做好安全测评 加强网站安全建设

刘 燕

(铁道党校，北京 100088)

【现代管理】

做好安全测评 加强网站安全建设

刘 燕

(铁道党校，北京 100088)

当今时代，网络信息技术的飞速发展和广泛应用极大地推动了经济社会的发展，加快了人类文明的进步。人们通过互联网来获取信息的依赖性越来越大，这进一步促进了网络应用的开发和网站的建设。然而，互联网给人们带来巨大便利的同时，也存在着不可忽视的安全问题。网站设计之初首先要考虑的就是安全问题，但是总有一些不可避免的风险漏洞，将用户信息暴露在被非法利用的危险之中，造成不堪设想的严重后果。目前，网络安全问题已经引起了各个领域的高度重视。作为指导国家网络安全工作的纲领性文件，国家互联网信息办公室2016年12月27日发布了《国家网络空间安全战略》，其重要目的之一就是在保证网站安全建设中推进互联网技术的发展进程。因此，网络管理人员需要时刻保持高度警惕，通过各种方式保证网站安全，防患于未然。定期地通过专业的安全测评工具对应用系统的各方面进行安全检查，是保证网站安全运行的必要措施。

一、网站安全问题频出，给予我们风险警示

在互联网的广泛应用过程中，各种网站信息泄露、网页篡改、网络仿冒、拒绝服务攻击、SQL注入、跨站点脚本编制和木马植入等问题层出不穷。目前，最严重的网络安全问题是网站篡改。国家互联网应急中心(CNCERT/CC)的安全报告中指出，仅2016年12月19日至25日一周内，CNCERT监测发现境内被篡改网站数量为3050个；境内被植入后门的网站数量为1608个；针对境内网站的仿冒页面数量为1997个。*网络安全信息与动态周报-2016年第52期漏洞情况中指出，同一时间段内国家信息安全漏洞共享平台(CNVD)新收录的网络安全漏洞360个，其中应用程序漏洞占比最高为56.4%，其次为操作系统漏洞占比18.3%，Web应用漏洞占比15.63%。

针对国内网站安全问题频出的情况，结合我单位于2016年6月对单位内某网站进行的WAF设备安全扫描结果，显示了网站受到的各类攻击事件和数量，如：跨站攻击367起、资源盗链329个、爬虫事件216起、Cookie篡改212起、服务器信息泄露124次、Web插件漏洞攻击113个，还有相当部分的非法下载、HTTP访问控制事件、HTTP协议违背和SQL注入攻击等。根据统计数字分析，在网络安全日益严峻的形势下，如若发生关键基础设施遭受攻击破坏的重大安全事件，将给网站和用户带来各种不利影响，有时甚至造成不可挽回的损失。因此，网络安全应该引起我们的高度重视。

作为对网站安全的应对，首先可以通过风险测评将网站整体的安全程度和风险承受能力等级了解清晰；同时，明确风险和漏洞类型，针对这些风险进行分析；进而，根据分析结果来采取相应措施，全方位保证网站安全。

二、通过安全测评检测网站安全风险的实践

结合目前行之有效的方法和本单位网站建设的实际，我们经由安全测评来检测网站的风险承受能力，根据检测结果中的指标参数说明网站的安全程度，并依照风险分析结果来应对网站安全防护问题。

(一)项目背景和实践

鉴于上述网站安全频出的问题，为提高网站安全通畅运行能力，我单位开展了网站风险测评项目。利用检测工具对所管理的网站进行测评，明确网站的安全程度和风险承受能力，并根据检测结果来强化风险防护措施。

网站安全测评主要包括主机操作系统、数据库系统及应用系统的安全评估测试，找出系统主机层、应用层存在的安全漏洞，分析安全漏洞对系统的威胁，评估信息系统存在的安全风险，并给出整改建议。主机系统的测评工具“漏洞管理工具极光远程安全评估系统”(以下简称“RSAS”)，采用高效、智能的漏洞识别技术主动对主机系统进行全面的漏洞检测、分析，并提供专业、有效的漏洞防护建议。应用系统的测评工具采用AppScan安全渗透测试工具——“IBM Security Appscan 9.0.3 Web网站脆弱性评估工具”，用于发现应用系统存在漏洞，对比自身漏洞库，给出扫描结果；该方式支持通过模拟攻击来测试应用中的漏洞，最后根据安全风险的严重程度对漏洞进行风险等级划分。

