网页防篡改项目总体建设方案黑龙江海康软件工程有限公司2011年11月目录一、项目实施方案 (3)1.1项目信息 (3)1.1.1建设单位 (3)1.1.2承建单位 (3)1.2技术路线 (3)1.2.1技术指标 (5)1.2.2保护内容 (6)1.2.3防护功能 (7)1.3部署设计 (7)1.3.1部署拓扑 (8)1.3.2程序安装步骤 (8)1.4系统影响 (9)1.5配合事项 (10)1.6安装测试 (10)1.7故障排除及回退 (11)1.7.1网页无法正常访问 (11)1.7.2影响应用系统工作 (11)1.8环境工具材料准备 (12)1.9项目施工进度计划 (12)3.10 项目人员安排情况 (13)二、功能特性 (14)2.1系统架构 (16)2.1.1组件功能模块 (17)2.2技术特性 (18)2.2.1操作系统文件驱动层防篡改技术 (18)2.2.2 Web站点安全运行保障 (19)2.2.3部署结构灵活 (19)2.2.4实时自动增量发布更新 (19)2.2.4多种日志告警方式 (19)2.2.5操作管理安全、方便 (20)2.2.6网站动态自适应攻击防护 (20)2.3技术实现 (20)2.3.1文件防护实现原理 (21)2.3.2动态防护实现原理 (22)2.3.3连续篡改攻击防护实现 (23)2.3.4网站访问保障 (23)2.3.5自动增量发布更新实现 (24)2.3.6日志告警实现 (25)一、项目实施方案1.1项目信息黑龙江信息港需重点防护的服务器共27台，分两个机房,其中二枢纽IDC 机房承载25台，湘江路IDC承载2台.1.1.1建设单位中国联合网络通信公司黑龙江省分公司1.1.2承建单位黑龙江海康软件工程有限公司1.2技术路线本次项目采用网页防篡改软件的形式针对网站系统进行安全防护建设，网页防篡改系统的功能框架在逻辑上定义为下图框架。

SQL注入跨站攻击非法上传WEB Shell……各种攻击网页篡改防护利用OS 漏洞攻击图 网页防篡改系统功能框架示意图其中各个模块的实现的主要功能如下：（1）检测模块检测模块主要功能是发现正在进行的网页篡改攻击、越权获取信息企图或者已经成功的网页篡改攻击。

网页防篡改系统应用文件保护技术检测正在进行的针对静态网页或者动态网页脚本文件的篡改攻击，应用文件保护技术及会话分析技术检测已经成功的针对静态网页或者动态网页文件的篡改攻击；应用会话分析技术检测正在进行的针对动态网页数据的篡改攻击或者越权获取信息企图。

（2）防护模块防护模块对检测到的正在进行的网页篡改攻击、越权获取信息企图进行阻断。

（3）自我保护模块自我保护模块保障网页防篡改系统的安全，避免未经授权的卸载、关停等。

1.2.1技术指标网页防篡改系统总体指标包括运行环境、用户接口界面、协议指标、功能指标、管理指标、安全性指标等方面：●运行环境网页防篡改系统的服务器端能够运行主流的商用平台上，如支持主要的服务器平台及操作系统，如HP-Unix、IBM AIX、Sun Solaris、Windows、Linux 等，可以采用主流数据库存储相关数据如SQL Server、Oracle、Sybase、Informix、DB2。

●可防护各类WEB应用支持各类WEB服务器，例如IIS、WebLogic、WebSphere、Apache、Tomcat等；支持各类WEB服务器中安装的主流数据库，包括SQL Server、Oracle、Sybase、Informix、DB2、MySQL等；支持各类WEB系统所部署的服务器操作系统及其版本。

●用户接口界面网页防篡改系统界面友好，易于安装、配置和管理，具有图形化简体中文界面，各类技术文档均具有简体中文版。

●功能指标网页防篡改系统能够针对篡改网页的主要攻击手段提供有效检测和防护，针对网页内容的完整性进行实时监控，在网页遭到篡改后具备阻断或对网页内容进行及时恢复等功能。

●管理指标网页防篡改系统具备完整的帐号、认证、权限管理、审计功能，支持图形化管理界面，支持系统组件的运行状态监控。

●性能指标网页防篡改系统能够及时监控网页的非法篡改并能够及时进行响应。

网页防篡改系统运行时不影响正常的用户访问，对WEB服务器资源占用较小，不对WEB服务器性能产生明显影响。

●安全性与可靠性指标网页防篡改系统须保证自身安全性。

网页防篡改系统须具备较高可靠性，支持冗余部署。

●接口开放性网页防篡改系统应用的各项技术应保证具有开放性、可扩展性，系统软件和硬件须提供开放的应用接口，能够与其他应用系统进行互通。

网页防篡改系统管理和组件间通信基于标准协议，便于系统的管理、集成和扩展。

1.2.2保护内容网页防篡改系统对用户可访问的网页内容进行保护，确保网页不能被篡改或者在篡改后进行及时恢复，确保用户访问不到篡改后的网页，确保攻击者无法越权获取网页信息。

