門戶網(wǎng)站防篡改解決方案

鄭龍鳳 中國(guó)移動(dòng)通信集團(tuán)上海有限公司視頻運(yùn)營(yíng)中心系統(tǒng)維護(hù)部，上海市 200233

摘 要

通過(guò)現(xiàn)有門戶網(wǎng)站的內(nèi)容發(fā)布功能，部署Web應(yīng)用深度防御系統(tǒng)設(shè)備、Web應(yīng)用弱點(diǎn)掃描系統(tǒng)設(shè)備、網(wǎng)頁(yè)防篡改軟件系統(tǒng)，將主動(dòng)防御、主動(dòng)評(píng)估、被動(dòng)保護(hù)、集中監(jiān)控、統(tǒng)一發(fā)布、集中管理等多方面功能有機(jī)結(jié)合，形成門戶網(wǎng)站防篡改的綜合防護(hù)解決方案。

關(guān)鍵詞

門戶網(wǎng)站；Web應(yīng)用深度防御；Web應(yīng)用弱點(diǎn)掃描；網(wǎng)頁(yè)防篡改

門戶網(wǎng)站防篡改解決方案

鄭龍鳳 中國(guó)移動(dòng)通信集團(tuán)上海有限公司視頻運(yùn)營(yíng)中心系統(tǒng)維護(hù)部，上海市 200233

摘 要

通過(guò)現(xiàn)有門戶網(wǎng)站的內(nèi)容發(fā)布功能，部署Web應(yīng)用深度防御系統(tǒng)設(shè)備、Web應(yīng)用弱點(diǎn)掃描系統(tǒng)設(shè)備、網(wǎng)頁(yè)防篡改軟件系統(tǒng)，將主動(dòng)防御、主動(dòng)評(píng)估、被動(dòng)保護(hù)、集中監(jiān)控、統(tǒng)一發(fā)布、集中管理等多方面功能有機(jī)結(jié)合，形成門戶網(wǎng)站防篡改的綜合防護(hù)解決方案。

關(guān)鍵詞

門戶網(wǎng)站；Web應(yīng)用深度防御；Web應(yīng)用弱點(diǎn)掃描；網(wǎng)頁(yè)防篡改

引言

企業(yè)的門戶網(wǎng)站，是企業(yè)向各類客戶提供產(chǎn)品資訊、業(yè)務(wù)介紹、最新動(dòng)態(tài)、客戶服務(wù)、公司簡(jiǎn)介、新聞動(dòng)態(tài)、企業(yè)文化等各方面信息的重要渠道，是客戶了解企業(yè)各方面信息的重要窗口。

但隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，各類新型的網(wǎng)絡(luò)攻擊手段也層出不窮。而企業(yè)的門戶網(wǎng)站由于直接暴露在互聯(lián)網(wǎng)之上，在企業(yè)向客戶提供通過(guò)瀏覽器訪問(wèn)企業(yè)信息功能的同時(shí)，企業(yè)所面臨的風(fēng)險(xiǎn)也在不斷增加，也就成了各類攻擊者所攻擊的主要對(duì)象。如今，以網(wǎng)頁(yè)篡改和針對(duì)Web應(yīng)用程序安全漏洞的網(wǎng)絡(luò)攻擊的安全事件正在大幅攀升。

網(wǎng)頁(yè)篡改事件的危害十分巨大，不僅會(huì)影響用戶正常獲取相關(guān)資訊，若被篡改的內(nèi)容涉及政治、淫穢色情等方面的內(nèi)容，還將對(duì)企業(yè)產(chǎn)生不可估量的負(fù)面影響；另外一些別有用心的人可能會(huì)利用對(duì)網(wǎng)頁(yè)進(jìn)行語(yǔ)義篡改，散布謠言，引起民眾不必要的恐慌和猜疑，這些都會(huì)直接對(duì)企業(yè)形象造成嚴(yán)重?fù)p害。

縱覽典型的門戶網(wǎng)站，均缺乏對(duì)直接篡改靜態(tài)或動(dòng)態(tài)網(wǎng)頁(yè)文件和通過(guò)SQL注入、跨站等方式將惡意代碼植入后臺(tái)數(shù)據(jù)庫(kù)達(dá)到動(dòng)態(tài)篡改網(wǎng)頁(yè)或網(wǎng)站掛馬等攻擊手段的有效防護(hù)。容易被不法分子利用，進(jìn)行頁(yè)面篡改以達(dá)到傳播反動(dòng)、淫穢色情等內(nèi)容的目的，影響用戶正常獲取企業(yè)相關(guān)信息，并將對(duì)企業(yè)形象造成巨大的負(fù)面影響。在本方案中將通過(guò)部署相關(guān)的安全防護(hù)軟硬件，從主動(dòng)和被動(dòng)防御的角度充分保護(hù)門戶網(wǎng)站頁(yè)面免遭篡改，確保門戶網(wǎng)站的安全穩(wěn)定運(yùn)行，保護(hù)企業(yè)形象。

