基于云环境下应用系统的安全防护建议

马 薇，王 娟，张 晖

（机械工业信息中心，北京 100040）

1 影响应用系统的安全因素分析

随着信息化、智能化的高速发展，各单位、企业的网站所承载业务的数量、面向对象的方向及重要性日渐增加，其面向公众的性质也发生了重要变化。服务器被攻击、网页被篡改、网络钓鱼、SQL 注入、跨站运行脚本、勒索病毒肆虐等攻击事件每天都在发生，严重影响各单位在线办公的正常运转、影响人们对所浏览网站公信力的认可度。究其原因，影响云环境下应用系统安全的主要因素有以下四个方面：

1.1 网络安全环境配置低

网络安全环境配置的高低是影响应用系统安全的第一重要因素，好比一座华丽的房子却没有匹配的门锁，自然很容易被破门而入。应用系统被攻击，为各单位带来巨大的政治风险，使部分单位的名誉损失、公信力下降，甚至还要承担法律责任，这已经成为在线业务健康发展的一个巨大障碍。

1.2 管理意识不足

一些单位存在重应用轻安全的现象，没有制定严格的安全管理制度，或者制定了制度，也没有严格执行。部分管理人员缺乏安全管理意识，其采取的安全防范措施存在不足，存在这样那样的漏洞，导致服务器或应用系统很容易被攻击破坏。

1.3 应用系统没有及时升级更新

随着新技术的发展，应用系统也应该保持一定频率的升级更新。面对来自全球范围的网络攻击，一些运行多年的应用系统如果不及时进行代码升级，就容易被攻击破坏，其维护人员也会在不断的攻击中疲于应付，即便如此，也难免出现数据丢失甚至被毁的后果。

1.4 技术人员技术没有及时提升

技术人员自身的计算机安全防范能力有限，无法有效的抵御外部攻击或系统自身漏洞引发的运行障碍，进而导致应用系统在运行过程中出现了严重的安全风险。

2 应用系统的安全防护措施

要想做好应用系统的安全防护、保证防护工作的有效性，需要从以下几个方面来深入考虑：

2.1 制定严格的安全管理制度

目前，国家对网络安全保护方面的工作有了明确的法规，先后出台了《计算机信息网络国际联网安全保护管理办法》（公安部令第33号2011.1.8修订）和《中华人民共和国网络安全法》（中华人民共和国主席令第五十三号2016.11.7）等法规。法规中都明确提出了国家实行网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。要想保证应用系统的安全性，管理人员在进行内部人员工作行为的管理时，应该结合相关法规制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任，并严格执行管理制度，真正达到约束员工行为，保证应用系统运行安全的目的。

2.2 提高网络安全环境配置

一般的云平台上都有基础的防护措施和攻击提醒，但是要保障服务器及应用系统的安全还远远不够，要想提高安全防护工作的效率和质量，配置更高级的网络安全环境十分必要。云WAF 应用防护可以为应用系统提供防攻击（跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie 假冒、认证逃避、表单绕过、非法输入、强制访问）、防篡改（隐藏变量篡改、页面防篡改）、防CC 攻击等安全防护；云DNS、云堡垒机的使用也能有效减少黑客对服务器的攻击；同时安装在服务器本身的安全防护软件也必不可少，能有效检测到大部分病毒文件并清理。

2.3 应用系统程序更新

在应用系统的规划、建设与管理过程中，技术人员应本着“安全重于应用，安全促进应用”的原则开展相应的防护设置工作，从系统架构、代码编写到系统部署都要考虑到安全问题，从底层到页面都尽量做到防攻击、防注入、防篡改。有条件的单位或组织可以对应用系统进行周期性的代码重构或加固。

2.4 安全检测及防护软件更新

技术人员应定期对服务器进行漏洞检测和补丁安装，定期检查服务器安全策略和日志，以及时发现应用系统存在的安全问题，及时采取安全防护措施。在健全的监督管理机制下，技术人员要严格按照系统安全管理制度的工作流程定期对系统的运行状态进行安全检查，使用专业的木马、病毒查杀软件对应用系统的运行环境进行全面扫描，以此来消除系统运行过程中潜在的安全隐患问题。同时，防护软件也要定期更新，一成不变的安全防御系统无法检测出新型的网络病毒，因此，这就对技术人员的工作能力提出了更高的要求。

2.5 技术人员水平提高

技术人员应该定期接受专业的培训教育工作，对云环境下新型的防护技术及时掌握，全面提高自身的工作能力和业务水平。必要的话还需要进行安全防御程序的编写工作，技术难度较高，需要静下心来潜心研究。

3 结束语

由于网络环境的复杂性，导致云环境下应用系统容易受到网络病毒的攻击。数据丢失、文件被篡改的情况时常可见，应用系统陷入瘫痪、服务器崩溃的现象也屡见不鲜，因此各单位必须要制定出科学的网络安全防护计划，做好安全防护措施，提高专业技术水平，保障云环境下应用系统的安全性、稳定性和信息的保密性。