政府门户网站安全防护方案

政府门户网站安全防护方案

■文档编号■密级内部使用

■版本编号V 1.0 ■日期2015-05-25

■版权声明

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属XX 科技所有，受到有关产权及版权法保护。任何个人、机构未经XX科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录

一. 概述 (1)

二. 政府门户网站安全建设必要性 (2)

2.1合规性要求 (2)

2.2面临的安全威胁 (3)

2.3政府网站安全管理现状 (4)

三. 政府门户网站安全防护方案 (5)

3.1安全防护方案示意图 (5)

3.2网络层安全防护 (6)

3.2.1安全域访问控制 (6)

3.2.2拒绝服务攻击防护 (6)

3.3系统层安全防护 (7)

3.3.1 Web系统漏洞发现与管理 (7)

3.3.2 Web系统安全加固 (7)

3.4应用层安全防护 (8)

3.4.1 Web应用防护 (8)

3.4.2网页防篡改 (9)

3.5网站安全云监护 (9)

3.5.1网站安全监测服务 (10)

3.5.2 WEB应用防护系统及可管理安全服务 (12)

3.5.3抗拒绝服务系统及可管理安全服务 (13)

注：可支持接入XX安全云的设备型号及版本清单 (14)

四. 安全设备及服务主要适用场景 (14)

一. 概述

政府网站是政府职能部门信息化建设的重要内容，主要实现国家对政府网站的三大功能定位：信息公开、在线办事、公众参与。政府网站是政府部门履行职能、面向社会提供服务的窗口，是实现政务信息公开、服务企业和社会公众、方便公众参与的重要渠道，同时也是对外宣传政府形象、发布行业信息、开展电子政务的主要平台，是国家重要信息系统。

而近年来，随着政府网站所承载业务的数量和重要性逐渐增加以及其面相公众的性质，使其越来越成为攻击和威胁的主要目标。据CNCERT/CC的统计数据，2012年全年，中国大陆有16388万个网站被黑客篡改，数量较2011年增加6.1%，但其中被篡改的政府网站高达1802个，与2011年相比大幅增长21.4%。被暗中植入后门的政府网站3016个，较去年大幅增长93.1%。其中除包括地市级政府网站外还包括省部级网站。对2012年07月至2013年06月一年内境内政府网站被篡改数量月度情况进行统计（如下图所示），不难看出，近期政府网站被篡改攻击的趋势已经愈发明显。

二. 政府门户网站安全建设必要性

政府部门的网站普遍存在业务数据机密性要求高、业务连续性要求强、网络结构相对封闭、信息系统架构形式多样等特点。而网站中不同业务功能模块的信息安全需求又各不相同。如对外便民服务信息系统具有相对开放的结构特点，用户一般为普通民众，便民服务业务对数据的可用性和完整性要求往往大于其对机密性要求，而在网站上独立运行的业务信息系统具有相对封闭的结构特点，用户一般为内部用户，用户对数据的完整性和保密性要求往往大于可用性要求。因此政府网站安全风险贯穿前端Web访问到后端数据处理和反馈整个过程。因此可以定性的认为：前一类信息系统面临的服务中断、外部黑客攻击、非法入侵、安全漏洞等威胁的概率比较大，而后一类内网泄密、监管审计不到位等威胁的概率比较大。

推动政府网站进行全面信息安全体系设计和建设的动力目前主要来自三个方面：

合规性安全要求

面临的安全威胁

政府网站安全现状

2.1 合规性要求

1)《关于进一步加强政府网站管理工作的通知》（国办函【2011】40号）

2011年4月21日，国务院办公厅下发了《关于进一步加强政府网站管理工作的通知》。通知明确指明了一些政府网站依然存在着种种问题，主要原因是地方政府网站建而不管或管不到位，有些政府单位对本单位开办的政府网站不问不看，特别是网站安全管理中存在的问题长期得不到纠正。因此通知要求各地区、各部门要把办好网站放在政府工作的重要位置。政府网站要开展全面检查，要高度重视，监管机关要进一步加强对各级政府网站管理工作的监督与指导。要全面检查，切实解决政府网站管理中的突出问题。