一、現(xiàn)狀分析

門戶網(wǎng)站系統(tǒng)通常的網(wǎng)絡(luò)結(jié)構(gòu)模型如下圖所示：

從上圖可見，門戶網(wǎng)站的安全防護(hù)通常依靠門戶網(wǎng)站系統(tǒng)對(duì)外接口處部署的防火墻以及核心網(wǎng)絡(luò)部署的抗DDoS攻擊設(shè)備進(jìn)行安全防護(hù)。

但傳統(tǒng)防火墻作為訪問(wèn)控制設(shè)備，主要工作在OSI模型三、四層，基于IP報(bào)文進(jìn)行檢測(cè)。設(shè)計(jì)之初，它就無(wú)需理解Web應(yīng)用程序語(yǔ)言如HTML及XML，也無(wú)需理解HTTP會(huì)話。因此，它也不可能對(duì)HTML應(yīng)用程序用戶端的輸入進(jìn)行驗(yàn)證、或是檢測(cè)到一個(gè)已經(jīng)被惡意修改過(guò)參數(shù)的URL請(qǐng)求。惡意的攻擊流量將封裝為HTTP請(qǐng)求，從80或443端口順利通過(guò)防火墻檢測(cè)。所以防火墻對(duì)網(wǎng)頁(yè)篡改、網(wǎng)頁(yè)掛馬、SQL注入、跨站腳本等這類攻擊手段無(wú)法采取有效防護(hù)。而抗DDoS攻擊設(shè)備由于也主要工作在OSI模型三、四層，也無(wú)法對(duì)應(yīng)用層攻擊進(jìn)行防護(hù)。

攻擊者往往通過(guò)直接篡改靜態(tài)或動(dòng)態(tài)網(wǎng)頁(yè)文件或通過(guò)SQL注入、跨站等方式將惡意代碼植入后臺(tái)數(shù)據(jù)庫(kù)達(dá)到動(dòng)態(tài)篡改網(wǎng)頁(yè)或網(wǎng)站掛馬的目的，但由于傳統(tǒng)防火墻和抗DDoS攻擊設(shè)備無(wú)法對(duì)應(yīng)用層攻擊進(jìn)行防護(hù)，且Web服務(wù)器本身也沒(méi)有相應(yīng)的防護(hù)手段，容易使攻擊者有可乘之機(jī)。

二、優(yōu)化方案

根據(jù)上述分析，提出優(yōu)化及安全加固解決方案如下：

1、在系統(tǒng)中部署內(nèi)容發(fā)布服務(wù)器，并在其上部署網(wǎng)頁(yè)防篡改的發(fā)布模塊及監(jiān)控模塊軟件。

1)發(fā)布模塊實(shí)時(shí)檢測(cè)需要發(fā)布內(nèi)容的文件目錄的變化，有文件刪除、修改、新增，發(fā)布模塊都會(huì)通過(guò)SFTP方式同步到同步模塊中進(jìn)行內(nèi)容發(fā)布；

2)監(jiān)控模塊提供統(tǒng)一監(jiān)控功能和界面，對(duì)各門戶網(wǎng)站頁(yè)面發(fā)布情況以及各Web服務(wù)器上部署的同步模塊和防篡改模塊運(yùn)行情況進(jìn)行集中監(jiān)控，對(duì)發(fā)生的篡改事件進(jìn)行記錄和告警顯示（并通過(guò)E-mail或短信等方式實(shí)時(shí)將頁(yè)面篡改告警發(fā)送給相關(guān)系統(tǒng)工程師進(jìn)行進(jìn)一步查證和處理）。

2、在門戶網(wǎng)站的Web服務(wù)器上安裝部署網(wǎng)頁(yè)防篡改模塊（同步模塊）軟件，根據(jù)文件的大小、日期、內(nèi)容以及門戶網(wǎng)站的標(biāo)志等特征信息生成文件的數(shù)字水印，并將數(shù)字水印以加密方式保存到數(shù)據(jù)庫(kù)中，用于對(duì)指定的網(wǎng)頁(yè)目錄和文件進(jìn)行實(shí)時(shí)對(duì)比監(jiān)測(cè)。當(dāng)發(fā)現(xiàn)數(shù)字水印產(chǎn)生變化時(shí)，則同步模塊將會(huì)通過(guò)SFTP方式，從發(fā)布模塊抓取原始文件進(jìn)行恢復(fù)。

