網(wǎng)絡(luò)安全法背景下網(wǎng)站安全管理與防護對策建議

◆孫斌 王金民 裴建廷 于謙 周偉

網(wǎng)絡(luò)安全法背景下網(wǎng)站安全管理與防護對策建議

◆孫斌 王金民 裴建廷 于謙 周偉

（濰坊醫(yī)學院 山東 261053）

網(wǎng)站是一個單位對外宣傳、展示形象和提供服務的重要窗口，一旦網(wǎng)站信息被惡意篡改，將直接影響到一個單位的形象、信譽，嚴重的會造成經(jīng)濟損失甚至產(chǎn)生不利的社會影響。本文從研究網(wǎng)站建設(shè)的主要技術(shù)與運行機制出發(fā)，分析網(wǎng)站被惡意攻擊的主要途徑，提出有針對性地加強網(wǎng)站管理、預防網(wǎng)站被篡改等安全問題的對策建議，為網(wǎng)站建設(shè)與管理單位提供參考。

網(wǎng)站；攻擊；篡改；防篡改

網(wǎng)站是一個單位對外宣傳、展示形象和提供服務的重要窗口，一旦網(wǎng)站信息被惡意篡改，將直接影響到一個單位的形象、信譽，嚴重的會造成經(jīng)濟損失甚至產(chǎn)生不利的社會影響，尤其是政府機關(guān)、企事業(yè)單位的網(wǎng)站。2017年6月1日起《中華人民共和國網(wǎng)絡(luò)安全法》正式施行，該法明確了作為網(wǎng)絡(luò)運營者應當履行安全保護義務，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改等相關(guān)要求，那么網(wǎng)站作為網(wǎng)絡(luò)運行中的一類載體，保障網(wǎng)站安全、防止出現(xiàn)網(wǎng)站信息被篡改等安全問題已經(jīng)成了網(wǎng)站建設(shè)與管理單位的重要責任和義務。

1 網(wǎng)站的主要分類及其特點

從建站的技術(shù)角度分類，網(wǎng)站主要分為靜態(tài)網(wǎng)站和動態(tài)網(wǎng)站。

靜態(tài)網(wǎng)站是指沒有數(shù)據(jù)庫作為支撐，網(wǎng)站內(nèi)容全部以非結(jié)構(gòu)化文件形式存在，每個網(wǎng)頁都是一個底層為HTML語言代碼格式的獨立文件，網(wǎng)站的所有信息內(nèi)容都包含在網(wǎng)頁文件中。靜態(tài)網(wǎng)站的交互性較差，在制作和維護方面工作量也較大，但是網(wǎng)頁信息內(nèi)容穩(wěn)定且不易被篡改，訪問效率高，也易被檢索查詢。

動態(tài)網(wǎng)站是以數(shù)據(jù)庫技術(shù)為基礎(chǔ)，運用Asp、Jsp、Php、Python等各類動態(tài)網(wǎng)頁開發(fā)語言編寫，網(wǎng)站內(nèi)容可根據(jù)不同情況動態(tài)變更的網(wǎng)站。動態(tài)網(wǎng)站的每個網(wǎng)頁文件不是獨立文件，除了圖片、音頻、視頻等非結(jié)構(gòu)化文件外，網(wǎng)頁內(nèi)容都以結(jié)構(gòu)化文件形式存儲在后臺數(shù)據(jù)庫中，當用戶通過客戶端訪問網(wǎng)站服務器時，在客戶端返回一個完整的網(wǎng)頁。動態(tài)網(wǎng)站具有良好的交互性，開發(fā)技術(shù)豐富，應用廣泛，管理簡單，但是訪問效率與靜態(tài)網(wǎng)站相比較低，且如果開發(fā)技術(shù)人員在安全性方面考慮不周全會導致網(wǎng)站存在安全隱患。

2 網(wǎng)站的部署及運行機制

靜態(tài)網(wǎng)站的部署及運行原理較為簡單，在Web服務器上配置好IIS或者Nginx等支持靜態(tài)網(wǎng)站的運行環(huán)境，然后將制作好的網(wǎng)站內(nèi)容放到服務器指定的文件目錄下，直接通過網(wǎng)站域名訪問即可。動態(tài)網(wǎng)站的部署配置較靜態(tài)網(wǎng)站稍微復雜一些，需要在Web服務器配置網(wǎng)站web應用程序相關(guān)組件，并安裝配置數(shù)據(jù)庫。

