Web的安全威胁与安全防护

□文/罗惠君

Web的安全威胁与安全防护

□文/罗惠君1，2

本文对Web的安全威胁进行分析，提出Web安全防护措施，并基于Windows平台，简述一个Web安全防护策略的具体应用。

Web；网络安全；安全防护

随着Internet的发展，Web应用渗透到了人们生活中的各个角落。如今，Web业务平台已经在电子商务、企业信息化中得到广泛应用，很多企业都将应用架设在Web平台上，Web业务的迅速发展也引起了黑客们的强烈关注，他们将注意力从以往对传统网络服务器的攻击逐步转移到了对Web业务的攻击上。针对Web网站的攻击呈现规模化、隐蔽化趋势。Web威胁所具备的渗透性和利益驱动性，已经成为当前网络中增长最快的风险因素。网络罪犯已经逐渐将Web作为从事恶意活动的新途径，Web安全威胁已经成为对企业来说最为猛烈的攻击之一。

Web攻击的最终目标是企业数据和获取商业利益。对付Web威胁，传统的防护模式已不能够有效化解越来越多的Web攻击者将合法网站做目标。尽管大多Web2.0网站自身都会采取防挂马、防注入等保护措施，但研究结果显示：社区驱动型安全工具在保护Web用户避开不良内容以及安全风险方面是无效的。面对来势汹汹的新型Web威胁，传统安全措施无法跟上Web内容不断变化的步伐。一方面恶意软件也可能出现在声誉良好、受到大家信任的网站上，就像出现在其他网站恶意上一样容易；另一方面网络应用程序越来越多，传统的防护模式已经力不从心，即便是如今已经运用的非常成熟的“病毒特征码查杀”技术，随着病毒爆发的生命周期越来越短，其传统的安全系统防御模型更是滞后于病毒的传播，用户只能处于预防威胁-检测威胁-处理威胁-策略执行的循环之中。即使利用市场上现有最快速的反病毒系统和服务机制，企业仍然不能防范最新的威胁，因为服务方往往无法及早和完整地介入整个新病毒事件。

Web安全问题基本解决方案：

1、确定Web安全目标。根据网站所处的环境、网站本身的目标和风险程度等因素来确定Web安全目标。如，Web服务器是在Intranet中使用还是面向Internet，Web网站是否代表整个企业或组织？它是否用作电子商务或电子政务？

2、实施整体安全方案。由于Web安全涉及的因素较多，必须从整体安全的角度来解决Web安全问题，实现物理级、系统级、网络级和应用级的安全。一般从以下几方面实施：第一，提高操作系统的安全性，确保服务器本身的安全；第二，部署防火墙阻止外部非法访问和入侵；第三，控制内部非法访问和入侵；第四，Web服务器本身的安全配置；第五，Web应用程序和脚本编程安全；第六，后端数据库的安全；第七，Web通信安全；第八，保护数据和应用的其他安全措施；第九，Web安全测试和评估。

为综合检测Web安全，需要使用漏洞扫描和风险评估工具定期对Web服务器进行扫描和测试，及时发现和解决安全问题。就目前情形来看，安全漏洞集合是导致Web服务器遭受攻击的主要因素，因此应在攻击者发动攻击之前，及早发现网络上可能存在的安全漏洞并加以弥补。

安全扫描和评估简介：

1、安全扫描是对计算机系统或者其他网络设备进行与安全相关的检测，以找出安全隐患和可能被黑客利用的漏洞。安全扫描软件是把双刃剑，黑客利用它入侵系统，而系统管理员掌握它以后又可以有效地防范黑客入侵。安全扫描只是简单将检测结果罗列出来，直接提供给测试者，而不对信息进行任何分析处理。安全评估除了具备最基本的安全扫描功能外，还能够对扫描结果进行说明，给出建议，对系统总体安全状况作总体评价，同时以多种方式生成包括文字图表等内容的评估报表。

2、扫描工具。从安全扫描范围来看，此类工具可分为两大类：专项扫描工具和综合扫描评估工具。专项扫描工具有专门端口扫描工具、针对特定应用和服务的扫描工具（如扫描Web服务器及CGI安全漏洞的Stealth等、针对SQL Server的SqlExec）。综合扫描评估工具的扫描内容非常广泛，扫描结果报告翔实，并给出相应的解决办法，非常适合管理员的系统评估测试。综合扫描评估工具一般都是商用软件。从安全评估技术来看，此类工具可分为两大类：一类是基于网络的扫描工具，如ISS公司的Internet Scanner、AXENT公司的NetRecon等，通过网络远程探测其他主机的安全风险漏洞，还可通过模拟攻击测试系统的防护能力；另一类是基于主机的扫描工具，如ISS公司的System Scannet，AXENT公司的ESM，用于测试服务器本身的安全漏洞，一般需要在所测试的主机上安装相应的代理软件且实施起来不方便。对于Web服务器的安全测试评估来说，可以纳入整个企业网络的整体安全评估，也可以独立地进行安全评估。由于Web安全所涉及的范围较广，除了Web服务器本身安全外，还有所在系统的安全，在选择测试评估软件时，应考虑测试内容的全面性。

对于中小企业的Web服务器，出于成本方面的考虑，可选择一些免费的、具有综合测试能力的工具软件，如X-Scan。对于基于微软产品的Web服务器来说，可选择微软公司提供的MBSA（Microsoft Baseline Security Analyzer，可译为微软基准安全分析器），该工具可以评估特定微软产品中的任何漏洞和弱点，而且是免费的。

3、安全评估评价标准。在实现了对Web服务器的安全扫描后，便可根据扫描结果，对服务器的安全性能进行评估，给出服务器的安全状况。下面给出一个大致的评价标准。需要特别注意的是：评价标准应该根据应用系统、应用背景的不同而有相应的改变，并不存在绝对的评估标准。

A级：扫描结果显示没有漏洞。虽然这并不表明没有漏洞，因为有许多漏洞是尚未发现的，但我们只能针对已知的漏洞进行测试。

B级：具有一些泄漏服务器版本信息之类的不是很重要的漏洞，或者提供容易造成被攻击的服务，如允许匿名登录，这种服务可能会造成许多其他漏洞。

C级：具有危害级别较小的一些漏洞，如可以验证某账号的存在，可以造成列出一些页面目录、文件目录等，不会造成严重后果的漏洞。

D级：具有一般危害程度的漏洞，如拒绝服务漏洞，造成服务器不能正常工作，可以让黑客获得重要文件的访问权的漏洞等。

E级：具有严重危害程度的漏洞，如存在缓冲区溢出漏洞、存在木马后门、存在可以让黑客获得根用户权限或根用户的shell漏洞以及根目录被设置为一般用户可写等一些后果非常严重的漏洞。通过安全评估后，用户则可以根据情况采取措施，包括给系统打补丁（从技术网站上下载）、关闭不需要的应用服务等来对系统进行加固。可以看出，漏洞扫描、安全评估、采取措施是一个循环迭代、前后相继的流程，用户可以在使用中多加揣摩，从而保证网络系统的安全。

（作者单位：1.重庆大学软件工程学院；2.东莞市公安局清溪分局）

[1]蔡立军.网络安全理论及应用[M].北京：中国水利水电出版社，2006.

[2]鲍友仲.网络安全之防黑秘诀[M].北京：电子工业出版社，2005.

F49

A