网站系统安全防护体系建设方案

网站系统安全防护体系建设方案目录一、需求说明 3二、网页防篡改解决方案 52。1 技术原理 52.2 部署结构 62.3 系统组成 62.4 集群与允余部署 82。5 方案特点 92。5。1 篡改检测和恢复 92.5.2 自动发布和同步 9三、WEB应用防护解决方案113。1 当前安全风险分析 1.13.2 防护计划 123。2。1 开发流程中加入安全性验证项目 123。2。2 对网站程序的源代码进行弱点检测123。2.3 导入网页应用程序漏洞列表作为审计项目 133.2。4部署Web应用防火墙进行防御143.3 WEB应用防火墙功能153.3.1 集中管控功能153.3.2 防护功能153。4 预期效益 16四、内容分发网络解决方案 174.1 内容分发网络简介 174。2 CDN 服务功能 174.3 CDN月务特点18五、负载均衡解决方案195.2 广域负载均衡205。3 关键功能和特点21六、应急响应服务体系236.1 事件分类与分级 236.1。1 事件分类 236。1.2 事件分级 236.1.3 预警服务事件严重等级 246。2 应急响应服务体系25一、需求说明针对 Web 应用防护安全需能实现以下功能：一、针对网站主页恶意篡改的监控,防护和快速恢复:（1）支持多种保护模式，防止静态和动态网页内容被非法篡改.（2）能够防止主页防护功能被恶意攻击者非法终止。（3）具备核心内嵌技术，能实现高效快速实现大规模的网页攻击防护。（4）支持实时检测和快速恢复功能。（5）支持多服务器、多站点的主页防护（6）支持对常见的多种网页文件类型的保护。（7）支持网页快照功能,根据需要即时提供快照页面,以满足客户端的访问。二、对 Web 网站进行多层次检测分析与应用防护：（1）有效保护网站静动态网页以及后台DB信息，实现多方位攻击防护。（2）灵活的策略设置，能够针对各个WEB应用的特点，设置个性化的防护策 略。（3）不反射保护网站（或WEB应用）程序代码防止受到各种已知攻击（如SQL注入，跨站脚本，钓鱼攻击等）和未知攻击；并能限制未授权用户透过网站 访问数据中心,防止入侵者的通信流程。（4）能够根据操作系统、应用平台及评估渗透工具等特征，形成完备的特征 库。综合并发连接、并发请求及流量限制，阻断攻击探测或扫描; 同时能 够对访问数据流进行协议检查，防止对WEB应用的恶意信息获取和特征收 集.三、行为审计：（1）能够记录和有效统计用户对WEB应用资源的访问，包括页面点击率、客户 对端地址、客户端类型、访问流量、访问时间及搜索引擎关键字信息；并 实现有效的用户行为访问统计分析，如基于区域的访问统计，便于识别 WEB 应用的访问群体是否符合预期，为应用优化提供依据。（2）对攻击来源和攻击行为支持分类记录探测,数据处理结果形成详细的统计及 排序，支持依据威胁的级别生成防护策略。（3）提供多种审计报表,为系统的安全审计提供详细的数据并作为可靠的决策依 据。四、支持多种 WEB 应用加速技术，减轻服务器负载：（1）支持 URL 级别的流量管理和负载均衡,提供对页面访问的并发连接与速率 进行控制，提高应用系统在资源紧张时的可用性。（2）具备访问过载保护能力，缓解 WEB 服务因访问量过大而造成的拒绝服务攻 击，提高系统承受应用层DOS攻击的服务能力。（3）及时发现 WEB 应用状态异常，迅速反馈应用服务活动状态，并选择最优秀服务连接。（4）支持轮询、最小负载、请求 URL 及加权等多种均衡策略，满足各种应用环 境下的均衡要求。（5）网站主页和WEB应用防护系统，需能分别以独立方式及互备方式部署在不 同机房。二、网页防篡改解决方案Web网站和Web应用系统除了采用常见的网络安全设备进行防护外，需要更有效的网 页防篡改系统来专门对页面内容进行保护，防止来自外部或内部的非授权人员对页 面和内容进行篡改和非法添加。2.1 技术原理防篡改体系除了 Web 服务器外，另外需部署发布服务器 :-发布服务器：位于内网中 ,本身处在相对安全的环境中，其上部署发布服务器软件。所有网 页的合法变更（包括增加、修改、删除、重命名 ）都在发布服务器上进行。发 布服务器上具有与 Web 服务器上的网页文件完全相同的目录结构，发布服务 器上的任何文件/目录的变化都会自动和立即地反映到 Web 服务器的相应位置 上,文件/目录变更的方法可以是任意方式的（例如:FTP、SFTP、RCP、NFS、文件共享等）网页变更后，“发布服务器软件”将其同步到 Web服务器 上.-Web服务器：位于 Internet/DMZ 中,本身处在不安全的环境中，其上部署 Web 服务器端防篡 改模块及内容同步软件模块。防篡改系统的运行原理： 防篡改对所有网页元素（包括静态页面、动态脚本、图像文件、多媒体文件以及所有 能以 URL 形式访问的实体） 在发布时进行 128 位密钥的 HMACMD5（RFC2104）计算，生成唯一的、不可逆转的和不可伪造的数字水印。