安恒信息电子政务网站安全防护解决方案

电子政务网站安全防护解决方案

1. 门户网站安全综述

随着信息技术的发展网上办公、网上办事已经进入我们的日常生活，政府门户网站职能也有了较大的改变，由原来的静态内容发布转变为全面而复杂的电子政务外网系统。然而随着信息技术进步的同时，我们要面对的信息安全问题也日益增多，我们面临的安全威胁正在不断增长，如何建设一套完整网站安全解决方案已经成为当前必须面对一个问题。

政策性要求

继等级保护对政府网站明确要求之后，政府网站绩效考核也明确了对网站的安全要求，2010年国务院下发了40号文件进一步提出了对政府门户网站应加强安全管理和部署防御措施。

面临的主要威胁

政府门户网站的安全主要涉及两大应用系统的安全，即门户网站和邮件系统安全，两个应用系统对外网完全开放。如果安全方面处理不得当将来导致较为严重的安全事件，可能面临的主要威胁如下：

门户网站

随着国家对信息安全的重视和对非法入侵打击力度的加大，传统的以入侵政府网站进行篡改页面的行为已经不再多见。为了降低入侵风险、提高入侵收益，入侵者大多采用更为隐蔽的手段从事入侵活动。

?入侵管理后台发布恶意言论：网站管理后台被入侵，导致网站发布内容被入侵者控制，如地震期间某权威地震网被黑客控制，发布错误的地震预警信息制造社会恐慌；某政府网站被入侵，国家禁止发布影响社会稳定的事件被暴光等类似的网站后台入侵事件给网站和政府声誉带来极大的破坏。

?入侵数据库获取大量用户敏感信息：政府的一些门户网站可能涉及公众敏感的数据，如住房公积金、医保、社保等保障系统。如果这些网站存在安全隐患，可能导致大批量的公众敏感数据丢失。如某省公积金网站发现访问异常，经过多方面分析才发现网站所存贮的用户基础数据库被国外某情报机构入侵，窃取大量用户信息和账户信息。

邮件系统

邮件系统由于对网外完全开放，处理不当也会导致较多的安全问题，如下是常见的问题，如果处理不当可能导致一些严重的后果。

?跨站脚本导致密钥失窃：邮件系统一直是跨站脚本攻击的重灾区，处理不当会导致用户在查阅邮件时自动将当前的会话密钥发送给入侵者，从而入侵者获得当前账户的邮件读取权限。

?入侵用户邮箱读取涉密公务邮件：为了方便使用，政府的邮件系统大多提供了webmail 的功能，通过浏览器就可以访问邮件内容。甚至部分账户同时由多个人员轮流使用，因此邮箱内的邮件长期存放在邮件服务器。当账户存在弱口令、webmail存在安全漏洞时大量的政府涉密邮件的内容将被入侵者轻易读取、传播。

?入侵邮件系统伪造邮件制造社舆论：邮件服务器的安全配置不当也会导致较多的安全问题，最为严重的当属邮件伪造。邮件伪造技术可利用邮件系统的漏洞伪造任何人向目标用户发户邮件。如伪造上级领导给下辖用户群发错误的通知等信息将会影响政府的正常工作秩序。

2. 网站安全方案

整体安全框架

网站安全是一个动态平衡的过程，目前尚没有一种技术或产品

可以使网站安全一劳永逸。随着攻击者对安全技术的深入研

究，可能会发现新的安全问题，与此同时由于网站在不断的

更新和改版这个过程又会引入新的安全问题。因此要保障网站

的安全只有通过不断的安全评估、安全防护、安全响应三个

方面的措施才能确保网站始终保持在较高的防护水平。

安恒信息为政府门户网站的安全提供整体安全方案，通过安全评估、安全防护、安全响应三个过程，涉及事前、事中、事后三个时间维度的安全过程来加强网站的安全保障能力，深入识别网站存在的问题、提升网站的防攻击能力、增强网站安全的响应能力和速度。

图1 门户网站整体安全框架

安全评估

网站安全保障是一项系统工程，如同左边的水桶，水桶的容量取决于最短的那块木板。网站的安全保障当前最为薄弱的环节就在于缺少对WEB防护层面的整体考虑。而WEB安全层面的安全评估也是如此，通过安全扫描工具对网站扫描，可以检测出50%的已知通用的安全漏洞，但20%的针对网站独有的漏洞或设计缺陷则需要采用人工的安全测试才可以检测出来，而另外的30%则需要通过安全监测技术才能发现网站内容上的安全问题。这也是为什么很多网站扫描不到漏洞但仍然被黑客入侵的主要原因之一。

安恒信息提供的安全评估有别于常规安全服务公司提供的简单安全扫描服务，而是结合多年的安全服务经验如北京奥运会、广州亚运会、上海世博会、深圳大运会等网站安全服务的标准对政府网站提供深入的安全服务。

