网页防篡改项目总体建设方案.docVIP

网页防篡改项目总体建设方案 黑龙江海康软件工程有限公司 2011年11月 目录 一、项目实施方案 2 1.1项目信息 2 1.1.1建设单位 2 1.1.2承建单位 2 1.2技术路线 2 1.2.1技术指标 4 1.2.2保护内容 5 1.2.3防护功能 6 1.3部署设计 6 1.3.1部署拓扑 7 1.3.2程序安装步骤 7 1.4系统影响 8 1.5配合事项 9 1.6安装测试 9 1.7故障排除及回退 10 1.7.1网页无法正常访问 10 1.7.2影响应用系统工作 10 1.8环境工具材料准备 11 1.9项目施工进度计划 11 3.10 项目人员安排情况 12 二、功能特性 13 2.1系统架构 15 2.1.1组件功能模块 16 2.2技术特性 17 2.2.1操作系统文件驱动层防篡改技术 17 2.2.2 Web站点安全运行保障 18 2.2.3部署结构灵活 18 2.2.4实时自动增量发布更新 18 2.2.4多种日志告警方式 18 2.2.5操作管理安全、方便 19 2.2.6网站动态自适应攻击防护 19 2.3技术实现 19 2.3.1文件防护实现原理 20 2.3.2动态防护实现原理 21 2.3.3连续篡改攻击防护实现 22 2.3.4网站访问保障 22 2.3.5自动增量发布更新实现 23 2.3.6日志告警实现 24 一、项目实施方案 1.1项目信息 黑龙江信息港需重点防护的服务器共27台，分两个机房,其中二枢纽IDC机房承载25台，湘江路IDC承载2台. 1.1.1建设单位 中国联合网络通信公司黑龙江省分公司 1.1.2承建单位 黑龙江海康软件工程有限公司 1.2技术路线 本次项目采用网页防篡改软件的形式针对网站系统进行安全防护建设，网页防篡改系统的功能框架在逻辑上定义为下图框架。 图 网页防篡改系统功能框架示意图 其中各个模块的实现的主要功能如下： （1）检测模块 检测模块主要功能是发现正在进行的网页篡改攻击、越权获取信息企图或者已经成功的网页篡改攻击。网页防篡改系统应用文件保护技术检测正在进行的针对静态网页或者动态网页脚本文件的篡改攻击，应用文件保护技术及会话分析技术检测已经成功的针对静态网页或者动态网页文件的篡改攻击；应用会话分析技术检测正在进行的针对动态网页数据的篡改攻击或者越权获取信息企图。 （2）防护模块 防护模块对检测到的正在进行的网页篡改攻击、越权获取信息企图进行阻断。 （3）自我保护模块 自我保护模块保障网页防篡改系统的安全，避免未经授权的卸载、关停等。 1.2.1技术指标 网页防篡改系统总体指标包括运行环境、用户接口界面、协议指标、功能指标、管理指标、安全性指标等方面： 运行环境 网页防篡改系统的服务器端能够运行主流的商用平台上，如支持主要的服务器平台及操作系统，如HP-Unix、IBM AIX、Sun Solaris、Windows、Linux等，可以采用主流数据库存储相关数据如SQL Server、Oracle、Sybase、Informix、DB2。 可防护各类WEB应用 支持各类WEB服务器，例如IIS、WebLogic、WebSphere、Apache、Tomcat等；支持各类WEB服务器中安装的主流数据库，包括SQL Server、Oracle、Sybase、Informix、DB2、MySQL等；支持各类WEB系统所部署的服务器操作系统及其版本。 用户接口界面 网页防篡改系统界面友好，易于安装、配置和管理，具有图形化简体中文界面，各类技术文档均具有简体中文版。 功能指标 网页防篡改系统能够针对篡改网页的主要攻击手段提供有效检测和防护，针对网页内容的完整性进行实时监控，在网页遭到篡改后具备阻断或对网页内容进行及时恢复等功能。 管理指标 网页防篡改系统具备完整的帐号、认证、权限管理、审计功能，支持图形化管理界面，支持系统组件的运行状态监控。 性能指标 网页防篡改系统能够及时监控网页的非法篡改并能够及时进行响应。网页防篡改系统运行时不影响正常的用户访问，对WEB服务器资源占用较小，不对WEB服务器性能产生明显影响。 安全性与可靠性指标 网页防篡改系统须保证自身安全性。网页防篡改系统须具备较高可靠性，支持冗余部署。 接口开放性 网页防篡改系统应用的各项技术应保证具有开放性、可扩展性，系统软件和硬件须提供开放的应用接口，能够与其他应用系统进行互通。网页防篡改系统管理和组件间通信基于标准协议，便于系统的管理、集成和扩展。 1.2.2保护内容 网页防篡改系统对用户可访问的网页内容进行保护，确保网页不能被篡改或者在篡改后进行及时恢复，确保用户访问不到篡改后的网页，确保攻击者无法越权获取网页信息。 用户可访问的网页内容指用户可以从互联网公开访问的合法资源，包括静态