前言：尋找寫作靈感？中文期刊網(wǎng)用心挑選的門戶網(wǎng)站網(wǎng)絡(luò)安全建設(shè)研究，希望能為您的閱讀和創(chuàng)作帶來靈感，歡迎大家閱讀并分享。

1主機(jī)系統(tǒng)及存儲備份建設(shè)

在電信部門IDC機(jī)房部署應(yīng)用服務(wù)器兩臺及以上、數(shù)據(jù)庫服務(wù)器兩臺（或者四臺）分別做雙機(jī)熱備或多機(jī)互備，數(shù)據(jù)庫服務(wù)器通過光纖交換機(jī)與存儲系統(tǒng)相連接，為了便于數(shù)據(jù)同步，在單位部署一臺數(shù)據(jù)上傳服務(wù)器和電信部門IDC機(jī)房部署一臺前置數(shù)據(jù)庫服務(wù)器，定期將內(nèi)部需要在外網(wǎng)查詢的內(nèi)容通過數(shù)據(jù)上傳服務(wù)器自動傳送到外網(wǎng)前置數(shù)據(jù)庫服務(wù)器上，在外網(wǎng)前置數(shù)據(jù)庫服務(wù)器上進(jìn)行數(shù)據(jù)校驗和比對后自動同步到網(wǎng)站數(shù)據(jù)庫服務(wù)器上，實現(xiàn)內(nèi)外網(wǎng)數(shù)據(jù)的及時更新。

2網(wǎng)絡(luò)通信建設(shè)

由于門戶網(wǎng)站的所有硬件都托管在電信部門IDC機(jī)房，故在網(wǎng)絡(luò)通信方面完全利用電信部門IDC機(jī)房現(xiàn)有的網(wǎng)絡(luò)通信設(shè)備，對外出口帶寬至少為兩條100MB鏈路。

3網(wǎng)絡(luò)安全防護(hù)建設(shè)

政府類門戶網(wǎng)站的安全建設(shè)按照計算機(jī)信息系統(tǒng)安全等級保護(hù)三級技術(shù)標(biāo)準(zhǔn)執(zhí)行。涉及內(nèi)容包括：數(shù)據(jù)機(jī)房安全、網(wǎng)絡(luò)通信安全、主機(jī)系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)安全幾個部分。

3.1防護(hù)對象

政府門戶網(wǎng)站信息網(wǎng)絡(luò)大致可分為管理信息區(qū)域和信息區(qū)域，管理信息區(qū)域用于支撐該系統(tǒng)與業(yè)務(wù)相關(guān)的內(nèi)部管理信息應(yīng)用數(shù)據(jù)。管理信息區(qū)域劃分為用于承載內(nèi)部辦公的信息內(nèi)網(wǎng)和用于支撐對外業(yè)務(wù)和互聯(lián)網(wǎng)用戶的信息外網(wǎng)。信息區(qū)為面向公眾的信息平臺，用于信息查詢、政策導(dǎo)向、公眾監(jiān)督等互聯(lián)網(wǎng)訪問需要。

3.2設(shè)計思路

政府類門戶網(wǎng)站網(wǎng)絡(luò)安全防護(hù)體系是依據(jù)以下策略進(jìn)行建設(shè)：雙網(wǎng)雙機(jī)：管理信息區(qū)劃分為信息內(nèi)網(wǎng)和信息外網(wǎng)，內(nèi)外網(wǎng)間采用物理隔離，信息內(nèi)外網(wǎng)分別采用獨立的服務(wù)器，數(shù)據(jù)進(jìn)行單向流動，通過人工操作實現(xiàn)，極大地保障了信息數(shù)據(jù)和內(nèi)部網(wǎng)絡(luò)的安全。等級防護(hù)：管理信息系統(tǒng)將以實現(xiàn)等級保護(hù)為基本出發(fā)點進(jìn)行安全防護(hù)體系建設(shè)，并參照國家等級保護(hù)基本要求進(jìn)行安全防護(hù)措施設(shè)計；多層防御：在分域防護(hù)的基礎(chǔ)上，將各安全域的信息系統(tǒng)劃分為邊界、網(wǎng)絡(luò)、主機(jī)、應(yīng)用四個層次進(jìn)行安全防護(hù)設(shè)計，以實現(xiàn)層層遞進(jìn)，縱深防御。

