水利行业网站安全管理研究

付 静，姚 葳，杨 非

（1. 水利部水利信息中心，北京 100053；2. 北京金水信息技术发展有限公司，北京 100053）

水利行业网站安全管理研究

付 静1，姚 葳2，杨 非1

（1. 水利部水利信息中心，北京 100053；2. 北京金水信息技术发展有限公司，北京 100053）

水利行业网站在形象宣传、信息发布、公众服务、互动交流上发挥着不可替代的积极作用。面对日益复杂的安全形势，从现阶段水利行业网站安全现状出发，分析当前面临的安全威胁，提出对水利行业网站安全进行防护的对策和展望，为水利行业网站安全管理提供参考。

水利行业网站；网站安全；安全防护

0 引言

随着水利信息化建设的不断深入，水利行业网站发挥行业优势，整合各类资源，在加强水利宣传，增进信息沟通，促进水利发展，提供优质社会服务等方面发挥着不可替代的积极作用，社会影响巨大。然而，信息技术的飞跃发展，针对网站的攻击和入侵手段也随之变化多样且层出不穷，如网站内容被篡改，页面被植入暗链木马，DDoS 攻击造成网站服务中断等安全事件时有发生，并呈现日趋严重的发展态势，网站一旦受到外界攻击或内部损坏，就会产生一系列不良影响，甚至产生巨大损失。在日益复杂严峻的安全形势下，如何采取科学可靠的安全防护措施保障水利行业网站的安全，是一项亟待解决，刻不容缓的重要问题[1]。

1 水利行业网站安全现状

水利行业网站安全现状因网站建设的时间、技术、资金投入、运维模式的不同呈两极分化现象。以水利部门户网站为代表的具有政府职能的水利行业网站基本都已经建立了安全运行长效机制，水利部门户网站 2012年就已顺利通过国家信息安全等级保护三级测评。水利部各司局及部分事业单位等子站已改变原有的各自为战的运维模式，统一纳入水利部网站信息发布管理平台进行集约建设，在统一的水利信息网络安全保障体系下，进行重点防护和加固，配有相关网站安全产品和灾备设施，制定网络安全管理制度，强化网络安全检查，提升应急处置能力，运行状况良好。目前网站日均防范 1.5 万余次网络攻击，敏感性词实时监控有效扫描日均 4 000 余条，迄今为止，未发生一起重大安全事件。

但由于水利行业网站涉及层级多，范围广，部分水利行业网站目前仍然存在着安全隐患，尤其是地市级以下的网站安全问题尤为突出，存在安全防护措施缺失，应急处置手段缺乏，安全监督不到位等问题[2]。特别是早期开发建设的网站系统，往往为了满足服务需求，定制开发独有的 Web 应用，这些应用开发周期短，变更频繁，存在不同程度的安全问题。而定制化的特点决定了这些应用整改不及时，周期长，难以施行，或者没有通用补丁可用，安全隐患较大。部分水利行业网站不重视网站技术投入，网站上线运行后，网站日常维护人员只粗略了解计算机简单操作，不具备网络技术和网站安全防护知识，更谈不上做好网站的安全管理工作，网站被攻击或损坏的时候才临时找技术人员解决，经常是头痛医头，脚痛医脚，缺乏根治问题的技术手段和能力，安全事件时有发生。网站应急响应滞后，在遭到病毒感染、黑客攻击造成故障或数据损坏后，才意识到网站安全出现问题；特别是针对一些表面上对网站服务没有影响的攻击，如网页被植入暗链，服务器被挂上木马，甚至被控制成为傀儡机时等更是毫无防范。

网站安全是一个动态的问题，需要系统治理。随着互联网安全形势的变化，网站也需要采取不同的应对，这就需要持续不断地完善软硬件环境和信息安全设施，不断利用主流技术措施，强化网站安全防护保障能力，构建有效的网站安全防护保障体系，保障网站长期高效稳定运行。

2 水利行业网站安全问题分析

水利行业网站安全问题既有外界干扰因素，又有内部存在的弊端；既有显而易见的问题，又有潜在安全隐患。

2.1 互联网安全威胁

信息技术创新发展伴随的安全威胁与传统安全问题相互交织，各种网络攻击事件层出不穷。当前面临的安全风险不断加大，安全威胁主要存在以下4 个方面：

1）针对网站的恶意攻击，特别是来自境外的网站攻击事件频繁发生，这些攻击依托商业攻击平台和互联网黑色产业链数据等成熟资源，技术门槛低，溯源分析难度大，其中具有国家背景的黑客组织发动的高级持续性威胁（APT）攻击事件直接威胁网站安全[3]。