雖然部署方式不同，但不管哪類網(wǎng)站，運行機制是一樣的。客戶端（Client）通過瀏覽器以URL的形式向服務器（WebServer）發(fā)出Request，Web服務器（WebServer）接受客戶端的Request并做出響應（Response），根據(jù)URL查找相應的文件。若URL指向靜態(tài)頁面（Static Web Page），則服務器將找到的靜態(tài)頁面（Static Web Page）通過http協(xié)議傳輸?shù)娇蛻舳藶g覽器，由瀏覽器引擎解析后顯示在瀏覽器中。若URL的內(nèi)容為動態(tài)頁面，需要Web服務器執(zhí)行相關(guān)程序代碼并從數(shù)據(jù)庫中讀取相關(guān)數(shù)據(jù)，動態(tài)生成網(wǎng)頁文件并通過http協(xié)議傳輸?shù)娇蛻舳藶g覽器，由瀏覽器引擎解析后顯示在瀏覽器中。

3 造成網(wǎng)站被惡意攻擊的主要途徑

通過了解網(wǎng)站部署方式及運行機制，我們知道網(wǎng)站的運行主要依托web服務器、網(wǎng)站應用程序及相關(guān)組件和數(shù)據(jù)庫系統(tǒng)（主要涉及動態(tài)網(wǎng)站）三個方面，任何一方面出現(xiàn)問題都會影響網(wǎng)站安全。再加之如果網(wǎng)站管理不善，存在管理上的安全風險，都會有被不法者掃描到網(wǎng)站漏洞的可能，從而對網(wǎng)站進行入侵乃至篡改網(wǎng)站數(shù)據(jù)信息。

3.1 利用Web服務器操作系統(tǒng)自身安全漏洞

Web服務器使用的操作系統(tǒng)主要有Windows、Linux、Unix等，操作系統(tǒng)在設(shè)計時本身都會存在一定的技術(shù)缺陷，雖然服務商也不斷地發(fā)布系統(tǒng)補丁，但是如果這種缺陷沒有及時修復而被不法者利用，通過植入計算機病毒、木馬程序等方式就可能控制整個服務器，從而篡改服務器上的數(shù)據(jù)，包括在服務器上運行的網(wǎng)站數(shù)據(jù)信息。例如Windows系統(tǒng)的RDP遠程桌面漏洞，不法者可以利用該漏洞向目標Windows服務器構(gòu)造惡意請求，并在目標Windows服務器操作系統(tǒng)上執(zhí)行任意程序代碼，從而破壞或篡改數(shù)據(jù)信息。

3.2 利用web應用程序漏洞

這里的web應用程序指安裝在web服務器上為網(wǎng)站提供運行環(huán)境的程序及相關(guān)組件，如.Net Framework、Tomcat、JDK、Eclipse、PHP等，這些程序自身也存在技術(shù)缺陷并在使用過程中不斷的更新版本來彌補漏洞并拓展功能，如果使用了存在漏洞的應用程序而沒有更新補丁或者使用時配置不當都會造成網(wǎng)站安全問題。例如典型的框架式漏洞Struts2遠程代碼執(zhí)行漏洞，利用該漏洞可以在目標服務器上植入后門，然后獲取目標系統(tǒng)的權(quán)限從而對目標系統(tǒng)進行控制。

3.3 利用數(shù)據(jù)庫系統(tǒng)漏洞

目前大部分網(wǎng)站都依托Mysql作為數(shù)據(jù)庫支撐，因此針對MySQL數(shù)據(jù)庫的滲透攻擊非常多，經(jīng)常有Mysql數(shù)據(jù)庫被攻擊，導致數(shù)據(jù)庫被刪除或者篡改。最有威脅的當屬SQL注入，該漏洞可以使不法者將SQL語句注入到數(shù)據(jù)庫中，實現(xiàn)無賬號登錄，進而讀取、修改數(shù)據(jù)庫相關(guān)數(shù)據(jù)，執(zhí)行各種管理操作等。不法攻擊者可以通過獲取到的數(shù)據(jù)庫數(shù)據(jù)，得到網(wǎng)站后臺管理密碼，進而對網(wǎng)頁信息內(nèi)容進行惡意篡改。

