网站防护解决方案 网站防护解决方案（精编2篇）

【导言】此例“网站防护解决方案 网站防护解决方案（精编2篇）”的范文资料由阿拉题库网友为您分享整理，以供您学习参考之用，希望这篇资料对您有所帮助，喜欢就复制下载支持吧！

网站防护解决方案范文1

关键词：电力 无线网络 漏洞 自动化 解决方案

中图分类号：TN915 文献标识码：A 文章编号：1672-3791（2014）10（c）-0084-02

1 研究背景

近年来，全球的数据网络正以令人惊奇的速度发展，为信息的交流和经济的发展提供了高效的工具和便利的平台。随着电力建设的飞速发展，电力自动化数据网络也迅速扩大，正在向全面覆盖所有的电力企业迈进，电力系统数字化已是大势所趋。电力调度自动化系统、配电自动化系统、电量计费系统、电力市场技术支持系统及交易系统、电力客户服务中心系统、变电站自动化系统、发电厂监控系统、MIS 系统等，无一不是以高速的数据传输与交换为基本手段而建设的。电力自动化数据通信网络利用因特网、无线网等的工具和平台，在提高数据传输效率、减少开发维护工作量的同时，也带来了新的问题，这就是内部机密信息在网络上的泄密、以及被攻击破坏等。

随着计算机运算性能的提高，通信技术的不断发展，电力通信协议也在不断的改进，以适应通信数据类别、流量和实时性的要求。IEC60870规约系列规定了电力远动、继电保护数据、电能计费等多个方面的通信协议，甚至出现了104网络通信规约，以适应网络RTU在电力系统中的应用。各项信息安全技术也开始得到广泛的应用，但是仍然是以以下观点为基础开展的，电力数据网络的信息安全研究应该有所突破：

（1）电力通信网络的两个隔离。物理隔离作为国家的明文规定是建立在网络条件不如人意，网络威胁依然严重的情况下的，需要看到电力信息系统的开放性将是主流方向，基础研究应该突破这个框架开展一些前瞻性的工作。（2）重点防护监控系统，对通信数据网络的信息安全重视不足。虽然通信网络的安全威胁相比而言较小，但是由于电力通信对实时性和可靠性的要求，使得通信数据网络与电力监控系统的信息安全同等重要。（3）认为电力自动化通信没有安全问题，或者认为还不值得深入研究，电力信息使得任何安全研究都不能不重视其实时性的要求，因此自动化通信的信息安全研究开展不多，还需要进行大量的研究。

2 电力系统无线通信对于信息安全的需求

电力自动化管理系统无线网络中传输的数据非常混杂，从加密的技术角度来区分，可分为实时数据和非实时数据两类。

实时数据的数据特点

无线网络中传输的实时数据，其通信规约对时间的要求很严格，不允许较大的传输延迟；另一方面，实时数据的数据量相对较小，且数据流量比较稳定。主要包括：

（1）下行数据。包括遥控、遥调和保护装置及其他自动装置的整定值信息等。这类数据与设备状态相关，直接影响到电网的安全运行。安全要求和实时要求都很高。（2）上行数据。包括遥信、重要遥测、事件顺序记录（SOE）信息等。这类数据是电网稳定运行的判据，也是调度决策的依据，实时性要求很高。管理数据。如负荷管理、停电计划等管理信息系统（MIS）的重要管理数据。这类数据对保密性有一定要求。实时数据其数据流量稳定且时效性快，但是要求实时性高、可靠性高，其保密性和数据完整性的要求也高，因此对实时数据加密必须慎之又慎。

非实时数据的数据特点

无线网络中传输的非实时数据，其数据量一般较大，但时效性不高，可以允许一定的传输延迟。它主要包括电力设备的维护日志、电力用户的电能质量信息等。非实时数据实时性要求不高，但是对数据完整性和保密性有一定的要求，在数据加密中要注意选择合适的算法。

