網(wǎng)絡(luò)安全法背景下網(wǎng)站安全管理與防護(hù)對(duì)策建議

◆孫斌 王金民 裴建廷 于謙 周偉

網(wǎng)絡(luò)安全法背景下網(wǎng)站安全管理與防護(hù)對(duì)策建議

◆孫斌 王金民 裴建廷 于謙 周偉

（濰坊醫(yī)學(xué)院 山東 261053）

網(wǎng)站是一個(gè)單位對(duì)外宣傳、展示形象和提供服務(wù)的重要窗口，一旦網(wǎng)站信息被惡意篡改，將直接影響到一個(gè)單位的形象、信譽(yù)，嚴(yán)重的會(huì)造成經(jīng)濟(jì)損失甚至產(chǎn)生不利的社會(huì)影響。本文從研究網(wǎng)站建設(shè)的主要技術(shù)與運(yùn)行機(jī)制出發(fā)，分析網(wǎng)站被惡意攻擊的主要途徑，提出有針對(duì)性地加強(qiáng)網(wǎng)站管理、預(yù)防網(wǎng)站被篡改等安全問題的對(duì)策建議，為網(wǎng)站建設(shè)與管理單位提供參考。

網(wǎng)站；攻擊；篡改；防篡改

網(wǎng)站是一個(gè)單位對(duì)外宣傳、展示形象和提供服務(wù)的重要窗口，一旦網(wǎng)站信息被惡意篡改，將直接影響到一個(gè)單位的形象、信譽(yù)，嚴(yán)重的會(huì)造成經(jīng)濟(jì)損失甚至產(chǎn)生不利的社會(huì)影響，尤其是政府機(jī)關(guān)、企事業(yè)單位的網(wǎng)站。2017年6月1日起《中華人民共和國(guó)網(wǎng)絡(luò)安全法》正式施行，該法明確了作為網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)履行安全保護(hù)義務(wù)，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改等相關(guān)要求，那么網(wǎng)站作為網(wǎng)絡(luò)運(yùn)行中的一類載體，保障網(wǎng)站安全、防止出現(xiàn)網(wǎng)站信息被篡改等安全問題已經(jīng)成了網(wǎng)站建設(shè)與管理單位的重要責(zé)任和義務(wù)。

1 網(wǎng)站的主要分類及其特點(diǎn)

從建站的技術(shù)角度分類，網(wǎng)站主要分為靜態(tài)網(wǎng)站和動(dòng)態(tài)網(wǎng)站。

靜態(tài)網(wǎng)站是指沒有數(shù)據(jù)庫(kù)作為支撐，網(wǎng)站內(nèi)容全部以非結(jié)構(gòu)化文件形式存在，每個(gè)網(wǎng)頁都是一個(gè)底層為HTML語言代碼格式的獨(dú)立文件，網(wǎng)站的所有信息內(nèi)容都包含在網(wǎng)頁文件中。靜態(tài)網(wǎng)站的交互性較差，在制作和維護(hù)方面工作量也較大，但是網(wǎng)頁信息內(nèi)容穩(wěn)定且不易被篡改，訪問效率高，也易被檢索查詢。

動(dòng)態(tài)網(wǎng)站是以數(shù)據(jù)庫(kù)技術(shù)為基礎(chǔ)，運(yùn)用Asp、Jsp、Php、Python等各類動(dòng)態(tài)網(wǎng)頁開發(fā)語言編寫，網(wǎng)站內(nèi)容可根據(jù)不同情況動(dòng)態(tài)變更的網(wǎng)站。動(dòng)態(tài)網(wǎng)站的每個(gè)網(wǎng)頁文件不是獨(dú)立文件，除了圖片、音頻、視頻等非結(jié)構(gòu)化文件外，網(wǎng)頁內(nèi)容都以結(jié)構(gòu)化文件形式存儲(chǔ)在后臺(tái)數(shù)據(jù)庫(kù)中，當(dāng)用戶通過客戶端訪問網(wǎng)站服務(wù)器時(shí)，在客戶端返回一個(gè)完整的網(wǎng)頁。動(dòng)態(tài)網(wǎng)站具有良好的交互性，開發(fā)技術(shù)豐富，應(yīng)用廣泛，管理簡(jiǎn)單，但是訪問效率與靜態(tài)網(wǎng)站相比較低，且如果開發(fā)技術(shù)人員在安全性方面考慮不周全會(huì)導(dǎo)致網(wǎng)站存在安全隱患。

