唐雨

摘 要：政府门户网站作为为民服务和“政务公开”的窗口，在电子政务规划中占有极其重要的位置。然而，随之而来的安全问题也变得越来越严重，因此，认识和建设网站安全体系，分析其中的问题，并制订相应的策略对门户网站的建设具有重要的意义。

关键词：政府；门户网站；网络安全；电子政务规划

中图分类号：F490.3 文献标识码：A DOI：10.15913/j.cnki.kjycx.2016.14.039

近年来，政府门户网站安全保障体系的建设一直是电子政务中的热点问题。当下，网络病毒传播和黑客入侵破坏等给门户网站的安全带来了较大的威胁，导致部分政府的重要信息泄漏，网站无法正常运行，给社会带来巨大的负面影响。因此，对建设网站安全保障体系的研讨是十分有必要的。本文根据目前政府类大型门户网站普遍托管在某部门IDC机房（互联网数据中心）的现状，重点描述了其中的网络安全防护建设，主要针对过程中的防护对象、设计思路、防护措施、安全防护集成、网络安全技术服务和等级测评等进行了阐述，以保证政府门户网站的正常运行。

1 主机系统和存储备份建设

在IDC机房部署应用服务器2台及以上、数据库服务器2台（或4台）分别做双机热备或多机互备，数据库服务器通过光纤交换机与存储系统相连接。为了便于数据同步，可在单位部署一台数据上传服务器，在某部门IDC机房部署一台前置数据库服务器，定期将内部需要在外网查询的内容通过数据上传服务器自动传送到外网前置数据库服务器上，在外网前置数据库服务器上进行数据校验和比对后自动同步到网站数据库服务器上，实现内外网数据的及时更新。由于门户网站的所有硬件都托管在IDC 机房，因此，网络通信方面完全利用某部门IDC机房现有的网络通信设备，对外出口带宽至少为2条100 MB的链路。

2 网络安全防护建设

关于政府类门户网站的安全建设执行，其标准是完全符合计算机信息系统安全等级保护三级技术的。其主要包括数据机房安全、网络通信安全、主机系统安全、应用安全和数据安全几部分内容。

2.1 防护对象

政府门户网站信息网络大致可以分为管理信息区域和信息发布区域。管理信息区域用于支撑该系统与业务相关的内部管理信息应用数据。它可以划分为用于承载内部办公的信息内网和用于支撑对外业务和互联网用户的信息外网。信息发布区为面向公众的信息平台，用于信息查询、政策导向、公众监督等互联网访问需要。

2.2 设计思路

政府类门户网站网络安全防护体系是根据以下策略建设的：①双网双机。管理信息区划分为信息内网和信息外网，内外网间采用物理隔离，信息内外网分别采用独立的服务器，数据单向流动，通过人工操作实现，极大地保障了信息数据和内部网络的安全。②等级防护。管理信息系统将以实现等级保护为基本出发点建设安全防护体系，并参照国家等级保护基本要求设计安全防护措施。③多层防御。在分域防护的基础上，将各安全域的信息系统划分为边界、网络、主机、应用4个层次进行安全防护设计，以实现多层防御。

2.3 安全防护集成

综上所述，政府门户网站信息网络的可靠运转是基于通讯子网、计算机硬件、操作系统、各种应用软件等各方面、各层次的良好运行。由此可知，其风险主要来自对内部和外部各个关键点可能造成的威胁，这些威胁可能会使总体功能失效。

网络安全体系结构主要考虑安全对象和安全机制。安全对象主要有网络安全、系统安全、数据库安全、信息安全、设备安全和病毒防治等。

在网络出口边界部署能够防御DoS/DDoS攻击、ARP欺骗攻击、TCP报文标志位不合法攻击、Large ICMP报文攻击、地址扫描攻击和端口扫描攻击等多种恶意攻击的下一代防火墙，以保证正常访问用户的接入，有效保护内网资源。

在网络出口部署入侵防御系统，因为内部网络中有很多服务器（比如web服务器、通讯服务器、应用服务器集群等），各种服务器的操作系统和数据库在网络通讯传输中存在天然的安全隐患，比如对协议中的异常情况考虑不足等。

在网络内部署安全审计系统。在严格执行安全保密规定的基础上，要监控、审计、管理整个系统，保证系统数据的完整性、保密性和可信性，并实时显示和监视操作行为，详细记录所有的操作行为和操作内容，提供审计查询和关联分析，输出完整的审计统计报告。

在门户网站服务器前端部署Web应用防火墙系统，全面防护Web服务器，发现并阻断各种Web攻击，定期检查网站中存在的各种安全隐患，发现问题及时预警，并自动采取修补措施，以实时防护各种Web应用攻击、DDOS攻击、网页木马攻击等。

