政府網站安全拷問互聯網產業(yè)現狀

　　案例一

　　漢中日報官方網站被黑客篡改

　　表面上看起來毫無問題，但是通過搜索蜘蛛、機器人模擬工具可以發(fā)現網頁的標題、關鍵詞、描述被篡改成如下非法內容

　　以上網頁被篡改的基本手段筆者可以斷定是通過服務器文件被注入實現的。基本原理是對搜索引擎蜘蛛和正常訪問來源進行判斷，若訪問者是蜘蛛就輸出非法內容，正常用戶不受影響。

　　有此可以看出該網站安全方面的脆弱，兩周前筆者試圖聯系該網站的主辦方告知其問題，但苦于無法通過正常渠道告知，最后將問題提交至該網站開發(fā)方陜西錦華科技，卻被該公司客服人員敷衍。

　　案例二

　　南鄭縣人民政府門戶網站被黑客篡改

　　筆者通過google搜索漢中市南鄭縣政府網站時發(fā)現google提示該網站可能遭到了攻擊，隨即筆者通過搜索蜘蛛、機器人模擬工具檢測發(fā)現該網站被入侵的手段同漢中日報官方網站如出一轍。

　　由以上兩個案例可以看出，目前新形勢下的政府網絡安全，幾個主要的攻擊趨勢將對Web應用安全產生重要影響。

　　1、攻擊者攻擊手段的隱蔽性：根據McAfee Avert Labs的最新報告“Top 10 Threat Predictions for 2008”，網絡罪犯已經逐漸意識到攻擊一些頂級網站的高風險性和高成本。他們將會選取一些知名、響應不夠及時的網站，作為第一攻擊目標。而后利用從第一 攻擊目標上獲得的信息再去訪問最終的攻擊目標，如政府門戶網站等。這樣攻擊將具備更強的隱蔽性，造成防范極大的困難。

　　2、攻擊者逐漸從網絡層攻擊轉向應用層滲透和攻擊，未來應用層將是攻擊防護的主戰(zhàn)場，對Web應用防護必將提出更為嚴峻的挑戰(zhàn)。現階段的網站安全解決方案無一例外的把重點放在網絡安全層面，致使面臨應用層攻擊(如：針對WEB應用的SQL注入攻擊、跨站腳本攻擊等)發(fā)生時，傳統的網絡防火墻、IDS/IPS等安全產品對此類攻擊的防御幾乎不起作用。

　　3、攻擊者的動機從個人愛好或是揚名到追求經濟獲利的重大轉變。黑色產業(yè)鏈的形成與逐漸壯大已經成為網絡安全必須面對的問題，根據Symantec最新互聯網安全威脅調研表明，這種趨勢在不斷升級。如：部分政府網站提供成績查詢、資格證書編號驗證等便民服務，部分不法分子為實現非法目的，不惜高價雇傭黑客修改、添加、刪除私人信息，使得此類政府網站易于成為黑客攻擊的對象。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]