m o c . 5 绿盟网站安全解决方案白皮书 h t i g b u © 2017 绿盟科技 ■ 版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿 盟科技所有，受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方 式复制或引用本文的任何片断。 ■ 商标信息 绿盟科技、NSFOCUS 是绿盟科技的商标。 b u m o c . 5 h t i g ■ 适用性声明 完全公开 目录 一. 问题与挑战 ........................................................................................................................................... 1 1.1 企业和机构网站面临的安全问题 ............................................................................................. 1 1.2 企业和机构面临的挑战 ............................................................................................................. 2 二. 绿盟网站安全解决方案介绍 ............................................................................................................... 2 2.1 面向监管方的网站安全监测平台 .................................................................................................... 4 2.2 面向监管方的网站安全监测服务 .................................................................................................... 5 2.3 面向普通政企机构的网站安全监测与防护系统 ............................................................................ 6 m o c . 5 2.4 面向普通政企机构的网站安全重要保障服务 ................................................................................ 8 2.5 面向重保会议的网站安全管理平台 ................................................................................................ 9 三. 绿盟网站安全解决方案实践 ............................................................................................................. 10 b u h t i g -I- 插图索引 图 图 图 图 图 图 2.1 2.2 2.3 2.4 2.5 2.6 面向监管方的网站安全监测平台逻辑架构 ........................................................... 5 面向监管方的网站安全监测服务 ......................................................................... 6 面向普通政企机构的网站安全监测与防护系统方案 ............................................ 6 面向普通政企机构的网站安全重要时期保障服务方案 ........................................ 8 面向普通政企机构的网站安全重要时期保障服务方案 ........................................ 9 面向重保会议的网站安全管理平台方案 ............................................................ 10 b u m o c . 5 h t i g - II - 绿盟网站安全解决方案白皮书 一. 问题与挑战 1.1 企业和机构网站面临的安全问题 近些年来，随着互联网技术的发展以及电子商务和电子政务的普及，各党政机关、企事 业单位面临的网站安全问题也随之凸显出来。为了继续发挥互联网经济产生效益和优势，需 m o c . 5 要我们必须积极应对网站安全问题。 目前，国内安全形势非常严峻，网站面临的安全问题大量涌现。