A市政府网络安全与网站防护解决方案

2024-04-30

A市政府网络安全与网站防护解决方案（通用6篇）

篇1：A市政府网络安全与网站防护解决方案

【说明】（1）这是《中小企业虚拟机解决方案》一书中部分章节的摘抄。该书预计于2009年12月初由《电子工业出版社》出版，敬请期待！

（2）以本方案为蓝本的方案：《A市政府网络安全与网站防护解决方案》参加华硕服务器第四届IT硬件平台搭建大赛获得三等奖。概述

根据CNCERT/CC（国家互联网应急中心）的2月份发布的统计报告，2009年1月1日至31日，我国大陆地区被篡改网站的数量为3792个，较2008年12月的1693个增长了124%，其中代号为“

如果上面的数据，表达不了网站被攻击的严重性，那么，CNCERT/CC的2008年7月份的统计报告很说明问题，大约平均每5个政府网站，就有一个网站被黑！而且，近年来，网站被篡改的数目仍然以每年2～3倍的速度在不断递增。

根据这些材料可以知道，网站被篡改、被攻击的数量是非常大的，并且递增的数目也是比较快的。A市政府网站，在近期被黑客篡改页面的情况多有发生，即影响了政府形象，也给广大市民带来不便。怎样对政府网站进行安全防护，是市政府信息中心所面临的首要任务。

同时，政府现在有300多台计算机上网，虽然有网通、电信宽带接入互联网，但由于各种问题，终端上网速度很多，每天网络中断两、三次，只能重新启动交换机、路由器才能重新上网，但过几个小时，问题会再次出现，单位网络办公的环境也需要改造。

信息中心要求，在不改变现有网站的维护方式的前提下，对网站进行安全防护，防止网站再次被黑；在不改变现有上网设置的情况下，改变整个网络的上网环境、避免再次出现整个网络瘫痪。经过实地考察，并与信息中心沟通，决定采购两台华硕服务器、一套ISA Server防火墙软件与Windows Server 2003，对现在网络、网站进行改造。其中一台服务器采用华硕TS300-E5，配置2GB内存、单块SATA硬盘、4个集成Broadcom BCM5721 PCI-E千兆网卡；另一台服务器采用华硕TS700-E4，配置16GB内存、1个4核Intel处理器、6块SAS硬盘（其中5块硬盘做RAID5、1块硬盘备用）、集成双千兆网卡、双电源。政府网络现状与用户需求

A市信息中心是正科级全额拨款事业单位，挂靠A市政府办公室，负责全市信息化建设的规划、指导和组织工作，主要承担全市电子政务的建设和管理工作。目前，A市信息中心的内网上接市委、市政府，下联市直80多个部门、10多个乡镇、经济技术开发区。

为方便市领导上互联网的需要，信息中心还向网通、电信各申请了20M互联网带宽，通过双WAN口路由器，实现网通、电信双线路负载平衡。为了方便网上办公和网上审批工作，每个部门都建立了自己的局域网，全市办公内网的微机保有量约2000台以上，A市的信息化应用水平在石家庄市各县市区中一直名列前茅。

目前，A市政府信息化应用水平较高，有办公自动化系统、政府网站、市委网站、各个乡镇、市直机关网站、互联审批、审计系统，这些系统分别运行在机房的多台服务器上。这些服务器，有的是一些品牌机服务器，有些是组装的服务器，配置比较低、没有提供数据的冗余与备份功能，从长远角度来看，存在安全隐患。

从今年开始，政府网站被黑客篡改首页多次，并且修改的次数越来越多、间隔越来越短。每次黑客修改网页后，只能通过备份恢复，有的黑客向网页中嵌入广告代码，信息中心人员只能一个一个网页检查、然后删除这些广告代码，给政府网站对外宣传带来了负面影响，也给信息中心人员的管理人员带来了压力。

同时，随着近几年来，网上办公的兴起，政府楼内接入网络的计算机越来越多，另外，随着职工使用计算机水平的提高，管理难度越来越大。这直接表现为许多人在上班时间聊天、下载电影、玩游戏，占用了网络带宽，导致上网越来越慢。在每天上网高峰的时期（上午10点半左右、下午3点左右），网络缓慢的几近打不开网页，只能通过重新启动交换机、双WAN口路由器的方式，恢复网络连接。

另外，当每次大规模的病毒爆发时，例如以前的“熊猫烧香”病毒、冲击波病毒、ARP病毒，都会导致整个网络瘫痪。

市政府信息中心对外面临政府网站被黑客攻击、修改页面，对内面临整个单位局域网网络速度缓慢、整个单位办公用计算机经常感染木马、病毒需要重新安装系统等诸多压力，可以说，整个网络安全状态已经到了不得不改的情况。

政府信息中心的需求主要包括以下几个方面：

ü 保护政府网站不被黑客入侵。

ü 解决局域网上网速度慢的问题。

ü 解决整个网络经常感染木马、病毒的问题。

ü 减轻信息中心人员负担。方案设计

在方案设计之前，需要详细的了解现有网络的状况。经过信息中心人员进行介绍，并经过实际考察，画出A市政府现有网络的拓扑图，如图1所示。

图1 A市政府网络拓扑

A市政府各有20M光纤分别接电信、网通（现联通）访问Internet，这两条光纤通过“光纤收发器”转成RJ45网线，接在一个双WAN口的路由器上，用做代理服务器。该双WAN口路由器LAN口接到三层交换机上，三层交换机划分了多个VLAN，每个楼层属于一个VLAN，并且在每个楼层都有一个普通的交换机。政府网站与OA服务器在同一台服务器上，直接接到三层交换机上。在双WAN口路由器上映射了一个外网地址的TCP的80端口到政府网站与OA服务器的IP地址（192.168.1.8），Internet上的用户通过政府网站域名访问，政府内的人员都是直接使用IP地址192.168.1.8访问政府网站，信息中心工作人员是使用19

