本站原创本文是一篇数据库论文范文,关于数据库相关本科论文开题报告,关于对外网站的安全设计相关硕士学位毕业论文范文。适合数据库及网络安全及工程师方面的的大学硕士和本科毕业论文以及数据库相关开题报告范文和职称论文写作参考文献资料下载。
【摘 要】如今网络已经成为我们日常生活中重要的组成部分,而且随着网络的迅猛发展,人们越来越离不开网络.但是由于网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性,决定了网络安全威胁的客观存在.如何防范网络风险已经成为一个我们必须要面对和解决的问题.本文将通过建设一个对外网站的实践,探索如何进行网站安全设计.
【关 键 词】防火墙；入侵检测系统；应用防火墙；流量清洗设备；网页防篡改软件
SecurityDesignofAWebsite
ZengXiao-bin
（ZhaoqingPowerSupplyBureau,GuangdongPowerGridCompanyGuangdongZhaoqing526060）
【Abstract】NowadaysInterhasplayedanimportantpartofourdailylife.AndasIntergrowsrapidly,peoplemoreandmorerelyonInter.Butsecuritythreatsalwaysexist,becausetheInterenvironmentisplicate,variedandtheinformationsystemsarefragile,openedandvulnerable.HowtoguardagainstInterthreatshasbeeanissuewhichneedstobefacedandsolved.Throughtheexperienceofbuildingawebsite,thisarticlewillexplorehowtoproceedwebsitesecuritydesign.
【Keywords】firewall；intrusiondetectionsystems；webapplicationfirewall；defensepro；websiteanti-distortsystem
1引言
根据调研公司ForresterResearch发布的调研报告,2013年全球网民数量达到22亿,其中17%来自中国.中国已经成为上网人数最多的国家.网络已经成为我们生活离不开的工具,经济、文化、军事和社会活动都强烈地依赖于网络.网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性,决定了网络安全威胁的客观存在.人们在享受到各种生活便利和沟通便捷的同时,网络安全问题也日渐突出、形势日益严峻.
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不受偶然的因素或者恶意的攻击而遭到破坏、更改、泄露,确保系统能连续、可靠、正常地运行,网络服务不中断.凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域.
本文是从一个实际的应用出发,对现有的网络安全设备进行比较分析,充分利用设备特性搭建安全稳定的网络环境,同时在软件设计上加强安全控制,希望能为大家提供有益的经验借鉴.
2现有安全设备的特点及不足
目前市面上的安全设备种类不少,它们各有所长能有效防御某一类型的病毒,但都无法做到面面俱到.
防火墙（Firewall）：防火墙是部署在网络边界的安全设备,它能够抵御一部分网络攻击,如端口扫描、恶意代码、IP欺骗等.但防火墙只是网络层设备,它不能够抵御应用层的各种攻击.
入侵检测系统IDS（IntrusionDetectionSystems）：入侵检测是对入侵行为的发觉.它通过从计算机网络或计算机系统的关键点收集信息并进行分析,从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象.如果发现系统正遭受网络攻击,IDS会发出警告.通过更新特征库,入侵检测设备可以有效发现入侵行为,但不足之处在于IDS是一种事后告警.
应用防火墙WAF（WebApplicationFirewall）：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品.
流量清洗设备DP（DefensePro）：流量清洗工具,通过设定阀值和设备的自我学习,抵御分布式拒绝服务攻击（DDOS）攻击.
网页防篡改软件：通过水印比对技术确保目标文件与备份文件完全一致,达到防止网页被恶意篡改的目的.
3系统建设目标
本文将通过构建一个对外网站,探讨网站安全防护在实践中应该注意的问题.系统的设计目标：要建设一个对外提供新闻资讯、停电计划查询、电费查询、网上缴费、搜索等服务的网站.在系统设计之初,为了确保系统的安全稳定运行,我们专门进行了系统的安全设计,主要从两个方面着手：一方面是网络拓扑的安全；另一方面是软件架构的安全.
4系统网络拓扑的安全设计
为了保护系统免受来自网络的攻击,利用我们现有的设备搭建了相对稳健及安全的网络架构,如图1所示.首先为了保证核心数据的安全,我们将数据库服务器和应用服务器放在IDC区,而将页面服务器放在接入区.这样做的好处是即便网页遭到外界入侵也不会影响到数据库及应用,而页面也可以通过其他手段很快恢复.
如图1所示,外部用户发起访问请求,首先经过城域网,在城域网与接入区的边界有防火墙进行端口控制,抵御端口扫描等网络层攻击.由于单纯的防火墙不具备应用层的防护能力,于是在防火墙的背后我们设置了第二道防线——应用防火墙.应用防火墙可以抵御来自应用层的攻击,如SQL注入、恶意代码、蠕虫病毒、会话劫持等.为了预防网站遭受,最后所有的访问请求经过DP设备进行流量清洗,才能抵达Web服务器进行网页访问.
Web服务器部署了Weblogic服务,用于发布的是一些静态的页面.如果用户使用网页上的功能产生数据交互——例如查询电费,需要链接营销系统数据库.首先数据交互请求由Web服务器发起,同样经过城域网来到IDC与城域网的边界防火墙进行第一道防线.然后所有数据请求都会被复制经过第二道防线——入侵检测系统（IDS）.接着经过应用防火墙,才抵达系统应用服务器,通过系统间接口进行数据交互.
通过各种安全设备的应用,能有效抵御各种安全威胁,保证系统安全稳定运行.
5系统软件安全设计
5.1采用网站静态化技术
系统设计要尽量避免网页篡改、SQL注入等入侵攻击,所以系统使用的是网站静态化的设计.由IDC内部的应用服务器生成静态页面,同步到接入区的Web服务器,用户浏览网页只访问静态网页的内容.
目前网站的HTML静态化是利用动态技术生成HTML静态页面,生成HTML静态网页是有好处的.静态网页中没有调用数据库链接的代码,所以运行速度较快,页面的响应速度也大幅提高.采用静态网页可以令网站更安全,因为网页不直接访问数据库,可以防止SQL注入.另外即使数据库出错也不会影响网站正常访问.
5.2部署网页防篡改软件
由于网站是以静态网页的形式发布的,因此保护所发布的文件不被恶意更改显得尤为重要.网页防篡改软件就能很好发挥作用,通过在防篡改务器上面保存网站服务器的全部内容备份.网站内容管理系统需要将网站的变更内容传输到防篡改务器中的监控目录上,由防篡改务器,自动把文件传到Web服务器上相应的发布目录上去.在这些自动上传过程中,文件都经过水印值的计算,并在Web服务器上安装防篡改模块,在访问时通过水印对比技术,确保网页的完整性和准确性,如图2所示.
部署完网页防篡改系统之后,网站应用中的文件是被防篡改软件保护着的,所以任何方式直接修改、变更Web服务器中的文件是徒劳的（会被系统自动恢复）.合法的网站文件变更都需要通过防篡改务器来完成,即将需要更新的文件直接放到防篡改务器的监控目录中,由防篡改软件计算各文件水印,并自动同步到Web服务器.
6结束语
通过建设一个对外网站的实践,对现有的各种安全设备组合运用,构建了一个安全的网络环境.同时检验了各种设备的性能及它们组网后协同工作的效果.网站在软件设计开发阶段,采用了动态生成HTML静态页面技术,极大地提高了响应速度及安全性.这些得益于系统良好的安全设计,网站自2013年10月上线以来,一直安全稳定运行.