网站服务方案（华中测评中心）

1、网站系统安全服务方案单位名称：网站名称：xx网站系统中国信息安全测评中心华中测评中心湖南省信息安全测评中心一、网站安全服务概述21. 1本文档目的21.2网站服务对象2二、网站安全服务流程及体系结构32. 1安全服务流程32.2安全服务体系3三、网站安全服务内容43.1网站安全服务通告43.2网站安全性测试评估43. 2. 1设备主机脆弱性扫描评估43. 2. 2网络结构及设备安全配置核查53. 2. 3操作系统安全配置核查53.2.4中间件安全配置核查53. 2. 5网站应用程序安全功能核查53. 2. 6网站应用系统安全性扫描63.2. 7渗透性测试63. 2. 8网页木马扫描.63. 3

2、网站安全整改力口固63. 3. 1整改加固方案73.4网站安全防护监测73. 4. 1华中测评中心网站安全监测防护糸统73. 4. 2监测防护系统主要特点及用途73.4.3网站可用性监测.83. 5应急响应服务83.6定期安全巡检9四、网站安全服务价格体系h一、网站安全服务概述近年来，黑客在互联网上的攻击活动呈明显的上升趋势，形形色色的黑客利 用网络、web应用漏洞无孔不入，其中政府、金融、教育、电商等性质的网站更 是攻击的主要目标。网站瘫痪、首页被篡改、数据泄漏等情况时有发生，造成了 比较严重的损失。为确保网站的健康发展和网站电子化业务的广泛应用，华中测评中心依托雄 厚人才、技术、设备、职能

3、等优势，开展专业的网站安全服务，自主研发网站安 全监测防护系统，构建完善的网站安全服务体系，致力于为用户提供全面的网站 安全服务解决方案。1.1本文档目的本文档为xx单位相关网站系统的安全提供整体服务方案。1. 2网站服务对象整个网站服务对象为：xx单位重要的网站系统及相关联的外网系统，涉及到 *台服务器和*系统。二、网站安全服务流程及体系结构2. 1安全服务流程2. 2安全服务体系网站安全是在动态的安全过程中寻找一个可接受的平衡点，静态的安全产品 或者安全技术不可能解决动态的安全问题，也无法及时抵御来自外部和内部的攻 击，只有将众多的防护手段综合，将其体系化，建立与之相匹配、相耦合的安全 防

4、御体系，才能自动适应攻击的变化。华中测评中心综合各种安全技术、安全服务的功能特点，为客户提供了立体、 多重的网站安全服务体系，以保障网站的安全稳定运行。根据“事前检测、事中监测、事后应急、整改加固”等全方面的安全服务理 念，将安全服务项目：安全性测试评估、安全服务通告、安全整改加固、安全监 测防护、定期安全巡检、应急响应等整合于一个整体的安全服务体系，多方位保 证网站的安全性。三、网站安全服务内容3.1网站安全服务通告以电话、传真或电子邮件等方式对客户提出的安全咨询，日常安全事务，提 供技术支持；以短信、电话、电子邮件等形式不定期向客户通报互联网出现的重 大安全漏洞、攻击事件、病毒，并提供相应

5、的解决方案；根据网站安全监测防御 系统实时监测网站系统的运行情况，定期进行安全审计及分析，发现异常情况及 时通知客户。3.2网站安全性测试评估本中心将根据客户网站应用类型及安全需求，从网络结构及设备、服务器、 中间件、web应用系统、安全管理等网站系统各个层面，在技术方面通过网络及 主机安全扫描、web应用安全扫描、安全配置核查、应用程序安全功能核查、渗 透性测试等方式对网站应用系统进行各种类型的安全性测试评估，全面发现网站 应用系统的安全隐患。3. 2.1设备主机脆弱性扫描评估本项测试主要是使用专业的漏洞扫描系统对网络设备、服务器主机进行漏洞 扫描测试，以发现设备及主机可能存在的安全漏洞问题

6、。根据客户网络情况，将进行外部扫描及内部扫描，以全面扫描发现存在的安 全漏洞问题。说明:设备主机脆弱性扫描可能会对部分主机设备导致破坏持续作业风险, 测试过程以不危害系统的连续运转为准则,尽可能避开系统对外提供服务的时间 段,不进行可能导致系统崩溃的攻击测试。发现异常情况应立即停止扫描及脆弱 性测试,及时恢复系统正常运行,调查引发异常事件的原因。3. 2. 2网络结构及设备安全配置核查本项测试依据华中测评中心网络结构与网络设备核查表单对客户网络拓扑 结构进行分析、对网络设备进行配置核查，以发现网络层面可能存在的安全隐患 问题。说明:网络设置配置核查是一个对设备各安全配置情况的数据采集过程,在