2.168.1.8来访问与维护网站、更新网站内容。

3.1 网站频繁被黑的原因与解决对策

经过分析，发现网站频繁被黑的原因可能如下：

ü 操作系统漏洞：网站服务器的操作系统是Windows 2000 Server，虽然现在Windows Server 2008已经发布，Windows Server 2003应用也很成熟，但由于各种原因，服务器操作系统一直没有升级，另外，也没有及时的更新各种补丁。

ü 数据库漏洞：数据库使用的是SQL Server 2000，同样，也没有打补丁。

ü 网站代码漏洞：政府网站，是由信息中心的人员，在2001年左右，在网上下载的代码的基础上，修改成的。由于开始的时候，网站被攻击的事情很少发生，所以，信息中心的人员忽视了这方面的情况。这些网站代码中，存在SQL Server注入漏洞、文件上传漏洞、Shell漏洞等，而后台管理密码也是比较简单。

针对网站被黑的原因后，首先提出如下的解决方法：

ü 及时更新操作系统补丁与数据库的补丁。

ü 升级操作系统与数据库：由于Microsoft已经不对Windows 2000与SQL Server提供支持，建议将将Windows 2000 Server升级到Windows Server 2003，将SQL Server 2000升级到SQL Server 2005。

ü 修改网站代码，避免SQL Server注入漏洞、文件上传漏洞与Shell漏洞。

虽然知道需要修改网站代码防止网站被黑，但实际上，政府网站已经使用多年，短期内对政府网站做大的修改不容易实现，只能通过其他的技术手段来保护网站。考虑到政府网站是在局域网内由信息中心人员维护的特点，决定采用如下的技术措施：

将政府网站分成两个相同的站点，一个站点用于对外发布，供市民、网民通过Internet浏览、查看内容，另一个网站专门用于信息中心人员维护，该网站只能通过内网访问，这两个网站使用同一个数据库。而发布到Internet上的网站，其采用的SQL Server用户名密码只能“浏览”访问网站SQL Server数据库，而用于内网维护的网站，其采用的SQL Server用户对政府网站数据库有“完全控制”的权限。另外，在双WAN口路由器与三层交换机之间，增加一级代理服务器，采用ISA Server做软件防火墙与代理服务器，用ISA Server的“签名”等功能，通过过滤关键字的功能，防止文件上传漏洞、Shell漏洞等。

3.2 内网速度慢的原因与解决方法

对于局域网内，计算机速度慢、网络速度慢、经常感染病毒等问题，简单来说，如果升级计算机的配置、增加出口带宽的速度，是可以解决问题。但是，这些都是不现实的，另外，这也不是解决问题的根本方法，即使用这种方法解决了现在的问题，但过段时间，同样的问题仍然会继续。在用户现场，经过进一步分析、调查与判断，得到如下的结果：

（1）内存不足导致运行缓慢。

大多数的计算机内存都比较小，主要是256MB内存。而杀毒软件，大多数用户使用的是“瑞星”，不可否认，瑞星杀毒软件占的资源比较大，在现在主流操作系统是Windows XP SP2的情况下，安装瑞星占用的资源相对比较大。在安装了操作系统、瑞星杀毒软件，与常用的办公软件，例如Office、WPS后，系统内存占用的资源已经到了170多MB，在打开网页时，由于现在网页中图片、广告很大，IE浏览器少则会占用30MB、多则占用几百MB甚至上GB的内存，当主机内存不够的情况下，会使用硬盘空间作为交换分区（虚拟内存），这样就造成了计算机速度变慢。

（2）病毒占用系统资源。

许多计算机没有打“补丁”，在浏览一些网页时，感染了木马或蠕虫病毒，有的计算机感染了ARP病毒，所以在计算机启动的时候，这些木马或蠕虫，试图通过网络感染给其他计算机、或者试图连接广告站点，占用了系统资源，这是计算机启动慢、反应慢的最主要原因。

（3）带宽被占拖慢网速。

单位提供4MB带宽，本来是为单位上网（浏览网页）、收发邮件等正常办公使用，但近一两年来，许多用户使用计算机“水平”越来越高，一些员工在工作时间看在线视频，或者玩游戏，使用讯雷或BT下载电影，占用了大量的网络带宽，而双WAN口路由器没有流量监控与流量控制功能。经过实际测试，在看“新华网”的在线视频时，单一视频流就会占用800KB以上的带宽，理论上讲，只要单位中有20个人看新华网的在线视频，就会占用整个20M出口的带宽。这些是导致网络速度变慢的最主要原因。

对上述这些情况，可以通过打补丁、更新杀毒软件等方法解决，主要内容如下：

（1）使用微软免费产品WSUS

使用Microsoft提供的专门用于企业用户的升级服务器-WSUS，统一为网络中的计算机“打”补丁。采用WSUS，将原来每台工作站都需要访问Internet上的微软补丁站点的方法改为直接访问局域网内的WSUS服务器的方式获得补丁，即提高了更新补丁的速度，又节省了出口带宽。例如，Windows XP SP3补丁大约300MB，如果单位中的每台计算机都从Microsoft升级服务器获得补丁并升级，以100台工作站为例计算，需要下载300MB×100＝30GB，而采用W

SUS，只需要WSUS从Microsoft升级服务器下载300MB补丁，其他工作站直接从WSUS即可获得补丁。

（2）使用ISA Server禁止无序下载、限制每台计算机的并发连接数量

在双WAN口路由器与三层交换机之间，增加ISA Server防火墙与代理服务器，使用ISA Server，禁止职工在上班时间使用BT、讯雷等软件无限下载软件、视频，并限制每个计算机的并发连接数量。

