论文部分内容阅读
一、引言
目前，多数企业都建设有自己的网站，随着信息技术的发展，企业网站作为企业的代言，不仅是信息发布的载体，还承载了更多业务及应用，为保证企业网站的安全，做好网站“三防”尤为重要。
网站“三防”（即防攻击、防篡改、防病毒）是保证网站信息安全的重要措施。从信息安全的建设目标CIA的三个维度来说即为：（1）保密性：防止黑客随意获取内部私密信息；（2）完整性：防止黑客在未授权情况下修改信息；（3）可用性：确保有权限者可随时正常获取信息。对应的网站安全防护措施依次为：防攻击、防篡改、防病毒（木马）。
二、企业网站建设模式
早期的网站中网页一般都是静态的，适合于少量信息发布的简单应用，目前已很少使用；动态网站是现在普遍采用的模式，该模式功能完备，其展现层由动态网页和静态网页组成，信息存储、更新由后台数据库支持完成，动态网页多以.asp、.jsp、.php、.perl、.cgi等形式为后缀，早期采用CGI技术（公用网关接口），目前的主流技术都是采用基于WEB服务器的三层架构方式，常用的有PHP技术、ASP技术、ASP.Net、JSP技术等。在WEB 1.0年代，所谓的“网站被黑”大多是其页面被修改，如首页被篡改、页面被增加等。而WEB2.0作为一种新兴互联网模式，强调的是用户的交互，用户不仅是信息的浏览者，更是信息的制造者，因此诸如网站页面被挂马、跨站脚本植入、注入式攻击等各类攻击行为层出不穷，严重危害了网站及信息的安全。
三、企业网站“三防”中值得关注的几个方面
目前，保障网站安全的技术很多，按照与攻击事件发生的时间关系可以分为三类：事先防御、事中监控、事后补救。事先防御是在网站提供服务前就采取的措施，如为网站选用安全的操作系统、对Web服务器、数据库等进行安全配置、合理划分网络安全域等。事中监控是建立一套安全系统，以便网站管理员能第一时间发现攻击行为，及时主动采取应急措施，最大程度减少损失，如部署入侵检测系统、入侵防御系统等。事后补救包括对受损系统的修复、数据的恢复等，如使用网页防篡改技术。
（一）事先防御措施中，事先就对服务器、操作系统、数据库等进行安全配置，关闭不必要的应用、服务及端口，尤其要做好以下几点：
1.对WEB服务器IIS进行安全配置
首先要正确配置IIS日志。在设置IIS管理器中目标站点的属性时，启用日志记录为W3C扩展日志文件格式，常规选项要更改日志文件目录到特定地址，不使用默认地址，这样既方便多网站服务器的管理，也能在一定程度上迷惑黑客；为提高日志记录效率和追查访问者信息，在日志“高级选项”中选中日期、时间、客户IP、用户名、服务名、服务器IP、端口、方法（Get/Post）、协议状态、主机、代理、Cookies等选项。日常维护中网站管理员可以通过分析IIS日志了解访问情况，发现访问异常；另外还要根据服务器上站点数量、访问量、稳定性等情况，定期备份日志，为日后分析、解决问题提供参考。
其次要删除不必要的IIS映射。IIS映射是应用程序来解析访问者的请求，把正常信息返回给访问者。通常2003 Server包含了asa、asp、cer、cdx、idc、shtm、shtml、stm等应用程序扩展，实际使用中并不需要全部映射，不必要的映射会造成IIS后门畅通无阻，引发服务器程序紊乱。ASP程序中配置方法：IIS管理器→网站→目标站点→属性→主目录→配置→映射→删除ASP以外的所有映射。
2.合理配置访问控制列表（ACL）
Windows系统中，ACL是用来定义用户/工作组与文件、目录或其他资源相关的访问权限的一组数据。在活动目录服务中，一个ACL是一个存储访问权限与被保护对象相互之间关系的列表。在Cisco路由器中，ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息，如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，达到访问控制的目的。