浏览者请求访问任一网页元素时，篡改检测模块 （作为 Web 服务器软件的一部 分）读出网页元素的内容重新计算数字水印，并与之前存储的数字水印进行比 对，网页元素的任何篡改都能够被可靠地计算出来。 防窃听任何通信实体（包括发布服务器和 Web 服务器和控制台）之间采用工业标准的 SSL3.0/TLS1.0安全通讯协议（RFC2246）,确保网页元素文件和数字水印数据 流在通信过程中不被黑客窃取和分析. 身份鉴别通信实体间进行强身份鉴别。首先,Web服务器要确保上传文件的发布服务器的 身份真实性，不能接受伪造的发布服务器上传的文件；其次，发布服务器要确保 是在与Web服务器通信，确保发送的文件能够到Web服务器上因此，双方彼 此都进了身份鉴别亦即：发布服务器采用客户端数字证书与Web服务器通讯, 同时也验证Web服务器数字证书的真实性。2.2 部署结构目前，大部分网站都使用内容管理系统（CMS ）来管理网页产生的全过程，包括 网页的编辑、审核、签发和合成等 .在网站的网络拓扑中，发布服务器部署在原有 的内容管理系统和 Web服务器之间，下图表明三者之间的关系发布服务器上具有与 Web 服务器上的网站文件完全相同的目录结构 ,任何文件/目 录的变化都会自动映射到 Web服务器的相应位置上网页的合法变更（包括增加、修改、删除、重命名 ）都在发布服务器上进行 ,变更 的手段可以是任意方式的（例如： FTP、 SFTP 、RCP 、NFS 、文件共享等） 。网页 变更后 ,发布服务器将其同步到 Web 服务器上。无论什么情况下，不允许直接变 更 Web 服务器上的页面文件。下图为防篡改系统的逻辑部署图。若无多余服务器可供使用 ,则发布服务器可与内 容管理服务器建构在同一服务器上：2.3 系统组成从逻辑上，防篡改系统由页面保护子系统、自动发布子系统和监控管理子系统组成，三 部分的关系如下图所示。页面保护子系统页面保护子系统是系统的核心，内嵌在 Web 服务器软件里（即前述的核心 内嵌模块 ），包含应用防护模块和篡改检测模块 应用防护模块对每个用户的请求进行安全性检查：如果正常则发送给 Web 服务器软件 ;如果发现有攻击特征码，即刻中止此次请求并进行报警。篡改检测模块对每个发送的网页进行即时的完整性检查:如果网页正常则对外发送;如果被篡改则阻断对外发送，并依照一定策略进行报警和恢复。对于 Windows 系统，页面保护子系统还包括一个增强型事件触发式检测模 块，该模块驻留于操作系统内核，阻止大部分常规篡改手段 . 自动发布子系统自动发布子系统负责页面的自动发布，由发送端和接收端组成：发送端位 于发布服务器上 ,称之为自动发布程序，它监测到文件系统变化即进行计算 该文件水印,并进行 SSL 发送;接收端位于 Web 服务器上，称之为同步服务 器，它接收到网页和水印后，将网页存放在文件系统中，将水印存放在安 全数据库里 .所有合法网页的增加、修改和删除都通过自动发布子系统进 行。 监控管理子系统负责篡改后自动恢复，也提供系统管理员的使用界面。其功能包括：手工 上传、查看警告、检测系统运行情况、修改配置、查看和处理日志等。日志记录所有系统、发布、篡改检测和自动恢复等信息 ,可以分类分日期查 看，并根据管理员的要求实现转储。日志记录还支持 syslog ，以实现与安 全管理平台的接口。2.4 集群与允余部署Web 站点运行的稳定性是最关键的,防篡改系统支持所有部件的多机工作和热备，可以 有多台安装了防篡改模块和同步服务软件的 Web 服务器，也可以有两发布服务器，避 免单点失效问题，如下图所示。 Web服务器多机和集群发布服务器支持 1 对多达 64 台 Web 服务器的内容同步，这些 Web 服务器 的操作系统、 Web 服务器系统软件、应用脚本及网页内容既可以相同也可 以不同。本案提供的解决方案将可实现异种系统架构下对不同内容的统一 管理. 发布服务器双机支持发布服务器双机协同工作 ,即一台主发布服务器和一台热备发布服务 器。在这种部署情形下，内容管理系统（ CMS） 需要将内容同时发布到两台 发布服务器上。正常状态下，主发布服务器工作时，由它对所有 Web 服务 器进行内容同步。如果热备发布服务器运行失效（不影响网站系统运行） ， 一旦在它修复后可以从主发布服务器恢复数据，进入正常热备状态。主发 布服务器如果失效（即不发心跳信号 ），热备发布服务器会接管工作，由热 备服务器对所有 Web 服务器进行内容同步。当主发布服务器修复后 ,两机同 时工作，经过一段时间的数据交接时间，热备发布服务器重新进入热备状 态。2.5 方案特点2。5.1 篡改检测和恢复 支持安全散列检测方法； 可检测静态页面/动态脚本/二进制实体； 支持对注入式攻击的防护； 网页 发布同时自动 更新水印值 ; 网页发送时比较网页和水印值； 支持断线/连线状态下篡改检测； 支持连线状态下网页恢复； 网页篡改时多种方式报警； 网页篡改时可执行外部程序或命令； 可以按不同容器选择待检测的网页； 支持增强型事件触发检测技术； 加密存放水印值数 据库 ; 支持各种私钥的硬件存储； 支持使用外接安全密码算法.2。