前言：尋找寫作靈感？中文期刊網用心挑選的門戶網站網絡安全建設研究，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
1主機系統及存儲備份建設
在電信部門IDC機房部署應用服務器兩臺及以上、數據庫服務器兩臺（或者四臺）分別做雙機熱備或多機互備，數據庫服務器通過光纖交換機與存儲系統相連接，為了便于數據同步，在單位部署一臺數據上傳服務器和電信部門IDC機房部署一臺前置數據庫服務器，定期將內部需要在外網查詢的內容通過數據上傳服務器自動傳送到外網前置數據庫服務器上，在外網前置數據庫服務器上進行數據校驗和比對后自動同步到網站數據庫服務器上，實現內外網數據的及時更新。
2網絡通信建設
由于門戶網站的所有硬件都托管在電信部門IDC機房，故在網絡通信方面完全利用電信部門IDC機房現有的網絡通信設備，對外出口帶寬至少為兩條100MB鏈路。
3網絡安全防護建設
政府類門戶網站的安全建設按照計算機信息系統安全等級保護三級技術標準執行。涉及內容包括：數據機房安全、網絡通信安全、主機系統安全、應用安全、數據安全幾個部分。
3.1防護對象
政府門戶網站信息網絡大致可分為管理信息區域和信息區域，管理信息區域用于支撐該系統與業務相關的內部管理信息應用數據。管理信息區域劃分為用于承載內部辦公的信息內網和用于支撐對外業務和互聯網用戶的信息外網。信息區為面向公眾的信息平臺，用于信息查詢、政策導向、公眾監督等互聯網訪問需要。
3.2設計思路
政府類門戶網站網絡安全防護體系是依據以下策略進行建設：雙網雙機：管理信息區劃分為信息內網和信息外網，內外網間采用物理隔離，信息內外網分別采用獨立的服務器，數據進行單向流動，通過人工操作實現，極大地保障了信息數據和內部網絡的安全。等級防護：管理信息系統將以實現等級保護為基本出發點進行安全防護體系建設，并參照國家等級保護基本要求進行安全防護措施設計；多層防御：在分域防護的基礎上，將各安全域的信息系統劃分為邊界、網絡、主機、應用四個層次進行安全防護設計，以實現層層遞進，縱深防御。
3.3防護措施
（1）基于網絡安全的訪問控制。在網絡邊界部署訪問控制設備，啟用訪問控制功能；根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；對進出網絡的信息內容進行過濾，實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制；在會話處于非活躍時間或會話結束后終止網絡連接；限制網絡最大流量數及網絡連接數；重要網段采取技術手段防止地址欺騙；按用戶和系統之間的允許訪問規則，決定允許或拒絕用戶對受控系統進行資源訪問，控制粒度為單個用戶；限制具有撥號訪問權限的用戶數量。
（2）設備和審計系統結合。對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；審計記錄包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；能夠根據記錄數據進行分析，并生成審計報表；對審計記錄進行保護，避免受到未預期的刪除、修改或覆蓋等；實現對應用系統的數據訪問與操作進行全面地監控審計，可實時顯示和監視操作行為，詳細記錄所有的操作行為和操作內容，提供審計查詢和關聯分析，輸出完整地審計統計報告。
（3）基于安全事件的防護。能夠對非法接入內部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。
（4）檢測和主動防御的融合。在網絡邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等；當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時提供報警。
（5）病毒防御機制。在網絡邊界處對惡意代碼進行檢測和清除；維護惡意代碼庫的升級和檢測系統的更新。
（6）虛擬接入和防篡改技術。對登錄網絡設備的用戶進行身份鑒別；對網絡設備的管理員登錄地址進行限制；網絡設備用戶的標識唯一；當對網絡設備進行遠程管理時，采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽；實現設備特權用戶的權限分離。通過主頁防篡改系統進一步防止黑客對門戶網站設備的入侵。
