网站安全防护方案-阿里云开发者社区

开发者社区> 安全> 正文
登录阅读全文

网站安全防护方案

简介: 本文是一个基于阿里云的网站安全防护、加固方案。

1.  概述

政府网站是政府职能部门信息化建设的重要内容,主要实现国家对政府网站的三大功能定位:信息公开、在线办事、公众参与。政府网站是政府部门履行职能、面向社会提供服务的窗口,是实现政务信息公开、服务企业和社会公众、方便公众参与的重要渠道,同时也是对外宣传政府形象、发布行业信息、开展电子政务的主要平台,是国家重要信息系统。

而近年来,随着政府网站所承载业务的数量和重要性逐渐增加以及其面相公众的性质,使其越来越成为攻击和威胁的主要目标。据CNCERT/CC的统计数据,2019年上半年互联网金融网站安全情况,CNCERT监测发现互联网金融网站的高危漏洞92个,其中SQL注入漏洞27个(占比29.3%);其次是远程代码执行漏洞20个(占比21.7%)和敏感信息泄漏漏洞16个(占比17.4%),如图1所示。近年来,随着互联网金融行业的发展,互联网金融平台运营者的网络安全意识有所提升,互联网金融平台的网络安全防护能力有所加强,特别是规模较大的平台,但仍有部分平台安全防护能力不足,安全隐患较多。


 

 

2.  政府门户网站安全建设必要性

政府部门的网站普遍存在业务数据机密性要求高、业务连续性要求强、网络结构相对封闭、信息系统架构形式多样等特点。而网站中不同业务功能模块的信息安全需求又各不相同。如对外便民服务信息系统具有相对开放的结构特点,用户一般为普通民众,便民服务业务对数据的可用性和完整性要求往往大于其对机密性要求,而在网站上独立运行的业务信息系统具有相对封闭的结构特点,用户一般为内部用户,用户对数据的完整性和保密性要求往往大于可用性要求。因此政府网站安全风险贯穿前端Web访问到后端数据处理和反馈整个过程。因此可以定性的认为:前一类信息系统面临的服务中断、外部黑客攻击、非法入侵、安全漏洞等威胁的概率比较大,而后一类内网泄密、监管审计不到位等威胁的概率比较大。

推动政府网站进行全面信息安全体系设计和建设的动力目前主要来自三个方面:

Ø 合规性安全要求

Ø 面临的安全威胁

Ø 政府网站安全现状

2.1  合规性要求

1) 《关于大力推进信息化发展和切实保障信息安全的若干意见》国发〔2012〕23号

2012年59日,温家宝总理主持召开国务院常务会议,研究部署保障信息安全工作《关于大力推进信息化发展和切实保障信息安全的若干意见》国发〔2012〕23号。

健全安全防护和管理。确保重要信息系统和基础信息网络安全。能源、交通、金融等领域涉及国计民生的重要信息系统,要同步规划、同步建设、同步运行安全防护设施,强化技术防范,严格安全管理,切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力。其中政府网站作为极其重要的信息系统,其安全管理更应当得到进一步完善和强化。

2) “等级保护”要求

《中华人民共和国网络安全法》:“国家实行网络安全等级保护制度。网络运营者应当 按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者 未经授权的访问,防止网络数据泄露或者被窃取、篡改”。

《中华人民共和国计算机信息系统安全保护条例 》(国务院147号令):“计算机信息 系统实行安全等级保护,安全等级的划分标准和安全等级保护的具体办法,由公安部会同有 关部门制定”。

《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)规定: “要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统, 抓紧建立信息安全等级保护制度”。

目前在已经基本完成的等级保护定级工作中,国家部委以及省市重要政府机关门户网站的安全级别基本定为3级,属于国家重要信息系统,是国家等级保护测评和检查重点。面对Web应用层面这类给Internet可用性带来极大损害的攻击,必须在国家等级保护政策的指导下,采用专门的机制,综合采用各种技术手段对攻击进行有效检测开展等级保护整改、测评工作,切实为将网站建成“信息公开、在线办事、公众参与”三位一体的业务体系,为各企业和社会公众提供“一站式”电子政务公共服务政务目标提供有力保障。

