公安局网络安全防护系统技术方案

公安局网络安全防护系
统技术方案
文稿归稿存档编号：[KKUY-KKIO69-OTM243-OLUI129-G00I-FDQS58-
公安局网络安全防护系统
技术方案
目录
一、概述
对于公安门户网站来说，公安系统发布的消息是比较权威的，同时公安门户网站也是与民互动，实现执法办公公开的一个最基本的保障，因此公安门户网站是公安相关职能部门信息化建设的重要内容，主要实现国家对公安门户网站的三大功能定位：法律法规信息公开、公民在线办事、政法与民互动。

公安门户网站是提高公安系统服务质量、服务效率、公众认知度和满意度的关键环节，是国家重要信息系统之一。

而近年来，随着网站所运行业务的重要性逐渐增加以及其公众性质使其越来越成为攻击和威胁的主要目标，公安门户网站所面临的Web应用安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁的风险，如网页篡改、蠕虫病毒、DDoS攻击、SQL注入、跨站脚本、Web应用安全漏洞利用等，极大地困扰着政府职能单位和公众用户，给公安系统的公众形象、信息网络和核心业务造成严重的破坏。

因此一个优秀的网站安全建设是公安政务门户网站是否能取得成效、充分发挥职能的基础，而合规、有效、全面的信息安全体系建设对保障其正常运行至关重要。

二、公安门户网站安全建设必要性
当前公安系统门户网站已积聚了信息化建设中大量的信息资源，成为公安系统信息公开成熟的业务展示和应用的平台，是工作模式创新与流程改造、开展协同和电子服务的重要媒介，是实现执法信息公开在网络世界中建立的永久据点。

公安部门的网站普遍存在业务数据机密性要求高、业务连续性要求强、网络结构相对封闭、信息系统架构形式多样等特点。

而网站中不同业务功能模块的信息安全需求又各不相同。

如对外便民服务信息系统具有相对开放的结构特点，用户一般为普通民众，便民服务业务对数据的可用性和完整性要求往往大于其对机密性要求，而在网站上独立运行的业务信息系统具有相对封闭的结构特点，用户一般为内部用户，用户对数据的完整性和保密性要求往往大于可用性要求。

因此公安网站安全风险贯穿前端Web访问到后端数据处理和反馈整个过程。

因此可以定性的认为：前一类信息系统面临的服务中断、外部黑客攻击、非法入侵、安全漏洞等威胁的概率比较大，而后一类内网泄密、监管审计不到位等威胁的概率比较大。

推动政府网站进行全面信息安全体系设计和建设的动力目前主要来自三个方面：
1、等级保护等合规性安全要求
2、面临的安全威胁
3、网站安全现状
2.1合规性要求
目前在已经基本完成的等级保护定级工作中，国家部委网站的安全级别基本定为3级，属于国家重要信息系统，是国家等级保护测评和检查重点。

面对Web应用层面这类给Internet可用性带来极大损害的攻击，必须在国家等级保护政策的指导下，采用专门的机制，综合采用各种技术手段对攻击进行有效检测，应按照《中华人民共和国计算机信息系统安全保护条例》、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《等文件要求，参考《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护基本要求》（ GB/T 22239-2008 ）等等级保护相关标准，开展等级保护整改、测评工作，切实为将网站建成“信息公开、在线办事、公众参与”三位一体的业务体系，为企业和社会公众提供“一站式”电子政务公共服务政务目标提供有力保障。

另外根据国家发改委、财政部最近下发的《关于加快推进国家电子政务外网建设工作的通知》（发改高技【2009】988号）中的要求：尚未实现与国家政务外网连接的部门，要按照统一的标准和规范，于2010年初完成接入国家政务外网的工作，要尽快将各类可在国家政务外网上运行的业务系统向国家政务外网上迁移，各级政务部门要根据国家关于等级保护的有关规定，确定国家政务外网上运行的业务系统的信息安全等级，采取相应的信息安全等级保护措施，进行信息安全风险评估，保障
各自业务系统的信息安全。

这其中也包含了政府-公安职能单位门户网站。

因此符合国家合规性要求网站安全建设已经变得刻不容缓。

2.2面临的威胁
近几年关于网站网络钓鱼、SQL注入和跨站脚本等带来严重后果的攻击事件频频发生，严重影响了人们对WEB应用的信心，根据Gartner的数据分析，80%基于WEB的应用都存在安全问题，其中很大一部分是相当严重的问题。

