XXX1单位WEB系统安全建设方案

1、XXX电视台WEB系统安全建议方案V1.0北京启明星辰信息技术股份有限公司Venus Information Technology二零零九年十月文档说明：文档信息文档名称XXX电视台WEB系统安全建议方案版本编号V1.0保密级别公司机密扩散范围 XXX单位WEB系统项目相关人员 启明星辰项目组版本历史版本编号创建日期说明1.02009-10-23文档的创建目录1 总体说明42 安全检测52.1 资产调查52.1.1 资产列表52.1.2 业务关系62.1.3 端口需求62.2 重点主机审计62.3 脆弱性扫描72.3.1 应用平台层72.3.2 应用层83 安全防护83.1 访问控制83.1.

2、1 防火墙策略83.1.2 各主机访问控制93.2 系统加固93.2.1 安全配置93.2.2 安全日志93.3 入侵防御(IPS)94 安全巡检104.1 周期巡检104.2 应急响应104.3 安全报告111 总体说明本文档是根据启明星辰在网站及对外应用系统方面的防护经验，及XXX电视台计算机中心当前环境及时间要求，提出的安全防护措施意见稿。总体建议分为三个部分工作，即前期安全检测、根据检测结果的加固措施和运行期间的巡检及安全应急响应。安全检测部分的目标首先是确定工作范围，并通过检测了解各系统可能存在的风险点，本部分工作安全防护部分根据前期安全检测发现的重点问题，进行系统安全加固，包括重点

3、系统的安全配置、严格防火墙的访问控制策略、严格IPS的策略等，还需要开启各服务器的日志记录，以便发生问题时能够有效记录。安全巡检主要在安全防护策略部署完成之后的运行期，周期性的对关键安全系统的日志、服务器的日志分析，得出阶段性安全情况，分析其中可能存在的问题，查找问题原因，修改不合适的安全策略，并汇总产生阶段性报告。各部分包含工作主体如下图示意：2 安全检测2.1 资产调查本部分主要目标是责任各方通过此步工作了解工作范围，清晰定义工作目标，并通过资产调查了解各业务系统单元的主要用途、安全属性，各业务系统之间的业务数据流，各业务系统的访问控制要求（如开放端口、开放源IP等）；此部分的清晰了解对于

4、之后的安全加固和安全应急有及其重要的意义。2.1.1 资产列表获取资产信息列表，形如下图，详细内容见附件；需要将各资产的详细情况体现表格中2.1.2 业务关系列表说明各服务器之间业务关系，如A服务器为Web前台，B服务器为中间件，C服务器为数据库，ABC同时存在备份DEF等；了解清晰后绘制详细的数据流的走向关系图。2.1.3 端口需求之后要实施详细的访问控制细则，所以需要将所有应用的开关端口要求、访问源IP、时间要求等标识清晰。2.2 重点主机审计控制台审计/主机审计针对网络设备、主机、数据库进行。采用脚本工具或人工参照审计手册进行。审计手册通常以检查列表（Checklist）的形式存在，用于

5、人工检查系统存在的各种安全弱点，它针对不同的系统列出待检查的条目，以保证人工审计结果数据的完备性。控制台审计应包括操作系统控制台审计、数据库系统控制台审计等工作。控制台审计评估工具往往是针对各个系统由有攻防经验的评估人员开发的审计评估脚本工具进行，通过执行该工具，就可以获取系统的运行信息。UNIX脚本一般都是一个单独的文件，利用一些系统命令收集一些安全相关的配置、日志和信息。而对Windows平台的审计，由于Windows系统本身命令功能有限，所以还要配合一些外部的工具，如TCP连接工具、注册表编辑工具等来完成。利用控制台审计工具可以得到计算机基本信息（计算机名、操作系统版本信息、内存和CPU

6、信息等）、本地网络配置信息、无线网络信息、路由信息、开启服务信息、用户帐号和口令信息、本机安全策略配置、域配置信息、远程连接信息、应用软件信息、注册表信息、日志记录和存放信息、磁盘信息、启动文件信息、邮件信息、聊天工具信息等内容。2.3 脆弱性扫描脆弱性扫描分为应用平台层面（操作系统、Web服务器、数据库）和应用层面（asp、php、jsp等代码漏洞）。2.3.1 应用平台层 天镜天镜网络漏洞扫描与评估系统包括了网络模拟攻击、漏洞检测、报告服务进程、提取对象信息、风险评估和安全建议等功能，帮助用户控制可能发生的安全事件，最大可能地消除安全隐患。该系统提供了十种缺省的扫描策略，可根