《通知》中明确提出了要针对目前政府网站管理中的各类突出问题进行严格检查：

信息发布审核和保密审查机制是否健全；

网站链接是否经过管理单位审核把关，是否存在错链和断链；

网站安全防范工作是否到位，是否采取了防攻击、防篡改、防病毒等安全防护措施，并制订了应急处置预案；

网站管理单位和运行维护单位职责是否明确。对检查清理中发现的问题要及时整改，确保上网信息准确、真实，不发生失泄密问题，确保公众能够及时获取政府信息、

获得便利的在线服务，确保链接正确有效、网站安全平稳运行。对确实无力管好的

网站或栏目，要果断予以关闭。

2)《关于大力推进信息化发展和切实保障信息安全的若干意见》国发〔2012〕23号

2012年5月9日，温家宝总理主持召开国务院常务会议，研究部署保障信息安全工作《关于大力推进信息化发展和切实保障信息安全的若干意见》国发〔2012〕23号。

健全安全防护和管理。确保重要信息系统和基础信息网络安全。能源、交通、金融等领域涉及国计民生的重要信息系统，要同步规划、同步建设、同步运行安全防护设施，强化技术防范，严格安全管理，切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力。其中政府网站作为极其重要的信息系统，其安全管理更应当得到进一步完善和强化。

3)“等级保护”要求

目前在已经基本完成的等级保护定级工作中，国家部委以及省市重要政府机关门户网站的安全级别基本定为3级，属于国家重要信息系统，是国家等级保护测评和检查重点。面对Web应用层面这类给Internet可用性带来极大损害的攻击，必须在国家等级保护政策的指导下，采用专门的机制，综合采用各种技术手段对攻击进行有效检测，应按照《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《信息安全等级保护管理办法》（公通字[2007]43号）等文件要求，参考《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护基本要求》（ GB/T 22239-2008 ）等等级保护相关标准，开展等级保护整改、测评工作，切实为将网站建成“信息公开、在线办事、公众参与”三位一体的业务体系，为各企业和社会公众提供“一站式”电子政务公共服务政务目标提供有力保障。

2.2 面临的安全威胁

近几年关于政府门户网站被篡改、网络钓鱼、SQL注入和跨站脚本等带来严重后果的攻击

于Web的应用都存在安全问题，其中很大一部分是相当严重的问题。Web应用系统的安全性越来越引起人们的高度关注。目前网络中常见的攻击已经由传统的系统漏洞攻击逐渐发展演变为对应用自身脆弱性的攻击。与此同时，政府网站也因安全隐患频繁遭到各种攻击，导致网站敏感数据丢失、网页被篡改，甚至成为传播木马的傀儡。政府网站安全形势日益严峻，而政府网站被攻击后造成的巨大政治风险、名誉损失、公信力下降已经成为电子政务健康发展的一个巨大障碍。

2.3 政府网站安全管理现状

尽管国家早在2008年对各政府网站安全防范工作就提出了防攻击、防篡改、防病毒等安全保障目标，有些地方政府也制订了政府网站应急处置预案，但是政府网站目前所面临的Web 应用安全威胁仍然在飞速增长，极大地困扰着政府和公众用户，给政府的政务形象、信息网络和核心业务造成严重的破坏。

目前多数政府网站在安全建设过程依然存在比较突出的重应用轻安全现象，网站整体安全性差，缺乏必要的经常性维护。比如在某政府机构所制定的网站绩效评估指标中，基本上都是从网站的业务应用角度出发制定的，对信息安全的考虑基本没有，根据前期的调研发现，目前政府网站的安全控制与措施大多独立考虑，部分系统甚至缺少基本的安全策略，缺少安全主线和安全规划，导致只解决了局部问题，而未能从整体解决安全问题，从而降低了整体的安全效率，导致多个信息安全孤岛的出现。而且现有政府网站安全管理、防范措施、安全意识薄弱，极易遭到黑客攻击。以至于某些政府网站被篡改后长期无人过问，还有些政府网站虽然在接到报告后能够恢复，但并没有根除安全隐患从而反复遭到多次篡改。

