在20世紀60年代，當美國將“信息高速公路”建設作為政府的施政綱領，英國興建各類中心，明確工作重點，加強組織領導，開展專項計劃之時，全球政府信息化已然成為一種潮流，在這股信息化建設的沖擊下，我國政府也在不斷加快信息化建設的步伐。政府信息化是社會信息化的基礎和核心部分，政府采用信息技術調整行政管理的形態和方式，為公眾提供便捷有效和高質量的服務是世界性的趨勢。雖然計算機網絡給人們帶來了巨大的便利，但互聯網是一個面向大眾的開放系統，對信息的保密和系統的安全考慮得并不完備，存在著安全隱患，網絡的安全形勢日趨嚴峻。隨著政府門戶網站所承載業務的數量逐步增加，網站被入侵或篡改的問題層出不窮。政府部門的網絡阿全不是純粹的技術問題，所帶來的危害將不僅僅限于“政府形象”的損害，甚至能會造成一個政府的政治、軍事、經濟等多方面的安全以及嚴重的社會問題。
當前門戶網站所面臨的安全風險分析
政府門戶網站所面臨的主要風險有：
頁面被篡改。政府門戶網站作為“政府形象”的標志之一，常常是一些不法分子的重點攻擊對象。門戶網站一旦被篡改（加入一些敏感的顯性內容），常常會引發較大的影響，嚴重時甚至會造成政治事件。另外一種篡改方式是網頁掛馬：網頁內容表面上沒有任何異常，卻可能被偷偷的掛上了木馬程序，網頁掛馬雖然未必會給網站帶來直接損害，但卻會給瀏覽網站的用戶帶來損失。更重要的是，網站一旦被掛馬，其權威性和公信力將會受到打擊，最終給電子政務的普及帶來重大影響。
在線業務被攻擊。對企業、公眾等用戶提供在線服務，已經成為政府門戶網站的重要功能。這些服務一旦受到拒絕服務攻擊而癱瘓、終止，對業務的正常運轉必然造成極大的影響。數據被竊取。在線業務系統中，總是需要保存一些企業、公眾等用戶的相關資料，這些資料往往涉及到企業秘密和個人隱私，一旦泄露，會造成企業或個人的利益受損，可能會給網站帶來嚴重的法律糾紛。
內網被入侵。政府門戶網站雖然和內部的辦公網絡之間有邏輯隔離設備，但仍有可能被手段高明的黑客入侵，從而盜取一些敏感材料，或對電子業務應用系統造成破壞。
要做到門戶網站真正意義上的安全，需要建立一個完善細致的安全防護體系，不僅要在技術上建立事前、事中和事后的縱深防御系統，還需要建立良好的信息安全管理制度。
安全技術體系
安全技術體系建設主要包括物理層、網絡層、應用層、主機層和數據層五個方面：
（一）保障門戶網站的物理安全
物理安全也就是硬件安全，它是整個門戶網站系統安全的前提。保障門戶網站的物理安全也就是避免計算機及網絡設備因天災、人為操作失誤和各種計算機犯罪而導致的硬件故障。這就要求相關部門在網站運營之初建立嚴格的安全操作規范，針對可能發生的安全問題制定應急對策。
（二）保障門戶網站的網絡安全
在網絡層面，網站安全主要關注安全域劃分、入侵防范和抗拒絕服務攻擊。政府網絡系統一般分內部局域網、政務專網（也稱廣域網）和互聯網三大區域，各區域之間根據國家對政府行政級別要求的不同，采用不同的安全防護設備，包括實現邏輯安全隔離的防火墻、物理安全隔離的網閘。
（三）系統及Web應用程序安全
在應用層面，政府采用頁面防篡改系統，通過對網站的全面監控，對WEB應用漏洞進行預先掃描，實時捕獲篡改事件，并在第一時間對發生自發的網頁進行自動恢復和報警，同時具備對SQL注入、跨站腳本、防DDoS攻擊等通過應用層的入侵動作實時阻斷，真正達到事前、事中、事后的全方位“網頁防篡改”的效果。
目前，市場上主流的幾種網頁防篡改技術：
（1）外掛掃描技術：外掛掃描技術是采用從外部逐個掃描網頁文件的方式來判斷對網頁的非法篡改，采用這種技術一般會有一定的時間間隔，而且網站文件越多，時間間隔越長，不能保證被黑客篡改的網頁不被訪問者看到。
（2）核心內嵌技術：采用核心內嵌技術的防篡改系統，其篡改檢測模塊運行于web服務器軟件內部，與web服務器元件無縫結合。每次web服務器對外發送網頁時，系統都進行網頁防篡改檢測，從而能夠實時確保每個網頁的真實性。
（3）事件觸發技術：事件觸發技術是把系統的篡改檢測模塊嵌入到操作系統內核，致使所有的文件非法變更事件都會被事件觸發器無延遲地獲取。該機制完全區別于掃描技術和核心內嵌技術，不需要與備份庫對比分析的繁瑣過程，可以實現監控的實時性和系統資源地占用率，是當前比較先進的一種防篡改檢測技術。
三種安全技術的技術評估
|
|
外掛掃描技術
|
事件觸發技術
|
核心內嵌技術
|
|
詢問篡改網頁
|
可能
