捷普服务器群组防护应用案例.doc

西安交大捷普网络科技有限公司 政府网站安全解决方案技术白皮书西安交大捷普网络科技有限公司2010年3月目录一、政府网站面临威胁2二、政府网站防护要点32.1防篡改32.2 防瘫痪42.3 防攻击42.4 防病毒42.5 防泄密5三、政府网站安全解决方案5一、政府网站面临的威胁当前国家正大力提倡电子政务和信息化建设，许多政府机构及部门均开通了相应的门户网站，通过电子政务方式提高办公效率，优化办公流程，降低办公浪费。但由于技术、人力、物力等条件的制约，许多电子政务建设还处于初级发展阶段，即网络建设阶段，这就使得政府网站在提供业务便利的同时，也出现了很大的安全隐患，反而制约了电子政务的发展。由于在电子政务系统中，门户网站基本都部署在防火墙的DMZ区，从技术上能起到一定的防护和控制能力，但由于防火墙作为一款基于网络层的访问控制设备，无法对相对公开的门户网站进行基于应用层的检测及防护，因此政府网站的问题依旧存在，并且有越来越厉害的趋势。我们统计了一下，当前政务网站在运行过程中，最常出现的问题有以下几点：l 网页被篡改l 网站遭受攻击l 网站瘫痪l 网站服务器感染病毒l 内部涉密信息被误发布以上问题的出现，严重影响了政府网站的正常运行，增加了网络维护的难度和工作量，同时对政府形象及公信力造成较大的负面影响。因此在网络应用越来越普遍的今天，政府各机构门户网站的安全问题，必须要引起足够的重视。二、政府网站防护要点上面我们对政府网站面临的主要问题进行了分析，因此针对政府网站，我们所说的安全最少应该包含五方面的内容，即防篡改、防瘫痪、防攻击、防病毒、防泄密。下面我们详细的对这五方面的内容进行解释：2.1防篡改网页篡改是目前大多数电子政务网站发生率极高的安全事件，是一种由于自身安全防御机制薄弱而产生的衍生效应，这种行为引发的缘由通常也是由几方面组成：第一：系统自身的安全漏洞：1) 开放了过多的服务端口，让黑客利用部分服务端口进入系统进行操作完成网页的篡改；2) 通常我们在电子政务服务器搭建平台中所使用的windows或Linux平台，系统本身都存在系统的漏洞，如果我们对这些漏洞不能进行快速的发现和修补，很容易成为黑客进行系统的捷径。第二：由管理权限引发的篡改事件1) 系统的管理向所有的用户包括匿名用户提供了远程登入的便利，使黑客利用任意一个用户都可以在服务器系统中进行文件和数据的自由操作；2) 电子政务所使用的数据库软件，Apache，TOMCAT,Java，PHP等服务程序，没有进行有效的权限划分，使黑客通过一些网页内容的提交方式调取系统命令或脚本，完成数据的插入和文件的篡改，对服务程序进行启停操作和文件操作，而使网站陷入瘫痪或异常工作状态。第三：网站源码引起的篡改事件目前大多数电子政务网站都使用了一些通用的编码技术如HTML，JSP，PHP等和通用的WEB运行环境如：windows的IIS服务，Linux下的Apache，tomcat等，当这些网站在编码中由于设计性错误而暴露出程序本身或系统中的重要信息或存在一些引发系统资源溢出的缺陷，就很容易成为黑客的利器对页面进行篡改或让服务器陷入瘫痪。对于网页篡改的防御，我们不能单一依赖限制访问用户的读/写网页文件权限，要根治网页篡改的威胁，必须要加强网站服务器的主动防御机制，包括遏制攻击请求信息的进入，对服务器口令进行有效管理，关闭不必要的管理员权限，定期对系统漏洞进行补丁修复等。同时在电子政务系统投入运行前，应当对系统进行全面的测试评估，及早发现存在的涉及编码错误，有条件的情况下，让第三方测评机构对系统进行专业的技术评估更能让我们的系统更加稳健，安全。关键一点如果一旦网页被篡改成功，一定要有技术措施能够及时发现，并且自动进行恢复，避免造成广泛的负面影响。2.2 防瘫痪作为电子政务系统面临的最大问题就是系统瘫痪问题，使电子政务网站不能正常访问和使用，电子政务系统由于其地位特殊性，更容易受到人们的关注，同时也成为很多网络黑客，反动组织，境外势力攻击的焦点，一旦发生系统瘫痪将带来一系列的严重问题，造成恶略的负面影响。