政府網站安全與防護初探

□劉子涵 □趙倩倩 □呂朋舉 □侯琳琳

（河南省水利信息中心）

0 引言

依托于互聯網、Web技術等的飛速發展，政府網站已經成為政府信息公開不可或缺的一部分。政府網站基于“政務公開、交流互動、公共服務”三大功能建設，面向社會提供了快速便捷地接入政府政務信息和對外業務應用的平臺。隨著政府網站重要性的不斷提升，網站安全性也成為信息化建設中不得不關注的熱點問題。面對日益嚴峻的形勢，政府網站維護人員需要針對不同的攻擊方式，制定出行之有效的防護措施。

1 網站安全風險分析

目前，網站安全問題突出，集中表現為黑客攻擊手段日益翻新，計算機病毒大量傳播，網站安全基礎設施建設薄弱，網站安全管理體系缺乏。這些問題導致對于預測、防范、應急處理、修復等方面缺乏行之有效的應對方式，對網站安全構成巨大的威脅。由于政府網站處在政府應用系統的互聯網區域，其面臨的安全風險更加復雜。

網站被攻擊的現象時有發生：“1.12全國DNS大劫難”因國內通用頂級域的根服務器出現DNS解析故障，致使超過2/3的國內網站受到影響，持續數小時訪問頁面速度變慢，甚至打不開頁面；2014年4月份發現的OpenSSL“心臟流血”漏洞利用OpenSSL的BUG，攻擊者構造的心跳包中沒有足夠多的數據，memcpy便將SSLv3記錄之后的64KB數據輸出，危及用戶敏感信息；攜程也曾因部分服務器遭受不明攻擊，導致網站及手機應用程序陷入癱瘓狀態。除此之外，還有多種攻擊手段易造成網站不穩定、卡頓、植入木馬現象，影響政府網站的服務性和權威性。

攻擊的方式多種多樣，攻擊方式主要分為兩大類：針對Web服務器漏洞的攻擊和針對網頁安全漏洞攻擊。其中，注入式攻擊、跨站腳本攻是最常見的攻擊手段。

1.1 Web服務器漏洞攻擊

攻擊者利用操作系統、軟件和配置的漏洞對Web服務器進行攻擊。這些漏洞包括：緩存溢出、目錄遍歷、信息泄露、腳本權限等。

在緩存溢出漏洞攻擊中，存在安全漏洞的服務器內存中存儲程序代碼的堆棧被超出常規長度的請求填滿，超出部分的字符覆蓋相鄰變量的空間并代替原始代碼的一部分，以致系統服務癱瘓、宕機。

目錄遍歷是一種網站設計漏洞，Web設計人員若未對Web內容進行適當的訪問控制，通過在訪問地址中加入“../”等字符訪問未授權的目錄，并且可以執行系統命令。

信息泄露會暴露服務器的一些敏感信息，如用戶名、密碼、服務器信息、中間件信息、數據庫信息等，攻擊者利用泄露的信息能夠造成進一步的危害。發生信息泄露的原因主要有三種：服務器自身漏洞、服務器配置不當和程序編寫未進行適當過濾。

1.2 網頁安全漏洞攻擊

SQL（StructuredQueryLanguage）注入攻擊的實現，是通過在與數據庫產生交互的網頁中提交Web表單，內容含有惡意SQL查詢語句，在被數據庫執行后，暴露網站用戶信息等。

跨站腳本攻擊（XSS，CrossSiteScripting）的目標是動態頁面，攻擊者發布包含惡意腳本的Web頁面，當用戶瀏覽此頁面時，此惡意腳本就會在客戶機上執行，借助XSS攻擊截獲賬戶信息、修改用戶數據。

Cookie為辨別用戶身份相關數據被存儲在客戶端上，一旦泄露，服務端無法區分用戶的真實身份。Cookie假冒與XSS攻擊相配合，盜竊Cookie標識，借助用戶身份，達成破壞目的。現在多數瀏覽器支持HttpOnly標簽，很大程度上增強了Cookie的安全性。

DNS（DomainNameSystem）簡化IP數串，能夠將方便記憶的域名和IP地址相互映射。DNS攻擊是利用系統漏洞，進行DDOS（DistributedDenialofService）攻擊、域名劫持、DNS欺騙、緩存投毒等，導致域名解析故障。

在這些攻擊方式中，網絡釣魚最為用戶所熟知。攻擊者利用電子郵件、即時通信軟件等方式傳播欺騙性鏈接，用戶個人數據和金融賬號在填寫相關內容時被竊取。隨著網絡釣魚技術的發展，攻擊形式已經從傳統的編寫相似仿冒網站到新型的真實網頁嵌入惡意代碼。

除上述攻擊方式之外，跨站請求偽造、網站掛馬、驗證認證繞過、文件上傳攻擊等也是較常見的導致網站無法正常提供服務的原因。

2 網站安全防護設計

政府網站安全防護的原則是保障網站的保密性、完整性和可用性，以應對網站攻擊方式的變化，降低網站安全風險的威脅，減少網站遭受破壞的損失。保密性指限制特定信息的訪問方式和訪問人員，不泄露服務器、中間件以及用戶的敏感信息等。完整性是指信息傳輸過程中未經授權不被修改、破壞、偽造和丟失等。網站可用性是總體衡量使用過程中所有影響用戶體驗的因素總和。提高可用性，能夠不間斷地提供服務，不因系統故障或造成訪問速度慢甚至無法訪問。