5.2 自动发布和同步 自动检测发布服务器上文件系统任何变化 文件变化自动同步到多个Web服务器； 支持文件/目录的增加/删除/修改/更名； 支持任何内容管理系统； 支持虚拟目录/虚拟主机； 支持页面包含文件； 支持双机方式的冗余部署； 断线后自 动重联； 上传失败后自 动重试； 使用 SSL 安全协议进行通信； 保证通信过程不被 篡改和不被窃听； 通信实体使用数字证书进行身份鉴别; 所有过程有详细的审计.三、WEB应用防护解决方案从网页应用程序层面进行安全防护机制：第一项计划是，通过网页程序代码的安全检测，找出潜在应用程序的编写漏洞提供 开发团队修补建议，并据以改写修补。同时为网页应用层防火墙提供防护规则做到 内外共同防护；第二项计划是，通过网页应用层防火墙软件的部署，与网页程序代码的安全检测互相 联动，为在线运营的网站立即建立防护，针对各种应用层的攻击进行阻挡，建立起 网站从内而外的安全防护体系。3.1当前安全风险分析越来越多的案例表明，网站的安全问题随着各类网络技术手段的不断进步而显现 出来.截止到目前，以跨站脚本攻击、 SQL 注入攻击为代表的攻击方式对传统的防火墙 +入侵防护所组成的网站安全防线带来了极大的冲击；同时由于新的 攻击方式的出现 ,一旦网站被入侵，轻则网站被植入恶意连结或对象 ,导致访问用 户的个人电脑中毒或被植入木马；严重的话，通过网页的接口导致客户的信息或 交易纪录被入侵，从而面对的是漫长的调查、赔偿、法律责任、甚至诉讼 .如果被 媒体披露的话，更会严重影响企事业单位的声誉。网站安全风险分析：项次大纲说明1没有适当机制确认目前的 网页程序存在哪些漏洞目前已在线执行的网页系统，是几年来不断开发与累积 的结果。然而新兴的以网页应用程序为攻击目标的攻击 模式不断被发现，因此当前面临的困难在于： 现有的开发团队并非全职的安全专家,难以保证编写 出来的程序代码绝对不会存在漏洞。 在线的程序代码为数众多，如果要逐条人工检视， 绝对力有未逮，且现有的开发能力用于全力开发新 的服务与流程改善，无法投入足够的资源用于检测 旧的系统漏洞。 经常性的发生信息安全事件，会让团队疲于奔命。 也花费大量的资源来进行调查与修复。更不用说后 续延伸出来的商誉损失、法律责任、甚至诉讼与赔 偿事宜。2网站的运营者往往都在网 站遭受入侵与恶意攻击后 通过外界反应才知道当黑客利用时下Web AP的攻击手法，如Cross Site Script或SQL Injection等方式攻击网站，而网站又刚 好有未知的漏洞被利用,那么不仅缺乏适当的机制可以立即发现攻击，更无法达到防御的效果。3法律责任的冲击企事业单位有责任妥善保管的客户个人信息，若因网站 被入侵而导致客户信息外泄，则有可能必须面对法律责任 的问题。4敏感信息显示于网页接口 时，需进行屏蔽，避免会员 信息外泄针对如信用卡卡号或身分证字号等敏感信息，如果需要 在网页中显示响应给使用者，则需要进行屏蔽，将中间 字符内容取代为x或*等符号，避免使用者的计算机存在 木马或传输过程被窃听，而造成信息外泄。然而现有的系统已经运作多年，需要逐一检视并且修改， 需花费大量的资源与时间.5传统IDS/IPS与防火墙， 挡不住也看不懂Web攻击原本期望通过IDS/IPS与防火墙来抵御黑客的攻击。然 而现在的黑客，不再硬碰硬的进行防火墙、入侵侦 测系统或者修补程序可以阻挡的网络型攻击或者作业平台的攻击。目前超过70%成功的黑客攻击， 是针对Web应用程序的弱点而不是操作系统的弱 点，而且循着合法身份从Web应用系统管道进入，因此 原先的防火墙与入侵侦测系统也束手无策。6SSL加密后的流量，无法从 网络端实施入侵检查与过 滤因为运营的是电子商务服务，因此为避免使用者进行交 易的过程中信息被从中窃听，而实施HTTPS/SSL加密， 保障传输过程的安全.然而，这也造成部署网页防入侵机制时的限制与困扰因 为如果使用的使网络型的Web Application Firewall机 制, SSL加密后的流量就会无法进行检查，或者要改变现 有SSL加密的处理流程.3.2 防护计划3.2。1 开发流程中加入安全性验证项目在软件开发流程中，拟规划一套系统化的安全设计流程，确保网络应用程序的 安全。系统发展生命周期 (Systems Development Life Cycle,简称SDLC)是大 部分信息应用系统设计的参考模型，即一套应用程序软件的发展需要历经分 析、设计、建构、测试、系统维护至下一次的需求产生 ,这一周期就 是系统发展生命周期。安全系统发展生命周期 (Security Systems Development Life Cycle )便是泛指在软件开发生命周期中 ,应考虑的信息安全措施及注意事 项。3.2.2 对网站程序的源代码进行弱点检测建议导入自动化网页应用程序源代码安全检测体系 .