政府网站网页防篡改应用解决方案.

政府网站网页防篡改应用解决方案 引言 国家信息化领导小组 关于我国电子政务建设指导意见 早已出台 国家 十 五 信息化专项规划已经将电子政务作为国家信息化的重点内容 整个 十五 期 间 从中央到地方政府 将有 60 以上的政府业务和 30 以上的政府对企业和公 众的办公业务上网进行 随着网站数量不断增加 与之相对应的是网站受攻击的情况也越来越多 在 各类网站被攻击的情况中 网站主页篡改给政府带来的影响尤其恶劣 影响面最 广 尤其是含有政治攻击色彩的篡改 会对政府形象造成严重损害 以网页篡改 和垃圾邮件为主的网络安全事件正在大幅攀升 国家计算机网络应急技术处理协 调中心 2004年共收到网络安全事件报告 64686件 为 2003年的近 5倍 在 3月 24日召开的 2005中国计算机网络安全应急年会上 国家计算机网络应急技术 处理协调中心有关负责人说 在收到的网络安全事件报告中 网页篡改占 45 91 其余为垃圾邮件 蠕虫 网络仿冒 木马等 数字显示 政府网站最易成为攻击 者选定的目标 其安全防范有待加强 2005全年网页篡改事件发生数量已达 13000件 而且这些统计还不包括隐蔽的篡改行为 远远的将病毒 垃圾邮件等 传统网络安全事件抛到后面 而据统计调查 现阶段政府网站系统的安全措施还多数仅限于购置防火墙等 对病毒的防护 但是网页非法篡改行为是利用操作系统的漏洞和管理的缺陷进行 攻击 而政府机构原有的安全措施 如安装防火墙 入侵检测则主要集中在网 络层上 无法对网页篡改事件形成有效的监控和防护 保护政府机构网页不被非法篡改 就是保护政府机构的形象 进而也是保护 我们社会主义社会的安定团结 这是各级政府机构都应该重视起来的一件大事 一 系统概述 Webguard 系统是将篡改监测的核心程序通过微软文件底层驱动内嵌到 Web 服务器中 通过事件触发方式进行自动监测 对文件夹的所有文件内容 包含 html asp jsp php jpeg gif bmp psd png flash 等各类文件类型对照 其多个属性 经过内置散列快速算法 实时进行监测 若发现属性变更 通过非 协议方式 纯文件安全拷贝方式将备份路径文件夹内容拷贝到监测文件夹相应文 件位置 通过底层文件驱动技术 整个文件复制过程毫秒级 使得公众无法看到 被篡改页面 其运行性能和检测实时性都达到同类软件中的最高的水准 二 政府机构网络拓扑及 Webguard 部署示意 1 政府机构网络拓扑 下图 图 1 是最常见的政府机构网络结构拓扑图 政府机构的整个网络被 一台交换机分隔成内网 政府办公区和外网 中心机房两部分 互联网上的 用户如果要访问政府机构的网站发布服务器 web 服务器 需先经路由器 防 火墙 然后经中心交换机才能最终访问到网站服务器 政府内部则可以通过内网 直接访问各服务器 2 Webguard 部署示意 Webguard 系统采用 C S结构 分为 WebGuard Client 客户管理端和 WebGuard Server 服务器端两部分 其中服务器端安装在政府网站发布服务 器上 实时保护和恢复被恶意篡改的网页 并对每一次所受的攻击留下记录 客 户管理端可以安装在任意一台可以连接到政府网站发布服务器的 PC 上 通过客 户管理端可以轻松设置对发布服务器上的网站所在文件夹的保护设置 对网站内 容的管理维护以及查看或导出受攻击记录 另外客户管理端内建 ftp 功能 不需 要借助第三方软件 即可以轻松发布网站的更新内容 具体部署部署见 图 2 三 Webguard 系统的核心优势 1 基于文件夹驱动级保护技术 事件触发机制 确保系统资源不被 浪费 不同于一些文件轮询扫描式或外挂式的页面防篡改软件 Webguard 的页面 防篡改模块采用的是与 Web 服务器底层文件夹驱动级保护技术 与操作系统 目 前仅限于微软平台 支持 windows 2000 xp 2003紧密结合的 而且是在 Web 服务器对外发送网页时进行网页防篡改检测 这样做不仅完全杜绝了轮询扫描式 页面防篡改软件的扫描间隔中被篡改内容被用户访问的可能 其所消耗的内存和 CPU 占用率也远远低于文件轮询扫描式或外挂式的同类软件 2 部署实施简便 操作简单 仅需要 3分钟时间 即可部署完整套网页防篡改保护系统 部署完毕后 进 行简单配置即可运行 3 不影响现有网络结构 该系统的架构简单 采用 C S方式 免除了用户额外采购硬件设施 在现有 web 网站基础上直接安装本系统即可 绿色软件 管理告警客户端本地无存储数 据 日志只在需要时进行导出 excel 进行查询 大大降低了用户投资 4 完全杜绝篡改内容流出 采用文件级驱动保护技术后 用户每次访问每个受保护网页时 Web 服务器 在发送之前都进行完整性检查 保证网页的真实性 可以彻底杜绝篡改后的网页 被访问的可能性 全面和实时地保护网站的所有网页文件 采用外挂轮询式的网页防篡改系统 对每个网页来说 轮询扫描存在着时间 间隔 一般为数十分钟 在这数十分钟的间隔中 黑客可以攻击系统并使访问者 访问到被篡改的网页 5 动态网页脚本保护 目前的网站越来越多地使用动态技术 例如 ASP JSP PHP 来输出网页 动态网页由网页脚本和内容组成 网页脚本以文件形式存在于 Web 服务器上 网 页内容则取自于数据库 一般来说 数据库处在内部网中 没有外部地址 而且可以只接受来自内部 指定地址的访问 因此一般不会受到攻击 而存在于 Web 服务器上的动态网页脚 本则与静态网页一样 容易受到攻击 采用文件驱动级技术的系统 可以直接从 Web 服务器上得到动态网页脚本 不受变化的内容影响 因而能够象静态网页一样保护动态网页脚本 采用外挂轮询技术的防篡改系统 所监测到的动态网页是网页脚本和内容混合后 的结果 而网页内容是根据访问情况时时在变化的 外挂轮询技术又无法区分网 页脚本和内容 因此无法实现对动态网页的防篡改保护 6 连续篡改攻击保护 有意进行恶意攻击的黑客可以利用外挂轮询技术的扫描间隔来进行连续的 篡改攻击 即在网页被恢复后立即重新篡改网页 由于重篡改过程可以利用程序自动和连续进行 并只针对一个重要网页 例 如网站首页进行 因此即使外挂轮询技术的扫描时间间隔设置得再小 例如 1分钟 也无法阻止篡改后的网页被公众访问到 例如重新篡改网页需要 1秒钟 则公众在 1分钟内的 59秒里看到的都是篡改后的网页 这个过程往复下去 使公众只能看到被篡