针对政府网站的安全评估，安恒信息使用安全扫描、渗透测试、安全监测三个方面的技术手段进行实施评估工作。

图2 安全评估手段

安全扫描

安全扫描使用安恒自主知识产权的明鉴网站弱点扫描器进行扫描，该扫描器也是国家信息安全权威机构进行网站安全检查时所使用的工具。

安全扫描采用模拟入侵者的手法，对网站进行模拟攻击。可迅速发现大多数常见的网站安全漏洞，如常见的SQL注入、跨站脚本、目录浏览、应用错误等漏洞。安全扫描对安全技术人员的要求相对较低。启动扫描器添加任务即可进行扫描，而且明鉴弱点扫描器采用取证式扫描误判率极低便于指导后期的安全分析和加固工作。

安全扫描器技术先进的同时也存在一些无法解决的问题，如网页内容中的恶意代码难识别、程序中的逻辑漏洞等需要人工判断的内容无法实现自动化。针对这两类问题我们建议使用安恒信息提供的安全监测平台和渗透测试服务，可以很好的补充单独使用扫描器存在的水足。

安全监测

明鉴网站安全监测平台是自主知识产权监测平台，可实现对网站内容的安全监测，主要用于对网页木马监测、网站可用性、关键字监测。

通过该平台，可以实现网页木马监测，因为网页木马不同于常规的网站漏洞，具有一定的潜伏性和隐蔽性，常规模拟入侵者的攻击无法发现木马，而需要模拟成一个有漏洞的操作系统去访问这些网页，监测有漏洞的操作系统是否会被网站植入木马。

明鉴网站安全监测平台可以实现7*24小时不间断网站安全监测服务，并且可以很好地兼容当前的云计算网络，将监测平台部署在台平台中。监测到安全问题可在第一时间通过邮件、短信通知到管理员。

渗透测试

渗透测试借助安全专家多年安全测试的经验，使用大量安全工具、安全方法和安全理论相结合，从攻击、防御多个角度出发去识别网站存在的安全风险。相比于工具型扫描渗透测试更多侧重

于逻辑类型的安全问题识别、需要人工辅助类型的安全问题检测，从而可以将网站的安全水平提升到一个新的高度。

例如扫描器检测出网站存某处敏感信息泄露，可能报告的是低危险级别的安全事件。然后辅助人工则可利用这个敏感信息可能进一步获取网站的管理员账户和密码信息，最终实现完全控制网站的目的。

安全防御

安全防御是实践安全预警、分析、防御、加固的系统措施的过程，而非部署某一款安全产品这样简单。安恒信息建议政府网站安全的防御应至少做到如下三个方面。

安全分析

安全分析是安全防御的基础，安全分析的重心是安全评估的报告和安全设备的日志汇总信息。通过安全分析可以清晰的认识到当前存在的主要问题以及所面临的安全威胁。

安全分析是一个跨部门协调的工作，通常安恒信息建议由用户职能部门牵头安全服务商负责整体安全分析的内容纲要，由安全服务商、软件开发商、系统运维人员、业务使用代表等共同参与以最终确定安全防御的目标。

安全防护

安全防护目前采用主流的WEB应用防火墙技术进行防护。推荐使用安恒自主研发的国内首创全透明WEB应用防火墙，该产品比国内同类其它产品早了两年多发布。

明御WEB应用防火墙与其他厂商的WEB防火墙有着明显的差异。该产品实现了安全告警、安全分析、安全防御、安全加固的四大主要功能，而其他厂商的产品仅在安全防御这一环节具备能用的防御功能，无法实现安全加固功能。当网站检测出有特定安全问题时将无相应的安全应对措施。

明御WEB应用防火墙具备良好的安全加固功能，除通用的防护策略之外还提供20余类的安全加固对象，可以完全满足安全加固策略的实施。

安全加固

网站安全加固是一个不断改进的过程，随着业务的变更、安全研究的深入等均会促进安全加固工作的展开。安全加固分为两个方面来实现。

?WEB应用防火墙虚拟补丁技术：明御WEB应用防火墙实现了虚拟补丁技术，当发现网站程序问题而存在漏洞时虚拟补丁技术是最为有效的方法，不需要中断业务可以迅速的通过WEB应用防火墙进行加固。

?安全加固建议：采用WEB应用防火墙加固的同时安恒信息会为用户方提供详细的安全加固建议，便于程序开发商修复存在的安全缺陷。

应急响应

紧急事件响应，是当安全威胁事件发生后迅速采取的措施和行动，其目的是最快速恢复系统的保密性、完整性和可用性，阻止和降低安全威胁事件带来的严重性影响。

紧急事件主要包括：

?病毒和蠕虫事件；

?黑客入侵事件；

?误操作或设备故障事件。

当入侵或者破坏发生时，对应的处理方法主要的原则是首先保护或恢复计算机、网络服务的正常工作；然后再对入侵者进行追查。因此对于客户紧急事件响应服务主要包括准备、识别事件（判定安全事件类型）、抑制（缩小事件的影响范围）、解决问题、恢复以及后续跟踪。

安恒信息安全应急响应服务方式分为远程支持或现场支持。

远程支持安全服务方式可以分为以下几种：

?电话在线支持服务；

?7*24小时电话支持服务；

?传真支持服务；

?E－MAIL支持服务。

当远程支持无法解决问题时，将派遣专业的应急响应服务人员在第一时间到达客户所在地提供现场支持服务。

3. 产品及服务清单