随着“政务公开”、“互联网+政务服务”等改革措施的不断提出及深化,网站逐渐成为承担改革任务的重要角色,其安全问题也受到了国家的关注。近年来国家相关部门针对网站尤其是政府网站组织了多次安全检查,并推出了一系列政策文件。而今年的政府网站安全检查也将于近日展开。
作为多次为“两会”、“9.3阅兵”、“冬运会”等国家重要活动提供网络安保支撑、应急工作、以及多次支持国家网站安全检查活动的盛邦安全,将根据自身经验,与大家分享一些对于网站安全检查的看法,希望能与各位共同探讨。
为什么政府网站需要安全检查?
从管理上来看:近5年我国的政府网站数量呈现快速增长趋势,虽然有些地区已经开展网站收口工作,但全国整体进展较慢。与网站数量的快速增长相反,政府部门的安全管理人员及制度严重缺失,网站往往是“有人建,无人管;有人用,无人防“的状态。另外,政府内部的网站也存在”私搭乱建”的情况,退运网站也缺少有效的管理。而日常的行政文件式管理,可能存在部分人员不及时处理的情况。
从技术上来看:除了安全人员以及制度严重缺失外,其网站的安全防护更是量小力微。提到安全,大家往往想到的是防火墙、终端杀毒等产品,但防火墙对于应用层攻击,尤其是Sql注入、跨站等针对网站的攻击无能为力。 而且现阶段让所有的政府部门均配备专业的网站安全设备很难实现。
另外,目前解决网络安全问题的思路正从传统的以防护为核心逐渐朝两个方向发展。一个是向前,即风险的管理,目的是降低系统被攻击的可能性;一个是向后,即态势感知,目的是第一时间发现攻击,将损失降到最低。而安全检查正是找出风险,并降低风险的一个过程,也是现阶段解决政府网站安全问题的一个有效手段。
安全检查该检查些什么?
“摸清家底,认清风险,找出漏洞,通报结果,督促整改。”习大大在“419”会议上通过5个词语明确的指出了网络安全检查的整个流程及目的。网站的安全检查也是如此,首先我们要摸清一个区域内到底有多少政府网站,并要检查好网站的运行状态以及备案情况。然后深入检查这些网站所存在的风险,其中包含管理以及技术方面,管理方面包括是否有完善的安全管理制度、负责人员是否明确等;而技术方面包含配置合理性、口令的安全性,而其中重要的一项就是要能够发现网站的漏洞。因为根据统计,85%的网络攻击都是因为漏洞引起的。而全面的漏洞检测应该能够覆盖TCP/IP四层——包含系统、数据库、中间件、Web层漏洞。但除了漏洞以外,还应该包含网站木马、暗链以及后门的检测。
根据盛邦安全对于反共黑客的研究,其发现网站漏洞后,往往会先向网站植入Webshell工具,并将漏洞修补(这样防止其他黑客控制)。然后定期进行探测是否仍然可控,最后每逢国内重大活动时,其就会对网站进行篡改。所以单纯的漏洞检测对于事先植入的木马、暗链、后门等束手无策。
在“认清风险”及“找出漏洞”以后,就要进行结果的汇总及上报,并对有问题的网站进行督促整改。
盛邦安全的一些建议
网站安全检查通常由各地的主管部门负责,主管部门通过投入人员以及利用相应技术手段对其负责区域的政府网站进行检查。对于主管部门,安全检查也存在以下几个难点:1、工作量大,区域内往往有大量网站需要检查;2、呈现不直观,分散检查需要集中汇报,上级部门在统计和结果呈现都有很大问题;3、检查的完整性及准确性。
因此在选择技术时应该尽可能解决以上几个问题。盛邦安全建议使用远程网站安全检测系统,通过批量添加需检查的域名或IP地址实现远程检测。检测范围应包括Web漏洞、系统漏洞以及中间件、数据库漏洞,暗链,木马,后门以及弱口令。
为应对大规模的网站检查,远程网站安全检测系统要考虑可拓展性以及高性能问题。
第三就是要有基于主管部门需求的界面展现以及检测内容的展现。
同时,在选择检查方式时,不应简单的选择产品,而是应该更注重配套的安全服务能力。这样才能更好的发挥产品能力以及得到网站安全更全面的分析。
盛邦安全烽火台-网站安全检测系统通过沙箱技术、威胁情报、漏洞扫描等技术以云SaaS形态为主管部门提供完整的网站安全检查。检查内容包含网站可用性,暗链,Web层、系统层、中间件、数据库漏洞,网站木马、弱口令、后门以及网络钓鱼。该系统适用于大规模的网站检测,并根据盛邦安全丰富的实践经验,为相关部门提供专业的人员支持以及符合需求的可定制统计、呈现界面及报告。
上一篇: Fortinet宣布收购AccelOps
下一篇: 锐捷网络“云课堂”蝉联国内市场占有率第一 进入主课打开新一轮上升空间
PHP网站源码布吉网站推广工具罗湖网站改版横岗百搜词包大浪网站开发盐田百搜标王盐田网站优化按天收费东莞网站开发龙华百度竞价坪地关键词排名包年推广丹竹头百姓网标王推广永湖网站优化按天扣费惠州关键词按天收费惠州企业网站制作坪地企业网站建设南山百度关键词包年推广布吉外贸网站制作民治网站关键词优化深圳建网站丹竹头百搜词包福田百度网站优化排名福永SEO按天计费沙井关键词排名包年推广惠州网站改版深圳百度seo大鹏关键词排名坂田网站定制光明百姓网标王推广塘坑网站设计坪山阿里店铺运营龙岗优化歼20紧急升空逼退外机英媒称团队夜以继日筹划王妃复出草木蔓发 春山在望成都发生巨响 当地回应60岁老人炒菠菜未焯水致肾病恶化男子涉嫌走私被判11年却一天牢没坐劳斯莱斯右转逼停直行车网传落水者说“没让你救”系谣言广东通报13岁男孩性侵女童不予立案贵州小伙回应在美国卖三蹦子火了淀粉肠小王子日销售额涨超10倍有个姐真把千机伞做出来了近3万元金手镯仅含足金十克呼北高速交通事故已致14人死亡杨洋拄拐现身医院国产伟哥去年销售近13亿男子给前妻转账 现任妻子起诉要回新基金只募集到26元还是员工自购男孩疑遭霸凌 家长讨说法被踢出群充个话费竟沦为间接洗钱工具新的一天从800个哈欠开始单亲妈妈陷入热恋 14岁儿子报警#春分立蛋大挑战#中国投资客涌入日本东京买房两大学生合买彩票中奖一人不认账新加坡主帅:唯一目标击败中国队月嫂回应掌掴婴儿是在赶虫子19岁小伙救下5人后溺亡 多方发声清明节放假3天调休1天张家界的山上“长”满了韩国人?开封王婆为何火了主播靠辱骂母亲走红被批捕封号代拍被何赛飞拿着魔杖追着打阿根廷将发行1万与2万面值的纸币库克现身上海为江西彩礼“减负”的“试婚人”因自嘲式简历走红的教授更新简介殡仪馆花卉高于市场价3倍还重复用网友称在豆瓣酱里吃出老鼠头315晚会后胖东来又人满为患了网友建议重庆地铁不准乘客携带菜筐特朗普谈“凯特王妃P图照”罗斯否认插足凯特王妃婚姻青海通报栏杆断裂小学生跌落住进ICU恒大被罚41.75亿到底怎么缴湖南一县政协主席疑涉刑案被控制茶百道就改标签日期致歉王树国3次鞠躬告别西交大师生张立群任西安交通大学校长杨倩无缘巴黎奥运