2.2  面临的安全威胁

近几年关于政府门户网站被篡改、网络钓鱼、SQL注入和跨站脚本等带来严重后果的攻击事件频频发生,严重影响了人们对政府网站公信力的认可,根据Gartner的数据分析,80%基于Web的应用都存在安全问题,其中很大一部分是相当严重的问题。Web应用系统的安全性越来越引起人们的高度关注。目前网络中常见的攻击已经由传统的系统漏洞攻击逐渐发展演变为对应用自身脆弱性的攻击。与此同时,政府网站也因安全隐患频繁遭到各种攻击,导致网站敏感数据丢失、网页被篡改,甚至成为传播木马的傀儡。政府网站安全形势日益严峻,而政府网站被攻击后造成的巨大政治风险、名誉损失、公信力下降已经成为电子政务健康发展的一个巨大障碍。

2.3  政府网站安全管理现状

2019年5月至12月,中央网信办、工业和信息化部、公安部、市场监管总局四部门联合开展全国范围的互联网网络安全专项整治工作。专项整治工作将对未备案或备案信息不准确的网站进行清理,对攻击网站的违法犯罪行为进行严厉打击,对违法违规网站进行处罚和公开曝光。此次专项整治的一大特点是将加大对未履行网络安全义务、发生事件的网站运营者的处罚力度,督促其切实落实安全防护责任,加强网站安全管理和维护。专项整治期间,中央网信办将加强统筹协调,指导有关部门做好信息共享、协同配合,坚持依法依规,坚持防摄并举,促使网站运营者网络安全意识和防护能力有效提升,实现网站安全形势取得明显改观。截至2019年6月,互联网网站安全专项整治行动期间,共享网站安全事件511起,其中网页篡改事件占比最高达89.2%。

目前多数政府网站在安全建设过程依然存在比较突出的重应用轻安全现象,网站整体安全性差,缺乏必要的经常性维护。比如在某政府机构所制定的网站绩效评估指标中,基本上都是从网站的业务应用角度出发制定的,对信息安全的考虑基本没有,根据前期的调研发现,目前政府网站的安全控制与措施大多独立考虑,部分系统甚至缺少基本的安全策略,缺少安全主线和安全规划,导致只解决了局部问题,而未能从整体解决安全问题,从而降低了整体的安全效率,导致多个信息安全孤岛的出现。因此针对这种现状,必须采取专门的监管机制,围绕政府网站特定的安全需求开展系统的、有针对性的网站安全监管已经变得刻不容缓。

 

3.  政府门户网站安全防护方案

3.1  安全防护方案示意图

针对常见的政府门户网站拓扑图,我们可以采取以下安全措施进行防护:

1. DDoS防御在Internet出口处部署一台抗DDOS攻击防护系统,用于防护来自外网的拒绝服务攻击;

2. 网络访问控制利用防火墙进行访问控制,防止不必要的服务请求进入网站系统,减少被攻击的可能性;

3. 系统安全加固找出主机系统、网络设备及其他设备系统中存在的补丁漏洞和配置漏洞,进行加固,以保障系统的安全性;

4. 应用层防护在网站服务器前部署一台Web应用防护系统,通过Web应用防护系统有效控制和缓解HTTP及HTTPS应用下各类安全威胁,如SQL注入、XSS、跨站伪造(CSRF)、cookie篡改以及应用层DDoS等,有效应对网页篡改、网页挂马、敏感信息泄露等安全问题,充分保障门户网站的高可用性和可靠性。

5. 网页防篡改在Web服务器系统上部署网页防篡改系统,针对Web应用网页和文件进行防护。

6. 网站安全监测通过专业化的托管式服务来实时监测和周期度量网站的风险隐患,评估网站的安全状态,衡量改进情况。

对于一个定制化开发的政府门户网站来说,从其规划和开发阶段就要引入相应的安全建设。测试阶段的安全测试作为上线前最后的检查是至关重要的,可以最大限度地发现系统的脆弱性所在。运行阶段所应该关注的主要是与黑客实时的攻防博弈,以及事后的及时恢复、取证和追溯等。

已投入使用的政府门户网站而言,由于不太可能投入大量的人力去重新开发或做大规模的代码级整改,因此如何在运行阶段进行有效的安全防护成为关注的焦点。在本方案中,我们着重网络层、系统层、应用层的安全防护体系。