不可否认的，早期所开发的应用程序，皆以功能性着眼，欠缺安全性 的安全认识与危机意识，因此在程序编写中较少考虑到安全性的问题，因 此不小心便导致所开发的 Web 应用系统漏洞百出，导致 SQL Injection 、缓冲 区溢出( Buffer-Overflow )、跨网站脚本攻击( Cross-Site Scripting) 等等 Web 攻击。信息安全的相关领域知识包含操作系统 、开发工具、网站平 台、程序逻辑、程序编译、程序执行以及种种通讯协议原理 ,并非程序 开发人员的专业领域 ,因此如何快速有效地针对单位内现有与未来开发建设的 Web 应用系统进行定期或者不定期检验其可能的源代码弱点与漏洞 ,需要一套有 系统有效率的 Web 应用系统原代码自动检测系统 ，有助于提早发现并评估风 险，提早进行源代码改写与修补动作。Web应用系统原代码自动检测系统所提供的服务特色为：针对程序源代码检测结果与报告，提供程序源代码弱点深度分析与弱 点严重性分析等风险高低评估计分与图表，协助程序开发人员规划安排程 序源代码弱点安全问题修复的优先级清楚标明程序源代码弱点安全问题的结果与源头，协助开发与项目管理人员 了解程序源代码弱点安全问题之发生程序行数与弱点来源，必须包含下列信 息：可与本案Web应用系统安全防火墙的安全访问策略联动，解决复杂的应 用防火墙配置问题。3。2.3 导入网页应用程序漏洞列表作为审计项目开放网页应用程序安全计划( Open Web Application Security Project ， 以 下简称OWASP )致力协助企业和政府机关(构)能够理解和提高网页应用程序的 安全性，并关注最严重的漏洞。 OWASP 于2010 年最新公布的十大信息安全漏洞 (OWASP Top 10)是一个需要立刻处理的应用程序安全漏洞。这些安全漏洞包 括： Cross-Site Scripting (跨站脚本攻击).网页应用程序直接将来自使用者 的执行请求送回浏览器执行，使得攻击者可撷取使用者的Cookie或Session 数据而能直接登入成使用者。 Injection Flaw :网页应用程序执行来自外部包括数据库在内的恶意指令， SQL注入，命令注入等攻击包括在内。 Malicious File Execution: 网页应用程序引入来自外部的恶意档案并执行 档案内容. Insecure Direct Object Reference: 攻击者利用网页应用程序本身的档案 读取功能任意存取档案或重要数据，案例包括 http：/example/read。 php?file=。./.。/。/。./。/c:boot。ini Cross-Si te Request Forgery (CSRF):已登入网页应用程序的合法使用者执行到恶意的HTTP指令，但网页应用程序却当成合法需求处理，使得恶意 指令被正常执行，案例包括社交网站分享的QuickTime、Flash影片中藏有恶意的HTTP请求。 Informa tion Leakage and Improper Error Handling: 网页应用程序的执行 错误讯息包含敏感数据 ,案例包括：系统档案路径 Broken Authentication and Session Management: 网页应用程序中自行编 写的身份验证相关功能有缺陷。 Insecure Cryptographic Storage ：网页应用程序没有对敏感性数据使用加 密、使用较弱的加密算法或将密钥储存在容易被取得之处 . Insecure Communication :没有在传送敏感性数据时使用HTTPS或其它加密 方式. Failure to Restrict URL Access: 某些网页因为没有权限控制，使得攻击 者可通过网址直接存取，案例包括允许直接修改 Wiki或Blog网页内容。归咎这些安全漏洞的根本原因，乃在于网页应用程序本身存在安全漏洞，忽略 应该注意的函数处理与防范来自使用者的恶意攻击。倘若这些安全漏洞在开发 与部署过程没有被检测出来，则日后就会发生信息安全事件。利用 Web 应用 系统原代码自动检测系统所提供的检测服务可事先发现网站所潜藏的上述安 全漏洞.3.2o 4部署Web应用防火墙进行防御导入网页应用程序防火墙系统的好处在于： 网站源代码检测阶段：在修补源代码中存在的安全隐患之前(可能因为开发团队变更、服务无法暂 停等原因暂时无法对安全隐患进行修补)，则依靠网页应用程序防火墙系统 提供Web应用安全防护，从而保证网站应用的安全性； 网站安全加固阶段：可以将网页应用程序源代码安全检测系统检测出的安全问题自动直接生成 网页应用程序防火墙系统所需使用的安全防护规则(Access Policy ),使得网页应用程序源代码安全检测系统与网页应用程序防火墙系统产生互相 联动，从而做到网站应用安全的自动化防护。通过网页应用程序防火墙的部署，让访问者对网站的请求，以及网站预计响应 给访问者的显示网页，都经过 Web 应用系统安全防火墙全程检查与检视其 安全性、合法性与正确性，如有任何非法行为，自动阻断非法 行为或者重置合法与合适的响应 ，让使用者与系统管理者都可以 继续安心的运作。