層次化防護保證企業門戶網站安全

目前，針對Web的***手段日益增多，拒絕服務***、網絡釣魚、SQL注入等等層出不窮，而企業門戶網站是企業的「臉面」，如何保證其安全是運維人員、安全管理人員、CIO等須要深思熟慮、全盤考慮的問題。本文將針對這個問題，首先對企業門戶Web系統進行詳細的安全威脅分析，而後給出相應的解決方案的原則和技術，並根據原則來提供具體實施的網絡拓撲和部署要點。

1、   企業門戶網站系統面臨的威脅

企業門戶網站系統在運行安全和數據安全方面面臨着很是大的威脅，主要包括運行安全威脅和數據安全威脅。

（1）           運行安全威脅

主要是指企業門戶網站在提供對外服務的過程當中，惡意用戶（***）能夠經過一些公開的服務端口、公開的服務信息等來組織和實施***，從而使得企業門戶網站服務不可用，從而致使其運行安全問題。

主 要的***行爲包括：惡意用戶採用***工具構造惡意報文對暴露在公網的網上系統進行拒絕服務***，甚至是利用多個網絡結點造成的僵屍網絡，構成分佈式拒絕服 務***；而且，面臨在遭受***後，因爲服務器側網絡架構劃分和隔離措施不嚴謹，***可能利用這個部署上的漏洞，而致使整個服務器機羣的癱瘓，好比，因爲Web服務器癱瘓，***以Web服務器爲跳板，從而***後臺數據庫服務器等內網關鍵資源等。

 

（2）           數據安全威脅

主要是指企業門戶網站在服務中涉及的用戶數據、通訊數據等因爲***的竊聽、重定向等，而致使的數據非法泄露。

主要的***行爲包括：惡意用戶經過Web瀏 覽器的登錄界面對合法用戶的用戶名和密碼進行猜想，從而冒充合法用戶進行網頁訪問和系統使用；惡意用戶經過構造非法的、可能被網上系統錯誤識別和執行的代 碼嵌入在提交的表單中，引發不正常的信息泄露，甚至系統崩潰；惡意用戶可能在傳輸網絡中經過非法竊取合法用戶的通訊報文，從而得到本不該該得到的敏感信 息；用戶被引導進入其餘的非法網站，如如今流行的釣魚網站（phishing）等等，從而在不知情的狀況下泄露我的機密信息，形成經濟損失等。

2、   層次化防護方案

2.1  設計安全網絡拓撲

設計安全的拓撲，是保證企業門戶網站安全的第一步，也是很是重要的一步，它能夠有效地從網絡層和應用層來抵禦外來的***，從而保證運行安全。

其中主要包括以下幾個層面：

（1）網絡層防護

部署防火牆能夠有效地進行網絡層防護，阻止外來***，包括拒絕服務***和分佈式拒絕服務***，重點過濾惡意流量、突發流量等。更爲重要的是：在防火牆上經過有效地使用DMZ（demilitarized zone，非軍事化區），能夠將外部網絡和內部網絡進行有效地隔離，從而達到即時DMZ區域被***，也不會影響到內網資源安全的目的。

在 部署過程當中，建議採用異構的二路防火牆方式。也就是，使用不一樣廠家不一樣型號的兩種防火牆，分別來做爲企業的內部和外部防火牆，這樣，可以很好地達到分離內 外網以及安全加強的目的，由於即算一路防火牆被***，也很難影響到二路防火牆，由於***須要更多地精力來對不一樣的防火牆進行分析和實施***行爲。

 

  

（2）應用層防護

在防火牆的後面，加入應用層防護的設備，如IPS（Intrusion Prevention System，***防護系統）、WAF（Web Application Firewall，應用防火牆）、UTM（Unified Threat Management，統一威脅管理）等，從應用層來對來自外部對企業門戶的網站從應用層（包括URL連接、網頁內容等）進行細粒度的過濾和檢測，出現惡意內容等即進行實時阻斷。而且，對於SQL注入***、緩衝區溢出***、篡改網頁、刪除文件等也有很好的抑制和阻斷做用。

 

（3）負載均衡

企 業門戶網站系統服務器側須要軍揹負載均衡及負載保護機制。由於，系統面臨着巨大的服務量，服務器端的設備基本上都須要有多臺服務器進行業務分擔，這樣才能 提升性能，避免處理瓶頸的出現，所以，須要採用合理的負載均衡和負載保護機制對各服務器的業務流量進行有效地分擔，可按照Round Robin、LRU（Least Recently Used）等方式來進行負載均衡；另外，負載保護機制須要實時地對每臺服務器的CPU資源、內存資源等進行評估，若是一旦超過設定的閾值（80%或者以上），將立刻進行過載保護，從而保證服務器自身的安全。

一般，有2種實現方式。一種是購買成熟的硬件負載均衡產品，如F5等來對網站的流量進行控制和分流，以保證後臺各服務器的流量均衡以及高可用，不過花費較高；一種是經過使用開源系統軟件LVS（Linux Virtual Server，Linux虛擬服務器）、Nginx（Engine X）等負載均衡軟件來構建應用，這樣能夠節約必定的資金。