首先，网站系统需要应 对和处置的安全隐患与漏洞越来越多，需要企业和机构进一步加强对网站漏洞及安全隐患的 管理和控制。据 CNCERT 发布的《2016 年中国互联网网络安全报告》显示，2016 年 CNVD b u 共收录了安全漏洞 10822 个，该数字较 2015 年增长 29.8%。其次，针对网站的攻击行为越 来越多。仅 2016 年 G20 峰会期间，绿盟科技在杭州地区捕获和拦截的各类 Web 攻击超过 h t i g 200 万次。最后，国内网站安全事故频发，已对我国社会和互联网经济造成一定影响。据 CNCERT 发布的《2016 年中国互联网网络安全报告》显示，2016 年 CNCERT/CC 监测发 现，我国境内约 1.7 万个网站被篡改，平均每天有将近 50 个网站被篡改，另外我国境内 8 万余个网站被植入木马，平均每天有 200 余个网站被植入木马。另外，根据媒体报道，仅 2016 年 12 月发生的一次网站安全事故就造成数千万人个人隐私泄露。 近年来，国家越来越重视网站安全风险、安全事故相关的问题，并不断加大网站安全的 监管力度。中央网络安全和信息化领导小组成立后，发布的第一个文件就是《关于加强党政 机关网站安全管理的通知》，该文就各级党政机关及企事业单位开展网站安全管理提出若干 条指导意见。此外，《网络安全法》于 2017 年 6 月 1 日正式执行，该法令中第三十九条明 确指出“国家主管机构应当对关键基础设施的安全风险进行抽查检验，提出改进措施，同时 需定期组织关键信息基础设施的运营者进行网络安全应急演练，提高应对网络安全事件的水 平和协同配合能力”，与此同时，该法令中第三十八条也明确指出“关键基础设施的运营者 应当自行或者委托网络安全服务机构对其网络安全性和可能存在的风险每年至少进行一次 检测和评估”。最后，国家各级监管部门加大检查力度，近几年多次开展重要保障活动及安 © 2017 绿盟科技 -1- 密级：公开 绿盟网站安全解决方案白皮书 全专项检查工作，并且每次重要保障任务和专项检查工作的重点都包括对互联网网站检测和 治理。 1.2 企业和机构面临的挑战 按照网站安全管理的职能划分，企业和机构可以分为两类，一类是具有网站安全监管职 能的企业和机构，另外一类是没有监管职能的企业和机构。具有监管职能的企业和机构需要 m o c . 5 对本部的网站系统进行安全管理，还需要对下级单位或监管对象的数量众多的网站进行定期 检查并敦促整改，这对具有监管职能的企业和机构带来了技术上和管理上的挑战。对于普通 企业和机构，为了能确保网站符合国家法律和行业规范的要求，在网站安全管理上需要从安 全事故管理上向安全风险管理转变，在安全管理目标和内容上，需要从之前偏重于网站安全 b u 事故的发现和处理，逐步向减少网站安全隐患，预防安全事故发生转变。这需要企业和机构 在原有网站安全管理基础上整合已有资源和第三方资源，一方面通过定期检查和消除网站存 h t i g 在的漏洞和隐患，另外一方面加强对安全事故监测，及时发现并处置篡改、挂马、黑链、敏 感内容、数据泄密等多类网站安全事故，将安全事故带来的损失和影响降低到最低。 二. 绿盟网站安全解决方案介绍 绿盟科技网站安全解决方案针对不同企业与机构的不同需求提供五种不同解决方案，分 别是“面向监管方的网站安全监测平台”、“面向监管方的网站安全监测服务”、“面向普 通政企机构的网站安全监测与防护系统”、“面向普通政企机构的网站安全重要时期保障服 务”、“面向重保会议的网站安全管理平台”。其中“面向监管方的网站安全监测平台”、 “面向监管方的网站安全监测服务”两个方案主要针对具有监管职能的企业和机构。而“面 向普通政企机构的网站安全监测与防护系统”、“面向普通政企机构的网站安全重要时期保 障服务”、“面向重保会议的网站安全管理平台”三个方案主要针对普通企业与机构。 “面向监管方的网站安全监测平台”、“面向监管方的网站安全监测服务”都是专门为 具有监管职能的企业提供的解决方案，其中“面向监管方的网站安全监测平台”是一个为监 © 2017 绿盟科技 -2- 密级：公开 绿盟网站安全解决方案白皮书 管方提供长期持续安全监测的方案，它可以帮助企业和机构在现有人员编织大幅提升对网站 安全监测的数量和效率，从而帮助具有监管职能的企业机构对其下级单位或监管对象的众多 网站进行持续监测和督促整改。而“面向监管方的网站安全监测服务”是一种一站式的技术 支撑服务，通过云端技术实现远程的检查和监测，帮助具有监管职能的企业和机构提供完整 的技术支撑。 “面向普通政企机构的网站安全监测与防护系统”、“面向普通政企机构的网站安全重 要时期保障服务”、“面向重保会议的网站安全管理平台”都是专门为普通企业提供的解决 m o c . 5 方案，其中“面向普通政企机构的网站安全监测与防护系统”是一个为普通企业提供自检与 防护的方案，可以帮助普通企业与机构在日常阶段，周期性对自身网站安全问题进行检查与 防护，从而减少网站安全隐患在互联网上的暴露范围并且降低网站安全事故发生的机率。该 系统结合云计算技术和大数据分析技术，可以以自动化方式帮助企业定期发现问题并提出相 应的解决方案和整改措施，在保障效果的同时大幅降低企业在网站安全管理方面的人力成本 b u 和投入。而“面向普通政企机构的网站安全重要时期保