因此针对这种现状，必须采取专门的监管机制，围绕政府网站特定的安全需求开展系统的、有针对性的网站安全监管已经变得刻不容缓。

三. 政府门户网站安全防护方案

3.1 安全防护方案示意图

针对常见的政府门户网站拓扑图，我们可以采取以下安全措施进行防护：

1.DDoS防御：在Internet出口处部署一台抗DDOS攻击防护系统，用于防护来自外网

的拒绝服务攻击；

2.网络访问控制：利用防火墙进行访问控制，防止不必要的服务请求进入网站系统，

减少被攻击的可能性；

3.系统安全加固：找出主机系统、网络设备及其他设备系统中存在的补丁漏洞和配置

漏洞，进行加固，以保障系统的安全性；

4.应用层防护：在网站服务器前部署一台Web应用防护系统，通过Web应用防护系统

有效控制和缓解HTTP及HTTPS应用下各类安全威胁，如SQL注入、XSS、跨站伪造

（CSRF）、cookie篡改以及应用层DDoS等，有效应对网页篡改、网页挂马、敏感信

息泄露等安全问题，充分保障门户网站的高可用性和可靠性。

5.网页防篡改：在Web服务器系统上部署网页防篡改系统，针对Web应用网页和文件

进行防护。

6.网站安全监测：通过专业化的托管式服务来实时监测和周期度量网站的风险隐患，

评估网站的安全状态，衡量改进情况。

对于一个定制化开发的政府门户网站来说，从其规划和开发阶段就要引入相应的安全建设。测试阶段的安全测试作为上线前最后的检查是至关重要的，可以最大限度地发现系统的脆弱性所在。运行阶段所应该关注的主要是与黑客实时的攻防博弈，以及事后的及时恢复、取证和追溯等。

已投入使用的政府门户网站而言，由于不太可能投入大量的人力去重新开发或做大规模的代码级整改，因此如何在运行阶段进行有效的安全防护成为关注的焦点。在本方案中，我们着重网络层、系统层、应用层的安全防护体系。

3.2 网络层安全防护

3.2.1 安全域访问控制

利用现有防护设备或重新部署防火墙设备对网站服务器区进行边界安全防护，划分网站服务器区安全域，使之与网银区域逻辑隔离。通过Internet边界防火墙在内部网络与不安全的外部网络之间设置障碍，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。

防火墙能够较为有效地防止黑客利用不安全的服务对内部网络的攻击，并且能够实现数据流的监控、过滤、记录和报告功能，较好地隔断内部网络与外部网络的连接。同时利用WAF 的访问控制功能进行网站服务器区专项访问控制防护，有效地控制黑客利用网站服务器为跳板攻击网银服务区的可能性。

3.2.2 拒绝服务攻击防护

基于Web业务的可用性和连续性要求的考虑，应该在Internet的出口处设置对拒绝服务攻击的防护手段。通常使用的防火墙作为通用型网络安全产品，在防DDoS方面不可能达到专业产品的性能和效率，对大规模的DDoS攻击是无能为力的，甚至会成为攻击目标，造成整个网络的中断。为了实现在抗拒绝服务攻击的同时不影响网络的通讯速度，应当采用专门的硬件设备来抵御拒绝服务攻击。

抗拒绝服务攻击系统通过集成的检测和阻断机制对DDoS攻击实时响应；采用基于行为模式的异常检测，从背景流量中识别攻击流量；提供针对海量DDoS攻击的防护能力；系统能够对SYN Flood、UDP Flood、UDP DNS Query Flood、(M)Stream Flood、ICMP Flood、HTTP Get Flood以及连接耗尽这些常见的攻击行为能够有效识别，并通过集成的机制实时对这些攻击流量进行阻断，从而有效保护门户网站系统的应用服务器；丰富的日志和审计功能也极大地增强了设备的可用性，不仅能够针对攻击进行实时监测，还能对攻击的历史日志进行方便的查询和统计分析，便于对攻击事件进行有效的跟踪和追查。

3.3 系统层安全防护

3.3.1 Web系统漏洞发现与管理

从系统层面的安全威胁来看，可以利用漏洞扫描系统高效、智能的漏洞识别技术，第一时间主动对网站服务器区中的服务器和网络设备进行细致深入的漏洞检测、分析，并出具专业、有效的漏洞防护建议。

