网站系统安全防护标准体系建设专项方案.doc

网站系统安全防护体系建设方案 目录一、需求说明2二、网页防篡改处理方案42.1 技术原理42.2 布署结构52.3 系统组成62.4 集群和允余布署82.5 方案特点92.5.1 篡改检测和恢复92.5.2 自动公布和同时9三、WEB应用防护处理方案113.1 目前安全风险分析113.2 防护计划123.2.1 开发步骤中加入安全性验证项目123.2.2 对网站程序源代码进行弱点检测133.2.3 导入网页应用程序漏洞列表作为审计项目133.2.4 布署Web应用防火墙进行防御143.3WEB应用防火墙功效153.3.1 集中管控功效153.3.2 防护功效153.4 预期效益16四、内容分发网络处理方案184.1 内容分发网络介绍184.2 CDN服务功效184.3CDN服务特点20五、负载均衡处理方案215.2 广域负载均衡235.3 关键功效和特点24六、应急响应服务体系266.1 事件分类和分级266.1.1 事件分类266.1.2 事件分级266.1.3 预警服务事件严重等级276.2 应急响应服务体系28一、需求说明针对Web应用防护安全需能实现以下功效：一、针对网站主页恶意篡改监控，防护和快速恢复：（1）支持多个保护模式，预防静态和动态网页内容被非法篡改。（2）能够预防主页防护功效被恶意攻击者非法终止。（3）含相关键内嵌技术，能实现高效快速实现大规模网页攻击防护。（4）支持实时检测和快速恢复功效。（5）支持多服务器、多站点主页防护（6）支持对常见多个网页文件类型保护。（7）支持网页快照功效，依据需要即时提供快照页面，以满足用户端访问。二、 对Web网站进行多层次检测分析和应用防护：（1）有效保护网站静动态网页和后台DB信息，实现多方位攻击防护。（2）灵活策略设置，能够针对各个WEB应用特点，设置个性化防护策略。（3）不反射保护网站（或WEB应用）程序代码预防受到多种已知攻击（如SQL注入，跨站脚本，钓鱼攻击等）和未知攻击；并能限制未授权用户透过网站访问数据中心，预防入侵者通信步骤。（4）能够依据操作系统、应用平台及评定渗透工具等特征，形成完备特征库。综合并发连接、并发请求及流量限制，阻断攻击探测或扫描； 同时能够对访问数据流进行协议检验，预防对WEB应用恶意信息获取和特征搜集。三、行为审计：（1）能够统计和有效统计用户对WEB应用资源访问，包含页面点击率、 用户对端地址、用户端类型、访问流量、访问时间及搜索引擎关键字信息；并实现有效用户行为访问统计分析，如基于区域访问统计，便于识别WEB应用访问群体是否符合预期，为应用优化提供依据。（2）对攻击起源和攻击行为支持分类统计探测，数据处理结果形成具体统计及排序，支持依据威胁等级生成防护策略。（3）提供多个审计报表，为系统安全审计提供具体数据并作为可靠决议依据。四、支持多个WEB 应用加速技术，减轻服务器负载：（1）支持URL 等级流量管理和负载均衡，提供对页面访问并发连接和速率进行控制，提升应用系统在资源担心时可用性。（2）含有访问过载保护能力，缓解WEB 服务因访问量过大而造成拒绝服务攻击， 提升系统承受应用层DOS攻击服务能力。（3）立即发觉WEB 应用状态异常，快速反馈应用服务活动状态，并选择最优异服务连接。（4）支持轮询、最小负载、请求URL 及加权等多个均衡策略，满足多种应用环境下均衡要求。（5）网站主页和WEB应用防护系统，需能分别以独立方法及互备方法布署在不一样机房。二、网页防篡改处理方案Web网站和Web应用系统除了采取常见网络安全设备进行防护外，需要更有效网页防篡改系统来专门对页面内容进行保护，预防来自外部或内部非授权人员对页面和内容进行篡改和非法添加。2.1 技术原理防篡改体系除了Web服务器外，另外需布署公布服务器： 公布服务器：在内网中，本身处于相对安全环境中，其上布署公布服务器软件。全部网页正当变更（包含增加、修改、删除、重命名）全部在公布服务器上进行。公布服务器上含有和Web服务器上网页文件完全相同目录结构，公布服务器上任何文件/目录改变全部会自动和立即地反应到Web服务器对应位置上，文件/目录变更方法能够是任意方法（比如：FTP、SFTP、RCP、NFS、文件共享等）。