青島政務網防篡改系統的部署實現及運維

據國家計算機網絡應急技術處理協調中心（CNCERT/CC）的監測統計，我國大陸被篡改網站的數量近年來增長迅猛，2007年，被篡改網站總數累積達61228個，比2006年增加了1.5倍，其中，政府網站被篡改數量達3407個，這充分說明政府網站的安全防護能力有待提高，防篡改問題也隨之成為政府網站面臨的一個亟待解決的課題。

一、系統實現的主要功能

青島政務網防篡改系統（以下簡稱系統）實現了保護Web網站不發送被篡改內容，和將被篡改內容進行即時自動恢復兩大功能。

系統采用Web服務器核心內嵌技術，將篡改檢測模塊（數字水印技術）和應用防護模塊（防注入攻擊）內嵌于Web服務器內部，并輔助以增強型事件觸發檢測技術，不僅實現了對靜態網頁和腳本的實時檢測和恢復，同時可保護數據庫中的動態內容免受來自于Web的攻擊和篡改，從而很好地解決網頁防篡改問題。

系統的篡改檢測模塊使用密碼技術，為網頁對象計算出唯一性的數字水印。出現網頁訪問請求時，將網頁內容與數字水印進行對比，一旦發現網頁被非法修改，即進行自動恢復，杜絕篡改后的非法網頁內容被公眾瀏覽訪問。同時，系統的應用防護模塊也對用戶輸入的URL地址和提交的表單內容進行檢查，實時阻斷對數據庫的注入式攻擊。

二、網站系統發布結構變化

部署防篡改系統前，網站系統的發布架構是由CMS服務器直接向WEB服務器的FTP發布（如圖一中虛箭頭標示），這種發布結構相對簡單；部署防篡改系統后，CMS服務器必須把需要發布的內容先發布到防篡改系統的發布服務器上，然后利用發布服務器的高效同步功能向WEB服務器進行文件同步，而CMS服務器與WEB服務器并不直接發生傳輸關系。

三、防篡改過程的實現

在一般發布過程（如圖二虛框1標示）中CMS系統通過FTP、SMB、NFS等網絡協議，把網站文件生成到發布服務器，監控管理子系統將實時告知自動發布子系統文件變化情況，自動發布子系統隨即根據同步規則計算出文件的水印值，判斷與網站文件是否相符，若發現文件內容有變化，則通過SSL加密通道，把CMS更新內容發布到WEB服務器上。所有合法網頁的增刪改均通過自動發布子系統進行，WEB服務器在接收更新的同時，把發布子系統一并傳來的水印值保存在加密水印庫內，為將來的網站訪問提供對比依據。

在正常網頁瀏覽過程（如圖二虛框2標示）中，WEB服務器中的防篡改模塊會對每個用戶的請求進行安全性檢查：首先計算出來訪者請求的網頁文件的當前內容水印值是否正常，如與水印庫中所保存的水印初始值一致，則判定為正常，并把結果發送給Web服務器軟件，這樣用戶就能順利瀏覽到網頁內容。

在惡意篡改網頁過程（如圖二虛框3標示）中，防篡改模塊計算出來訪者請求的網頁文件的當前水印值與水印庫中所保存的文件初始值不一致，則判定為不正常，即完整性校驗失敗，即刻中止此次訪問請求，同時防篡改模塊會通知發布服務器上的自動發布子系統，把發布服務器上的備份目錄中的相應文件重傳，從而恢復被篡改的文件。

四、系統監控及運行維護

防篡改系統可通過遠程控制臺進行網站運行情況的實時監控。遠程控制臺是整個網站防篡改功能實現的控制中樞和信息交換中樞。

同步規則配置完成后，在一般的文件傳輸過程中，系統根據同步規則，依靠獨有的同步協議將發布服務器和WEB服務器上的文件進行高效同步，無需人工干預；同時系統提供了手動同步功能，即管理員可對同步規則監控下的任意目錄或文件進行手動同步，以便部署時文件同步，故障時網站文件的恢復、停止發布、續傳等，自動與手動同步過程中會根據文件變化和輸入條件形成一系列上傳任務，在上傳過程中，控制臺窗口里會實時地顯示當前的任務狀態，如已累計總任務數、當前已處理文件數量、本次任務詳細信息等。

當網站頁面出現異常情況時，控制臺的報警監控窗口會及時發出警告，并列出攻擊或篡改的詳細情況，如源IP、篡改網頁等信息，便于攔截攻擊和阻止篡改。

所有的系統傳輸、報警監控情況都會以日志的形式記錄下來。在防篡改系統運行正常的情況下，所有系統信息均可通過控制臺匯總掌握，通過監控控制臺就可以實現對惡意篡改等安全問題的監控處理，使整個防篡改系統形成一種有機可控的安全鏈條，保護青島政務網不受諸多安全問題的騷擾。

參考文獻

CNCERT/CC 2007年網絡安全工作報告.