注重政府網站安全 專家支招黑客防攻術
國內發生了多宗政府網站被黑事件
遼寧省食品安全網被黑，黑客留言提醒管理員修補服務器;安徽省淮北市烈山區政府網站被黑，公開信中發現了諸如減肥、除粉刺等小廣告鏈接。據了解，該政府網站遭遇“掛馬”并非個案，類似通過“黑”政府網站牟利的行為已構成一個產業鏈，政府網站因其在搜索引擎中排名靠前、能給廣告所屬網站帶來更多流量而備受黑客青睞。來自工信部的統計信息顯示：去年1月4日至10日，一周內境內被篡改的政府網站數量為178個。
黑客永遠是安全界的天敵，相反只有黑客技術才能推進網絡安全的發展，兩者是相輔相成的。然而面對現在眾多的網絡黑客，政府網站到底該做哪些東西才能將安全進行到底呢?這是很現實的問題。我們在譴責黑客的同時，也在思考另一個問題，怎么樣來保障我們的政府網站安全運行?政府網站建設的時候又要注意什么?為此，記者走訪了網站安全防范專家。
專家支招一：重視網站系統安全，嚴防第一道鎖
構建安全服務器的環境，只是從外圍進行阻擊“黑客”的攻擊，但更重要的還是要保障網站系統安全，防止黑客利用系統漏洞進行攻擊，從而威脅網站安全。
據動易公司網絡安全專家介紹：根據OWASP 組織發布的 Web 應用程序脆弱性10大排名的統計結果表明，跨站腳本、注入漏洞、跨站請求偽造、信息泄露等方面的問題仍然是目前黑客流行的攻擊方式，而其中尤以SQL注入攻擊和跨站腳本攻擊為重，所謂的SQL注入攻擊就是利用程序員在編寫代碼時沒有對用戶輸入數據的合法性進行判斷，導致入侵者可以通過插入并執行惡意SQL命令，獲得數據讀取和修改的權限;而跨站腳本攻擊則是通過在網頁中加入惡意代碼，當訪問者瀏覽網頁時，惡意代碼會被執行或者通過給管理員發信息的方式誘使管理員瀏覽，從而獲得管理員權限，控制整個網站。
那么，對這種黑客攻擊方式有沒有有效的安全手段進行阻擊呢?據悉，在SmartGov 政府網站管理系統開發中，針對各種攻擊方式都制定了相應完整的防御方案，并且借助 ASP.NET 的特性和功能，可以有效的抵制惡意用戶對網站進行的攻擊，提高網站的安全性，但就針對目前SQL注入攻擊和跨站腳本攻擊，其更加有效的阻擊手段是什么呢?動易網絡安全專家向我們介紹了一些安全手段：
(一)對于SQL注入攻擊：動易系統采用對SQL查詢語句中的查詢參數進行過濾;使用類型安全的SQL參數化查詢方式，從根本上解決SQL注入的問題;URL參數類型、數量、范圍限制功能，解決惡意用戶通過地址欄惡意攻擊的問題等，這些手段是控制SQL注入的，還包括其它的一些過濾處理，和其它的對用戶輸入數據的驗證來防止SQL注入攻擊。
(二)：對于跨站腳本攻擊：在對于不支持HTML的內容直接實行編碼處理的辦法，來從根本上解決跨站問題。而對于支持HTML的內容，動易公司有專門的過濾函數，會對數據進行安全處理(依據XSS攻擊庫的攻擊實例)，雖然這種方式目前是安全的，但不代表以后也一定是安全的，因為攻擊手段會不斷翻新，動易公司的過濾函數庫也會不斷更新。
另外對于外站訪問和直接訪問我們也做了判斷，從一定程度上也可以避免跨站攻擊。即使出現了跨站攻擊，我們也會將攻擊的影響減到最小：一、對于后臺一些會顯示HTML內容的地方，通過frame的安全屬性security="restricted"來阻止腳本的運行(IE有效);二、使用Cookie的HttpOnly屬性來防止Cookie通過腳本泄密(IE6 SP1以上、Firefox 3);三、身份驗證票據都是加密過的;四、推薦使用更高版本的IE或者FF。
專家支招二： 構建安全服務器環境，布控第二把鎖
構建安全服務器環境，布控第二把鎖。但構建安全的服務器環境來抵御“黑客”攻擊，其涉及面相當廣，但就政府網站而言，大致可從三個方面來進行：
(一)：技術層面：采用軟硬件防火墻、殺毒軟件、頁面防篡改系統來建立一個結構上較完善的Web服務器環境;
(二)：服務方面，進行網絡拓撲分析、建立中心機房管理制度、建立操作系統以及防病毒軟件定期升級機制、對重要服務器的訪問日志進行備份，通過這些服務，增強網絡的抗干擾性;
(三)：支持方面，要求服務商提供故障排除服務，以提高網絡的可靠性。
要提高網站安全性，降低黑客攻擊風險，網站管理員就應及時給自己的網站程序打上最新的補丁，在開發的時候應加強安全意識，注意防止注入漏洞、上傳漏洞等問題，同時把網站托管在技術實力強、安全系數高、能主動幫客戶解決安全的服務商處，以確保網站安全運行環境的安全。
相關新聞
中國一周178個政府網站被攻擊篡改
中國計算機學會理事呂京建認為，當前我國政府網站大多很脆弱，易受攻擊。對于政府網站的攻擊者，呂京建認為有幾種可能性，一種是有組織的恐怖組織;一種是個別網絡黑客得不到引導惡作劇;還有可能是民間的網絡部隊認為自己沒得到重視，借以攻擊政府網站希望被注意。
政府網站中，尤其是市縣一級政府網絡還非常脆弱，沒有很強的網絡維護隊伍，今后這些問題還會越來越明顯。應該盡快建立一個全民網絡信息安全體系。
【編輯推薦】
