《网站安全建设规划方案探讨》由会员分享,可在线阅读,更多相关《网站安全建设规划方案探讨(2页珍藏版)》请在金锄头文库上搜索。
1、网站安全建设规划方案探讨 汪庚 洋 ( 吉林市住房公积金管理中心 ,吉林 吉林 1 3 2 0 1 1 ) 1为何关注网站安全 We b应用的发展 ,使网站发挥着越来越重要的作用。 与此同时,越来越多的网站也因安全隐患而频繁遭到各种 攻击,导致网站敏感数据丢失、网页被篡改,甚至成为传 播木马的傀儡,最终令更多访问者中招 ,给访问者带来严 重 损失 。 1 1 网站的作用 日益 凸显 如今 ,人们的生活已经跟网站密切相关,获取知识、 浏览新闻、游戏娱乐 、在线购物甚至网上炒股 ( 基金、期 货 )等,网络 生活 已成 为人 们现 实生 活 的一部 分。据 CNNI C统计,截至 2 0 0 8年
2、 6月底,中国网民数量达到 2 5 3亿 ,中国网站数量也已达 l 9 1 9万个 ,年增长率为 4 6 3 ,并继续保持快速增长的势头。现在平均每 1 3 2个 网民,就拥有一个互联网网站。 网站正在对越来越多的人产生影 响,作为个人 ,我们 正享受着越来越多网站带来的生活便利 ,作为组织 ,我们 也在不失时机地利用网站拓展着自己的业务。因此,不管 对于个人,还是对组织,网站都已经非常重要。 1 2攻击给网站带来巨大损失 那些别有用心的攻击者,正是看中了网站的价值 ,为 了博 名获 利 ,无时 无刻 不在 对 网站进 行 着攻 击。随着 W e b应用技术 的深入普及 ,网站攻击的技术 门槛
3、在不断 降低,当攻击跟金钱 、名誉甚至政治阴谋联系在一起的时 候 ,我们的网站很可能已经处于多个攻击者的视线之内。 正因为如此,网页挂马、数据篡改等网站安全事件层出不 穷,网站被攻击而遭受损失的媒体报道屡见不鲜,网站安 全形势 日益严峻。而网站被攻击后造成的巨大损失 ,也 已 经成为网站所有者和访问者不能承受之痛 。 ( 1 ) 经济损失 虽然没有一个确切的统计数字说明网站被攻击造成的 经济损失有多大,但仅从媒体报道的事件中我们就能体会 到 ,这个经济损失不但不小 ,并且对某些网站所有者来说 可能是致命的。尤其对与银行、证券以及游戏类网站 ,攻 击成功后,黑客可修改敏感数据 ,实施网页挂马 ,
4、也可窃 取用户的账户信息,直接划转资金或者虚拟游戏币,不仅 给用户带来直接的经济损失,而且会降低用户使用网站服 务的信心 ,这对金融企业无疑是巨大打击,有可能造成客 户流失,形成直接或 间接的经济损失。 ( 2 ) 名誉损失 网站代表着企业 、政府机构等组织在互联网用户中的 形象,试想一下 ,如果有一天,当你通过搜索引擎打开网 站被提示有恶意代码 ,或者打开网站就看到防病毒程序报 警 ,首页被篡改 ,甚至于留有一些侮辱性文字和图片,你 会对这个网站的所有者产生什么样的质疑?组织的声誉将 因此会受到多大影响?从不断翻新的媒体报道中,我们可 以看到这种事件的主角不乏知名企业,甚至是知名的信息 安全
5、企业。以下是被媒体披露的一小部分 : 2 0 0 7年,成都市档案局网站主页篡改; 2 0 0 7年 3月,东方卫士网站网页挂马 ; 2 0 0 7年 8月,海尔官方网站网页挂马; 2 0 0 7年 l 2月 ,千千静听官方网站网页挂马; 2 0 0 8年 4月,酷狗网网页挂马; 2 0 0 8年 5月 ,中国红十字基金会首页被篡改 2 0 0 8年 9月,味多美网站被挂马; 以上并非全部 ,只是冰山一角,仍有很 多组织的网站 正遭受着攻击 ,造成持续的名誉损失而浑然不觉。 ( 3 ) 政治风险 尤其对于政府机构的网站 ,一旦被敌对势力或反动势 力入侵并利用网站故播反动言论,不仅会严重影响政府
6、形 象,而且会带来极大的政治风险,产生社会动荡 ,后果十 分严重。 2网站安全现状分析 由于网站的价值 日益凸显,网站安全 问题也逐渐得到 组织和个人的关注。然而,面对不断变化的网站安全威胁, 当前的安全措施是否能够很好地应对 ,这是关注网站安全 需要认识清楚的关键问题。接下来,我们就从客观的威胁 环境以及主观的应对情况来分析一下 目前网站安全的现状。 就客观环境而言,网站所处的威胁环境已经 日益恶化 ,就 主观方面来讲 ,造成 目前攻击事件不断发生的局面,深层 次的原因到底是什么?针对这些问 匦, 我们要怎么应对呢? l l = I l L l l J -一 , V 广C3l -, 匕一 丌