WEB应用系统的安全性越来越引起人们的高度关注。

目前网络中常见的攻击已经由传统的系统漏洞攻击逐渐发展演变为对应用自身弱点的攻击。

与此同时，网站也因安全隐患频繁遭到各种攻击，导致网站敏感数据丢失、网页被篡改，甚至成为传播木马的傀儡。

网站安全形势日益严峻，而政府网站被攻击后造成的巨大政治风险、名誉损失、经济损失已经成为电子政务健康发展的一个巨大障碍。

当前威胁环境的主要特征是数据窃取、数据泄漏和为了获利而以特定组织为目标进行攻击所创造的恶意代码不断增加。

政务网站除了面临信息系统及网络通用的安全问题外，还有其自身特点的安全问题。

政府网站面临的重要安全威胁主要有：
1.网页篡改
政府门户网站作为国家的行政管理机构发布的信息事关国计民生，一旦被篡改将造成如政府形象受损、恶意发布信息等多种严重后果。

来自《中国互联网网络安全报告（ 2008 年上半年）》①数据显示：网页篡改事件特别是我国大陆地区政府网页被篡改事件呈现大幅增长趋势。

2008 年上半年，中国大陆被篡改网站总数达到35113 个，同比增加了23.7%。

2008 年1 月至6 月期间，中国大陆政府网站被篡改数量基本保持平稳，各月累计达2242个，同比增加了41%。

从网站页面被篡改的角度来看，存在两种攻击的可能，一种是网站被入侵，也就是说网站页面确实被篡改了，另外一种是网站被劫持，这种情况下网站的页面实际上并没用被篡改，但是攻击者劫持了网络访问并发送欺骗页面给来访者，进而造成页面被篡改的表象。

2.网页挂马
网页挂马就是攻击者入侵了一些网站后，通过在正常的页面中（通常是网站的主页）将自己编写的网页木马嵌入被黑网站的主页中，浏览者在打开该页面的时候，这段代码被执行，然后下载并运行某木马的服务器端程序，进而控制浏览者的主机。

利用被黑网站的流量将自己的网页木马传播开去，以达到自己不可告人的目的。

网站被挂马，被植入后门，这是政府门户网站无法忍受的。

网页挂马不仅对Web服务器造成很大影响，还“城门失火殃及池鱼”，网站的浏览者也不能幸免。

网站被挂马不仅会让自己的网站失去信誉，丢失大量客
户，也会让我们这些普通用户陷入黑客设下的陷阱，沦为黑客的肉鸡。

因此这无论是对政府的信誉，还是对公民的信任度都是沉重的打击。

由于网页木马的运行原理利用了IE浏览器的漏洞，因此对漏洞的及时修补及防护就成为网页木马防护的重点，下图是网页木马利用应用程序漏洞的分布图：
3.木马、病毒传播
木马是一种在远程计算机之间建立起连接，使远程计算机能够通过网络控制本地计算机的程序。

木马本身不具备繁殖性和自动感染的功能，这是与病毒的最大区别。

木马程序的危害是十分大，它能使远程用户获得本地机器的最高操作权限，通过网络对本地计算机进行任意的操作，比如删添程序、锁定注册表、获取用户保密信息、远程关机等。

木马使用户的电脑完全暴露在网络环境之中，成为别人操纵的对象。

因为工作需要政府办公人员会经常会访问政府网站，一旦访问了被植入木马的网页，木马程序会自动搜集并传走电脑中的各种文档，将可能引发严重的泄密事件，后果不堪设想。

据安全公司比特梵德(BitDefender)在日前发表的4月份调查报告中称，木马程序仍在继续在互联网上传播，是互联网用户面临的最恶毒的威胁排行榜中的主要威胁。

4.网络蠕虫
蠕虫是一种通过传播的恶性病毒，它具有病毒的一些共同特征，如传播性、隐蔽性和破坏性等。

同时具有自己的特殊特征，如不利用文件寄生
(如只存在于内存中)引起网络拒绝服务故障及与相结合等。

在破坏性上网络蠕虫也不是普通病毒所能比拟的，它可以在短短的时间内蔓延整个网络，造成网络瘫痪。

使访问者无法获取自己需要的内容，政府发布的各种信息将得不到传达，影响了电子政务信息的发布和传播。

5.越权操作
越权攻击本身起源是应用系统对权限没有严格识别，导致用户文件权限过滤不严格。

使低级别用户拥有高级别用户权限，可执行高级别用户动作，或同权限级别用户之间没有校验，没有做用户识别，导致越权访问。

越权操作基本上可分为两种：信息所属与角色权限不匹配；执行操作权限与角色权限不匹配。

2.3公安门户网站安全现状分析
目前公安门户网站建设还存在比较突出的重应用轻安全的现象，比如在某部位所制定的网站绩效评估指标中，基本上均是从网站的业务应用出发制定的，对信息安全的考虑基本没有。

