【51CTO.com 综合报道】新疆移动门户及业务系统网站作为新疆移动对外展示与服务的窗口，代表着新疆移动的企业形象，随着网络环境的复杂及新疆移动各网站用户的持续增长，新疆移动门户及业务系统网站将会成为新疆具有极大影响力的网站。网站巨大的政治影响和商业利益将会带来越来越多黑客的注意，被攻击的可能性和被攻破的可能性大大增加。
新疆移动业务网机房的部分在线业务服务器运行在互联网开放的网络环境中，存在着一定的安全隐患。即使现有业务网已部署了防火墙等安全设备，但由于网络层安全设备的功能局限性，如果攻击者利用应用层及以上的安全漏洞进行攻击，各业务系统仍存在着被攻击或被篡改等安全事件的发生。因此，对门户及业务系统网站进行安全加固，防患于未然就显得非常重要。
本次项目针对新疆移动两个系统：新疆移动彩铃PORTAL区以及自有业务区进行网页防篡改防护建设。针对新疆移动门户网站现状分析，系统存在一下安全隐患及风险：
攻击方式分析
随着Web应用越来越为丰富，Web Server以其强大的计算能力和处理性能逐渐成为攻击的目标。网页篡改、敏感信息泄露、拒绝服务、蠕虫等等直接影响了网站的正常工作。
以常见的Web攻击为例，共分为两类：一是利用Web服务器的漏洞进行攻击，如CGI缓冲区溢出、非法输入、强制访问、目录遍历漏洞利用等攻击；二是利用网页自身的安全漏洞进行攻击，如SQL注入、跨站脚本攻击等。这些攻击基于web应用的安全漏洞，数量多，变化快，防护困难，给用户造成很大的威胁。
防火墙的局限
绝大多数人在谈到网络安全时，首先会想到“防火墙”。防火墙得到了广泛的部署，企业一般采用防火墙作为安全保障体系的第一道防线，防御黑客攻击。但是，随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙已经无法满足Web应用防护的需求。防火墙的不足主要体现在： 传统的防火墙作为访问控制设备，主要基于IP报文进行检测。有一些定位比较综合、提供丰富功能的防火墙，也具备一定程度的应用层防御能力，但局限于最初产品的定位以及对Web应用攻击的研究深度不够，只能提供有限的Web应用防护，难以解决当前众多的Web应用安全问题，如SQL注入、跨站脚本引发的网页篡改及敏感信息泄露等。
网站脆弱性分析
我们将安全脆弱性分为如下层次进行分析：
物理层次：目前网站主要还是依赖一台服务器提供服务，且线路也是唯一出口，这存在一定的单点故障。
网络层次：网络层面的攻击主要集中在网络设备的漏洞方面，对于整个网站所连接的交换路由以及防火墙会存在一定的脆弱性。
系统层次：系统层次上主要是不断发现的各种安全漏洞，包括本地溢出，远程溢出等脆弱性问题。由于操作系统都不可避免的存在bug，包括安全方面的bug，因此系统本身的脆弱性是不可能完全避免的，只能在一定时间内减少和降低危害。
应用层次：应用层次的脆弱性最为复杂，包括了常见应用，如WWW服务程序中可能存在的安全漏洞，WEB开发中的安全隐患以及网站管理系统都可能成为被攻击者所利用。
管理层次：管理层次上面临的脆弱性主要包括安全制度缺乏，安全制度执与监督不力，没有统一的安全策略，密码管理及验证和机房管理松懈等。
针对新疆移动网页防篡改系统建设项目的需求，我们采取UnisGurard网页防篡改系统进行实行防护，从关键技术上彻底解决网站安全隐患问题，保证新疆移动门户网站安全运行。
网页防篡改系统设计
根据对新疆移动门户网站的需求分析，系统需在彩铃Portal及自有业务两个区域分别部署UnisGurard网页防篡改保护系统，保证网站内容不会恶意篡改，完善网站安全防护体系。
我们本次方案采用的UnisGurard网页防篡改产品需为新疆移动门户网站提供完整保护，采用目前最先进的系统驱动级文件保护技术，基于事件触发式监测机制，高效实现了网页监测与实时内容恢复功能，彻底杜绝了网站被非法篡改的可能。其性能、灵活性以及安全性远远高于传统类防护技术，恢复时间达到毫秒级，支持各类网页格式，占用系统资源极少，低于2%，无需增加额外设备，不改变现有网络架构。
操作系统类型支持windows/Linux/Unix等。采用基于文件过滤驱动保护技术和事件触发机制相结合方式。控制台与客户端之间的管理方式，分为一对一（即一个控制台仅可管理一个客户端）、一对多（即一个控制台可同时管理多个客户端）和多对多模式。#p#
产品选型及服务器配置
（1） UnisGuard系统组成
UnisGuard网页防篡改保护系统由四个关联使用的子系统构成，分别是：