（3）采用占用资源较小的杀毒软件

网络版杀毒软件太贵，可以购买支持局域网升级的杀毒软件，例如以前的金山毒霸、江民，现在的NOD32、卡巴斯基。考虑到客户端计算机配置比较低，可以选择占用资源比较低的NOD32。这样，改进后的网络拓扑如图2所示。

图2 配置防火墙与升级服务器

3.3 最终方案

在确定了网站防防护、内网安全与改造方案后，对这两个方案进行综合考虑，同时，考虑到原来的网站与OA服务器，已经使用多年，也到了升级的时候，而WSUS与NOD32服务器占用的资源并不是很多，单独放置在新买的服务器中，对服务器的资源是一种浪费。经过多方面分析，我们推荐如下的综合解决方案：

（1）购置一台高配置的、具有磁盘冗余的服务器，采用虚拟化技术，在一台服务器上实现两台虚拟机，其中一台虚拟机放置政府网站与OA网站，另一台虚拟机放置WSUS升级服务器与NOD32服务器。

（2）配置一台多网卡的、安全稳定的服务器，添加在双WAN口路由器与三层交换机之间，安装ISA Server 2006软件，做防火墙与代理服务器。

（3）修改双WAN口路由器的LAN端口地址，改为192.168.200.1，而原来的192.168.250.1用在新的ISA Server服务器接三层交换机的网卡上，ISA Server服务器接双WAN口路由器的网卡设置IP地址192.168.200.2/24。在双WAN口路由器上，设置TCP协议80端口转发给192.168.200.2，再由ISA Server转发到政府网站服务器192.168.1.8。

（4）网络中的所有工作站，配置使用局域网内的WSUS服务器进行补丁的升级，统一卸载以前的杀毒软件，改为统一使用NOD32，并指定从信息中心NOD32服务器进行升级。

（5）在ISA Server上发布政府网站，并对网站进行保护。

（6）迁移网站到虚拟机1中，并将网站分成用于Internet发布的外网网站、用于内网管理的网站。

在方案实施中将详细介绍每一个细节。如图3所示，这是网络最终的拓扑。

图3 A市政府网络安全改造方案拓扑图

3.4 方案特色

由于选择了高配置的华硕服务器，以及使用VMware ESX Server虚拟化产品，以后再需要其他服务器时，不需要再购置新的硬件，只需要在VMware ESX Server中创建新的虚拟机即可以满足应用。在本次方案中，配置的华硕TS-700高配置服务器，可以同时运行8～16台虚拟机，足可以满足现在以及将来一段时间的需求。同时，在采用虚拟化技术后，减少了服务器的购置需求，并减少了服务器在以后运行中的耗电，近一步降低了产品的使用费用，符合绿色环保、节能的需求。方案实施

在硬件、软件到位后，开始对A市政府网络进行改造，在改造的过程中，会中断网络，为了不影响大家工作，建议在休息时间，例如周六或周日。整个网络改造包括网络硬件的安装、调试与服务器的安装调试，大约需要1天的时间。方案的实施步骤如下：

6.1 在双WAN口路由器与三层交换机之间增加ISA Server防火墙

在新购置的华硕TS-500服务器上安装32位的Windows Server 2003企业版与ISA Server 2006标准版，并接在双WAN口路由器与三层交换机之间，相当于在整个网络中，增加一个“软件”防火墙，然后修改配置双WAN口路由器的配置，并转发TCP的80端口到ISA Server，再由ISA Server转发到政府网站服务器。主要步骤如下：

（1）安装32位的Windows Server 2003企业版，在安装的过程中，将硬盘划分为3个分区。分区按照2：3：2的比例。安装系统后，安装驱动程序。

（2）配置双WAN口路由器，将LAN口的IP地址由192.168.250.1修改为192.168.200.1/24，并转发TCP的80端口到192.168.200.2。并添加到192.168.0.0/18的静态路由，指向192.168.200.2。

（3）将服务器接入网络，其中一块网卡接到双WAN口路由器的LAN口（代替原来接三层交换机的端口），设置这块网卡的名称为“Internet”，设置IP地址为192.168.200.2/28，网关地址为192.168.200.1。设置另一块的地址为192.168.250.1/24（不设置网关地址），将这块网卡连接到三层交换机原来接双WAN口路由器的端口，命名这块网卡为LAN。配置好后，使用ping命令，检查网络的连接是否正确，无误之后，在命令提示符下键入如下的命令，以增加到192.168.0.0～192.168.63.0/24的路由：

route add –p 192.168.0.0 mask 255.255.192.0 192.168.250.2

（4）安装ISA Server 2006，并将ISA Server 2006安装在第2分区。安装完成后，配置ISA Server 2006，其内网地址是192.168.0.0～192.168.63.0/

24、192.168.250.0/

24、192.168.200.0/24网段。

（5）配置ISA Server 2006，允许“内网”访问“外网”，此时，局域网内的计算机应该可以访问外网。

有关这些操作的详细步骤，在我的博客中已经介绍过，不再一一介绍，如有兴趣，请参见我博客中的其他文章：

用ISA Server 2006做VPN服务器

使用ISA Server发布服务器

安全连接Internet-让ISA Server 2006做为企业中的只有经过身份认证的才允许上网！-----------ISA Se

关于WSUS服务器的几个问题公司的网络为何如此缓慢

使用ISA Server保护内部的web服务器

篇2：A市政府网络安全与网站防护解决方案

习总书记说，“网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。”，他特别指出，“网络安全是动态的而不是静态的。信息技术变化越来越快，过去分散独立的网络变得高度关联、相互依赖，网络安全的威胁来源和攻击手段不断变化，那种依靠装几个安全设备和安全软件就想永保安全的想法已不合时宜，需要树立动态、综合的防护理念。”

