【51CTO.com 綜合消息】國外黑客組織猖狂，我國政府網站受到嚴重安全威脅

據 CNCERT 監測統計，名為Barbaros-DZ 的阿爾及利亞黑客組織在2012 年3 月14 日至2013 年1 月14 日期間，至少篡改了我國1250 個政府網站頁面，并在網上發布了相關信息。目前仍有部分網站尚未恢復。歷史篡改頁面的鏡像截圖樣例如下：　　　

國外黑客組織猖狂的行為， 不僅嚴重損害了我國政府的形象，更是對我國信息安全防御能力的公然挑釁。因此，隨著電子政務工作的深入開展，做好網站安全防護，將成為我國政府信息化建設工作的重中之重。　　　

我國政府網站存在的安全問題　　

CNCERT 對近期被Barbaros-DZ 組織篡改的部分我國政府網站進行安全評估，發現這些政府網站均采用了免費開源軟件PowerEasy SiteWeaver CMS 的6.6 及6.6 以下的版本作為站點建設和管理軟件，而這些軟件均存在一個SQL 注入漏洞，而該漏洞的攻擊代碼早在2009 年2 月20 日就已經被披露。通過該漏洞，黑客可以對數據表執行用戶數據新增或編輯等操作，包括變更用戶名、郵箱等。　　

以上評估結果也映射出我國大多數政府網站的安全現狀。這些政府單位對網站安全仍然缺乏足夠的認識。網站的安全體系十分脆弱，對于安全事件并不具備預警、防護以及恢復的能力。主要表現在以下幾個方面：

 ◆缺少對網站系統安全性的整體評估　　

政府網站建設完成后， 服務商往往只會做一些功能性的測試就馬上將其上線運行。缺少整體的安全性測試。也因此不能及時發現網站系統所存在的安全漏洞。這些漏洞如果不及時修補，很容易被黑客所利用，最終對網站造成嚴重危害。

◆對于WEB攻擊的防護能力有限　　

據統計調查， 現階段政府網站系統的安全措施還多數僅限于購置防火墻等對病毒的防護，但是現行的各類攻擊行為，如SQL注入、XSS等，大多是利用WEB服務軟件以及網站程序自身的漏洞和缺陷進行攻擊，而政府機構原有的安全措施（如安裝防火墻、入侵檢測）則主要集中在網絡層上，無法對此類攻擊事件形成有效的監控和防護。

◆被攻擊后不能及時恢復　　

很多政府網站被篡改后，因為系統缺少有效的恢復機制，導致被篡改的頁面公布于眾，給政府單位造成十分惡劣的影響。還有些網站雖然在接到報告后能夠恢復，但由于缺乏必要的經常性維護，并沒有根除安全隱患，從而遭到多次篡改。　　

天融信提供政府網站安全解決方案　　

天融信公司作為國內信息安全行業的領導廠商，憑借在政府信息安全系統建設方面積累的豐富經驗，通過對網站應用及安全風險進行深入分析，推出“政府網站安全解決方案”，全力保衛我國政府網站安全。　　

天融信“政府網站安全解決方案”深刻理解政府網站的性質及業務特點。通過綜合部署天融信WEB應用脆弱性評估與管理系統（TopWVS）、WEB應用安全網關設備（TopWAF）及網頁防篡改系統。對安全事件發生時序各個階段實施周密的安全策略。以達到事前預警、事中防護以及事后恢復的方案效果　　

圖1：政府網站防護方案典型部署

◆事前——全面檢測WEB應用自身的脆弱性，提供預防解決方案。　　

天融信TopWVS全面支持WEB漏洞檢測、網頁木馬檢測、滲透測試及配置審計等功能，通過自動生成的風險評估報告，可以幫助管理員充分了解政府網站存在的安全隱患。并根據報告中的安全加固建議，對網站系統進行修復及改進。從而建立安全可靠的WEB應用服務，提升應用系統抗各類WEB應用攻擊的能力（如：注入攻擊、跨站腳本、釣魚攻擊、信息泄漏、惡意編碼、表單繞過、緩沖區溢出等），協助管理員滿足等級保護、PCI、內控審計等規范要求。

圖2：TopWVS全面評估網站安全性

◆事中——應用多維防護體系，有效應對多種WEB安全威脅。        

天融信TopWAF采用先進的多維防護體系，對HTTP數據流進行深度分析。通過對WEB應用安全的深入研究，固化了一套針對WEB攻擊防護的專用特征規則庫，規則涵蓋諸如SQL注入、XSS（跨站腳本攻擊）等OWASP TOP10中的WEB應用安全風險，及緩沖區溢出、CGI掃描、遍歷目錄、OS命令注入等當今黑客常用的針對WEB基礎架構的攻擊手段。此外，TopWAF產品具備專業的抗DDoS功能，對于網絡層及應用層的DDoS攻擊進行有效控制，如SYN Flood、UDP Flood 、CC攻擊等。

圖3：TopWAF防護各種類型的WEB攻擊

◆事后——領先的技術實現網頁防篡改，強大的業務智能分析提供決策依據。　　

天融信網頁防篡改系統采用第三代網頁防篡改技術（增強型事件觸發+系統（內核）文件底層驅動過濾技術），對保護的對象（靜態網頁、動態執行腳本、文件夾）實時監測其屬性，一旦發現更改立刻阻斷非法篡改操作，阻止網頁文件被修改，并實時通知管理客戶端。此外，在系統遭受極限攻擊發生文件篡改現象，系統也會自動從可信端進行有效文件恢復，徹底地保證了網頁內容不被篡改。　　

同時，天融信TopWAF提供業內領先的業務智能分析功能。內容豐富，涵蓋網站業務數據智能分析、網站安全數據智能分析及網站管理數據智能分析三大模塊。展現形式為數據表格搭配統計圖示，效果清晰、直觀。為網站管理者提供有針對性的決策依據。

圖4：網頁防篡改系統的領先技術

經過在多個實際項目中的實施，天融信“政府網站安全解決方案”已被驗證是可行、可靠并且高效的解決方案。為政府網站提供了最完整的信息安全保護。在實際應用過程中，用戶可以根據網站實際情況，并結合信息安全專業分析建議，選擇最為合適的網站安全防護方案。