【51CTO.com 综合消息】国外黑客组织猖狂，我国政府网站受到严重安全威胁
据 CNCERT 监测统计，名为Barbaros-DZ 的阿尔及利亚黑客组织在2012 年3 月14 日至2013 年1 月14 日期间，至少篡改了我国1250 个政府网站页面，并在网上发布了相关信息。目前仍有部分网站尚未恢复。历史篡改页面的镜像截图样例如下：
|
|
国外黑客组织猖狂的行为， 不仅严重损害了我国政府的形象，更是对我国信息安全防御能力的公然挑衅。因此，随着电子政务工作的深入开展，做好网站安全防护，将成为我国政府信息化建设工作的重中之重。
我国政府网站存在的安全问题
CNCERT 对近期被Barbaros-DZ 组织篡改的部分我国政府网站进行安全评估，发现这些政府网站均采用了免费开源软件PowerEasy SiteWeaver CMS 的6.6 及6.6 以下的版本作为站点建设和管理软件，而这些软件均存在一个SQL 注入漏洞，而该漏洞的攻击代码早在2009 年2 月20 日就已经被披露。通过该漏洞，黑客可以对数据表执行用户数据新增或编辑等操作，包括变更用户名、邮箱等。
以上评估结果也映射出我国大多数政府网站的安全现状。这些政府单位对网站安全仍然缺乏足够的认识。网站的安全体系十分脆弱，对于安全事件并不具备预警、防护以及恢复的能力。主要表现在以下几个方面：
◆缺少对网站系统安全性的整体评估
政府网站建设完成后， 服务商往往只会做一些功能性的测试就马上将其上线运行。缺少整体的安全性测试。也因此不能及时发现网站系统所存在的安全漏洞。这些漏洞如果不及时修补，很容易被黑客所利用，最终对网站造成严重危害。
◆对于WEB攻击的防护能力有限
据统计调查， 现阶段政府网站系统的安全措施还多数仅限于购置防火墙等对病毒的防护，但是现行的各类攻击行为，如SQL注入、XSS等，大多是利用WEB服务软件以及网站程序自身的漏洞和缺陷进行攻击，而政府机构原有的安全措施（如安装防火墙、入侵检测）则主要集中在网络层上，无法对此类攻击事件形成有效的监控和防护。
◆被攻击后不能及时恢复
很多政府网站被篡改后，因为系统缺少有效的恢复机制，导致被篡改的页面公布于众，给政府单位造成十分恶劣的影响。还有些网站虽然在接到报告后能够恢复，但由于缺乏必要的经常性维护，并没有根除安全隐患，从而遭到多次篡改。
天融信提供政府网站安全解决方案
天融信公司作为国内信息安全行业的领导厂商，凭借在政府信息安全系统建设方面积累的丰富经验，通过对网站应用及安全风险进行深入分析，推出“政府网站安全解决方案”，全力保卫我国政府网站安全。
天融信“政府网站安全解决方案”深刻理解政府网站的性质及业务特点。通过综合部署天融信WEB应用脆弱性评估与管理系统（TopWVS）、WEB应用安全网关设备（TopWAF）及网页防篡改系统。对安全事件发生时序各个阶段实施周密的安全策略。以达到事前预警、事中防护以及事后恢复的方案效果
|
|
图1：政府网站防护方案典型部署
◆事前——全面检测WEB应用自身的脆弱性，提供预防解决方案。
天融信TopWVS全面支持WEB漏洞检测、网页木马检测、渗透测试及配置审计等功能，通过自动生成的风险评估报告，可以帮助管理员充分了解政府网站存在的安全隐患。并根据报告中的安全加固建议，对网站系统进行修复及改进。从而建立安全可靠的WEB应用服务，提升应用系统抗各类WEB应用攻击的能力（如：注入攻击、跨站脚本、钓鱼攻击、信息泄漏、恶意编码、表单绕过、缓冲区溢出等），协助管理员满足等级保护、PCI、内控审计等规范要求。
|
|
图2：TopWVS全面评估网站安全性
◆事中——应用多维防护体系，有效应对多种WEB安全威胁。
天融信TopWAF采用先进的多维防护体系，对HTTP数据流进行深度分析。通过对WEB应用安全的深入研究，固化了一套针对WEB攻击防护的专用特征规则库，规则涵盖诸如SQL注入、XSS（跨站脚本攻击）等OWASP TOP10中的WEB应用安全风险，及缓冲区溢出、CGI扫描、遍历目录、OS命令注入等当今黑客常用的针对WEB基础架构的攻击手段。此外，TopWAF产品具备专业的抗DDoS功能，对于网络层及应用层的DDoS攻击进行有效控制，如SYN Flood、UDP Flood 、CC攻击等。
|
|
图3：TopWAF防护各种类型的WEB攻击
◆事后——领先的技术实现网页防篡改，强大的业务智能分析提供决策依据。
天融信网页防篡改系统采用第三代网页防篡改技术（增强型事件触发+系统（内核）文件底层驱动过滤技术），对保护的对象（静态网页、动态执行脚本、文件夹）实时监测其属性，一旦发现更改立刻阻断非法篡改操作，阻止网页文件被修改，并实时通知管理客户端。此外，在系统遭受极限攻击发生文件篡改现象，系统也会自动从可信端进行有效文件恢复，彻底地保证了网页内容不被篡改。
同时，天融信TopWAF提供业内领先的业务智能分析功能。内容丰富，涵盖网站业务数据智能分析、网站安全数据智能分析及网站管理数据智能分析三大模块。展现形式为数据表格搭配统计图示，效果清晰、直观。为网站管理者提供有针对性的决策依据。
|
|
图4：网页防篡改系统的领先技术
经过在多个实际项目中的实施，天融信“政府网站安全解决方案”已被验证是可行、可靠并且高效的解决方案。为政府网站提供了最完整的信息安全保护。在实际应用过程中，用户可以根据网站实际情况，并结合信息安全专业分析建议，选择最为合适的网站安全防护方案。