2）大流量 DDos 攻击导致网站服务被迫中断，且攻击时长和频度不断攀升。攻击来源于 24 h 在线的物联网智能设备，由于这些设备感染恶意程序后不易被用户察觉，容易形成“稳定”的攻击源，成为对网站攻击的主要手段。

3）网站相关的操作系统、网络设备、数据库、Web 应用等多个层面安全漏洞数量激增，直接威胁网站安全。2016年，通过国家信息安全漏洞共享平台（CNVD）对外通报的高危漏洞就高达 4 146 个，涵盖多家产品。

4）病毒爆发，如 2017年 5月发生的敲诈勒索软件病毒肆虐，该病毒采用加密重要数据或关键设备的手段，胁迫用户支付解锁费用。一旦网站的服务器系统和重要数据资料被加密锁死，将直接造成网站对外服务的瘫痪。

2.2 网站自身安全隐患

除了外部威胁，网站自身内部在代码和运维安全、安全防御手段等层面可能还存在以下隐患：

1）网站开发代码质量。在网站开发过程中，除网站信息发布功能外，可能还存在较多的客户端与服务端的复杂交互场景，若使用了存在漏洞的不规范编程语句，这些代码漏洞极易被黑客利用对网站进行脚本攻击，造成网站数据库被注入和挂马等现象。在早期建设的水利行业网站中，这一问题尤为突出，越是老的网站模板，存在的漏洞可能越多，网站越可能被注入、挂马。部分水利行业网站，在网站重新改版上线后，继续保留网站历史版本，会导致旧网站的安全漏洞又变成了新网站的安全隐患。

2）网站安全运维水平。网站的安装部署运行如果直接使用系统及设备默认的配置，未进行安全定义和策略实施部署，与会话管理和身份认证相关的功能得不到正确实现，缺少对访问权限的验证，系统组件总是以全部权限运行，只要一个带有漏洞的组件被利用，就可能造成连锁反应，造成数据丢失或系统防御失效，导致攻击者可以冒用其他用户身份进行破坏性操作。另外网站运维人员安全意识薄弱、配置不当、口令选择不慎等造成的安全问题，也会给网站的安全带来一定的威胁。

3）安全防御手段。网站的安全防御大多数基于特征识别的入侵防御或内容过滤技术，属于仅依赖于网络层面的安全防护手段，对保护网站信息内容安全的效果不佳。一旦网络安全技术防护被突破，网站无法阻断黑客攻击，会轻松被黑客获取网站控制权限。

4）网站信息安全监管。信息作为网站的核心价值，更应作为网站安全的重要组成部分。对网站信息的管理内容不经审核就上网，对网站文字错误、断链、错链等问题缺少管理手段，存在长期无人管理的废弃栏目，这些隐患都应引起关注。

3 水利行业网站安全防护对策

面对日益复杂严峻的安全形势，需要水利行业网站从安全预警监测、日常运维管理、技术防御手段和内容安全保障、运行环境等方面采取针对性措施。

3.1 增强网站技术防御手段

1）部署专业的防篡改和注入系统，有效阻断针对网站应用层的攻击及挂马风险，强制访问控制对用户数据文件进行一致性校验，保障网站前后台数据的一致性。采用脱敏检查比对确保合法用户对敏感信息的安全访问，有效避免保密违规行为的发生。

2）通过动态策略控制，在网站运行中对加载的重要应用程序和服务进行可信验证，建立可信存储和报告机制，根据规则确保用户合法访问网络资源，限制恶意网站对终端的攻击行为，减少攻击所带来的危害，基于白名单技术控制网站信息存储、处理、传输的机密性和完整性，以及 Web 服务和应用程序的完整性，只允许白名单内受信任的用户和应用执行，确保网站运行的可信计算环境。

3）部署 UWS 等应急保护及灾备系统，使网站服务器的操作系统、应用和数据生成多版本快照。在必要时可以通过 UWS 系统实现回滚到其它不同时刻的版本，从而快速恢复到网站可用状态。同时UWS 也可作为网站临时备机提供访问服务。当被保护服务器发生硬件损毁需要更换时，也可以通过UWS 实现网站系统及数据的即时迁移。