Web 应用系统安全防火墙部署架构如下图：3。3 WEB 应用防火墙功能3.3。1 集中管控功能 同一解决方案除了提供硬件式应用防护设备外，可依实际需求选择将软 件式应用防火墙系统安装于Web服务器主机上，不需要调整网络与系统架 构。 支持【集中丛集控管(Cluster Management)】方式，通过统一集中管理 接口，同时管理与安全防护规则部署多台 Web 应用系统软件式防火墙系 统。 支持集群内各台Web应用系统软件式防火墙系统运行状态，如有异 常，立即显示。 具备多管理者、多网站群组的权限管理能力，提供让特定管理者管理特 定网站群组安全防护规则的能力 内建Web应用系统软件式防火墙系统纪录查询与查看工具，方便实 时分析，提供多重条件过滤查询功能，无须额外购置审计报表分析工具 . 提供符合法规遵循角度需求的审计纪录，详细纪录系统的操作与变更 ，方 便审计人员查验。 提供统计报表能力，提供多种预设统计图表，支持自定义设定分析范围与 时间区段，产生满足单位需求与法规遵循要求的报表。 提供直接过滤防护SSL加密网页的机制，安装部署时，不需要更改 SSL 密钥存放位置，避免密钥管理的额外问题 .3.3。2 防护功能 可防御下列 19大类(含)以上网页攻击型态，超过 10，000种(含)以上 网页攻击方法。 支持下列OWASP Top 10十大网页应用程序弱点的攻击模式。 提供输入验证(Input Validation )处理机制，提供黑名单或者白名 单方式验证使用者输入内容数据的类型、范围、格式与长度。 提供客户端浏览器存取权限的管理能力，可以限制存取网站的客户端IP地址、使用的浏览器版本、网页开放存取的时间范围以及SSL加密的强度等等存取条件。 提供网页存取身份验证(Authentication)处理机制，让缺乏账号密 码等权限管理的网页具备身份验证能力。 提供网页存取安全会话 (Secure Session )处理机制，保护客户端浏 览器Cookie的安全使用，降低Cookie外泄的机率。 提供网页上传下载双向过滤保护功能 ，通过关键词过滤网站恶意内容或不当文字,或是防止机敏数据外泄。 针对网页敏感信息，例如：信用卡信息、身份证号等隐私数据，提供自动屏蔽(Auto Mask/XXX)功能机制，避免单位机密数据或者个人隐 私外泄。 提供反钓鱼(AntiPhishing)功能，可通过黑、白或灰名单方式限制 钓鱼网站引用主网站的内容 . 通过 Reference Checking 强制网站的使用方式，防止网站内容遭受未经 合法授权的强迫浏览或者盗连。 内建安全防护规则设定向导，根据实际需求与环境提供弹性与自定 义安全防护规则的设定功能。 提供安全防护规则集的版本管理机制 ，并且支持版本回溯(Rollback)功能。 支持人工智能安全防护规则学习模式，提供网站系统安全防护规则设 定的建议。 支持下列操作系统：Windows、Linux与UnixLike作业系统 可与Web应用系统源代码自动检测系统所生成的安全防护规则联动3.4 预期效益通过 Web 应用系统安全防火墙与网站源代码弱点检测的部署与导入，预 期达到的效益与目标：。 对在线运作的网站应用程序进行防护，降低被黑风险： 通过网页应用程序防火墙的部署，让使用者对网站的请求,以及网站预计响应给 使用者的显示网页,都经过Web应用系统安全防火墙全程检查与检视其安 全性、合法性与正确性，如有任何非法行为，自动阻断非法行 为或者重置合法与合适的响应 ,让使用者与系统管理者都可以继 续安心的运作。 在网站程序漏洞被黑客利用前 ,即可进行修补，以治本方式根除漏洞： 利用网站程序的源代码弱点检测系统，可例行对在线运作的网站程序源代码 进行扫描与检测，以清楚存在哪些已知的弱点与漏洞，并计划性的依据严重度 进行修补改写，以根除这些漏洞,提高网站的安全性。 培养开发团队编写高安全性的网页程序代码与安全网站能力 ： 藉由网站源代码的扫描报告解读与程序代码修正程序。让开发团队的程序开发 人员,熟悉高安全性的网页程序的编写方法，进而养成良好的编写与测试习惯。、内容分发网络解决方案1 内容分发网络简介内容分发网络( CDN, Content Distribution Network )服务 =智能的网站镜像 +页面 缓存+流量导流。CDN 所做的，就是为互联网上的内容提供 EMS 服务，在最正确的时间用最正确 的手段，把最正确的内容 ,推送到最正确的地点(访问客户 )，能够帮助用户解决 分布式存储、负载均衡、网络请求的重定向和网站内容管理等问题。其目的是通 过在现有的 Internet 中增加一层新的网络架构 ,将网站的内容发布到最接近用户的 网络 “边缘 ”，使网站访问用户可以就近取得所需的网页内容，解决Internet 网络拥塞状况、提高用户访问网站的响应速度。从技术全面解决由于网络带宽小、用 户访问量大、网点分布不均而产生的用户访问网站响应速度慢的根本原因。