(2)應(yīng)用層防御

在防火墻的后面，加入應(yīng)用層防御的設(shè)備，如IPS(Intrusion Prevention System，入侵防御系統(tǒng))、WAF(Web Application Firewall，Web應(yīng)用防火墻)、UTM(Unified Threat Management，統(tǒng)一威脅管理)等，對來自外部企業(yè)門戶的網(wǎng)站從應(yīng)用層(包括URL鏈接、網(wǎng)頁內(nèi)容等)進行細粒度的過濾和檢測，出現(xiàn)惡意內(nèi)容等及時進行阻斷。并且，對于SQL注入攻擊、緩沖區(qū)溢出攻擊、篡改網(wǎng)頁、刪除文件等也有很好的抑制和阻斷作用。

(3)負載均衡

企業(yè)門戶網(wǎng)站系統(tǒng)服務(wù)器側(cè)需要具備負載均衡及負載保護機制。因為，系統(tǒng)面臨著巨大的服務(wù)量，服務(wù)器端的設(shè)備基本上都需要有多臺服務(wù)器進行業(yè)務(wù)分擔(dān)，這樣才能提高性能，避免處理瓶頸的出現(xiàn)，因此，需要采用合理的負載均衡和負載保護機制對各服務(wù)器的業(yè)務(wù)流量進行有效地分擔(dān)，可按照Round Robin、LRU(Least Recently Used)等方式來進行負載均衡;另外，負載保護機制需要實時地對每臺服務(wù)器的CPU資源、內(nèi)存資源等進行評估，如果一旦超過設(shè)定的閾值(80%或者以上)，將馬上進行過載保護，從而保證服務(wù)器自身的安全。

通常，有2種實現(xiàn)方式。一種是購買成熟的硬件負載均衡產(chǎn)品，如F5等來對網(wǎng)站的流量進行控制和分流，以保證后臺各服務(wù)器的流量均衡以及高可用，不過花費較高;一種是通過使用開源系統(tǒng)軟件LVS(Linux Virtual Server，Linux虛擬服務(wù)器)、Nginx(Engine X)等負載均衡軟件來構(gòu)建應(yīng)用，這樣可以節(jié)約一定的資金

2.2 強化用戶訪問控制

設(shè)計好的訪問控制策略和手段，可以從很大程度上避免非法用戶的訪問，從而保護企業(yè)門戶網(wǎng)站安全。目前適合企業(yè)門戶網(wǎng)站的認證方式如下，可以采用一種或者結(jié)合幾種方式：

用戶名+密碼：最為傳統(tǒng)的驗證方式;

數(shù)字證書：對于重要的Web系統(tǒng)應(yīng)用，需要根據(jù)PKI(Public Key Infrastructure，公鑰體制)機制，驗證用戶提供的證書，從而對用戶身份認證(通常情況下是服務(wù)器對客戶端認證，也可以建立雙向認證，即用戶對服務(wù)器進行認證，以防止假冒的非法網(wǎng)站)，并確保交易的不可抵賴性。證書的提供可以采用兩種方式：

1)文件證書：保存在用戶磁盤和文件系統(tǒng)上，有一定的安全風(fēng)險;

2)USB設(shè)備存儲的證書：保存在USB設(shè)備上，安全性很高。

2.3 加密通信數(shù)據(jù)

可以采用成熟的SSL(Secure Socket Layer，安全套接字層)機制，來保證Web系統(tǒng)數(shù)據(jù)的加密傳輸和用戶對Web系統(tǒng)服務(wù)器的驗證。對于使用Web瀏覽器的網(wǎng)上系統(tǒng)應(yīng)用，采用SSL+數(shù)字證書結(jié)合的方式(即HTTPS協(xié)議)，保證通信數(shù)據(jù)的加密傳輸，同時也保證了用戶端對服務(wù)器端的認證，避免用戶被冒充合法網(wǎng)站的“釣魚網(wǎng)站”欺騙，從而泄露機密信息(用戶名和密碼等)，造成不可挽回的經(jīng)濟損失。

在使用SSL的過程中，首先需要申請好相應(yīng)的數(shù)字證書。一般來說，有兩種處理方法。

1)一種是申請權(quán)威機構(gòu)頒發(fā)的數(shù)字證書，如VeriSign，GlobalSign等機構(gòu)頒發(fā)的數(shù)字證書，這需要一定的費用，好處是當(dāng)前幾乎所有的主流瀏覽器都能夠很好地支持，也就是只需要在企業(yè)門戶網(wǎng)站的服務(wù)器上部署該證書即能在客戶端和服務(wù)器端建立SSL加密通道;