网页变更后，“公布服务器软件”将其同时到Web服务器上。 Web服务器：在Internet/DMZ中，本身处于不安全环境中，其上布署Web服务器端防篡改模块及内容同时软件模块。防篡改系统运行原理：n 防篡改对全部网页元素（包含静态页面、动态脚本、图像文件、多媒体文件和全部能以URL形式访问实体）在公布时进行128位密钥HMAC-MD5（RFC2104）计算，生成唯一、不可逆转和不可伪造数字水印。浏览者请求访问任一网页元素时，篡改检测模块（作为Web服务器软件一部分）读出网页元素内容重新计算数字水印，并和之前存放数字水印进行比对，网页元素任何篡改全部能够被可靠地计算出来。n 防窃听任何通信实体（包含公布服务器和Web服务器和控制台）之间采取工业标准SSL3.0/TLS1.0安全通讯协议（RFC2246），确保网页元素文件和数字水印数据流在通信过程中不被黑客窃取和分析。n 身份判别通信实体间进行强身份判别。首先，Web服务器要确保上传文件公布服务器身份真实性，不能接收伪造公布服务器上传文件；其次，公布服务器要确保是在和Web服务器通信，确保发送文件能够到Web服务器上。所以，双方相互全部进了身份判别。亦即：公布服务器采取用户端数字证书和Web服务器通讯，同时也验证Web服务器数字证书真实性。2.2 布署结构现在，大部分网站全部使用内容管理系统（CMS）来管理网页产生全过程，包含网页编辑、审核、签发和合成等。在网站网络拓扑中，公布服务器布署在原有内容管理系统和Web服务器之间，下图表明三者之间关系。公布服务器上含有和Web服务器上网站文件完全相同目录结构，任何文件/目录改变全部会自动映射到Web服务器对应位置上。网页正当变更（包含增加、修改、删除、重命名）全部在公布服务器上进行，变更手段能够是任意方法（比如：FTP、SFTP、RCP、NFS、文件共享等）。网页变更后，公布服务器将其同时到Web服务器上。不管什么情况下，不许可直接变更Web服务器上页面文件。下图为防篡改系统逻辑布署图。若无多出服务器可供使用，则公布服务器可和内容管理服务器建构在同一服务器上：2.3 系统组成从逻辑上，防篡改系统由页面保护子系统、自动公布子系统和监控管理子系统组成，三部分关系以下图所表示。公布服务器自动公布子系统（自动公布程序）管理和监控子系统内容管理系统（第三方软件）Web服务器Web服务器软件（第三方软件）页面保护子系统（应用防护/篡改检测）自动公布子系统（同时服务器）n 页面保护子系统页面保护子系统是系统关键，内嵌在Web服务器软件里（即前述关键内嵌模块），包含应用防护模块和篡改检测模块。应用防护模块对每个用户请求进行安全性检验：假如正常则发送给Web服务器软件；假如发觉有攻击特征码，立即中止此次请求并进行报警。篡改检测模块对每个发送网页进行即时完整性检验：假如网页正常则对外发送；假如被篡改则阻断对外发送，并依据一定策略进行报警和恢复。对于Windows系统，页面保护子系统还包含一个增强型事件触发式检测模块，该模块驻留于操作系统内核，阻止大部分常规篡改手段。n 自动公布子系统自动公布子系统负责页面自动公布，由发送端和接收端组成：发送端在公布服务器上，称之为自动公布程序，它监测到文件系统改变即进行计算该文件水印，并进行SSL发送；接收端在Web服务器上，称之为同时服务器，它接收到网页和水印后，将网页存放在文件系统中，将水印存放在安全数据库里。全部正当网页增加、修改和删除全部经过自动公布子系统进行。n 监控管理子系统负责篡改后自动恢复，也提供系统管理员使用界面。其功效包含：手工上传、查看警告、检测系统运行情况、修改配置、查看和处理日志等。日志统计全部系统、公布、篡改检测和自动恢复等信息，能够分类分日期查看，并依据管理员要求实现转储。日志统计还支持syslog，以实现和安全管理平台接口。2.4 集群和允余布署Web站点运行稳定性是最关键，防篡改系统支持全部部件多机工作和热备，能够有多台安装了防篡改模块和同时服务软件Web服务器，也能够有两公布服务器，避免单点失效问题，以下图所表示。