4）在部署网站防火墙和入侵检测系统等网络层面的安全防护设备基础上，有条件的单位可以部署网站防火墙（WAF），持续分析告警日志，通过优化和调整安全防护策略，可对攻击进行迅速且精准的拦截，帮助用户降低网站安全风险，对外部扫描、探测、入侵等行为能快速发现及告警，并阻断外部病毒、木马对网站系统的传播。

5）部署异地容灾备份系统，发生不可抗力灾难时，可使用异地备份系统快速接管网站服务，保障网站运行的连续性。

3.2 建立有效的网站安全预警监测

1）充分依托已建的水利信息网络安全保障体系，将水利行业网站纳入并进行统一管理，协同网络安全技术人员，快速明确攻击范围，对攻击网站的行为进行针对性的实时阻截防御。

2）定期扫描网站风险漏洞，利用专用的系统漏洞扫描程序构建自动化扫描平台，借助专用的漏洞检测数据库，构造各种类型的“异常”提交参数，模拟 Web 前端与实际的 Web 应用程序通信，探测各种已知和未知的漏洞，从而及时发现系统中存在的安全缺陷，找到攻击者远程突破网站安全防护的可能性，提前解决外界入侵威胁。

3）长期进行网站安全监测，通过网站域名从网站外部对网站的可用性、完整性等方面进行监测。通过全国各地运营商网络线路，远程实时监测目标站点在多种网络协议下的响应速度、首页加载时间等反映网站性能状况的内容。与国家安全部门及水利部安全管理机构建立安全预警监测长效沟通机制，及时发现、处置潜在的安全风险。

4）通过大数据技术手段对各网站系统相关安全设备日常采集到的安全事件记录日志进行未知威胁分析处理，融合各安全要素信息并分析内在联系，得出态势值衡量当前网站整体安全状况，并预测下一阶段变化趋势。

3.3 完善网站日常运维

1）使用堡垒主机对网站进行日常运维，通过运维账号的集中管理、认证授权及用户的操作行为审计等策略对网站安全进行有效的控制。结合统一用户身份认证系统，采用密钥 Key 等软硬件结合的安全策略，先由计算机识别连接在 USB 接口上的密钥，再进行堡垒主机的登录，实现对管理用户身份的准确鉴别及权限的严格控制，进一步增强网站防护。

2）第一时间对操作系统、数据库等关键软件进行修补或者版本升级，以防黑客利用系统漏洞和弱点非法入侵。实时监测网站服务器系统状态和流量，出现异常情况应对照内置规则集和自定义规则进行访问控制，做好网站日常安全审计，快速准确发现日常系统管理违规情况。定期对网站进行渗透测试，发现网站深层次逻辑弱点并进行修复。

3）网站系统的开发、调试过程均遵循规定的安全编码原则和建设要求。借助专业设备及外部技术力量，在网站正式上线对外提供服务前，完成对网站代码扫描和安全渗透测试，及时修正发现的风险漏洞，从源头遏制网站挂马、SQL 注入和跨站脚本攻击等行为，提升网站的抗攻击能力。按照国家信息系统安全等级保护要求，通过信息系统安全等级保护测评。

4）建立完整规范的关键数据备份恢复机制，对应用、系统、数据及底层驱动的信息进行逐日增量备份，发生服务故障时，能够快速恢复，减少影响时间和损失。

3.4 保障可靠的网站运行环境

1）将网站部署于可靠、安全的专业机房中，能够为网站的稳定运行提供良好的物理环境支撑，保障系统运行所需的电力供应，避免因灰尘、水浸、雷电、非法人员接触等造成的安全风险，降低自然风险隐患带来的破坏。

2）支撑网站运行的服务器和后台管理系统要遵循最小化原则进行权限设置，且确保系统的高可用性。有条件的水利行业网站可采用网站集群，增强网站的可靠性。应确保至少有 1 台其他服务器作为备机，当集群中 1 台网站服务器不可用时，备机能自动接管故障服务器提供服务，允许集群内部分节点掉线、故障或损坏而不影响整个网站的正常运作。

3）确保网站所在网络环境可靠，满足网站关键访问及应用调用过程中的带宽需求，保障正常业务高峰不受带宽影响限制，并为网站系统提供冗余的关键链路及设备，避免因单一网络链路故障造成影响。