黑客在攻击网站时，首先通过Shell取得账户和密码登录后台，例如通过前台上传一个经过修改的JPG程序，再到后台通过数据库备份功能将JPG程序转换为ASP或者ASA程序运行，成功获得WebShell，然后在网络管理员未对服务器进行正确合理的安全配置时，可以访问整个硬盘里的全部文件，进行读取、删除、写入操作，控制整个脚本系统，随意增、删用户、随意更改论坛信息等。通过对ACL的设置，可以防范黑客的入侵，即便在被入侵后，通过搜索也可找到Shell并进行删除。
在IIS物理文件夹的ACL配置时，要按照“能写入不运行，能运行不写入”的原则，如在ASP程序中，允许访问者写入数据的文件夹不允许运行ASP，允许ASP运行的文件夹不允许写入数据。配置方法：IIS文件夹→属性→安全，添加Administrators组账户的完全控制权限，根据实际情况添加IIS访问账户（IUSR_计算机名）的读、写权限，IIS管理器→站点目录→根据具体情况设置各文件夹是否具有运行权限。
3.开启TCP/IP筛选功能和启用2003 Server自带防火墙
控制入站访问的最简单高效的方法之一就是使用TCP/IP筛选功能， TCP/IP 筛选在内核模式下工作，可以对 TCP/IP入站访问控制方案进行分层。配置方法：IIS服务器只需要TCP 80端口通讯，不需要其他TCP或UDP端口时，封锁其他无用端口，网卡属性→Internet协议（TCP/IP）→属性→高级→选项/（TCP/IP）筛选→属性→启用（TCP/IP）筛选→只开放TCP80端口→开放UDP端口1（不可占用端口)。
2003自带防火墙是2003 Server一个非常实用的功能，对IIS服务器来说，2003 Server自带防火墙可实现端口过滤（抵抗攻击）、禁止非法程序访问网络（扼杀后门）、记录非法访问信息（查询黑客信息）等功能。配置方法：控制面板→Windows防火墙→常规→启用防火墙（允许例外）→例外选项卡→删除全部第三方程序→添加端口80。这样设置后即便有后门运行，有防火墙可以禁止后门访问网络，有TCP/IP筛选可以禁止非法端口数据收发，黑客对于普通后门无法连接成功。
4.对服务器中的数据库进行安全设置
黑客攻击网站时，经常利用经验或者黑客工具测试服务器端是否存在可下载的数据库，进而通过查询数据库内敏感信息得到账户和密码，这是极其危险的。作为事前防范措施，对数据库要进行安全设置。如对于服务器中的Access数据库，可以将其MDB后缀修改成ASP或者ASA后缀，并设置数据库密码，同时修改数据库连接文件让脚本系统正常运行；ORACLE数据库中，可以对账户进行安全管理，设置只有信任的IP地址才能通过监听器访问数据库，设置口令明文在网络上通过DES加密传输，还可以根据业务要求制定数据库审计策略，启用审计日志等。对数据库进行安全设置，能够有效防止黑客下载并破解数据库，对IIS服务器的安全也有很好的强化作用。
此外，清晰划分内部网络安全域也是必不可少的，将那些对外提供服务的服务器单独列出，避免黑客利用内部PC进行跳板攻击；还要及时进行操作系统的补丁更新、漏洞修补及口令更改等，卸载不需要的服务，避免未知漏洞给服务器带来风险；对企业局域网内终端计算机也要进行安全管理，对终端接入互联网采取安全控制措施，管理好涉密信息处理等情况。
（二）在防攻击措施中，要部署好防火墙、入侵检测系统、入侵防御系统等，实现安全防御，需注意以下几点：
1.防范安全漏洞，必要时选择具有Web威胁防御能力的安全产品
