格格党

手机浏览器扫描二维码访问

四网站群的安全研究（第1页）

四、网站群的安全研究

banner"

>

网站群的安全主要围绕着《信息安全技术信息系统安全等级保护基本要求》（GBT22239—2008）中提出的技术要求，主要包含物理安全、网络安全、主机安全、应用安全、数据安全与备份恢复。

（一）物理安全

物理安全包括物理访问控制、防盗窃和防破坏，防雷击、防火、防水、防潮、温湿度控制和电力供应。

网站群的服务器都放置于数据中心机房内，参照等级保护第三级要求。

网站群的物理环境要符合等级保护第三级要求，需要安全整改的内容有加强机房硬件的标签管理，采用难以去除的标签对重要设备进行标记；安装红外报警器，结合现有的门禁系统、视频监控系统、24小时不间断保安值班、运维人员和工作人员值班等措施，对数据中心加强安全管理；按照功能划分物理功能区，将数据中心划分为网络区、数据库区、托管区、刀片服务器区和存储区等；使用消防认可的防火铯钾玻璃进行隔离，并安装气体消防灭火设施。

（二）网络安全

根据等级保护基本要求，网络安全需要从结构安全、访问控制、安全审计、便捷性检查、入侵防范、恶意代码防范、网络设备防护7个方面进行建设。

网站群在网络层主要面临的安全威胁是漏洞扫描、口令猜解、拒绝服务攻击等。

网站群往往由主要网站群和部门托管网站群等类别组成，不同的网站其重要程度和开发、维护要求不尽相同，应该按照部门性质、重要程度对网站群进行安全域划分。

在网站群的互联网接入区，按照等级保护要求，应该考虑边界访问控制、边界入侵防范、网络安全审计以及网络防病毒等措施。

在对网站群的远程维护中，必须杜绝直接通过远程桌面（RDP）或FTP等不安全的方式进行维护，否则一旦这些方式存在安全漏洞，会对网站群造成严重威胁。

（三）主机安全

网站群服务器系统层风险主要来自两个方面：一是来自操作系统自身的漏洞；二是来自操作系统的配置和管理。

等级保护主机安全方面对操作系统和数据库系统都提出了身份鉴别、访问控制、安全审计、剩余信息保护等安全要求。

这几个方面的要求大部分可以通过增强操作系统和数据库系统的配置加固来实现，并且应当采用服务器监控系统，对网站群服务器的CPU、内存和存储空间进行监控和预警。

（四）应用安全

应用层面的安全问题主要包括SQL注入、上传漏洞、第三方控件漏洞、跨站脚本攻击等，这些攻击发生的原因是网站源代码本身存在安全缺陷，导致黑客可以绕过安全机制，直接获取或控制网站服务器，最终导致网页被篡改、数据泄漏或者被作为跳板攻击其他网站。

因此在开发过程中应加强安全审计、身份访问控制、代码质量和加密算法的要求，加强上线及平时运行时的漏洞扫描。

（五）数据安全与备份恢复

网站群的数据包括全部的源代码和数据库中的数据，这里的数据的安全问题主要涉及数据的备份与恢复。

等级保护明确规定“应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放”

。

对于关键的数据，需要进行冗余备份，在多个位置存放多个备份，以防止备份数据也出现问题时造成严重损失。