3.5 做好网站信息内容的安全保障

1）网站信息内容的发布应严格遵守国家关于网络和网站的有关法律、法规、规定、办法及水利部相关规章制度，严禁涉密信息上网并落实责任到人，避免泄密违规行为的发生。

2）在网站后台前置内容纠错系统，跟踪监测网站后台编辑发布的信息，提高内容质量。建立信息追溯管理机制，实现信息处理流程的可跟踪、追溯，以及数据变化的可监测、还原。

4 水利行业网站安全展望

随着《水利网络安全顶层设计》的出台和逐步实施，水利部提出水利网络安全总体框架，要求在统一安全策略的指导下，以水利信息化基础设施、数据资源和业务应用等为安全保护对象，以组织管理、监督检查作为推进安全工作的基础保障，加强监测预警、纵深防御、应急响应 3 个方面安全能力的建设[4]。

水利行业网站作为水利重要信息系统之一，传统的、各自为战的网站建设和运维模式已经无法对抗互联网时代网站安全的全面挑战，满足日渐提高的水利行业网站安全稳定运行需求。基于“互联网+”的云模式下的水利行业网站建设将是发展方向，特别是缺乏网站安全防护技术力量的单位和部门，应尽早将网站转移至上级水利行业主管部门统一的网站管理平台下，进行统一的安全运维管理。

水利行业网站安全要在水利信息化统一安全策略下，充分运用水利网络安全构建的纵向联动整体防护体系，全面保障网站涉及的基础设施、数据资源和应用安全，强调网站内容和服务的安全。健全网站组织管理，明确责任分工，落实安全责任，完善包括工作制度、流程、规范和操作规程在内的网站安全管理制度；强化监督检查，建立常态化的网站安全监督检查机制。在水利网络安全整体技术体系下，不断提升网站监测预警、纵深防御、应急响应的三大能力。网站安全运维人员的素质和能力直接影响网站安全问题的解决，因此，持续不断的网站安全技术培训是各水利行业网站需要注意加强的，只有提高网站工作人员对安全的认知，才能降低网站的安全风险。

水利行业网站安全建设不是一朝一夕间就能解决的事情，需要长期坚持，并且能够随着网站业务目标的变化、流程的调整、成熟度的丰满而不断与时俱进。在整个网站安全建设过程中，都要本着解决问题的思路，并且要符合自身实际业务情况，实事求是，才能将网站安全运营的效力更好地发挥出来。

5 结语

水利行业网站安全是综合的动态系统工作，安全问题解决的好，网站才能真正发挥应有作用。提出的网站安全防护对策，还需要通过各单位结合自身业务特点，进一步实践、深化和完善。如何在水利信息系统安全保障体系下，综合应用多种安全措施，共同构筑水利行业网站安全防护的铜墙铁壁，树立水利行业良好形象，是未来需要深入研究的方向。

[1] 蔡阳. 水利信息化“十三五”发展应着力解决的几个问题[J]. 水利信息化，2016 （1）: 1-5.

[2] 付静，周维续，曾焱. 水利信息系统运维体制与机制建设的几点思考[J]. 水利信息化，2016 （4）: 53-58.

[3] 国家计算机网络应急技术处理协调中心. 2016年我国互联网网络安全态势综述[A]. 北京：国家计算机网络应急技术处理协调中心，2017.

[4] 水利部网络安全与信息化领导小组办公室. 水利网络安全顶层设计[A]. 北京：水利部网络安全与信息化领导小组办公室， 2016.

Research on website security in water conservancy

FU Jing1, YAO Wei2, YANG Fei1

（1. Information Center, the Ministry of Water Resources, Beijing 100053, China；2. Beijing Jinshui Information Technology Development Co. Ltd, Beijing 100053, China）

With the deep construction of water resources informatization, water conservancy website plays an irreplaceable and positive role in image publicity, information release, public service and interactive communication. However, the security of the water conservancy website has become the focus of current informatization construction under the increasingly complicated security situation. According to the current situation of water conservancy at the present stage of website security, the paper analyses the current security threats which we are facing, proposes corresponding countermeasures and prospects and provides references for website safety management.

water conservancy website; website security; security defense

TV211；TP393.07

A

1674-9405（2017）03-0024-05

2017-05-16

付 静（1976-），女，北京人，教授级高工，从事水利信息化有关工作。

10.19364/j.1674-9405.2017.03.006