3.4 利用系統(tǒng)配置及管理漏洞

沒有對服務器操作系統(tǒng)、應用程序、數(shù)據(jù)庫及網(wǎng)站后臺進行有效的安全配置，比如設(shè)置了弱密碼、在服務器上運行了含有病毒、木馬的文件、鏈接了惡意網(wǎng)頁、開啟了非必要的共享等，導致不法者獲取網(wǎng)站或者服務器權(quán)限，進而篡改網(wǎng)站數(shù)據(jù)信息。比較常見的就是網(wǎng)站后臺密碼過于簡單而直接被不法者暴力破解，取得網(wǎng)站管理員口令，然后以網(wǎng)站管理員身份進行網(wǎng)頁篡改。

4 網(wǎng)站安全管理及防護對策建議

要從根本上解決網(wǎng)站的安全問題，就是要消除操作系統(tǒng)、應用程序、數(shù)據(jù)庫系統(tǒng)及網(wǎng)站管理上的所有安全漏洞。所以，需要針對網(wǎng)站的類型及其特點并從可能造成網(wǎng)站安全問題的原因入手，采取有針對性的網(wǎng)站保護措施，形成一體化的網(wǎng)站管理與防護方案，力求防患于未然。

4.1 及時發(fā)現(xiàn)并修復各類系統(tǒng)自身漏洞

密切關(guān)注網(wǎng)站服務器操作系統(tǒng)、應用程序、數(shù)據(jù)庫系統(tǒng)服務商及國家有關(guān)安全漏洞通報平臺發(fā)布的漏洞信息，及時對與本網(wǎng)站有關(guān)的漏洞進行修復。需要注意的是，對于操作系統(tǒng)漏洞的修復，要在安裝補丁前做好數(shù)據(jù)備份，如果是虛擬服務器可以提前做快照，以免出現(xiàn)藍屏或者其他影響系統(tǒng)啟動的情形。對于應用程序的升級也需要進行兼容性測試，防止出現(xiàn)無法運行的情況。

如果無法進行自身漏洞修復，可以通過部署具有虛擬補丁功能的安全防護系統(tǒng)，在一定程度上解決漏洞問題。目前已有成熟的虛擬補丁防護產(chǎn)品，通過漏洞防護規(guī)則，在網(wǎng)站服務器不重啟，不進行補丁更新的情況下防護漏洞，阻止漏洞被利用。

4.2 啟用嚴格的訪問控制策略

依據(jù)最小權(quán)限原則進行訪問控制策略的配置。不論網(wǎng)站服務器操作系統(tǒng)、應用程序、數(shù)據(jù)庫還是管理后臺都授予相應的用戶以最小權(quán)限。同時，明確用戶、角色、權(quán)限、資源之間的對應關(guān)系，針對各類管理用戶進行嚴格的分角色、分權(quán)限設(shè)置。刪除無關(guān)賬戶，禁用或者限制各類默認賬戶權(quán)限，修改默認口令。對服務器管理、網(wǎng)站管理后臺管理登錄IP進行限制。對操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶進行權(quán)限分離。在Web應用程序中不要用管理員賬號連接數(shù)據(jù)庫。限制非管理賬戶訪問網(wǎng)站及有關(guān)目錄文件，禁止非管理賬戶訪問目錄的文件列表。建議隱藏網(wǎng)站后臺管理地址。

4.3 加強用戶身份鑒別

對操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)用戶訪問時進行身份鑒別，用戶口令采用至少10位以上包括數(shù)字、大小寫字母、特殊字符的綜合性口令，推薦設(shè)置16位以上動態(tài)口令技術(shù)生成的無規(guī)律綜合性口令，口令需定期更換。重要的網(wǎng)站建議進行Session校驗，防止未授權(quán)人員非法登錄頁面。啟用認證失敗處理功能，如鎖定賬戶、結(jié)束會話、限制非法登錄次數(shù)等。