3、部署一套Web應(yīng)用弱點(diǎn)掃描系統(tǒng)設(shè)備，用于對(duì)Web網(wǎng)站中所存在的SQL注入漏洞、跨站腳本漏洞、惡意代碼（木馬）等進(jìn)行安全掃描檢測(cè)，提供檢測(cè)報(bào)告給系統(tǒng)工程師用于安全加固。該系統(tǒng)可用于門戶網(wǎng)站建設(shè)過(guò)程中的安全檢測(cè)，對(duì)所有門戶網(wǎng)站在割接入網(wǎng)前均需進(jìn)行嚴(yán)格的檢測(cè)，確認(rèn)不存在現(xiàn)有的安全問(wèn)題后才能發(fā)布使用。并且在門戶網(wǎng)站的運(yùn)營(yíng)過(guò)程中，還可定期對(duì)門戶網(wǎng)站進(jìn)行安全掃描，通過(guò)更新最新的安全插件以發(fā)現(xiàn)新出現(xiàn)的安全漏洞，并進(jìn)行及時(shí)加固。

4、在核心網(wǎng)絡(luò)出口處部署Web應(yīng)用深度防御系統(tǒng)設(shè)備，對(duì)進(jìn)入各門戶網(wǎng)站系統(tǒng)的外部請(qǐng)求等進(jìn)行7×24小時(shí)的實(shí)時(shí)主動(dòng)監(jiān)控，對(duì)非法攻擊流量進(jìn)行過(guò)濾，抵御通過(guò)SQL注入、跨站等方式將惡意代碼植入后臺(tái)數(shù)據(jù)庫(kù)達(dá)到動(dòng)態(tài)篡改網(wǎng)頁(yè)或網(wǎng)站掛馬的攻擊。并且對(duì)于一些新出現(xiàn)但還未在門戶網(wǎng)站中完成安全加固的漏洞隱患，可以起到預(yù)防的作用。

優(yōu)化和安全加固后的門戶網(wǎng)站網(wǎng)絡(luò)結(jié)構(gòu)模型如下圖所示：

上述解決方案采用軟件/硬件防護(hù)產(chǎn)品相結(jié)合的方式，實(shí)現(xiàn)對(duì)門戶網(wǎng)站的實(shí)時(shí)防護(hù)。硬件產(chǎn)品的使用，在一定程度上減少了對(duì)服務(wù)器性能的影響；軟件產(chǎn)品的部署又使Web服務(wù)器本身可以對(duì)各類網(wǎng)頁(yè)文件或腳本進(jìn)行實(shí)時(shí)的保護(hù)。此方案將主動(dòng)防御（實(shí)時(shí)監(jiān)測(cè)和過(guò)濾攻擊請(qǐng)求流量）、主動(dòng)評(píng)估（定期進(jìn)行Web應(yīng)用弱點(diǎn)掃描）、被動(dòng)保護(hù)（通過(guò)數(shù)字水印技術(shù)監(jiān)測(cè)網(wǎng)頁(yè)文件和腳本是否被篡改）、集中監(jiān)控、統(tǒng)一發(fā)布、集中管理等多方面有機(jī)結(jié)合，真正做到“防患于未然”，解決了門戶網(wǎng)站所存在的頁(yè)面篡改的隱患。

三、結(jié)語(yǔ)

通過(guò)門戶網(wǎng)站防篡改解決方案的實(shí)施，將能有效解決門戶網(wǎng)站所存在的頁(yè)面篡改的安全隱患。可以確保各類客戶能隨時(shí)準(zhǔn)確地獲知企業(yè)的各類信息，保護(hù)企業(yè)形象不被惡意破壞。通過(guò)自動(dòng)化監(jiān)控及防護(hù)手段的應(yīng)用，可以大大提高門戶網(wǎng)站安全防護(hù)的工作效率，降低維護(hù)人員的工作壓力，有效減少維護(hù)成本的支出，并可以有效避免由于網(wǎng)站無(wú)法正常運(yùn)營(yíng)以及企業(yè)形象遭受破壞所帶來(lái)的直接和間接經(jīng)濟(jì)損失。

[1]楊飛.網(wǎng)頁(yè)防篡改技術(shù).計(jì)算機(jī)安全.2008,9:76 77

[2]上海天存信息技術(shù)公司.網(wǎng)頁(yè)防篡改技術(shù)比較.2008

[3]楊雷.網(wǎng)頁(yè)防篡改安全技術(shù)的研究與實(shí)現(xiàn).西安:西安電子科技大學(xué).2008

[4]丁勝.網(wǎng)站安全防篡改系統(tǒng)的研究與實(shí)現(xiàn).上海:上海交通大學(xué).2009

[5]姚瀅.網(wǎng)頁(yè)防篡改系統(tǒng)的研究與設(shè)計(jì)方案.計(jì)算機(jī)安全.2010

10.3969/j.issn.1001-8972.2011.13.045