3.2  网络层安全防护

3.2.1  网络安全架构

使用专有网络VPC(Virtual Private Cloud),专有网络之间逻辑上彻底隔离,是上云首选的网络产品。专有网络主要有隔离的网络环境和可控的网络配置的特点。以下场景使用多个专有网络VPC。

多地域部署系统

专有网络VPC是地域级别的资源,不能跨地域部署。当您有多地域部署系统的需求时,就必然需要使用多个专有网络VPC。基于阿里巴巴骨干网构建的高速通道产品能轻松实现跨地域、跨国专有网络VPC间的互通。

 

多业务系统隔离

如果在一个地域,需要通过专有网络VPC严格隔离多个业务系统,例如区分生产环境和测试环境,您也需要使用多个专有网络VPC。


3.2.2  安全组访问控制

利用现有防护设备或重新部署防火墙设备对网站服务器区进行边界安全防护,划分网站服务器区安全域,进行逻辑隔离。通过Internet边界防火墙在内部网络与不安全的外部网络之间设置障碍,阻止外界对内部资源的非法访问,防止内部对外部的不安全访问。

安全组是一种虚拟防火墙,具备状态检测和数据包过滤功能,用于在云端划分安全域。您可以通过配置安全组规则,允许或禁止安全组内的ECS实例对公网或私网的访问。这种方式对网络精细化控制要求较高、希望使用多种ECS实例规格、以及网络连接数适中的用户场景。在ECS控制台上创建安全组时,您可以选择Web Server Linux(放行了80、443、22及ICMP协议)、Web Server Windows(放行了80、443、3389及ICMP协议)以及自定义(入方向上拒绝所有访问请求)的安全组模板。我们也可以自定义符合业务场景的安全组模板。


防火墙能够较为有效地防止黑客利用不安全的服务对内部网络的攻击,并且能够实现数据流的监控、过滤、记录和报告功能,较好地隔断内部网络与外部网络的连接。

 

3.2.3  拒绝服务攻击防护

基于Web业务的可用性和连续性要求的考虑,应该在Internet的出口处设置对拒绝服务攻击的防护手段。通常使用的防火墙作为通用型网络安全产品,在防DDoS方面不可能达到专业产品的性能和效率,对大规模的DDoS攻击是无能为力的,甚至会成为攻击目标,造成整个网络的中断。抗拒绝服务攻击系统通过集成的检测和阻断机制对DDoS攻击实时响应;采用基于行为模式的异常检测,从背景流量中识别攻击流量;提供针对海量DDoS攻击的防护能力;系统能够对SYN FloodUDP FloodUDP DNS Query Flood(M)Stream FloodICMP FloodHTTP Get Flood以及连接耗尽这些常见的攻击行为能够有效识别,并通过集成的机制实时对这些攻击流量进行阻断,从而有效保护门户网站系统的应用服务器;丰富的日志和审计功能也极大地增强了设备的可用性,不仅能够针对攻击进行实时监测,还能对攻击的历史日志进行方便的查询和统计分析,便于对攻击事件进行有效的跟踪和追查。

在云服务上中,DDoS基础防护服务可以有效防止云服务器ECS实例受到恶意攻击,从而保证ECS系统的稳定,即当流入ECS实例的流量超出实例规格对应的限制时,云盾就会帮助ECS实例限流,避免ECS系统出现问题。

启用DDoS基础防护后,云盾会实时监控进入ECS实例的流量。当监测到超大流量或者包括DDoS攻击在内的异常流量时,在不影响正常业务的前提下,云盾会将可疑流量从原始网络路径中重定向到净化产品上,识别并剥离恶意流量,并将还原的合法流量回注到原始网络中转发给目标ECS实例。这一过程,就是流量清洗。

3.3  系统层安全防护

3.3.1  Web系统漏洞发现与管理

从系统层面的安全威胁来看,可以利用漏洞扫描系统高效、智能的漏洞识别技术,第一时间主动对网站服务器区中的服务器和网络设备进行细致深入的漏洞检测、分析,并出具专业、有效的漏洞防护建议。

同时可以利用Web扫描功能进行应用层扫描。Web应用扫描最关键的技术是网站智能爬虫技术。智能爬虫技术具有自动遍历整个Web服务器的深度扫描功能,自动分析应用系统的代码,当发现了存在弱点的代码之后,会根据不同数据库的特点尝试进行数据获取,验证漏洞的真实性。远程安全评估系统的WAS模块扫描结果准确,误报和漏报率低,全面检查网站各级页面中是否被植入恶意代码(如SQL注入、跨站脚本、网页挂马等),确保网站应用的完整性,有效避免网站成为恶意软件的分发、传播渠道。

