1.概述
政府網(wǎng)站是政府職能部門(mén)信息化建設(shè)的重要內(nèi)容，同時(shí)也是對(duì)外宣傳政府形象、發(fā)布行業(yè)信息、開(kāi)展電子政務(wù)的主要平臺(tái)，是國(guó)家重要信息系統(tǒng)。
而近年來(lái)，隨著政府網(wǎng)站所承載業(yè)務(wù)的數(shù)量和重要性逐漸增加，以及其面向公眾的性質(zhì)，關(guān)于政府門(mén)戶網(wǎng)站被篡改、網(wǎng)絡(luò)釣魚(yú)、SQL注入和跨站腳本等帶來(lái)嚴(yán)重后果的攻擊事件頻頻發(fā)生，嚴(yán)重影響了人們對(duì)政府網(wǎng)站公信力的認(rèn)可，政府網(wǎng)站安全形勢(shì)日益嚴(yán)峻，而政府網(wǎng)站被攻擊后造成的巨大政治風(fēng)險(xiǎn)、名譽(yù)損失、公信力下降已經(jīng)成為電子政務(wù)健康發(fā)展的一個(gè)巨大障礙。
另外，目前多數(shù)政府網(wǎng)站在安全建設(shè)過(guò)程依然存在重應(yīng)用輕安全現(xiàn)象，網(wǎng)站整體安全性差，缺乏必要的經(jīng)常性維護(hù)。而且現(xiàn)有政府網(wǎng)站安全管理、防范措施、安全意識(shí)薄弱，極易遭到黑客攻擊。
隨著等級(jí)保護(hù)工作的深入開(kāi)展，國(guó)家相關(guān)監(jiān)管機(jī)構(gòu)近幾年也對(duì)于政府網(wǎng)站安全有了明確的要求和相關(guān)檢查工作，2011年國(guó)務(wù)院辦公廳下發(fā)了《關(guān)于進(jìn)一步加強(qiáng)政府網(wǎng)站管理工作的通知》（國(guó)辦函【2011】40號(hào)），以及2012年《關(guān)于大力推進(jìn)信息化發(fā)展和切實(shí)保障信息安全的若干意見(jiàn)》國(guó)發(fā)〔2012〕23號(hào)文件中，都提出了對(duì)于政府網(wǎng)站需要切實(shí)提高防攻擊、防篡改、防病毒、防癱瘓、防竊密能力。其中政府網(wǎng)站屬于國(guó)家重要信息系統(tǒng)，是國(guó)家等級(jí)保護(hù)測(cè)評(píng)和檢查重點(diǎn)。
2.防護(hù)方案
政府網(wǎng)站普遍存在業(yè)務(wù)數(shù)據(jù)機(jī)密性要求高、業(yè)務(wù)連續(xù)性要求強(qiáng)、網(wǎng)絡(luò)結(jié)構(gòu)相對(duì)封閉、信息系統(tǒng)架構(gòu)形式多樣等特點(diǎn)。而政府網(wǎng)站所面臨的安全風(fēng)險(xiǎn)貫穿前端WEB訪問(wèn)到后端數(shù)據(jù)處理和反饋整個(gè)過(guò)程。因此，對(duì)于一個(gè)定制化開(kāi)發(fā)的政府門(mén)戶網(wǎng)站來(lái)說(shuō)，從其規(guī)劃和開(kāi)發(fā)階段就要引入相應(yīng)的安全建設(shè)。而對(duì)于大多數(shù)已投入使用的政府門(mén)戶網(wǎng)站而言，由于不太可能投入大量的人力去重新開(kāi)發(fā)或做大規(guī)模的代碼級(jí)整改，因此如何在運(yùn)行階段進(jìn)行有效的安全防護(hù)成為關(guān)注的焦點(diǎn)。
在本方案中，我們重點(diǎn)描述運(yùn)維階段中對(duì)網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層的安全防護(hù)體系。
1、DDoS防御：在Internet出口處部署一臺(tái)抗DDOS攻擊防護(hù)系統(tǒng)，用于防護(hù)來(lái)自外網(wǎng)的拒絕服務(wù)攻擊；
2、網(wǎng)絡(luò)訪問(wèn)控制：利用防火墻進(jìn)行訪問(wèn)控制，防止不必要的服務(wù)請(qǐng)求進(jìn)入網(wǎng)站系統(tǒng)，減少被攻擊的可能性；
3、系統(tǒng)安全加固：找出主機(jī)系統(tǒng)、網(wǎng)絡(luò)設(shè)備及其他設(shè)備系統(tǒng)中存在的補(bǔ)丁漏洞和配置漏洞，進(jìn)行加固，以保障系統(tǒng)的安全性；
4、應(yīng)用層防護(hù)：在網(wǎng)站服務(wù)器前部署一臺(tái)Web應(yīng)用防護(hù)系統(tǒng)，通過(guò)Web應(yīng)用防護(hù)系統(tǒng)有效控制和緩解HTTP及HTTPS應(yīng)用下各類(lèi)安全威脅，如SQL注入、XSS、CSRF、cookie篡改以及應(yīng)用層DDoS等，有效應(yīng)對(duì)網(wǎng)頁(yè)篡改、網(wǎng)頁(yè)掛馬、敏感信息泄露等安全問(wèn)題，充分保障門(mén)戶網(wǎng)站的高可用性和可靠性。
5、網(wǎng)頁(yè)防篡改：在Web服務(wù)器系統(tǒng)上部署網(wǎng)頁(yè)防篡改系統(tǒng)，針對(duì)Web應(yīng)用網(wǎng)頁(yè)和文件進(jìn)行防護(hù)。
6、網(wǎng)站安全監(jiān)測(cè)：通過(guò)專(zhuān)業(yè)化的托管式服務(wù)來(lái)實(shí)時(shí)監(jiān)測(cè)和周期度量網(wǎng)站的風(fēng)險(xiǎn)隱患，評(píng)估網(wǎng)站的安全狀態(tài)，衡量改進(jìn)情況。為政府用戶提供基于網(wǎng)站訪問(wèn)行為、基于安全事件事前、事中、事后的7×24小時(shí)安全運(yùn)營(yíng)解決方案。
3.方案價(jià)值
? 提升WEB安全整體防御效果，有效抵御各類(lèi)攻擊。
? 維護(hù)和提升政府機(jī)構(gòu)的形象和公信力；
? 解決政府機(jī)構(gòu)運(yùn)維人員專(zhuān)業(yè)安全分析能力不足問(wèn)題；
? 滿足來(lái)自國(guó)家及行業(yè)監(jiān)管部門(mén)的合規(guī)性安全檢查要求；
? 協(xié)助安全事件取證以及事后追溯；
? 減輕重大節(jié)假日或重大事件時(shí)增加的網(wǎng)站安全監(jiān)測(cè)與防護(hù)要求壓力；
4.方案優(yōu)勢(shì)
? 遵循WEB應(yīng)用生命周期的客觀規(guī)律；
? 遵循由點(diǎn)到面的整體防御體系，避免“安全孤島”；
? 強(qiáng)調(diào)安全產(chǎn)品和安全服務(wù)相結(jié)合模式的支撐作用；
? 基于安全事件事前、事中、事后的7×24小時(shí)的WEB安全運(yùn)營(yíng)方式。
? 依托云平臺(tái)技術(shù)，實(shí)現(xiàn)專(zhuān)業(yè)安全產(chǎn)品和專(zhuān)家團(tuán)隊(duì)的云監(jiān)護(hù)安全服務(wù)。