【51CTO.com 綜合消息】國外黑客組織猖狂，我國政府網(wǎng)站受到嚴重安全威脅

據(jù) CNCERT 監(jiān)測統(tǒng)計，名為Barbaros-DZ 的阿爾及利亞黑客組織在2012 年3 月14 日至2013 年1 月14 日期間，至少篡改了我國1250 個政府網(wǎng)站頁面，并在網(wǎng)上發(fā)布了相關(guān)信息。目前仍有部分網(wǎng)站尚未恢復。歷史篡改頁面的鏡像截圖樣例如下：　　　

國外黑客組織猖狂的行為， 不僅嚴重損害了我國政府的形象，更是對我國信息安全防御能力的公然挑釁。因此，隨著電子政務工作的深入開展，做好網(wǎng)站安全防護，將成為我國政府信息化建設(shè)工作的重中之重?！　　?/p>

我國政府網(wǎng)站存在的安全問題　　

CNCERT 對近期被Barbaros-DZ 組織篡改的部分我國政府網(wǎng)站進行安全評估，發(fā)現(xiàn)這些政府網(wǎng)站均采用了免費開源軟件PowerEasy SiteWeaver CMS 的6.6 及6.6 以下的版本作為站點建設(shè)和管理軟件，而這些軟件均存在一個SQL 注入漏洞，而該漏洞的攻擊代碼早在2009 年2 月20 日就已經(jīng)被披露。通過該漏洞，黑客可以對數(shù)據(jù)表執(zhí)行用戶數(shù)據(jù)新增或編輯等操作，包括變更用戶名、郵箱等?！　?/p>

以上評估結(jié)果也映射出我國大多數(shù)政府網(wǎng)站的安全現(xiàn)狀。這些政府單位對網(wǎng)站安全仍然缺乏足夠的認識。網(wǎng)站的安全體系十分脆弱，對于安全事件并不具備預警、防護以及恢復的能力。主要表現(xiàn)在以下幾個方面：

 ◆缺少對網(wǎng)站系統(tǒng)安全性的整體評估　　

政府網(wǎng)站建設(shè)完成后， 服務商往往只會做一些功能性的測試就馬上將其上線運行。缺少整體的安全性測試。也因此不能及時發(fā)現(xiàn)網(wǎng)站系統(tǒng)所存在的安全漏洞。這些漏洞如果不及時修補，很容易被黑客所利用，最終對網(wǎng)站造成嚴重危害。

◆對于WEB攻擊的防護能力有限　　

據(jù)統(tǒng)計調(diào)查， 現(xiàn)階段政府網(wǎng)站系統(tǒng)的安全措施還多數(shù)僅限于購置防火墻等對病毒的防護，但是現(xiàn)行的各類攻擊行為，如SQL注入、XSS等，大多是利用WEB服務軟件以及網(wǎng)站程序自身的漏洞和缺陷進行攻擊，而政府機構(gòu)原有的安全措施（如安裝防火墻、入侵檢測）則主要集中在網(wǎng)絡(luò)層上，無法對此類攻擊事件形成有效的監(jiān)控和防護。

◆被攻擊后不能及時恢復　　

很多政府網(wǎng)站被篡改后，因為系統(tǒng)缺少有效的恢復機制，導致被篡改的頁面公布于眾，給政府單位造成十分惡劣的影響。還有些網(wǎng)站雖然在接到報告后能夠恢復，但由于缺乏必要的經(jīng)常性維護，并沒有根除安全隱患，從而遭到多次篡改?！　?/p>

天融信提供政府網(wǎng)站安全解決方案　　

天融信公司作為國內(nèi)信息安全行業(yè)的領(lǐng)導廠商，憑借在政府信息安全系統(tǒng)建設(shè)方面積累的豐富經(jīng)驗，通過對網(wǎng)站應用及安全風險進行深入分析，推出“政府網(wǎng)站安全解決方案”，全力保衛(wèi)我國政府網(wǎng)站安全?！　?/p>

天融信“政府網(wǎng)站安全解決方案”深刻理解政府網(wǎng)站的性質(zhì)及業(yè)務特點。通過綜合部署天融信WEB應用脆弱性評估與管理系統(tǒng)（TopWVS）、WEB應用安全網(wǎng)關(guān)設(shè)備（TopWAF）及網(wǎng)頁防篡改系統(tǒng)。對安全事件發(fā)生時序各個階段實施周密的安全策略。以達到事前預警、事中防護以及事后恢復的方案效果　　

圖1：政府網(wǎng)站防護方案典型部署

◆事前——全面檢測WEB應用自身的脆弱性，提供預防解決方案。　　

天融信TopWVS全面支持WEB漏洞檢測、網(wǎng)頁木馬檢測、滲透測試及配置審計等功能，通過自動生成的風險評估報告，可以幫助管理員充分了解政府網(wǎng)站存在的安全隱患。并根據(jù)報告中的安全加固建議，對網(wǎng)站系統(tǒng)進行修復及改進。從而建立安全可靠的WEB應用服務，提升應用系統(tǒng)抗各類WEB應用攻擊的能力（如：注入攻擊、跨站腳本、釣魚攻擊、信息泄漏、惡意編碼、表單繞過、緩沖區(qū)溢出等），協(xié)助管理員滿足等級保護、PCI、內(nèi)控審計等規(guī)范要求。

圖2：TopWVS全面評估網(wǎng)站安全性

◆事中——應用多維防護體系，有效應對多種WEB安全威脅。        

天融信TopWAF采用先進的多維防護體系，對HTTP數(shù)據(jù)流進行深度分析。通過對WEB應用安全的深入研究，固化了一套針對WEB攻擊防護的專用特征規(guī)則庫，規(guī)則涵蓋諸如SQL注入、XSS（跨站腳本攻擊）等OWASP TOP10中的WEB應用安全風險，及緩沖區(qū)溢出、CGI掃描、遍歷目錄、OS命令注入等當今黑客常用的針對WEB基礎(chǔ)架構(gòu)的攻擊手段。此外，TopWAF產(chǎn)品具備專業(yè)的抗DDoS功能，對于網(wǎng)絡(luò)層及應用層的DDoS攻擊進行有效控制，如SYN Flood、UDP Flood 、CC攻擊等。

圖3：TopWAF防護各種類型的WEB攻擊

◆事后——領(lǐng)先的技術(shù)實現(xiàn)網(wǎng)頁防篡改，強大的業(yè)務智能分析提供決策依據(jù)?！?/strong>