网站建设时由于多种原因会存在漏洞，据业内统计，平均约700个页面就存在一个网页漏洞。漏洞产生的后果很严重，在具备在线办事等功能的网站中，一旦黑客利用网页漏洞进入系统后台，就可以轻易破坏网站对外提供的服务；或者利用DoS/DDoS等攻击行为，占用系统的服务资源，导致网络瘫痪；网站中如果存在XSS（跨站脚本攻击）Web漏洞，黑客通过提交一个特殊字符串，就可将网页木马链接到页面上；最常见SQL注入漏洞危害更大，黑客可以轻易获得后台数据库权限，进而攻击整个网站。
在防攻击中，需要在网络中部署多层防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等，但目前的防火墙大多工作在网络层，通过对网络层的数据过滤实现访问控制的功能，防火墙能够保证内部网络不被外部网络非法接入，但应用层攻击的特征在网络层上是无法检测出来的。IDS、IPS通过使用深度包检测技术检查网络数据中的应用层流量，和攻击特征库进行匹配，从而识别出已知的网络攻击，达到对应用层攻击的防护，但对于未知攻击以及通过灵活编码和报文分割来实现的应用层攻击，不能实现有效的防护。比如针对XSS和SQL注入安全漏洞，就可以考虑带有Web威胁防御能力的安全产品，如选择Web应用防火墙，Web应用防火墙通过执行应用会话内部的请求来处理应用层，它专门保护Web应用通信流和相关应用资源免受利用Web协议或应用程序漏洞发起的攻击，可以阻止将应用行为用于恶意目的的浏览器和http攻击，一些强大的应用防火墙甚至能够模拟代理成为网站服务器接受应用交付，如同给原网站加上了安全的绝缘外壳。
2.安装正版杀毒软件，定期进行漏洞扫描和病毒木马检测
网站防病毒非常重要，目前，威胁网站安全的不仅是“蠕虫”之类的计算机病毒，更多的是“网页木马病毒”，该类病毒利用网站的安全漏洞，通过执行嵌入在网页HTML的Java Applet小应用程序、JavaScript脚本语言程序、ActiveX软件部件网络交互技术支持可自动执行的代码程序，强行修改用户操作系统的注册表设置及系统实用配置程序，非法控制系统资源盗取用户文件，恶意删除硬盘文件。网页木马大多隐藏在一些安全等级不高的网站内，用户一旦浏览含有该病毒的网页，马上就会中招，导致用户系统受到损害，同时对企业形象的影响也是很大的。网站防病毒要安装正版杀毒软件，及时升级软件病毒库并进行全面查杀，还要定期使用网络安全隐患检测工具进行漏洞扫描和病毒木马检测，业内工具有启明星辰天境漏洞扫描系统、榕基RJ-iTop网络隐患扫描工具、McAfee Foundstone漏洞扫描系统、IBM Rational AppScan应用安全扫描工具、JSky应用安全扫描工具、WebRavor应用安全扫描及渗透工具等，可以根据具体情况选择适合企业网站自身的软件。
（三）部署网页防篡改系统恢复被破坏的网站
网页防篡改作为事后补救措施，最直接的解决办法就是安装防篡改软件，通过防篡改软件，可以将网站所有信息备份存储，同时监视网站页面文件，一旦发现网页被修改，系统可以马上从备份库中提取并进行恢复。这种防范手段不受攻击手法的限制，即不论黑客利用何种手段攻击网站，只要页面发生更改，网站防篡改系统都可以及时响应和恢复。在纯静态页面的网站中，页面防篡改可以防范几乎全部的针对Web系统的攻击行为，但是在动态页面的网站中，特别是有信息交互的网站，用户对后台数据库进行写入或修改操作时，网站防篡改系统无法判断这些操作是黑客行为还是用户正常操作；另外对于数据窃取，如窃取账号口令等信息，页面并未因此发生变化，此时就要配合做好防攻击、防病毒工作。
四、结语
当然，网站安全的保障技术是相辅相成的，网站“三防”的策略也是互为补充的。一般来说，将服务器域单独划分管理域，并且设置必要的访问控制措施，进行合理的安全配置，部署网站防篡改、入侵防御或Web应用防火墙产品，建立一套科学的检测机制，利用安全软件检查网站挂马及漏洞，就能很好地满足“三防”需求，保障网站的安全稳定运营。
