1 网站安全刻不容缓

　　最近，CSDN、人人网、7K7K、天涯 、开心网、多玩等多个国内大型站点相继出现用户数据库曝光事件，网站安全似乎一下子成为了大众的关注焦点。其实，网站安全问题由来已久，特别是近年来网站攻击事件日益严重，据国家互联网应急中心统计，仅2010年国内就有近3.5万个网站被黑客篡改。

　　大量网站安全问题的曝光，究其根本是由于网站处于互联网这样一个相对开放的环境中，网站整体防护中的任何一点漏洞或不足都可能在网络上被迅速放大和利用，从而导致网站安全事件层出不穷。网站安全性不高不仅影响了企业形象和网站业务的开展，还给不法分子发布虚假信息或植入网页木马以可乘之机，造成更大的危害。

　　2 网站防护应该关注什么

　　网站作为典型的信息系统，必然会面临各种安全威胁，这些威胁可能来自外部，比如DDoS攻击、SQL注入攻击，也可能来自网站内部，如恶意的合作伙伴、管理人员的误操作等，而且没有一种防护措施能够包治百病。所以，网站安全防护需要多管齐下，不能简单的头痛医头，脚痛医脚。

　　针对网站的内、外威胁，应当采用完善的措施，来降低威胁，保障安全，根据天融信多年来网站安全防护的建设经验，网站安全防护应当关注以下五个环节的安全问题：

　　A、对抗外部攻击

　　网站不同于其他应用系统的是，威胁更多来自于外部，主要指来自互联网的主动和被动攻击行为，这是网站最迫切的安全建设需求，具体包括：

　　• 防范恶意攻击：网站应具备对抗恶意攻击的能力，应当对互联网的访问进行控制，限制只有被许可的访问方可进入网站，杜绝非许可的访问，杜绝对网站的频繁多次连接，并能够监视对网站的请求连接数量和类型，保障网站的受访始终在许可的方式下;另外，还应当对常见的网站攻击行为(包括SQL注入攻击、跨站脚本攻击、网站挂马攻击等)进行有效防范;

　　• 防范恶意代码：网站应具备防范恶意代码攻击的能力，能否有效过滤并查杀针对网站服务器的病毒、蠕虫和木马等恶意代码，防止恶意代码对服务器的破坏;

　　• 对抗拒绝服务攻击：拒绝服务攻击利用了TCP/IP协议先天的不足，因此成为互联网上常见的攻击行为，该行为严重影响了网站系统的可用性，给用户造成很大的损失，因此设计网站安全防护系统中，对于拒绝服务攻击一直是个重点，网站系统应当有能力对抗常见的拒绝服务攻击行为，具备持续运行的能力;

　　• 实现访问内容深度监测：对网站的访问进行监视，应能够区分出哪些是非法的访问，哪些是合法的访问，特别需要针对采用TCP/80(HTTP)以及TCP/443(HTTPS)的访问，应能够深入到内容层，防止SQL注入攻击、跨站脚本攻击，以及挂马攻击等行为，保障网站的深度安全;

　　• 防范网页篡改：应对网页的修改行为进行深度监控，防范网页内容被非法篡改的行为，同时还要保障正常的网页修改能够进行，这就要求必须具备识别非法与合法修改网页的行为;

　　• 保障数据传输保密性：对通过互联网传递的数据采取必要的保密措施，特别是一些以提供服务为主的网站，比如政务门户网站、电子商务网站、网上购物网站等，要防范以明文方式在互联网传递过程中的安全问题;

　　• 保障数据传输完整性：类似于解决数据传输保密性问题，需要采取措施防范数据在传递过程中，被非法篡改，破坏数据的完整性，影响网站业务的正常进行;

　　B、实现自身安全加固

　　网站频频出现问题和自身系统及软件的安全漏洞密不可分，尽可能降低网站自身存在的安全弱点，来有效对抗内外攻击，也是网站安全保障体系应考虑的关键因素，对此典型的安全需求包括：

　　• 开发安全：OWASP发布的WEB安全十大威胁，以及CWE发布的 25大危险编程错误都表明，很多威胁来自于不安全的编程习惯，网站业务系统的开发不能仅仅关注业务的易用性，更应当遵循安全代码的编程规范;

