门户网站防篡改解决方案

郑龙凤 中国移动通信集团上海有限公司视频运营中心系统维护部，上海市 200233

摘 要

通过现有门户网站的内容发布功能，部署Web应用深度防御系统设备、Web应用弱点扫描系统设备、网页防篡改软件系统，将主动防御、主动评估、被动保护、集中监控、统一发布、集中管理等多方面功能有机结合，形成门户网站防篡改的综合防护解决方案。

关键词

门户网站；Web应用深度防御；Web应用弱点扫描；网页防篡改

门户网站防篡改解决方案

郑龙凤 中国移动通信集团上海有限公司视频运营中心系统维护部，上海市 200233

摘 要

通过现有门户网站的内容发布功能，部署Web应用深度防御系统设备、Web应用弱点扫描系统设备、网页防篡改软件系统，将主动防御、主动评估、被动保护、集中监控、统一发布、集中管理等多方面功能有机结合，形成门户网站防篡改的综合防护解决方案。

关键词

门户网站；Web应用深度防御；Web应用弱点扫描；网页防篡改

引言

企业的门户网站，是企业向各类客户提供产品资讯、业务介绍、最新动态、客户服务、公司简介、新闻动态、企业文化等各方面信息的重要渠道，是客户了解企业各方面信息的重要窗口。

但随着互联网技术的不断发展，各类新型的网络攻击手段也层出不穷。而企业的门户网站由于直接暴露在互联网之上，在企业向客户提供通过浏览器访问企业信息功能的同时，企业所面临的风险也在不断增加，也就成了各类攻击者所攻击的主要对象。如今，以网页篡改和针对Web应用程序安全漏洞的网络攻击的安全事件正在大幅攀升。

网页篡改事件的危害十分巨大，不仅会影响用户正常获取相关资讯，若被篡改的内容涉及政治、淫秽色情等方面的内容，还将对企业产生不可估量的负面影响；另外一些别有用心的人可能会利用对网页进行语义篡改，散布谣言，引起民众不必要的恐慌和猜疑，这些都会直接对企业形象造成严重损害。

纵览典型的门户网站，均缺乏对直接篡改静态或动态网页文件和通过SQL注入、跨站等方式将恶意代码植入后台数据库达到动态篡改网页或网站挂马等攻击手段的有效防护。容易被不法分子利用，进行页面篡改以达到传播反动、淫秽色情等内容的目的，影响用户正常获取企业相关信息，并将对企业形象造成巨大的负面影响。在本方案中将通过部署相关的安全防护软硬件，从主动和被动防御的角度充分保护门户网站页面免遭篡改，确保门户网站的安全稳定运行，保护企业形象。

一、现状分析

门户网站系统通常的网络结构模型如下图所示：

从上图可见，门户网站的安全防护通常依靠门户网站系统对外接口处部署的防火墙以及核心网络部署的抗DDoS攻击设备进行安全防护。

但传统防火墙作为访问控制设备，主要工作在OSI模型三、四层，基于IP报文进行检测。设计之初，它就无需理解Web应用程序语言如HTML及XML，也无需理解HTTP会话。因此，它也不可能对HTML应用程序用户端的输入进行验证、或是检测到一个已经被恶意修改过参数的URL请求。恶意的攻击流量将封装为HTTP请求，从80或443端口顺利通过防火墙检测。所以防火墙对网页篡改、网页挂马、SQL注入、跨站脚本等这类攻击手段无法采取有效防护。而抗DDoS攻击设备由于也主要工作在OSI模型三、四层，也无法对应用层攻击进行防护。

攻击者往往通过直接篡改静态或动态网页文件或通过SQL注入、跨站等方式将恶意代码植入后台数据库达到动态篡改网页或网站挂马的目的，但由于传统防火墙和抗DDoS攻击设备无法对应用层攻击进行防护，且Web服务器本身也没有相应的防护手段，容易使攻击者有可乘之机。

二、优化方案

根据上述分析，提出优化及安全加固解决方案如下：

1、在系统中部署内容发布服务器，并在其上部署网页防篡改的发布模块及监控模块软件。

1)发布模块实时检测需要发布内容的文件目录的变化，有文件删除、修改、新增，发布模块都会通过SFTP方式同步到同步模块中进行内容发布；

2)监控模块提供统一监控功能和界面，对各门户网站页面发布情况以及各Web服务器上部署的同步模块和防篡改模块运行情况进行集中监控，对发生的篡改事件进行记录和告警显示（并通过E-mail或短信等方式实时将页面篡改告警发送给相关系统工程师进行进一步查证和处理）。

2、在门户网站的Web服务器上安装部署网页防篡改模块（同步模块）软件，根据文件的大小、日期、内容以及门户网站的标志等特征信息生成文件的数字水印，并将数字水印以加密方式保存到数据库中，用于对指定的网页目录和文件进行实时对比监测。当发现数字水印产生变化时，则同步模块将会通过SFTP方式，从发布模块抓取原始文件进行恢复。

3、部署一套Web应用弱点扫描系统设备，用于对Web网站中所存在的SQL注入漏洞、跨站脚本漏洞、恶意代码（木马）等进行安全扫描检测，提供检测报告给系统工程师用于安全加固。该系统可用于门户网站建设过程中的安全检测，对所有门户网站在割接入网前均需进行严格的检测，确认不存在现有的安全问题后才能发布使用。并且在门户网站的运营过程中，还可定期对门户网站进行安全扫描，通过更新最新的安全插件以发现新出现的安全漏洞，并进行及时加固。

4、在核心网络出口处部署Web应用深度防御系统设备，对进入各门户网站系统的外部请求等进行7×24小时的实时主动监控，对非法攻击流量进行过滤，抵御通过SQL注入、跨站等方式将恶意代码植入后台数据库达到动态篡改网页或网站挂马的攻击。并且对于一些新出现但还未在门户网站中完成安全加固的漏洞隐患，可以起到预防的作用。

优化和安全加固后的门户网站网络结构模型如下图所示：

上述解决方案采用软件/硬件防护产品相结合的方式，实现对门户网站的实时防护。硬件产品的使用，在一定程度上减少了对服务器性能的影响；软件产品的部署又使Web服务器本身可以对各类网页文件或脚本进行实时的保护。此方案将主动防御（实时监测和过滤攻击请求流量）、主动评估（定期进行Web应用弱点扫描）、被动保护（通过数字水印技术监测网页文件和脚本是否被篡改）、集中监控、统一发布、集中管理等多方面有机结合，真正做到“防患于未然”，解决了门户网站所存在的页面篡改的隐患。

三、结语

通过门户网站防篡改解决方案的实施，将能有效解决门户网站所存在的页面篡改的安全隐患。可以确保各类客户能随时准确地获知企业的各类信息，保护企业形象不被恶意破坏。通过自动化监控及防护手段的应用，可以大大提高门户网站安全防护的工作效率，降低维护人员的工作压力，有效减少维护成本的支出，并可以有效避免由于网站无法正常运营以及企业形象遭受破坏所带来的直接和间接经济损失。

[1]杨飞.网页防篡改技术.计算机安全.2008,9:76 77

[2]上海天存信息技术公司.网页防篡改技术比较.2008

[3]杨雷.网页防篡改安全技术的研究与实现.西安:西安电子科技大学.2008

[4]丁胜.网站安全防篡改系统的研究与实现.上海:上海交通大学.2009

[5]姚滢.网页防篡改系统的研究与设计方案.计算机安全.2010

10.3969/j.issn.1001-8972.2011.13.045