一、网站安全威胁与需求分析 1.非授权访问。网站的认证机制的安全缺陷导致网站服务及信息被非授权访问。攻击者通过口令猜测及“撞库攻击技术手段，获取网站用户的访问权限。2.网页篡改。网站相关的组件存在安全隐患，被攻击者利用，恶意改网页。3.数据泄露。网站的访问控制措施不当，导致外部非授权用户获取敏感数据。4.恶意代码。网页木马是一个含有恶意功能的网页文件，其目的是使得网页访问者自动下载设置好的木马程序并执行。网页木马将导致用户账户密码私密信息泄露、终端设备被黑客连接控制。5.网站假冒。攻击者通过网站域名欺骗、网站域名劫持、中间人等技术手段，诱骗网站用户访问以获取敏感信息或提供恶意服务。6.拒绝服务。常见的网站拒绝服务攻击技术有UDP洪水（UDPFlood）、ICMP洪水（ICMPFlood）、SYN洪水（SYN Flood）、HTTP洪水（HTTP Flood）。7.网站后台管理安全威胁。网站后台管理是网站的控制中心，一旦失去控制，网站的安全就难以保障。网站后台管理的安全主要涉及管理员账号安全性、 后台管理程序安全性、内部管理权限安全性。网站安全需求涉及多个方面，主要包括物理环境、网络通信、操作系统、 数据库应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护。网站运行维护需要建立一个相应的组织管理体系以及相应的安全运维工具和平台。网站作为一个业务运行承载平台，其相关业务必须符合国家法律政策要求，如内容安全、等级保护安全测评以及数据存储安全要求。Apache Httpd是一个用于搭建Web服务器的开源软件。Apache Httpd配置文件如下。1.httpd.conf。Apache的主配置文件，httpd程序启动时会先读取httpd.conf。该文件设定Apache服务器一般的属性、端口、执行者身份等。2.conf/srm.conf。数据配置文件，主要设置www Server读取文件的目录、目录索引时的画面、CGI执行时的目录等。srm.conf不是必需的，可以完全在httpd.conf里设定。3.conf/access.conf。负责基本的读取文件控制，限制目录所能执行的功能及访问目录的权限，设置access.conf不是必需的，可以在httpd.conf里设定。4.conf/mime.conf。设定Apache所能辨别的MIME格式，一般而言，无须动此文件。 1.Apache Web软件程序威胁。Apache软件包自身存在安全隐患。攻击者利用Apache软件程序漏洞来攻击网站，特别是一些具有缓冲区溢出漏洞的程序。攻击者编写的一些漏洞利用程序，使得Apache服务失去控制，一旦缓冲区溢出成功，攻击者可以执行其恶意指令。典型实例有SQL注入、输入验证错误（Input ValidationError）。2.Apache Web软件配置威胁。攻击者利用Apache网站管理配置漏洞，访问网站敏感信息。典型实例有目录索引（DirectoryIndexing）、资源位置预测（Predictable Resource Location）、信息泄露（yxglptrmation Leakage） 。 3.Apache Web安全机制威胁。口令暴力攻击（Brute Force）、授权不当（lnsufficient Authorization）、弱口令恢复验证（Weak Password Recovery Validation）。4.ApacheWeb服务通信威胁。Apache一般情况下使用的HTTP协议是明文传递的，攻击者可以通过监听手段获取Apache服务器和浏览器之间的通信内容。5.ApacheWeb服务内容威胁。攻击者利用网站服务的漏洞，修改网页信息或者发布虚假信息。典型实例有网页恶意篡改和网络钓鱼。6.ApacheWeb服务器拒绝服务威胁。攻击者通过某些手段使服务器拒绝对HTTP应答。这使得Apache对系统资源（CPU时间和内存）需求剧增，最终造成系统变慢甚至完全瘫痪。1.Apache Web本地文件安全。Apache安装后默认设置的文件属主和权限是比较合理与安全的，可通过chmod命令修改。2.Apache Web模块管理机制。Apache软件体系采用模块化结构，这使得Apache的功能可以灵活配置。当Apache服务不需要某项功能时，就可以通过配置方式，禁止相应的模块。3.Apache Web认证机制。Apache提供了非常简单方便的用户认证机制。4.连接耗尽应对机制。攻击者发起大量http连接，但不发送任何数据，而是等待超时，将造成Apache服务器达到最大客户连接限制，从而造成其他正常的用户无法再正常访问网站。此时Apache的access_log里会出现大量错误信息，出错408（请求超时）的日志。