根据前期的调研发现，目前公安门户网站的安全控制与措施大多独立考虑，部分系统甚至缺少基本的安全策略，缺少安全主线和安全规划，导致只解决了局部问题，而未能从整体解决安全问题，从而降低了整体的安全效率，导致多个信息安全孤岛的实现，而且现有政务网站安全管理、防范措施、安全意识薄弱，极易遭到黑客攻击。

当前网站系统面临的安全形势十分严峻，既有外部威胁，又有自身脆弱性和薄弱环节，能否及时发现并成功阻止网络黑客的入侵和攻击、保证Web应用系统的安全和正常运行
成为政府网站所面临的一个重要问题。

当前绝大多数公安网站部署了一些安全设施，如防火墙，防病毒软件等，而这些传统的安全设备，作为整体安全策略中不可缺少的重要模块，还不能有效地提供针对Web应用攻击完善的防御能力。

面对Web应用攻击，这类给Internet可用性带来极大损害的攻击，必须采用专门的机制，对攻击进行有效检测，进而遏制这类不断增长、日趋复杂的攻击形式，因此围绕政府网站特定的安全需求开展系统的、有针对性的网站安全建设已经变得刻不容缓。

三、面临的典型攻击
魔鬼出没的世界 - 卡尔·萨根，用这句话形容网站目前所处的恶劣安全环境是再合适不过了。

对于网站的应用特点，针对公安门户网站最普遍的攻击有如下：
3.1跨站脚本
跨站脚本攻击属于被动模式攻击，是一种迫使应用系统向客户端回显攻击者所提交可执行代码的攻击技巧，通常是针对浏览器的攻击，攻击者提交的代码通常是 HTML/JavaScript，但是也可以扩展到
VBScript/ActiveX/Java 等其他浏览器支持的技术上，这种攻击的对象是应用系统的最终用户，通过在应用系统插入可执行的脚本，用以获取用户系统中存储的Cookie和Session信息，通过这些信息进行加工和重放，就可以轻而易举地进行用户身份仿冒。

跨站脚本产生的根源与SQL注入问题一样，主要有：参数数据过滤不严格，用户提交的脚本代码未经正确处理返回到用户的浏览器，没有对用户数据进行校验和过滤，主要产生在动态网页环境，XSS这类漏洞是由于动态网页的WEB应用对用户提交请求参数未做充分的检查过滤，允许用户在提交的数据中掺入HTML代码（最主要的是“>”、“<”），然后未加编码地输出到第三方用户的浏览器，这些攻击者恶意提交代码会被受害用户的浏览器解释执行。

据研究发现：90％以上动态网页存在跨站脚本问题。

跨站脚本的危害：浏览器劫持，伪造信息，欺骗用户；盗窃用户Cookie 中的敏感信息，冒充用户，获取应用或操作系统的控制；高级利用，在客户端浏览器上执行恶意JavaScript，后台以当前浏览器的身份自动执行攻击者指定的操作。

攻击者可以利用XSS漏洞借助存在漏洞的WEB 网站转发攻击其他浏览相关网页的用户，窃取用户浏览会话中诸如用户名和口令（可能包含在Cookie里）的敏感信息、通过插入挂马代码对用户执行挂马攻击。

跨站脚本漏洞的特点在于对存在漏洞的网站本身并不构成威胁，但会使网站成为攻击者攻击第三方的媒介。

3.2信息泄漏
信息泄漏是攻击者通过某种方式获得应用系统某些敏感信息的攻击技巧，通常是利用程序员遗留在代码中的注释或者服务器程序的错误信息。

信息泄露的危害：应用系统部署时没有将注释去掉、应用系统部署时没有正确的配置服务器程序。

信息泄露的危害：远程攻击者可以利用漏洞获得敏感信息，有利于攻击者进一步的攻击，例如 SQL 注入。

3.3SQL 注入
SQL 注入是攻击者通过输入恶意的请求直接操作数据库服务器的攻击技巧。

SQL注入式应用系统中最常见，同时也是危害最大的一类弱点。

导致SQL注入的基本原因是由于应用程序对用户的输入没有进行安全性检查，从而使得用户可以自行输入SQL查询语句，对数据库中的信息进行浏览、查询、更新。

基于SQL注入的攻击方法多种多样，而且有很多变形，这也是传统工具难以发现和定位的。

SQL 注入产生的原因：应用开发过程中没有对用户输入进行校验和过滤，对用户提交CGI参数数据未做充分检查过滤，用户提交的数据可能会被用来构造访问后台数据库的SQL指令。