|
可能
|
不可能
|
|
服務器負載
|
中
|
低
|
低
|
|
寬帶占用
|
中
|
無
|
無
|
|
檢測時間
|
分鐘級
|
秒級
|
實時
|
|
繞過檢測機制
|
不可能
|
可能
|
不可能
|
|
防范連續篡改攻擊
|
不能
|
不能
|
能
|
|
保護所有網頁
|
不能
|
不能
|
能
|
|
動態網頁腳本
|
不支持
|
支持
|
支持
|
|
適用操作系統
|
所有
|
受限
|
所有
|
|
上傳時檢測
|
不能
|
受限
|
能
|
|
斷線時保護
|
不能
|
不能
|
能
|
（四）保障門戶網站的數據安全
在數據層面，通過網絡安全域劃分，數據庫被隱藏在安全域，同時通過安全加固服務對數據庫進行安全配臵，并對數據庫的訪問權限做最為嚴格的設定，最大限定保證數據庫安全。網站的數據在存儲和傳輸過程中容易被黑客竊取，首先我們要保證數據庫的安全，對重要數據進行加密。數據在INTERNET傳輸中也會被盜取，所以對于重要數據，需要增加數據加密與解密等保證數據的安全；定期對數據庫備份。
（五）加強門戶網站安全管理制度的建立
網站安全管理不是一成不變的，它是一個動態的過程，但又是一個必須“長抓不懈”的系統過程。隨著安全攻擊和防范技術的發展，網站安全策略也要因時因勢調整。建立良好的安全管理機制，做到技術和管理的良好配合，仍是風險防范長期有效的途徑。那么，如何建立健全政府門戶網站安全管理體系，一是明確技術管理規范，面對網絡安全的脆弱性，除在網絡設計上增加安全服務功能，完善系統的安全保密措施外，還必須花大力氣加強網絡的安全管理。具體包括：非涉密、涉密網機器不允許混用；非涉密網機器不允許運行涉密信息，涉密網機器不允許上非涉密網；嚴格按照安全等級、安全域劃分，制定相應的安全保密制度；不同安全域、安全等級之間的信息必須通過安全交換系統方可交流。只有所有接入網絡的設備都安全，整個網絡的安全才能得到保證。二是明確相關人員的職責。強調以人為本，把網站安全納入一個人人有責、層層負責、由第一責任人負總責的安全管理體制之中。三是建立應急響應機制。從健全規范網絡安全管理機構、培養網絡安全管理人員和制動網絡安全管理制度等方面建立應急響應機制，以保障政府門戶網站正常安全運行。四是建立信息安全檢查監督機制。依據已確立的技術標準與制度，定期開展信息安全檢查工作，確保信息安全保障工作落到實處；建立責任通報制度，對檢查中發現的違規行為，按規定處罰相關責任人，限期整改。
解決方案
一、等級保護防護方案
目前多數政府網站在安全建設過程依然存在重應用輕安全現象，網站整體安全性差，缺乏必要的經常性維護。隨著等級保護工作的深入開展，國家相關監管機構近幾年也對于政府網站安全有了明確的要求和相關檢查工作，2011年國務院辦公廳下發了《關于進一步加強政府網站管理工作的通知》（國辦函【2011】40號），以及2012年《關于大力推進信息化發展和切實保障信息安全的若干意見》國發〔2012〕23號文件中，都提出了對于政府網站需要切實提高防攻擊、防篡改、防病毒、防癱瘓、防竊密能力。其中政府網站屬于國家重要信息系統，是國家等級保護測評和檢查重點。
政府網站普遍存在業務數據機密性要求高、業務連續性要求強、網絡結構相對封閉、信息系統架構形式多樣等特點。而政府網站所面臨的安全風險貫穿前端WEB訪問到后端數據處理和反饋整個過程。因此，對于一個定制化開發的政府門戶網站來說，從其規劃和開發階段就要引入相應的安全建設。而對于大多數已投入使用的政府門戶網站而言，由于不太可能投入大量的人力去重新開發或做大規模的代碼級整改，因此如何在運行階段進行有效的安全防護成為關注的焦點。
在本方案中，我們重點描述運維階段中對網絡層、系統層、應用層的安全防護體系。
DDoS防御：在Internet出口處部署一臺抗DDOS攻擊防護系統，用于防護來自外網的拒絕服務攻擊；
網絡訪問控制：利用防火墻進行訪問控制，防止不必要的服務請求進入網站系統，減少被攻擊的可能性；
系統安全加固：找出主機系統、網絡設備及其他設備系統中存在的補丁漏洞和配置漏洞，進行加固，以保障系統的安全性；
應用層防護：在網站服務器前部署一臺Web應用防護系統，通過Web應用防護系統有效控制和緩解HTTP及HTTPS應用下各類安全威脅，如SQL注入、XSS、CSRF、cookie篡改以及應用層DDoS等，有效應對網頁篡改、網頁掛馬、敏感信息泄露等安全問題，充分保障門戶網站的高可用性和可靠性。
