EP電力信息化網(wǎng)記者李東波報道:網(wǎng)頁防篡改是IDC安全建設(shè)中的重要一環(huán)
隨著大數(shù)據(jù)時代的來臨，IDC機房建設(shè)不斷升級，IDC安全已成為各大電信運營商競爭和關(guān)注的焦點。特別是隨著企業(yè)信息化程度的提高，其自身的數(shù)據(jù)安全和信息網(wǎng)絡(luò)安全也越來越被關(guān)注。

近幾年，IDC機房在信息安全方面采取了一系列安全措施，初步實現(xiàn)了對部分關(guān)鍵業(yè)務(wù)系統(tǒng)的基本保護，并降低了病毒和黑客等攻擊源對系統(tǒng)安全性造成破壞的可能性。但由于IDC機房網(wǎng)絡(luò)信息系統(tǒng)結(jié)構(gòu)的復雜性和龐大性，而且各種應(yīng)用系統(tǒng)的建設(shè)受到當時條件的限制缺乏統(tǒng)一的遠景規(guī)劃，導致在網(wǎng)絡(luò)信息系統(tǒng)管理和技術(shù)上還遺留了很多安全問題和隱患，使得Web應(yīng)用系統(tǒng)仍然存在很多來自外部或內(nèi)部引起的安全風險。

目前在國內(nèi)，針對Web應(yīng)用的攻擊問題相當嚴重，網(wǎng)頁遭受非法篡改的事件時有發(fā)生。托管到IDC機房的用戶網(wǎng)站，一旦某些重要網(wǎng)頁被篡改后被公眾瀏覽到，將會對客戶單位及IDC機房的形象造成巨大的負面影響。為了保證現(xiàn)有業(yè)務(wù)系統(tǒng)安全，必須對現(xiàn)有的IDC機房的Web網(wǎng)站進行專業(yè)有效的安全防護，能夠有效防止黑客對網(wǎng)站頁面的篡改攻擊，保障客戶網(wǎng)站安全。

