電子政務網站安全技術及應用

所謂電子政務就是在網上建立起政府與公眾之間相互交流的橋梁，為公眾與政府部門打交道提供方便，并從網上行使對政府的民主監督權利。同時，公眾也可從網上完成如交稅、項目審批等與政府有關的各項工作。電子政務促進了我國政府部門辦公模式和思維方式的變革。

正是由于電子政務本身的重要性，所提供的信息內容必須完整、及時、準確，所以使得支撐電子政務服務的網站的安全性也就顯得異常重要了。要保障網站的安全性，應該從以下幾個方面入手。

一、網絡安全

所有網站都是依托于網絡環境中運行的，所以整體網絡的安全性對網站來說影響很大。隨著網絡建設的發展，網絡安全的方式和手段已經日趨完善。眾所周知的網絡安全設備有防火墻、IPS、IDS等。作為內部網絡與外部公共網絡之間的第一道屏障，防火墻是最受到人們重視的網絡安全產品。它處于網絡安全的最底層，負責網絡間的安全認證與傳輸。

1．封閉端口

對于一個傳統意義上的防火墻來說，其最基本、也是最重要的功能就是包過濾功能。網絡上的數據都是以“包”為單位進行傳輸的，數據被分割成為一定大小的數據包，每一個數據包中都會包含一些特定信息，如數據的源地址、目標地址、TCP/UDP源端口和目標端口等。防火墻通過讀取數據包中的地址信息，結合自身的安全訪問規則來判斷這些“包”是否合法。包過濾技術的優點是簡單實用，實現成本較低，在應用環境比較簡單的情況下，能夠以較小的代價在一定程度上保證系統的安全。

政府部門的網站主要功能就是提供政務信息的瀏覽、查詢等服務，那么在防火墻上面應該將對網站主機所有端口的訪問全部阻止，除了HTTP協議端口。HTTP協議默認端口為80。當然，如果網站還有其他服務，應該適當開啟相應服務端口。

2．地址轉換

防火墻提供“內部網到外部網”，“外部網到內部網”的NAT功能，而且提供任意接口的源地址和目的地址的轉換。NAT技術支持一對一的地址映射，即外部地址和內部地址一對一的映射，使內部地址的主機既可以訪問外部網絡，也可以對外部網絡提供服務。

針對防火墻的以上特性，我們可以把網站放置在防火墻后面的內部網絡中，網站地址設為內部網絡地址，對外提供服務的地址則設為防火墻地址。在提供網站服務時，防火墻負責把外部網絡的服務請求轉發到內部網絡中的真實網站上面，再把網站數據轉發給外部請求者。

這樣設置的好處在于，可以更有效的利用外部網絡的地址資源，隱藏內部網絡的真實地址，從而使外來的黑客無法探知內部網絡的結構，提高了網絡整體的安全性。

二、主機安全

網站架設在主機上，那么主機安全直接關系到此網站的安全。不幸的是主機安全往往會被忽視，大家普遍對網絡安全比較重視，特別依賴網絡防火墻的防攻擊能力。其實，一臺沒有任何防攻擊能力、漏洞百出的主機，即使有網絡防火墻的保護，也是不堪一擊的。入侵者可以利用合法端口進入網絡，利用WEB服務器的弱點對主機實施攻擊；也可以利用網站代碼漏洞，輕易地控制主機。這樣就會帶來網站被篡改、數據被竊取等比較嚴重的危害。那么加強主機的安全性可以著重注意一下幾個方面。

1．不要安裝多余的組件或程序

某些第三方商業軟件往往對安全方面考慮不足，所以極容易被網絡黑客所利用。這些軟件在操作系統里面自動開啟某些進程和網絡端口，偵聽和接受來自網絡上的數據，入侵者可以利用這些網絡端口進行攻擊，獲得系統相關信息，控制計算機或傳播病毒等。而且這些進程頻繁的與外界進行數據交互對系統性能也會有一定的影響。