(二)风险测评结果分析

在主机安全测评中，利用操作系统、数据库系统漏洞扫描。针对以下七个方面：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制等进行全面测评，检测出目标系统中存在的操作系统、数据库系统和常见应用漏洞，如缓冲区溢出漏洞、系统或应用程序弱口令漏洞、系统或应用程序因未及时更新补丁所暴露出的漏洞等。根据网站测评的结果整体系统存在的威胁和其产生的安全风险主要有以下几个方面。

1.针对主机的攻击威胁

包括针对windows操作系统以及其使用的.NET Framework、Visual Studio和IE等框架和软件的安全漏洞的攻击威胁，攻击者可能由此获取系统的信息资源或对系统信息进行破坏。

2.针对数据库的攻击威胁

包括在对数据库系统MariaDB、Oracle MySQL和Percona Serve、Oracle Java SE、Apache Tomcat中间件以及SSL/TLS协议的攻击行为，包括非法获取、篡改、删除数据库信息资源、拒绝服务和进行其他形式的服务攻击。

3.管理不当所引起的威胁

包括由于用户管理策略不当使得攻击者可能获取某一级别的用户的访问权限，并由此提升用户权限，造成用户权限的滥用和信息资源的泄露、损毁等；由于采用远程管理而引发的威胁；缺乏足够的安全审计致使对安全事件不敏感，无法发现攻击行为等。

4.配置不当所引起的威胁

包括在主机上开放了未做安全防范的服务所造成的威胁。

在应用安全测评中，测评人员将综合采用文档查阅与分析、人工验证、辅助工具等方法来获取必要证据，用于评测信息系统的应用安全保护能力，具体的测评指标涉及九个方面：身份鉴别、访问控制、安全审计、通信完整性、通信保密性、数据保密性、数据备份和恢复、软件容错和资源控制。现场核查测试结束后，测试人员需要对得到的脆弱性、威胁数据进行分类整理和风险分析，主要出现的高危漏洞类型：有MongoDB NoSQL注入和SQL盲注，已解密的登录请求，跨站点脚本编制；中危漏洞类型有：会话标识未更新，使用HTTP动词篡改的认证旁路，通过框架钓鱼。

(三)网站安全风险解决办法

根据上述网站测评的风险分析结果，网站安全防护亟须加强，主机和应用两个方面都需要采取有效措施来修复漏洞和降低风险，主要采用自身修复和外部防护措施相结合的方式提高网站安全程度和抵抗风险和攻击的能力。将检测分析结果整理出整改措施意见并付诸于行动，在整改完成之后继续按照初测流程进行复测，直至将网站风险漏洞降至低级以至零风险。

总结网站修复整改解决方法主要分为三个方面，系统自身修复、外部设备和策略防护以及网络管理人员的安全管理维护。

1.系统自身修复主要包括：

一是系统漏洞补丁的安装。定期修复主机漏洞和进行补丁更新，在一定程度上完善操作系统和应用软件，降低外界对服务器的攻击。建立补丁管理的手段或补丁管理制度，Windows系统主机补丁安装齐全，有补丁安装的测试记录。对操作系统的安全配置进行严格的设置，删除系统不必要的服务、协议。

二是安装杀毒软件。在服务器上安装杀毒软件能够对邮件、FTP 文件、网页、存储设备等信息源进行监控和安全拦截。制定定期定时的漏扫和升级策略，通过更新病毒库提高杀毒软件的病毒全面覆盖能力，有效减少攻击者通过各类病毒、木马、蠕虫等恶意代码对服务器进行攻击的安全隐患。