目前，多数企业都建设有自己的网站，随着信息技术的发展，企业网站作为企业的代言，不仅是信息发布的载体，还承载了更多业务及应用，为保证企业网站的安全，做好网站“三防”尤为重要。
网站“三防”（即防攻击、防篡改、防病毒）是保证网站信息安全的重要措施。从信息安全的建设目标CIA的三个维度来说即为：（1）保密性：防止黑客随意获取内部私密信息；（2）完整性：防止黑客在未授权情况下修改信息；（3）可用性：确保有权限者可随时正常获取信息。对应的网站安全防护措施依次为：防攻击、防篡改、防病毒（木马）。
二、企业网站建设模式
早期的网站中网页一般都是静态的，适合于少量信息发布的简单应用，目前已很少使用；动态网站是现在普遍采用的模式，该模式功能完备，其展现层由动态网页和静态网页组成，信息存储、更新由后台数据库支持完成，动态网页多以.asp、.jsp、.php、.perl、.cgi等形式为后缀，早期采用CGI技术（公用网关接口），目前的主流技术都是采用基于WEB服务器的三层架构方式，常用的有PHP技术、ASP技术、ASP.Net、JSP技术等。在WEB 1.0年代，所谓的“网站被黑”大多是其页面被修改，如首页被篡改、页面被增加等。而WEB2.0作为一种新兴互联网模式，强调的是用户的交互，用户不仅是信息的浏览者，更是信息的制造者，因此诸如网站页面被挂马、跨站脚本植入、注入式攻击等各类攻击行为层出不穷，严重危害了网站及信息的安全。
三、企业网站“三防”中值得关注的几个方面
目前，保障网站安全的技术很多，按照与攻击事件发生的时间关系可以分为三类：事先防御、事中监控、事后补救。事先防御是在网站提供服务前就采取的措施，如为网站选用安全的操作系统、对Web服务器、数据库等进行安全配置、合理划分网络安全域等。事中监控是建立一套安全系统，以便网站管理员能第一时间发现攻击行为，及时主动采取应急措施，最大程度减少损失，如部署入侵检测系统、入侵防御系统等。事后补救包括对受损系统的修复、数据的恢复等，如使用网页防篡改技术。
（一）事先防御措施中，事先就对服务器、操作系统、数据库等进行安全配置，关闭不必要的应用、服务及端口，尤其要做好以下几点：
1.对WEB服务器IIS进行安全配置
首先要正确配置IIS日志。在设置IIS管理器中目标站点的属性时，启用日志记录为W3C扩展日志文件格式，常规选项要更改日志文件目录到特定地址，不使用默认地址，这样既方便多网站服务器的管理，也能在一定程度上迷惑黑客；为提高日志记录效率和追查访问者信息，在日志“高级选项”中选中日期、时间、客户IP、用户名、服务名、服务器IP、端口、方法（Get/Post）、协议状态、主机、代理、Cookies等选项。日常维护中网站管理员可以通过分析IIS日志了解访问情况，发现访问异常；另外还要根据服务器上站点数量、访问量、稳定性等情况，定期备份日志，为日后分析、解决问题提供参考。
其次要删除不必要的IIS映射。IIS映射是应用程序来解析访问者的请求，把正常信息返回给访问者。通常2003 Server包含了asa、asp、cer、cdx、idc、shtm、shtml、stm等应用程序扩展，实际使用中并不需要全部映射，不必要的映射会造成IIS后门畅通无阻，引发服务器程序紊乱。ASP程序中配置方法：IIS管理器→网站→目标站点→属性→主目录→配置→映射→删除ASP以外的所有映射。
2.合理配置访问控制列表（ACL）
Windows系统中，ACL是用来定义用户/工作组与文件、目录或其他资源相关的访问权限的一组数据。在活动目录服务中，一个ACL是一个存储访问权限与被保护对象相互之间关系的列表。在Cisco路由器中，ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息，如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，达到访问控制的目的。