网站工作人员需要配合安全专员，从顶层设计上解决网络安全、平台安全和信息安全的问题，集中调度资源解决网络安全保障问题。

1、网页挂马与外链检测

每天定时检查自己的网站是否有JavaScript挂马，及时做好网站漏洞的修复，及时更新网站内容。

2、实时监测网站是否被篡改

3、敏感关键词检测

对网站所有网站页面，检测可疑关键字词。关键词模版和个性化关键词及时查找更换，4、典型漏洞

对网站日志进行监查是否有SQL注入、SQL盲注、XSS(跨站脚本)，并做详尽的记录报告。以便后期修改做准备。

5、WEB应用状态监控

定时访问网站，分析返回页面，检测错误信息，及时发现网站访问异常。当网站不可用或不稳定时管理员及时修复，本地修复不了的及时跟服务器商联系修复。

6、服务能力和性能监测

应用各大站长工具，定时检测网站访问延时，对网站访问响应时间进行监测，访问延时波动历史和趋势做统计。当访问延时超过指定时间，及时检查网站是否有超大图片，如果不是图片问题就要检查是否是js代码问题。

7、关于已知威胁漏洞

及时了解脚本、数据库等信息，针对常见WEB服务器软件(Apache、IIS、Tomcat 等)漏洞通告，及时升级或更新软件，采取应对措施规避风险。

8、网站优化

篇3：A市政府网络安全与网站防护解决方案

一、我国政府门户网站面临的威胁

从上述数据可知, 政府门户网站所面临的安全威胁正在飞速增长, 网站安全形势也日益严峻, 政府网站被攻击后造成巨大的政治风险、名誉损失和经济损失, 已经成为阻碍电子政务健康发展的一个巨大障碍。目前, 安全威胁主要来自于2个方面:一是面向网站应用的网络钓鱼、SQL注入和跨站脚本等攻击事件;二是网站自身也存在诸多安全隐患。政府网站除了面临信息系统及网络通用的安全问题外, 还有其自身特点的安全问题, 主要有以下几个方面。

1. 恶意暗链攻击。

黑客利用政府网站、教育网站的漏洞, 将一些色情、赌博、非法商品和政治性内容的网页链接上去, 再利用政府教育类网站的公信力和高流量提高自己在搜索引擎中的排名, 进而从中获利。武汉大学信息管理学院博士生导师沈阳对我国一些政府网站的“暗链攻击”状况所做的统计显示:目前, 我国政府网页收录总数为3 000多万个, 被恶意网站“暗链”上的网页高达10.22%。其中, 有诈骗、色情和赌博信息的网页最多达308万个, 占10.13%。

2. 跨站脚本攻击。

跨站脚本是一种迫使Web站点显示可执行代码的攻击技术, 而这些可执行代码由攻击者提供, 最终由用户浏览器加载。攻击目标是为了盗取客户端的cookie或者其他网站用于识别客户端身份的敏感信息。在获取到合法用户的信息后, 攻击者甚至可以假冒最终用户与网站进行交互。由于动态网页的Web应用对用户提交请求参数未做充分的检查过滤, 允许用户在提交的数据中掺入HTML代码 (最主要的是“>”和“<”) , 然后未加编码地输出到第三方用户浏览器上, 这样攻击者恶意提交的代码便会在受害用户的浏览器上解释执行。

3. 网页被攻击者篡改。

网页被攻击者篡改表现为2种形式:一是网站被入侵, 入侵者篡改了网站页面;二是网站被劫持, 攻击者不篡改网站页面, 但是劫持了网络访问并发送欺骗页面给来访者, 进而造成页面被篡改的表象。

4. 针对数据库的SQL注入和爆破攻击。

攻击者在进行SQL注入时把SQL命令插入到Web表单的输入域或页面请求的查询URL中, 欺骗服务器执行恶意的SQL命令。而攻击者的爆破攻击则通过猜测数据库文件名并在请求的URL加入数据库的路径和名称, 进而尝试下载数据库。这2种攻击对标准的编程技术效果明显。

5. 木马和病毒的破坏。

病毒的威胁体现在对程序和数据的破坏方面, 而木马的危害则在于使远程计算机能够通过网络控制本地计算机, 并且进行恶意操作。由于政府工作人员经常访问自身网站, 一旦访问了挂有木马的网页, 木马程序会自动加载到工作电脑上, 搜集并复制所选择的信息, 从而导致政务信息的泄密, 后果将十分严重。

6. 蠕虫的传播。

蠕虫可迅速蔓延到整个网络, 造成网络的瘫痪, 使访问者不能通过政府内部的网络访问政府网站, 导致政府发布的信息得不到正确传达。

二、政府网站的安全需求与防护现状

1. 政府网站的安全需求。

政府网站的安全需求与其他网站有相同之处, 也有不同之处, 总结起来主要有以下几点:所有信息不被劫持, 保密信息不被泄露和破坏, 公共信息不被篡改;保障主机和网络设备的安全, 并提供受限的服务;建立和保障及时、有效的应急响应机制, 使信息、软件、设备及其关键部件具有足够的冗余和备份;保障在线服务不受攻击。