2 網(wǎng)站的部署及運(yùn)行機(jī)制

靜態(tài)網(wǎng)站的部署及運(yùn)行原理較為簡(jiǎn)單，在Web服務(wù)器上配置好IIS或者Nginx等支持靜態(tài)網(wǎng)站的運(yùn)行環(huán)境，然后將制作好的網(wǎng)站內(nèi)容放到服務(wù)器指定的文件目錄下，直接通過網(wǎng)站域名訪問即可。動(dòng)態(tài)網(wǎng)站的部署配置較靜態(tài)網(wǎng)站稍微復(fù)雜一些，需要在Web服務(wù)器配置網(wǎng)站web應(yīng)用程序相關(guān)組件，并安裝配置數(shù)據(jù)庫(kù)。

雖然部署方式不同，但不管哪類網(wǎng)站，運(yùn)行機(jī)制是一樣的?？蛻舳耍–lient）通過瀏覽器以URL的形式向服務(wù)器（WebServer）發(fā)出Request，Web服務(wù)器（WebServer）接受客戶端的Request并做出響應(yīng)（Response），根據(jù)URL查找相應(yīng)的文件。若URL指向靜態(tài)頁面（Static Web Page），則服務(wù)器將找到的靜態(tài)頁面（Static Web Page）通過http協(xié)議傳輸?shù)娇蛻舳藶g覽器，由瀏覽器引擎解析后顯示在瀏覽器中。若URL的內(nèi)容為動(dòng)態(tài)頁面，需要Web服務(wù)器執(zhí)行相關(guān)程序代碼并從數(shù)據(jù)庫(kù)中讀取相關(guān)數(shù)據(jù)，動(dòng)態(tài)生成網(wǎng)頁文件并通過http協(xié)議傳輸?shù)娇蛻舳藶g覽器，由瀏覽器引擎解析后顯示在瀏覽器中。

3 造成網(wǎng)站被惡意攻擊的主要途徑

通過了解網(wǎng)站部署方式及運(yùn)行機(jī)制，我們知道網(wǎng)站的運(yùn)行主要依托web服務(wù)器、網(wǎng)站應(yīng)用程序及相關(guān)組件和數(shù)據(jù)庫(kù)系統(tǒng)（主要涉及動(dòng)態(tài)網(wǎng)站）三個(gè)方面，任何一方面出現(xiàn)問題都會(huì)影響網(wǎng)站安全。再加之如果網(wǎng)站管理不善，存在管理上的安全風(fēng)險(xiǎn)，都會(huì)有被不法者掃描到網(wǎng)站漏洞的可能，從而對(duì)網(wǎng)站進(jìn)行入侵乃至篡改網(wǎng)站數(shù)據(jù)信息。

3.1 利用Web服務(wù)器操作系統(tǒng)自身安全漏洞

Web服務(wù)器使用的操作系統(tǒng)主要有Windows、Linux、Unix等，操作系統(tǒng)在設(shè)計(jì)時(shí)本身都會(huì)存在一定的技術(shù)缺陷，雖然服務(wù)商也不斷地發(fā)布系統(tǒng)補(bǔ)丁，但是如果這種缺陷沒有及時(shí)修復(fù)而被不法者利用，通過植入計(jì)算機(jī)病毒、木馬程序等方式就可能控制整個(gè)服務(wù)器，從而篡改服務(wù)器上的數(shù)據(jù)，包括在服務(wù)器上運(yùn)行的網(wǎng)站數(shù)據(jù)信息。例如Windows系統(tǒng)的RDP遠(yuǎn)程桌面漏洞，不法者可以利用該漏洞向目標(biāo)Windows服務(wù)器構(gòu)造惡意請(qǐng)求，并在目標(biāo)Windows服務(wù)器操作系統(tǒng)上執(zhí)行任意程序代碼，從而破壞或篡改數(shù)據(jù)信息。