如果这些数据过滤不严格就有可能被插入恶意的SQL代码，从而非授权操作后台的数据库，导致敏感信息泄露、破坏数据库内容和结构、甚至利用数据库本身的扩展功能控制服务器操作系统。

SQL注入的危害：利用SQL注入漏洞可以构成对WEB服务器的直接攻击，还可能用于网页挂马，导致机密数据泄漏如电子商务网站的客户信息；服务器被控制；后台数据库执行非授权的查询、修改、删除；泄露认证相关的敏感信息，导致攻击者控制Web应用；网站数据的恶意破坏。

3.4DDOS攻击
传统的攻击都是通过对业务系统的渗透，非法获得信息来完成，而DDoS（Distributed Denial of Service）攻击则是一种可以造成大规模破坏的黑客武器，它通过制造伪造的流量，使得被攻击的服务器、网络链路或是网络设备（如防火墙、路由器等）负载过高，从而最终导致系统崩溃，无法提供正常的服务。

DDoS攻击由于攻击简单、容易达到目的、难于防范和追查，日益成为常见的攻击方式。

拒绝服务攻击可以有各种分类方法，如果按照攻击方式来分可以分为：资源消耗、服务中止和物理破坏。

资源消耗指攻击者试图消耗目标的合法资源，例如：网络带宽、内存和磁盘空间、CPU使用率等等。

通常，网络层的拒绝服务攻击利用了网络协议的漏洞，或者抢占网络或者设备有限的处理能力，造成网络或者服务的瘫痪，而DDoS攻击又可以躲过目前常见的网络安全设备的防护，诸如防火墙、入侵监测系统等，这就使得对拒绝服务攻击的防治，成为了一个令用户非常头痛的问题。

由于防护手段较少同时发起DDoS攻击也越来越容易，所以DDoS的威胁也在逐步增大，它们的攻击目标不仅仅局限在Web服务器或是网络边界设备等单一的目标，网络本身也渐渐成为DDoS攻击的牺牲品。

许多网络基础设施，诸如汇聚层/核心层的路由器和交换机、运营商的域名服务系统（DNS）都不同程度的遭受到了DDoS攻击的侵害。

随着各种业务对Internet依赖程度的日益加强，DDoS攻击所带来的损失也愈加严重。

包括运营商、企业及政府机构的各种用户时刻都受到了
DDoS攻击的威胁，而未来更加强大的攻击工具的出现，为日后发动数量更多、破坏力更强的DDoS攻击带来可能。

正是由于DDoS攻击非常难于防御，以及其危害严重，所以如何有效的应对DDoS攻击就成为Internet使用者所需面对的严峻挑战。

网络设备或者传统的边界安全设备，诸如防火墙、入侵检测系统，作为整体安全策略中不可缺少的重要模块，都不能有效的提供针对DDoS攻击完善的防御能力。

面对这类给Internet可用性带来极大损害的攻击，必须采用专门的机制，对攻击进行有效检测，进而遏制这类不断增长的、复杂的且极具欺骗性的攻击形式
四、公安系统门户网站安全防护
作为信息系统的一个典型应用，网站的安全防护与信息系统一样，涉及的层面比较多，可分为网络层面、系统层面、一般服务组件如数据库、通用软件、常用软件等、特定应用，对于前三类防护手段是通用的，我们使用的是传统的防护技术。

如下图：
对网络、通信协议、操作系统、数据库等层面上的防护可以认为是通用的，传统的边界安全设备，如防火墙、安全网关、审计产品、终端防护产品等，作为网站整体安全策略中不可缺少的重要模块，其防护效果是比较有效的。

