1. 門戶網(wǎng)站安全綜述

隨著信息技術(shù)的發(fā)展網(wǎng)上辦公、網(wǎng)上辦事已經(jīng)進(jìn)入我們的日常生活，政府門戶網(wǎng)站職能也有了較大的改變，由原來的靜態(tài)內(nèi)容發(fā)布 轉(zhuǎn)變?yōu)槿娑鴱?fù)雜的電子政務(wù)外網(wǎng)系統(tǒng)。然而隨著信息技術(shù)進(jìn)步的同時(shí)，我們要面對的信息安全問題也日益增多，我們面臨的安全威脅正在不斷增長，如何建設(shè)一套 完整網(wǎng)站安全解決方案已經(jīng)成為當(dāng)前必須面對一個(gè)問題。

政策性要求

繼等級保護(hù)對政府網(wǎng)站明確要求之后，政府網(wǎng)站績效考核也明確了對網(wǎng)站的安全要求，2010年國務(wù)院下發(fā)了40號文件進(jìn)一步提出了對政府門戶網(wǎng)站應(yīng)加強(qiáng)安全管理和部署防御措施。

面臨的主要威脅

政府門戶網(wǎng)站的安全主要涉及兩大應(yīng)用系統(tǒng)的安全，即門戶網(wǎng)站和郵件系統(tǒng)安全，兩個(gè)應(yīng)用系統(tǒng)對外網(wǎng)完全開放。如果安全方面處理不得當(dāng)將來導(dǎo)致較為嚴(yán)重的安全事件，可能面臨的主要威脅如下：

門戶網(wǎng)站

隨著國家對信息安全的重視和對非法入侵打擊力度的加大，傳統(tǒng)的以入侵政府網(wǎng)站進(jìn)行篡改頁面的行為已經(jīng)不再多見。為了降低入侵風(fēng)險(xiǎn)、提高入侵收益，入侵者大多采用更為隱蔽的手段從事入侵活動(dòng)。

• 入侵管理后臺發(fā)布惡意言論：網(wǎng)站管理后臺被入侵，導(dǎo)致網(wǎng)站發(fā)布內(nèi)容被入侵者控制，如地震期間某權(quán)威地震網(wǎng)被黑客控制，發(fā)布錯(cuò)誤的地震預(yù)警信息制造社會恐慌；某政府網(wǎng)站被入侵，國家禁止發(fā)布影響社會穩(wěn)定的事件被暴光等類似的網(wǎng)站后臺入侵事件給網(wǎng)站和政府聲譽(yù)帶來極大的破壞。
• 入侵?jǐn)?shù)據(jù)庫獲取大量用戶敏感信息：政府的一些門戶網(wǎng)站可能涉及公眾敏感的數(shù)據(jù)， 如住房公積金、醫(yī)保、社保等保障系統(tǒng)。如果這些網(wǎng)站存在安全隱患，可能導(dǎo)致大批量的公眾敏感數(shù)據(jù)丟失。如某省公積金網(wǎng)站發(fā)現(xiàn)訪問異常，經(jīng)過多方面分析才發(fā) 現(xiàn)網(wǎng)站所存貯的用戶基礎(chǔ)數(shù)據(jù)庫被國外某情報(bào)機(jī)構(gòu)入侵，竊取大量用戶信息和賬戶信息。

郵件系統(tǒng)

郵件系統(tǒng)由于對網(wǎng)外完全開放，處理不當(dāng)也會導(dǎo)致較多的安全問題，如下是常見的問題，如果處理不當(dāng)可能導(dǎo)致一些嚴(yán)重的后果。

