网站安全解决方案

网站安全解决方案

1. 项目背景

根据国家计算机网络应急技术处理协调中心（简称CNCERT/CC）2008年上半年的统计报告，中国大陆被篡改网站的数量相比往年处于明显上升趋势，共监测到中国大陆被篡改网站总数达到35113 个，同比增加了23.7%。

据统计调查，现阶段大部分网站系统的安全防护措施还是仅限于购置防火墙等网络层的基础防护，而网页篡改是利用操作系统、应用程序的漏洞和管理方面的缺陷进行的有目的性的攻击，而现有的大部分安全防护措施(例如防火墙、入侵检测等)都是在网络层面进行安全防护，无法对网页篡改行为形成有效的防护机制(包括网站的检测、防护、监控、恢复、审计、告警等)。

2. 需求分析

1)利用病毒、蠕虫、木马和间谍软件等恶意代码，破坏系统；

2)利用系统漏洞，使用缓冲区溢出方式获得管理员权限，从而任意修改网站内容，窃取信息；

3)XSS攻击，即跨站脚本攻击。恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入Web里面的html代码会被执行，从而达到恶意攻击者的特殊目的；

4)利用DOS、DDOS等方式，造成服务瘫痪，业务无法正常进行；

5)使WEB站点成为钓鱼攻击的平台，将攻击扩大到所有访问WEB应用的用户。如：网银成为了“钓鱼”的场所，其危害和影响是不言而喻的。

6)利用网站应用漏洞使用SQL注入或跨站攻击等方式，获得系统或数据库管理员权限，从而获取有用数据或者篡改网页达到不可告人的目的。

3. 网站安全部署示意 图

4. 部署说明

网站安全防护系统主要包含以下步骤：

1)首先对WEB网站进行全面的、深入的、彻底的风险评估，保证WEB应用环境的安全，主要包括对网页中是否存在木马、是否存在SQL注入漏洞、是否存在跨站攻击漏洞、是否存在网站的管理后门漏洞等，对于发现的问题进行加固，保证系统运行环境的安全；
2)安装网页防纂改系统，实时监控WEB服务器运行情况，保护Web服务器的网页不被纂改，记录对WEB服务器的访问，当页面被篡改时实时进行恢复，并向管理人员发出告警信息；

3)在WEB服务器群前部署硬件流量净化系统(例如：抗DDOS/DOS系统)，保证WEB服务器群免受DDOS/DOS/CC等拒绝服务攻击流量的攻击；
4)安装集中管理平台，负责策略制定、下发，以及对各子系统的管理，各子系统按照既定策略执行，并把相关事件上传到控制中心，由控制中心统一审计。

　

5. 建设效果

本方案通过部署WEB网站安全检测系统、WEB网页防篡改系统、流量净化网关系统、WEB安全集中监管平台等来有效规避WEB安全风险，保证WEB的安全、稳定、高效地运行，保障业务的正常运转。

WEB网站安全解决方案可以防止政府、企业网站被恶意篡改，从而有效地保护政府、企业的形象；维护重大新闻、方针政策等信息发布渠道的畅通，保证社会秩序的安定有序；可以阻止一些别有用心的人通过篡改网页的方式在互联网上大肆散播各种政治歪理，造成极坏的政治影响。此外WEB网站安全解决方案还能保证财政、金融、税务、电子商务、网游等领域网站的安全运行，防止犯罪分子利用一些安全漏洞，使用黑客攻击技术、网络钓鱼技术、木马间谍程序等新技术进行网络盗窃、网络诈骗等违法犯罪活动，避免给机构和个人造成严重经济损失。