2．設置系統賬戶密碼策略

未配置系統賬戶密碼策略會導致非正常用戶對系統進行攻擊，使用暴力破解等工具實施賬號破解導致計算機信息丟失。系統賬號密碼的設置應該保證一定的復雜度，并且要定期更換密碼。如果怕這樣會忘記正確的密碼，可以采用設置有一定規律的密碼變更，如：根據月份、星期等有規律地變更密碼。

3．設置系統賬戶安全策略

系統賬戶安全策略包括“賬戶鎖定時間”和“賬戶鎖定閥值”。如果在指定時間內，輸入不正確的密碼達到了指定的次數，賬戶安全策略將暫時鎖定該賬戶。設置這些策略有助于防止攻擊者猜測用戶密碼，并由此減少襲擊成功率。

4．設置系統審計策略

操作系統自身都有比較強的審計功能，能對內部的各項活動進行審計。出現問題后，可以對系統中所發生的各種事件進行查閱，從而找到問題所在。審計策略包括：“登錄事件審核”、“訪問事件審核”等。

5．關閉驅動器自動運行程序

禁止任何驅動器自動運行任何程序可以防止某些惡意代碼和木馬的運行。

6．關閉系統默認共享

Windows操作系統存在一些默認共享，攻擊者容易利用默認共享，使用賬戶名和密碼連接獲取主機共享文件夾內容或者上傳惡意文件。

7．安裝軟件防火墻

軟件防火墻是安裝在主機操作系統上面，通過純軟件的的方式實現阻止非法用戶對本機的入侵。主要功能是防范病毒對軟件的侵染和對操作系統的攻擊，以及黑客的遠程操控。它可以針對主機服務的特點靈活定制相應策略，設置具體的訪問條例，在細節上對主機進行入侵防御，是對硬件防火墻的一個必要補充。

8．及時更新

操作系統廠商根據被發現的系統漏洞，會不定期地發布操作系統補丁。管理人員應該及時下載并安裝操作系統補丁，以確保系統安全。另外，還要注意定期下載并安裝第三方軟件的補丁或者升級包。

三、WEB服務器安全

WEB服務器是為電子政務系統提供信息服務的最流行、也是最重要的工具之一。目前最常用的WEB服務器有IIS、Tomcat、WEBLogic、Apache等，其中IIS的使用最為廣泛。IIS不僅免費，而且與Windows操作系統緊密結合，配置簡便，性能一流。但是其本身也存在一些安全性方面的弱點，我們應該揚長避短，把這些弱點所帶來的危害降到最低，發揮IIS的優勢。

1．優化應用程序映射

IIS中安裝了許多的應用程序射映，但在實際應用中，很多不需要使用，而且部分不需要使用的應用程序支持可能被黑客利用，對WEB應用進行攻擊，所以應該關閉不必要的應用程序映射。

2．網站不要建立在IIS默認路徑下

IIS的默認網站路徑為%WinDir%\\ Inetpub\\wwwroot，此路徑眾所周知，方便黑客攻擊，最好放在其他目錄下，減少風險。

3．修改IIS 日志默認存儲路徑

日志文件實際是為了方便管理員對網站進行審計和維護的工具，里面包含許多網站配置信息，但是這也給黑客提供了便利。黑客可以根據日志里面的信息掌握網站一些情況和弱點，從而發動攻擊。在默認狀態下，IIS 把它的日志文件放在%WinDir%\\System32\\Logfiles 文件夾中，應該更改一下它的存放位置，不給黑客利用的機會。

四、代碼安全

目前流行的制作網站的編程語言有asp、asp.net、PHP、java等等。這些編程語言各具特色，在安全性方面并沒有優劣之分，關鍵在于編程者要有足夠的安全意識和良好的編程習慣。

1．驗證應用程序的輸入

惡意用戶可以利用輸入來攻擊一個網站，可以通過此手段來暴露應用的一些實現細節或者使得應用生成一些惡意數據。另外，攻擊者還可以在網站應用中執行惡意腳本和訪問受限資源。對用戶輸入的驗證有兩種：客戶端驗證和服務器端驗證。客戶端驗證是在數據發往服務器之前，在本地先進行數據合法性驗證，如果數據非法則不把數據發往服務器。其優點在于驗證速度快，對網站資源占用少。服務器端驗證則是數據到達服務器端，在進行其他操作之前，先進行數據驗證，如非法則返回客戶端。其優點在于可以進行更加細致的數據校驗，代碼編寫容易。那么現在的流行趨勢是盡量把數據驗證放到客戶端進行，更加細節的業務邏輯上面的數據校驗則放到服務器端進行。