引发系统瘫痪的因素一方面是由于各类网络攻击，如DOS/DDOS泛洪攻击，SQL，命令式的注入攻击等；另一方面由于系统本身软件缺陷，而导致在运行过程中不断谗食系统资源，导致系统无法进行正常的数据处理而引发的异常状态。因此面对网络瘫痪，必须以系统的攻击防御及服务的冗灾热备机制为主导，建立服务的负载均衡和服务热备机制，目前很多服务器都是用了磁盘阵列部署模式，这在很大程度上缓解了早期使用单台服务器提供服务面临的风险，通过业务的分流，资源的合理分配，风险的合理分担有效保障电子政务服务器的服务安全。2.3 防攻击网络攻击作为对政务网站，政务系统和电子商务系统影响最为严重的因素，是导致很多服务器安全问题根源，能够将攻击行为有效地拦截在系统服务之外，形成主动得安全防御体系，将大大提高门户网站的系统安全。目前在网站系统中使用的操作系统大多为windows IIS服务以及基于Linux的Apache和tomcat服务，通过对网站进行安全评估，比如对网站服务器进行漏洞扫描，注入攻击测试，网站挂码测试，缓冲区溢出测试，内存泄露测试等，我们能够很清楚地发现系统存在的安全隐患，以及系统安全防御体系是否具有足够的抗攻击能力。找到网站系统防御的短板，就能让我们及时进行有针对性的缺陷修补和安全加固。2.4 防病毒计算机病毒是让我们异常头疼的问题，我们很多人的主机又有被感染病毒，病毒传染速度快，破坏性大，反复查杀却反复感染，让我们防不胜防，而当这些感染了病毒的主机载体，在通过我们的电子政务网站系统进行业务处理时，就会在潜移默化中将病毒注入进我们的服务器当中，而通过我们服务器将会把病毒传播给更多的主机，形成大面积的连锁反应。一旦服务器感染病毒被强行注入了木马程序或蠕虫，瘫痪、泄密都有可能发生，因此必要的防病毒措施，及时安装操作系统的安全补丁，建立防病毒体系，使服务器能随时保持“健康”状态。同时近些年随着“云安全”概念在病毒防御领域得到广泛的认同，建立广泛以云主机和云服务器形成的蜂窝式“云安全”多点防御体系，能够在一个更加广泛的范围内进行病毒的多点防御，织起一张结构紧密的病毒防护网，让无孔不入的病毒彻底无路可寻。2.5 防泄密政府网站作为国家政府机构对外的窗口，会提供很多业务相关数据信息，目前大多数数据信息的发布都是由人工更新，但随着数据文件数量的增加，人工难免会出现误发布的情况，将一些重要的政务文件或信息发不到公开网站中，一旦出现这种情况，造成的影响和后果也难以衡量，因此防泄密的重点，就是要建立起来一套发布审查，操作审计，敏感信息过滤事件响应的机制。目前发布审查在政府机构中都有要求，但操作审计和事件响应能力则很弱，因此我们防泄密主要就是要使政府网站具备操作审计和事件响应的能力。三、政府网站安全解决方案西安交大捷普网络科技有限公司通过多年来对网络安全技术的探索和研究，结合政府安全项目实施经验，分析了大量针对政务网站的破坏案例以及解决方案，提供了一套切实可行的安全解决方案和成熟的支撑技术，让政务网站系统最终能够实现安全，稳健的优化运行。在该方案中，我们采用了创新安全技术和成熟安全产品相结合的模式，建立了四个防护子系统，及捷普服务器群组防护系统，防病毒系统、内容审计监控系统及灾备系统，基本实现了政府网站“五防”需求，再配合管理人员对防护策略及时调整和实时监控，相信能够对政府网站安全实现非常大的改观。下面是部署方案：政府网站安全解决方案说明：3.1 攻击防御l 在网站服务器前端通过对捷普网络防火墙，捷普入侵防御系统以及捷普服务器群组防护系统功能整合形成立体化的攻击防御体系，能够从不同协议层对来自网络攻击进行有效的防御：1) 有效的访问控制防火墙能够为我们提供良好的访问控制，通过策略制定，我们能够开放电子政务等系统访问过程中所需要的端口，而将一些管理员进行配置管理和数据交互时所使用的服务端口保护起来，仅对可信的管理主机开放而不向公众用户开放，再结合地址转换和端口转换机制将服务器放置在一个逻辑隔离的安全区域内不向公共网络暴露自己的网络地址，端口和网络结构，从而让针对服务器的嗅探攻击行为彻底失去效果。