7、釆集数据过程中,不更改网络设备的任何配置，原始反映网络设备配置安全性。3. 2. 3操作系统安全配置核查本项测试依据华中测评中心主机核查表单对操作系统补丁安装、进程、端口、 服务、用户、策略、权限、审计、内核、程序等内容进行核查，获取主机操作系 统的原始安全配置记录，以便评估其安全性。说明：服务器配置核查是一个对服务器各安全配置情况的数据采集过程,在 采集数据过程中,不更改系统的任何配置，原始反映主机配置安全性。3. 2.4中间件安全配置核查本项测试依据华中测评中心中间件核查表单对网站应用系统的伺服中间件 进行安全配置核查，对各种中间件iis、apache、tomcat、jboss、ngnix

8、等进行 相关安全方面的配置信息进行核查，以便评估其安全性。说明:中间件安全配置核查是对中间件安全配置情况的数据采集过程,在采 集数据过程中,不更改任何配置,原始反映中间件配置安全性。3. 2.5网站应用程序安全功能核查本项测试依据华中测评中心web应用程序核查表单及根据客户安全等级要 求，对网站及web应用程序功能进行核查，以检查web应用系统是否实现常规性 的安全功能，如身和份授权及验证、访问控制、安全审计、敏感信息加密、传输 加密等安全相关功能是否存在，是否达到安全要求。根据情况需要对相关安全功 能进行渗透性测试，以验证其安全性。说明:程序安全功能检查需要开发人员密切配合,以完整地发现可能

9、存在的 安全隐患问题o3. 2.6网站应用系统安全性扫描本项测试主要以使用专业的web应用漏洞扫描系统对网站应用程序进行漏 洞扫描测试，以发现网站系统可能存在的安全漏洞问题。说明:网站应用系统安全性扫描可能会对生产系统持续作业产生中断风险, 测试过程以不危害系统的连续运转为准则,尽可能避开系统对外提供服务的时间 段,不进行可能导致系统崩溃的攻击测试。发现异常情况应立即停止扫描及脆弱 性测试,及时恢复系统正常运行。3. 2.7渗透性测试依据已经发现的安全漏洞，模拟黑客的攻击方法对系统和网络进行非破坏性 质的攻击性测试，从而从深层次发现操作系统或应用系统存在的安全问题。渗透 性测试模拟真正的黑客入

10、侵攻击方法，以人工渗透为主，辅助以攻击工具的使用， 这样保证了整个渗透测试过程都在可以控制的范围之内。由于采用可控制的、非 破坏性质的渗透测试，因此不会对被评估的系统造成影响。3. 2.8网页木马扫描本项测试主要是针对客户服务器可能入侵被上传网页木马，在安全测评评估 过程中需要对网站目录文件进行扫描清除，以防止网页木马后门存在。3. 3网站安全整改加固安全整改加固是确保信息系统安全的关键环节，在完成安全评估之后，根据 评估的结果，依照最佳的安全原则进行各项安全加固措施，全面修补安全漏洞， 从信息系统的网络层、主机层和应用层等建立符合当前信息系统安全需求的安全 保障措施，并以此作为信息系统安全的

11、关键点。3. 3. 1整改加建议及复测在对网站进行安全性测试评估后，根据我方最佳的安全经验及客户的安全等 级需求，提出完整的安全整改加固建议，。从网络设备、主机、中间件的安全配 置、补丁升级情况、网络结构的安全调整、应用程序方面的安全漏洞等方面，提 出符合安全等级并易于操作的建议。由用户方协调开发单位进行整改加固工作， 最后由我中心相关技术人员进行整改加固复测。3.4网站安全防护监测随着互联网应用的普及，网站建设的规模化，网站安全问题迅速严峻。网站 的一次性安全评估及整改加固也无法完全解决网站的安全问题，由于业务的不断 发展及安全漏洞的不断挖掘，安全本身是一个动态化的过程，因此需要实时保证 系