2.2  強化用戶訪問控制

設計好的訪問控制策略和手段，能夠從很大程度上避免非法用戶的訪問，從而保護企業門戶網站安全。目前適合企業門戶網站的認證方式以下，能夠採用一種或者結合幾種方式：

l         用戶名+密碼：最爲傳統的驗證方式；

l         數字證書：對於重要的Web系統應用，須要根據PKI（Public Key Infrastructure，公鑰體制）機制，驗證用戶提供的證書，從而對用戶身份認證（一般狀況下是服務器對客戶端認證，也能夠創建雙向認證，即用戶對服務器進行認證，以防止假冒的非法網站），並確保交易的不可抵賴性。證書的提供能夠採用兩種方式：

1)        文件證書：保存在用戶磁盤和文件系統上，有必定的安全風險；

2)        USB設備存儲的證書：保存在USB設備上，安全性很高。

2.3  加密通訊數據

能夠採用成熟的SSL（Secure Socket Layer，安全套接字層）機制，來保證Web系統數據的加密傳輸和用戶對Web系統服務器的驗證。對於使用Web瀏覽器的網上系統應用，採用SSL+數字證書結合的方式（即HTTPS協議），保證通訊數據的加密傳輸，同時也保證了用戶端對服務器端的認證，避免用戶被冒充合法網站的「釣魚網站」欺騙，從而泄露機密信息（用戶名和密碼等），形成不可挽回的經濟損失。

在使用SSL的過程當中，首先須要申請好相應的數字證書。通常來講，有兩種處理方法。

1)        一種是申請權威機構頒發的數字證書，如VeriSign，GlobalSign等機構頒發的數字證書，這須要必定的費用，好處是當前幾乎全部的主流瀏覽器都可以很好地支持，也就是隻須要在企業門戶網站的服務器上部署該證書即能在客戶端和服務器端創建SSL加密通道；

2)        另外一種是由企業使用OpenSSL等開源工具來生成相應的根證書和服務器證書，這樣可以節約一大筆費用，可是缺點是主流瀏覽器並不能很好地支持，須要在客戶端和服務器端分別部署根證書和服務器證書，這樣在客戶端很是多的時候很差處理，同時用戶體驗也不好。

2.4  作好風險控制

風險控制是在***發生前對企業門戶網站使用***測試等技術手段來挖掘、分析、評價，並使用打補丁、實施安全技術和設備的辦法來解決網站可能存在的各類風險、漏洞。這須要週期性、自發地對Web系統的漏洞進行自我挖掘，並根據挖掘的漏洞經過各類安全機制和補丁等方式進行防禦，以有效地避免「零日***」等。

目前，企業門戶網站能夠經過使用端口掃描、***模擬等方式來對企業門戶網站的開放端口、服務、操做系統類型等進行獲取，並利用其相關漏洞進行***測試。並根據測試的結果來經過各類方式加固該系統的安全，以免被***等利用來進行***。

2.5  健全訪問日誌審計

企業門戶網站做爲開放門戶，且基於HTTP協議，所以在用戶訪問時會產生大量的訪問日誌。網站管理者須要對這些日誌進行詳細地記錄、存儲，並以備往後的分析取證。實踐證實，不少的拒絕服務***以及其餘***方式都會在系統中留下日誌，好比IP地址信息、訪問的URL連接等，這均可以做爲網站管理員的審計素材，爲阻斷***的下一次進攻，保證網站安全打下基礎。

2.6  事前災難備份

任何系統都不能說100%的安全，都須要考慮在遭受***或者是經受天然災害後的備份恢復工做，須要着重考慮以下幾點：

1)        選擇合適的備份策略，作好提早備份，包括全備份、差分備份、增量備份等等

2)        選擇合適的備份介質，包括磁帶、光盤、RAID磁盤陣列等

3)        選擇合適的備份地點，包括本地備份、遠程備份等等

4)        選擇合適的備份技術，包括NAS、SAN、DAS等等

5)        做好備份的後期維護和安全審計跟蹤

2.7  統籌安全管理

企業門戶網站系統通常功能複雜，業務數據敏感，保密級別比較高，而且對不一樣管理人員的權限、角色要求都不盡相同，爲了保證安全管理，避免內部管理中出現安全問題，建議做以下要求：

1)        嚴格劃分管理人員的角色及其對應的權限，避免一權獨攬，引發安全隱患；

2)        做好服務器機房的物理條件管理，避免電子泄露、避免因爲靜電等引發的故障；

3)        應做好服務器管理員的賬號/口令管理，要求使用強口令，避免內部人員盜用；

4)        做好服務器的端口最小化管理，避免內部人員掃描得出服務器的沒必要要的開放端口及其漏洞，實行內部***；

5)        做好服務器系統軟件、應用軟件的日誌管理和補丁管理工做，便於審計和避免因爲安全漏洞而遭受到內部人員的***；

6)        根據業務和數據的機密等級需求，嚴格劃分服務器的安全域，避免信息泄露。