2. 政府网站的防护现状。

以上的安全需求应当予以满足, 然而“重应用、轻安全”的网站建设与管理思想是导致目前政府网站受到危害的主要原因, 网站的规划、建设和管理过多地考虑应用的需要而对安全缺乏足够的关注, 导致了防护措施的缺乏, 主要表现为:忽视了威胁给网站带来的危害程度, 没有将安全防护放到应有的高度, 以至于前期的网站规划忽视了应有的安全措施;在建设中安全措施的条块分割限制了它们的联动结合;后期的管理维护中没有持续性的法规宣传、技术培训以及与安全策略的同步更新。

三、政府门户网站安全防护策略

任何一种安全措施的防护能力都是有限的, 只有综合采用多种安全措施并将之有机结合, 并不断探索和融合新的防护措施, 才能最大限度地保障政府网站的安全。因此, 应将法规、制度、教育、培训、交流、技术、评估和监管等防护措施有机结合起来。鉴于威胁多来自“人祸”, 而少来自“天灾”, 因此应以防治人为攻击为主, 兼顾网站自然环境灾害的防御。人为攻击多起因于恶意的动机, 所以防“人”应主要借助法律、制度及其宣传教育来约束攻击动机, 同时有必要通过安全管理和技术培训, 强制性地阻止攻击行为的进行。而对网站安全状况的评估与监管不但可以提高和保持对安全防护的重视, 而且可以起到共同防御的合力作用。基于以上思路, 政府网站可以采取如下防护对策。

1. 充分发挥信息安全法规、制度及其宣传教育的作用, 最大程度地减少攻击动机。

应以“为攻击付出足够代价”为原则, 完善和强化法规、制度对人为攻击的处罚力度。通过有效、持续的法规和制度宣传教育, 使得安全制度广为人知, 增强国民的安全意识, 严格约束政府内部人员的攻击动机。同时加强国际法律协作, 严厉惩处国外人员的攻击行为。

2. 建立信息管理和发布审核机制, 保障信息的安全。

网站管理部门应设置专门机构, 通过统一的审核对信息及相关设施进行分类、分级并确定需要公开发布的信息内容。同时, 应对不同级别的信息及相关设施分别设置专人负责管理。

3. 进行持续性的安全管理及其技术的培训和交流, 不断提高管理人员的防护能力。

投入必要的资源条件, 开展持续性的安全管理和技术的培训, 以及政府内外, 特别是政府间的安全管理经验交流, 不断提高政府网站安全管理人员的防护能力。

4. 结合多种安全技术, 构建全方位、多层次的防护体系并进行及时的维护和更新。

在网站的规划、建设与管理过程中, 应本着“安全重于应用, 安全促进应用”的原则, 按照敏感性和重要性原则, 采取与设施类别和级别成正比的防护力度, 提高有限资源的使用效率, 并将由安全检测、安全防护、安全监控与安全恢复所组成的防护流程贯穿始终。

5. 保障严格的评估和监管。

随着政府网站承载的业务和信息量的不断增多, 政府网站的检查、监管、业务指导单位有必要通过安全评估和安全监管对所属各级单位的门户网站进行管理、检查和业务指导, 可以进行如下工作:设置网站安全基线, 制定防篡改、防挂马安全规范, 提出监测、防护与处置机制要求, 要求各单位遵照执行;辅助以自动检测工具, 定期开展列表检查工作, 对各单位的执行境况进行检查;不定期进行WEB扫描, 对下属单位网站的不良使用提出建议;建立网站安全管理中心, 在各下属单位门户网站部署监控软件, 对搜集的数据进行统计和分析, 定期形成态势分析报告, 指导网站的安全建设;开展网站安全绩效评估活动;进行WEB检测、防护、实时监控与恢复的产品评测和推荐入围工作。

篇4：政府网站安全防护的对策思考

随着信息技术的广泛深入应用, 特别是电子政务的不断发展, 党政机关网站作用日益突出, 已经成为宣传党的路线方针政策、公开政务信息的重要窗口, 成为各级党政机关履行社会管理和公共服务职能, 为民办事和了解掌握社情民意的重要平台。同时, 以信息技术为核心的新一轮科技革命正在孕育兴起, 互联网日益成为创新驱动发展的先导力量, 深刻改变着人们的生产生活, 有力推动着社会发展, 也对党政机关网站建设和安全管理提出了新的挑战[1]。

2014年2月27日, 中央网络安全和信息化领导小组成立, 政府网站安全被提升到国家安全层面。党政机关网站安全管理和防护, 既要确保信息内容的准确性、真实性和严肃性, 确保信息内容不涉及国家秘密和内容部敏感信息, 又要应对黑客的恶意攻击以及网络病毒的感染等安全事件这些都严重影响着党和政府形象以及党政机关网站的权威性。在政府网站安全形势日益严峻的形势下, 如何加强政府网站安全建设, 构建一个技术先进、管理高效、安全可靠的政府网站安全保障体系, 做好网站安全防护工作, 正是各级党政机关网站在建设和管理时所要思考的问题。

1 网站安全防护工作现状

我国是网络攻击的主要受害国。侵犯个人隐私、损害公民合法权益等违法行为时有发生。2013年上半年, 中国境内被篡改的网站数量增长了63.6%, 而被篡改的政府网站数量增长了153.1%。每年有几千个政府网站页面被篡改, 同样还有相当数量政府网站被黑客植入“暗链”、广告或者木马病毒[2]。

1.1 网站安全现状

陕西一贯高度重视网络安全工作, 省政府2004年成立了陕西省信息化领导小组, 2014年省委又成立了网络安全与信息化领导小组。省内多个部门常年对省内政府网站日常情况进行监测, 并发布监测报告。根据《陕西省公共互联网网络安全情况通报》显示, 陕西省2014年各月的公共互联网网络安全状况整体良好, 未发生网络安全方面重大事件[3]。但面对互联网和信息化发展形势和任务下的新要求, 网站建设和管理工作人员需从国家安全高度理解网站安全的重要性和紧迫性, 提高安全防范意识。