n Web服务器多机和集群公布服务器支持1对多达64台Web服务器内容同时，这些Web服务器操作系统、Web服务器系统软件、应用脚本及网页内容既能够相同也能够不一样。本案提供处理方案将可实现异种系统架构下对不一样内容统一管理。n 公布服务器双机支持公布服务器双机协同工作，即一台主公布服务器和一台热备公布服务器。在这种布署情形下，内容管理系统（CMS）需要将内容同时公布到两台公布服务器上。正常状态下，主公布服务器工作时，由它对全部Web服务器进行内容同时。假如热备公布服务器运行失效（不影响网站系统运行），一旦在它修复后能够从主公布服务器恢复数据，进入正常热备状态。主公布服务器假如失效（即不发心跳信号），热备公布服务器会接管工作，由热备服务器对全部Web服务器进行内容同时。当主公布服务器修复后，两机同时工作，经过一段时间数据交接时间，热备公布服务器重新进入热备状态。2.5 方案特点2.5.1 篡改检测和恢复n 支持安全散列检测方法；n 可检测静态页面/动态脚本/二进制实体；n 支持对注入式攻击防护；n 网页公布同时自动更新水印值；n 网页发送时比较网页和水印值；n 支持断线/连线状态下篡改检测；n 支持连线状态下网页恢复；n 网页篡改时多个方法报警；n 网页篡改时可实施外部程序或命令；n 能够按不一样容器选择待检测网页；n 支持增强型事件触发检测技术；n 加密存放水印值数据库；n 支持多种私钥硬件存放；n 支持使用外接安全密码算法。2.5.2 自动公布和同时n 自动检测公布服务器上文件系统任何改变；n 文件改变自动同时到多个Web服务器；n 支持文件/目录增加/删除/修改/更名；n 支持任何内容管理系统；n 支持虚拟目录/虚拟主机；n 支持页面包含文件；n 支持双机方法冗余布署；n 断线后自动重联；n 上传失败后自动重试；n 使用SSL安全协议进行通信；n 确保通信过程不被篡改和不被窃听；n 通信实体使用数字证书进行身份判别；n 全部过程有具体审计。三、WEB应用防护处理方案从网页应用程序层面进行安全防护机制：第一项计划是，经过网页程序代码安全检测，找出潜在应用程序编写漏洞，提供开发团体修补提议，并据以改写修补。同时为网页应用层防火墙提供防护规则，做到内外共同防护；第二项计划是，经过网页应用层防火墙软件布署，和网页程序代码安全检测相互联动，为在线运行网站立即建立防护，针对多种应用层攻击进行阻挡，建立起网站从内而外安全防护体系。3.1 目前安全风险分析越来越多案例表明，网站安全问题伴随各类网络技术手段不停进步而显现出来。截止到现在，以跨站脚本攻击、SQL注入攻击为代表攻击方法对传统防火墙+入侵防护所组成网站安全防线带来了极大冲击；同时因为新攻击方法出现，一旦网站被入侵，轻则网站被植入恶意连结或对象，造成访问用户个人电脑中毒或被植入木马；严重话，经过网页接口造成用户信息或交易纪录被入侵，从而面正确是漫长调查、赔偿、法律责任、甚至诉讼。假如被媒体披露话，更会严重影响企机关声誉。网站安全风险分析：项次纲领说明1没有合适机制确定现在网页程序存在哪些漏洞现在已在线实施网页系统，是几年来不停开发和累积结果。然而新兴以网页应用程序为攻击目标攻击模式不停被发觉，所以目前面临困难在于:l 现有开发团体并非全职安全教授，难以确保编写出来程序代码绝对不会存在漏洞。l 在线程序代码为数众多，假如要逐条人工检视，绝对力有未逮，且现有开发能力用于全力开发新服务和步骤改善，无法投入足够资源用于检测旧系统漏洞。l 常常性发生信息安全事件，会让团体疲于奔命。也花费大量资源来进行调查和修复。更不用说后续延伸出来商誉损失、法律责任、甚至诉讼和赔偿事宜。2网站运行者往往全部在网站遭受入侵和恶意攻击后经过外界反应才知道当黑客利用时下Web AP攻击手法，如Cross Site Script或SQL Injection等方法攻击网站，而网站又刚好有未知漏洞被利用，那么不仅缺乏合适机制能够立即发觉攻击，更无法达成防御效果。3法律责任冲击企机关有责任妥善保管用户个人信息，若因网站被入侵而造成用户信息外泄，则有可能必需面对法律责任问题。4敏感信息显示于网页接口时，需进行屏蔽，避免会员信息外泄针对如信用卡卡号或身分证字号等敏感信息，假如需要在网页中显示响应给使用者，则需要进行屏蔽，将中间字符内容替换为x或*等符号，避免使用者计算机存在木马或传输过程被窃听，而造成信息外泄。