3.3防護(hù)措施

（1）基于網(wǎng)絡(luò)安全的訪問控制。在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；在會話處于非活躍時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；重要網(wǎng)段采取技術(shù)手段防止地址欺騙；按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個用戶；限制具有撥號訪問權(quán)限的用戶數(shù)量。

（2）設(shè)備和審計系統(tǒng)結(jié)合。對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；審計記錄包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表；對審計記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等；實現(xiàn)對應(yīng)用系統(tǒng)的數(shù)據(jù)訪問與操作進(jìn)行全面地監(jiān)控審計，可實時顯示和監(jiān)視操作行為，詳細(xì)記錄所有的操作行為和操作內(nèi)容，提供審計查詢和關(guān)聯(lián)分析，輸出完整地審計統(tǒng)計報告。

（3）基于安全事件的防護(hù)。能夠?qū)Ψ欠ń尤雰?nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其進(jìn)行有效阻斷。

（4）檢測和主動防御的融合。在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴(yán)重入侵事件時提供報警。

（5）病毒防御機(jī)制。在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢測和清除；維護(hù)惡意代碼庫的升級和檢測系統(tǒng)的更新。

（6）虛擬接入和防篡改技術(shù)。對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識唯一；當(dāng)對網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時，采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。通過主頁防篡改系統(tǒng)進(jìn)一步防止黑客對門戶網(wǎng)站設(shè)備的入侵。

（7）主機(jī)系統(tǒng)防護(hù)。主機(jī)系統(tǒng)安全防護(hù)包括對系統(tǒng)內(nèi)服務(wù)器及存儲設(shè)備的安全防護(hù)。服務(wù)器包括業(yè)務(wù)應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器、WEB服務(wù)器、文件與通信服務(wù)器等。保護(hù)主機(jī)系統(tǒng)安全的目標(biāo)是采用信息保障技術(shù)確保業(yè)務(wù)數(shù)據(jù)在進(jìn)入、離開或駐留服務(wù)器時保持可用性、完整性和保密性，采用相應(yīng)的身份認(rèn)證、訪問控制等手段阻止未授權(quán)訪問，采用主機(jī)防火墻、入侵檢測等技術(shù)確保主機(jī)系統(tǒng)的安全，進(jìn)行事件日志審核以發(fā)現(xiàn)入侵企圖，在安全事件發(fā)生后通過對事件日志的分析進(jìn)行審計追蹤，確認(rèn)事件對主機(jī)的影響以進(jìn)行后續(xù)處理。

3.4安全防護(hù)集成

綜上所述，政府門戶網(wǎng)站信息網(wǎng)絡(luò)的可靠運轉(zhuǎn)是基于通訊子網(wǎng)、計算機(jī)硬件、操作系統(tǒng)、各種應(yīng)用軟件等各方面、各層次的良好運行。因此，其風(fēng)險將來自對內(nèi)部和外部的各個關(guān)鍵點可能造成的威脅，這些威脅可能造成總體功能的失效。網(wǎng)絡(luò)安全體系結(jié)構(gòu)主要考慮安全對象和安全機(jī)制，安全對象主要有網(wǎng)絡(luò)安全、系統(tǒng)安全、數(shù)據(jù)庫安全、信息安全、設(shè)備安全、病毒防治等。

（1）網(wǎng)絡(luò)出口邊界部署能夠防御DoS/DDoS攻擊、ARP欺騙攻擊、TCP報文標(biāo)志位不合法攻擊、LargeICMP報文攻擊、地址掃描攻擊和端口掃描攻擊等多種惡意攻擊的下一代防火墻。保證正常訪問用戶的接入，對內(nèi)網(wǎng)資源形成進(jìn)行有效保護(hù)。