3 电力自动化系统的安全漏洞及解决方案

电力自动化应用系统，不论是电力负荷管理系统、电能量管理系统或是其它的应用系统，它的网络结构框图都可以归纳成图1所示。

中心站的安全隐患及解决方法

应用系统都有一个中心站，它包括前置机、服务器等硬件设备及配套的管理软件，它负责接收各个子站上传的数据并通过管理软件对数据进行分析、归纳和管理；另一方面，它也维护各个子站正常运行，并以下发命令的方式对子站进行操作管理；而且中心站还是本应用系统与其它的电力自动化应用系统进行数据共享和管理的一个数据接口。一般来说，中心站和子站之间以及中心站和其它应用系统之间的数据传输都是通过有线传输（如光纤）进行的。

中心站既是内部通信子站数据集中的一个节点，也是应用系统与外部进行数据收发的一个接口。只要攻击者侵入了该节点，整个系统的数据就相当于暴露在了入侵者的面前。而且一旦中心站出现了故障，即使其它的通信子站均运行正常，整个系统也无法正常工作了。正由于它的重要性和脆弱性，因此对于中心站就更是要进行重点防护。防火墙就是一种有效的网络安全保护措施，它可以按照用户事先规定好的方案控制信息的流入和流出，监督和控制使用者的操作。防火墙大量的应用于企业中，它可以作为不同网络或网络安全域之间的信息的出入口，能根据企业的安全策略控制出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它能有效地监控内部网和 Internet之间的任何活动，保证内部网络的安全。

防火墙的目的是在内部、外部两个网络之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。一般的防火墙都可以达到以下目的：一是可以限制他人进入内部网络，过滤掉不安全服务和非法用户；二是防止入侵者接近你的防御设施；三是限定用户访问特殊站点；四是为监视Internet(山草香☆)安全提供方便。由于防火墙假设了网络边界和服务，因此更适合于相对独立的网络，例如Intranet 等种类相对集中的网络。防火墙正在成为控制对网络系统访问的非常流行的方法。事实上，在Internet上的Web网站中，超过三分之一的Web网站都是由某种形式的防火墙加以保护，这是对黑客防范最严，安全性较强的一种方式，任何关键性的服务器，都建议放在防火墙之后。可见，防火墙处于可信网络和不可信网络边界的位置，是可信网络和不可信网络数据交换的“门户”，用来防止未经授权的通信进出被保护的内部网络，通过边界控制强化内部网络的安全策略，其性能、可用性、可靠性、安全性等指标在很大程度上决定了网络的传输效率和传输安全。防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理，从总体上来看，防火墙的基本功能有两个：一是隔离，使内部网络不与外部网络进行物理直接连接；二是访问控制，是进出内部网络的数据包按照安全策略有选择地转发。围绕这两个基本功能，大量与安全有关的网络技术和安全技术被综合进防火墙设备中，使防火墙地功能不断扩展，性能不断提高。概括地说，功能较完善的防火墙采用了以下安全技术：

多级的过滤控制技术

一般采用了三级过滤措施，并辅以鉴别手段。在分组过滤一级，能过滤掉所有的源路由分组和假冒的IP源地址；在应用级网关一级，能利用FTP、SMTP等各种网关，控制和监测Internet提供的所有通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务的通行实行严格控制。

网络地址转换技术（NAT）

利用NAT技术能透明地对所有内部地址作转换，使外部网络无法了解内部网络的拓扑信息，同时允许内部网络使用自己编的IP地址和专用网络，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。

用户鉴别与加密

为了降低防火墙产品在Telnet、FTP等服务和远程管理上的安全风险，鉴别功能必不可少，防火墙采用一次性使用的口令字系统来作为用户的鉴别手段，并实现了对邮件的加密。

审计和告警

对网络事件进行审计，如果发现入侵行为将以发出邮件、声响等多种方式报警。为了加强自动化应用系统的安全水平，需要在系统与其它网络的接口之间设置一套防火墙设备。这样既能防止外来的访问者攻击系统，窃取或者篡改系统数据；同时也能防止内部数据未经允许流向外部网络。如图1所示，在公网通信中，除了自动化系统与其它应用系统的接口外，子站采集自终端的数据要发送到中心站，也要通过 Internet网络进行传输，这就给攻击者提供了一个侵入的端口。因此要在这两处均安装防火墙设备，来保证系统的安全运行。在专网通信中，由于整个通信网络是一个相对独立的网络，因此中心站了通信子站之间就不必加装防火墙了。

