政府网站安全漏洞分析及防范措施创新

　　1 引言
　　随着网络技术的飞速发展，网络安全攻击手段层出不穷，政府网站因为公信力高、影响力大，成为不法分子重点攻击的目标。 国家互联网应急中心发布的《2013我国互联网网络安全报告》中显示，2013年政府网站被篡改数量为2430个，较2012年增长34.9%；被植入后门的政府网站2425个，较2012年下降19.6%。2013年，境外多个黑客组织对我国政府网站发起攻击，其中“反共黑客”组织对我国120余个政府网站实施篡改；另有“匿名者”、“阿尔及利亚黑客”等组织先后篡改我国187个政府网站。
　　2013年，斯诺登披露的“棱镜门”事件说明网络安全关乎国家安全。面对严峻的网络安全形势，加强政府网站安全建设刻不容缓。
　　2 政府网站安全现状
　　目前我国大部分省市政府部门网站分散在不同的物理位置，由各部门自行管理，各部门政府网站管理机构、人员配置不尽相同，网站专业管理水平参差不齐。以武汉市为例，通过对全市政府网站安全调查情况来看，主要存在几个问题。
　　1）安全防护意识不强。部分部门领导不重视网络安全工作，网络安全管理人员责任意识不强，对网络安全形势认识不到位，对网络安全事件可能引发的危害和造成的后果认识不清。
　　2）组织体系不规范。各部门政府网站管理机构多样，有些归属所辖信息中心管理，有些归属办公室、秘书部门、财务部门、技术部门管理，有些则外包给专业公司管理。
　　3）工作机制不健全。没有从管理制度上建立一套规范建设、安全检查、处置应对的安全防范机制，没有在技术上形成一个完整的入侵检测、漏洞扫描和风险评估的安全运维架构。虽然大部分单位都配置了基础防火墙、防病毒等安全防护产品，但仅有18.5%的单位配置了基于防范网络攻击、及时恢复网络防入侵系统、防篡改等安全措施。
　　4）安全人员匮乏。目前政府网站安全技术管理方面的人员无论是数量还是能力，都无法适应当前安全形势的需要。管理人员身兼数职，安全技术人员缺乏。大量部门未设置专门人员，网站全部依托于网站服务托管单位管理。
　　3 政府网站安全漏洞分析
　　近年来，针对政府网站信息系统的攻击事件层出不穷。绝大多数Web攻击事件的根源在于Web信息系统中存在有安全漏洞。安全漏洞是系统设计实现中有意无意引入的可能造成安全危害的错误或缺陷。以武汉市为例，通过对全市各部门政府网站在线安全漏洞扫描后的结果分析，政府网站主要存在几项安全问题。
　　3.1 各网站普遍存在跨站脚本、链接注入等代码安全漏洞
　　从安全监测的漏洞数量来看，跨站脚本、链接注入、SQL注入和盲注等漏洞数量占比达80%以上，该类漏洞主要被用于非法窃取网站敏感数据、盗用cookie冒充合法用户和网络钓鱼等。该类型漏洞主要因为开发人员在网站开发过程中，未遵循安全编码的基本原则造成，包括未对输入输出的特殊字符进行过滤或编码处理、数据库未实现参数化查询、未对文件上传进行类型限制等。
　　3.2 部分网站管理后台、操作系统和数据库管理端口对互联网开放
　　监测中发现部分网站的管理后台页面、操作系统管理端口（3389、22、23等）和数据库端口（3306、1433等）对互联网开放，同时发现个别单位网站管理后台存在弱口令，可被攻击者直接登陆管理后台篡改网页或者利用后台管理功能上传木马以控制服务器。从攻击现状来看，互联网上存在大量针对弱口令暴力破解的攻击，对外开放系统或网站一旦存在弱口令或无登录失败处理措施，将导致攻击者可直接获取系统管理权、进而窃取敏感数据或者将网站服务器作为攻击跳板，渗透进入办公内网造成更严重危害。
　　该类型漏洞是由于未对网站及服务器进行安全加固、未依据业务需求严格限制对外开放的服务或端口导致。
　3.3 第三方软件高危漏洞修复周期较长，导致网站轻易被入侵
　　以Apache Struts 远程命令执行漏洞为例，经监测发现多家部门网站存在该漏洞，并告知各部门，从各部门漏洞修复周期来看，修复时间较长，导致网站在较长的修复周期内处于严重不安全状态。
　　该类型漏洞主要原因：各单位对网站相关的第三方软件高危漏洞关注不够，缺少获取漏洞信息的渠道；对高危安全漏洞或事件应急响应流程不完美，不能及时评估漏洞影响范围和危害，导致漏洞修复周期过长，攻击者可利用该时间段入侵网站服务器。
　　4 政府网站安全防范措施
　　针对监测中发现的安全漏洞，以及各单位的漏洞修复情况，从安全技术、安全管理两个层面提出几项防范措施。
　　4.1 安全技术防护
　　4.1.1规范网站开发过程中的编码安全，提升开发人员安全技能
　　代码漏洞是网站系统中比例最高、攻击者利用最频繁的漏洞类型，建议在各单位网站开发和重大变更时，开发人员遵循安全编码的基本原则进行开发工作，主要包括：1）对用户输入输出进行统一验证、编码和过滤；2）使用数据库参数化查询来防止SQL注入漏洞；3）使用安全的身份认证，包括采取验证码、登录失败锁定等，避免口令暴力猜解；4）对网站业务数据、用户账户信息等敏感数据采用加密传输、存储；5）对未授权用户进行访问控制，包括不同权限级别、同权限不同用户两个方面；6）保证文件上传下载安全，包括对上传文件类型检查、上传和下载路径限制等。
　　4.1.2加强网站基础设施安全防护
　　网站服务器操作系统、数据库和中间件等作为支撑网站运行的基础设施，其安全状况会对网站安全产生直接影响，主要防护手段包括：1）严禁网站系统对外开放非业务需求的服务或端口，降低安全隐患；2）部署IPS、WAF等安全防护设备加强纵深防御，及时发现、阻断外部攻击行为；3）定期对网站服务器操作系统、数据库和中间件进行安全加固；4）严格限制网站所在网络区域与其它网络区域（内网服务器区域、办公区域等）的访问控制规则，避免攻击者将网站区域作为跳板来攻击内部网络。
　　4.2 安全管理手段
　　4.2.1推行网站新上线、重大变更的安全验收测试流程
　　新网站上线或重大变更前应保证网站通过安全验收测试才能进行上线，保证安全漏洞在测试环境中得到修复，避免将安全问题带到线上运营环境。
　　4.2.2网站定期进行专业安全测试
　　由于网站系统日常更新、系统运维配置调整以及外部攻击手段发 展都会对网站引入新的安全漏洞。要定期对网站进行安全扫描、测试，及时发现和修复安全漏洞。
　　4.2.3建立漏洞通告机制，完善应急响应流程
　　制定完善的安全事件应急响应流程制度，主要包括建立安全漏洞及事件获取途径、安全事件分级分类、应急响应具体操作流程和事后监控等，并定期进行应急预案的演练，保证应急响应预案的可操作性。
　　参考文献
　　[1] 国家计算机网络应急技术处理协调中心.2013年中国互联网网络安全报告[M].北京：人民邮电出版社，2014.
　　. 北京：中国铁道出版社，2014.
　　作者简介：
　　付明腾（1973-），男，福建连城人，武汉理工大学计算机学院，研究生，工学硕士，工程师；工作业绩：武汉政府门户网站管理、政府网站群的安全监测；主要研究方向和关注领域：网络技术、信息安全、电子政务。