（2）網(wǎng)絡(luò)出口部署入侵防御系統(tǒng)，因為內(nèi)部網(wǎng)絡(luò)中有很多服務(wù)器（如web服務(wù)器、通訊服務(wù)器、應(yīng)用服務(wù)器集群等等），各種服務(wù)器的操作系統(tǒng)和數(shù)據(jù)庫在網(wǎng)絡(luò)通訊傳輸中存在天然的安全隱患，如對協(xié)議中的異常情況考慮不足。外部非法訪問可利用協(xié)議的漏洞對服務(wù)器發(fā)起攻擊。向服務(wù)器發(fā)送非標(biāo)準(zhǔn)或者緩沖區(qū)溢出的協(xié)議數(shù)據(jù)，從而奪取服務(wù)器控制權(quán)或者造成服務(wù)器宕機(jī)。密切跟蹤全球知名安全組織和軟件廠商的安全公告，對各種威脅進(jìn)行分析、驗證，保證實時更新簽名庫，跟進(jìn)安全威脅的發(fā)展?fàn)顩r。不斷升級入侵防御系統(tǒng)檢測引擎以防護(hù)新出現(xiàn)的安全威脅，具備防御0-DAY攻擊能力。

（3）網(wǎng)絡(luò)內(nèi)部署安全審計系統(tǒng)，在嚴(yán)格執(zhí)行安全保密規(guī)定的基礎(chǔ)上，對整個系統(tǒng)的監(jiān)控審計管理，保證系統(tǒng)的數(shù)據(jù)完整性、保密性和可信性。實時顯示和監(jiān)視操作行為，詳細(xì)記錄所有的操作行為和操作內(nèi)容，提供審計查詢和關(guān)聯(lián)分析，輸出完整地審計統(tǒng)計報告。發(fā)生安全問題時，可以從系統(tǒng)的審計記錄庫中快速查找違規(guī)操作活動和留下的痕跡，獲取可靠的證據(jù)信息，如果發(fā)生了安全事故也能夠快速查證并追根尋源。

（4）在門戶網(wǎng)站服務(wù)器前端部署web應(yīng)用防火墻系統(tǒng)，對web服務(wù)器進(jìn)行全面防護(hù)，發(fā)現(xiàn)并阻斷各種WEB攻擊，定期檢查網(wǎng)站各種安全隱患，發(fā)現(xiàn)問題及時預(yù)警并自動采取修補(bǔ)措施；實時防護(hù)各種WEB應(yīng)用攻擊、DDOS攻擊、網(wǎng)頁木馬攻擊等行為。

（5）在Web服務(wù)器上部署網(wǎng)頁放篡改系統(tǒng)，采用HTTP請求過濾、核心內(nèi)嵌等技術(shù)；提供實時阻斷、事件觸發(fā)、數(shù)字水印和應(yīng)用防護(hù)四種防護(hù)措施，通過四種防護(hù)措施的合理組合達(dá)到起到更好的防護(hù)作用。在安全審計系統(tǒng)對Web服務(wù)器的所有操作全面監(jiān)控進(jìn)行告警、記錄的預(yù)防措施的前提下，形成一套有機(jī)的保護(hù)體系，在發(fā)生篡改行為后迅速恢復(fù)Web網(wǎng)頁內(nèi)容，不影響正常訪問，避免業(yè)務(wù)中斷。

（6）網(wǎng)絡(luò)出口部署的防病毒網(wǎng)關(guān)，所有數(shù)據(jù)流都需要經(jīng)過防病毒網(wǎng)關(guān)。因此防病毒網(wǎng)關(guān)能夠有效地監(jiān)控進(jìn)入內(nèi)部網(wǎng)絡(luò)的流量。提供兩種方式的病毒掃描，一種傳統(tǒng)的掃描方式，文件完全掃描后推送給真正的接收者，主要用來保護(hù)安全需求強(qiáng)烈的服務(wù)器或者重要區(qū)域，另一種是邊傳輸邊緩存的方式，允許用戶實時接收數(shù)據(jù)，延時減小。

3.5網(wǎng)絡(luò)安全技術(shù)服務(wù)

政府門戶網(wǎng)站信息網(wǎng)絡(luò)投入運行后，如何保障系統(tǒng)的安全運行便成了重中之重。其中涉及的工作量巨大，技術(shù)要求亦非常高。因此，政府門戶網(wǎng)站常常采取安全服務(wù)外包方式聘請具備專業(yè)安全服務(wù)資質(zhì)的機(jī)構(gòu)進(jìn)行網(wǎng)絡(luò)安全保障。安全服務(wù)內(nèi)容主要包括以下方面：

