门户网站综合服务平台介绍

门户网站综合服务平台介绍上海致达信息产业股份有限公司

目录

第 1 章平台背景 (3)

1.1门户网站可用性 (3)

1.2网站效能指标 (3)

1.3门户网站安全性 (3)

第 2 章门户网站综合服务平台简介 (5)

第 3 章产品概述 (6)

3.1运行平台监控系统 (6)

3.1.1 运行平台监控系统支持监控内容 (6)

3.1.2 运行平台监控系统功能特点 (7)

3.1.3 标准化规范 (8)

3.1.4 系统目标及客户价值 (9)

3.2网站安全评估检测系统 (10)

3.2.1 Web应用程序安全评估 (10)

3.2.2 安全评估流程 (16)

3.2.3 安全加固建议 (17)

3.3网站诊断纠错系统 (18)

3.3.1 系统产品原理 (18)

3.3.2 系统功能特色 (19)

3.4用户体验分析系统 (21)

3.4.1 日志流量访问分析运行流程 (21)

3.4.2 日志流量访问分析指标 (22)

3.4.3 日志流量访问分析技术特性 (22)

3.4.4 日志流量访问分析子系统原理及特点 (23)

第 4 章门户网站综合服务平台运营 (25)

4.1服务运营 (25)

4.2服务内容 (25)

4.3网站影响 (27)

4.4性能影响 (27)

第 1 章平台背景

1.1 门户网站可用性

无论是电子政务网站还是电子商务网站，随着互联网的高速发展以及用户参与度的不断提升，对门户网站的可用性、可靠性运转提出了更高的要求。但是由于大型网站的网页数量庞大，应用平台众多，网站运行的各个指标不能及时准确的测定，同时也缺乏必要的技术手段进行监测：网络是否延迟、设备是否正常、网页链接URL是否错误、应用是否可访问、页面访问负载量是否过大等。最终导致管理者不能及时发现网站运行中的风险。目前大多数门户网站的运营还处于“事后救火”的状态。

1.2 网站效能指标

目前运行的门户网站中哪些应用和内容是用户关注度较高的？存在哪些地域访问差异性？各栏目的更新量访问量排名又是如何？都需要通过专业的产品或工具进行收集和统计，为管理者考核编辑工作业绩以及指导业务发展决策提供必要的信息。

在国际互联网行业，网站的指标化管理是近两年最先进的管理模式，具备先进的用户体验和日志/行为分析平台已经成为大型网站现代化管理的标志。

1.3 门户网站安全性

同时，随着互联网技术的迅猛发展，许多用户的关键业务越来越多地基于Web应用，在通过浏览器方式实现展现与交互的同时，用户的业务系统所受到的威胁也随之而来，并且随着业务系统的复杂化及互联网环境的变化，所受威胁也在飞速增长。

据国家计算机网络应急技术处理协调中心的统计调查显示，各种网络安全事件都有明显增加，被植入木马的主机数量大幅攀升。中心通过技术平台共捕获约90 万个恶意代码，比2010年同期增长62.5%；网页篡改事件和网络仿冒事件同比增长分别是23.7%和38%；木马控制端IP地址总数为280068个，被控制端IP地总数1485868个。

如此糟糕的安全状况，给WEB应用系统的稳定运行带来了前所未有的压力，Web应用系统的安全已经成为了目前迫切需要解决的问题。

第 2 章门户网站综合服务平台简介

上海致达信息产业股份有限公司是国内领先的网站诊断监测服务商，也是专业的网站安全防护机构。公司旗下的“运行平台监控系统”以实际IT应用系统为整体监控对象，对网站运行支撑平台的网络设备环境、系统资源状况、业务流工作流、数据库及应用层实施统一监控，从多角度判断应用系统的运行状况，从而实现一个持续、动态、高适应性的立体监控体系；“安全评估检测系统”则是从整体的应用安全评估角度出发，通过对网站的整体安全扫描，快速检测可能存在的SQL注入、跨站脚本、表单绕过、Cookie注入、程序后门等应用弱点，根据检测结果采取针对性的安全加固措施，使网站运行在比较安全的应用环境；“网站诊断纠错系统”可高频度扫描政府网站的每一个动静态网页，并实现特征检查和内容检查，系统根据分析结果判断网站是否存在缺页、缺图及多媒体附件缺失等情况。系统在给出具体缺失页面URL的同时，还可以发送短消息、MSN、邮件等告警信息；“用户体验分析系统”通过对站点访问、视频访问、链路延时性能以及网站访问量、访问内容、访问来源进行汇集和行为分析，为优化关键Web应用事务性能、评估自身网站在行业中的地位，指导业务发展提供高质量、可靠数据依据。

