網(wǎng)站安全風(fēng)險及解決方案分析

侯俊東

內(nèi)蒙古新聞出版廣電局監(jiān)管中心 內(nèi)蒙古 呼和浩特市 010050

近年來，隨著Web應(yīng)用的普及，企業(yè)和政府機構(gòu)都相繼部署了Web應(yīng)用系統(tǒng)作為信息發(fā)布的窗口，同時更多的對外業(yè)務(wù)也越來越多地轉(zhuǎn)到Web平臺上。Web應(yīng)用的日益廣泛及其中蘊藏價值的不斷提升，引發(fā)了黑客的攻擊熱潮，如頁面篡改、網(wǎng)站掛馬、注入類攻擊、DDoS攻擊等，極大地困擾著網(wǎng)站提供者，給企業(yè)形象、政府形象、信息網(wǎng)絡(luò)甚至核心業(yè)務(wù)造成嚴重的破壞。防火墻、IPS等相關(guān)防御類產(chǎn)品在攻擊發(fā)生時會產(chǎn)生一定的防御效果，但是無法更早的發(fā)現(xiàn)風(fēng)險隱患，網(wǎng)站信息安全形勢不容樂觀。

1 安全風(fēng)險分析

1.1 web應(yīng)用漏洞風(fēng)險

黑客利用網(wǎng)站漏洞，尤其是WEB應(yīng)用程序漏洞，如SQL注入等，能夠得到Web服務(wù)器的控制權(quán)限，隨意篡改網(wǎng)頁內(nèi)容或竊取重要內(nèi)部數(shù)據(jù)，更為嚴重的則是在網(wǎng)頁中植入惡意代碼，既“網(wǎng)頁掛馬”。通過這一行為，黑客可以控制網(wǎng)站的訪問者甚至包括網(wǎng)站本單位工作人員的計算機，從而實現(xiàn)盜取銀行帳號、內(nèi)部機密信息等各種不可告人的目的。由于網(wǎng)頁掛馬制作的簡單性和網(wǎng)絡(luò)漏洞存在的必然性，通過網(wǎng)站漏洞進行網(wǎng)頁掛馬已經(jīng)成為當前最流行的網(wǎng)站攻擊方法和最受黑客青睞的木馬散播方式。

1.2 網(wǎng)頁掛馬風(fēng)險

網(wǎng)站是否存在WEB應(yīng)用程序漏洞，往往是被入侵后才能察覺，而網(wǎng)站是否已經(jīng)被掛馬，通常是在被訪問者投訴或被監(jiān)管部門查處才能察覺，但這個時候損失已經(jīng)發(fā)生。如何在攻擊發(fā)動之前主動發(fā)現(xiàn)WEB應(yīng)用程序漏洞以及網(wǎng)站在掛馬發(fā)生之后迅速獲悉，已成為構(gòu)筑Web安全的上上策。……