浪潮SSR网站安全解决方案

浪潮SSR网站安全解决方案北京浪潮嘉信计算机信息技术有限公司2011年8月(浪潮SSR咨询电话：杜先生13552666325)浪潮SSR网站安全解决方案目录1为何关注网站安全...................................................................................................................11.1网站的作用日益凸显...............................................................................................11.2攻击给网站带来巨大损失.......................................................................................31.2.1经济损失...........................................................................................................31.2.2名誉损失...........................................................................................................41.2.3政治风险...........................................................................................................42网站安全现状...........................................................................................................................52.1安全威胁分析...........................................................................................................52.1.1网站攻击越来越密集.......................................................................................52.1.2黑客为什么攻击网站.......................................................................................52.1.3黑客如何攻击网站...........................................................................................62.2现有安全措施分析...................................................................................................72.3问题总结与解决思路...............................................................................................82.3.1网站安全问题总结...........................................................................................82.3.2网站安全问题解决思路.................................................................................103网站安全解决方案.................................................................................................................113.1SSR产品介绍..........................................................................................................113.2SSR产品部署..........................................................................................................113.3SSR保护WEB服务器的安全措施..........................................................................123.3.1加强网站服务器身份认证.............................................................................123.3.2增强网站服务器安全.....................................................................................133.3.3网站服务器文件强制访问控制.....................................................................133.3.4网站服务器注册表强制访问控制.................................................................133.3.5网站服务器进程强制访问控制.....................................................................143.3.6网站服务器文件和服务完整性检测.............................................................143.3.7网站数据加密和解密.....................................................................................143.3.8网站服务器资源监控和报警.........................................................................143.3.9网站服务器安全审计日志.............................................................................154方案总结.................................................................................................................................15浪潮SSR网站安全解决方案第1页1为何关注网站安全WEB应用的发展，使网站发挥了越来越重要的作用，与此同时，越来越多的网站也因为存在安全隐患而频繁遭受到各种攻击，导致网站敏感数据、页面被篡改、甚至成为传播木马的傀儡，最终会给更多访问者造成伤害，带来严重损失。那么，网站到底发挥着多大的作用？网站被攻击后到底会带来什么样的损失呢？这两个问题的答案会告诉我们，为何人们会如此关注网站安全。1.1网站的作用日益凸显人们的生活已经跟网站紧密相关，获取知识、浏览新闻、游戏娱乐、在线购物甚至网上炒股（基金、期货），网站给人们带来的便利实在难以一一列举。据CNNIC统计，截至2011年6月底，中国网民数量达到4.85亿，较2010年底增加2770万，中国网站数量也达到183万个，虽然比前几年数量有一定的下降，但网站的专业化水平却大大提高，吸引越来越多的“网民”进入这个日益完善的“网上社会”。图1：中国网民规模、增长率及普及率浪潮SSR网站安全解决方案第2页图2：中国网站发展状况可以看出，网站正在对越来越多的人产生影响，作为个人，我们正享受着越来越多网站带来的生活便利，作为组织，我们也在不失时机的利用网站扩展着自己的业务。因此，不管对于个人，还是对组织，网站都已经非常重要。以下列举了一些我们熟知的事实，已不难说明网站的价值日益凸显：政府网站作为电子政务建设的最重要的内容之一，政府的门户网站目前普及率已经非常高，肩负着政务公开、信息发布、公众服务等重要任务，关乎政府形象。近几年，政府网站的电子化参与度不断上升，信息公开程度不断提高，公众决策参与水平也有显著提升。金融网站银行、证券等机构的门户网站，提供的服务已不仅限于信息发布和业务咨询，而是更多的跟实际业务交易关联了起来，通过网上银行，可以方便实现以前要去营业厅排队才能完成的业务，也可以用网上银行进行理财投资，在线交易股票、基金等。据CNNIC的统计数据，中国网银用户增长较快，2011年上半年，用户量已经超过1.53亿人，半年增加1607万，用户增长率为11.7%。电子商务网站提供在线购物，在线交易服务等，电子商务网站的存在正在改变人们购物习惯，随着应用的普及，电子商务网站带来的经济影响也是不可估量的。拿一个例子来说：仅成立8年的淘宝，2010年的网络销售额达到4000亿，这一数字已远远超越家乐福和沃尔玛销售额之和。(182家门店的家乐福2010浪潮SSR网站安全解决方案第3页年销售额为420亿元；沃尔玛在2010中国连锁百强以400亿元位列第9)企业门户展示企业产品、服务以及解决方案情况，开展跟合作伙伴以及客户的在线沟通（如客户关系管理等），能够拓展业务渠道，为客户和合作伙伴提供极大便利。互联网公司网站我们对再它们熟悉不过了：Google、新浪、百度、Facebook……，这些网站提供的内容最丰富，搜索，新闻咨询，论坛，博客，视频分享、游戏，已经成为我们生活的一部分。我们在享受这一切便利时，网站的所有者也在靠提供这些服务获取应得的利益。总之，网站已经被赋予太多的内容，也正在发挥着巨大的作用，一旦网站遭受到攻击，无疑会给个人和组织带来危害。而现实情况恰恰是人们所担心的，有人在合法享受网站提供的服务，也有不少人对网站别有用心。1.2攻击给网站带来巨大损失那些别有用心的攻击者，正是看中了网站的价值，为了获取个人利益，无时无刻不在对网站进行着攻击。随着Web应用技术的深入普及，网站攻击的技术门槛在不断降低，当攻击跟金钱、名誉甚至政治阴谋联系在一起的时候，我们的网站很可能已经处于多个攻击者的视线之内。正因为如此，网页挂马、数据篡改等网站安全事件层出不穷，网站被攻击而遭受损失的媒体报道屡见不鲜，网站安全形势日益严峻。而网站被攻击后造成的巨大损失，也已经成为网站所有者和访问者不能承受之痛。1.2.1经济损失虽然没有一个确切的统计数字说明网站被攻击造成的经济损失有多大，但仅从媒体报道的事件中我们就能体会到，这个经济损失不但不小，并且对某些网站所有者来说，来说可能是致命的。尤其对与银行，证券以及游戏类网站，攻击成功后黑客可修改敏感数据，实施网页挂马，也可窃取用户的帐户信息，直接划转资金或者虚拟游戏币，不仅给用户带来直接的经济损失，而且会降低用户使用网浪潮SSR网站安全解决方案第4页站服务的信心，这对金融类企业无疑是巨大打击，可能造成客户流失，形成间接经济损失。1.2.2名誉损失网站