2．慎重調用外部組件

網站代碼中有時需要整合一些預構建的組件，比如ActiveX控件，自定義控件，COM組件，.Net的程序集。這些預構建的組件可能引入重大的安全威脅和風險。這些組件有的是從互聯網上下載的，含有惡意的安全漏洞，如后門、病毒和木馬。使用時要慎重選擇，盡量選擇大公司的知名產品，對不明來源的組件不要輕易使用。

3．自定義錯誤異常頁面

網站代碼在運行中，由于各種原因會導致一些程序異常。程序員在調試代碼時常常讓產生異常的具體原因顯示在頁面上，以方便調試程序。這些頁面會提示出現異常的代碼位置，甚至還會顯示一部分代碼片段。如果這些信息被試圖非法入侵者看到，后果是不堪設想的。所以網站發布時，應該設置一個默認的程序異常顯示頁面，上面只有簡單的出錯信息，這樣可以防止代碼細節暴露在別人眼前。

五、數據安全

網站安全的核心其實就是數據安全。如何保證數據不被竊取，不被篡改，一旦丟失可以及時恢復，這是數據安全的主要問題。

1．設置訪問權限

在大型數據庫系統中，有非常強大的訪問權限控制功能，可以細致到對插入、更新、刪除、瀏覽等種種操作以及對于表、視圖、函數、存儲過程等各種數據庫對象分別進行權限控制。我們可以根據訪問需要定義不同的數據庫用戶，不同的用戶分配給不用的訪問權限。比如：為只需要瀏覽數據的應用創建一個用戶，以此用戶連接的應用只能查看權限規定內的某些數據表；為維護網站數據的應用創建一個用戶，以此用戶連接的應用就可以對數據進行添加、更新或者刪除等操作。這樣不僅對網站本身業務邏輯的實現有好處，也能夠盡量避免網絡上非法用戶的攻擊，如SQL注入式攻擊等。

2．定期備份

數據的定期備份是任何一個系統都不能忽視的一項工作。我們應該為每個系統制定一份數據備份計劃，計劃內容應包括數據備份方式、存放地點以及保留的時間等。一個良好的數據備份計劃可以使你比較從容地面對數據災難。數據備份可以使用數據庫系統自帶的備份工具也可以使用專業的數據備份軟件來實現。特別需要注意的是備份數據要盡量放在其他主機或是相對獨立的存儲介質上面，對于特別重要的數據還要考慮做異地備份。

六、專用的網站防護產品

針對電子政務的蓬勃發展，最近市場上出現了幾款專門用于網站防護的產品。大致分為兩種類型。

1．軟件

它安裝在網站所在主機上，有兩種主要功能。一是鎖定網站代碼文件。黑客入侵到網站后，往往在網站代碼里面嵌入一些隱藏的代碼，這些代碼可以在用戶訪問網站時啟動并執行，從而威脅到用戶信息安全。如果網站代碼一旦被鎖定，不可被修改，則黑客的這種破壞方式就不再起作用了。二是過濾地址欄輸入和網頁輸入。由于某些代碼漏洞，黑客在訪問網站時很容易發起SQL注入式攻擊。注入式攻擊成功后，黑客可以從容地以合法身份登錄到網站系統中破壞網站數據。通過輸入過濾就可以有效地阻止SQL注入式攻擊，保證數據安全。

2．硬件

它部署在網絡防火墻后面，內部網絡的前面，由它代理網站的訪問服務。所有訪問網站的數據先要通過它的過濾和審核。它根據自身所定義的規則來判斷訪問的合法性，如果合法再把該訪問包發送給真正的網站主機。這種產品功能比較強大，可以強效過濾非法訪問，根據網站提供服務的特點詳細定制訪問策略，可以有效地阻止注入式z攻擊、跨站腳本攻擊等入侵方式，是一種比較高效、便捷的網站防護產品。