Web应用防火墙防护包含通用Web攻击防护、0day漏洞虚拟补丁、网站隐身防护OWASP常见威胁内置多种防护策略,可选择进行SQL注入、XSS跨站、Webshell上传、后门隔离保护、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、核心文件非授权访问、路径穿越、扫描防护等安全防护;0day漏洞快速防护针对高危Web 0day漏洞,专业安全团队24小时内提供虚拟补丁,自动防御保障服务器安全;缓解恶意CC攻击过滤恶意的Bot流量,保障服务器性能正常;低误杀的防护算法不再是对访问频率过快的IP直接粗暴封禁,而是综合URL请求、响应码等分布特征判断异常行为;恶意特征攻击100%拦截针对请求中的常见头部字段,如IP、URL、User-Agent、Referer、参数中出现的恶意特征配置访问控制

 

3.3.2  Web系统安全加固(Linux)

可以通过门户网站安全评估和加固,使系统有效的抵御外来的入侵和袭击,长期保持在高度可信的状态。其中,渗透测试是安全评估阶段必不可少的服务手段之一。渗透测试是模拟黑客的真实攻击方法对系统和网络进行非破坏性质的攻击性测试。通过渗透测试,可以发现门户网站系统中存在的系统漏洞、代码漏洞和程序逻辑问题(如绕过认证)等。

网站服务器和相关设备的安全加固,是利用多种技术手段对网站服务器区中的网络设备平台、服务器进行安全加固和配置优化,提高网络设备安全性和抗攻击能力,针对网站服务器区所提供的安全加固服务手段有:

Ø 基本安全配置检测和优化

Ø 帐户密码系统安全检测和增强

Ø 网络服务安全优化

Ø 网络访问控制安全优化

Ø 网络路由与交换协议安全优化

Ø 端口安全设置网络连接参数安全增强

本业务安全措施如下:

1 身份鉴别

1.1 密码安全策略

操作系统和数据库系统管理用户身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换。设置有效的密码策略,防止攻击者破解出密码

1)查看空口令帐号并为弱/空口令帐号设置强密码

2)修改vi /etc/login.defs配置密码周期策略

3)/etc/pam.d/system-auth配置密码复杂度:

1.2  登录失败策略

应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施。

遭遇密码破解时,暂时锁定帐号,降低密码被猜解的可能性

1.3  安全的远程管理方式

当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听。

防止远程管理过程中,密码等敏感信息被窃听

 

2 访问控制

应及时删除多余的、过期的帐户,避免共享帐户的存在。删除或禁用临时、过期及可疑的帐号,防止被非法利用。

 

3 安全审计

3.1 审核策略开启

审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;

开启审核策略,若日后系统出现故障、安全事故则可以查看系统日志文件,排除故障、追查入侵者的信息等。

 

3.2   日志属性设置

应保护审计记录,避免受到未预期的删除、修改或覆盖等。防止重要日志信息被覆盖

 

4 入侵防御

操作系统遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新。关闭与系统业务无关或不必要的服务,减小系统被黑客被攻击、渗透的风险。

 

5 系统资源控制

5.1 访问控制

应通过设定终端接入方式、网络地址范围等条件限制终端登录。

对接入服务器的IP、方式等进行限制,可以阻止非法入侵。

1) 在/etc/hosts.allow和/etc/hosts.deny文件中配置接入限制

2) 也可以用iptables进行访问控制

5.2   超时锁定

应根据安全策略设置登录终端的操作超时锁定。

设置登录超时时间,释放系统资源,也提高服务器的安全性。

 

6其它

6.1 DOS攻击防御

6.2 历史命令

经过良好配置的服务器的抗攻击性和自身安全性有极大的增强。在对其作相应的安全配置后,建立安全配置基线,结合定期的安全评估和维护服务就使得其保持在一个较高的安全线之上。