管理中心（简称MC）
监控代理（简称WA）
网络事件监控引擎（简称WSP）
文件客户端（简称FC）
系统的总体结构图如下图：
WA（监控代理）
部署：运行在站点服务器上，一台web服务器（指物理服务器，非逻辑服务器、虚拟服务器）需要且只需要部署一套WA。WA是一个后台进程，系统启动以后自动运行，不需要人为干预。
功能：WA设定的安全保护策略对本服务器上的站点（一个或多个，多个为虚拟站点）及数据库进行保护，验证客户端系统用户身份的合法性，防止非授权用户对站点文件、目录及数据库进行非法操作和篡改；一旦网页被篡改，与MC端合作实时恢复被篡改的网页；系统为所有需保护的网页计算出具有唯一性的数字水印。公众每次访问网页/主页时，系统都将访问网页与数字水印进行对比计算，一旦发现网页/主页被非法修改，则立即进行自动恢复，保证非法网页/主页内容不被公众浏览；
WSP(网络事件监控引擎)
部署：运行在站点服务器上，一台web服务器（指物理服务器，非逻辑服务器、虚拟服务器）需要且只需要部署一套WSP。
功能：MC同时可以根据设置的关键词对网站访问者通过HTTP POST提交的信息进行匹配，如果命中关键词，则可进行报警和阻止POST提交，保证非法信息不被发布；
MC（管理中心）
软件版部署：根据维护工作需要，可运行在任意远程网站维护终端上。
硬件版部署：B/S架构。
功能：对用户进行合法身份认证，对服务器端系统进行安全保护策略设定，与服务器端系统执行通讯保护，负责管理监控代理和备份文件，以及监控信息、报警信息的审计、处理等工作。
FC（文件客户端）
部署：该工具可以在任意一台windows系统上安装运行；
功能：主要负责对监控网站进行远程维护，进行网页文件的上传、删除和修改。
（2）UnisGuard功能介绍
网页文件保护:服务器端保护系统模块采用动态访问控制技术，对网页文件提供实时、动态保护，未经授权的非法访问行为一律进行拦截，从而防止非法人员篡改、删除受保护的文件，确保网页文件的完整性。具有实时报警和记录详细日志等其他功能。支持监控保护动态网页文件，如符合JSP、ASP、PHP、Servlet 等技术规范的文件。
网络攻击防护：系统实现基于内嵌于各种Web服务器中的插件，这些插件可以截获每个访问被监控网页的Http请求，访问请求进行入侵检测规则匹配，可以防止SQL注入等常见网页攻击。并实时报警、并且记录详细日志，在入侵企图的情况下，将自动通过E-MCil、SMS等多种方式报警，通知网站服务器管理员。
通过中心端进行站点的管理：可以通过中心端直接对各个站点进行运行状态监控和管理。包括站点的状态查看，对各个站点进行远程关闭，禁用和启用。下发报警和安全保护策略，接收客户端的报警信息，对控管信息和报警信息进行统计分析。
网站发布：用户通过MC系统发布页面将网页上传到MC上， MC使用安全散列函数计算出网页的数字水印，作为网页篡改鉴别的依据。MC与WA进行相互的身份鉴别，然后MC将用户上传的网页传到Web服务器上相应的站点目录中。
网站的备份还原：系统提供了站点数据的备份还原的功能，可对站点目录文件和数据库进行完整的备份，必要时可以即时还原，从多层面保障网站数据的安全。
非法网页内容屏蔽：在网页因为意外原因被篡改的情况下，系统自动屏蔽“非法网页”，确保这些非法网页不被客户访问，避免造成不良影响。针对不同种类的Web服务器、同一种Web服务器的不同版本编制不同插件；这个功能对每个访问被监控网页的Http请求都要进行校验。
网站及论坛信息自动收集：对网站服务器上的发布的信息内容包括论坛信息内容进行自动收集，并将其存储到MC系统数据库中。
敏感信息自动预警和处置：系统实现基于内嵌于各种Web服务器中的插件，这些插件可以截获每个post请求，检测，如果发现这些网页提交或发贴内容中包含预先设置的敏感关键词，则会对相应的post请求终止处理，避免造成不良影响。
同时UnisGuard还提供实时报警、用户管理、日志管理等多项功能。
在网站被攻击的各类情况中，网站页面被篡改、被挂马等事件给公司及用户都带来不利的影响，影响面广，用户感知大，性质恶劣。针对目前新疆移动门户业务网站的安全现状，根据总集团信息办的相关要求及建议，结合相关省份的应用经验，为有效的保障现有各生产系统的安全，新疆移动部署了目前在其他省份部署比较广泛的网页防篡改系统(UnisGuard)作为有效的应用层安全防护体系及有效的防护机制，来保障业务的安全稳定运行。
【编辑推荐】