3.2 利用web應(yīng)用程序漏洞

這里的web應(yīng)用程序指安裝在web服務(wù)器上為網(wǎng)站提供運(yùn)行環(huán)境的程序及相關(guān)組件，如.Net Framework、Tomcat、JDK、Eclipse、PHP等，這些程序自身也存在技術(shù)缺陷并在使用過程中不斷的更新版本來彌補(bǔ)漏洞并拓展功能，如果使用了存在漏洞的應(yīng)用程序而沒有更新補(bǔ)丁或者使用時(shí)配置不當(dāng)都會(huì)造成網(wǎng)站安全問題。例如典型的框架式漏洞Struts2遠(yuǎn)程代碼執(zhí)行漏洞，利用該漏洞可以在目標(biāo)服務(wù)器上植入后門，然后獲取目標(biāo)系統(tǒng)的權(quán)限從而對(duì)目標(biāo)系統(tǒng)進(jìn)行控制。

3.3 利用數(shù)據(jù)庫(kù)系統(tǒng)漏洞

目前大部分網(wǎng)站都依托Mysql作為數(shù)據(jù)庫(kù)支撐，因此針對(duì)MySQL數(shù)據(jù)庫(kù)的滲透攻擊非常多，經(jīng)常有Mysql數(shù)據(jù)庫(kù)被攻擊，導(dǎo)致數(shù)據(jù)庫(kù)被刪除或者篡改。最有威脅的當(dāng)屬SQL注入，該漏洞可以使不法者將SQL語句注入到數(shù)據(jù)庫(kù)中，實(shí)現(xiàn)無賬號(hào)登錄，進(jìn)而讀取、修改數(shù)據(jù)庫(kù)相關(guān)數(shù)據(jù)，執(zhí)行各種管理操作等。不法攻擊者可以通過獲取到的數(shù)據(jù)庫(kù)數(shù)據(jù)，得到網(wǎng)站后臺(tái)管理密碼，進(jìn)而對(duì)網(wǎng)頁信息內(nèi)容進(jìn)行惡意篡改。

3.4 利用系統(tǒng)配置及管理漏洞

沒有對(duì)服務(wù)器操作系統(tǒng)、應(yīng)用程序、數(shù)據(jù)庫(kù)及網(wǎng)站后臺(tái)進(jìn)行有效的安全配置，比如設(shè)置了弱密碼、在服務(wù)器上運(yùn)行了含有病毒、木馬的文件、鏈接了惡意網(wǎng)頁、開啟了非必要的共享等，導(dǎo)致不法者獲取網(wǎng)站或者服務(wù)器權(quán)限，進(jìn)而篡改網(wǎng)站數(shù)據(jù)信息。比較常見的就是網(wǎng)站后臺(tái)密碼過于簡(jiǎn)單而直接被不法者暴力破解，取得網(wǎng)站管理員口令，然后以網(wǎng)站管理員身份進(jìn)行網(wǎng)頁篡改。

4 網(wǎng)站安全管理及防護(hù)對(duì)策建議

要從根本上解決網(wǎng)站的安全問題，就是要消除操作系統(tǒng)、應(yīng)用程序、數(shù)據(jù)庫(kù)系統(tǒng)及網(wǎng)站管理上的所有安全漏洞。所以，需要針對(duì)網(wǎng)站的類型及其特點(diǎn)并從可能造成網(wǎng)站安全問題的原因入手，采取有針對(duì)性的網(wǎng)站保護(hù)措施，形成一體化的網(wǎng)站管理與防護(hù)方案，力求防患于未然。