然而现有系统已经运作多年，需要逐一检视而且修改，需花费大量资源和时间。5传统IDS/IPS和防火墙，挡不住也看不懂 Web攻击原本期望经过IDS/IPS和防火墙来抵御黑客攻击。然而现在黑客，再硬碰硬进防火墙、入侵侦测系统或修补程序能够阻挡网络型攻击或作业平台攻击。现在超出 70% 成功黑客攻击，是针对 Web 应用程序弱点而是操作系统弱点，而且循着正当身份从Web 应用系统管道进入，所以原先防火墙和入侵侦测系统也束手无策。6SSL加密后流量，无法从网络端实施入侵检验和过滤因为运行是电子商务服务，所以为避免使用者进行交易过程中信息被从中窃听，而实施HTTPS/SSL加密，保障传输过程安全。然而，这也造成布署网页防入侵机制时限制和困扰。因为假如使用使网络型Web Application Firewall机制，SSL加密后流量就会无法进行检验，或要改变现有SSL加密处理步骤。3.2 防护计划3.2.1 开发步骤中加入安全性验证项目在软件开发步骤中，拟计划一套系统化安全设计步骤，确保网络应用程序安全。系统发展生命周期(Systems Development Life Cycle,简称SDLC)是大部分信息应用系统设计参考模型，即一套应用程序软件发展需要历经分析、设计、建构、测试、系统维护至下一次需求产生，这一周期就是系统发展生命周期。安全系统发展生命周期(Security Systems Development Life Cycle )便是泛指在软件开发生命周期中，应考虑信息安全方法及注意事项。3.2.2 对网站程序源代码进行弱点检测提议导入自动化网页应用程序源代码安全检测体系。不可否认，早期所开发应用程序，皆以功效性着眼，欠缺安全性安全认识和危机意识，所以在程序编写中较少考虑到安全性问题，所以不小心便造成所开发 Web 应用系统漏洞百出，造成 SQL Injection、缓冲区溢出（Buffer-Overflow）、跨网站脚本攻击（Cross-Site Scripting）等等 Web攻击。信息安全相关领域知识包含操作系统、开发工具、网站平台、程序逻辑、程序编译、程序实施和种种通讯协议原理，并非程序开发人员专业领域，所以怎样快速有效地针对单位内现有和未来开发建设 Web 应用系统进行定时或不定时检验其可能源代码弱点和漏洞，需要一套有系统有效率Web 应用系统原代码自动检测系统，有利于提早发觉并评定风险，提早进行源代码改写和修补动作。Web 应用系统原代码自动检测系统所提供服务特色为：l 针对程序源代码检测结果和汇报，提供程序源代码弱点深度分析和弱点严重性分析等风险高低评定量分和图表，帮助程序开发人员计划安排程序源代码弱点安全问题修复优先级。l 清楚标明程序源代码弱点安全问题结果和源头，帮助开发和项目管理人员了解程序源代码弱点安全问题之发生程序行数和弱点起源，必需包含下列信息：l 可和本案Web 应用系统安全防火墙安全访问策略联动，处理复杂应用防火墙配置问题。3.2.3 导入网页应用程序漏洞列表作为审计项目开放网页应用程序安全计划(Open Web Application Security Project, 以下简称OWASP)致力帮助企业和政府机关(构)能够了解和提升网页应用程序安全性，并关注最严重漏洞。OWASP于最新公布十大信息安全漏洞(OWASP Top 10)是一个需要立即处理应用程序安全漏洞。这些安全漏洞包含：l Cross-Site Scripting（跨站脚本攻击）。网页应用程序直接未来自使用者实施请求送回浏览器实施，使得攻击者可撷取使用者Cookie或Session数据而能直接登入成使用者。l Injection Flaw：网页应用程序实施来自外部包含数据库在内恶意指令，SQL注入,命令注入等攻击包含在内。l Malicious File Execution：网页应用程序引入来自外部恶意档案并实施档案内容。