網頁防篡改：在Web服務器系統上部署網頁防篡改系統，針對Web應用網頁和文件進行防護。
網站安全監測：通過專業化的托管式服務來實時監測和周期度量網站的風險隱患，評估網站的安全狀態，衡量改進情況。為政府用戶提供基于網站訪問行為、基于安全事件事前、事中、事后的7×24小時安全運營解決方案。
方案價值
Ø 提升WEB安全整體防御效果，有效抵御各類攻擊。
Ø 維護和提升政府機構的形象和公信力；
Ø 解決政府機構運維人員專業安全分析能力不足問題；
Ø 滿足來自國家及行業監管部門的合規性安全檢查要求；
Ø 協助安全事件取證以及事后追溯；
Ø 減輕重大節假日或重大事件時增加的網站安全監測與防護要求壓力；
方案優勢
Ø 遵循WEB應用生命周期的客觀規律；
Ø 遵循由點到面的整體防御體系，避免“安全孤島”；
Ø 強調安全產品和安全服務相結合模式的支撐作用；
Ø 基于安全事件事前、事中、事后的7×24小時的WEB安全運營方式。
Ø 依托云平臺技術，實現專業安全產品和專家團隊的云監護安全服務。
二、Web防火墻防護方案
根據 Gartner 的調查，信息安全攻擊有 75% 都是發生在 Web 應用層而非網絡層面上。同時，數據也顯示，2/3的WEB網站都相當脆弱，易受攻擊。據美國國防部統計，每1000行Web代碼中存在5~15個漏洞，而修補一個漏洞通常需要2~9小時。
今天的防火墻被用來保護計算機網絡免受非授權人員的騷擾與黑客的入侵。這些防火墻尤如一道護欄隔在被保護的內部網與不安全的非信任網絡之間，我們目前廣泛使用的互聯網絡便是世界上最大的不安全網，防火墻可以是非常簡單的過濾器，也可能是精心配置的網關，但它們的原理是一樣的，都是目前確保網絡安全的一種重要技術，是位于內部網絡與外部網絡之間或者兩個信任程度不同的網絡之間的軟件與硬件設備組合，它對兩個網絡之間的通信進行控制，通過強制實施統一的安全策略，限制外界用戶對內部網絡的訪問及管理內部用戶訪問外部網絡的權限的系統，防止對重要信息資源的非法存取和訪問，以達到保護系統安全的目的。防火墻保護著內部網絡敏感的數據不被偷竊和破壞，并記錄內外通訊的有關狀態信息日志，如通訊發生的時間和進行的操作等等。
防火墻通常是運行在一臺單獨計算機之上的一個特別的服務軟件，它可以識別并屏蔽非法的請求，將入侵者拒之門外的網絡安全技術。
在政府門戶網站信息系統的Internet邊界上或者WEB服務器的前端部署KILL-WEB應用防火墻，并在Web防火墻上實施以下安全策略：
Ø 對政府門戶網站及網上系統進行全面的安全防護，過濾如SQL注入、跨站腳本等因傳統防火墻不能防護的安全問題;
Ø 對政府門戶網站進行WEB隱藏，避免利用掃描軟件對其進行信息獲取分析;
Ø 設置政府門戶網站頁面防篡改功能及恢復功能，避免惡意篡改頁面;
Ø 對門戶網站進行應用層控制，限制部分用戶上傳文件及對敏感頁面的訪問;
Ø 對訪問門戶網站信息系統網絡進行安全監控以及審計，對可疑IP行為進行全面跟蹤分析。
WEB應用防火墻的價值體現
Ø 徹底防御因網站篡改帶來的負面影響
政府門戶網站作為國家行政管理機構發布政策的窗口，其頁面一旦被篡改將造成多種嚴重的后果。部署KILL-WEB應用防火墻，通過其緩存原始網站頁面可有效防護其網頁不被篡改。
Ø 徹底防御應用層針對WEB的攻擊
KILL-WEB應用防火墻內置上千種WEB應用攻擊特征庫，可有效抵御各種已知的、針對WEB服務器的攻擊行為，保障政府門戶網站系統的安全運行。
Ø WEB應用的審計工具
KILL-WEB應用防火墻不但具有強大的防攻擊、防篡改功能，還可通過其審計分析功能對過濾數據進行分析;對異常IP用戶進行行為跟蹤及對敏感用戶進行過濾等。
Ø 即插即用保證業務連續性
KILL-WEB應用防火墻產品的部署十分便捷，無需改變現有的網絡拓撲結構。安裝后，只需簡單的配置安全策略，就可為應用系統提供強大的安全防御，可保障政府門戶網站的業務連續性。
小結
無論是哪一級或哪一個部門的政府網站，都是維系著政府與民眾的政治和經濟生活的紐帶，是推動社會良性發展和創建“和諧社會”的現代化手段。隨著國家的經濟建設的飛速發展和政治體制的開放和透明，政府網站成為國際社會了解和人事中國的窗口，對于國際社會也產生越來越重要的影響。如何保護網站的安全和保障網站內容的安全，是對各級政府，特別是各級政府信息部門面臨著嚴峻挑戰。