针对故障问题统一监管、及时响应以及快速处理、恢复的需求，公司在2011年成立了致达-门户网站综合服务平台运营中心，在上海配备专业服务团队，采用“人+平台+告警通知”的独特模式，以“第一时间发现！第一时间阻断”为安全策略，实行24小时值班制度，为政府、企业以及商务网站提供安全诊断和网站监测服务，开创一种全新的远程服务运营模式。

第 3 章产品概述

3.1运行平台监控系统

运行平台监控系统以实际IT应用系统为整体监控对象，对网站运行支撑平台的网络设备环境、系统资源状况、业务流工作流、数据库及应用层实施统一监控，突破常见监控系统、监控对象的局限性，可以根据用户使用计算机系统的实际监控需要，对设备、系统、应用等各种对象进行组合，从多角度判断应用系统的运行状况，从而实现一个持续、动态、高适应性的立体监控体系。

运行平台监控系统采用ACE（Adaptive Communication Enviromnent）开发平台，以自主开发的LCom组件技术实现设备组件操作系统无关性，利用自主知识产权LeisureC 描述解释语言研发而成。

3.1.1 运行平台监控系统支持监控内容

注：部分监控需开放SNMP端口和安装代理。

3.1.2 运行平台监控系统功能特点

1、智能化系统设计，及时提示设备故障点，支持在最短时间内的故障修复

系统支持各种模式的主动告警方式，支持复杂的告警规则自定义，使维护支持人员能在最短的时间内了解设备故障情况，采取合理措施，予以修复。

2、规划图展示方式，以应用系统为单位，进行立体监控

用户可以根据目前系统运行情况，自行建立应用系统运行框架，对该系统中需要监控的设备，设立系统监控点，进行全面管理和纵向监控，及时发现系统故障点。

3、自定义设备属性和功能，灵活设置设备监控点

可通过对系统属性和功能的定义，设立设备监控点，对设备进行有侧重点的监控，以及根据监控情况，及时添加和删减监控点。

4、支持建立有效的系统运行评估体系

统一管理应用系统的各种监控点，以及各项监控要素，不仅能在系统测试阶段，配合各种性能测试工具，对系统的各种运行指标进行验证，以最大限度降低系统的运行风险和运行成本，同时，在系统上线运行后的维护阶段，及时监控和采集各种运行数据，有利于建立统一的系统运行评估体系，形成一整套系统运行参数标准，划分故障等级或安全级别，并以此对系统运行情况进行评估和预测，支持系统的管理决策。

5、集成型平台结构，支持各种设备类型和功能的扩展

集成型平台结构，不仅支持各种不同设备的直接接入，而且支持各种专业监控系统的集成，以最大化地实现用户内部各种不同类型的系统及设备的集成监控。

6、统一界面和操作模式，方便日常操作和管理

统一的操作和管理界面，统一的报表体系，不仅有利于维护支持人员的日常操作和管理，而且有利于用户对各类设备和系统之间的运行情况进行横向的比较和分析。

3.1.3 标准化规范

●设备级工作时间规范

可提供每个设备的工作时间（如ATM设备的营业时间等），可以更准确的

进行故障率统计，防止误报。

●功能组件级工作时间规范

系统规范规定平台组件库中的每个组件都必须有工作时间属性，这样给

用户对于监控功能的使用提供了极大的灵活性和适应性。比如为了不影

响业务系统，在系统实施监控时常规的方法之一是：在9:00到18:00

的高峰业务时间内采用日志关键字+日志文件变化等监控方式判断交易

系统的交易状态；在非该段时间类采用模拟交易的方式监控24小时运行

的应用系统状态。

●模拟交易规范

系统根据经验的积累制定了一系列的模拟交易规范，如TCP方式、HTTP

方式等。接口协议中也包含了模块ID、归属设备ID、进模块时间戳、出

模块时间戳等标准规范内容。

●应用级监控规范

正是由于系统制定的应用级监控规范，使得可以将组件很方便的和应用

系统进行关联。举例来说，一台WEBLOGIC服务器可能同时服务于多个应

用系统，在监控系统中由于组件的规范化，用户可设定不同进程归属的

应用系统，用户可以判断同一个服务器针对不同应用系统的资源使用状

况。规范还包括业务数据采集规范等内容。

3.1.4 系统目标及客户价值

1、产品目标

运行平台监控系统产品的集成监管目标如下：

无－》[无任何监管]