l Insecure Direct Object Reference：攻击者利用网页应用程序本身档案读取功效任意存取档案或关键数据，案例包含http:/example/read.php?file=./././././././c:boot.inil Cross-Site Request Forgery (CSRF): 已登入网页应用程序正当使用者实施到恶意HTTP指令，但网页应用程序却当成正当需求处理，使得恶意指令被正常实施，案例包含社交网站分享 QuickTime、Flash影片中藏有恶意HTTP请求。l Information Leakage and Improper Error Handling：网页应用程序实施错误讯息包含敏感数据，案例包含:系统档案路径l Broken Authentication and Session Management：网页应用程序中自行编写身份验证相关功效有缺点。l Insecure Cryptographic Storage：网页应用程序没有对敏感性数据使用加密、使用较弱加密算法或将密钥储存在轻易被取得之处。l Insecure Communication：没有在传送敏感性数据时使用HTTPS或其它加密方法。l Failure to Restrict URL Access：一些网页因为没有权限控制，使得攻击者可经过网址直接存取，案例包含许可直接修改Wiki或Blog网页内容。归咎这些安全漏洞根本原因，乃在于网页应用程序本身存在安全漏洞，忽略应该注意函数处理和防范来自使用者恶意攻击。倘若这些安全漏洞在开发和布署过程没有被检测出来，则以后就会发生信息安全事件。利用Web 应用系统原代码自动检测系统所提供检测服务可事先发觉网站所潜藏上述安全漏洞。3.2.4 布署Web应用防火墙进行防御导入网页应用程序防火墙系统好处于于：n 网站源代码检测阶段：在修补源代码中存在安全隐患之前（可能因为开发团体变更、服务无法暂停等原因临时无法对安全隐患进行修补），则依靠网页应用程序防火墙系统提供Web应用安全防护，从而确保网站应用安全性；n 网站安全加固阶段：能够将网页应用程序源代码安全检测系统检测出安全问题自动直接生成网页应用程序防火墙系统所需使用安全防护规则（Access Policy），使得网页应用程序源代码安全检测系统和网页应用程序防火墙系统产生相互联动，从而做到网站应用安全自动化防护。经过网页应用程序防火墙布署，让访问者对网站请求，和网站估计响应给访问者显示网页，全部经过Web 应用系统安全防火墙全程检验和检视其安全性、正当性和正确性，如有任何非法行为，自动阻断非法行为或重置正当和适宜响应，让使用者和系统管理者全部能够继续安心运作。Web 应用系统安全防火墙布署架构以下图：3.3WEB应用防火墙功效3.3.1 集中管控功效l 同一处理方案除了提供硬件式应用防护设备外，可依实际需求选择将软件式应用防火墙系统安装于Web服务器主机上，不需要调整网络和系统架构。l 支持【集中丛集控管(Cluster Management)】方法，经过统一集中管理接口，同时管理和安全防护规则布署多台Web 应用系统软件式防火墙系统。l 支持集群内各台Web 应用系统软件式防火墙系统运行状态，如有异常，立即显示。l 含有多管理者、多网站群组权限管理能力，提供让特定管理者管理特定网站群组安全防护规则能力l 内建Web 应用系统软件式防火墙系统纪录查询和查看工具，方便实时分析，提供多重条件过滤查询功效，无须额外购置审计报表分析工具。l 提供符正当规遵照角度需求审计纪录，具体纪录系统操作和变更，方便审计人员查验。l 提供统计报表能力，提供多个预设统计图表，支持自定义设定分析范围和时间区段，产生满足单位需求和法规遵照要求报表。l 提供直接过滤防护 SSL加密网页机制，安装布署时，不需要更改 SSL 密钥存放位置，避免密钥管理额外问题。3.3.2 防护功效l 可防御下列19大类(含)以上网页攻击型态，超出10,000种(含)以上网页攻击方法。l 支持下列OWASP Top 10十大网页应用程序弱点攻击模式。l 提供输入验证(Input Validation)处理机制，提供黑名单或白名单方法验证使用者输入内容数据类型、范围、格式和长度。