• 跨站腳本導(dǎo)致密鑰失竊：郵件系統(tǒng)一直是跨站腳本攻擊的重災(zāi)區(qū)，處理不當(dāng)會導(dǎo)致用戶在查閱郵件時(shí)自動(dòng)將當(dāng)前的會話密鑰發(fā)送給入侵者，從而入侵者獲得當(dāng)前賬戶的郵件讀取權(quán)限。
• 入侵用戶郵箱讀取涉密公務(wù)郵件：為了方便使用，政府的郵件系統(tǒng)大多提供了 webmail的功能，通過瀏覽器就可以訪問郵件內(nèi)容。甚至部分賬戶同時(shí)由多個(gè)人員輪流使用，因此郵箱內(nèi)的郵件長期存放在郵件服務(wù)器。當(dāng)賬戶存在弱口令、 webmail存在安全漏洞時(shí)大量的政府涉密郵件的內(nèi)容將被入侵者輕易讀取、傳播。
• 入侵郵件系統(tǒng)偽造郵件制造社輿論：郵件服務(wù)器的安全配置不當(dāng)也會導(dǎo)致較多的安全問題，最為嚴(yán)重的當(dāng)屬郵件偽造。郵件偽造技術(shù)可利用郵件系統(tǒng)的漏洞偽造任何人向目標(biāo)用戶發(fā)戶郵件。如偽造上級領(lǐng)導(dǎo)給下轄用戶群發(fā)錯(cuò)誤的通知等信息將會影響政府的正常工作秩序。
  

2. 網(wǎng)站安全方案

整體安全框架

網(wǎng)站安全是一個(gè)動(dòng)態(tài)平衡的過程，目前尚沒有一種技術(shù)或產(chǎn)品可以使網(wǎng)站安全一勞永逸。隨著攻擊者對安全技術(shù)的深入研究，可能 會發(fā)現(xiàn)新的安全問題，與此同時(shí)由于網(wǎng)站在不斷的更新和改版這個(gè)過程又會引入新的安全問題。因此要保障網(wǎng)站的安全只有通過不斷的安全評估、安全防護(hù)、安全響 應(yīng)三個(gè)方面的措施才能確保網(wǎng)站始終保持在較高的防護(hù)水平。
安恒信息為政府門戶網(wǎng)站的安全提供整體安全方案，通過安全評估、安全防護(hù)、安全響應(yīng)三個(gè)過程，涉及事前、事中、事后三個(gè)時(shí)間維度的安全過程來加強(qiáng)網(wǎng)站的安 全保障能力，深入識別網(wǎng)站存在的問題、提升網(wǎng)站的防攻擊能力、增強(qiáng)網(wǎng)站安全的響應(yīng)能力和速度。

圖1 門戶網(wǎng)站整體安全框架

安全評估

網(wǎng)站安全保障是一項(xiàng)系統(tǒng)工程，如同左邊的水桶，水桶的容量取決于最短的那塊木板。網(wǎng)站的安全保障當(dāng)前最為薄弱的環(huán)節(jié)就在于 缺少對WEB防護(hù)層面的整體考慮。而WEB安全層面的安全評估也是如此，通過安全掃描工具對網(wǎng)站掃描，可以檢測出50%的已知通用的安全漏洞，但20%的 針對網(wǎng)站獨(dú)有的漏洞或設(shè)計(jì)缺陷則需要采用人工的安全測試才可以檢測出來，而另外的30%則需要通過安全監(jiān)測技術(shù)才能發(fā)現(xiàn)網(wǎng)站內(nèi)容上的安全問題。這也是為什 么很多網(wǎng)站掃描不到漏洞但仍然被黑客入侵的主要原因之一。

安恒信息提供的安全評估有別于常規(guī)安全服務(wù)公司提供的簡單安全掃描服務(wù)，而是結(jié)合多年的安全服務(wù)經(jīng)驗(yàn)如北京奧運(yùn)會、廣州亞運(yùn)會、上海世博會、深圳大運(yùn)會等網(wǎng)站安全服務(wù)的標(biāo)準(zhǔn)對政府網(wǎng)站提供深入的安全服務(wù)。

針對政府網(wǎng)站的安全評估，安恒信息使用安全掃描、滲透測試、安全監(jiān)測三個(gè)方面的技術(shù)手段進(jìn)行實(shí)施評估工作。

圖2 安全評估手段

安全掃描

安全掃描使用安恒自主知識產(chǎn)權(quán)的明鑒網(wǎng)站弱點(diǎn)掃描器進(jìn)行掃描，該掃描器也是國家信息安全權(quán)威機(jī)構(gòu)進(jìn)行網(wǎng)站安全檢查時(shí)所使用的工具。