被动监控－》[产生故障后报警]

主动监控－》[故障前数据分析预警]

数据分析－》[通过数据分析辅助决策]

提升绩效－》[业务系统可靠稳定运行]

使用运行平台监控系统，会根据网站实际需求建立一个完善全面、系统科学的信息安全监管体系，解决现实工作中面临的各种信息安全及可靠性问题，加强网站工作电子化、信息化服务的深度，从而实现更好的工作效率保障、更完善的服务于大众。

2、客户价值

●即时告警，减少损失

●提前预警，避免损失

●性能分析，精确预算

●节省人力，增加效益

●工作考核，提高效率

●综合监管，提升满意

运行平台监控系统是个动态的运维监管系统，可以根据网站信息化业务系统的发展变化，及时扩展、迅速适应。因此随着时间的推移，产品将不断的积累运维的新经验，形成持续发展的知识库；而用户的运维成本、IT系统的故障率也会持续降低，IT系统的服务质量也将持续提升。

3.2 网站安全评估检测系统

网站安全评估是从风险管理的角度，运用科学的方法和手段，全面检测网络和信息系统存在的脆弱性，系统分析和评估安全防护水平，从而有针对性地提出抵御威胁的防护对策和整改措施，将安全风险控制在可接受的水平，最大限度的保障网络和信息安全。

网站系统基本的组成为网站代码和后台数据，在系统结构方面由Web服务器和数据库服务器构成。综合服务平台将利用专业的Web应用安全评估系统，对Web应用进行深层次多角度地检查，挖掘出数据库数据泄漏、SQL注入、跨站脚本、网页木马、上传漏洞、Web站点管理员账号弱口令、敏感信息泄露等严重威胁网站应用安全的弱点漏洞，按照每月一次（可定制）的定期安全评估。

3.2.1 Web应用程序安全评估

综合服务平台运营中心主要利用国内领先的Web应用弱点扫描器、数据库弱点扫描器及其他主机评估工具，针对网站Web应用系统、数据库应用系统、相应重要主机进行漏洞扫描，同时采用人工检查的方式进行人工评估。

●漏洞扫描主要依靠带有安全漏洞知识库的网络安全扫描工具对网站进行基

于网络层面安全扫描，其特点是能对被评估目标进行覆盖面广泛的安全漏洞查找，并且评估环境与被评估对象在线运行的环境完全一致，能较真实地反映主机系统、网络设备、应用系统所存在的网络安全问题和面临的网络安全威胁；

●漏洞扫描对网络的影响很小，可以在不影响被扫描对象正常业务的情况下，

对其安全状况做出全面、准确的评估；

●整理Web应用系统、数据库应用系统、主机系统漏洞列表；

●人工对Web应用系统、数据库应用系统、主机系统漏洞列表进行漏洞匹配。

3.2.1.1漏洞检测

应用系统以及相关应用程序在开发过程中，由于开发者的疏忽导致应用系统

存在可利用的安全漏洞。一般包括SQL注入漏洞、跨站脚本漏洞等安全漏洞。

1、SQL注入漏洞

SQL注入漏洞的产生原因是网站程序在编写时，没有对用户输入数据的合法性进行判断，导致应用程序存在安全隐患。SQL注入漏洞攻击就是是利用现有应用程序没有对用户输入数据的合法性进行判断，将恶意的SQL命令注入到后台数据库引擎执行的黑客攻击手段。

2、跨站脚本漏洞

跨站脚本攻击简称为XSS又叫CSS (Cross Site Script Execution)，是指服务器端的CGI程序没有对用户提交的变量中的HTML代码进行有效的过滤或转换，允许攻击者往WEB页面里插入对终端用户造成影响或损失的HTML代码。

3、第三方软件漏洞

第三方软件漏洞一般是指网站后台编辑器、服务器软件如IIS、Apatch等本身可能存在的安全漏洞，导致对外服务网站存在入侵隐患。

4、敏感信息泄露

错误页面、Web站点发布的相应页面中的备注中、网站备份文件、目录列表等存在的敏感信息泄露，为黑客攻击提供了相应信息收集的渠道。

3.2.1.2系统配置

由于系统管理员或网络管理员的疏忽或安全意识的缺乏导致应用系统存在可利用的安全漏洞。一般包括弱口令、CGI漏洞等。

1、弱口令

弱口令通常有以下几种情况：用户名和密码是系统默认、口令长度过短、口令选择与本身特征相关等。

系统、应用程序、数据库存在弱口令可以导致远程入侵者直接得到系统权限、修改盗取数据库中敏感数据、任意篡改页面等。

2、CGI漏洞

CGI漏洞是指由于网站配置管理疏忽，导致网站敏感信息泄漏。一般敏感信息包括有关Web应用系统的信息，例如，用户名、物理路径、目录列表和软件版本。尽管泄漏的这些信息可能不重要，然而当这些信息联系到其他漏洞或错误设置时，可能产生严重的后果。