4.1 及時(shí)發(fā)現(xiàn)并修復(fù)各類系統(tǒng)自身漏洞

密切關(guān)注網(wǎng)站服務(wù)器操作系統(tǒng)、應(yīng)用程序、數(shù)據(jù)庫(kù)系統(tǒng)服務(wù)商及國(guó)家有關(guān)安全漏洞通報(bào)平臺(tái)發(fā)布的漏洞信息，及時(shí)對(duì)與本網(wǎng)站有關(guān)的漏洞進(jìn)行修復(fù)。需要注意的是，對(duì)于操作系統(tǒng)漏洞的修復(fù)，要在安裝補(bǔ)丁前做好數(shù)據(jù)備份，如果是虛擬服務(wù)器可以提前做快照，以免出現(xiàn)藍(lán)屏或者其他影響系統(tǒng)啟動(dòng)的情形。對(duì)于應(yīng)用程序的升級(jí)也需要進(jìn)行兼容性測(cè)試，防止出現(xiàn)無法運(yùn)行的情況。

如果無法進(jìn)行自身漏洞修復(fù)，可以通過部署具有虛擬補(bǔ)丁功能的安全防護(hù)系統(tǒng)，在一定程度上解決漏洞問題。目前已有成熟的虛擬補(bǔ)丁防護(hù)產(chǎn)品，通過漏洞防護(hù)規(guī)則，在網(wǎng)站服務(wù)器不重啟，不進(jìn)行補(bǔ)丁更新的情況下防護(hù)漏洞，阻止漏洞被利用。

4.2 啟用嚴(yán)格的訪問控制策略

依據(jù)最小權(quán)限原則進(jìn)行訪問控制策略的配置。不論網(wǎng)站服務(wù)器操作系統(tǒng)、應(yīng)用程序、數(shù)據(jù)庫(kù)還是管理后臺(tái)都授予相應(yīng)的用戶以最小權(quán)限。同時(shí)，明確用戶、角色、權(quán)限、資源之間的對(duì)應(yīng)關(guān)系，針對(duì)各類管理用戶進(jìn)行嚴(yán)格的分角色、分權(quán)限設(shè)置。刪除無關(guān)賬戶，禁用或者限制各類默認(rèn)賬戶權(quán)限，修改默認(rèn)口令。對(duì)服務(wù)器管理、網(wǎng)站管理后臺(tái)管理登錄IP進(jìn)行限制。對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶進(jìn)行權(quán)限分離。在Web應(yīng)用程序中不要用管理員賬號(hào)連接數(shù)據(jù)庫(kù)。限制非管理賬戶訪問網(wǎng)站及有關(guān)目錄文件，禁止非管理賬戶訪問目錄的文件列表。建議隱藏網(wǎng)站后臺(tái)管理地址。

4.3 加強(qiáng)用戶身份鑒別

對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)用戶訪問時(shí)進(jìn)行身份鑒別，用戶口令采用至少10位以上包括數(shù)字、大小寫字母、特殊字符的綜合性口令，推薦設(shè)置16位以上動(dòng)態(tài)口令技術(shù)生成的無規(guī)律綜合性口令，口令需定期更換。重要的網(wǎng)站建議進(jìn)行Session校驗(yàn)，防止未授權(quán)人員非法登錄頁面。啟用認(rèn)證失敗處理功能，如鎖定賬戶、結(jié)束會(huì)話、限制非法登錄次數(shù)等。

4.4 最小化原則

操作系統(tǒng)遵循最小安裝原則，僅安裝需要使用的組件和應(yīng)用程序，最大程度上確保系統(tǒng)安全。遵循最小服務(wù)原則，啟用Web服務(wù)器自身防火墻，關(guān)閉不必要的服務(wù)，僅開啟需要的端口和服務(wù)。配置各類用戶以最小權(quán)限。如果是Windows系統(tǒng)，建議關(guān)閉所有驅(qū)動(dòng)器的自動(dòng)播放功能和非必要的磁盤共享。針對(duì)web應(yīng)用程序，禁用非法Http方法的使用。

4.5 提高網(wǎng)站代碼編寫質(zhì)量

網(wǎng)站開發(fā)人員應(yīng)規(guī)范編寫代碼，網(wǎng)站上線前對(duì)網(wǎng)站代碼進(jìn)行安全審查，清除不安全的代碼。同時(shí)還應(yīng)注意以下幾點(diǎn)：一是對(duì)一些特殊字符、編碼及SQL語句關(guān)鍵詞進(jìn)行過濾，限制各項(xiàng)輸入字段的長(zhǎng)度預(yù)防SQL注入和跨站攻擊；二是對(duì)跨站腳本關(guān)鍵詞進(jìn)行過濾；三是對(duì)Html頁面文件和腳本源文件進(jìn)行MD5校驗(yàn)；四是所有用戶的密碼都采用MD5加密后再存入數(shù)據(jù)庫(kù)；五是對(duì)上傳頁面的格式進(jìn)行限制，防止上傳后門腳本等。