7、据实际需求来选择合适的策略。天镜全面符合CNCVE标准，兼容CVE、BUGTRAQ等漏洞标准，具有强大的漏洞检测能力和检测效率、贴切用户需求的功能定义、灵活多样的检测方式、详尽的漏洞修补方案和友好的报表系统，并支持在线升级。 NessusNessus是一个网络安全评估软件，功能强大且更新极快。该系统被设计为客户机/服务器模式，服务器端负责进行安全检查，客户端用来配置管理服务器端。Nessus的服务端采用了plug-in的体系，为了方便用户编写自己的检测插件，nessus还提供了一种叫做nessus攻击脚本语言(Nessus Attack Script Language)的脚本语言

8、。检查的结果可以使用HTML、纯文本、XML、LaTeX等格式保存。2.3.2 应用层 安星安星，是被称为网站安全体检专家的服务。它是启明星辰基于安全检测技术成果和专业远程监控安全服务团队，为客户互联网网站的WEB页面进行远程安全检查的有偿服务。安星是一个产品化的服务，包括检查网页挂马和网站漏洞两种可选项目。服务均经过专业人员的核查，以报告的形式，准确地通告用户网站存在的安全问题。服务的过程是远程实现，同时不需要对网站做任何调整和改动，只需要提供互联网域名即可。为了确保服务的准确，服务的过程将经过三个层次筛选，第一层是自动化的网页异常搜索，通过远程搜索发现网页异常；第二层进行精确

9、筛选，排除肯定不是攻击的部分；第三层是专业人员的人工审查，确定漏洞或木马存在的位置、形态、功能等并形成可视化报告。 其他脚本工具在安星检测完，系统修改之后；如有必要，可以使用手工方式或其它脚本检测工具对重点应用的敏感部分进行复查性检测。3 安全防护3.1 访问控制3.1.1 防火墙策略为实现应用最小化要求，针对各级防火墙加强其控制策略，实先仅通过许可的策略；一些敏感的协议，如FTP、TDS（MS SQL）、MySQL等，如无必要，关闭外部访问；对于远程控制，如采用Terminal Service（3389）、Telnet、SSH、VNC等各种访问方式的，赛事期间尽量关闭远程访问，

10、如需要可以限定时间或通知计算机中心打开关闭。3.1.2 各主机访问控制根据之前绘出的各业务系统主机之间的应用关系图，作出个主机之间的访问控制策略，如无必须要采用各种方式进行限定，防止因某主机漏洞被攻破而引起其它同一防火墙区域后主机的问题。3.2 系统加固3.2.1 安全配置针对脆弱性扫描结果，结合启明星辰安全加固手册，针对关键应用服务器进行安全配置的加固，使其安全配置能达到一定的抵御系统层面攻击的要求。针对应用层发现的问题，如代码的漏洞，会同软件开发厂商进行代码级的修改调整，如果无法短期调整，则在IPS上重点关注该漏洞点的相关报警信息。3.2.2 安全日志Apache、IIS、SQLserve

11、r等访问日志设定，对访问来源及操作内容进行审计；如有可能，定期异地存放。3.3 入侵防御(IPS)天清IPS，被称为WEB应用入侵防御系统，是专门针对WEB网站攻击进行优化的入侵防御产品。天清IPS是一个硬件设备，通常透明串行模式部署于网站前端，用来精确阻断SQL注入、XSS跨站脚本以及利用WEB系统漏洞的入侵攻击。一些重要网站在正在使用这个产品强化针对网站攻击的防御能力。据了解，此产品运用了一套启明星辰的专利算法，因此成为目前为数不多能够做到精确阻断SQL注入攻击、XSS跨站脚本攻击的IPS产品。这里，针对我们的防护要点，可以使用IPS特别设定单独的访问控制策略，对重点的应用系统进行重点防护

12、。可以设定自定义策略，如可以针对某一敏感目录（内容管理后台）进行源地址限定等。4 安全巡检4.1 周期巡检为了保障安全事件能够得到及时的发现和处理，针对XXX电视台计算机中心进行周期性安全巡检，巡检的内容至少应包括：入侵防御事件分析应用系统日志审查访问控制措施日志审查其他情况了解，如应用的异常状态等4.2 应急响应在XXX电视台发生紧急事件后，启明星辰安全人员可以到达现场配合对安全事件作出响应；启明星辰为事件响应建立自己的流程规范，经过多次的响应实践证明其可行有效。我们提供的漏洞检测服务、监控审计服务、DDOS防御服务都是在为事件响应提供事件处理所需的原始资料，一旦事件发生，启明星辰事件响应小组分析的依据大部分来源于上述数据。启明星辰还将协助服务对象组织建立应急上报和联络机制，以保证在安全事件发生时，能及时得到上级主管的指导并及时联系到本组织相关人员和启明星辰事件响应人员。事件响应必须遵循的流程分为以下步骤：第一步：记录日志第二步：分析确认第三步：事件处理第四步：系统恢复，防御第五步：事后分析与跟踪在安全事件处理完毕，所有系统恢复正常以后，应该针对事件进行分析。集中所有相关人员来讨