　　• 源代码安全审查：网站系统自身源代码的健康性检查也是非常必要的，是提升网站系统自身安全性的有效手段，通过对网站系统源代码的扫描和人工分析，可以及时发现网站系统存在的安全隐患，可以在受到攻击之前进行修补，从而大大降低网站的安全威胁;

　　• 关注第三方程序安全：对于大量使用第三方产品或开放源码产品的情况，应定期监控这些软件的漏洞披露情况并及时更新。此外，网站内部核心业务应尽可能与第三方软件进行一定的安全域分割，并进行严格的访问控制;

　　• 敏感信息强加密存储：本次的网站账户泄密事件之所以会造成如此大影响，很大一个原因是相当一部分网站采用明文方式存储用户密码，约有上亿规模的用户密码为明文存储。采用了加密措施的网站也有相当一部分采用公开的MD5算法对用户密码进行加密存储，而MD5已经是公认不安全的加密算法，通过简单的彩虹表碰撞(一种加密密码破解方法)可以在数秒钟内破解加密存储的密码。因此，对于用户账号等敏感信息应当采取强加密存储手段;

　　• 加强安全认证的力度：对于以提供互动服务的综合型网站，以及专用型网站来讲，需要对合法访问者的身份进行高强度的认证和授权管理——比如网上银行系统对储户的认证，企业业务门户对远程合法办公人员的认证、政府办公门户对公务员的认证等——需要采取措施保障认证口令的强度，必要的时候还需要采取双因素等更高强度的认证措施，并且口令在通过互联网传递过程中必须是加密的，以防范被窃取的风险;

　　• 加强服务器自身的安全性：网站的主页服务器、数据库服务器都是运行在操作系统之上的，而商业性的操作系统在安全性方面总是存在很多的安全漏洞，需要不断的升级补丁，往往由于升级不及时，甚至在补丁没有发布以前，针对该漏洞的攻击就出现并对网站系统给予破坏，特别是网站总是面对互联网开放，相当与运行在一个很不安全的环境，因此传统的打补丁的方式已经无法满足网站对自身防护能力的要求;

　　• 实现网页的快速恢复：一旦网页遭到攻击并被篡改后，系统应当能够及时发现，并能够对网页进行快速恢复，特别是一些动态网页，也能够实现快速的恢复;

　　• 实现数据灾难备份：大多数网站都包含有自身的数据库系统，特别是综合型网站和专用型网站，这些网站提供交互式的服务，其业务是数据的交互来实现的，因此数据的安全性显得非常重要。数据安全除了前面所描述的，要保护在数据传输过程中的安全性，还需要考虑数据的存储安全性，即要防范数据因丢失和破坏而造成的安全问题，这就需要建立数据灾难备份措施，能够在发生安全问题后快速有效恢复;

　　• 实现前/后台的安全隔离与交换：网站系统通常包含前、后台两个部分，并且大多数的网站都是前台收集数据，后台处理数据并进行实际的业务操作，或者是后台编辑网页，然后上传到前台后进行发布。因此，网站除了要对抗来自互联网的威胁，还要考虑到对后台信息网络的影响，其中比较关键的就是两个平台的隔离与交换问题，应当在数据传递过程中保障安全性，防止前台成为进一步攻击后台业务系统的跳板;

　　C、进行全面审计

　　网站系统往往直接面向互联网开放的同时也存在大量的内部访问，在互联网及内部网络上都会有合法的访问用户和非法的攻击者，对网站采取一些破坏性的行为，因此针对网站的内外部访问，采取有效的审计措施，是非常必要的，对此典型的安全需求包括：

　　• 实现集中的日志审计：网站内的网络设备、安全设备以及服务器上，都记录了该节点所转发或相应的访问行为，并以日志的形式存放在本地，而这些日志对于分析网站的活动状态，分析网站的受访信息有着非常重要的意义。但是，由于各系统的日志格式不统一，日志内容不统一，日志分散存放等问题，对分析日志造成了很大的障碍，因此需要采取集中的日志审计措施，将上述各个环节的日志信息汇总起来，并进行格式的标准化，和内容的归并化，使得系统管理人员能够从全局的角度来分析日志，从而搜索出系统存在的问题;

