文档介绍：.
营销管理平台门户WEB系统
安全解决方案
1建设背景背景与现状
随着信息化的日益深刻，信息网络技术的应用日益普及，网络安全问题已经会成为影响网络效能的重要问题。如何使营销管理平台网站不受黑客和病毒的入侵，如何保障营销管理平台网站甲国
Hfmr^ifiaFre=>11**********：345fiTE2i)
女忖信息
贡票囱试Hit
rwioiisaheiKmee
交虐吊芾謂叵兀⑴匕
11J-!111"—rtane-HHl
Lyausjgi2^5b/tgo
督注百时乱底」戈軽弋档恫亡借K卡瓦奇定银史措匚下帳-T圧读史忙•1S£BE£***@SI**OssMSfi^©!5A?®*"J
C^^SSSJHWLIL型3培迪@到史持乐下支吋+台
^11)(1
.auisnoL^iz-■lUl'S»thAi：1llrrfi医TiM□f^r111TW1了CST30T1
图成功修改订单支付金额?漏洞危害:
攻击者利用该业务逻辑漏洞，通过阻碍正常用户的功能使用，或通过修改订单支付金额进行恶意拍买，将会客户自身和网上商城的运营造成严重经济损失或不良影响。
信息安全正如木桶理论所描术的那样，WEB应用系统的安全程序并不取决于我们在某一个方面安全投入的巨大，而在于我们是否针对脆弱的防护御点采取了有效的措施。
WEB应用系统的防护需要采用专业的针对应用层的防护措施。针对WEB服务系统我们需要进行有效的防止网页被攻击或恶意篡改，杜绝因攻击而带来的恶性事件发生。针对于更为重要的电力数据我们更需要提高安全防护的水平，确保应用系统的数据不被恶意修改，敏感的数据不被非法访问或泄露。
具体的需求主要表现为以下几个方面:
攻击防护方面要求专业的WEB应用防护设备进行防护，能通过对输入内容的过滤及请求过滤实现对WEB站点的保护。能有效防止跨站脚本攻击、SQL注入等常见攻击。同时还需要有强大的可定制功能，针对WEB应用系统站点的特性进行定制安全策略，从而最大程序防护WEB站点。
142屏蔽安全隐患
为了防止服务端敏感信息泄露需要通过有效的技术手段对现有网站的敏感信息进行屏蔽，如备份文件的下载、敏感数据库下载，管理后台的外网尝试等，另外要求能屏蔽编写程序过程中遗留下的程序注释，对服务出错信息进行有效屏蔽。
网页防篡改方面需要一种对服务器性能影响最低，但有实际有效的防护机制。能实时监测网站服务器的相关信息是否给非法更改，一旦发现被改则第一时间通知管理员，并形成详细的日志信息。但对外仍显示篡改前的正常页面，用户可正常访问网站。事后可对原始文件及篡改后的文件进行本地下载比较，查看篡改记录，恢复被篡改的页面。
2WEB系统防护解决方案WEB安全需求
对Web应用的安全防护主要包括如下需求：部署简便，管理集中，操作简洁，性能影响甚微。包括：
对现有网络拓扑结构无影响。
方便管理，无需进行复杂的配置。
对现有WEB服务器的访问速率不能造成太大的影响。
对正常业务访问不能进行错误的拦截阻断。
在需要保护的WEB门户服务器前端透明直连部署一台WEB应用防火墙，对网站实行7X24小时的实时监控，保护WEB站点数据不被攻击，避免网页篡改给网站带来的形象损害，避免信息内容不合规等；
WEB安全评估网站安全保障是一项系统工程。网站的安全保障当前最为薄弱的环节就在于缺少对WEB防护层面的整体考虑。针对网站的安全评估，需要使用安全扫描、渗透测试、安全监测三个方面的技术手段进行实施评估工作。
加略曲卫奄梵阻
J胪Mi盟M嚴稚
图2安全评估手段
安全扫描安全扫描采用模拟入侵者的手法，对网站进行模拟攻击。可迅速发现大多数常见的网站安全漏洞，如常见的SQL注入、跨站脚本、目录浏览、应用错误等漏洞。便于指导后期的安全分析和加固工作。
安全扫描器技术先进的同时也存在一些无法解决的问题，如网页内容中的恶意代码难识别、程序中的逻辑漏洞等需要人工判断的内容无法实现自动化。
安全监测建立网站安全监测平台实现对网站内容的安全监测，主要用于对网页木马监测、网站可用性、关键字监测。
通过该平台，可以实现网页木马监测，因为网页木马不同于常规的网站漏洞，具有一定的潜伏性和隐蔽性，常规模拟入侵者的攻击无法发现木马，而需要模拟成一个有漏洞的操作系统去访问这些网页，监测有漏洞的操作系统是否会被网站植入木马。
渗透测试渗透测试借助安全专家多年安全测试的经验，使用大量安全工具、安全方法和安全理论相结合，从攻击、防御多个角度出发去识别网站存在的安全风险。相比于工具型扫描渗透测试更多侧重于逻辑类型的安全问题识别、需要人工辅助类型的安全问题检测，从而可以