（7）主機系統防護。主機系統安全防護包括對系統內服務器及存儲設備的安全防護。服務器包括業務應用服務器、數據庫服務器、WEB服務器、文件與通信服務器等。保護主機系統安全的目標是采用信息保障技術確保業務數據在進入、離開或駐留服務器時保持可用性、完整性和保密性，采用相應的身份認證、訪問控制等手段阻止未授權訪問，采用主機防火墻、入侵檢測等技術確保主機系統的安全，進行事件日志審核以發現入侵企圖，在安全事件發生后通過對事件日志的分析進行審計追蹤，確認事件對主機的影響以進行后續處理。
3.4安全防護集成
綜上所述，政府門戶網站信息網絡的可靠運轉是基于通訊子網、計算機硬件、操作系統、各種應用軟件等各方面、各層次的良好運行。因此，其風險將來自對內部和外部的各個關鍵點可能造成的威脅，這些威脅可能造成總體功能的失效。網絡安全體系結構主要考慮安全對象和安全機制，安全對象主要有網絡安全、系統安全、數據庫安全、信息安全、設備安全、病毒防治等。
（1）網絡出口邊界部署能夠防御DoS/DDoS攻擊、ARP欺騙攻擊、TCP報文標志位不合法攻擊、LargeICMP報文攻擊、地址掃描攻擊和端口掃描攻擊等多種惡意攻擊的下一代防火墻。保證正常訪問用戶的接入，對內網資源形成進行有效保護。
（2）網絡出口部署入侵防御系統，因為內部網絡中有很多服務器（如web服務器、通訊服務器、應用服務器集群等等），各種服務器的操作系統和數據庫在網絡通訊傳輸中存在天然的安全隱患，如對協議中的異常情況考慮不足。外部非法訪問可利用協議的漏洞對服務器發起攻擊。向服務器發送非標準或者緩沖區溢出的協議數據，從而奪取服務器控制權或者造成服務器宕機。密切跟蹤全球知名安全組織和軟件廠商的安全公告，對各種威脅進行分析、驗證，保證實時更新簽名庫，跟進安全威脅的發展狀況。不斷升級入侵防御系統檢測引擎以防護新出現的安全威脅，具備防御0-DAY攻擊能力。
（3）網絡內部署安全審計系統，在嚴格執行安全保密規定的基礎上，對整個系統的監控審計管理，保證系統的數據完整性、保密性和可信性。實時顯示和監視操作行為，詳細記錄所有的操作行為和操作內容，提供審計查詢和關聯分析，輸出完整地審計統計報告。發生安全問題時，可以從系統的審計記錄庫中快速查找違規操作活動和留下的痕跡，獲取可靠的證據信息，如果發生了安全事故也能夠快速查證并追根尋源。
（4）在門戶網站服務器前端部署web應用防火墻系統，對web服務器進行全面防護，發現并阻斷各種WEB攻擊，定期檢查網站各種安全隱患，發現問題及時預警并自動采取修補措施；實時防護各種WEB應用攻擊、DDOS攻擊、網頁木馬攻擊等行為。
（5）在Web服務器上部署網頁放篡改系統，采用HTTP請求過濾、核心內嵌等技術；提供實時阻斷、事件觸發、數字水印和應用防護四種防護措施，通過四種防護措施的合理組合達到起到更好的防護作用。在安全審計系統對Web服務器的所有操作全面監控進行告警、記錄的預防措施的前提下，形成一套有機的保護體系，在發生篡改行為后迅速恢復Web網頁內容，不影響正常訪問，避免業務中斷。
（6）網絡出口部署的防病毒網關，所有數據流都需要經過防病毒網關。因此防病毒網關能夠有效地監控進入內部網絡的流量。提供兩種方式的病毒掃描，一種傳統的掃描方式，文件完全掃描后推送給真正的接收者，主要用來保護安全需求強烈的服務器或者重要區域，另一種是邊傳輸邊緩存的方式，允許用戶實時接收數據，延時減小。
3.5網絡安全技術服務
政府門戶網站信息網絡投入運行后，如何保障系統的安全運行便成了重中之重。其中涉及的工作量巨大，技術要求亦非常高。因此，政府門戶網站常常采取安全服務外包方式聘請具備專業安全服務資質的機構進行網絡安全保障。安全服務內容主要包括以下方面：
（1）Web安全監測。針對WEB應用安全，我們所提出日常安全檢測內容需包含：XSS跨站攻擊檢測；SQL注入檢測；URL重定向檢測；FORM檢測（單表逃逸檢測）；FORM弱口令檢測；網頁木馬（惡意代碼）檢測；數據竊取檢測；GOOGLE-HACK檢測；中間人攻擊檢測；Oracle密碼暴力破解；WebSer-viceXPath注入檢測；Web2.0AJAX注入檢測；Cookies注入檢測；雜項：其他各類CGI弱點檢測，如：命令注入檢測、LDAP注入檢測、CFS跨域攻擊檢測、敏感文件檢測、目錄遍歷檢測、遠程文件包含檢測、應用層拒絕服務檢測等。（2）數據庫安全監測。數據庫安全檢測需實現的功能：發現不安全的數據庫安裝和配置；發現數據庫弱口令；發現數據庫的變化或潛藏木馬；發現數據庫弱點和補丁的層次。從而在此基礎上形成一個綜合的分析報告及修復建議。