安全掃描采用模擬入侵者的手法，對網(wǎng)站進(jìn)行模擬攻擊。可迅速發(fā)現(xiàn)大多數(shù)常見的網(wǎng)站安全漏洞，如常見的SQL注 入、跨站腳本、目錄瀏覽、應(yīng)用錯(cuò)誤等漏洞。安全掃描對安全技術(shù)人員的要求相對較低。啟動(dòng)掃描器添加任務(wù)即可進(jìn)行掃描，而且明鑒弱點(diǎn)掃描器采用取證式掃描誤 判率極低便于指導(dǎo)后期的安全分析和加固工作。

安全掃描器技術(shù)先進(jìn)的同時(shí)也存在一些無法解決的問題，如網(wǎng)頁內(nèi)容中的惡意代碼難識別、程序中的邏輯漏洞等需要人工判斷的內(nèi)容無法實(shí)現(xiàn)自動(dòng)化。針對這兩類問題我們建議使用安恒信息提供的安全監(jiān)測平臺和滲透測試服務(wù)，可以很好的補(bǔ)充單獨(dú)使用掃描器存在的水足。

安全監(jiān)測

明鑒網(wǎng)站安全監(jiān)測平臺是自主知識產(chǎn)權(quán)監(jiān)測平臺，可實(shí)現(xiàn)對網(wǎng)站內(nèi)容的安全監(jiān)測，主要用于對網(wǎng)頁木馬監(jiān)測、網(wǎng)站可用性、關(guān)鍵字監(jiān)測。

通過該平臺，可以實(shí)現(xiàn)網(wǎng)頁木馬監(jiān)測，因?yàn)榫W(wǎng)頁木馬不同于常規(guī)的網(wǎng)站漏洞，具有一定的潛伏性和隱蔽性，常規(guī)模擬入侵者的攻擊無法發(fā)現(xiàn)木馬，而需要模擬成一個(gè)有漏洞的操作系統(tǒng)去訪問這些網(wǎng)頁，監(jiān)測有漏洞的操作系統(tǒng)是否會被網(wǎng)站植入木馬。

明鑒網(wǎng)站安全監(jiān)測平臺可以實(shí)現(xiàn)7*24小時(shí)不間斷網(wǎng)站安全監(jiān)測服務(wù)，并且可以很好地兼容當(dāng)前的云計(jì)算網(wǎng)絡(luò)，將監(jiān)測平臺部署在臺平臺中。監(jiān)測到安全問題可在第一時(shí)間通過郵件、短信通知到管理員。

滲透測試

滲透測試借助安全專家多年安全測試的經(jīng)驗(yàn)，使用大量安全工具、安全方法和安全理論相結(jié)合，從攻擊、防御多個(gè)角度出發(fā)去識別 網(wǎng)站存在的安全風(fēng)險(xiǎn)。相比于工具型掃描滲透測試更多側(cè)重于邏輯類型的安全問題識別、需要人工輔助類型的安全問題檢測，從而可以將網(wǎng)站的安全水平提升到一個(gè) 新的高度。

例如掃描器檢測出網(wǎng)站存某處敏感信息泄露，可能報(bào)告的是低危險(xiǎn)級別的安全事件。然后輔助人工則可利用這個(gè)敏感信息可能進(jìn)一步獲取網(wǎng)站的管理員賬戶和密碼信息，最終實(shí)現(xiàn)完全控制網(wǎng)站的目的。

安全防御

安全防御是實(shí)踐安全預(yù)警、分析、防御、加固的系統(tǒng)措施的過程，而非部署某一款安全產(chǎn)品這樣簡單。安恒信息建議政府網(wǎng)站安全的防御應(yīng)至少做到如下三個(gè)方面。

安全分析

安全分析是安全防御的基礎(chǔ)，安全分析的重心是安全評估的報(bào)告和安全設(shè)備的日志匯總信息。通過安全分析可以清晰的認(rèn)識到當(dāng)前存在的主要問題以及所面臨的安全威脅。