CDN 网络营造了一个网络运营环境 ,不仅能够提供以网络加速为基础的系列服 务，包括针对网页、流媒体、文件传输、文件播放等内容提供加速，还能提供一 些相关的增值服务以更有效地满足客户在这些应用方面的需求 .4。2 CDN 服务功能众所周知，互联网的访问速度取决于众多的因素，包括 Internet 网络传输质量、 国内南北互联互通问题、网站服务器性能、网站出口带宽、网页程架构和网页内 容类型等等。 CDN 网页加速产品采用全球智能域名解析系统和高速缓存等专业技 术，通过遍布全球的 CDN 网络把网页内容分发到离网民最近的边缘节点上 ,绕过 国内以及跨国的传输拥塞影响，突破源站出口带宽和性能屏障 ,访问用户可以从最 适合的节点上获得所需的内容，从而提高网站的访问速度和质量 .CDN 网页加速 产品支持 SSL 加密，网页压缩，防盗链等功能： 网页压缩功能：支持网站本身的压缩功能，同时能够帮助未实现压缩功能的网站提供压缩 服务,通过压缩数据大小的改变，减少数据传输的时间，节省传输的带宽， 使页面显示速度自然提高。 防盗链功能：基于时间或者用户IP对URL进行加密和验证，帮助网站防止盗链现象。 地域化内容服务功能：根据访问用户的地域不同,将用户的访问请求分配到相应的 CDN 节点上进行响 应，从而为来自不同地域用户提供针对该地域投放的特色内容，使得网站内容 更加有针对性，实现个性化服务.4.3 CDN 服务特点 安全的分发内容CDN 节点前端都有可以抵御几十万级别 DDoS 攻击的设备，智能的全域负载 均衡系统会根据攻击路线改变用户访问目的地，保障用户访问不受攻击影响。 在整个分发网络中除了网络层有加密校验机制，分发的文件会携带特定的加密 码，在传送到最终目的地后进行校验完毕后确认文件在传输过程中没有缺失和 修改,返回给中央分发服务系统安全到达的信息，且服务器采用专有 OS 架构， 即使遭到攻击黑客也无法篡改用户内容，保证分发内容的安全性和完整性. 完善的日志分析 完善的日志分析功能,可以根据用户个性需求，制定多重样式的日志分析报告,包 括用户访问行为分析、用户来源地分析、网站点击率分析等.并可以提供自动报 表生成。 网站流量及时报告 提供在线的浏览访问量接口，使用户随时了解网站运转状况。 网站异常告警 当网站发生非正常访问量激增或网站源不可达时,会及时发送 EMAIL 到用户信 箱告知状况并及时电话通知，使得网站安全可靠。 网站镜像可以提供用户网站异地镜像功能，保证源站发生状况后，可以借用CDN节点上 的网站为用户提供暂时的页面访问服务. 网站页面访问性能优化降低源站对高带宽的需求，并减低源站服务器的访问压力。五、负载均衡解决方案CDN服务为访问用户提供更快的网站访问速度，并降低源站的访问压力。而源站 本地则可以采用服务器负载均衡(SLB, Server Load Balance)技术方案进一步 降低源站的访问中断风险更完善的负载均衡方案是采用广域负载均衡(GLSB, Global Server Load Balance )技术为应用网站提供不同地域的主用/备用站点 架构，5.1 服务器负载均衡如上图示，假设在 Internet 上提供两个服务，分别为 World Wide Web 服务 ( 192.168.10 。1)与 Ecommerce 服务(192.168。 10.2)，而今我们在防火墙与交换机之间加入了 SLB，此设备在OSI/ISO七层架构中属于三到七层的设备，因此 可以整合不同平台、新旧不同的服务器，另外、服务器也由一台增加至三台,我们称为服务器农场( Server Farm)， 并且将原本属于服务器的 IP 地址移到 SLB 设 备上，对使用者而言依然是存取此 IP 上的服务，没有改变。因此，必须指定另 外一个网段的 IP 给原来的服务器使用。此时， SLB 设备除对外提供服务，对内 做到下列的功能 : 网络地址转换(Network Address Translation ， NAT)： 利用此技术将内部的虚拟 IP 对应到外部的真实 IP (视提供的服务而定， 在此例中有二个IP需做NAT)，如此一来便可以解决用一个IP来代替许 多不同的 IP 的问题。 有效分配负载流量 :如何将由 Internet 上的流量分配到后端的服务器上，其中包含了那一台服 务器该负责较多的工作，或是一视同仁的照次序分配而不考虑效能等因 素，我们称为负载平衡模式 (Load Balance Mode )。 Health check 机制：为了使 SLB 设备可以有效掌控后端服务器的状况，必须定期自动检查服务 器的运作情形，以免发生将使用者数据请求引导至发生故障或是过于忙碌 的服务器上的情形。 FailOver 机制：一旦 SLB 架构建置完成， SLB 设备便成为非常重要的一个网络节点 .一旦 发生故障，整个服务便会中断，因此备援是非常重要的课题 ，理想的备援机 制是在完全不影响使用者的前提下完成取代故障设备并提供服务的工作 ，一 般我们也称之为高可靠度 (High Availability) 。