2) 智能化攻击检测防御入侵防御系统通过智能化的数据捕获，数据分析，DNA比对，形成事前审计，事中过滤，事后追踪全方位攻击防御体系，将缓冲区溢出、SQL注入、暴力猜测、D.o.S攻击、扫描探测、蠕虫病毒、木马后门、间谍软件等各类黑客攻击和恶意流量进行实时检测过滤。3) 深度异常请求过滤捷普服务器群组防护系统通过代理检测机制，能够对那些通过协议伪装，碎片分解技术流入的隐蔽的攻击数据通过片段还原技术，现出本来的面目，其中集成的WEB攻击防御模块，对这些现出原形的SQL注入攻击，命令代码注入攻击，cookie注入攻击，跨站脚本攻击（钓鱼攻击），字段隐藏攻击，会话劫持攻击，参数篡改攻击，请求伪装攻击，恶意代码（网页木马）攻击，信息泄露攻击，变形应用攻击等进行拦截过滤。3.2 网页篡改防御l 通过完善的攻击防御我们已经能够将绝大多数网页篡改的可疑行为扼杀在萌芽状态中，当然我们也不能轻视那些参与过网站维护及开发工作的隐患人员，利用自己对网络和系统的熟悉和其中后门缺陷的了解进入我们的系统进行网站信息的篡改，因此我们仍然需要建立完善的网页篡改应急机制，来保障在发生篡改行为时及时作出正确的预警，响应和恢复。1） 加强篡改攻击防御网页防篡改重点首先应对常用的SQL注入，命令注入，网站挂码等攻击行为进行有效过滤，防止这些攻击渗透到网站服务器当中；2） 细粒度访问控制利用捷普服务器群组防护系统对网页资源进行标识后的分级管理，为政府网站涉及的文件赋予不同的访问权限，杜绝越权访问；尤其对网页的写入行为进行严格的身份审查，限制未授权的用户进行写入活动。3） 网页篡改的预警和恢复捷普服务器群组防护系统通过安装在服务器上的页面篡改监测软件，当监测的受保护网站文件发生了未授权的修改，衍生，删除时，系统会自动启用应急响应机制产生预警响应并对文件进行还原。3.3 网站瘫痪防御l 防止网站的瘫痪我们应做好三个方面的工作：1） 系统资源活动监测捷普服务器群组防护系统通过安装在服务器上的状态监测客户端，能够实时监测网站服务器的CPU、内存、磁盘、服务、进程、端口等资源，一旦发现异常，将向管理员提供多种形式的预警。2） 业务负载的合理分配对网站服务器进行灾备和负载均衡，从另一方面增强了政府网站的防瘫痪能力。通过部署负载均衡设备对服务器访问请求进行调节，将用户访问通过调节分配到多个服务器上进行业务分担，防止一台服务器由于负载过大而造成瘫痪。3） 服务器的双机热备我们为每一台服务器配置一个备用的服务器，当服务器系统发生故障时，通过使用热备调节产品实时启用备用服务器进行业务接管。3.4 网络病毒防御l 在网站服务器上安装防病毒系统，及时更新病毒库，定期对服务器进行安全补丁修补升级，能够确保服务器自身有足够的抵御病毒或攻击的能力。1) 关注漏洞扫描在我们的服务器安全域中部署漏洞扫描，通过定期的漏洞扫描形成潜在风险报告，能够在系统遭受攻击之前发现服务器中存在的安全漏洞，提醒我们的维护人员认识当前的服务器安全风险，尽早进行修复。2) 升级补丁的分发建立统一的系统补丁分发机制，在当前磁盘阵列服务模式下非常有必要，让所有系统智能地进行补丁修复和系统升级，能够更加及时地解决网站服务器在面对网络病毒时出现的安全补丁更新滞后的问题。3.5 网络泄密防御l 在网站服务器的接入交换机上，安装捷普网络安全审计系统，通过对审计系统的策略设置，1) 上传及发布行为审计利用捷普网络安全审计系统，能够对通过FTP，网络共享，HTTP提交等方式上传的文件进行审计，对文件中存在的敏感词语能够进行检测，并在事件查看其中能够看到上传文件的原始样本以便进行事件追查。2) 敏感信息的发布审计利用捷普网络安全审计系统，对发布到服务器当中的文字，图片信息，以及网页提交的信息进行有效的审计，一旦发现敏感信息，可以及时产生告警信息，同时记录在数据库中的日志也是事后追查的信息来源。如果管理员设置了阻断策略，还能够基于内容对违规的上传、发布行为进行阻断，起到一定的防泄密能力。3) 数据库操作审计利用捷普网络安全审计系统，能够对远程对数据库的操作信息进行有效审计，在每次对远程数据库如SQL server，mysql，Oracle等进行远程操作时，审计