7、 丌r c L一 网站安全形势堪忧 ,究其原因,主要是因为存在以下 几个方 面的 问题 : 2 。 1大多数网站设计,只关注正常应用,未关注代码安全 一个网站设计者更多的是考虑满足用户应用,如何实 现业务。很少考虑网站应用开发过程中所存在的漏洞,达 些漏洞在不关注安全代码设计的人员眼里几乎不可见,大 多数网站设计开发者、网站维护人员对网站攻防技术的了 解甚少,并末引起足够重视。 2 2黑客入侵后 ,未及时发现 有些黑客通过篡改网页来传播一些非法信息或炫耀自 己的水平,但篡改网页之前,黑客肯定基于对漏洞的利用 获得了网站控制权限。可怕的是,通常黑客在获取网站的 控制权限之后,并不暴露 自己,而是
8、持续利用所控制网站 产生直接利益。如网页挂马就是 一 种利用网站给访问者种 植木马,非常隐蔽且直接获取利益的主要方式之一 一 。 2 3网站防御措施滞后,甚至没有真正的防御 大多数 防御传统访 问控制,入侵防御设备,保护网 站抵御黑客攻击的效果不佳。比如对应用层的 $ QL注入 、 XS S攻击这些基于应用层构建的攻击 ,防火墙束手无策 , 甚至是基于特征匹配技术的入侵防御产品,也由于这类攻 击特征不具有惟一性,不能精确阻断攻击。因此 ,导致目 前有很多黑客将 SQL注入 、XS S攻击作为入侵网站的首 选攻击技术。 2 4发现安全问题不能彻底解 决 网站技术发展较快 、安全问题 日益突出,但
9、由于关注 莺点不同,绝大多数的网站开发与设计公司,网站安全代 码设计方面了解甚少,发现网站安全存在问题和漏洞 ,其 修补方式只能停留在页面修复 ,很难针对网站具体的漏洞 原理对 源代码 进行 改造 。 3网站安全规划方案探讨 亡羊补牢,为时未晚。事实表明,针对新形势下网站 安全问题的考虑,需要变被动应对为主动关注,实施积极 防御,这就需要以一 个全面的视角看待网站安全问题 ,并 依靠各个方面的相互配合 ,对网站安全做到心中有数,防 护有方。具体的思路如下: ( 1 ) 建立主动的安全检测机制 面对 We b应用的威胁,首先要建立一个主动的网站 安全检查机制 ,确保网站安全情况的及时获知是否已
10、经遭到攻击,是否存还在被攻击的风险。 ( 2 ) 进行有效的入侵防护 一 面对 We b应用的攻击,需要部署针对网站的入侵防 护产品,加强网站防入侵能力,能够对网站主流的应用层 攻击 ( 如 S QL注入和 XS S攻击)进行防护。 ( 3 ) 针对网站安全问题,建直及时响应机制 面对 We b应用程序漏洞和已经造成的危害,需要确 立专业支持团队的外援保障 ,解决及时响应问题,在网站 安全问题被验证后,能确保对网站进行木马清除以及针对 We b漏洞的安全代码审核修补等工作。 网站安全规划模型如图 l 所示。 0 0 S0, - 、V 网站安 全规 划模型 4规划效果总体分析 网站的价值在 日益
11、提升,其安全问题也变得愈加重要。 作为网站所有者,组织虽然采取了一些传统的安全措施, 但应对新的 We b应用层威胁却显得力不从心,主要表现 在:缺乏 We b应用安全的主动检查机制,简陋的防护不 足以应对 We b应用层攻击,以及未能采取及时有效的修 复措施。这些问题使得组织仍持续遭受网站攻击事件的困 扰 。 本文以多视角审视 了目前普遍存在的网站安全问题, 并在此基础上提出建立一个有检测、防护、响应三个环节 相互促进的网站安全的保障机制: ( 1 ) 在检测环节,通过 定期 的人 _ r检查、 : 具扫描, 组织可及时掌握网站的安全状况; ( 2 ) 在防护环节 ,通过部署 W e b应用安全防护产品可 精确检测和防御主要的 We b应用 攻击,解决 We b安全 漏洞修复期间的攻击防护问题 ,并应对针对新的 We b安 全漏洞的攻击; ( 3 ) 在响应环节 ,通过部署网页防篡改系统实现网页 被篡改后的实时恢复 ,降低名誉损失,建立或雇佣具有专 业 We b安全代码审查和修复技术的团队,能够根据检测 阶段检查的结果 ,对发现的 We b安全问题及时实施修复, 降低网站被攻击的风险。 通过三个环节不断地循环促进 ,有效应对 W e b应用 变化带来的新安全威胁,保障网站的持续正常运营。 _ I - H 3u山 山 _ l _ 3 0u