1.2 存在的安全问题及其危害

2014年6月, 陕西政府网站涉及的主要网络安全事件极其危害:

(1) 网页篡改 (暗链) :对网站访问者造成不良影响;将会协助恶意网站提高搜索引擎排名, 同时影响网站的主办单位的形象。

(2) SQL注入:主要危害是包括但不局限于导致数据库中存放的信息泄露;影响后台管理权限;通过操作数据对特定网页进行篡改;修改数据库一些字段的值, 嵌入网马链接, 进行挂马攻击;数据库的系统管理员账户被篡改;服务器被远程控制安装后门, 经由数据库服务器提供的操作系统支持, 让黑客得以修改或控制操作系统。

(3) 源码泄露:未对访问权限进行严格控制, 导致敏感信息泄露, 可获取用户敏感信息并执行未授权操作。

(4) 权限绕过:网站存在站群管理平台权限绕过漏洞, 可导致非授权敏感页面。恶意用户可利用此漏洞进行非授权访问, 获取敏感信息, 进行非授权操作, 甚至上传webwell来进一步控制网站。

(5) 弱口令:恶意用户通过利用弱口令漏洞来获取管理权限, 进而利用系统相关功能进行恶意操作。

(6) 程序设计漏洞:比如任意用户密码重置漏洞。恶意用户通过重置用户密码来获取登陆权限, 进而可利用系统功能进行恶意操作。

(7) 配置漏洞:网站未做严格的权限控制, 恶意攻击者可直接访问配置文件, 将会泄露配置文件内的敏感信息。恶意用户通过尝试访问常见配置文件路径, 查看泄露敏感信息, 进而通过获取的敏感信息对网站进行渗透。

(8) 远程命令执行漏洞:网站存在Elastic Search远程命令执行漏洞。可导致远程执行系统命令, 敏感信息泄露、getshell, 进而服务器受控等危害。

2 网站安全防护工作解决对策

2.1 政府网站安全防护方案

政府网站安全管理防护, 以笔者所在单位网站为例, 主要采取人防和技防相结合的措施:1建立网站管理、信息审核、网络与信息安全应急预案等安全管理制度。2加强上网信息安全保密审查。3坚持网站24小时值班制度。4开展网站安全检查, 使用检查工具查找网站安全漏洞。5制定网络与信息安全应急预案, 组织实施应急演练。6加强网站安全技术防护, 定期做好网站信息和数据的备份。7开展网站信息系统的等级保护工作。8加强人员培训。

这些措施有效保障了网站安全, 但依然存在安全漏洞, 有被攻击的可能性。随着信息技术不断发展, 政府部门必须用发展的眼光看待网站安全工作, 跟进技术发展, 创新管理机制。

2.2 网站安全预警和检测技术对策

在创建网站安全防护体系中, 安全防护技术的开发和应用, 非常关键。目前, 众多开发商研发了多款网站预警和检测的系统。

(1) 网站安全预警:预警系统的开发, 可以全方位、多层次的预警网站安全防护所遇到的病毒、暗链等, 构建完备、协调、高效的网站预警体系, 遇到问题可进行快速应急响应, 保证网络安全可靠地运行。

(2) 网站安全检测:市场开发多种网站安全检测系统, 有些开发商甚至提供在线检测功能, 可以在线直接对网站进行检测;有些检测系统功能庞大, 对暗链、挂马、弱口令等政府网站常见问题的检测更有效, 这些系统可购置, 也可通过购买服务使用;现在业界认为, 完全自动的检测, 常常出现错漏, 市场提供网站渗透性测试, 即组织专业人士, 模拟黑客对网站进行攻击, 寻找网站薄弱环节, 这些都可以通过定制服务来完成。

2.3 网站安全防护体系建设

研究建立以网页防篡改、域名防劫持、网站防攻击以及密码技术、身份认证、访问控制、安全审计等为主要措施的网站安全防护体系。对照网站安全防护现状, 逐步施行所需防范措施, 充满考虑关联性, 设计防护对策。强化运维管理、应急响应, 强化网站日常巡检和监控, 特别注意购买和定制服务的安全管理。

3 对策和建议

(1) 加强宣传, 提高认识。在网站建设管理部门和整个系统内加大网站安全防护的宣传, 让每一个工作人员都认识到网站安全防护的重要性, 学习网站安全知识, 掌握一定的防护技术。

(2) 制定制度, 建立机制。制定网站安全防护相应制度, 确保制度的可行性。加大执行了和监督力, 建立长效工作机制, 定期组织对网站进行隐患排查, 对日常维护工作进行审计, 发现问题及时妥善处理, 找出薄弱环节, 予以整改。

(3) 技术创新, 因地制宜。积极利用新技术提升网站服务能力和水平, 根据实际情况, 有针对性地采取防范措施和解决方案。在实际工作中, 创新防护方式, 可引入渗透性检测等新形式。

(4) 建立网站安全防护体系。按照同步规划、同步建设、同步运行的要求, 参照国家有关标准规范, 从网站安全工作实际出发, 建立以网页防篡改、域名防劫持、网站防攻击以及密码技术、身份认证、访问控制、安全审计等为主要措施的网站安全防护体系, 制定应急预案, 提高网站防篡改、防病毒、防攻击、防瘫痪、防泄密的能力。

(5) 运维管理、队伍建设。强化运维管理, 培训相关工作人员, 汇聚专业人才, 建设一支政治强、业务精、作风好的队伍, 确保网站安全工作的持续健康发展。

参考文献

[1]中央网络安全与信息化领导小组, 关于加强党政机关网站安全管理的通知 (中网办发文[2014]1号) .