4.4 最小化原則

操作系統(tǒng)遵循最小安裝原則，僅安裝需要使用的組件和應用程序，最大程度上確保系統(tǒng)安全。遵循最小服務原則，啟用Web服務器自身防火墻，關(guān)閉不必要的服務，僅開啟需要的端口和服務。配置各類用戶以最小權(quán)限。如果是Windows系統(tǒng)，建議關(guān)閉所有驅(qū)動器的自動播放功能和非必要的磁盤共享。針對web應用程序，禁用非法Http方法的使用。

4.5 提高網(wǎng)站代碼編寫質(zhì)量

網(wǎng)站開發(fā)人員應規(guī)范編寫代碼，網(wǎng)站上線前對網(wǎng)站代碼進行安全審查，清除不安全的代碼。同時還應注意以下幾點：一是對一些特殊字符、編碼及SQL語句關(guān)鍵詞進行過濾，限制各項輸入字段的長度預防SQL注入和跨站攻擊；二是對跨站腳本關(guān)鍵詞進行過濾；三是對Html頁面文件和腳本源文件進行MD5校驗；四是所有用戶的密碼都采用MD5加密后再存入數(shù)據(jù)庫；五是對上傳頁面的格式進行限制，防止上傳后門腳本等。

4.6 合理采用安全設(shè)備和軟件保護網(wǎng)站安全

采用防火墻、態(tài)勢感知系統(tǒng)、IPS、Waf、防病毒系統(tǒng)甚至專業(yè)的防篡改工具等專業(yè)安全設(shè)備及軟件進行防護，保障網(wǎng)站安全也是非常必要的。但是安全設(shè)備和軟件也不能濫用，不能毫無選擇的進行安全設(shè)備疊加，而應根據(jù)網(wǎng)站實際運行情況，科學選擇、合理配置，以免顧此失彼，影響網(wǎng)站的正常運行。

4.7 優(yōu)化網(wǎng)頁發(fā)布機制

可以采用動靜結(jié)合方式提高動態(tài)網(wǎng)站的安全性，將動態(tài)網(wǎng)站的所有網(wǎng)頁內(nèi)容以靜態(tài)網(wǎng)頁的形式發(fā)布出來。具體可采用“后臺動態(tài)制作與管理維護服務器＋靜態(tài)頁面發(fā)布服務器”的部署方式。為了進一步提高網(wǎng)站訪問速度和安全性，可建立多臺靜態(tài)頁面發(fā)布服務器，在靜態(tài)頁面發(fā)布服務器前端部署負載均衡，可通過負載均衡建立網(wǎng)站的虛擬IP（VIP），隱藏所有內(nèi)部服務器使用的真實IP，保證服務器的安全性。

5 小結(jié)

應對網(wǎng)站篡改攻擊、保障網(wǎng)站安全不是僅僅采用某種或者幾種防篡改技術(shù)就能解決的，本文僅是給出了一些網(wǎng)站防篡改方面的思路性建議，具體還需要根據(jù)網(wǎng)站自身使用的操作系統(tǒng)、應用程序及數(shù)據(jù)庫等方面并結(jié)合網(wǎng)絡(luò)架構(gòu)和運行管理，因地制宜，細化配置策略，形成制作建設(shè)、環(huán)境部署、運行維護等全方位的防護方案。

[1]呂淑艷等.高校門戶網(wǎng)站建設(shè)研究[J].網(wǎng)絡(luò)與信息安全，2020.

[2]呂美敬等.高校網(wǎng)站的網(wǎng)頁防篡改問題研究與分析[J].網(wǎng)絡(luò)空間安全，2018.

[3]金建明等，淺談全媒體網(wǎng)站安全防護體系建設(shè)[J].中國報業(yè)，2017.

[4]劉翔.淺談應對網(wǎng)站篡改技術(shù)手段[J].網(wǎng)絡(luò)安全技術(shù)與應用，2016.

[5]韓雙旺.動態(tài)網(wǎng)站與靜態(tài)網(wǎng)站的比較研究[J].自動化與儀器儀表，2011.

[6]陳學平，動態(tài)網(wǎng)站環(huán)境搭建及數(shù)據(jù)庫連接[J].科技創(chuàng)新導報，2010.

濰坊醫(yī)學院：醫(yī)學類教學資源平臺整合機制的研究與實踐（項目編號：2016Z0303）