3.4  应用层安全防护

3.4.1  Web应用防护

从Web应用的威胁分析来看,Web应用防护系统是事中有效防护和控制的关键设备。Web应用防护系统需要对用户提交Web服务器端以及Web服务器端向用户返回的双方向数据进行检查。WAF产品可以实现用户à服务器以及服务器à用户双向数据的清洗。对于用户提交服务器端的数据,WAF可以实时发现用户提交数据中的恶意脚本和问题代码/命令。可以进行必要的内容过滤,如恶意脚本和代码,HTTP Error Response(4xx,5xx等),关键敏感字等,充分保证了用户侧的安全,同时避免了服务器端重要信息的泄露。 

 

3.4.2  网页防篡改

网页防篡改是将核心程序嵌入到Web服务器中,通过触发方式进行自动监测,对所保护文件夹的所有文件内容(包含:html、asp、jsp、php、jped、gif、bmp、psd、png、flash等各类文件类型)对照其多个属性,经过内置散列快速算法,实时进行监测,若发现属性变更,通过非协议方式,纯文件拷贝方式将备份路径文件夹内容拷贝到监测文件夹相应文件位置,通过底层文件驱动技术,整个文件复制过程毫秒级,使得Internet用户无法看到被篡改页面。

通过利用无钥签名区块链对数字资产提供签名、预警、监控等服务,为供应链金融、金融服务、银行、web网页提供数据资产的保实服务。主要功能有实时监控数字资产变化、实时展示数据资源健康状况、篡改数据实时报警、URL监控、篡改数据自动恢复、记录数据资产的动态变化、操作记录的可信审计等

 

3.4.3  SSL证书

在云上签发各品牌数字证书,实现网站HTTPS化,使网站可信,防劫持、防篡改、防监听、安全加密实现网站HTTPS化,加密用户与网站间的交互访问,强化网站用户侧可信展示程度,防劫持、防篡改、防监听。网站安全增强提升搜索排名

采用Https加密的网站在搜索引擎显示结果中的排名将会更高,有利于提升网站的搜索靠前及站点可信度。并且对接国际,国内最值得信赖的第三方数字证书颁发机构(CA),确保数字证书认证可信力和加密强度、保障用户服务。

 

3.4.4  数据库安全防护

一些可供参考的措施:

1.身份鉴别

1.1避免使用空密码和弱口令

要求:应对登录操作系统和数据库系统的用户进行身份标识和鉴别。

目的:操作系统和数据库系统管理用户身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换。

 

1.2通讯协议加密

要求:当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听。

目的:为了防止包括鉴别信息等敏感信息在网络传输过程中被窃听,应使用加密通讯协议,提高安全性。

 

2.访问控制

2.1数据库角色分配最低权限

要求:应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限。

目的:根据用户的业务需要,配置其所需的最小权限。

 

2.2设置身份认证

要求:应实现操作系统和数据库系统特权用户的权限分离。

目的:防止操作系统用户对MySQL数据库进行非授权管理。

 

2.3删除或锁定多余账号

要求:应及时删除多余的、过期的账户,避免共享账户的存在。

目的:删除系统不需要的帐号,减少系统安全隐患。

 

3.安全审计

3.1启用日志记录功能

要求:审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。

目的:数据库应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP 地址。

 

3.2设置日志目录权限

目的:限制日志所在目录的权限,防止对日志文件的非授权访问。

 

4.资源控制

4.1设置连接协议和监听的IP范围

要求:应通过设定终端接入方式、网络地址范围等条件限制终端登录。

目的:设定MySQL允许的连接协议,以及TCP/IP协议中监听端口时绑定的IP地址。限制不必要的远程客户端访问到数据库资源。

 

4.2连接超时

要求:应根据安全策略设置登录终端的操作超时锁定。

目的:设置连接超时功能,提高数据库的性能。

 

4.3限制远程用户连接数量

要求:应限制单个用户对系统资源的最大或最小使用限度。

目的:限制远程用户连接数量,确保数据库服务器稳定运行,提升性能。

 

4.4内存限制

目的:使运行在服务器上的应用程序都能达到比较满意的效果,同时也为了能给其他应用程序保留足够的内存。

 

5.最佳经验实践

5.1隐藏实例

目的:防止数据库系统的相关信息泄露。

 

5.2修改默认通信端口

目的:修改默认通信端口,防止黑客通过3306登录数据库服务器。

3.5  网站安全云监护(增强)