（1）Web安全監(jiān)測。針對WEB應(yīng)用安全，我們所提出日常安全檢測內(nèi)容需包含：XSS跨站攻擊檢測；SQL注入檢測；URL重定向檢測；FORM檢測（單表逃逸檢測）；FORM弱口令檢測；網(wǎng)頁木馬（惡意代碼）檢測；數(shù)據(jù)竊取檢測；GOOGLE-HACK檢測；中間人攻擊檢測；Oracle密碼暴力破解；WebSer-viceXPath注入檢測；Web2.0AJAX注入檢測；Cookies注入檢測；雜項：其他各類CGI弱點檢測，如：命令注入檢測、LDAP注入檢測、CFS跨域攻擊檢測、敏感文件檢測、目錄遍歷檢測、遠(yuǎn)程文件包含檢測、應(yīng)用層拒絕服務(wù)檢測等。（2）數(shù)據(jù)庫安全監(jiān)測。數(shù)據(jù)庫安全檢測需實現(xiàn)的功能：發(fā)現(xiàn)不安全的數(shù)據(jù)庫安裝和配置；發(fā)現(xiàn)數(shù)據(jù)庫弱口令；發(fā)現(xiàn)數(shù)據(jù)庫的變化或潛藏木馬；發(fā)現(xiàn)數(shù)據(jù)庫弱點和補(bǔ)丁的層次。從而在此基礎(chǔ)上形成一個綜合的分析報告及修復(fù)建議。

（3）漏洞及病毒通報.系統(tǒng)在運行期間，計算機(jī)病毒及安全漏洞問題將是直接威脅整個系統(tǒng)運行的重要因素。因此，我們需要安全服務(wù)提供商定期提供定向計算機(jī)漏洞及病毒情況通報。借此，通過對這些情況的實時動態(tài)、快速的掌握，可提高管理部門的快速響應(yīng)能力。

（4）風(fēng)險評估。該系統(tǒng)需定期進(jìn)行風(fēng)險評估工作。有效地借助專業(yè)安全服務(wù)提供商的力量，來檢測本系統(tǒng)現(xiàn)行情況的安全現(xiàn)狀。

（5）系統(tǒng)安全加固。安全服務(wù)提供商需指派專業(yè)人員定期針對加固的系統(tǒng)進(jìn)行漏洞掃描、攻擊、滲透等方面的測試，確保核心設(shè)備、核心系統(tǒng)的加固有效性，并及時報告系統(tǒng)加固現(xiàn)狀。在業(yè)務(wù)系統(tǒng)上線之前檢查安全配置情況，并提供安全加固建議。安全加固是指針對政府門戶網(wǎng)站的服務(wù)器、安全設(shè)備的安全加固和安全配置優(yōu)化，對網(wǎng)絡(luò)設(shè)備的安全加固建議。通過定期的加固工作，將系統(tǒng)的安全狀況提升到一個較高的水平。將在漏洞掃描、安全審計、滲透測試的報告結(jié)果基礎(chǔ)上，對服務(wù)器、安全設(shè)備等方面存在的各類脆弱性問題進(jìn)行提煉歸納，提出合理的切實可行的安全加固方案。安全加固方案在提交并經(jīng)過用戶方評審、許可后，進(jìn)行安全加固實施，同時，必須指導(dǎo)、協(xié)助對各應(yīng)用系統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、中間件和應(yīng)用程序的安全配置、安全策略和安全機(jī)制進(jìn)行電子政務(wù)云計算中心加固和完善，使應(yīng)用系統(tǒng)符合安全防護(hù)要求，保證該信息系統(tǒng)的安全可靠運行。

3.5.1應(yīng)急響應(yīng)目標(biāo)

及時響應(yīng)信息系統(tǒng)的安全緊急事件，保證事件的損失降到最小。包括如下目標(biāo)：

（1）7*24*365快速響應(yīng)服務(wù)（本地），提供全天候的緊急響應(yīng)服務(wù)，本地在2個小時內(nèi)到達(dá)現(xiàn)場；