如果网站服务器的内存和swap空间比较少，甚至会导致一些服务器崩溃。针对这种类型的攻击，Apache软件提供以下几种解决方法减少Apache超时（Timeout）设置、增大Maxclients设置。例如，修改httpd.con配置文件。Maxclients设置得越大，则要求内存也越大，否则可能会由于进程过多导致内存占满多线程下载保护机制。用户多线程下载对服务器的负载非常重，可能会导致服务器僵死。比较简单的解决方法是根据User Agent判断，把已知的多线程工具都禁止掉。5.ApacheWeb自带的访问机制。基于IP地址或域名的访问控制access.conf文件负责设置文件的访问权限，可以实现互联网域名和IP地址的访问控制如果允许192.168.×.Y到192.168.×.X的主机访问，如可以配置如下：allow from pair 192.168.X.0/255.255.255.06.ApacheWeb审计和日志。审计记录存放在access.log和error.log两个文件：access.log记录对Web站点的每个进入请求7.ApacheWeb服务器防范DoS。Apache服务器对拒绝服务攻击的防范主要通过软件Apache Dos Evasive Maneuvers Module来实现。该软件可以快速拒绝来自相同地址对同一URL的重复请求，通过查询内部一张各个子进程的Hash表来实现（简单防御）。3.为Apache Web服务软件设置专门的用户和组按照最小特权原则，给ApacheWeb服务程序分配个合适的权限，让其能够完成Web服务。5.Apache Web目录访问安全增强。对于可以访问的Web目录，要使用相对安全的途径进行访问，不要让用户查看到任何目录索引列表。6.Apache Web文件目录保护。Apache Web文件目录安全设置可以通过操作系统来实现。7.删除Apache Web默认目录或不必要的文件。Apache默认目录或不必要的文件通常会给Apache服务器带来安全威胁，为了增强Apache的安全，建议将其删除。Apache需要删除的默认目录或不必要的文件如下：Apache源代码文件；默认HTML文件；CGI程序样例；默认用户文件。8.使用第三方软件安全增强ApacheWeb服务。IIS（IntemetyxglptrmationServices）是Microsoft公司的Web服务软件，主要提供Web服务。非授权访问。攻击者通过IIS的配置失误或系统漏洞，如弱口令，非法访问IIS的资源。网络蠕虫。攻击者利用IIS服务程序缓冲区溢出漏洞，构造网络蠕虫攻击。网页篡改。攻击者利用IIS网站的漏洞，恶意修改IIS网站的页面信息。拒绝服务。攻击者通过某些手段使IIS服务器拒绝对HTTP应答，引起IIS对系统资源需求的剧增，最终造成系统变慢，甚至完全瘫痪。例如，分布式拒绝服务攻击（DDoS）。IIS软件漏洞。IIS的CVE漏洞涉及拒绝服务、代码执行、溢出、特权提升、安全旁路、XSS、内存破坏、信息泄露等。IIS安全机制：主要包括IIS认证机制、IIS访问控制、IIS日志审计。1.IIS认证机制。IIS支持多种认证方式，主要包括如下内容：匿名认证（Anonymous Authentication），当其他认证措施都缺失的时候，实施匿名认证。基本验证（Basic Authentication），提供基本认证服务。证书认证（Certificate Mapping Authentication），实施基于活动目录（Active Directory）的证书认证。数字签名认证（Digest Authentication），实施数字签名认证。IIS证书认证（IIS Certificate Mapping Authentication），实施按照IIS配置开展的证书认证Windows认证（Windows Authentication）集成（NTLM）身份验证。2.IIS访问控制。IIS具有请求过滤（Request Filtering）、URL授权控制（URL Authorization）、IP地址限制（IP Restriction）、文件授权等访问控制措施。3.IIS日志审计。IIS设置的日志审计机制，能够记录Web访问情况。此外，与IIS相关的日志审计还有操作系统、数据库、应用服务。IIS安全增强：IIS的安全增强措施主要有如下几个方面。2.启用动态IP限制（Dynamic IP Restrictions）。用于减缓拒绝服务攻击及暴力口令猜测攻击。3.启用URL Scan。限制特定的HTTP请求，可以防止有危害的HTTP请求危及网站的应用。4.启用IIS Web应用防火墙（Web Application Firewal1）。