黑客在攻击网站时，首先通过Shell取得账户和密码登录后台，例如通过前台上传一个经过修改的JPG程序，再到后台通过数据库备份功能将JPG程序转换为ASP或者ASA程序运行，成功获得WebShell，然后在网络管理员未对服务器进行正确合理的安全配置时，可以访问整个硬盘里的全部文件，进行读取、删除、写入操作，控制整个脚本系统，随意增、删用户、随意更改论坛信息等。通过对ACL的设置，可以防范黑客的入侵，即便在被入侵后，通过搜索也可找到Shell并进行删除。
在IIS物理文件夹的ACL配置时，要按照“能写入不运行，能运行不写入”的原则，如在ASP程序中，允许访问者写入数据的文件夹不允许运行ASP，允许ASP运行的文件夹不允许写入数据。配置方法：IIS文件夹→属性→安全，添加Administrators组账户的完全控制权限，根据实际情况添加IIS访问账户（IUSR_计算机名）的读、写权限，IIS管理器→站点目录→根据具体情况设置各文件夹是否具有运行权限。
3.开启TCP/IP筛选功能和启用2003 Server自带防火墙
控制入站访问的最简单高效的方法之一就是使用TCP/IP筛选功能， TCP/IP 筛选在内核模式下工作，可以对 TCP/IP入站访问控制方案进行分层。配置方法：IIS服务器只需要TCP 80端口通讯，不需要其他TCP或UDP端口时，封锁其他无用端口，网卡属性→Internet协议（TCP/IP）→属性→高级→选项/（TCP/IP）筛选→属性→启用（TCP/IP）筛选→只开放TCP80端口→开放UDP端口1（不可占用端口)。
2003自带防火墙是2003 Server一个非常实用的功能，对IIS服务器来说，2003 Server自带防火墙可实现端口过滤（抵抗攻击）、禁止非法程序访问网络（扼杀后门）、记录非法访问信息（查询黑客信息）等功能。配置方法：控制面板→Windows防火墙→常规→启用防火墙（允许例外）→例外选项卡→删除全部第三方程序→添加端口80。这样设置后即便有后门运行，有防火墙可以禁止后门访问网络，有TCP/IP筛选可以禁止非法端口数据收发，黑客对于普通后门无法连接成功。
4.对服务器中的数据库进行安全设置
黑客攻击网站时，经常利用经验或者黑客工具测试服务器端是否存在可下载的数据库，进而通过查询数据库内敏感信息得到账户和密码，这是极其危险的。作为事前防范措施，对数据库要进行安全设置。如对于服务器中的Access数据库，可以将其MDB后缀修改成ASP或者ASA后缀，并设置数据库密码，同时修改数据库连接文件让脚本系统正常运行；ORACLE数据库中，可以对账户进行安全管理，设置只有信任的IP地址才能通过监听器访问数据库，设置口令明文在网络上通过DES加密传输，还可以根据业务要求制定数据库审计策略，启用审计日志等。对数据库进行安全设置，能够有效防止黑客下载并破解数据库，对IIS服务器的安全也有很好的强化作用。
此外，清晰划分内部网络安全域也是必不可少的，将那些对外提供服务的服务器单独列出，避免黑客利用内部PC进行跳板攻击；还要及时进行操作系统的补丁更新、漏洞修补及口令更改等，卸载不需要的服务，避免未知漏洞给服务器带来风险；对企业局域网内终端计算机也要进行安全管理，对终端接入互联网采取安全控制措施，管理好涉密信息处理等情况。
（二）在防攻击措施中，要部署好防火墙、入侵检测系统、入侵防御系统等，实现安全防御，需注意以下几点：
1.防范安全漏洞，必要时选择具有Web威胁防御能力的安全产品
