn)行時(shí)將存在安全隱患。網(wǎng)站應(yīng)統(tǒng)一管理建設(shè)，建立獨(dú)立的信息發(fā)布平臺(tái)，web發(fā)布平臺(tái)和數(shù)據(jù)庫(kù)分離，管理員合理設(shè)置網(wǎng)站權(quán)限。

網(wǎng)站安全建設(shè)覆蓋了網(wǎng)站計(jì)劃、設(shè)計(jì)、實(shí)現(xiàn)、測(cè)試以及運(yùn)行各階段，應(yīng)與網(wǎng)站建設(shè)同步進(jìn)行。網(wǎng)站計(jì)劃、設(shè)計(jì)階段，需分析所有潛在威脅，確定網(wǎng)站訪問(wèn)控制、信息加密、審計(jì)跟蹤等安全需求，確定安全策略。網(wǎng)站實(shí)現(xiàn)階段，網(wǎng)站開(kāi)發(fā)者應(yīng)使用最新的漏洞較少的網(wǎng)頁(yè)設(shè)計(jì)語(yǔ)言，設(shè)計(jì)時(shí)充分考慮網(wǎng)站架構(gòu)的合理性、技術(shù)的先進(jìn)性和網(wǎng)站的安全性，要防止開(kāi)發(fā)公司技術(shù)人員故意保留漏洞，確保最終網(wǎng)站的安全。網(wǎng)站測(cè)試階段，必須充分進(jìn)行功能、壓力測(cè)試，還應(yīng)對(duì)系統(tǒng)安全性能、操作流程、應(yīng)急方案等重要安全指標(biāo)測(cè)試，測(cè)試結(jié)果存檔。網(wǎng)站在正式使用前請(qǐng)專(zhuān)業(yè)公司進(jìn)行安全評(píng)測(cè)，通過(guò)評(píng)測(cè)的網(wǎng)站才正式上線發(fā)布。

定期采用漏洞掃描設(shè)備進(jìn)行漏洞掃描，服務(wù)器操作系統(tǒng)升級(jí)成穩(wěn)定的最高版本，并及時(shí)更新操作系統(tǒng)補(bǔ)丁，能夠?qū)ψ钚侣┒催M(jìn)行發(fā)現(xiàn)，應(yīng)對(duì)最新漏洞風(fēng)險(xiǎn)。關(guān)掉無(wú)關(guān)服務(wù)、修改密碼為強(qiáng)密碼、修改系統(tǒng)或服務(wù)配置、打補(bǔ)丁、升級(jí)軟件版本、設(shè)置合理的安全訪問(wèn)策略，增強(qiáng)網(wǎng)站部署系統(tǒng)環(huán)境安全。

3 網(wǎng)站管理

完善網(wǎng)站運(yùn)維安全管理，包括制定網(wǎng)站運(yùn)維人員管理制度、網(wǎng)站信息安全通報(bào)制度、網(wǎng)站值班制度、安全責(zé)任追究制度等，定期對(duì)各項(xiàng)制度的落實(shí)情況進(jìn)行自查和監(jiān)督檢查。網(wǎng)站安全管理應(yīng)確定總體目標(biāo)，保護(hù)網(wǎng)站信息系統(tǒng)的所有通訊網(wǎng)絡(luò)設(shè)備、服務(wù)器、軟件和數(shù)據(jù)等資源的安全，確保網(wǎng)站提供安全高效穩(wěn)定的服務(wù)。安全管理制度不定期根據(jù)網(wǎng)站安全風(fēng)險(xiǎn)進(jìn)行完善，保證制度符合實(shí)際情況。人員安全管理是安全管理重要環(huán)節(jié)，應(yīng)制定嚴(yán)格的崗位責(zé)任制，最大程度地降低人為失誤或錯(cuò)誤所造成的網(wǎng)站安全事故。人員安全管理應(yīng)遵守職責(zé)分離、任期審計(jì)、有限授權(quán)等原則，明確網(wǎng)站建設(shè)與運(yùn)維人員安全責(zé)任，不能越權(quán)進(jìn)行訪問(wèn)控制，員工離職前，應(yīng)對(duì)其擁有的信息系統(tǒng)合法身份及權(quán)限立即消除。

安全應(yīng)急管理主要應(yīng)對(duì)可能出現(xiàn)的重大安全事件，需建立一整套應(yīng)急預(yù)案。在出現(xiàn)網(wǎng)站重大安全事件，如發(fā)生網(wǎng)站被惡意攻擊或網(wǎng)頁(yè)被篡改等情況，安全工作機(jī)構(gòu)能夠迅速對(duì)安全情況分析，啟動(dòng)緊急應(yīng)變計(jì)劃，排除安全事故【3】，做好對(duì)外的解釋、宣傳和公告等工作，防止安全事態(tài)的擴(kuò)大。建立信息安全培訓(xùn)機(jī)制，根據(jù)組織建立的信息安全培訓(xùn)制度，開(kāi)展多層次的信息安全宣傳、技能培訓(xùn)和考核，持續(xù)增強(qiáng)安全防護(hù)意識(shí)。

4 總結(jié)

網(wǎng)站的安全防護(hù)對(duì)網(wǎng)站正常運(yùn)行有重要影響，應(yīng)制定可行的安全防護(hù)策略，部署網(wǎng)絡(luò)安全設(shè)備、優(yōu)化網(wǎng)站設(shè)計(jì)與部署、完善網(wǎng)站安全管理，保障網(wǎng)站安全運(yùn)行。

[1]郭優(yōu).網(wǎng)站安全問(wèn)題及安全管理措施分析與研究[J].電腦知識(shí)與技術(shù)，2015.

[2]胡星，曹磊等.中國(guó)氣象局Internet 接入系統(tǒng)整改設(shè)計(jì)[J].計(jì)算技術(shù)與自動(dòng)化，2014.

[3]慈健.計(jì)算機(jī)網(wǎng)絡(luò)安全管理技術(shù)分析[J].科技創(chuàng)新與應(yīng)用，2015.