5.2 广域负载均衡广域负载均衡（ GSLB ，Global Server Load Balance） 是一种将 SLB 的概念扩展到 广域范围的技术，与 SLB 在一个单独的节点上为一组服务器提供负载均衡服务不 同， GSLB 提供了一种对多个不同地域的服务器群（多个节点 ）提供负载均衡的服 务,在实现上可以分为两个方面，一方面是如何实现将用户的请求指向到选定的节 点上，一方面是研究如何确定最佳的站点。 GSLB 服务可以对分布在不同地域的 多个源站服务器群提供广域负载均衡服务 ,采用 DNS 解析的方式来实现用户访问 重定向，同时采用智能策略确定最佳源站点 ,提高了服务的可用性和系统性能。原理说明：广域负载均衡在 DNS 解析阶段实现 :1）客户端针对一个域名（Domain）发送一个DNS请求。2）广域负载均衡由一系列算法返回一个最优site的IP（延时最小、距离最近 等）。3）客户端向此 IP 发起连接请求。4）当客户端向某 IP 发起访问连接请求时，执行（本地）服务器负载均衡 （SLB）, 负载均衡设备根据最优算法选择服务器和相应的服务转发请求，如上图所示。5.3 关键功能和特点 Web交换完全支持 URL 交换，根据 URL 和 HTTP 信息分配流量 .每个 URL 都可以 重定向到某服务器，或在多个服务器之间进行负载均衡 ,从而提供优化的 Web 交换性能。根据 URL 文本中包含的信息，可以保持客户持续性 ,从而 保证内容的个性化。 通过负载均衡优化服务器资源支持的负载均衡演算法至少包含,-轮询(Cyclic)- 最少用户数(Least users)- 最少数据包数 (Least packets)- 最少字节数 (Least bytes)- 最快回应时间 (Fasted Response Time)- SNMP 定制 (SNMP customized) 健康状况检查可以监视服务器在IP、TCP、UDP、应用和内容等所有协议层上的工作状 态。如果发现故障 ,访问用户即被透明地重定向到正常工作的服务器上。 完全的容错与冗余双机备援架构方式提供设备间的完全容错，以确保网络最大的可用性。两 个设备通过网络相互检查各自的工作状态，为其所管理的应用保障完全的 网络可用性。它们可工作于主用 备用模式或主用 主用模式 ,在 主用 主用模式下，因为两个设备都处于工作状态 ,从而最大限度地保 护了投资。并且所有的访问会话信息都可在设备间进行镜像 ,从而提供透明 的冗余和完全的容错，确保在任何时候用户都可以获得网站访问的最佳服 务。 通过正常退出服务保证稳定运行当需要进行服务器升级或系统维护时 ,负载均衡设备可保证稳定的服务器退 出服务以避免网站访问中断。当选定某台服务器要退出负载均衡服务后,新的访问连接将不会被指向该服务器 . 应用安全- DDoS 保护：识别和保护应用基础架构不受 DoS/DDoS 攻击。这种保护 已超越了其他供应商采用的传统 SYN cookie 技术所提供的保护。- 入侵过滤：通过在恶意蠕虫和病毒进入应用服务器前进行识别并拒绝， 保护应用服务器不受侵袭 .包检测和过滤功能(包括对加密流量进行检 测)可支持管理员制定政策来保护系统不受这些攻击。-SSL加密：应用内容在传输过程中都受加密保护，通过卸载服务器复杂 的加密任务将应用处理能力发挥到了极致。该功能使管理员能保护敏感 应用内容的安全，使其摆脱被窃取及被滥用的潜在威胁。旁路建构方式，保障原有网络结构 负载均衡设备可选择以旁路方式连接至网站系统 ,降低 Web 应用交付使用的 延宕风险。六、应急响应服务体系6。1 事件分类与分级事件的分类分级，用于信息安全事件的防范与处置，为事前准备、事中应对、事 后处理提供一个整体事件防范与处置的基础。6.1.1 事件分类根据信息安全事件发生的原因、表现形式等,可将各种信息安全事件 归纳为六大类。1) 恶意 程序 事件：包括 计算机病毒事件、蠕虫事件、木马事件、僵尸网络事件、攻击程序事 件、网页内嵌恶意代码事件和其它有害程序事件等7 个第二层分类。僵尸网络是指网络上受到黑客集中控制的一群计算机,它可以被用于伺机发 起网络攻击，2) 网络攻击 事件：包括 拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事 件、网络钓鱼事件、干扰事件和其他网络攻击事件等7 个第二层分类。3) 信息内容 安全事件 :包括 网页篡改、伪造网站等2 个第二层分类。4) 设备设施 故障:是指由于网站系统自身故障、外围保障设施故障或人为使用非技术手段而 导致的信息安全事件。5) 灾害性事 件:是指由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。6) 其他信息 安全事件 ：指不能归为以上5 个基本分类的信息安全事件。6.1.2 事件分级对信息安全事件的分级可参考下列三个要素：信息系统的重要程度、 系统损失和社会影响。系统损失是指由于信息安全事件对信息系统的 软硬件、功能及数据的破坏，导致系统业务中断，从而给事发组织和 国家所造成的损失，其大小主要考虑恢复系统正常运行和消除安全事 件负面影响所需付出的代价。