网站防护系统方案模板

XXXXX网站防护系统解决方案1.概述1.1.国内外网络安全现状自从上个世纪末，信息网络技术不断发展，并且得到了广泛的应用，从而将人类文明带入了信息时代。信息网络所具有的高速传输、处理快速、海量存储，都吸引着政府、企业、组织甚至个人加入其中。在我们这个信息化的时代，处处充斥着隐患和危险。众所周知，所有受计算机驱动的系统都容易遭到入侵和破坏。这传递出一个可怕的信号：我们的重要经济部门或者政府机构的信息与网络系统一旦受到侵害，就会产生灾难性的后果。在美国，控制政府和工业内的关键网络的计算机系统——防卫设施、高压输电线、银行、政府机构、电信系统以及运输系统——每天都会受到成千上万次的攻击尝试。这些攻击尝试中有不少取得了成功。获得成功的攻击者取得了“系统管理员的地位”，下载了密码，安装了嗅探器以拷贝交易信息，或者插入了后门留待以后进入。在我国，有效检测的手段尚未建立，面临的情况比美国更为复杂莫测：有的攻击者就像驾车兜风的窃车者，以犯罪为乐；有的攻击者则是为了从事间谍活动、偷窃、报复性破坏和勒索，有的攻击者则可能是为了收集情报，预先侦察，或者为未来的攻击创造机会。这些作恶者种类甚多，从青少年到小偷，从恐怖分子到有组织的犯罪团体，到潜在的军事敌对力量以及情报机构。在最近几年这些威胁的严重性有增无减。曾几何时，敌对的攻击依赖于炸弹和子弹，而如今，一台膝上型计算机就可能成为敌对分子和恐怖分子利用的武器，在我们大意的一瞬间就可能制造巨大的破坏，给我们的国家带来无可弥补的损失。据了解，一些外国政府正在为对付中国的计算机网络而发展强大的攻击能力，特别针对国家关键基础设施的网络系统。令人担忧的是，我国在基础服务上对计算机网络有越来越多的依赖性，水、电、气、通信（语音和数据）、铁路、航空和其他关键设施都在巨大的信息系统网络中直接受到计算机的控制。而国家对计算机网络依赖的同时很少注意去保护，以至于很容易受到攻击。值得我们警惕的是，罪犯团伙、恐怖分子集团、敌对国家都可能通过攻击我们的网络，并通过攻击关键性的网络来降低我们的防卫响应能力来破坏经济，制造混乱，严重影响我国的经济发展。2.网络安全需求分析随着计算机科学技术的不断发展，计算机产品的不断增加，网络系统也变得越来越复杂。但是无论怎么发展，任何一个计算机网络系统从安全控制的角度看，都由主机、网络、边界三个层次构成，而每一层次又由若干部件构成。在这三个层次中，如果每一个使用者都是经过认证和授权的，其操作都是符合规定的，那么就不会产生攻击性的事故，就能保证整个信息系统的安全。图2.1网站网络安全的三个层目前，网站的三个主要安全需求是：防范网络入侵、范网络攻击破坏，以及防范网站、网页被篡改以及自动恢复。每个安全需求都对应上述三个层次：主机、网络传输设施、区域边界。图2.2网站网络安全纵深/深层防御2.1.应用环境安全需求Web站点的防护目前，网站应用环境安全的需求就是“防范网站、网页被篡改以及自动恢复”。随着电子政务的发展，在网上建立办公或业务窗口，通过精心设计的Web网页树立公众形象并开展业务，已经成为许多政府部门和企业的基本设施。然而，在互联网的安全问题日益严峻的情况下，网站遭受黑客攻击的现象也时有发生，如何确保网站的安全也成为人们迫切关注的焦点问题。需要提供对局主页WEB网站进行一天24小时、一周7天的不间断监测与保护，有效保障网站数据的完整性和真实性。2.2.网络环境安全网络环境安全的核心是网络安全区域划分，以及不同安全区域之间的访问控制措施，还包括网络异常行为的审计和监控，终端接入网络的访问控制、定期网络安全漏洞扫描和评估，以及网络防病毒措施等等。网络安全区域划分和访问控制措施计算机信息网络是由终端节点、将节点连接起来的网络设备，以及连接线路组成。保证计算机信息网络安全的首要问题就是要合理划分安全区域（网段），这需要根据各个终端节点性质的不同，将不同的节点划分成不同的安全区域。