安全分析是一個(gè)跨部門協(xié)調(diào)的工作，通常安恒信息建議由用戶職能部門牽頭安全服務(wù)商負(fù)責(zé)整體安全分析的內(nèi)容綱要，由安全服務(wù)商、軟件開發(fā)商、系統(tǒng)運(yùn)維人員、業(yè)務(wù)使用代表等共同參與以最終確定安全防御的目標(biāo)。

安全防護(hù)

安全防護(hù)目前采用主流的WEB應(yīng)用防火墻技術(shù)進(jìn)行防護(hù)。推薦使用安恒自主研發(fā)的國內(nèi)首創(chuàng)全透明WEB應(yīng)用防火墻，該產(chǎn)品比國內(nèi)同類其它產(chǎn)品早了兩年多發(fā)布。

明御WEB應(yīng)用防火墻與其他廠商的WEB防火墻有著明顯的差異。該產(chǎn)品實(shí)現(xiàn)了安全告警、安全分析、安全防御、 安全加固的四大主要功能，而其他廠商的產(chǎn)品僅在安全防御這一環(huán)節(jié)具備能用的防御功能，無法實(shí)現(xiàn)安全加固功能。當(dāng)網(wǎng)站檢測出有特定安全問題時(shí)將無相應(yīng)的安全 應(yīng)對措施。

明御WEB應(yīng)用防火墻具備良好的安全加固功能，除通用的防護(hù)策略之外還提供20余類的安全加固對象，可以完全滿足安全加固策略的實(shí)施。

安全加固

網(wǎng)站安全加固是一個(gè)不斷改進(jìn)的過程，隨著業(yè)務(wù)的變更、安全研究的深入等均會促進(jìn)安全加固工作的展開。安全加固分為兩個(gè)方面來實(shí)現(xiàn)。

• WEB應(yīng)用防火墻虛擬補(bǔ)丁技術(shù)：明御WEB應(yīng)用防火墻實(shí)現(xiàn)了虛擬補(bǔ)丁技術(shù)，當(dāng)發(fā)現(xiàn)網(wǎng)站程序問題而存在漏洞時(shí)虛擬補(bǔ)丁技術(shù)是最為有效的方法，不需要中斷業(yè)務(wù)可以迅速的通過WEB應(yīng)用防火墻進(jìn)行加固。
• 安全加固建議：采用WEB應(yīng)用防火墻加固的同時(shí)安恒信息會為用戶方提供詳細(xì)的安全加固建議，便于程序開發(fā)商修復(fù)存在的安全缺陷。

應(yīng)急響應(yīng)

緊急事件響應(yīng)，是當(dāng)安全威脅事件發(fā)生后迅速采取的措施和行動(dòng)，其目的是最快速恢復(fù)系統(tǒng)的保密性、完整性和可用性，阻止和降低安全威脅事件帶來的嚴(yán)重性影響。
緊急事件主要包括：

• 病毒和蠕蟲事件；
• 黑客入侵事件；
• 誤操作或設(shè)備故障事件。

當(dāng)入侵或者破壞發(fā)生時(shí)，對應(yīng)的處理方法主要的原則是首先保護(hù)或恢復(fù)計(jì)算機(jī)、網(wǎng)絡(luò)服務(wù)的正常工作；然后再對入侵者進(jìn)行追查。因此對于客戶緊急事件響應(yīng)服務(wù)主要包括準(zhǔn)備、識別事件（判定安全事件類型）、抑制（縮小事件的影響范圍）、解決問題、恢復(fù)以及后續(xù)跟蹤。

安恒信息安全應(yīng)急響應(yīng)服務(wù)方式分為遠(yuǎn)程支持或現(xiàn)場支持。

遠(yuǎn)程支持安全服務(wù)方式可以分為以下幾種：

• 電話在線支持服務(wù)；
• 7*24小時(shí)電話支持服務(wù)；
• 傳真支持服務(wù)；
• E－MAIL支持服務(wù)。

當(dāng)遠(yuǎn)程支持無法解決問題時(shí)，將派遣專業(yè)的應(yīng)急響應(yīng)服務(wù)人員在第一時(shí)間到達(dá)客戶所在地提供現(xiàn)場支持服務(wù)。

1. 產(chǎn)品及服務(wù)清單