可以识别和阻挡SQL注入、Dos、 CSRF/XSRF、XSS等Web应用威胁，还提供基于行为的入侵防护（Behavior-based Intrusion Prevention）以识别零日攻击与目标定向攻击。5.启用SSL服务。IIS的网站信息传递在通常情形下是明文传递的，敏感网站数据在网上传输的时候容易泄露。启用HS SSL服务后，可以保障IIS Web网络通信安全。技术安全漏洞。因为技术处理不当而产生的安全隐患：SQL注入漏洞、跨站脚本（XSS）、恶意文件执行等。业务逻辑安全漏洞。由于业务流程考虑不周或处理不当而产生的安全隐患。如用户找回密码缺陷，攻击者可重置任意用户密码；短信炸弹漏洞，攻击者可无限制地利用接口发送短信，恶意消耗企业短信资费，骚扰用户；业务登录凭证验证被绕过，进行业务敏感操作业务数据未安全验证证实，直接进行电子交易和处理等。DWASP Top 10是国际开放Web应用安全项目组（Open Web Application Security Project OWASP）推出的前10个Web应用漏洞排名。下面介绍2017年版本的OWASPTop10的漏洞情况：对应用程序输入进行安全过滤。对网站应用程序的输入变量进行安全过滤与参数验证，禁止一切非预期的参数传递到后台数据库服务器。安全过滤方法有两种：建立程序输入黑名单。拒绝已知的恶意输入，如insert、update、delete、or、drop等。建立程序输入白名单。只接收已知的正常输入如在一些表单中允许数字和大、小写字母等。设置应用程序最小化权限。SQL注入攻击用Web应用程序权限对数据库进行操作，如果最小化设置数据库和Web应用程序的执行权限，就可以阻止非法SQL执行，减少攻击的破坏影响。同时，对于Web应用程序与数据库的连接，建立独立的账号，使用最小权限执行数据库操作，避免应用程序以DBA身份与数据库连接，以免给攻击者可乘之机屏蔽应用程序错误提示信息。SQL注入攻击是一种尝试攻击技术，攻击者会利用SQL执行尝试反信息来推断数据库的结构以及有价值的信息。默认情况下，数据库查询和页面执行中出错的时候用户浏览器上将会出现错误信息，这些信息包括了ODBC类型、数据库引擎、数据库名称、表名称、变量、错误类型等诸多内容因此，针对这种情况，应用程序应屏蔽掉错误信息显示到浏览器上，从而可以避免入侵者获取数据库内部信息对开源Web应用程序做安全适应性改造。利用开源网站应用程序进行安全增强，避免攻击者无须猜测就可以知道网站后台数据库的类型以及各种表结构，进而较容易地进行SQL注入攻击。将上传目录设置为不可执行，避免上传文件远程触发执行。利用网站中的漏洞，在URL注入一些恶意的脚本，欺骗用户http: //mybank.com/ebanking？URL=http://evilsite.com/phishing/fakepage.htmhttp: //mybank.com/ebanking？ page=1&client=<SCRIPT>evi lcodehttp: //mybank.com/ebanking？page=1&response=evilsite.como% 2levilcodejs go=2网站除了物理环境安全保护外，基本安全保护机制还包括身份鉴别、访问控制内容安全、数据安全、安全防护、安全审计与监控、应急响应和灾备、合规管理、安全测评等。1.身份鉴别。常见的身份鉴别技术措施有用户名/口令、U盾、人脸识别以及基于证书的统一用户身份管理。2.访问控制。常见的网站访问控制技术措施是防火墙、数据加密以及操作系统、数据库、Web软件、Web应用程序等内置的访问控制措施综合集成实现。3.网站内容安全。目标是确保网站符合所在区域的法律法规及政策要求，避免网站被恶意攻击者利用。技术措施主要是网站文字内容安全检查、网页防篡改、敏感词汇过滤。4.网站数据安全。目标是确保网站所承载的数据资源的安全性，防止数据泄露、 完整性破坏以及用户隐私泄露技术措施主要有用户数据隔离、数据加密、SSL、数据备份以及隐私保护。5.网站安全防护。目标是增强网站的抗攻击能力，能够识别Web攻击类型及阻断攻击行为，包括非授权访问防护、暴力破解防护、Webshell识别和拦截、目录遍历防护、SQL注入攻击防护。能够支持DDoS清洗，应能够正常防御SYN Flood、ACK Flood、ICMP Flood、UDP Flood、HTTP Flood、DNS Flood、CC攻击等拒绝服务类攻击。6.网站安全审计与监控。目标是掌握网站的安全及运行状况，保留相关日志数据，提供事后攻击取证及应急恢复指导。安全技术措施主要有SysLog、Web流量截取、网页篡改或挂马检查、Web入侵监测、电子取证等。7.网站应急响应。目标是针对网站意外事故，提供应急响应服务，保障网站的持续运行及相关资源的安全性。