網站安全防護包括四個層面：一是網站安全設計，二是網站安全基礎設施，三是網站安全運維服務，四是信息安全管理體系，具體見圖1。

圖1 政府網站安全防護圖

3 安全防護措施建設

安全防護實施貫穿于網站設計、建設、管理、運維、優化階段。具體安全防護措施建設情況，在下列章節中說明。

3.1 網站安全設計

網站安全在設計階段就是不能被忽視的重要因素，數據庫、程序、權限控制等的設計直接影響網站安全性。

在數據庫設計上，網站盡量采用數據庫相對安全的參數來杜絕惡意的SQL注入式攻擊。加強對用戶輸入內容的檢查，利用工具檢測字符串變量內容，拒絕輸入內容中包含二進制數據、轉義序列和注釋字符的請求。

網站系統管理員根據已經初始化的模塊、欄目及權限組信息，動態地將用戶和權限組進行綁定。通過權限組的設定，用戶可以對已授權的功能模塊和欄目信息進行讀、采、審核、復審及刪除操作。權限組設定完成后，可以賦予多個用戶角色，節省了操作步驟，提高了工作效率。在源代碼保護上，網站一方面綁定后臺程序和服務器的硬件，防止源代被拷貝和移植。另一方面將class源代碼混淆打包，防止源碼被查看。口令認證要比基于密鑰的認證更容易被攻破，網站采用基于密鑰和口令并存的認證方式。設置口令的目的是在需要訪問一個安全的資源時能夠更容易地記住登錄信息。基于密鑰的認證，保證系統強健性。同時修改配置文件，在一定時間內連續登陸失敗一定次數后，將在一段時間內禁止登陸，有效地阻止了密碼試探和暴力破解。

3.2 網站安全基礎設施

安全基礎設施建設為網站安全提供保障基礎。政務信息網中的審計系統包括：運維審計系統、數據庫審計系統和日志審計系統。綜合三類審計對運維人員的行為進行集中管控審計，實現規范運維行為、阻斷違規操作、分析可疑事件、降低安全風險。利用防火墻防護網站安全，依照設定規則，檢查并攔截可疑數據包。網站借助鏈路層防火墻和應用層防火墻（WebApplication-Firewall）免受攻擊者的入侵，如緩存溢出、信息泄露、SQL注入、SHELL文件上傳、跨站腳本攻擊等。值得指出的是，WAF的時域控制功能能夠對IP段或指定IP地址進行設置來限制信息的閱覽及后臺的登錄，這也減少了用戶信息被盜用帶來的風險。增加網頁防篡改系統，分離發布服務器和WEB服務器。使用數字水印技術，為每一網頁計算出唯一標識，若對比出現WEB服務器和發布服務器中靜態網頁水印不一致情況，發布服務器中相應信息立即推送并覆蓋被篡改網頁。運用冗余性保護網站，服務器集群結合應用負載均衡設備，建立備份容災系統。當安全事件發生時，不必重新構建服務器，降低網站恢復時間，減少數據丟失量。

3.3 網站安全運維服務

網站安全運維服務的首要任務是維護工作站的安全，攻擊者可使用鍵盤記錄器、釣魚網站等途徑獲取管理員用戶信息，以管理員身份進行破壞。這種攻擊往往突破了絕大部分的安全防護，帶來毀滅性的影響，因此這就要求網站管理員或擁有登錄憑證的人員強化安全意識、妥善保管好系統、服務器等密碼，非工作原因不得轉借計算機，禁止瀏覽不明非法網站和信息，拒絕可疑電子郵件。

在網站安全運維過程中，應及時更新軟件、安裝系統補丁，定期更換密碼、提高密碼強度，關閉多余端口或服務，僅賦予系統所需要的最小權限。定期進行安全檢測，如針對安全漏洞掃描、木馬的檢測、環境的檢測、遠程連接檢測、以及其它檢測，及時監視并報告網站的安全事件。

3.4 信息安全管理體系

以整合網站安全設計、網站安全基礎設施、網站安全運維服務為目的的信息安全管理體系（InformationSecurityManagement System，簡稱ISMS）由四部分組成：總體方針，安全管理組織體系，統一安全策略，和安全規章制度、操作規范、流程。信息系統安全工作總體方針參考國內外信息系統安全管理標準、國家信息系統安全保護條例、信息系統安全等級保護基本要求，指導網站安全管理全面工作。安全管理組織體系旨在健全信息系統的安全管理責任制度，清晰定義了內部的安全管理組織體系，推動了信息安全管理工作在整個組織體系內發揮作用。統一的安全策略從機房安全、網絡安全、系統安全、應用安全、數據安全、應急管理、安全審計、安全檢測等方面詳細制定了基于身份、規則、角色的行動策略。分別編寫《網站安全管理辦法》、《計算機網絡安全管理規定》、《互聯網信息發布保密制度》、《機房安全管理制度》等，確保制度層面規范計算機操作行為，防范網站安全隱患。

5 結語

政府網站為應對來自互聯網的攻擊，在設計階段重視安全要素，建設階段部署審計系統、硬件防火墻、應用層負載均衡、防篡改系統、容災備份系統等安全設備或軟件，運維過程中定期進行安全檢測，及時處理可疑安全事件，明確信息安全管理體系，充分發揮政府網站信息公開、公共服務、交流互動等作用。

[1]趙躍華,胡向濤.網絡釣魚攻擊的防御技術及防御框架設計[J].計算機應用研究,2013,30(6):1863-1866

[2]林寧思,賴建華.電子政務網站群安全防護體系研究[J].福建電腦,2011,27(8):13-15

[3]謝劍猛,許飛.基于ⅡS的Web網站的安全研究與設計[J].華東交通大學學報,2003,20(5):62-65.