例如：某源代码泄漏了SQL服务器系统管理员账号和密码，且SQL服务器端口能被攻击者访问，则密码可被攻击者用来登录SQL服务器，从而访问数据或运行系统命令。

3.2.1.3木马检测

由于应用系统存在可被利用的安全漏洞，可能已被恶意人员进行挂马获取相应权限或用以传播病毒。

综合服务平台运营中心主要通过人工检查的方式对WEB应用系统中可能已经存在的恶意代码进行安全检测，及时发现并清除木马病毒。

3.2.1.4渗透测试

渗透测试是对安全情况最客观、最直接的评估方式。

网站安全评估系统通过模拟黑客的攻击方法对Web应用进行非破坏性质的攻击性测试，目的是侵入系统，获取系统控制权并将入侵的过程和细节产生报告给用户，由此证实Web应用系统所存在的安全威胁和风险，并能及时提醒Web

应用系统管理员完善安全策略。

1、测试流程

综合服务平台运营中心所进行的渗透测试，主要通过利用目标网络的安全弱

点模拟真正的黑客入侵攻击方法，以人工渗透为主，以攻击工具的使用为辅，在保证整个渗透测试过程都在可以控制和调整的范围之内尽可能的获取目标信息系统的管理权限以及敏感信息。

主要流程如下：

1)信息收集

信息收集是指渗透测试实施前尽可能多地获取目标信息系统相关信息，例如网站注册信息、共享资源、设备/系统版本信息、已知漏洞及弱口令等等。通过对以上信息的收集，发现可利用的安全漏洞，为进一步对目标信息系统进行渗透入侵提供基础。

2)弱点分析

对收集到的目标信息系统可能存在的可利用安全漏洞或弱点进行分析，并确定渗透测试的方式和步骤实施渗透测试。

3)获取权限

对目标信息系统渗透测试成功，获取目标信息系统普通权限。

4)权限提升

当获取目标信息系统普通管理权限后，利用已知提权类漏洞或特殊渗透方式进行本地提权，获取目标系统远程控制权限。

2、测试用例

1)SQL 注入测试

2)XSS测试

3)CSRF测试

4)信息泄露测试

5)上传文件测试

3、深入渗透阶段

这一阶段主要是扩大渗透测试取得的成果，进一步模拟攻击者在获取目标系统低权限操作时进行权限的提升以及进一步渗透其他系统。

该阶段的测试方法包括：

●利用操作系统漏洞提升权限；

●利用Autorun.inf机制进行权限提升；

●利用其他软件漏洞进行权限提升；

●寻找其他方面的漏洞。

3.2.2 安全评估流程

1)安全评估准备阶段

进行安全评估前，综合服务平台运营中心确定安全评估人员，成立安全评估小组，做好系统调研，并确定风险评估的目标、范围。

2)脆弱性识别阶段

安全评估小组针对网站系统发现识别可能存在的脆弱性，其中，脆弱性是指可被恶意利用或可能对网站系统造成影响的弱点，如网络安全漏洞、Web应用漏洞、Web应用木马以及系统漏洞。

脆弱性识别的途径主要通过借助工具软件自动化的漏洞扫描工具、人工木马检测以及渗透测试等方法来识别。

3)脆弱性分析阶段

脆弱性分析主要包括两个方面：一是安全事件发生的可能性，二是安全事件造成的损失。安全事件发生的可能性，可根据脆弱点可利用程度来判断；安全事件造成的损失，可根据脆弱点的严重程度及安全事件发生后对网站系统产生的影响来判断。