技术措施主要有网页防篡改、网站域名服务灾备、网络流量清洗、灾备中心、网络攻击取证等。8.网站合规管理。目标是确保网站符合相关规定要求，保证网站的合法性。网站合规管理包括网站备案、网站防伪标识、网站等保测评等。9.网站安全测评。目标是应及时有效地发现安全隐患，指导安全整改直至符合标准测评，避免重大网站安全事件出现。技术措施主要有漏洞扫描、渗透测试、代码审核、风险分析等。10.网站安全管理机制。目标是确保网站的安全利益相关者能承担网站安全责任，落实网站安全措施持续改进网站安全管理工作。网站安全管理机制主要包括网站安全保障工作的总体方针和安全策略，建立网站建设、网站运维、网站内容、网站域名、网站应急预案等方面的安全管理制度，应确保各项安全管理制度的有效执行、及时修订完善。1.防火墙。是网站安全的第一道技术屏障，主要用于限制来自某些特定IP地址的网站连接请求，阻止常见的web应用攻击及WebServices攻击。目前，可以使用的防火墙技术主要有包过滤防火墙、Web应用防火墙。包过滤防火墙只能基于IP层过滤网站恶意包，Web应用防火墙针对80、443端口、WebServices攻击。2.漏洞扫描。用漏洞扫描工具定期对网站服务器进行漏洞扫描，及时发现网站的安全漏洞，产生漏洞评估报告，以指导网站管理员对网站服务器进行升级或修改安全配置。网站漏洞扫描技术主要有端口扫描、Web漏洞扫描、Webshell恶意代码检测。3.网站防篡改。实现技术主要有两类：一是利用操作系统的文件调用事件来检测网页文件的完整性变化，以此防止网站被非授权修改；二是利用密码学的单向函数（哈希）检测网站中的文件是否发生了改变。若检测到网页受到非法修改，则启动网页恢复机制，自动地用正常的页面文件替换已破坏的页面。4.网络流量清洗。是指通过基于网络流量的异常监测技术手段，将对目标网络攻击的DoS，DDOS等恶意网络流量过滤，同时将正常的流量转发到目标网络中。5.网站安全监测。掌握网站的安全状态，以便于网站管理人员及时处置安全事件，主要内容如下：网站安全漏洞监测。通过漏洞数据库信息查找匹配及漏洞扫描，获取网站相关操作系统、数据库应用系统Web软件等的安全漏洞情况。网站挂马监测。通过网页爬虫及恶意代码检测技术，对网站的网页进行安全检查，以确认网页是否存在WebShell或恶意链接URL。网站ICP备案监测。通过获取网站的首页信息，检查网站的ICP备案号网站合规性监测。通过获取网站的页面信息，利用关键词匹配及敏感词分析技术，监测网站合规性网站性能监测。通过分析网页请求信息及网站运行日志数据，获取网站的性能网站DNS监测。监测网站的域名和IP地址对应关系、DNS服务软件版本、DNS的安全威胁。网站入侵检测。通过IDS/IPS监测正在进行的网站攻击行为，记录黑客的来源及攻击方法针对政府网站， 国家颁布了《关于加强政府网站域名管理的通知》《政府网站发展指引》 《关于加强党政机关网站安全管理的通知》《信息安全技术政府门户网站系统安全技术指南》 （GB/T31506.2015）等。其中，GB/T31506-2015提出政府门户网站系统安全技术措施要求，如表所示。政府网站的信息安全等级原则上不应低于二级。三级网站每年应测评一次，二级网站每两年应测评一次。网络安全公司针对政府网站的保护要求，给出相应的解决方案。DDoS防御。在政务网站与互联网边界处部署防DDoS攻击系统，用于防护来自互联网的拒绝服务攻击。网页防篡改。在Web服务器上部署网页防篡改系统，针对Web应用网页和文件进行防护。网站应用防护。过Web应用防火墙代理互联网客户端对Web服务器的所有请求，清洗异常流量，有效控制政务网站应用的各类安全威胁。入侵防御和病毒防护。通过入侵防御系统和防病毒网关系统实现对非法入侵行为和网络病毒的有效检测和阻断。网络/数据库审计。通过网络/数据库审计系统实现对政务网站访问行为和网站后台数据库的访问行为进行监控、记录和审计。网站安全监控。通过网站安全监控系统实现漏洞扫描、网页木马监测、网页篡改监测、网页敏感信息监测等功能。
亚星管理平台菁思福科技，优秀企业首选的互联网供应服务商
亚星管理平台菁思福科技秉承"专业团队、品质服务" 的经营理念，诚信务实的服务了近万家客户，成为众多世界500强、集团和上市公司的长期合作伙伴！
亚星管理平台菁思福科技成立于2001年，擅长网站建设、网站与各类业务系统深度整合，致力于提供完善的企业互联网解决方案。亚星管理平台菁思福科技提供PC端网站建设（品牌展示型、官方门户型、营销商务型、电子商务型、信息门户型、DIY体验、720全景展厅及3D虚拟仿真）、移动端应用（手机站、APP开发）、微信定制开发（微信亚星官网、微信商城、企业微信）、微信小程序定制开发等一系列互联网应用服务。