特殊環(huán)境決定IDC機房網(wǎng)頁防篡改建設(shè)原則

考慮到IDC機房的特殊性，IDC機房的用戶數(shù)量龐大，網(wǎng)站應(yīng)用所使用的OS平臺、Web服務(wù)器種類、后臺發(fā)布系統(tǒng)、后臺數(shù)據(jù)庫等種類繁多，技術(shù)水平參差不齊。要對整個機房的所有Web網(wǎng)站系統(tǒng)進行統(tǒng)一的防篡改建設(shè)，首要考慮的因素是可實施性;針對不同的Web網(wǎng)站系統(tǒng)，能夠簡單有效的實現(xiàn)網(wǎng)頁防篡改目的，達到用戶實際需求。另外，還需遵循以下原則：
方案先進原則：系統(tǒng)要求功能完善、技術(shù)先進、安全可靠、服務(wù)領(lǐng)先;
系統(tǒng)安全原則：系統(tǒng)自身安全包括物理安全、系統(tǒng)安全、數(shù)據(jù)安全和運行安全等;
可擴展原則：統(tǒng)一規(guī)劃，兼顧長遠，既要滿足現(xiàn)有的需求，又要兼顧系統(tǒng)的可擴展性，保證分布實施的延續(xù)性。系統(tǒng)在結(jié)構(gòu)、規(guī)模、應(yīng)用能力等各個方面都必須具備很強的擴展能力;
易操作原則：網(wǎng)頁防篡改保護系統(tǒng)的使用、維護、管理等方面要易操作;
高效原則：系統(tǒng)的處理能力要求能滿足現(xiàn)階段的實際需求，保證系統(tǒng)的高效運行，并能根據(jù)系統(tǒng)的發(fā)展進行不斷提升;
功能完整原則：網(wǎng)頁防篡改保護系統(tǒng)的功能完整，應(yīng)用安全擴展系統(tǒng)功能完整;
靈活性原則：整個系統(tǒng)的擴展方面必須滿足靈活性要求。
天融信推出IDC機房網(wǎng)頁防篡改方案
結(jié)合上述分析，天融信公司應(yīng)用安全團隊通過對網(wǎng)站安全多年的研究經(jīng)驗，針對Web應(yīng)用安全提出了全新的安全防護方式，采用天融信網(wǎng)頁防篡改系統(tǒng)對IDC機房的網(wǎng)站系統(tǒng)進行統(tǒng)一規(guī)劃建設(shè)，達到IDC機房的防篡改保護要求。天融信網(wǎng)頁防篡改系統(tǒng)采用當前最先進的系統(tǒng)底層文件驅(qū)動技術(shù)，通過驅(qū)動層面的訪問控制手段，實現(xiàn)對網(wǎng)站頁面的全面保護，直接阻止非法用戶對網(wǎng)站頁面的篡改行為，真正意義上做到了事前防篡改。
由于IDC機房的特殊性，采用當前市面上傳統(tǒng)的防篡改產(chǎn)品，使用傳統(tǒng)的部署模式無法滿足IDC機房的技術(shù)要求;當前傳統(tǒng)的防篡改系統(tǒng)都是采用分布式部署，集中管理模式部署，在部署防篡改的時候，需要對原網(wǎng)站系統(tǒng)進行完全備份，用于后期網(wǎng)站更新發(fā)布及篡改恢復。但此類防篡改系統(tǒng)針對IDC機房的龐大用戶群體，根本無法有效推廣，具體來看，存在以下問題：
1) 傳統(tǒng)防篡改系統(tǒng)部署模式需要對原網(wǎng)站進行備份，IDC如此龐大的網(wǎng)站數(shù)量，備份網(wǎng)站需要極大的磁盤空間，需要耗費極大的資源。
2) 傳統(tǒng)防篡改系統(tǒng)采用集中管控方式，數(shù)以萬計的防篡改客戶端集中于一個管理平臺，對軟件的可靠性及可用性提出了嚴峻的考驗，環(huán)境過于復雜后，可能根本無法實現(xiàn)。
3) 傳統(tǒng)防篡改部署后，網(wǎng)站發(fā)布需要在防篡改指定的備份目錄進行發(fā)布，發(fā)布后由防篡改系統(tǒng)把數(shù)據(jù)信息同步到對應(yīng)的Web目錄，IDC機房的客戶都是遠程維護信息，如果采用此模式，所有用戶發(fā)布都必須經(jīng)過防篡改備份端，必須考慮防篡改備份服務(wù)器的安全性、可靠性及對應(yīng)服務(wù)器的性能。如此多的用戶使用同一臺或幾臺備份服務(wù)器，如何控制對應(yīng)的用戶權(quán)限？如何保證用戶發(fā)布的習慣，保證用戶發(fā)布的信息能及時同步到對應(yīng)的Web應(yīng)用？
通過以上分析可以得出，采用傳統(tǒng)的防篡改防護模式，根本無法滿足IDC機房的基本需求，天融信針對IDC機房的特殊性進行全面分析，推出一套適用于IDC機房的防篡改安全防護方案，此方案簡單有效，能夠全面適宜于IDC機房的特殊環(huán)境，便于大量推廣。
具體方案如下：
改變傳統(tǒng)的部署模式，把分布式部署，集中管理模式更改為針對單一服務(wù)器單獨部署。針對IDC機房的特殊情況，天融信推出一款專業(yè)用于IDC機房的防篡改系統(tǒng)，該系統(tǒng)打破常規(guī)，所有防護都基于單臺服務(wù)器來實現(xiàn)，使管理模式變得簡單易行。
天融信的防篡改核心技術(shù)采用第三代防篡改技術(shù)：系統(tǒng)底層文件驅(qū)動保護技術(shù)，使用該技術(shù)能夠從系統(tǒng)底層對需要保護的網(wǎng)站文件或目錄進行全面保護，防止黑客篡改，做到事前防御。正是由于這種技術(shù)的先進性，使得防篡改使用單機模式部署成為可選擇的一種部署方式，此方式能夠完美的滿足IDC機房的特殊環(huán)境要求，有效防護IDC用戶的Web網(wǎng)站。具體實現(xiàn)方式如下：
1) 在IDC機房需要進行篡改防護的服務(wù)器上安裝天融信網(wǎng)頁防篡改系統(tǒng)，通過防篡改策略，直接監(jiān)控網(wǎng)站目錄，阻止篡改攻擊，部署后即使非法用戶獲得管理員或SYSTEM權(quán)限，均無法對保護目錄下的網(wǎng)頁文件進行篡改。
2) 部署防篡改系統(tǒng)后，網(wǎng)站需要發(fā)布更新，必須預留頁面更新通道，我們通過進程許可的方式來實現(xiàn);所謂進程許可就是把用戶用于網(wǎng)站更新發(fā)布的進程添加到防篡改系統(tǒng)的許可列表，則該進程可以往防篡改保護目錄更新網(wǎng)頁文件，除此進程外的所有操作都被視為非法，防篡改系統(tǒng)將直接阻止。
3) 為便于集中監(jiān)控，天融信網(wǎng)頁防篡改系統(tǒng)對篡改日志可以提供syslog接口統(tǒng)一上報到IDC機房的統(tǒng)一監(jiān)控平臺。

方案優(yōu)勢：

采用以上方案，無需增加額外設(shè)備，無需改變原有網(wǎng)絡(luò)架構(gòu)，所有操作均針對單一服務(wù)器，安裝部署簡單，防篡改防護只針對文件，與Web服務(wù)器無關(guān)，適用于所有的Web服務(wù)器和所有的內(nèi)容管理系統(tǒng)。即便防篡改系統(tǒng)出現(xiàn)故障，不會影響Web網(wǎng)站正常運行，有效保障業(yè)務(wù)系統(tǒng)的有效性和連續(xù)性。