　　• 实现行为审计：日志审计对于分析网络内的活动有着比较重要的意义，但是这种措施也存在着一定的局限性，就是记录的内容以及详细程度完全取决于网络设备、服务器和安全设备自身审计功能的设计，并且通常只记录访问类型、访问结果、访问流量等，对访问的过程记录较少;另外，日志审计属于典型的事后记录，无法做到事中的监控与检查。因此有必要采用行为审计措施，对活动过程进行比较详细的记录，并根据策略对访问数据包进行实时监测，对危险的活动进行报警;

　　• 实现数据库审计：大多数的网站都有数据库的支持，特别是一些动态交互式网站，数据库更是必不可缺的要素，也是安全保障系统中比较重要的环节。通常网站内的数据库主要是为网页提供服务，接受主页服务器的访问，而不会直接接受来自互联网的访问，这就要求应当对数据库的访问也要进行有效记录，一方面分析访问来源，从而能够查看到是否存在着非法的访问行为;另一方面对访问过程的记录和实时监测，可以及时发现并报警恶意的批量数据查询或数据导出/备份行为。持续的监控也有助于系统管理员分析数据库的活动状态，了解系统存在的不足和问题;

　　D、加强安全管理

　　安全管理是网站安全保障体系的重要环节，也是解决安全问题的核心环节，针对网站系统，其安全管理至少应当包含以下几个部分：

　　• 安全预警管理：正如前面所描述，网站系统面向互联网开放，互联网的威胁会随时影响网站的正常运行，因此如果只是在发现真正的破坏后再进行响应，那么将无法进行有效的预防，并且在速度上也无法保障网站所暴露的弱点在受到攻击前能够有效修补。因此，必须采用预警管理，在发现可疑行为时立即进行预警，留出足够的时间来完善网站的防护;

　　• 安全事件管理：对网站进行在线监控与分析，是保障网站长治久安的最佳办法，这就需要有一套完善的安全事件收集与分析的措施，能够对网站系统所接受的访问事件进行及时的收集，并对事件进行关联分析，从而发掘出深层次的安全问题。并且，通过事件的收集和分析，特别是对攻击事件的全过程回放，还能够准确判断出安全策略的缺陷，为系统的加固提供依据;此外，记录的事件也为事后取证提供了帮助;

　　• 保障系统工作连续性：为确保业务的持续性运行，需集中监视承载业务的设备运行状况，承载业务的网络链路状况，针对业务系统的误用和违法操作事件，业务系统的健康状态和网络中的是否存在病毒/木马;

　　• 加强运维人员的权限管理：大型网站往往存在设备和服务器众多，系统管理员压力太大等因素，导致人为误操作等行为时有发生;另外黑客的恶意访问也有可能获取系统权限，闯入网站内部网络，造成不可估量的损失。应当合理管理并审计运维人员的操作行为，提高系统运维管理水平，降低运维成本，防止黑客的入侵和破坏。

　　• 降低运维人员的工作量：一些大型的网站，其用户的数量往往比较庞大，对网站的访问非常频繁，导致了系统每天都会产生海量的日志，那么如何从海量日志中分析出真正的安全威胁，并作为安全响应的重点，往往是系统安全运行维护的难点，因此应采取日志集中关联分析的手段，来深入挖掘系统的活动状态，并对确定的安全事件给予报警;

　　• 安全状态管理：需要对网站内各类设备进行状态管理，包括服务器的运行状态管理，网络设备的运行状态管理以及安全设备的资源状态管理，可以使系统管理人员随时掌握网站的运行状态，并对出现的异常进行快速响应;

　　• 网站流量管理：网站系统的很多不正常状态都体现在流量的异常变化上，因此通过对流量的在线监测可以及时发现很多问题。

　　对于网站系统，除了上述的四个环节的安全需求以外，还应当加强对网站维护人员的安全管理、网站维护的制度管理等。

　　E、安全能力持续更新

　　安全能力的建设不是可以一蹴而就的，随着新漏洞与威胁的出现，需要对安全能力进行持续的更新和建设，至少应当包含以下几个部分：

　　• 定期的安全风险检测：根据安全脆弱性统计数据表明，绝大部分操作系统存在安全脆弱性或漏洞。网站系统软件面临同样的问题，当前安全脆弱性或漏洞时刻威胁着网站系统的安全。安全风险检测是安全保障中的重要环节，包括了威胁检测、漏洞挖掘、渗透测试等方法。安全风险检测能够识别可能被威胁利用的弱点，并对脆弱性的严重程度进行分析;