[2]吴铭政府网站危机《法治与社会》2014年04期.

[3]陕西省通信管理局《陕西省公共互联网网络安全情况通报》2014年1-10期.

篇5：A市政府网络安全与网站防护解决方案

网站是一个企业提高知名度, 塑造企业良好形象的一个重要宣传窗口。如今随着信息化技术的普及, 搭建网站已经成为绝大多数企业的选择。由于网站是对外开发的, 往往成为黑客重点攻击的目标, 据统计每年网站被攻击的次数达几百万次, 每年约有5万到10万个网站被黑客控制, 网站的安全问题开始受到越来越多人的关注与重视。

2 常见网站服务器安全问题

2.1 windows漏洞攻击

众所周知, windows系统本身存在很多漏洞。目前网站服务器被攻击80%都是由于没有及时的更新系统补丁, 以致于被黑客利用, 而导致网站被攻击、被挂马, 其中漏洞就包括IE漏洞、IIS漏洞、adobe漏洞、数据库漏洞、零日漏洞、WEB漏洞与开发人员的脚本漏洞等。黑客正是利用这些漏洞, 取得了网站的控制权, 从而达到修改网站程序, 窃取网站数据的目的。

2.2 端口攻击

端口攻击也是黑客最擅长利用的一种手段。windows的端口范围从0-65535, 其中21端口提供ftp服务, 80端口提供http服务, 8080端口提供www代理服务的, 还有其它一些端口提供UDP、SSH与Telnet等不同的服务。DOS攻击就是利用UDP端口, 通过发送UDP数据包, 达到攻击服务器的目的, 而通过TCP服务, 可以利用源地址欺骗、IP欺骗与DNS欺骗等方式攻击网站服务器, 从而取得网站的控制权。

2.3 数据库攻击

数据库攻击主要包括口令入侵、特权提升、漏洞入侵和SQL注入等。口令入侵和特权提升就是利用数据库的弱口令或者默认的用户名与口令进行破解, 从而提升系统的访问权限, 达到控制网站的目的。漏洞入侵则是利用数据库漏洞来攻击, 比如Oracle就有20来个漏洞。SQL注入是由于程序员在编写代码的时候, 没有对输入数据的合法性进行判断, 使得应用程序存在安全隐患, 黑客利用这个隐患提交一段数据库查询代码, 根据程序返回的结果获得某些他想得知的数据, 为下一步攻击提供依据。

2.4 脚本攻击

脚本攻击即跨站脚本攻击 (Cross Site Scripting) , 缩写为XSS。XSS是一种经常出现在web应用中的漏洞, 它指的是黑客在Web页面里插入恶意html代码或客户端脚本, 当用户浏览该页面时, 嵌入到Web里面的恶意代码和脚本就会被执行, 从而达到攻击网站的目的。XSS攻击属于被动式攻击, 但危害性不可忽视, 它主要用来窃取网站用户账号, 篡改网站数据, 网站挂马和控制网站服务器并向其它服务器发起攻击等。

2.5 远程暴力破解

网站服务器如果开放了远程桌面, 黑客就可以利用数据字典, 暴力破解工具等来破解服务器管理员的用户名与密码。这种方式的破坏力是非常强的, 一旦拥有了系统的管理权限, 就可以在网站服务器上进行任何操作, 包括篡改网站程序和窃取数据。现在这类破解工具很多, 而且操作上难度不高, 所以最容易被黑客利用。

2.6 木马后门

木马攻击是黑客最常用的攻击方法, 现在网络上的木马都是以惊人的速度在增长, 而且范围相当广, 破坏力非常大。由于木马具有隐蔽性与欺骗性, 很不容易被发现, 被木马控制的网站, 产生的损害是可想而知的。木马的传播途径很多, 包括网站挂马, 伪装成正常的安装程序, 捆绑安装程序与文件等。木马本身不具有破坏性, 它一般都是自动加载到开始菜单或者设置触发条件等, 这样每次木马会自动运行, 收集信息用于黑客进行攻击网站之用。

3 常用防范措施分析

3.1 及时更新补丁

针对windows的系统漏洞, 微软公司都会经常发布相应的补丁程序。据统计, 如果能够及时下载系统补丁, 可以有效拦截80%以上的攻击, 这是一种有效的拦截手段, 特别是针对IIS, asp之类的关键补丁。为了网站的安全, 要确保每个补丁都及时更新。

3.2 关闭开放的端口

黑客经常利用网站服务器对外开放的端口来发起攻击, 所以关闭一些不必要的端口, 有利于避免网站遭到攻击。例如SQL Server默认的1433端口, 用于远程桌面的3389端口以及135, 139, 445端口等, 都可以通过防火墙的配置来关闭。此外, 再配合防火墙其它的安全策略, 能够在一定程度上抵挡黑客对网站的攻击。

3.3 关闭数据库对外开放的权限

由于网站是对外开放的, 而数据库本身是不对外开放的, 所以应该在配置防火墙安全策略的时候关闭数据库的端口, 防止黑客通过数据库服务端口进行攻击。在管理员权限方面, 最好禁用数据库默认的管理员权限, 新建管理员账号, 密码注意用大小写字母、数字和符号等组成, 提高密码的复杂程度, 以减少黑客使用暴力破解工具来破解数据库管理员密码的成功机率, 保证网站数据库的安全。