无线终端的安全防护手段

无论是哪种无线网络，都有若干数量的无线终端，它们是通信系统的最基本的组成结构，通过通信子站与中心站进行通信。因为无线终端的数据众多，也使它们往往成为系统安全漏洞所在。对于应用系统而言，保护系统信息安全与保护系统业务正常是同等重要的。保护系统信息安全首先必须保证信息访问的安全性，要让不该看到信息的人不能看到，不该操作信息的人不能操作。这方面，一是要依靠身份认证技术来给信息的访问加上一把锁，二是要通过适当的访问控制模型显式地准许或限制访问能力及范围。这就引出了两种信息安全技术：身份认证技术及访问控制技术。通过这两种技术手段，就能有效的解决以上的两个安全问题。对于自动化应用系统来说，系统内的终端用户只是采集电力用户数据并上传给服务器，并不存在越权访问系统信息的问题。因此采用身份认证技术就足以解决无线终端的信息保护问题了。

身份认证是指被认证对象向系统出示自己身份证明的过程，通常是获得系统服务所必须的第一道关卡。身份认证需要证实的是实体本身，而不是象消息认证那样证实其合法性、完整性。身份认证的过程一般会涉及到两方面的内容识别和验证。识别，就是要对系统中的每个合法注册的用户具有识别能力，要保证识别的有效性，必须保证任意两个不同的用户都不能具有相同的标识符。验证是指访问者声明自己的身份后，系统还必须对它声称的身份进行验证。标识符可以是非秘密的，而验证信息必须是秘密的。

身份认证系统有两方认证和三方认证两种形式两方认证系统由被认证对象和认证方组成，被认证对象出示证件，提出操作要求，认证方检验被认证对象所提供证件的合法性和有效性三方认证系统除了被认证对象和认证方外，还有一个仲裁者，由双方都信任的人充当仲裁和调节。建立一个身份认证系统的应满足的是：1）可识别率最大化：认证方正确识别合法被认证对象身份的概率最大化；2）可欺骗率最小化：攻击者伪装被认证对象欺骗认证方的成功率最小化；3）不可传递性：认证方不可以用被认证对象提供的信息来伪装被认证对象；4）计算有效性：实现身份认证所需的计算量要小；5）安全存储：实现身份认证所需的参数能够安全的存储；6）第三方可信赖性：在三方认证的系统中，第三方必须是双方都信任的人或组织或可信安全性身份认证系统所使用的算法的安全性是可证明和可信任的。

电力自动化系统内部使用身份认证技术，在每一个无线终端的实体上增加了一道安全防护，如图2 所示。在进行数据传输之前，验证对方是否是系统内的合法用户。可以防止入侵者伪装成内部用户，获取系统数据。

保护系统信息安全的常用方案-算法加密

除了以上的信息安全技术之外，算法加密技术是一种被普遍应用的安全技术。它在发送方将要发送的数据根据一定的算法进行加密，变成不可识别的密文；而在接收方通过对应的解密算法再将密文转化为明文。从而保证数据在传输过程中的保密性。

4 结论

该文研究了电力自动化无线通信系统中的信息安全问题。随着电力自动化无线通信技术的快速发展，对网络信息安全的要求也不断提高。无线通信技术有着其自身的特点，要求的安全解决方案也与其他不同。需要既保证无线信道的带宽，又要有效地提高系统的安全防护强度。

参考文献

[1] 孙毅，唐良瑞，杜丹。配电自动化中的通信网解决方案[J].燕山大学学报，2004，5（28）：423-426.

[2] 宋磊，罗其亮，罗毅，等。电力系统实时数据通信加密方案[J].电力系统自动化，2004，28（14）：76-81.