　　• 定期的安全加固处置：由于网站系统大都部署了大量软件、操作系统和数据库系统，这些系统在设计上存在一些安全漏洞和一些未知的“后门”，一般情况下很难一次性发现和解决;同时由于系统的某次配置不当也会带来安全隐患，是黑客攻击得手的关键因素。因此，需要对这些系统进行定期的安全加固，以提高系统安全防范能力，减少安全事件的发生;

　　• 定期的安全培训拓展：人，历来是系统安全防护中的薄弱点，网站系统也不例外。各种安全威胁的不断出新，如果不与时俱进的进行安全教育和技能培训，将会造成网站人员技术落后、员工安全意识日益淡薄等危害。

　　3 天融信为网站保驾护航

　　凭借历经奥运、亚运、世博、两会等大型活动安全保障的考验，以及在多个网站防护项目上的经验积累，天融信已经形成了一整套网站安全防护方案，可以为不同网站客户提供灵活的定制化解决方案。

　　网站安全整体检测服务

　　天融信安全服务团队经过多年深厚技术积累和应用实践经验，对目前国内外WEB 安全技术进行了详尽搜集、分析、研究。通过采用人工分析与专业工具分析相结合、本地与远程检测技术相结合的方式，提供对网站系统进行全面深入、彻底的整体安全检测服务，让管理者能够直观的了解自己网络和系统的安全状态。具体包括：

　　• 网站源代码安全审查

　　• 网站安全威胁检测

　　• 网站安全漏洞挖掘

　　• 网站安全脆弱检测

　　• 网站安全渗透测试

　　网站安全运营管理系列服务

　　这是天融信协助网站客户构建持续性安全防护能力的一系列服务，在网站安全整体检测的基础上，通过合理安全规划，为客户完善网站整体防护能力，并结合持续的安全巡检、加固、响应、咨询和培训等服务，解决网站的后顾之忧。具体包括：

　　• 网站安全防护规划

　　• 网站安全巡检运维

　　• 网站安全加固处置

　　• 网站安全事件响应

　　• 网站安全管理咨询

　　• 网站安全培训拓展

　　网站安全监控服务

　　这是一项托管式服务，该服务由天融信安全监测专家团队远程为客户提供。当监测到客户网站遇到风险状况后，天融信安全专家会在第一时间确认并通知用户，同时提供专业的安全建议。天融信安全监测团队通过专业的监控平台为客户出具周期性的安全监测报告，让用户及时掌握信息系统的风险状况及安全趋势。让网站管理人员从繁重的日常安全事件的监控工作中彻底解放出来，在确保客户信息系统安全的同时，降低客户的投入和管理成本。

　　网站安全防护方案设计服务

　　天融信具有多年为大型网站提供安全防护的经验，可以为客户设计体系化网站安全防护方案，通过划分合理的安全区域，构建安全防护的基础;通过构建边界访问控制体系、攻击检测预警体系、行为审计跟踪体系、数据备份恢复体系等技术防护措施，涵盖了从事前、事中和事后，以及边界、远程接入、计算环境、基础设施等全方位安全防护的纵深防御技术体系，从而提升网站整体安全保障能力。

　　完善的网站防护产品线

　　天融信历经十六年的市场考验与技术积累，已经形成完善的安全产品线，可以为网站防护提供整体防护能力。据权威机构统计，天融信品牌连续多年位居中国信息安全产品市场占有率领先地位。天融信能够提供的网站防护类产品包括：

　　• 防火墙：天融信网络卫士防火墙采用自主安全操作系统TOS，基于天融信自主设计的专用硬件平台，具备超强的接口扩展能力，最高可提供超百G处理能力，且连续十多年市场排名第一，可以为网站构建强悍的边界防护能力;

　　• 网站防护系统：天融信网站防护系列实现了恶意代码主动防御、网页的文件过滤驱动保护、防跨站攻击、防SQL注入、自身抗网络攻击等功能，不但保障了网页不会被篡改，而且还可以保障网站可以被安全、高效的访问。

　　• VPN：天融信网络卫士VPN系统TOPVPN严格按照国密局《SSL VPN技术规范》和《IPSEC VPN技术规范》开发，融合了数据加密、身份认证、访问控制等多种安全手段，能够为网站的远程管理或重要系统的访问提供安全访问通道，并实现接入认证和授权;同时易于网站系统相结合实现单点登录及统一身份管理;