3.4 利用软件扫描网站的漏洞

很多网站技术人员由于技术有限, 在网站开发中会出现一些漏洞, 使得容易被黑客检测到并利用其植入代码, 从而获得管理员权限, 以达到控制网站服务器的目的。针对这种情况, 目前有很多可以扫描网站漏洞的软件, 可以借助这些工具综合分析网站的安全性, 其中包括大名鼎鼎的X-Scan, X-WAY, MatriXay等, 这些软件都可以用来扫描出网站存在的漏洞, 并进行风险等级的评估, 方便网站管理员测试和修补漏洞, 做到防患于未然。

3.5 增加管理员账号的复杂程度

很多网站管理员都是使用系统默认的用户, 这样容易被黑客利用数据字典与暴力破解工具来破解, 为了避免这种情况, 应该修改服务器默认的管理员账号, 采用一个较为复杂的名字来代替, 而对于服务器管理员的密码, 为了防止被暴力破解, 应该采用不规则组合, 以加大破解的难度, 而且要注意定期修改密码, 以提高网站服务器的安全性。

3.6 注意安装更新杀毒软件

对于网站服务器来说, 安装杀毒软件是必须的, 目前最常用的企业版杀毒软件有symantec的诺顿、趋势科技、瑞星和金山等, 这些杀毒软件都有安全套装, 具有防病毒、防木马和网络防火墙综合于一体的功能, 可以抵御来自网络的病毒、木马和攻击, 形成一个有效的防护网。

4 结束语

总而言之, 保障企业网站的安全需要软件和硬件多方面的支持, 除了上述的措施, 还包括VPN, 网页防篡改系统和入侵检测系统等, 只有把这些方式都结合在一起, 才能优劣互补, 从根本上解决网站服务器的安全问题。

参考文献

[1]邓吉, 柳靖.黑客攻防实战详解[M].北京:电子工业出版社, 2006.

篇6：A市政府网络安全与网站防护解决方案

随着网络技术和网络规模的不断发展以及电子教育类门户的兴起, 许多大学院校都建立了自己的教育类门户网站, 针对网络和计算机系统的攻击已经屡见不鲜, 在构建网站的时候, 都会考虑网络安全问题, 对于网络安全的投入较大, 如使用防火墙、入侵检测、大学院校防病毒等安全产品, 但网站还是有被攻击, 甚至完全被控制的可能。ASP (Active Server Pages) 作为一种典型的服务器端网页设计技术, 它将脚本、超文本和强大的数据库访问功能融合在一起, 集简单性、高效性和易扩展性于一身。本案就以ASP+ACCESS为例, 浅谈数据库漏洞和网络安全防御的解决对策。

2 安全问题分析

ASP+Access解决方案的主要安全隐患来自Access数据库的安全性和ASP网页设计过程中的安全漏洞。在ASP+Access网站中, 如果获得或者猜到Access数据库的存储路径和数据库名, 则该数据库就可以被下载到本地。

Access数据库的加密机制比较简单, 即使设置了密码, 解密也很容易。设置密码后的数据库系统通过将用户输入的密码与某一固定密钥进行“异或”来形成一个加密串, 并将其存储在*。mdb文件从地址“&H42”开始的区域内。由于异或操作的特点是“经过两次异或就恢复原值”, 因此, 用这一密钥与*。mdb文件中的加密串进行第二次异或操作, 就可以轻而易举地得到数据库的密码。

ASP程序采用的是非编译性语言即用明文方式来编写的, 这大大降低了程序源代码的安全性。

3 安全防范策略

3.1 非常规命名

提高数据库的安全性, 就要避免包含文件和Access数据库文件被下载, 并防止下载地址泄露, 过滤变量输入中的非法字符和改造危险的SQL语句, 对数据库内容和数据库联接字符串加密, 将数据库连接文件放到其他虚拟目录下。

如使用虚拟主机, Access数据库就命名为#文件名。asp, 并且建一个临时表, 表中有一字段OLE对象输入<%或%>等字符, IIS就会按ASP语法来解析, 然后就会报告500错误ASP代码, 让ASP不能被正确的解释。在数据库名前加上#, 这样, 如碰到此类SQL查询语句:“select*from d:webdata#data。asp。admin”, 系统会提示出错, 因为#在SQL语法中有表示日期的作用, 语法出错也就不会去执行查询条件了。

如使用托管主机并且拥有主机权限, 数据库应放到IIS以外的目录下。在IIS中, 将数据库属性设置文件不可以读取。如Web目录在d:webWebsite目录下, 那么就把数据库保存在d:webdata目录下。

3.2 使用ODBC数据源

如果源代码失密后, 数据库也将随ASP源代码的失密而一同失密。如果使用ODBC数据源, 就能有效地解决这样的问题。所以, 在ASP程序设计中, 应尽量使用ODBC数据源, 不要把数据库名直接写在程序中, 例如:DBPath=Server。Map Path (”cmddb。mdb“) , conn。Open”driver={Microsoft Access Driver (*。mdb) };dbq=“&DBPath, 万一泄漏了源程序, 那么Access数据库的名字就一览无余, 因此要在ODBC中设置数据源, 在程序中这样写:conn。open”ODBC-DSNname“。

3.3 Session对象进行注册验证

为防止未经注册的用户绕过注册界面直接进入应用系统, 可以采用Session对象进行注册验证。Session对象是ASP为克服HTTP的无状态性而引入的一个服务端对象, 可方便地用来保存客户的个性资料。Session对象的值保存在服务器方, 各个客户的Session对象互相独立。Session对象最大的优点是可以把某用户的信息保留下来, 让后续的网页读取。但一般的注册页面, 设计要求用户注册成功后系统启动“scmis。asp?s=1”页面。如果不采用Session对象进行注册验证, 则用户在浏览器中键入“URL/scmis。asp?=1”即可绕过注册界面, 直接进入系统。利用Session对象可以有效阻止这一情况的发生。