用户可访问的网页内容指用户可以从互联网公开访问的合法资源，包括静态网页显示的内容、动态网页或数据库等生成的内容。

网页防篡改系统保障用户从互联网访问的网页内容的完整性，确保用户访问内容的合法性、保密性。

在网页被篡改的情况下，网页防篡改系统也必须能够保证用户访问不到被篡改的网页。

网页防篡改系统对用户可访问内容进行保护，包括但不限于下列内容：➢静态网页➢动态网页➢声音➢视频➢图片➢允许从互联网访问的其他资源➢WEB应用中的用户信息1.2.3防护功能网页防篡改系统能够检测和防护来自Internet以及Intranet的各种形式的网页篡改、挂马、越权获取信息等攻击方式：（1）利用WEB Shell等进行的文件篡改（2）SQL注入（3）跨站攻击（4）网页挂马（5）非法上传（6）利用操作系统漏洞进行的网页篡改的攻击等1.3部署设计本次项目对黑龙江联通网站部署网页防篡改系统，在现网的基础上使用一台管理中心服务器实现集中管理、监测，并在网站WEB服务器上通过部署相应的监控客户端实现防篡改和动态防护功能。

1.3.1部署拓扑根据项目需求调研，网页防篡改系统在黑龙江联通平台部署拓扑如下：二枢纽1DC 25台服务器（部署UnisGuard 防篡改系统监控端）湘江路1DC 2台服务器（部署UnisGuard 防篡改系统监控端）图 系统部署示意图部署防篡改系统需在黑龙江联通网站部署在二枢纽IDC 机房中的25台系统服务器上安装监控客户端，另外需要一台windows 服务器安装管理中心,要实现监控端及与管理中心间的通信，进行日志及策略等内容的传输。

在湘江路IDC 机房的两台服务器中,需要安装2个监控端,可以单独管理中心,也可以把管理中心安装在其中一台WEB 服务中.登录管理中心需要使用控制台模块，该模块可安装在管理人员办公主机上，或者移动电脑上,可根据权限进行策略管理。

1.3.2程序安装步骤（1）在Web 服务器上安装IGuard 监控端（IGuard Monitor Client ），并针对网站情况设定监控保护路径及排除路径。

IGuard监控端主要用来监控Web网页文件，保证网页文件不被篡改。

建立网站备份路径，用来对网站系统做发布更新。

或者在备份策略中添加针对发布系统的发行，使得原有的发布更新流程不需进行变更。

（IGuard防篡改策略下发后，系统的网站原始路径被保护，无法直接在原始网站路径进行网站更新，所有发布更新都必须在备份端完成。

）（2）在管理中心服务器安装IGuard管理中心（IGuard Server），管理中心用来管理各客户端，对各客户端下发监控策略，收集各客户端日志信息。

（3）在工作人员管理主机上安装管理控制台（IGuard Console），用来登录管理中心，进行策略调整，查阅日志等操作。

注：防火墙需要开放对应TCP通信端口。

1.4系统影响（1）安装IGuard对服务器现状的影响安装IGuard不会影响网站的正常运行，不需要断开网络，不需要重启服务器，不会对服务器的运行现状产生不良影响。

（2）安装完成后系统资源占用情况IGuard网页防篡改系统是基于系统底层来做的，采用事件触发机制，占用系统资源很少，一般正常运行占用系统资源的2%左右。

（3）网页发布方式的相应调整部署完网页防篡改后，由于网站原始路径受到保护，默认不能再对该路径进行修改，必须通过备份路径来进行发布更新，备份路径可选择安装在本机其他路径或额外的备份服务器。

然后将现有发布系统的发布路径路径改为备份路径。

这样，以后网站发布需要首先将网站发布到备份路径，再由网页防篡改系统把新发布的文件由备份路径实时同步到相应的Web服务器的原始路径。

当然，也可根据管理方式的不同灵活设定防护策略，可以针对FTP或特定发布系统进行放行，使原发布流程不做任何变更。

或者在发布更新时暂停保护，更新完成再开启保护等。

1.5配合事项（1）确认网页防篡改所需的管理中心部署服务器；（2）安装时网站系统管理人员到场，并提供需要防护的网站路径和相应服务器的root用户口令；（3）协调网站发布人员，调整网页防篡改发布方式，把原有网站发布路径指向备份路径；（4）部署完成后做发布测试，检测网站能否正常发布；（5）用户访问网站测试，确认网站能够正常提供服务，所有功能正常；（6）打开管理中心服务器的管理端口；（7）打开Web服务器的数据传输端口；1.6安装测试防篡改系统实施完成后可按照如下步骤进行简单测试：（1）检查网站服务器主机是否运行正常。

（2）使用网站链接是否可以正常访问网站。

（3）对网站进行发布更新操作，检测网站是否正常显示更新。

（4）检查防篡改系统控制台（console）是否可以登录管理中心进行相关配置操作，策略下发是否成功，是否有日志显示。

1.7故障排除及回退1.7.1网页无法正常访问（1）防篡改策略下发后，被保护的网站目录为只读权限，有部分网站应用在外部用户访问时会在保护目录的某个子目录下面产生一些临时文件，设定防篡改策略后，临时文件无法生成，导致网页访问失败。

解决方案：网页防篡改系统有设置许可的功能，可以把在外部访问时会产生临时文件的目录放在防篡改系统的配置项里面，把它设为许可，该目录将具有可写权限，保证网站能够正常访问。

（2）防篡改策略下发后，网站目录不可写，网站更新只能在备份端进行，直接在网站目录做网站更新将无法更新，导致发布的更新页面不能访问。

解决方案：网页防篡改对网站目录进行保护，被保护的网站目录将不可写，只能通过备份目录来更新网站，需要在网站原始路径与实际发布系统之间增加一个备份路径，在该备份路径上做网站更新，防篡改系统能够把更新的内容实时增量同步到网站原始路径，实现正常的发布更新流程。

1.7.2影响应用系统工作IGuard网页防篡改系统工作在系统层，一般不会对Web应用造成影响，如果Web应用出现问题，要在防篡改系统上查找原因，可立即停止防篡改系统保护策略，并联系技术支持人员进行排查。