网站防护解决方案范文2

一、SQL注入漏洞致CSDN泄密

明文保护密码”是冤大头

当“密码门”事件爆发之后，“明文保护密码”被千夫所指。但其实不是“明文保护密码”的错。清华同方专家认为：本次事件最为重要的焦点问题是通过合法系统让黑客拿到非授权的数据如何解决，而非是否应当用密文进行数据存储。片面的强调明文或密文存储数据是对这次安全事故责任的推卸，本次事件的责任主要是网站运营方，完全没有控制住源代码开发的安全性，导致有漏洞的系统和网站对接，被黑客发现和攻击导致泄密事件的连锁爆炸。

SQL注入漏洞”致CSDN泄密

清华同方专家认为：从报道中提供的账号密码截图和已经获得的数据库密码表来看，可以断定是网站存在SQL注入漏洞，导致黑客可以很顺利的利用黑客工具进行攻击，从而获得数据库的访问权限以及有可能获得主机的控制权限，更有可能利用这种漏洞攻击关联的认证系统，如邮件、网银、电子货币等等。尽管与明文保护密码相关，但是CSDN泄密事件的根源还在于SQL注入漏洞。

SQL注入漏洞”事件频繁发生

其实，“SQL注入漏洞”事件在国内外频繁发生，显示了这类问题的普遍性和严重性。以下来看看最近几年来所发生的类似事件，让人触目惊心。

2009年赛门铁克网站被暴有SQL注入的安全漏洞。

2009年英国议会被黑。

2009年，xinnet旗下数万家虚拟主机用户被黑客挂马，传播了无法数计的木马。

2010年百度被黑后伊朗很多网站被攻破。

2010年我国工信部发表声明，我国每年万个网站被篡改，积极需要与社会企业合作。

2010年某房地产网站被同方检测出来有SQL注入的安全问题。

2011年某基金网站被同方检测出来有SQL注入的安全问题。

2011年CSDN600万账号密码被泄漏。

几乎每一个被攻击的主体都是响当当的企业或政府机构，“SQL注入漏洞”所产生危害性可见一斑。

二、解密SQL注入漏洞

由SQL注入漏洞导演了一场CSDN密码门事件，其破坏性和影响力之大，让人震惊。那么，何谓SQL注入漏洞呢？

据清华同方专家介绍：“SQL注入漏洞是已经盛行很久的黑客攻击行为，黑客通过网站程序源码中的漏洞进行SQL注入攻击，渗透获得数据库的访问权限，获得账号及密码只是其中最基础的一个内容。这种漏洞还会导致主机权限的丢失，关联认证系统的窃取等。”目前，SQL注入漏洞广泛存在于互联网和私有网络当中，主要的问题是程序员疏漏造成的结果。虽然目前有很多开发框架能约束程序员的开发行为，但开发者如果执意减少代码，还是很容易造成安全性问题的存在。

在先进的开发过程中，对源代码编译和以后，除了功能和性能测试外，CSO们应该通过权威的安全审计工具对网站系统进行安全性测试，检查是否存在SQL注入、跨站脚本和远程恶意程序执行的漏洞。如果存在漏洞，很多时候CSO是有权否决系统上线，防止安全事件的产生。不过这种黑盒审计费时费力，还容易遗漏，不但耽误业务系统上线，同时会引申出来。

但是，本次泄密事件中明确的发现CSDN的网站在上线系统是欠缺这种检测。其中账号密码一部分存在dearbook的字样，显然是对接系统的认证中心被攻破，这部分漏洞如果还不进行修复，即使用户更改密码，仍然会被黑客再次攻击获得用户密码。

人类使用密码的思维其实很简单和固定，大部分人会使用一种特殊规则的密码，这种密码很难猜测，但是黑客通过SQL注入的漏洞进行攻击时，却不受这些制约。黑客的这种攻击行为其实是利用了SQL注入的漏洞，获得数据库的访问权限。黑客通过这种权限，就像是开发者一样，向数据库提交查询语句，一步步的获得数据库中的用户账号及密码。

SQL注入漏洞攻击路线图

黑客们在攻击数据库时，有着一些必经的路线图，SQL注入漏洞攻击就好似在问数据库问题：

1、你的名字是什么？

2、你有什么表格？

3、表格中有什么列？

4、某列的第1行长度是多少？

5、第1位是不是a?b?c?d?……z?