2)另一種是由企業(yè)使用OpenSSL等開源工具來生成相應(yīng)的根證書和服務(wù)器證書，這樣能夠節(jié)約一大筆費用，但是缺點是主流瀏覽器并不能很好地支持，需要在客戶端和服務(wù)器端分別部署根證書和服務(wù)器證書，這樣在客戶端非常多的時候不好處理，同時用戶體驗也很差。

2.4 做好風(fēng)險控制

風(fēng)險控制是在攻擊發(fā)生前對企業(yè)門戶網(wǎng)站使用滲透測試等技術(shù)手段來挖掘、分析、評價，并使用打補丁、實施安全技術(shù)和設(shè)備的辦法來解決網(wǎng)站可能存在的各種風(fēng)險、漏洞。這需要周期性、自發(fā)地對Web系統(tǒng)的漏洞進行自我挖掘，并根據(jù)挖掘的漏洞通過各種安全機制和補丁等方式進行防護，以有效地避免“零日攻擊” 等。

目前，企業(yè)門戶網(wǎng)站可以通過使用端口掃描、攻擊模擬等方式來對企業(yè)門戶網(wǎng)站的開放端口、服務(wù)、操作系統(tǒng)類型等進行獲取，并利用其相關(guān)漏洞進行攻擊測試。并根據(jù)測試的結(jié)果來通過各種方式加固該系統(tǒng)的安全，以避免被黑客等利用來進行攻擊。

2.5 健全訪問日志審計

企業(yè)門戶網(wǎng)站作為開放門戶，且基于HTTP協(xié)議，因此在用戶訪問時會產(chǎn)生大量的訪問日志。網(wǎng)站管理者需要對這些日志進行詳細地記錄、存儲，并以備日后的分析取證。實踐證明，很多的拒絕服務(wù)攻擊以及其他攻擊方式都會在系統(tǒng)中留下日志，比如IP地址信息、訪問的URL鏈接等，這都可以作為網(wǎng)站管理員的審計素材，為阻斷黑客的下一次進攻，保證網(wǎng)站安全打下基礎(chǔ)。

2.6 事前災(zāi)難備份

任何系統(tǒng)都不能說100%的安全，都需要考慮在遭受攻擊或者是經(jīng)受自然災(zāi)害后的備份恢復(fù)工作，需要著重考慮如下幾點：

1)選擇合適的備份策略，做好提前備份，包括全備份、差分備份、增量備份等等

2)選擇合適的備份介質(zhì)，包括磁帶、光盤、RAID磁盤陣列等

3)選擇合適的備份地點，包括本地備份、遠程備份等等

4)選擇合適的備份技術(shù)，包括NAS、SAN、DAS等等

5)做好備份的后期維護和安全審計跟蹤

2.7 統(tǒng)籌安全管理

企業(yè)門戶網(wǎng)站系統(tǒng)一般功能復(fù)雜，業(yè)務(wù)數(shù)據(jù)敏感，保密級別比較高，并且對不同管理人員的權(quán)限、角色要求都不盡相同，為了保證安全管理，避免內(nèi)部管理中出現(xiàn)安全問題，建議作如下要求：

1)嚴格劃分管理人員的角色及其對應(yīng)的權(quán)限，避免一權(quán)獨攬，引起安全隱患;

2)做好服務(wù)器機房的物理條件管理，避免電子泄露、避免由于靜電等引起的故障;

3)做好服務(wù)器管理員的帳號/口令管理，要求使用強口令，避免內(nèi)部人員盜用;

4)做好服務(wù)器的端口最小化管理，避免內(nèi)部人員掃描得出服務(wù)器的不必要的開放端口及其漏洞，實行內(nèi)部攻擊;

5)做好服務(wù)器系統(tǒng)軟件、應(yīng)用軟件的日志管理和補丁管理工作，便于審計和避免由于安全漏洞而遭受到內(nèi)部人員的攻擊;

6)根據(jù)業(yè)務(wù)和數(shù)據(jù)的機密等級需求，嚴格劃分服務(wù)器的安全域，避免信息泄露。

zhangcun