但在对公安网站系统采用传统技术手段进行安全防护的同时，也要充分考虑如何针对用户特定应用的应用层面脆弱性及威胁进行安全保障，因
为网站的安全问题中，业务层面所暴露的安全问题显得尤为突出，针对WEB特定应用的脆弱性以及产生的安全问题是个性化和不通用的，包括网络站点访问异常终止，被黑客DDOS攻击占用大量的流量带宽等面临以上这些传统的技术手段就显得力不从心了，不能有效的防范和检测网站特定的威胁和攻击，本方案重点是围绕公安门户网站面临的典型安全问题，如跨站脚本、信息泄露、SQL注入、DDOS攻击，解决典型用户特定Web应用的防护和保障的解决方案，传统层面的保障方案参见其他方案。

根据国家“谁主管谁负责，谁运营谁负责”的精神，政府网站设计、建设、运维者是网站安全保障体系建设的主要力量，在贯穿网站全生命周期的信息安全建设过程中，可从安全检测、安全防护、安全监控与安全恢复三个方面对政府网站信息安全体系进行设计和建设。

五、安全可靠的防御手段
除了采用信息系统传统的防护技术对门户网站的基础设施进行必要的防护外，还必须针对WEB应用攻击采用专门的机制，对其进行有效检测、防护。

从安全角度考虑，需要针对目前泛滥的SQL注入、跨站脚本、应用层DDoS等Web应用攻击，对来自Web应用程序客户端的各类请求进行内容检测和验证，有效应对SQL注入、跨站脚本及其变形攻击、实时检测网页篡改、提供挂马主动诊断，提供细粒度应用层DDoS攻击防护功能，清除不良用户对应用系统的非法访问流量，确保其可靠性、安全性与合法性，对非法的请求予以实时阻断清洗，从而对各类网站站点进行有效防护，降低
攻击的影响，确保业务系统的连续性和可用性，降低网站安全风险，维护网站公信度。

绿盟科技提供的安全防护部署如图：
绿盟科技建议在出口部署绿盟下一代防火墙NF进行网站对外发布，安全域隔离，访问控制，提高网络层安全性，同时可以提供ISP路由选路，保障带宽的利用率，保障门户网站的访问连续性；在防火墙后端建议部署一台NIPS进行入侵检测防御。

实现多重不同策略的4-7层数据包的安全防护，为公安门户网站系统增加一套安全可靠的防线；同时可以在WEB服务器前端部署WEB应用防火墙（WAF）。

同时部署绿盟ESPC安全管理平台对所有绿盟安全产品进行统一管理，统一分析，统一检测。

5.1绿盟科技下一代防火墙（NF）
NF基于卓越的应用和用户识别能力，对数据流量和访问来源进行精细化辨识和分类，使得用户可以轻易从同一个端口协议的数据流量中辨识出任意多种不同的应用，或从无意无序的 IP 地址中辨识出有意义的用户身份信息，从而针对识别出的应用和用户施加细粒度、有区别的访问控制策略、流量管理策略，保障了用户最直接、准确、精细的管理愿望和控制诉求。

同时可以具有防病毒、URL过滤、WEB信誉库、内容过滤等功能。

NF能精确分类与辨识出包括低风险、高风险在内的1000+种应用，F 将当前网络中发生的一切安全威胁状况都及时清晰、可视直观的展现给用
户，如当前网络中的应用流量分布，用户访问分布，以及在应用的安全防护中发现或拦截了哪些安全威胁等。

NF中一体化安全引擎可对应用流量进行一体化、全方位、多层面的安全过滤，一次解码即可发现并拦截全部威胁攻击和安全风险，保障用户网络环境的应用安全。

5.2绿盟网络入侵防御系统（NSFOCUS NIPS）
通过详细分析公安门户网站服务器漏洞报告所面临的安全风险和信息安全需求，我们建议在核心交换与服务器区边界处部署新一代安全产品——绿盟网络入侵防护系统（NSFOCUS NIPS），能够提供虚拟补丁功能，有效防御各种攻击和网络蠕虫病毒，保证网络系统的安全稳定运行。

实时、主动拦截黑客攻击、蠕虫、网络病毒、后门木马、挖矿等恶意流量，保护XX公安门户系统和网络架构免受侵害，防止操作系统和应用程序损坏或宕机。

基于互联网Web站点的挂马检测结果，结合URL信誉评价技术，保护用户在访问被植入木马等恶意代码的网站时不受侵害，及时、有效地第一时间拦截Web威胁。

5.3绿盟科技WEB应用防护系统（WAF）
WAF采用主动防护的代理架构,领先的DDoS防护能力及智能补丁应急响应提供Web服务器漏洞防护、Web插件漏洞防护。

爬虫防护、站脚本防护SQL注入防护LDAP注入防护。