6、第2位是不是a?b?c?d?……z?

7、第N位是不是a?b?c?d?……z?

8、如果拿到账号及密码则到公共网络进行密文的破解，如果是明文则直接使用。

9、登录认证系统，使用获取到的账号密码权限去申请资源或欺骗基于信息系统的信任成员。

下面这张图会看的更清晰一些：

本图中就是数据库的结构，其中简单攻击只要猜测数据库名、表名、列名、字段名就可以，一般程序员的开发都是见名知意的方式进行开发，由其具有通用性的程序。一般把数据库、表、列的名字起的比较有创新时会防御这种攻击。

但是，除了猜表外，数据库提供一种坐标查询的方法，以横坐标和纵坐标的方式查询。既：

0，1 0，2 0，3 0，4

1，1 1，2 1，3 1，4

2，1 2，2 2，3 2，4

3，1 3，2 3，3 3，4

4，1 4，2 4，3 4，4

黑客只要知道坐标位置，既可以从数据库中获得目标的数值。

通过以上程序，黑客们一步步抽丝剥茧地把一个个门槛给破解，直至将对方的数据库裸露在它的视线之下，毫无隐私可言。

三、阻击SQL注入漏洞——详述磐迅应用安全网关解决方案

其实针对SRL注入漏洞已经有很多解决方案进行阻击，以下就清华同方磐迅应用安全网关解决方案进行详细拆解。

磐迅应用安全网关针对防火墙和UTM的问题，实现透明串入在防火墙、UTM、负载均衡设备之后，或使用WCCP协议旁路在交换机同级，在内容过滤方面保护信息系统的访问安全。

由于和防火墙等设备连动可以有效的避免数据传输中七个层间的所有问题，同时在应用方面应用了先进技术架构，避免了UTM性能不足的尴尬。具体到SRL注入漏洞，磐迅应用安全网关主要有三种安全解决方案进行阻击，它们各有优缺点，对于厂商和政府来说可具体考虑用那种方案。

解决方案一：使用黑盒测试程序检测网站安全性问题，然后连同程序员一起分析修改源程序，重新编译再。

清华同方专家认为此方案最大的优点是发现问题并彻底解决问题。

但是同样有一些不足：例如费用和时间成本昂贵。不确定是否能发现所有问题、检测费时、修复费时、容易引起非授权的其他修改、容易改错、修复问题再检测还要重新检测功能和性能、跟不上业务升级需求的时间、发生问题时会影响业务的连续性。

对已经被攻陷的系统，如不及时中断服务可能会引起更严重的安全事件、可能在安全事件暴露前已经引发黑客攻击，潜在存留了各种其他层面的安全问题，如，增加隐藏帐号、增加了端口反弹器、重定向了操作系统权限、篡改了数据包信息、监听了内部消息等。

此外，在实际实施过程中也遇到一些问题：

程序研发人员的岗位变动和时间间隔，基本造成原有代码很难处理，重新开发又受限于业务逻辑要重新整理，没有完善的文档和研发管理者，很难修复系统。

解决方案二、在服务器上安装软件应用防火墙，访问服务分析协议中止SQL注入攻击。

清华同方专家认为此方案的特点是发现问题并非彻底解决问题，费用少、速度快能及时阻断黑客攻击。但它不能彻底的解决问题，只是建立了防御系统，问题本身还要结合第一种方案来修复。部署在服务器上的软件受到操作系统的安全性影响，同时受到拥有操作系统维护权限人员的影响风险比较高，受误操作、系统兼容性和软件兼容性影响较大，内存管理方面优先级和分配成为制约，处理性能较差，维护复杂。