l 提供用户端浏览器存取权限管理能力，能够限制存取网站用户端IP地址、使用浏览器版本、网页开放存取时间范围 和SSL加密强度等等存取条件。l 提供网页存取身份验证(Authentication)处理机制，让缺乏账号密码等权限管理网页含有身份验证能力。l 提供网页存取安全会话(Secure Session)处理机制，保护用户端浏览器Cookie安全使用，降低 Cookie 外泄机率。l 提供网页上传下载双向过滤保护功效，经过关键词过滤网站恶意内容或不妥文字，或是预防机敏数据外泄。l 针对网页敏感信息，比如：信用卡信息、身份证号等隐私数据，提供自动屏蔽(Auto Mask/XXX)功效机制，避免单位机密数据或个人隐私外泄。l 提供反钓鱼(Anti-Phishing)功效，可经过黑、白或灰名单方法限制钓鱼网站引用主网站内容。l 经过 Reference Checking 强制网站使用方法，预防网站内容遭受未经正当授权强迫浏览或盗连。l 内建安全防护规则设定向导，依据实际需求和环境提供弹性和自定义安全防护规则设定功效。l 提供安全防护规则集版本管理机制，而且支持版本回溯(Rollback)功效。l 支持人工智能安全防护规则学习模式，提供网站系统安全防护规则设定提议。l 支持下列操作系统：Windows、Linux 和 Unix-Like 作业系统l 可和Web 应用系统源代码自动检测系统所生成安全防护规则联动。3.4 预期效益经过Web应用系统安全防火墙和网站源代码弱点检测布署和导入，预期达成效益和目标：。n 对在线运作网站应用程序进行防护，降低被黑风险：经过网页应用程序防火墙布署，让使用者对网站请求，和网站估计响应给使用者显示网页，全部经过Web 应用系统安全防火墙全程检验和检视其安全性、正当性和正确性，如有任何非法行为，自动阻断非法行为或重置正当和适宜响应，让使用者和系统管理者全部能够继续安心运作。n 在网站程序漏洞被黑客利用前，即可进行修补，以治本方法根除漏洞：利用网站程序源代码弱点检测系统，可例行对在线运作网站程序源代码进行扫描和检测，以清楚存在哪些已知弱点和漏洞，并计划性依据严重度进行修补改写，以根除这些漏洞，提升网站安全性。n 培养开发团体编写高安全性网页程序代码和安全网站能力：藉由网站源代码扫描汇报解读和程序代码修正程序。让开发团体程序开发人员，熟悉高安全性网页程序编写方法，进而养成良好编写和测试习惯。四、内容分发网络处理方案4.1 内容分发网络介绍内容分发网络（CDN, Content Distribution Network）服务=智能网站镜像+页面缓存+流量导流。CDN所做，就是为互联网上内容提供EMS 服务，在最正确时间用最正确手段，把最正确内容，推送到最正确地点（访问用户），能够帮助用户处理分布式存放、负载均衡、网络请求重定向和网站内容管理等问题。其目标是经过在现有Internet 中增加一层新网络架构，将网站内容公布到最靠近用户网络“边缘”，使网站访问用户能够就近取得所需网页内容，处理 Internet网络拥塞情况、提升用户访问网站响应速度。从技术全方面处理因为网络带宽小、用户访问量大、网点分布不均而产生用户访问网站响应速度慢根本原因。CDN 网络营造了一个网络运行环境，不仅能够提供以网络加速为基础系列服务，包含针对网页、流媒体、文件传输、文件播放等内容提供加速，还能提供部分相关增值服务以更有效地满足用户在这些应用方面需求。4.2 CDN服务功效众所周知，互联网访问速度取决于众多原因，包含Internet网络传输质量、中国南北互联互通问题、网站服务器性能、网站出口带宽、网页程架构和网页内容类型等等。CDN网页加速产品采取全球智能域名解析系统和高速缓存等专业技术，经过遍布全球CDN 网络把网页内容分发到离网民最近边缘节点上，绕过中国和跨国传输拥塞影响，突破源站出口带宽和性能屏障，访问用户能够从最适合节点上取得所需内容，从而提升网站访问速度和质量。CDN 网页加速产品支持SSL 加密，网页压缩，防盗链等功效：n 网页压缩功效：支持网站本身压缩功效，同时能够帮助未实现压缩功效网站提供压缩服务，经过压缩数据大小改变，降低数据传输时间，节省传输带宽，使页面显示速度自然提升。