W为了应对以下网站安全运维场景:

Ø 各级政府机构安全运维人员人力不足

Ø 各级政府机构专业安全分析能力不足

Ø 重大节假日或者重大事件时突然增加的网站安全监测与防护要求压力

Ø 国家以及行业监管机构定期对政府网站的专项安全检查。

为政府用户提供基于网站访问行为、基于安全事件事前、事中、事后的7×24小时安全运营解决方案。除此之外,经验丰富的云端安全专家团队会定期为各级政府部门出具周期性的综合监测评估报告,让政府网站管理人员整体掌握网站的风险状况及安全趋势。

 

3.5.1  云安全中心

“云安全中心提升了原有的实时防护功能,新增安全评分,安全报告和云安全最佳实践检查等功能各级政府机构无需安装任何硬件或软件,无需改变目前的网络部署状况,无需专门的人员进行安全设备维护及分析日志。只需要将代理监测的政府网站域名提供给网站安全监测服务提供即可实现7×24小时的网站安全监测管理职能,一旦某个网站遇到风险状况后,网站安全监测服务提供者的安全监测团队会在第一时间与该网站管理人员确认,并提供专业的解决方案建议。

这种实时监测机制是构建完善的政府网站安全体系的最好补充。“云安全中心”主要包括以下几方面的内容:

Ø 远程网站漏洞扫描

网站的风险漏洞是站点被攻击的根源,通过远程网站漏洞扫描服务,由安全专家定期进行网站结构分析、漏洞分析,用户无需采购任何Web应用扫描产品,即可获知网站系统层和应用层的漏洞情况,以及安全专家团队的修补建议。

Ø 病毒自动查杀

基于安全云平台,采用业内领先的智能木马检测技术,可高效、准确识别网站服务器中的木马病毒、勒索软件、挖矿病毒和DDOS木马。使网站管理员能够第一时间得知自己网站的安全状态,避免由于网站被挂马给访问者带来安全危害

Ø 网站平稳度检测

对服务站点进行实时远程访问平稳度的动态监视,跟踪重点对象的访问平稳度动态变化情况,并根据严重程度及时发出报警信号。

Ø 安全加固

针对扫描发现问题进行安全第一时间通知用户,避免给自身带来的声誉和法律风险。

 

3.5.2  WEB应用防火墙

保障网站和Web应用的安全,防止网站和Web应用被Web攻击、CC攻击、被入侵

 

3.5.3  DDoS高防IP 抗拒绝服务系统

保障企业的服务器(包括非阿里云服务器)在遭受大流量DDoS攻击时,不造成服务不可用,不影响业务运行

 

 

3.5.4  云防火墙

云上统一策略管控,入侵防御、东西向、南北向流量可视;业务上云后,业务可视、可管、可控

 

3.6  备份恢复策略

3.6.1自动快照策略

快照是某一时间点一块云盘或共享块存储的数据状态文件。常用于数据备份、数据恢复和制作自定义镜像等。作为一种便捷高效的数据保障手段。我们使用自动快照主要应用于以下几个方面:
容灾备份:为某块云盘创建快照,将数据作为其他云盘的基础数据。实现同城容灾和异地容灾。

版本回退:当升级版本后出现系统问题时,您能使用快照回滚云盘实现版本回退。

提高操作容错率:当团队成员不慎在云盘上存储了错误的数据、ECS实例误被释放、应用错误导致了数据错误或者骇客利用应用漏洞恶意读写数据时,您可以使用快照将云盘上的数据恢复到期望状态。或者利用快照定期备份云盘上重要的业务数据,应对误操作、攻击和病毒等导致的数据丢失风险。我们在更换操作系统、应用软件升级或业务数据迁移等重大操作前,建议您创建一份或多份快照。一旦升级或者迁移过程中出现任何问题,可以通过快照及时恢复到正常的系统数据状态。

 

3.6.2 OSS异地归档存储

利用oss进行数据备份安全保护,用于定期进行备份归档和异地保存。OSS主要可以提供以下特性:

1.数据保护与安全

支持多冗余的可靠架构、完整性校验、权限控制、加密、日志审计、数据合规等,提供更可靠、更安全、更合规的对象存储

 

2.数据可靠

多冗余分布式架构,有效应对各类硬件故障,消除单点隐患,提供最大12个9的数据持久性设计

 