在区域划分的时候，通常考虑到地理位置、工作职能、可信程度、访问权限等等因素。安全区域（网段/子网）的划分可以分为逻辑划分和物理划分两种，它是对网络资源及其使用进行分类管理，并隔离非法访问的有效措施之一。当这些不同属性的安全区域连接在一起的时候，要保证各个区域的安全，就必须采用有效的边界安全手段。需要采用网络（安全）设备的安全机制控制各个不同安全区域（网段）之间的信息流。网站网络首先需要根据要求划分多个不同的安全区域，然后为了保证安全区域的边界安全，需要采取如下访问控制措施：合理的设定安全区域：结合防火墙、访问控制列表在符合安全策略的基础上，对防火墙、访问控制列表、保证区域边界的安全。网络异常行为的监控要保证网站网络环境的安全，就必须掌握网络上传输信息的控制权，必须对网络行为进行有效的监控。根据统计数据，80％以上的安全问题出现在系统内部，系统内部存在较为严重的误用和滥用的行为。那么，如何发现这些异常的网络行为，以及在发现这些异常的网络行为后，如何对其进行安全审计，对于维护网站网络环境安全至关重要。3.网络安全建设依据3.1.安全标准设计标准（ISO15408、ISO17799、ISO7498-2）实施标准（SSE-CMM、ISO9001）3.2.安全规律安全是动态的；安全＝产品＋管理；安全管理保障安全产品和安全服务效率的最大发挥；安全的非绝对性决定了安全建设的长期性；基于统一安全策略的可持续改进的整体安全防御体系保障安全；3.3.其它遵循标准《商用密码管理条例》《计算机病毒防治管理办法》《计算机信息系统国际联网保密管理规定》《计算机信息网络国际联网安全保护管理办法》《中华人民共和国计算机信息系统安全保护条例》《中华人民共和国计算机信息网络国际联网管理暂行规定》《计算机信息系统安全专用产品检测和销售许可证管理办法》《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》4.网站网络安全总体方案4.1.方案设计原则安全可靠性：使用的安全产品能够稳定可靠地在系统中运行。技术先进性：采用的安全技术必须有足够的先进性。技术成熟性：必须是已经经过实际应用考验的安全技术和产品。可管理性：安全产品应该宜于管理，非专业安全技术人员也能在指导下使用。可扩展性：在系统升级或扩容时，能保持一定的扩充性能。良好的性能价格比。满足国家相关法律法规和国家标准。4.2.安全建设总目标网站网络安全系统项目建设的总目标是建立三个层次的防护框架，整体提高网站安全防护能力，为各项业务应用提供技术保障。具体目标如下：(1)加强WEB服务终端的安全、可靠性，防止非法访问和篡改，加强对非法网络接入的控制措施；(2)对网络边界进行有限的隔离保护，并制定与之适应的安全防护措施和安全机制；(3)加强对网络行为进行监控及审计，提供对网络非法行为的发现、追踪和控制能力；(4)通过集成相关的安全产品和安全服务，构造多层防御的安全保障体系，确保信息和网络安全、高效、可靠运行。4.3.服务器的安全需求Web服务器是电子政务的核心、数据的集中点和业务服务的提供者。所以服务器一方面会受到病毒的攻击，另一方面服务器也是非法访问操作的重点对象。本次项目建设对服务器的安全防护考虑如图所示：对服务器安全主要从以下几个方面加以考虑：1、Web网站防纂改。2、主机的病毒、木马防范。3、数据库服务器SQL语句注入。4、跨站攻击、黑客扫描等。部署方式1.我们对Web1服务器和Web2服务器分别装入我们的HuaTech网页防纂改程序，目的是保护Web服务器的网页不被纂改。2.我们对Web1服务器和Web2服务器分别装入我们的HuaTech恶意代码主动防御程序,其目的是为了防止Web服务器不被病毒可执行程序和木马可执行程序攻击服务器的操作系统。3.