在实际实施中遇到的问题是找不到针对该操作系统和服务器程序的专用程序，管理人员较多篡改了合理设置而难以追究，已经被攻击过的系统很难根除黑客进入的途径。

解决方案三、在防火墙后面串入或旁路应用安全网关，访问服务分析协议中止SQL注入攻击。

这套解决方案配置很简单，管理灵活，性能满意。

清华同方专家认为主要有以下的特点：

A、依据ISO17799标准和OWASP制定的防御注入模块，彻底发现问题并非彻底解决问题，速度快及时阻断黑客攻击，解决陷落系统的综合安全问题和可能存在的应用威胁，全面阻断黑客的攻击手段，防止维护程序和的人员篡改安全基线。

B、除SQL注入攻击外，还可以防网页篡改、防跨站脚本、防远程执行、防应用提权、防病毒恶意软件、防木马、防网马、防垃圾邮件、防钓鱼网站、防关键内容泄密。

C、基于通讯协议工作，支持电脑、手机、Windows、安卓、苹果，支持互联网、3G移动互联网、局域网和私有网络等的硬件、操作系统和网络的安全过滤。

D、针对协议进行内容审核，采集样本精确，检测比对详细，威胁指纹丰富并及时快速更新，历史数据加速，处理性能较高，维护简单，整体成本较低。

E、减少其他维护的难度，支持IP、MAC透明，支持分段IP地址策略分级，定制化策略，提供租用管理的可能。

F、产品软件和硬件结合的产品可最大优化计算能力。高效及时的解决上线系统和刚上线系统的保护，为CSO赢得上线时间，赢得问题修复时间。

这套解决方案的主要问题是一次性硬件投入较大，但可通过服务公司转化成租用服务，或与电信公司合作转化成租用服务。每年有服务续约费用。

四、SQL注入漏洞带来的警示

通过以上拆解可以看到，SQL注入攻击是找开通向数据库的钥匙。它给企业和政府带来了众多的警示，清华同方的专家认为主要有以下三方面：

1、网站和云计算服务商的安全急需依据标准构建

网站、云计算应当仔细的保护好自己的数据库系统，防止黑客从合法协议、端口和授权中获得非授权内容。国际上很早就对信息安全有了明确的安全标准，如著名的ISO17799、ISO27001以及OWASP等。在物联网、云计算、私有网行业盛行的今天，信息安全的问题尤为重要。如果由信息系统控制的生产系统受到黑客的攻击、破坏或篡改，会造成社会不安定不和谐的因素。并且很多攻击，从SQL注入入手，还会延伸到发生病毒、垃圾邮件、钓鱼网站和欺骗等等问题。

2、防火墙的无力

防火墙技术主要是解决开放端口，只对通讯协议是否可以使用起作用，而不去管理协议中的内容是否有杂质，就防堤坝一样，指定端口的数据通过时，是否存在泥沙并不进行处理。

SQL注入攻击的防御就像在合法端口中建立起来详细的安全审核制度，防止那些不规范的代码被黑客利用。这种防御就如同在堤坝通过的流量中加入了更细的过滤网，把威胁从中过滤。

本次“密码门”事件主要问题就出在服务器端，而非防火墙。

3、现有防御系统的问题

下图为目前企业基本的防御系统：

这样的安全方案只能防御下三层的数据安全以及传输过程中的加密，但如果在授权协议内进行SQL注入攻击，这样的系统则不能防御，无法保护数据库和应用服务器。因为SQL注入攻击后，马上可以通过合法端口穿越防火墙，控制内部系统。而在内部系统基本是非常脆弱的，而且对用户端的保护投入较高。

如果使用防火墙，首先没有办法防御SQL注入攻击，同时在内部安全方面投入巨大。要划分详细的VLAN以及详细的管理每一台服务器自身的防火墙系统。对服务器内使用的所有应用都要详细审核，以及建立内部详细的防毒系统等。

结语：但凡因漏洞而导致的问题，通常都伴随着对一些问题的疏忽，或者是技术的疏忽，或者是管理上的疏忽，简言之就是自己出问题了。因此，战略上藐视而战术上必须重视这些问题，否则正所谓防不胜防，而最致命、最难防的还是自己的疏忽。