政府网站安全漏洞评估与防护分析.pdfVIP

SYSSECURITY 系统安全 63 政府网站安全漏洞评估与防护分析 陈 健’、2 (1．天津市信息中心 天津 300201；2。同济大学 上海 200092) 政府 网站是我国各级政府机关履行职能、面向社会提供服 需要探测 目标 网站防火墙等安全防护设备的防护规则 ，如 务 的官方网站 ，是政府机关实现政务信 息公开、服务企业和社 产品的特性、功能特点、安全策略设置等，以此确定后续评估 会公众、互动交流的重要渠道。各级政府对其网站建设的重视 工作需要采取的规避措施。例如，可采用FWtester、hping3等 程度不断提升。但部分政府网站在建设过程中只注重 了网站的 工具进行防火墙规则探测。 功能建设及内容建设 ，忽略了网站安全防护工作 ，也就使得政 二、漏洞扫描 府网站成为 了黑客攻击的对象 ，网站被篡改、挂马等现象层 出 不穷，带来诸多负面影响和难以挽 回的经济损失。其中，页面 漏洞扫描主要采用带有安全漏洞知识库 的网络安全扫描 篡改、在线业务攻击、数据窃取、内网侵入成为政府网站面临 工具对 目标网站进行基于网络层面或主机层面 的漏洞扫描 ，保 的主要风险。据国家互联 网应急中心监测 的结果显示 ，201O年 证系统中不再存在明显的漏洞。其 中最重要的两款工具是开源 1月4日至10日，我 国境内被篡改政府网站数量为178个，与前 的网络扫描器NmapgBNessus。Nmap是一个端 口扫描器 ，可 一 周相比大幅增长409％。显然 ，频频发生的黑客攻击政府网站 用于扫描大规模网络并进行底层 的lCMP、TCP、UDP分析 。 事件 已对 电子政务构成严重威胁 。因此 ，开展政府网站的安全 Nmap支持大量 的扫描技术，同时也提供一些较高级的服务功 漏洞评估及防护工作成为 了政府 网站运行维护过程中的当务之 能，如服务协议 “指纹”识别、JP “指纹 ”识别、隐秘扫描 急。 以及底层 的网络流量滤波分析等。Nessus是一个漏洞评估软 网站安全漏洞评估是指使用一些有效的自动化工具 ，由经 件包 ，可 以针对 目标 网络进行很 多自动化测试 ，包括 lCMP、 验丰富的安全评估分析人员对漏洞进行人工的测试。通过测试 TCP、UDP扫描 、对特定 网络服务的测试 ，比如ApaChe、 形成网站安全评估报告。通常报告 由安全评估分析人员手工完 MySQL、Oracle、MicrosoftlIS以及很多其他服务，还提供 了 成，报告中一般会包括一些能够有效提高网站安全性的专业建 对所发现漏洞的完善的报告机制。 议 ，先于攻击者发现 网站漏洞，并采取有效防护措施，为进一 三、漏洞评估及其应对措施 步加强政府网站建设提供有力的保障。 漏洞根据所指 目标或漏洞存在的位置可 以分为 ：服务器程 针对漏洞扫描的结果，进行分析 ，以下重点介绍Web服务 序、操作系统、硬件 、通信协议、 口令设置、网络协议等。网 器、数据库服务、电子邮件服务三个方面的漏洞评估工作 ，并 站安全漏洞评估工作主要包括三个方面，即目标网站信息收集 对每个方面的应对措施加以分析。 和列举、漏洞扫描、漏洞评估及其应对措施。 1、web服务器 Web~JE务器很常见，由于其具有公开可访问的特性，因此 一 、 信息收集和列举 需要更高级别的安全防护。主要针对底层Web服务的评估 ，包 对 目标网站 的信息收集是评估工作 的基础 ，