因为Web1和Web2网站服务器每天用户访问的流量比较大，所以我们在现有的网络中部署千兆HuaTech网站墙，目的是防止SQL语句注入，避免数据库服务器被黑客使用SQL注入、跨站攻击、恶意扫描等对服务器及数据库攻击。4.4.产品介绍网站防护系统整个系统由软件和硬件部分共同组成，主要实现了恶意代码主动防御、网页的文件过滤驱动保护、防SQL注入、双机热备、抗网络攻击能力等功能。以期防止黑客入侵、网站篡改，从而更有效地对网站网页安全进行保护。网站防护系统恶意代码主动防御软件安装控制软件运行控制宏执行控制网页代码控制脚本运行控制系统部件一致性校验装载模块一致性校验WebWall防SQL注入功能双机热备抗网络攻击网页防篡改网页写保护控制网页管理网站防护系统主要功能介绍恶意代码主动防御利用信任链机制，对系统中所有装载的可执行文件代码（例如，EXE、DLL、COM等）进行控制，所有可执行文件代码在加载运行之间都需要先经过检验，只有通过验证的代码才可以加载。这种方式可以有效阻止恶意代码的运行。验证方法为：首先为系统制定可信白名单，即允许执行代码文件的hash，在进程装载二进制文件之前首先计算其hash值，并与可信白名单进行比较，不在白名单中的一概不允许执行，这样既可以防止恶意代码运行，又可以防止恶意代码依附其他系统或应用程序运行，确保执行代码的真实性和完整性，同时效率上不会有明显影响。网页的文件过滤驱动保护利用操作系统漏洞，应用缓冲区溢出等方法可以获得管理员权限，从而可以任意修改网页文件，以达到攻击的目的。针对这种攻击方式，采用对象相关（Object—Specific）保护方式来保护网页不被篡改。即网站管理员可以自行选择需要保护的网页文件设定为受控对象，对于每一个受保护的对象，管理员为其设定一个对象相关授权码。对象相关保护方式是一种不基于系统用户身份的访问控制技术，对于所有受保护的对象，网站防护系统在操作系统内核对其加以保护，在不知道对象相关授权码的情况下，即使是系统管理员，系统也禁止其对于受保护对象（比如主页）的任何特定操作，比如修改内容、删除、重命名等。通过对象相关保护方式，即使攻击者拿到系统管理员的权限，由于不知道受控对象的授权码，因而也无法对其进行修改，从而可以有效阻止溢出类攻击对网页结构和内容的篡改。对于Web服务（例如，IIS、APACHE）的相关配置文件也采用同样的方式进行保护，防止通过修改配置文件达到篡改网页的目的。但是对于受保护对象的读操作没有任何的限制，因而可以保证Web正常向外提供服务。只有在提供授权码的情况下才可以对受保护对象进行修改，使得管理员可以方便的更新网页内容。防SQL注入功能随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQLInjection，即ＳＱＬ注入。网站防护系统可以通过高效的URL过滤技术，把SQL注入的关键字过滤掉，从而有效的避免网站服务器受到SQL注入攻击。双机热备功能网站防护系统支持双机热备功能，从而提高系统的稳定性和可靠性。两台WebWall分为主机和从机，在主机工作的同时，从机处于实时监控主机的工作状态，这时所有对内部网络的保护工作由主机完成。当主机因不可抗力而工作异常时，从机能够及时发现问题并立即接替主机的工作，并报警通知网络管理员。待主机故障排除并接入网络后，主机接管对内网的保护工作，从机则切换为监视状态，继续侦测主机的状态。抗网络攻击能力作为一种网络安全防护设备，网站防护系统在网络中自然成为众多攻击者的首要目标，所以抗攻击能力也是网站防护系统的必备功能。该系统采取多种安全措施，可以防范Internet环境中的攻击，如：抗端口扫描、抗DDOS攻击等。采用内核性能优化和安全加固技术网站防护系统性能的优劣直接影响到它能够被广大客户所接受。对一些用户对响应时间非常敏感的服务必须做好充分的优化工作，否则用户会对网站防护系统的性能产生疑问。我们借鉴了许多国外的相关资料，针对网站防护系统中的服务模块，