给网站做“体检”

  Web漏洞、网页木马，如今的网站安全问题防不胜防，定期给网站做“体检”显得尤未必要。

  最近几天，某制造企业自设的B2B网站突然接到大量用户的投诉，说是只要登陆网站，就会遭到木马攻击。该企业经理半信半疑地自己登陆尝试，果然也遭到了木马攻击，于是愤怒地把网管员叫了过来，质问为什么好好的网站却有木马存在呢？

  这时，该网管员是哑巴吃黄连，有苦说不出，因为他也不知道木马是什么时候，被谁挂上去的。在专业人士眼中，这其实是典型的网页挂马现象。

  网站入侵层出不穷

  具不完全统计，这几年国内网站被入侵导致网页被篡改现象成倍增长，仅2007年仅网页篡改已经是2004年的30倍，达到61228起。

  2007年3月30日，东方卫士网站网页挂马；2007年8月11日，海尔官方网站网页挂马；2007年10月25日，木蚂蚁绿色软件园网页挂马。

  也就是说，像开头那家企业遭受到的问题并非个案。很多网站被黑客所利用进行网页挂马，导致浏览网页的用户自动被种植木马。可以说，经常上网的人几乎都遭遇过类似的“毒招”，轻则使系统异常，成为黑客们的傀儡终端，重则导致个人敏感数据被盗。

  对于网站而言，为什么网页挂马、Web漏洞攻击总是层出不穷，原因其实主要来自两方面。

  最普遍的原因是大多数网站设计，只考虑正常拥护的稳定使用，而很少考虑网站应用开发过程中所存在的漏洞。这些漏洞在不关注安全代码设计的人员眼中几乎不可见，但在黑客对漏洞敏锐的发觉和充分利益的驱动下，就很容易被挖掘出来。

  其次，很多网站防御措施过于落后，甚至没有真正的防御。因为大多数防御系统是基于特征识别的入侵防御技术或内容过滤技术，对于保护网站抵御黑客攻击的效果并不明显。

  主动“体检”

  在传统的网站安全防护方法中，通常会采用网络防火墙、入侵检测(IDS)、防病毒等系统，防火墙用来过滤部分网络层以及端口类攻击探测，入侵检测可以监测到网站的外部安全实时威胁，防病毒可以防止一些恶意代码及病毒攻击。

  然而，对于网页挂马和Web漏洞攻击而言，网站的传统防护仍然显得有些无力。从大量被黑站点的统计分析来看，70%以上都已经部署了防火墙或者在托管IDC已经进行了相关部署，25%以上部署了IDS系统，80%都部署了防病毒系统。

  对于这些无可奈何的安全困扰，安全专家给出了两条可行的建议，一是强化网站安全防护，尤其是针对SQL注入等针对网站入侵的防护需要加强；二是引入网站检测机制，定期检查网站存在的安全漏洞，同时也能在黑客实施网页挂马后及时准确的发现问题，从而把损失降到最低。

  而在启明星辰公司的工程师冫工峰看来，若从主动地网站安全检查机制入手，事先发现Web漏洞以及网页木马，并及时采取措施，就可以降低网站的安全风险，减少损失。为此，启明星辰提出“网站安全体检”的概念，推出了安星远程网站安全检查服务。

  具体而言，就是通过专业的安全服务团队，在不对网站本身做任何改变的情况下，以远程的方式定期对用户网站进行网页木马以及Web应用程序漏洞检查，并提供标准的“网站安全体检”报告，并及时给出修复和防护建议。

  应该说，这种安全防护方式就相当于IT外包一样，网站本身既不用自己添置检测工具，也不用增加专业维护人员，只需通过远程检测的方式，让安全问题打包解决，不失为一个既省时又省力的办法。