在脆弱性分析阶段，安全评估小组将根据脆弱性分析结果，针对用户网站系统所存在的安全威胁推荐安全解决方案。

4)汇报验收

综合服务平台运营中心在评估工作完成后，将向客户提交《网站系统安全评估报告》以及项目相关中间材料。

3.2.3 安全加固建议

综合服务平台运营中心对用户网站的安全评估结果进行分析，针对存在的安全威胁与风险，制订具有针对性的安全加固方案，并确保安全加固方案的有效性和可操作性。

3.3 网站诊断纠错系统

网站诊断纠错系统可对目标网站的每一个动静态网页进行检测，并自动分析出这些网页的链接关系。系统根据分析结果判断网站是否存在缺页或者缺图的情况，或存在多媒体附件（ZIP/DOC/PDF/MP3等文件）缺失的情况。系统在给出具体缺失页面URL的同时，还可以显示其引用该错误URL的路径和网站原页。是用于Web网站缺陷检测、网站指标统计与性能趋势预测的大型网站维护管理系统。

3.3.1 系统产品原理

网站诊断纠错系统由“网站诊断探针子系统”和“诊断信息分析处理子系统”组成。其中网站诊断探针（Probe）系统包括：性能探针、错误链接探针、网页特征扫描探针；诊断信息分析处理系统包括：性能指标统计系统(Data Mining)、图表报告生成子系统（Report Output）、信息告警推送子系统(Alert Message Fire)。

1、可用性探针：

对目标网站的页面进行周期性的访问，记录网站每一次不可访问的时

间，网站响应错误代码，断网持续的时间。每一次探测到网站不可访

问，可用性探针将向告警处理中心发送一个可用性错误代码。

2、网站速度诊断探针：

对目标网站主要栏目页面进行周期性访问，记录每一次HTTP请求发

出和对应WebServer的HTTP响应时间，记录网页第一个字节到达浏

览器时间和传输完毕时最后一个字节到达的时间，从而描绘出目标网

站长时间的性能变化趋势。网站每一次超时，速度探针将向告警中心

发送一个超时错误代码。

3、网站错误链接诊断探针：

错误链接探针对网站指定的频道、栏目进行URL链接缺失扫描。记录

错误引用页之间的关系，以及错误追溯路径，可以让用户通过“错误

定位”直接找到发生错误的页面。

4、诊断信息处理系统：

诊断信息处理子系统可完成对海量采样数据的统计分析、图表生成、

趋势预测等数据计算任务。信息告警模块可将统计报告或告警信息以

用邮件、个性Web页或短消息方式推送给网站管理者。

3.3.2 系统功能特色

3.3.2.1网站故障管理统计功能

网站故障管理功能可以让网站管理员对发现的网站故障进行登记、追踪、分析、统计。举例如下：某网页图片缺失，管理员可根据实际情况判断其原因为“主机宕机问题”、“网络问题（如：路由器端口故障）”、“人为问题（如：编辑人员没有上传）”、“软件故障（如：网站管理系统BUG、或者编程人员失误）”。网站管理人员可根据实际情况将故障原因输入网站诊断纠错系统，并督促各部门解决，也可随时调出故障记录用于跟踪与分析。

对于网站运营的主管领导，可通过网站管理业绩考核功能检查每个部门的工作成效，比如，系统可以统计出每个月（季度、年）网络事故占总故障率的百分比、人为事故率占总故障率的百分比等等，如有必要可以细分到某个栏目事故占总故障的百分比。这样在统计数据面前，每个部门的工作业绩一目了然，便于领导进行工作评议与总结。从这个角度来说有助于改善工作流程、提高工作效率。

3.3.2.2网站诊断告警信息自动发送功能

网站诊断纠错系统具备告警信息自动发送功能，可通过SMS短消息和电子邮件方式及时向用户发送故障通知。用户可灵活定制不同告警信息发送的时间和接收对象。比如：网站首页不可访问告警信息可发给网站主管领导、技术部经理、网络工程师等；如果某一个栏目有问题（缺图缺页）则告警信息直接发送给栏目编辑人员即可。

3.3.2.3网站诊断故障自动跟踪功能

本系统应用了目前国内领先的故障跟踪技术，该技术由“网站拓扑结构自动发现”功能、“网站地图节点自动绘制”功能、“网站错误路径自动计算与追踪”功能组成。

大型网站一般栏目众多，结构非常复杂，仅凭人工很难及时掌握全网站的拓扑结构，给网站管理者的工作带来不便。网站诊断纠错系统可自动为网站绘制出详尽准确的诊断路径，并将“问题节点”与“正常节点”以不同颜色区分。为了方便追踪错误，系统在诊断地图上标明问题节点的追踪路径。

3.3.2.4网站诊断报告自动生成

为了便于网站管理者对网站运行情况全面掌控，网站诊断纠错系统提供网站诊断报告功能，系统可以将网站运行状态数据按照时间（每天/每周/每月/每季度/每年）统计成图表，供管理者参考。