3.完整性校验

存储和读取数据时,对网络流量计算CRC64校验和,检测数据包是否损坏,确保数据完整性

 

4.完善的权限控制

提供RAM、ACL、BucketPolicy、URL签名等多种访问控制机制,支持Bucket、Object、API级细粒度授权

 

5.网络访问安全防护

支持防盗链,支持通过BucketPolicy设置IP黑白名单或限制只能Https访问

 

6.数据加密

提供服务端加密、客户端加密的多种数据加密选项

 

7.日志审计

支持将OSS访问记录,按小时导出成日志文件,用于分析与审计;支持实时日志查询,结合日志服务,分钟级日志推送,秒级查询与可视化分析

 

3.6.3 自定义镜像管理

创建或成功导入自定义镜像后,镜像的状态为可用。此时,您可以使用该镜像创建实例,可以将其共享给其他阿里云账号使用,或复制该镜像到其他地域使用,不再需要该镜像时,可以将其删除。使用已有镜像创建实例后,您可以对实例进行个性化配置(如安装软件、部署项目等),并为更新后的实例创建自定义镜像。下图为镜像的生命周期。

 3.7  安全事件响应

为了提高处置网络与信息安全突发公共事件的能力,形成科学、有效、反应迅速的应急工作机制,确保重要计算机信息系统的实体安全、运行安全和数据安全,最大限度地减轻网络与信息安全突发公共事件的危害,保障国家和人民生命财产的安全,保护公众利益,维护正常的政治、经济和社会秩序。充分按照以下原则进行:

预防为主:立足安全防护,加强预警,重点保护基础信息网络和关系国家安全、 经济命脉、社会稳定的重要信息系统, 从预防、监控、应急处理、应急保障和打击犯罪等环节,在法律、管理、技术、人才等方面,采取多种措施,充分发挥各方面的作用,共同构筑网络与信息安全保障体系。

快速反应:在网络与信息安全突发公共事件发生时,按照快速反应机制,及时获取充分而准确的信息,跟踪研判,果断决策,迅速处置,最大程度地减少危害和影响。

以人为本:把保障公共利益以及公民、 法人和其他组织的合法权益的安全作为首要任务, 及时采取措施, 最大限度地避免公民财产遭受损失。

分级负责:按照“谁主管谁负责、 谁运营谁负责、 谁使用谁负责”以及“条块结合,以条为主”的原则,建立和完善安全责任制及联动工作机制。根据处室职能,各司其职,加强处室间、科室间的协调与配合,形成合力,共同履行应急处置工作的管理职责。

常备不懈:加强技术储备,规范应急处置措施与操作流程,定期 进行预案演练, 确保应急预案切实有效, 实现网络与信息安全突发公共事件应急处置的科学化、程序化与规范化。

 

3.8  等保建设

根据系统保护等级和各地政策的不同,申请等级保护认证的实施流程顺序略有区别,但基本都包括:系统定级、整改建设、等级测评、系统备案和监督检查等五项工作。以申请等保三级认证为例,标准实施流程如下:


流程解读:

系统定级:信息系统运营使用单位(企业)要按照《信息安全等级保护管理办法》和《网络安全等级保护定级指南》,初步确定定级对象的安全保护等级,起草《网络安全等级保护定级报告》,三级以上系统,定级结论需要进行专家评审。

系统备案:信息系统安全保护等级为第二级以上时,备案时应当提交《网络安全等级保护备案表》和定级报告;第三级以上系统,还需提交专家评审意见、系统拓扑和说明、安全管理制度、安全建设方案等。

建设整改:依据《网络安全等级保护基本要求》,利用自有或第三方的安全产品和专家服务,对信息系统进行安全建设和整改,同时制定相应的安全管理制度。

等级测评:信息系统建设整改完成后,运营使用单位应当选择合适的测评机构,依据《网络安全等级保护测评要求》等技术标准,定期对信息系统安全等级状况开展等级测评。

监督检查:公安机关及其他监管部门会在整个过程中,履行相应的监管、审核和检查等职责。

4.  云服务商资质及安全产品

4.1阿里云等保现状

2016年9月,阿里云通过新的云计算安全等级保护三级要求的测评,是国内首个通过国家权威机构依据云等保要求联合测评的公共云服务平台。

按照新的云等保要求和监管部门的意见,在具体的云上应用等级保护合规和测评中,涉及阿里云平台侧的相关要求不再进行单独测评,可以直接引用阿里云平台的测评结论。

 