2.外部设备和策略防护主要包括：

一是防火墙制定严密访问限制策略。防火墙作为网络安全的屏障，保护网络环境减低风险，加强安全设置，过滤不安全的服务，制定授权访问策略，禁止不安全的协议，监控审计网络存取和访问记录，设定阈值进行报警并提示网络监测和攻击的详细信息，查看日志文件分析网络安全行为。划分网络区域将重点网络隔离保护，保障敏感区域的高度安全。

二是利用网络设备做好入侵检测。应用IDS设备进行实时入侵检测和事后入侵检测，通过检测可以使系统免遭黑客攻击、木马病毒感染、DDoS恶意流量攻击等危险侵害；对敏感数据外泄、文件识别和服务器非法外联的异常行为进行防护；可以有效监测恶意URL和Botnet以保护用户在访问已感染病毒或者植入木马的网站时不受侵害；即时拦截Web威胁，全面监测P2P下载和在线网络活动，限制非授权的网络流量，保护内部网络的安全。

三是添加WAF设备加强Web服务器防护。WAF防护功能包含：Web服务器漏洞防护、Web插件漏洞防护、爬虫防护、跨站脚本防护、SQL注入防护、LDAP注入防护、SSI指令防护、XPATH注入防护、命令行注入防护、路径穿越防护、远程文件包含防护，应用抗DDoS算法和多种应用层抗DDoS技术，可防护各类带宽资源耗尽型DDoS和应用层DDoS，实时阻断攻击流量，从网络层面确保Web业务的可用性及连续性。

3.网络管理人员的安全管理维护方面主要包括：

一是配备专职管理人员并提高网站维护管理频率。网络管理、应用系统管理和系统管理分别需要配备专门的管理人员；实行一岗一责制，有明确的制度来规范和界定工作职责与工作范围，且岗位实行主、副岗备用制度。

二是规范数据备份和恢复工作。数据是是整个网络的核心，数据一旦被破坏或丢失，对于应用服务器来说，一方面严重影响网站的形象，另一方面影响到web服务的正常进行，导致工作受到阻碍。完整规范的数据备份和恢复机制可以将服务器发生故障时的损失降到最低，缩短故障修复时间。

三是高度重视网站的密码安全。网站管理采取密码安全设置，制订账号密码管理制度，账户密码应按期变更并保存变更相关记录，对于有变化的账户需要及时更新并记录在案。

除了以上所述的安全整改措施，还需要检查平台软件是否存在自身漏洞。一个完善的网站在软件开发阶段有漏洞是难以避免的，通过各项测试最终上线就应该保证软件的稳定性、可靠性、健壮性和流畅性，能够正常运行并在承载一定压力时确保网站不至于崩溃，因此在选择软件时一定要谨慎选择，多方面验证，优中选优。

三、做好网站安全测评带给我们的启示

通过此次网站安全测评，对单位网站的安全风险进行了明确有效地检测，将各类风险和漏洞进行了分析和归纳，总结出网站主要攻击类型，根据分析结果完成了网站的安全整改措施，大大提高了网站应对和抵御风险的能力。此次项目检测的实施，对以后的网站维护和网络安全管理起到了关键的规范和强化作用，并促进了一套行之有效的网络安全机制的建立，保证网站达到物理安全、链路安全、网络安全、应用安全和用户安全这五个层次。

但是，对于任何一套完整的信息系统来讲，完全没有风险是高度理想状态，是几乎不可能达到的。因此，应当客观理性的看待漏洞风险的存在，依照避免安全操作缺失、降低漏洞风险等级、增强主机和程序的健壮性预防攻击、接受所不能消除的风险等条件为宗旨提出解决办法。在实际落实中，综合考虑风险的严重程度、自身信息系统的发展需要、必须达到的安全需求等级以及自身技术水平的管理条件等几大因素，对风险漏洞采取相应措施，形成风险应对方案，达到风险和成本的有效平衡。

(作者系铁道党校信息管理中心助理工程师)

〔责任编辑：周宗伟〕

TP309

B

1006-8279(2017)01-0069-03