1.概述
政府網(wǎng)站是政府職能部門信息化建設的重要內容，同時也是對外宣傳政府形象、發(fā)布行業(yè)信息、開展電子政務的主要平臺，是國家重要信息系統(tǒng)。
而近年來，隨著政府網(wǎng)站所承載業(yè)務的數(shù)量和重要性逐漸增加，以及其面向公眾的性質，關于政府門戶網(wǎng)站被篡改、網(wǎng)絡釣魚、SQL注入和跨站腳本等帶來嚴重后果的攻擊事件頻頻發(fā)生，嚴重影響了人們對政府網(wǎng)站公信力的認可，政府網(wǎng)站安全形勢日益嚴峻，而政府網(wǎng)站被攻擊后造成的巨大政治風險、名譽損失、公信力下降已經(jīng)成為電子政務健康發(fā)展的一個巨大障礙。
另外，目前多數(shù)政府網(wǎng)站在安全建設過程依然存在重應用輕安全現(xiàn)象，網(wǎng)站整體安全性差，缺乏必要的經(jīng)常性維護。而且現(xiàn)有政府網(wǎng)站安全管理、防范措施、安全意識薄弱，極易遭到黑客攻擊。
隨著等級保護工作的深入開展，國家相關監(jiān)管機構近幾年也對于政府網(wǎng)站安全有了明確的要求和相關檢查工作，2011年國務院辦公廳下發(fā)了《關于進一步加強政府網(wǎng)站管理工作的通知》（國辦函【2011】40號），以及2012年《關于大力推進信息化發(fā)展和切實保障信息安全的若干意見》國發(fā)〔2012〕23號文件中，都提出了對于政府網(wǎng)站需要切實提高防攻擊、防篡改、防病毒、防癱瘓、防竊密能力。其中政府網(wǎng)站屬于國家重要信息系統(tǒng)，是國家等級保護測評和檢查重點。
2.防護方案
政府網(wǎng)站普遍存在業(yè)務數(shù)據(jù)機密性要求高、業(yè)務連續(xù)性要求強、網(wǎng)絡結構相對封閉、信息系統(tǒng)架構形式多樣等特點。而政府網(wǎng)站所面臨的安全風險貫穿前端WEB訪問到后端數(shù)據(jù)處理和反饋整個過程。因此，對于一個定制化開發(fā)的政府門戶網(wǎng)站來說，從其規(guī)劃和開發(fā)階段就要引入相應的安全建設。而對于大多數(shù)已投入使用的政府門戶網(wǎng)站而言，由于不太可能投入大量的人力去重新開發(fā)或做大規(guī)模的代碼級整改，因此如何在運行階段進行有效的安全防護成為關注的焦點。
在本方案中，我們重點描述運維階段中對網(wǎng)絡層、系統(tǒng)層、應用層的安全防護體系。
1、DDoS防御：在Internet出口處部署一臺抗DDOS攻擊防護系統(tǒng)，用于防護來自外網(wǎng)的拒絕服務攻擊；
2、網(wǎng)絡訪問控制：利用防火墻進行訪問控制，防止不必要的服務請求進入網(wǎng)站系統(tǒng)，減少被攻擊的可能性；
3、系統(tǒng)安全加固：找出主機系統(tǒng)、網(wǎng)絡設備及其他設備系統(tǒng)中存在的補丁漏洞和配置漏洞，進行加固，以保障系統(tǒng)的安全性；
4、應用層防護：在網(wǎng)站服務器前部署一臺Web應用防護系統(tǒng)，通過Web應用防護系統(tǒng)有效控制和緩解HTTP及HTTPS應用下各類安全威脅，如SQL注入、XSS、CSRF、cookie篡改以及應用層DDoS等，有效應對網(wǎng)頁篡改、網(wǎng)頁掛馬、敏感信息泄露等安全問題，充分保障門戶網(wǎng)站的高可用性和可靠性。
5、網(wǎng)頁防篡改：在Web服務器系統(tǒng)上部署網(wǎng)頁防篡改系統(tǒng)，針對Web應用網(wǎng)頁和文件進行防護。
6、網(wǎng)站安全監(jiān)測：通過專業(yè)化的托管式服務來實時監(jiān)測和周期度量網(wǎng)站的風險隱患，評估網(wǎng)站的安全狀態(tài)，衡量改進情況。為政府用戶提供基于網(wǎng)站訪問行為、基于安全事件事前、事中、事后的7×24小時安全運營解決方案。
3.方案價值
? 提升WEB安全整體防御效果，有效抵御各類攻擊。
? 維護和提升政府機構的形象和公信力；
? 解決政府機構運維人員專業(yè)安全分析能力不足問題；
? 滿足來自國家及行業(yè)監(jiān)管部門的合規(guī)性安全檢查要求；
? 協(xié)助安全事件取證以及事后追溯；
? 減輕重大節(jié)假日或重大事件時增加的網(wǎng)站安全監(jiān)測與防護要求壓力；
4.方案優(yōu)勢
? 遵循WEB應用生命周期的客觀規(guī)律；
? 遵循由點到面的整體防御體系，避免“安全孤島”；
? 強調安全產品和安全服務相結合模式的支撐作用；
? 基于安全事件事前、事中、事后的7×24小時的WEB安全運營方式。
? 依托云平臺技術，實現(xiàn)專業(yè)安全產品和專家團隊的云監(jiān)護安全服務。