n 防盗链功效：基于时间或用户IP 对URL 进行加密和验证，帮助网站预防盗链现象。n 地域化内容服务功效：依据访问用户地域不一样，将用户访问请求分配到对应CDN 节点上进行响应，从而为来自不一样地域用户提供针对该地域投放特色内容，使得网站内容愈加有针对性，实现个性化服务。4.3CDN服务特点n 安全分发内容CDN 节点前端全部有能够抵御几十万等级DDoS 攻击设备，智能全域负载均衡系统会依据攻击路线改变用户访问目标地，保障用户访问不受攻击影响。在整个分发网络中除了网络层有加密校验机制，分发文件会携带特定加密码，在传送到最终目标地后进行校验完成后确定文件在传输过程中没有缺失和修改，返回给中央分发服务系统安全抵达信息，且服务器采取专有OS 架构，即使遭到攻击黑客也无法篡改用户内容，确保分发内容安全性和完整性。n 完善日志分析完善日志分析功效，能够依据用户个性需求，制订多重样式日志分析汇报，包含用户访问行为分析、用户起源地分析、网站点击率分析等。并能够提供自动报表生成。n 网站流量立即汇报提供在线浏览访问量接口，使用户随时了解网站运转情况。n 网站异常告警当网站发生非正常访问量激增或网站源不可达时，会立即发送EMAIL到用户信箱通知情况并立即电话通知，使得网站安全可靠。n 网站镜像能够提供用户网站异地镜像功效，确保源站发生情况后，能够借用CDN节点上网站为用户提供临时页面访问服务。n 网站页面访问性能优化降低源站对高带宽需求，并减低源站服务器访问压力。五、负载均衡处理方案CDN服务为访问用户提供愈加快网站访问速度，并降低源站访问压力。而源站当地则能够采取服务器负载均衡（SLB, Server Load Balance）技术方案深入降低源站访问中止风险。更完善负载均衡方案是采取广域负载均衡（GLSB, Global Server Load Balance）技术为应用网站提供不一样地域主用/备用站点架构，5.1 服务器负载均衡如上图示，假设在Internet 上提供两个服务，分别为World Wide Web 服务(192.168.10.1)和E-commerce 服务(192.168.10.2)，现在我们在防火墙和交换机之间加入了SLB，此设备在OSI/ISO 七层架构中属于三到七层设备，所以能够整合不一样平台、新旧不一样服务器，另外、服务器也由一台增加至三台，我们称为服务器农场(Server Farm), 而且将原本属于服务器IP 地址移到SLB 设备上，对使用者而言仍然是存取此IP 上服务，没有改变。所以，必需指定另外一个网段IP 给原来服务器使用。此时，SLB 设备除对外提供服务，对内做到下列功效： n 网络地址转换(Network Address Translation, NAT)：利用此技术将内部虚拟IP 对应到外部真实IP(视提供服务而定，在此例中有二个IP 需做NAT)，如此一来便能够处理用一个IP 来替换很多不一样IP 问题。n 有效分配负载流量：怎样将由Internet 上流量分配到后端服务器上，其中包含了那一台服务器该负责较多工作，或是一视同仁照次序分配而不考虑效能等原因，我们称为负载平衡模式(Load Balance Mode)。n Health check 机制：为了使SLB 设备能够有效掌控后端服务器情况，必需定时自动检验服务器运作情形，以免发生将使用者数据请求引导至发生故障或是过于忙碌服务器上情形。n Fail-Over 机制：一旦SLB 架构建置完成，SLB 设备便成为很关键一个网络节点。一旦发生故障，整个服务便会中止，所以备援是很关键课题，理想备援机制是在完全不影响使用者前提下完成替换故障设备并提供服务工作，通常我们也称之为高可靠度(High Availability)。5.2 广域负载均衡广域负载均衡（GSLB，Global Server Load Balance）是一个将SLB概念扩展到广域范围技术，和SLB在一个单独节点上为一组服务器提供负载均衡服务不一样，GSLB提供了一个对多个不一样地域服务器群(多个节点)提供负载均衡服务，在实现上能够分为两个方面，首先是怎样实现将用户请求指向到选定节点上，首先是研究怎样确定最好站点。