同时可以利用Web扫描功能进行应用层扫描。Web应用扫描最关键的技术是网站智能爬虫技术。智能爬虫技术具有自动遍历整个Web服务器的深度扫描功能，自动分析应用系统的代码，当发现了存在弱点的代码之后，会根据不同数据库的特点尝试进行数据获取，验证漏洞的真实性。远程安全评估系统的WAS模块扫描结果准确，误报和漏报率低，全面检查网站各级页面中是否被植入恶意代码（如SQL注入、跨站脚本、网页挂马等），确保网站应用的完整性，有效避免网站成为恶意软件的分发、传播渠道。

3.3.2 Web系统安全加固

可以通过门户网站安全评估和加固，使系统有效的抵御外来的入侵和袭击，长期保持在高度可信的状态。其中，渗透测试是安全评估阶段必不可少的服务手段之一。渗透测试是模拟黑客的真实攻击方法对系统和网络进行非破坏性质的攻击性测试。通过渗透测试，可以发现门户网站系统中存在的系统漏洞、代码漏洞和程序逻辑问题（如绕过认证）等。

网站服务器和相关设备的安全加固，是利用多种技术手段对网站服务器区中的网络设备平台、服务器进行安全加固和配置优化，提高网络设备安全性和抗攻击能力，针对网站服务器区所提供的安全加固服务手段有：

基本安全配置检测和优化

帐户密码系统安全检测和增强

网络服务安全优化

网络访问控制安全优化

网络路由与交换协议安全优化

端口安全设置网络连接参数安全增强

IOS升级与补丁安装

经过良好配置的网络设备及服务器的抗攻击性和自身安全性有极大的增强。在对其作相应的安全配置后，结合定期的安全评估和维护服务就使得其保持在一个较高的安全线之上。

3.4 应用层安全防护

3.4.1 Web应用防护

从Web应用的威胁分析来看，Web应用防护系统是事中有效防护和控制的关键设备。Web 应用防护系统需要对用户提交Web服务器端以及Web服务器端向用户返回的双方向数据进行检查。WAF产品可以实现用户→服务器以及服务器→用户双向数据的清洗。对于用户提交服务器端的数据，WAF可以实时发现用户提交数据中的恶意脚本和问题代码/命令。可以进行必要的内容过滤，如恶意脚本和代码，HTTP Error Response（4xx，5xx等），关键敏感字等，充分保证了用户侧的安全，同时避免了服务器端重要信息的泄露。

图：WAF产品防护体系

3.4.2 网页防篡改

网页防篡改是将核心程序嵌入到Web服务器中，通过触发方式进行自动监测，对所保护文件夹的所有文件内容（包含：html、asp、jsp、php、jped、gif、bmp、psd、png、flash 等各类文件类型）对照其多个属性，经过内置散列快速算法，实时进行监测，若发现属性变更，通过非协议方式，纯文件拷贝方式将备份路径文件夹内容拷贝到监测文件夹相应文件位置，通过底层文件驱动技术，整个文件复制过程毫秒级，使得Internet用户无法看到被篡改页面。

3.5 网站安全云监护

“网站安全云监护方案”是一项托管式解决方案，专门应对以下网站安全运维场景：

各级政府机构安全运维人员人力不足；

各级政府机构专业安全分析能力不足；

重大节假日或者重大事件时突然增加的网站安全监测与防护要求压力；

国家以及行业监管机构定期对政府网站的专项安全检查。

此方案集成了“网站安全监测服务”、“WEB应用防护系统及可管理安全服务”、“抗拒

为政府用户提供基于网站访问行为、基于安全事件事前、事中、事后的7×24小时安全运营解决方案。除此之外，经验丰富的云端安全专家团队会定期为各级政府部门出具周期性的综合监测评估报告，让政府网站管理人员整体掌握网站的风险状况及安全趋势。

“网站安全云监护方案”依托云平台技术、专业安全产品和团队，通过领先的监测与防护手段，可以为各级政府部门运维人员提供以下帮助：

评估网站的安全状态，衡量改进情况，遵从政府法规要求，降低网站安全运营风险；

获得最为专业、有效的安全产品和服务支持，减少网站威胁造成的损失；

从繁重的日常网站安全维护工作中解放出来，降低安全投入和管理成本。

3.5.1 网站安全监测服务

“网站安全监测服务”是一款托管式SaaS服务，各级政府机构无需安装任何硬件或软件，无需改变目前的网络部署状况，无需专门的人员进行安全设备维护及分析日志。只需要将代理监测的政府网站域名提供给网站安全监测服务提供者，即可实现7×24小时的网站安全监