（2）判定安全事件類型，從網(wǎng)絡(luò)流量、系統(tǒng)和IDS日志記錄、桌面日志中判斷安全事件類型。查明安全事件原因，確定安全事件的威脅和破壞的嚴(yán)重程度。查明安全事件原因，確定安全事件的威脅和破壞的嚴(yán)重程度：

（3）抑制事態(tài)發(fā)展，抑制事態(tài)發(fā)展是為了將事故的損害降低到最小化。在這一步中，通常會將受影響系統(tǒng)和服務(wù)隔離。這一點對保持系統(tǒng)的可用性是非常重要的；

（4）排除系統(tǒng)故障，針對發(fā)現(xiàn)的安全事件來源，排除潛在的隱患，消除安全威脅，徹底解決安全問題；

（5）恢復(fù)信息系統(tǒng)正常操作，在根除問題后，將已經(jīng)被攻擊設(shè)備或由于事故造成的系統(tǒng)損壞做恢復(fù)性工作，使網(wǎng)絡(luò)系統(tǒng)能在盡可能短的時間內(nèi)恢復(fù)正常的網(wǎng)絡(luò)服務(wù)；

（6）信息系統(tǒng)安全加固，對系統(tǒng)中發(fā)現(xiàn)的漏洞進(jìn)行安全加固，消除安全隱患；

（7）重新評估信息系統(tǒng)的安全性能，重新評價系統(tǒng)的安全特性，確保在一定的時間范圍內(nèi)，不發(fā)生同類的安全事件。

3.5.2應(yīng)急響應(yīng)內(nèi)容

應(yīng)急響應(yīng)是處理各種惡意攻擊帶來的緊急破壞效果，這里包括如下方面：

（1）拒絕服務(wù)響應(yīng)，當(dāng)網(wǎng)絡(luò)遭受大量通信訪問而造成我們正常業(yè)務(wù)無法提供服務(wù)的時候，必須采取措施，將惡意訪問抵擋在業(yè)務(wù)范圍之外；

（2）數(shù)據(jù)破壞響應(yīng)，當(dāng)服務(wù)器的相關(guān)環(huán)節(jié)，包括文件服務(wù)器，網(wǎng)站服務(wù)器，數(shù)據(jù)庫服務(wù)器等的數(shù)據(jù)被惡意破壞，導(dǎo)致無法正常提供服務(wù)，并且此類現(xiàn)象可能還會重現(xiàn)；

（3）病毒蠕蟲響應(yīng)，當(dāng)網(wǎng)絡(luò)遭受到病毒蠕蟲的攻擊，導(dǎo)致正常辦公網(wǎng)絡(luò)癱瘓無法正常實施業(yè)務(wù)，必須采取根治措施，去除惡意影響；

（4）其他情況應(yīng)急響應(yīng)，除了上面列明外，包括惡意竊聽、代碼攻擊、網(wǎng)絡(luò)欺騙等，需要進(jìn)一步找到攻擊根源，去除漏洞。

3.6等級保護(hù)測評

聘請第三方信息安全等級保護(hù)測評公司進(jìn)行網(wǎng)站系統(tǒng)相關(guān)軟硬件是否達(dá)到信息安全等級保護(hù)三級的要求，并出具測評證書。

4建立及完善安全管理機(jī)制和網(wǎng)站維護(hù)隊伍

針對政府門戶網(wǎng)站的功能及特點，有針對性地編制門戶網(wǎng)站安全管理制度及落實相關(guān)負(fù)責(zé)人，保證門戶網(wǎng)站的內(nèi)容更新、安全監(jiān)察和數(shù)據(jù)交換。自身也需建立專業(yè)的網(wǎng)站維護(hù)隊伍，明確門戶網(wǎng)站每天必做的各項工作到具體的維護(hù)人員，定期進(jìn)行檢查和監(jiān)控，及時發(fā)現(xiàn)網(wǎng)站異常，處理來自外部的各種惡意攻擊。并根據(jù)安全廠商及國家安全管理部門的各項網(wǎng)絡(luò)攻擊預(yù)警報告進(jìn)行網(wǎng)站程序和數(shù)據(jù)庫安全防護(hù)方面的代碼升級。

作者：徐龍 單位：重慶市公安局交通管理局科研所