12、统的安全性，防止非法入侵情况发生。对于未知漏洞及攻击方法的不确定性，一般安全防护设备事前无法通过特征 库直接进行防范，因此我中心提出对网站安全方面的“监测防护”理念，不断对 于web的常规性漏洞进行防护，并且需要针对网站信息系统的全面信息进行监 测，通过其他异常信息发现网站的未知攻击，全面了解网站系统的安全情况。3.4. 1华中测评中心网站安全监测防护系统华中测评中心经过多年的技术积累和沉淀，抛弃传统的单纯依靠硬件或软件 安全设备进行网站防护的安全思路，提出“监测防护并重”的新的安全防护理念 并且自主研发了 “web应用安全监测防护系统”。目前web应用安全监测防护系统分为软件版与硬件版。软件

13、版主要适用于 windows操作系统；硬件版对于特殊网络及应用，便于部署于网络出口进行全面 监测防护。3. 4. 2监测防护系统主要特点及用途监测和告警功能:操作系统资源监测，实时监测cpu、内存、硬盘、网络带宽等使用率， 发现异常情况报警； 对进程、端口、启动项及服务等的监测，以发现系统异常情况；文件修改监测，以发现文件篡改异常信息； 异常ip连接及流量监测；异常及恶意爬虫；自定义url地址访问审计；网页木马文件访问拦截及审计。安全防护功能： web应用层拦截：如sql注入、跨站脚本、非法访问方法等；文件防篡改；非法内容提交；非法文件上传； ip黑名单；内置防火墙功能；日志智能分析、报表功能

14、。3.4.3网站可用性监测华中测评中心客户网站提供自动化可用性监测，一旦发现网站无法访问，将 即时通过短信通知网站管理员，以便即时发现故障及快速恢复。3. 5应急响应服务网站受到网络设备、主机系统、数据库系统、应用系统等各方面的因素影响, 导致其容易受到各种各样的侵害，轻微的造成设备故障，严重的造成设备损害， 数据丢失，更有甚者导致保密数据和文件资料被窃，造成严重的经济损失和政治 影响。在华中测评中心网站安全服务体系中，网站在经过安全评估与安全加固以 后，安全性能得到较大提高。但网络不存在绝对的安全，随着新的漏洞和攻击手 段的出现，网站系统仍存在再次发生安全事件的可能。为此，安全应急响应服务是

15、整体网站安全服务中不可缺少的一部分，对突发 的网站入侵、拒绝服务攻击、大规模病毒爆发、主机或网站异常事件等紧急安全 问题提供技术支持，分析并修补安全漏洞，提取攻击证据，跟踪并追查攻击源。应急响应服务方式根据事态情况分为远程支持和现场支持两种。3. 6定期安全巡检安全是一个动态防护的过程，安全性测试均只是在一定时间内的安全检测情 况，一旦设备、软件、应用环境的变化或者新漏洞的发现，将对前期的安全情况 造成威胁，因此对于网站系统的安全，需要实时监测及进行最新漏洞的验证测试。华中测评中心将在不影响网站系统正常运行的情况下，根据服务类型为客户 提供周期性的网站及相关应用系统的安全测试，使用各种当前主流

16、的攻击手段对 网站系统进行模拟性渗透测试，测试网站系统和服务器的抗攻击强度，并验证其 危害性。同时结合网站安全监测的情况，对相关的日志及监测结果进行分析，如 果存在安全性漏洞及监测异常，将需要进行必要的安全整改加固措施。u!、网站安全服务价格体系服务类别服务类型服务说明价格（元）安全通告服务监测系统预警结合监测系统以短信形式不定期通知5000安全漏洞通报在最新漏洞测试过程中或者巡检过程中，发现高危 漏洞将即时进行通知安全动态预警最新流行且危害性较大的安全漏洞、病毒木马等安 全动态信息预警网站安全评估设备主机脆弱性扫 描评估对操作系统、网络设备进行脆弱性扫描60000网络结构设备核查与网站相关网络结构分析、设备核查操作系统核查操作系统安全配置核查中间件核查中间件配置核查网站程序安全功能 核查应用程序安全功能检查恶意代码分析对可能存在的网页木马进行扫描并清除对系统日志进行分析，以发现是否存在恶意攻击情 况发现存在恶意攻击事件后，对网站日志进行相关分 析分析是否存在病毒木马情况网站应用安全性扫 描专业扫描工