网站建设时由于多种原因会存在漏洞，据业内统计，平均约700个页面就存在一个网页漏洞。漏洞产生的后果很严重，在具备在线办事等功能的网站中，一旦黑客利用网页漏洞进入系统后台，就可以轻易破坏网站对外提供的服务；或者利用DoS/DDoS等攻击行为，占用系统的服务资源，导致网络瘫痪；网站中如果存在XSS（跨站脚本攻击）Web漏洞，黑客通过提交一个特殊字符串，就可将网页木马链接到页面上；最常见SQL注入漏洞危害更大，黑客可以轻易获得后台数据库权限，进而攻击整个网站。
在防攻击中，需要在网络中部署多层防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）等，但目前的防火墙大多工作在网络层，通过对网络层的数据过滤实现访问控制的功能，防火墙能够保证内部网络不被外部网络非法接入，但应用层攻击的特征在网络层上是无法检测出来的。IDS、IPS通过使用深度包检测技术检查网络数据中的应用层流量，和攻击特征库进行匹配，从而识别出已知的网络攻击，达到对应用层攻击的防护，但对于未知攻击以及通过灵活编码和报文分割来实现的应用层攻击，不能实现有效的防护。比如针对XSS和SQL注入安全漏洞，就可以考虑带有Web威胁防御能力的安全产品，如选择Web应用防火墙，Web应用防火墙通过执行应用会话内部的请求来处理应用层，它专门保护Web应用通信流和相关应用资源免受利用Web协议或应用程序漏洞发起的攻击，可以阻止将应用行为用于恶意目的的浏览器和http攻击，一些强大的应用防火墙甚至能够模拟代理成为网站服务器接受应用交付，如同给原网站加上了安全的绝缘外壳。
2.安装正版杀毒软件，定期进行漏洞扫描和病毒木马检测
网站防病毒非常重要，目前，威胁网站安全的不仅是“蠕虫”之类的计算机病毒，更多的是“网页木马病毒”，该类病毒利用网站的安全漏洞，通过执行嵌入在网页HTML的Java Applet小应用程序、JavaScript脚本语言程序、ActiveX软件部件网络交互技术支持可自动执行的代码程序，强行修改用户操作系统的注册表设置及系统实用配置程序，非法控制系统资源盗取用户文件，恶意删除硬盘文件。网页木马大多隐藏在一些安全等级不高的网站内，用户一旦浏览含有该病毒的网页，马上就会中招，导致用户系统受到损害，同时对企业形象的影响也是很大的。网站防病毒要安装正版杀毒软件，及时升级软件病毒库并进行全面查杀，还要定期使用网络安全隐患检测工具进行漏洞扫描和病毒木马检测，业内工具有启明星辰天境漏洞扫描系统、榕基RJ-iTop网络隐患扫描工具、McAfee Foundstone漏洞扫描系统、IBM Rational AppScan应用安全扫描工具、JSky应用安全扫描工具、WebRavor应用安全扫描及渗透工具等，可以根据具体情况选择适合企业网站自身的软件。
（三）部署网页防篡改系统恢复被破坏的网站
网页防篡改作为事后补救措施，最直接的解决办法就是安装防篡改软件，通过防篡改软件，可以将网站所有信息备份存储，同时监视网站页面文件，一旦发现网页被修改，系统可以马上从备份库中提取并进行恢复。这种防范手段不受攻击手法的限制，即不论黑客利用何种手段攻击网站，只要页面发生更改，网站防篡改系统都可以及时响应和恢复。在纯静态页面的网站中，页面防篡改可以防范几乎全部的针对Web系统的攻击行为，但是在动态页面的网站中，特别是有信息交互的网站，用户对后台数据库进行写入或修改操作时，网站防篡改系统无法判断这些操作是黑客行为还是用户正常操作；另外对于数据窃取，如窃取账号口令等信息，页面并未因此发生变化，此时就要配合做好防攻击、防病毒工作。
四、结语
当然，网站安全的保障技术是相辅相成的，网站“三防”的策略也是互为补充的。一般来说，将服务器域单独划分管理域，并且设置必要的访问控制措施，进行合理的安全配置，部署网站防篡改、入侵防御或Web应用防火墙产品，建立一套科学的检测机制，利用安全软件检查网站挂马及漏洞，就能很好地满足“三防”需求，保障网站的安全稳定运营。