测管理职能，一旦某个网站遇到风险状况后，网站安全监测服务提供者的安全监测团队会在第一时间与该网站管理人员确认，并提供专业的解决方案建议。

“网站安全监测服务”通过对目标站点进行不间断的页面爬取、分析、匹配，主动实时的发现网站的风险隐患，并及时采取修补措施，对各级政府网站来进行远程安全监测、安全检查、实时告警。这种实时监测机制是构建完善的政府网站安全体系的最好补充。“网站安全监测服务”主要包括以下几方面的内容：

远程网站漏洞扫描

网站的风险漏洞是站点被攻击的根源，通过远程网站漏洞扫描服务，由安全专家定期进行网站结构分析、漏洞分析，用户无需采购任何Web应用扫描产品，即可获知网站系统层和应用层的漏洞情况，以及安全专家团队的修补建议。

远程网页木马监测

基于安全云平台，采用业内领先的智能木马检测技术，可高效、准确识别网站页面中的恶意代码，使网站管理员能够第一时间得知自己网站的安全状态，避免由于网站被挂马给访问者带来安全危害。

网页敏感内容监测

实时监测目标站点是否出现一些敏感关键字，如果发现敏感内容，会在第一时间通知用户。用户也可以自定义所关心的敏感关键字。

网站平稳度检测

对服务站点进行实时远程访问平稳度的动态监视，跟踪重点对象的访问平稳度动态变化情况，并根据严重程度及时发出报警信号。

网页篡改监测

实时监测目标站点页面状况，发生页面被篡改情况，第一时间通知用户，避免给自身带来的声誉和法律风险。

3.5.2 WEB应用防护系统及可管理安全服务

WEB应用防护系统及可管理安全服务（WAF with MSS）是在WEB应用防护系统（WAF）产品的基础上，进一步融合云平台技术，推出的7x24小时WEB应用云监护解决方案。WAF with MSS 可以实现将政府用户本地已经部署的WAF设备与安全云对接和同步，由云端安全专家团队提供专业的网站安全隐患和遭受的攻击威胁监视、响应、防御服务。部署在用户侧的WAF 设备与安全云对接后，能够将状态信息和告警日志实时上传至安全云平台。云端安全专家团队可以通过安全云平台帮助客户监控并分析设备状态。一旦发现设备状态异常，30分钟之内进行确认并通知到指定政府用户。另外，云端安全专家团队可以帮助客户分析WAF设备产生的大量告警日志，远程帮助该用户调整WAF的防护策略，从而更精确地对WEB攻击进行防御。

另外，WAF with MSS可以根据“Web应用漏洞扫描系统”或者“网站安全监测服务”输出的受防护站点漏洞扫描结果，生成针对于相应漏洞的防护规则，形成“智能补丁”，应用于受保护站点。当受防护站点打上了智能补丁之后，之前被扫描出的Web应用漏洞将不会被外界发现或利用。

3.5.3 抗拒绝服务系统及可管理安全服务

抗拒绝服务系统及可管理安全服务（ADS with MSS）是在拒绝服务攻击系统（ADS）和网络流量分析系统（NTA）的基础上，进一步融合云平台技术，推出的7x24小时DDoS防御解决方案。ADS with MSS 可以实现将政府用户本地已经部署的ADS和NTA设备与安全云对接和同步，由云端安全专家团队提供专业的拒绝服务攻击监视、响应、防护服务。部署在用户侧的ADS和NTA设备与安全云对接后，能够将的状态信息、流量日志、攻击日志实时上传至安全云平台。云端安全专家团队可以通过安全云平台帮助客户监控并分析设备状态和DDoS威胁情况，一旦发现设备状态异常或遭受DDoS攻击，30分钟之内进行确认并通知到指定政府用户。另外，云端安全专家团队可以通过安全云平台了解用户网络的流量情况，协助用户建立流量基线，一旦用户网络流量超过基线，则判断为流量异常，30分钟之内通知到指定政府用户，在获得用户授权的情况下，将流量引至ADS，帮助用户清洗异常流量，在此过程中还会协助用户调整清洗策略，已达到最佳清洗效果。

注：可支持接入XX安全云的设备型号及版本清单

四. 安全设备及服务主要适用场景