在Web服务器上部署网页放篡改系统，采用HTTP请求过滤、核心内嵌等技术。另外，要提供实时阻断、事件触发、数字水印和应用防护4种防护措施，通过合理组合实现更好的防护作用。在安全审计系统全面监控Web服务器的所有操作的前提下，形成一套有机的保护体系，在发生篡改行为后迅速恢复Web网页内容，保证网页能够正常访问，避免业务中断。

在网络出口部署防病毒网关，所有数据流都需要经过防病毒网关。因此，防病毒网关能够有效监控进入内部网络的流量。在此，提供2种病毒扫描方式：①传统的扫描方式。文件完全扫描后推送给真正的接收者，主要用来保护安全需求强烈的服务器或者重要区域。②边传输边缓存的方式。允许用户实时接收数据，降低延时发生的概率。

2.4 网络安全技术服务

政府门户网站信息网络投入运行后，因其工作量巨大，技术要求也十分高。所以，政府门户网站常常采取安全服务外包的方式，聘请具备专业安全服务资质的机构进行网络安全保障。

安全服务内容主要包括以下几个方面。

2.4.1 Web安全监测

对于Web应用安全，其日常安全检测内容包含XSS跨站攻击检测、SQL注入检测、URL重定向检测、FORM检测（单表逃逸检测）、FORM弱口令检测、网页木马（恶意代码）检测、数据窃取检测、GOOGLEHACK检测、中间人攻击检测、Oracle密码暴力破解、Web Service XPath注入检测、Web2.0AJAX注入检测和Cookies注入检测，而其他杂项包括各类CGI弱点检测，比如命令注入检测、LDAP注入检测、CFS跨域攻击检测、敏感文件检测、目录遍历检测、远程文件包含检测和应用层拒绝服务检测等。

2.4.2 数据库安全监测

数据库安全检测需实现的功能是：发现不安全的数据库安装和配置，发现数据库弱口令，发现数据库的变化或潜藏木马，发现数据库弱点和补丁的层次，从而在此基础上形成一个综合的分析报告和修复建议。

2.4.3 漏洞和病毒通报

在系统运行期间，计算机病毒和安全漏洞问题是直接威胁整个系统运行的重要因素。因此，需要安全服务提供商定期提供定向计算机漏洞和病毒情况通报。借此，实时动态、快速地掌握这些情况，以提高管理部门的快速响应能力。

2.4.4 风险评估

该系统需定期进行风险评估工作，有效借助专业安全服务提供商的力量检测系统现行的安全状况。

2.4.5 系统安全加固

安全服务提供商需指派专业人员定期对加固的系统进行漏洞扫描、攻击、渗透等方面的测试，确保核心设备、核心系统加固的有效性，并及时报告系统加固现状。在业务系统上线之前，要检查安全配置情况，并提供安全加固建议。

安全加固指的是针对政府门户网站的服务器、安全设备的安全加固和安全配置优化提出的加固建议。通过定期的加固工作，系统的安全状况将提升到一个较高的水平。另外，在漏洞扫描、安全审计、渗透测试的报告结果的基础上，提炼、归纳服务器、安全设备等方面存在的各类脆弱性问题，并提出合理、切实可行的安全加固方案。安全加固方案在提交并经过用户方评审、许可后才能实施，同时，必须对各应用系统的操作系统、数据库系统、中间件和应用程序的安全配置、安全策略和安全机制进行电子政务云计算中心加固和完善，使应用系统符合安全防护要求，保证该信息系统能够安全、可靠运行。

2.4.6 应急响应

此内容本文不再赘述。

2.5 等级保护测评

聘请第三方信息安全等级保护测评公司测试网站系统相关软硬件是否达到信息安全等级保护的三级要求，并出具测评证书。

3 建立和完善安全管理机制和网站维护队伍

针对政府门户网站的功能和特点，有针对性地编制门户网站安全管理制度，并落实相关负责人，保证门户网站的内容更新、安全监察和数据交换。同时，其自身也要建立专业的网站维护队伍，明确门户网站每天必做的各项工作，并落实给具体的维护人员，定期检查和监控，及时发现网站异常，处理来自外部的各种恶意攻击。根据安全厂商和国家安全管理部门发布的各项网络攻击预警报告升级网站程序和数据库安全防护方面的代码。

4 结束语

综上所述，政府门户网站的网络安全并不是纯粹的技术问题，它涉及到政府的政治、经济、军事等多方面的安全，因此，保证政府门户网站的安全是至关重要的。本文将政府门户网站的网络安全管理现状作为切入点，重点阐释了网络安全防护建设的重要性，提出了有效的策略，并建议建立和完善安全管理机制、网站维护队伍，以实现政府门户网站的网络安全运行。

参考文献

[1]郑爱萍.关于局域网安全管理问题的分析和探讨[J].网络与信息，2011（04）.

[2]刘淑鹤.党政机关网站面临的主要安全问题[J].信息安全与技术，2011（07）.

〔编辑：白洁〕