基于云環境下應用系統的安全防護建議

馬 薇，王 娟，張 暉

（機械工業信息中心，北京 100040）

1 影響應用系統的安全因素分析

隨著信息化、智能化的高速發展，各單位、企業的網站所承載業務的數量、面向對象的方向及重要性日漸增加，其面向公眾的性質也發生了重要變化。服務器被攻擊、網頁被篡改、網絡釣魚、SQL 注入、跨站運行腳本、勒索病毒肆虐等攻擊事件每天都在發生，嚴重影響各單位在線辦公的正常運轉、影響人們對所瀏覽網站公信力的認可度。究其原因，影響云環境下應用系統安全的主要因素有以下四個方面：

1.1 網絡安全環境配置低

網絡安全環境配置的高低是影響應用系統安全的第一重要因素，好比一座華麗的房子卻沒有匹配的門鎖，自然很容易被破門而入。應用系統被攻擊，為各單位帶來巨大的政治風險，使部分單位的名譽損失、公信力下降，甚至還要承擔法律責任，這已經成為在線業務健康發展的一個巨大障礙。

1.2 管理意識不足

一些單位存在重應用輕安全的現象，沒有制定嚴格的安全管理制度，或者制定了制度，也沒有嚴格執行。部分管理人員缺乏安全管理意識，其采取的安全防范措施存在不足，存在這樣那樣的漏洞，導致服務器或應用系統很容易被攻擊破壞。

1.3 應用系統沒有及時升級更新

隨著新技術的發展，應用系統也應該保持一定頻率的升級更新。面對來自全球范圍的網絡攻擊，一些運行多年的應用系統如果不及時進行代碼升級，就容易被攻擊破壞，其維護人員也會在不斷的攻擊中疲于應付，即便如此，也難免出現數據丟失甚至被毀的后果。

1.4 技術人員技術沒有及時提升

技術人員自身的計算機安全防范能力有限，無法有效的抵御外部攻擊或系統自身漏洞引發的運行障礙，進而導致應用系統在運行過程中出現了嚴重的安全風險。

2 應用系統的安全防護措施

要想做好應用系統的安全防護、保證防護工作的有效性，需要從以下幾個方面來深入考慮：

2.1 制定嚴格的安全管理制度

目前，國家對網絡安全保護方面的工作有了明確的法規，先后出臺了《計算機信息網絡國際聯網安全保護管理辦法》（公安部令第33號2011.1.8修訂）和《中華人民共和國網絡安全法》（中華人民共和國主席令第五十三號2016.11.7）等法規。法規中都明確提出了國家實行網絡安全等級保護制度，網絡運營者應當按照網絡安全等級保護制度的要求，履行安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改。要想保證應用系統的安全性，管理人員在進行內部人員工作行為的管理時，應該結合相關法規制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任，并嚴格執行管理制度，真正達到約束員工行為，保證應用系統運行安全的目的。

2.2 提高網絡安全環境配置

一般的云平臺上都有基礎的防護措施和攻擊提醒，但是要保障服務器及應用系統的安全還遠遠不夠，要想提高安全防護工作的效率和質量，配置更高級的網絡安全環境十分必要。云WAF 應用防護可以為應用系統提供防攻擊（跨站腳本攻擊、注入攻擊、緩沖區溢出攻擊、Cookie 假冒、認證逃避、表單繞過、非法輸入、強制訪問）、防篡改（隱藏變量篡改、頁面防篡改）、防CC 攻擊等安全防護；云DNS、云堡壘機的使用也能有效減少黑客對服務器的攻擊；同時安裝在服務器本身的安全防護軟件也必不可少，能有效檢測到大部分病毒文件并清理。

2.3 應用系統程序更新

在應用系統的規劃、建設與管理過程中，技術人員應本著“安全重于應用，安全促進應用”的原則開展相應的防護設置工作，從系統架構、代碼編寫到系統部署都要考慮到安全問題，從底層到頁面都盡量做到防攻擊、防注入、防篡改。有條件的單位或組織可以對應用系統進行周期性的代碼重構或加固。

2.4 安全檢測及防護軟件更新

技術人員應定期對服務器進行漏洞檢測和補丁安裝，定期檢查服務器安全策略和日志，以及時發現應用系統存在的安全問題，及時采取安全防護措施。在健全的監督管理機制下，技術人員要嚴格按照系統安全管理制度的工作流程定期對系統的運行狀態進行安全檢查，使用專業的木馬、病毒查殺軟件對應用系統的運行環境進行全面掃描，以此來消除系統運行過程中潛在的安全隱患問題。同時，防護軟件也要定期更新，一成不變的安全防御系統無法檢測出新型的網絡病毒，因此，這就對技術人員的工作能力提出了更高的要求。

2.5 技術人員水平提高

技術人員應該定期接受專業的培訓教育工作，對云環境下新型的防護技術及時掌握，全面提高自身的工作能力和業務水平。必要的話還需要進行安全防御程序的編寫工作，技術難度較高，需要靜下心來潛心研究。

3 結束語

由于網絡環境的復雜性，導致云環境下應用系統容易受到網絡病毒的攻擊。數據丟失、文件被篡改的情況時常可見，應用系統陷入癱瘓、服務器崩潰的現象也屢見不鮮，因此各單位必須要制定出科學的網絡安全防護計劃，做好安全防護措施，提高專業技術水平，保障云環境下應用系統的安全性、穩定性和信息的保密性。