政务门户网站安全解决方案

背景及问题

近年来，随着政务网站所运行业务的重要性逐渐增加以及其公众性质使其越来越成为攻击和威胁的主要目标，政府网站所面临的Web应用安全问题越来越复杂，混合威胁的风险正在飞速增长，如网页篡改、蠕虫病毒、DDoS攻击、SQL注入、跨站脚本、Web应用安全漏洞利用等，极大地困扰着政府和公众用户，给政府的政务形象、信息网络和核心业务造成严重的破坏。据CNCERT最新统计显示，2010年我国大陆地区政府网页遭篡改事件呈大幅增长趋势。

电子政府网站建设需求

电子政府网站的安全关系到电子政务事业能够有效开展，发挥作用。等级保护体系也对网站安全提出了要求。《国家信息化领导小组关于我国电子政务建设指导意见》更是给出了电子政务门户网站防护体系更明确的信息。

国内各级政府网站正在向“服务平台化、站点集群化”的政府门户网站的特点发展。通过，在各级政府网站中的在线服务引导和电子政务、服务结果查询，将政府各局、各部门联系在一起，共同组成一座庞大且实用的“一站式、一体化”的政府电子政务服务平台。主要采用三层架构设计，从下至上分别为：数据访问层、业务逻辑层、表示层。

WebGuard解决方案

RG-WG系列WebGuard(简称WG)应用保护系统，是络专门解决上述Web应用安全问题设计的网络设备。WebGuard基于对HTTP/HTTPS流量内容的双向检测分析，识别检测各类Web编码、交互技术、URL参数以及表单输入等，为Web应用提供实时、动态的主动性防护。

各省级和中央的政府门户网站一般都是在电子政务外网的数据中心，服务器数量众多，不单是为市民、企业提供政务业务，还需要为各级地市提供政府办公业务，RG-WG部署在电子政务外网数据中心的前端，可根据不同的安全域，不同的web服务特点和不同的代码特点，分别制定不同的个性化的安全访问策略，从而为众多安全域提供集中式、个性化的安全防护。

RG-WG的处理性能可以达到10G，不但可以满足省级和中央的政府门户网站高可靠的要求，在重要的活动期间也可以根据策略的调整，适应大流量、大访问量，多攻击事件的高性能要求。如下图所示：
 

各级地市、区县的政府门户网站架构相对比较简单。依据“2010年政府网站绩效考核各项指标”，各级地市、区县政府以实现集安全、资源整合、在线服务、信息公开、民主参与于一身的政府网站平台为建设目标。

RG-WG部署在政府网站Web服务器的前端，做为客户端与WEB服务器端请求与响应的中间人，实时过滤阻断或屏蔽跨站脚本、SQL注入及恶意攻击，从而保障政府网站面向居民、企业、外籍人士及同级政府提供各种稳定、可靠、安全在线政务服务。如下图所示：

各级地市政府专业单独防护

特色优势

1.全时空四维度防护策略 

WG采用事前检测、事中防护和事后恢复的“全时空”策略。既能在事前防御防范与未然，又能在事后进行页面恢复。设备能缓存网页内容。当网站被篡改时，设备将缓存的正确页面返回给访问者，保证对外显示的始终是正确页面。

2.双向网站实时检测过滤

RG-WG作为web客户端与服务器端请求与响应的中间人，避免web服务器直接暴露在互联网上，检测过滤HTTP/HTTPS双向交互流量数据，对其中的恶意成分进行实时在线清洗过滤。

3.关键字过滤、黑白名单功能

根据客户的使用需求，防止网站论坛被上传非法反动言论，或网页被篡改为非法言论，支持关键字过滤。同时RG-WG系列能将确认为攻击的源IP自动加入黑名单，并且提供自动解禁时间，不需要任何人工的操作。

4.虚拟WAF与分级管理

单一WAF 设备支持多个网站管理员分别配置管理防护策略，并提供独立的攻击事件报警、分析日志与报表。此功能非常适合具有一定数目web 服务器群的企业使用，方便网络运营管理，减轻设备管理员的工作量，解决众多网站所带来的策略维护与管理的问题。

5.“零配置”初次运行、一站式防护

Cisco、Impreva等厂商采用白名单工作方式，使用时需要针对每个页面的HTTP各字段进行配置；对客户技术水平要求高，否则无法发挥出产品功效。

WG针对国内常见的攻击，预置了攻击防御策略；设备上线，无需配置即可防御绝大多数攻击；同时也提供白名单功能，供高级客户使用。

方案效果

WG可以对电子政务门户网站进行有效的安全防护，避免入侵攻击、网页篡改以及信息泄露等安全事件的发生，保障电子政务门户网站的长期安全、稳定的运营；电子政务门户网站在全国各省市已经部署了众多的案例并获得了广泛认可。