GSLB服务能够对分布在不一样地域多个源站服务器群提供广域负载均衡服务，采取DNS解析方法来实现用户访问重定向，同时采取智能策略确定最好源站点，提升了服务可用性和系统性能。原理说明：广域负载均衡在DNS解析阶段实现：1）用户端针对一个域名（Domain）发送一个DNS请求。2）广域负载均衡由一系列算法返回一个最优siteIP（延时最小、距离最近等）。3）用户端向此IP提议连接请求。4）当用户端向某IP提议访问连接请求时，实施（当地）服务器负载均衡（SLB），负载均衡设备依据最优算法选择服务器和对应服务转发请求，如上图所表示。5.3 关键功效和特点n Web交换完全支持URL交换，依据URL和HTTP信息分配流量。每个 URL 全部能够重定向到某服务器，或在多个服务器之间进行负载均衡，从而提供优化Web交换性能。依据URL文本中包含信息，能够保持用户连续性，从而确保内容个性化。n 经过负载均衡优化服务器资源支持负载均衡演算法最少包含， 轮询 (Cyclic) 最少用户数 (Least users) 最少数据包数 (Least packets) 最少字节数 (Least bytes) 最快回应时间 (Fasted Response Time) SNMP定制 (SNMP customized)n 健康情况检验能够监视服务器在IP、TCP、UDP、应用和内容等全部协议层上工作状态。假如发觉故障，访问用户即被透明地重定向到正常工作服务器上。n 完全容错和冗余双机备援架构方法提供设备间完全容错，以确保网络最大可用性。两个设备经过网络相互检验各自工作状态，为其所管理应用保障完全网络可用性。它们可工作于主用-备用模式或主用-主用模式，在主用-主用模式下，因为两个设备全部处于工作状态，从而最大程度地保护了投资。而且全部访问会话信息全部可在设备间进行镜像，从而提供透明冗余和完全容错，确保在任何时候用户全部能够取得网站访问最好服务。n 经过正常退出服务确保稳定运行当需要进行服务器升级或系统维护时，负载均衡设备可确保稳定服务器退出服务以避免网站访问中止。当选定某台服务器要退出负载均衡服务后，新访问连接将不会被指向该服务器。n 应用安全 DDoS保护：识别和保护应用基础架构不受DoS/DDoS攻击。这种保护已超越了其它供给商采取传统SYN cookie技术所提供保护。 入侵过滤：经过在恶意蠕虫和病毒进入应用服务器前进行识别并拒绝，保护应用服务器不受侵袭。包检测和过滤功效（包含对加密流量进行检测）可支持管理员制订政策来保护系统不受这些攻击。 SSL加密：应用内容在传输过程中全部受加密保护，经过卸载服务器复杂加密任务将应用处理能力发挥到了极致。该功效使管理员能保护敏感应用内容安全，使其摆脱被窃取及被滥用潜在威胁。n 旁路建构方法，保障原有网络结构负载均衡设备可选择以旁路方法连接至网站系统，降低Web应用交付使用延宕风险。六、应急响应服务体系6.1 事件分类和分级事件分类分级，用于信息安全事件防范和处理，为事前准备、事中应对、事后处理提供一个整体事件防范和处理基础。6.1.1 事件分类依据信息安全事件发生原因、表现形式等，可将多种信息安全事件归纳为六大类。1) 恶意程序事件：包含 计算机病毒事件、蠕虫事件、木马事件、僵尸网络事件、攻击程序事件、网页内嵌恶意代码事件和其它有害程序事件等7个第二层分类。僵尸网络是指网络上受到黑客集中控制一群计算机，它能够被用于伺机提议网络攻击，2) 网络攻击事件：包含 拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其它网络攻击事件等7个第二层分类。3) 信息内容安全事件：包含 网页篡改、伪造网站等2个第二层分类。4) 设备设施故障：是指因为网站系统本身故障、外围保障设施故障或人为使用非技术手段而造成信息安全事件。5) 灾难性事件：是指因为不可抗力对信息系统造成物理破坏而造成信息安全事件。6) 其它信息安全事件：指不能归为以上5个基础分类信息安全事件。6.1.2 事件分级对信息安全事件分级可参考下列三个要素：信息系统关键程度、系统损失和社会影响。系统损失是指因为信息安全事件对信息系统软硬件、功效及数据破坏，造成系统业务中止，从而给事发组