阿里云将提供以下材料,协助租户云上系统通过等保测评:

阿里云等保备案证明

阿里云测评报告封面及结论页

阿里云安全产品销售许可证(公安部)

 

4.2阿里云安全产品

阿里云利用云盾、云防火墙和其他安全生态产品,可以提供完整的安全技术解决方案,相关的阿里云安全产品及其满足的等保要求如下。

领域

安全产品

功能简介

合规对应要求

网络和通信安全

VPC

阿里云专有网络,可以实现VLAN级隔离,并自定义IP地址分配(可选)。

满足等保要求中的网络架构、边界防护和访问控制等要求。

DDoS高防

提供网络链路可用性保证,提升DDoS防护阈值,提升业务连续性(必选)。

满足等保网络安全中访问控制和机构安全的要求,20G以上防护。

云防火墙

相比于传统防火墙以及安全组策略,云防火墙可以基于业务可视化、实现业务分区/分组,管理员可以清晰的甄别合法访问和非法访问,从而执行安全隔离和访问控制策略(必选)。

满足等保要求中的边界防护和访问控制等要求。

Web应用防火墙

可防护应用攻击、CC攻击等,可根据网站实际防护场景需求实现精准防护,多种防护算法结合防御,实现业务风控,并可快速更新漏洞补丁,保障您的网站业务不被侵害受损(必选)。

满足行业自身的安全需求且满足等保要求中的入侵防范等要求。

态势感知

· 实时全球访问流量监控。

· 实时监控整体安全。

· 云上服务器全端口扫描、应用漏洞扫描、0day漏洞扫描、CMS漏洞扫描。

· 服务器、数据库和应用后台弱口令探测。

· 通过大数据分析的方法发现隐藏的入侵安全事件,并回溯入侵点。

· 黑客恶意行为回放,对黑客入侵后的操作行为进行取证和记录。

· 高级威胁检测,如:定点web攻击,针对性ECS密码爆破。

· 利用社会工程学,对撞库攻击进行识别,保证业务账号安全。

· 利用全网威胁情报对异常登录事件、非常用IP连接数据库进行识别。

· 拖库行为发现,对数据库的异常下载进行告警。

(必选)

满足等保要求中安全审计和集中管控的要求。

云堡垒机

实现云上服务器的操作运维审计和账号权限管理。支持100资产和100会话。

满足等保要求中身份鉴别、访问控制和安全审计等要求。

设备和计算安全

安骑士

跨平台支持配置四层(tcp、udp)七层(http)的自定义访问策略。

共享云盾恶意IP库,实时拦截全网威胁访问源。

全流量日志审计,秒级发现非法访问、主动外连等行为。

扫描第三方应用(wordpress、discuz等)及windows系统漏洞信息。

网站后门文件(webshell)检测及隔离。

恶意进程检测及病毒、木马查杀。

SSH、RDP登录日志审计,异地登录提醒。

对暴力破解密码的行为进行拦截。

对服务器常见系统配置缺陷进行检测,包括可疑系统账户、弱口令、注册表等进行检测。

满足等保要求中关于入侵防范和恶意代码防范的要求。

数据库审

数据库审计,同时支持RDS云数据库、ECS自建数据库,符合等级保护二级标准,帮助用户满足合规性要求,支持3个数据库(RDS)实例。(必选)

满足等保要求中安全审计的要求。

应用与数据安全

数据加密

加密服务基于国家密码局认证的硬件加密机,提供了云上数据加解密解决方案,用户能够对密钥进行安全可靠的管理,也能使用多种加密算法来对云上业务的数据进行可靠的加解密运算。

满足等保中对于数据保密性要求。

SSL证书服务

为HTTP网站提供转向HTTPS,加密应用层数据(必选)。

Globalsign通配符域名证书,满足等保要求中数据完整性和数据保密性的要求。

安全运维管理

漏洞扫描系统

满足等保要求中关于及时发现漏洞和进行漏洞升级要求(必选)。

定期进行全网络的扫描,及时发现各种漏洞包括主机、网络和应用漏洞,以便进行系统加固。

 

 

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章
最新文章
相关文章