（3）漏洞及病毒通報.系統在運行期間，計算機病毒及安全漏洞問題將是直接威脅整個系統運行的重要因素。因此，我們需要安全服務提供商定期提供定向計算機漏洞及病毒情況通報。借此，通過對這些情況的實時動態、快速的掌握，可提高管理部門的快速響應能力。
（4）風險評估。該系統需定期進行風險評估工作。有效地借助專業安全服務提供商的力量，來檢測本系統現行情況的安全現狀。
（5）系統安全加固。安全服務提供商需指派專業人員定期針對加固的系統進行漏洞掃描、攻擊、滲透等方面的測試，確保核心設備、核心系統的加固有效性，并及時報告系統加固現狀。在業務系統上線之前檢查安全配置情況，并提供安全加固建議。安全加固是指針對政府門戶網站的服務器、安全設備的安全加固和安全配置優化，對網絡設備的安全加固建議。通過定期的加固工作，將系統的安全狀況提升到一個較高的水平。將在漏洞掃描、安全審計、滲透測試的報告結果基礎上，對服務器、安全設備等方面存在的各類脆弱性問題進行提煉歸納，提出合理的切實可行的安全加固方案。安全加固方案在提交并經過用戶方評審、許可后，進行安全加固實施，同時，必須指導、協助對各應用系統的操作系統、數據庫系統、中間件和應用程序的安全配置、安全策略和安全機制進行電子政務云計算中心加固和完善，使應用系統符合安全防護要求，保證該信息系統的安全可靠運行。
3.5.1應急響應目標
及時響應信息系統的安全緊急事件，保證事件的損失降到最小。包括如下目標：
（1）7*24*365快速響應服務（本地），提供全天候的緊急響應服務，本地在2個小時內到達現場；
（2）判定安全事件類型，從網絡流量、系統和IDS日志記錄、桌面日志中判斷安全事件類型。查明安全事件原因，確定安全事件的威脅和破壞的嚴重程度。查明安全事件原因，確定安全事件的威脅和破壞的嚴重程度：
（3）抑制事態發展，抑制事態發展是為了將事故的損害降低到最小化。在這一步中，通常會將受影響系統和服務隔離。這一點對保持系統的可用性是非常重要的；
（4）排除系統故障，針對發現的安全事件來源，排除潛在的隱患，消除安全威脅，徹底解決安全問題；
（5）恢復信息系統正常操作，在根除問題后，將已經被攻擊設備或由于事故造成的系統損壞做恢復性工作，使網絡系統能在盡可能短的時間內恢復正常的網絡服務；
（6）信息系統安全加固，對系統中發現的漏洞進行安全加固，消除安全隱患；
（7）重新評估信息系統的安全性能，重新評價系統的安全特性，確保在一定的時間范圍內，不發生同類的安全事件。
3.5.2應急響應內容
應急響應是處理各種惡意攻擊帶來的緊急破壞效果，這里包括如下方面：
（1）拒絕服務響應，當網絡遭受大量通信訪問而造成我們正常業務無法提供服務的時候，必須采取措施，將惡意訪問抵擋在業務范圍之外；
（2）數據破壞響應，當服務器的相關環節，包括文件服務器，網站服務器，數據庫服務器等的數據被惡意破壞，導致無法正常提供服務，并且此類現象可能還會重現；
（3）病毒蠕蟲響應，當網絡遭受到病毒蠕蟲的攻擊，導致正常辦公網絡癱瘓無法正常實施業務，必須采取根治措施，去除惡意影響；
（4）其他情況應急響應，除了上面列明外，包括惡意竊聽、代碼攻擊、網絡欺騙等，需要進一步找到攻擊根源，去除漏洞。
3.6等級保護測評
聘請第三方信息安全等級保護測評公司進行網站系統相關軟硬件是否達到信息安全等級保護三級的要求，并出具測評證書。
4建立及完善安全管理機制和網站維護隊伍
針對政府門戶網站的功能及特點，有針對性地編制門戶網站安全管理制度及落實相關負責人，保證門戶網站的內容更新、安全監察和數據交換。自身也需建立專業的網站維護隊伍，明確門戶網站每天必做的各項工作到具體的維護人員，定期進行檢查和監控，及時發現網站異常，處理來自外部的各種惡意攻擊。并根據安全廠商及國家安全管理部門的各項網絡攻擊預警報告進行網站程序和數據庫安全防護方面的代碼升級。
作者：徐龍 單位：重慶市公安局交通管理局科研所