　　• 入侵防御系统：天融信网络卫士入侵防御系统TopIDP采用新一代并行处理技术，具有高速的数据并行检测处理和转发能力，能够实时检测和阻断包括溢出攻击、RPC攻击、WEBCGI攻击、拒绝服务、木马、蠕虫、系统漏洞等在内的11大类超过2800种网络攻击行为，对异常及可疑流量进行积极阻断，并有详尽的攻击事件记录、各种统计报表，以可视化方式动态展示向管理员通报攻击信息，从而实现对网站网络架构防护和网络性能的保护;

　　• 入侵检测系统：天融信网络卫士入侵检测系统TopSentry采用多重检测、多层加速等多项天融信专有安全技术，具有出色的IDS的分析能力，同时具备蠕虫攻击以及隐含在加密数据流中攻击的检测能力，可以为网站构建深度的入侵监控能力;

　　• UTM：天融信网络卫士安全网关系统TopGate是天融信自主研发的新一代基于TOS平台研发推出的一款多功能综合应用网关产品，集合了防火墙、虚拟专用网(VPN)、入侵检测和防御(IPS)、网关防病毒、WEB 内容过滤、反垃圾邮件、流量整形、用户身份认证、审计及BT、IM控制等应用，可以为中小网站提供一体化防护能力;

　　• 过滤网关：天融信网络卫士过滤网关系统TopFilter系列产品采用独创的TCP粘合技术，可对SMTP、POP3、IMAP、HTTP以及FTP这些网络中主要的应用协议进行病毒过滤和防护。部署在网站的入口处，可以保护网站系统免受各类病毒、蠕虫、木马和垃圾邮件的干扰;

　　• 网闸：天融信网络卫士安全隔离与信息交换系统TopRules采用2+1系统架构，通过对信息进行落地、还原、扫描、过滤、防病毒、入侵检测、审计等一系列安全处理，有效防止黑客攻击、恶意代码和病毒渗入，同时防止内部机密信息的泄露，能够实现重要网站敏感区域与其他区域间的安全隔离和信息交换;

　　• 日志审计：天融信网络卫士日志收集与分析系统 TA-L针对海量日志收集与存储设计，可以为不同的网络、安全设备及系统提供统一的日志管理分析平台，通过系统提供的强大监控和收集能力，能够实现网站系统从网络到设备直至应用系统的日志分析和监控;

　　• 网络审计：天融信网络卫士网络审计系统 TA-NET采用“自适应深度协议分析”技术，具有即时的网络数据采集能力、强大的审计分析功能以及智能的信息处理能力，可以全面解析网络传输信息，最高提供T级存储能力，能够为网站业务提供细粒度的全面审计和监控;

　　• 数据库审计：天融信网络卫士数据库审计系统TA-DB支持Sybase、DB2、SQL Server、Oracle、Mysql、Informix等多种主流数据库监控与审计，可以实现用户数据库操作与结果跟踪，协助网站管理员了解网站业务系统的应用情况与系统瓶颈，并对数据库管理员的违规操作及时报警;

　　• 安全管理中心：天融信网络卫士安全管理系统TopAnalyzer依据ISO/IEC 27000信息安全标准，结合安全服务的最佳实践，以资产管理为基础，以风险管理为核心，以事件管理为主线，通过深度数据挖掘、事件关联等技术，辅以有效的网络管理与监视、安全报警响应、工单处理等功能，可以对网站内部各类安全事件进行集中管理和智能分析，最终实现对网站安全风险态势的统一监控分析和预警处理;

　　• 终端安全管理系统：天融信网络卫士主机监控与审计系统TopDesk是一款基于安全策略的终端管理产品，采用了开放式B/S/S体系结构和标准化数据通讯方式，可以对网站后端管理维护网络的安全行为进行全面监管，能有效保障网站管理维护终端系统及机密数据的安全。

　　4 网站防护任重道远

　　毋庸置疑，网站安全防护是项系统性工程，应当通盘考虑，特别是大型网站，切忌头痛医头，脚痛医脚，到头来一盘散沙，无法形成有效的整体安全防护能力。

　　网站安全建设需要统筹规划，网站在不具备专业安全团队的情况下，可以携手资深的专业安全公司进行总体咨询和设计，具体建设可以根据网站运营单位的资金情况分步实施，这样能够从整体上提升和完善网站的安全防护能力，避免木桶原理中的短板问题。