1) 重大事件(I级)指能够导致严重影响或破坏的信息安全事件，使重要信息系统遭受重大的系统损失 ,即造成系统长时间中断或瘫痪 ,使其业务处理能力受到极大影响，或系统关键数据的保密性、完整性、可用性遭到破坏，恢复系统正常 运行和消除安全事件负面影响所需付出的代价巨大，对于事发组织是无可 承受的;或使重要信息系统遭受特别重大的系统损失.2）较大事件（II级）指能够导致较严重影响或破坏的信息安全事件。使重要信息系统遭受较大 的系统损失，即造成系统中断,明显影响系统效率，使重要信息系统或一般 信息系统业务处理能力受到影响，或系统重要数据的保密性、完整性、可 用性遭到破坏，恢复系统正常运行和消除安全事件负面影响所需付出的代 价较大，但对于事发组织是可以承受的;或使重要信息系统遭受重大的系统 损失、一般信息信息系统遭受特别重大的系统损失。3）一般事件（III级）一般事件是指能够导致较小影响或破坏的信息安全事件，会使重要信息系统遭受较小的系统损失，即造成系统短暂中断，影响系统效率，使系统业务处理能力受到影响，或系统重要数据的保密性、完整性、可用性遭到影 响，恢复系统正常运行和消除安全事件负面影响所需付出的代价较小。6。1.3 预警服务事件严重等级透过网站内、外网自动监控手段并辅以人工测试方式，可将前文所列的各类事件进行严重等级划分，说明如下:等级分类等级说明相关事件事件通告时效要求I级属于重大安全事件1挂马2。恶意代码3。跨站脚本4。病毒事件5。网页篡改6。域名挟持7。DDoS攻击8。钓鱼/伪造网站9。长时间网站无法访问立即通报网安办，并配合网站管理 员及运营商进行事件紧急响应处理 及追踪.II级属安全隐患性的较大 事件1可疑开放端口2.SQL注入漏洞3.扫描发现的系统及Web 应用漏洞。一个工作日内完成详细安全风险评 估报告及解决方案提交网站管理 员，并配合网站管理员对漏洞进行 安全加固服务。III级属一般告警事件，此 类事件发生时，对网 站系统运行的影响较 小或影响性是短暂的1. 网站出现瞬间中断2。域名解析故障持续观察并记录发现问题的时间与 不同症状，每日以文档记录形式发 送通报网站管理员。2 应急响应服务体系应急响应服务体系由上海络安的上海世博会信息安全保障应急响应技术处置组专 家成员、各网站管理员、现场维护人员及第三方网站开发人员组成 .网站应急响应流程主要分为 :分析确认、启动应急运行，故障修复、恢复运行、详 细备案。1、分析确认：网站故障可分为 4 大类：主机设备不可用、系统不可用、遭受黑客攻击、网页 被篡改。分析判断网站故障属于哪一类。2、启动应急运行 :切换网站到应急运行状态。避免停止服务。对于主机设备不可用、启动备用服务器 .对于软件系统不可用、停止故障网站应用，启动备份网站内容。遭受黑客攻击、网页被篡改 ,停止故障网站应用，启动备份网站内容。3、故障修复：确认故障原因后，迅速制定故障修复方案 ,判断故障的严重程度和恢复时间。对于故障原因为主机设备不可用，在 1 小时内能修复的，联系设备服务商协同 修复。如果发生故障的服务器在 2 小时内不能修复，启用备用服务器。对于故障原因为软件系统不可用，在 1 小时内能修复的，安全管理员协同系统 管理员、数据库管理员进行系统修复；如果发生故障的服务器在 2 小时内不能 修复，启用备用服务器。对于故障原因为遭受黑客攻击，采用以下步骤处理 :a. 首先告知网络与信息安全管理员、相应的主机系统管理员和应用软件 系统管理员。网络与信息安全管理员、主机系统管理员、应用软件系 统管理员应详细记录有关现象和显示器上出现的信息，将被攻击的服 务器等设备从网络中隔离出来，保护现场。b. 网络与信息安全管理员负责分析攻击现象，提供解决方法，主机系统 管理员和应用软件系统管理员负责被攻击或破坏系统的恢复与重建工 作。c. 适时解除被攻击设备的隔离。d. 由网络与信息安全管理员牵头，会同主机系统管理员和应用软件系统 管理员共同追查黑客攻击来源。e. 网络与信息安全管理员、主机系统管理员和应用软件系统管理员会商 后，将有关情况汇报 .f. 如认为事态严重，则立即向公安部门或上级机关报警。对于故障原因为网页被篡改采用以下步骤处理:a. 将出现网页被篡改的页面抓屏 ,保存所抓取的屏幕信息。b. 打印屏幕信息后修复网页内容、删除网站上的非法言论 .c. 网页修复后 ,对网站全部内容进行一次查看，确保没有被篡改的或非法 的言论后解除站点服务器的隔离 .d. 配合网站管理员及运营商共同追查非法篡改、非法言论来源，尽可能 确定信息发布者 .4、恢复运行： 在确认故障排除之后，可恢复系统运行,如果启动了备用服务器， 应将服务器切换到原来的数据库服务器.5、详细备案： 系统恢复运行后，网络与信息安全管理员应会同站点管理员将本 次网站故障的处置过程,包括故障发生时的现象、处理过程及所采 取的技术手段、结果等做出详细的文字记录。6、演练及维护 为了提高应急处理的速度，提高应急响应工作组成员对蠕虫处理 的熟练程度，应定期对预案进行演练。