4.6 合理采用安全設(shè)備和軟件保護(hù)網(wǎng)站安全

采用防火墻、態(tài)勢(shì)感知系統(tǒng)、IPS、Waf、防病毒系統(tǒng)甚至專業(yè)的防篡改工具等專業(yè)安全設(shè)備及軟件進(jìn)行防護(hù)，保障網(wǎng)站安全也是非常必要的。但是安全設(shè)備和軟件也不能濫用，不能毫無選擇的進(jìn)行安全設(shè)備疊加，而應(yīng)根據(jù)網(wǎng)站實(shí)際運(yùn)行情況，科學(xué)選擇、合理配置，以免顧此失彼，影響網(wǎng)站的正常運(yùn)行。

4.7 優(yōu)化網(wǎng)頁發(fā)布機(jī)制

可以采用動(dòng)靜結(jié)合方式提高動(dòng)態(tài)網(wǎng)站的安全性，將動(dòng)態(tài)網(wǎng)站的所有網(wǎng)頁內(nèi)容以靜態(tài)網(wǎng)頁的形式發(fā)布出來。具體可采用“后臺(tái)動(dòng)態(tài)制作與管理維護(hù)服務(wù)器＋靜態(tài)頁面發(fā)布服務(wù)器”的部署方式。為了進(jìn)一步提高網(wǎng)站訪問速度和安全性，可建立多臺(tái)靜態(tài)頁面發(fā)布服務(wù)器，在靜態(tài)頁面發(fā)布服務(wù)器前端部署負(fù)載均衡，可通過負(fù)載均衡建立網(wǎng)站的虛擬IP（VIP），隱藏所有內(nèi)部服務(wù)器使用的真實(shí)IP，保證服務(wù)器的安全性。

5 小結(jié)

應(yīng)對(duì)網(wǎng)站篡改攻擊、保障網(wǎng)站安全不是僅僅采用某種或者幾種防篡改技術(shù)就能解決的，本文僅是給出了一些網(wǎng)站防篡改方面的思路性建議，具體還需要根據(jù)網(wǎng)站自身使用的操作系統(tǒng)、應(yīng)用程序及數(shù)據(jù)庫(kù)等方面并結(jié)合網(wǎng)絡(luò)架構(gòu)和運(yùn)行管理，因地制宜，細(xì)化配置策略，形成制作建設(shè)、環(huán)境部署、運(yùn)行維護(hù)等全方位的防護(hù)方案。

[1]呂淑艷等.高校門戶網(wǎng)站建設(shè)研究[J].網(wǎng)絡(luò)與信息安全，2020.

[2]呂美敬等.高校網(wǎng)站的網(wǎng)頁防篡改問題研究與分析[J].網(wǎng)絡(luò)空間安全，2018.

[3]金建明等，淺談全媒體網(wǎng)站安全防護(hù)體系建設(shè)[J].中國(guó)報(bào)業(yè)，2017.

[4]劉翔.淺談應(yīng)對(duì)網(wǎng)站篡改技術(shù)手段[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016.

[5]韓雙旺.動(dòng)態(tài)網(wǎng)站與靜態(tài)網(wǎng)站的比較研究[J].自動(dòng)化與儀器儀表，2011.

[6]陳學(xué)平，動(dòng)態(tài)網(wǎng)站環(huán)境搭建及數(shù)據(jù)庫(kù)連接[J].科技創(chuàng)新導(dǎo)報(bào)，2010.

濰坊醫(yī)學(xué)院：醫(yī)學(xué)類教學(xué)資源平臺(tái)整合機(jī)制的研究與實(shí)踐（項(xiàng)目編號(hào)：2016Z0303）