信息系统项目管理师教程第3版：应用系统安全

5．应用系统安全

互联网环境下，应用系统主要的应用模式是B/S或者C/S，基本都是基于TCP/IP网络协议和数据库系统的，因此应用系统安全是以计算机设备安全、网络安全和数据库安全为基础的。同时，采取有效的防病毒、防篡改和版本检查审计，确保应用系统自身执行程序和配置文件的合法性、完整性是极其重要的安全保证措施。

在B／S应用模式下，应用系统的数据管理、业务处理逻辑、结果展现控制、并发处理等都是由服务器端完成的，而服务器端面向应用的主要服务基本是基于Web的，因此围绕Web的安全管理是应用系统安全最重要的内容之一。

基于Web的业务平台已经在电子商务、企业信息化中得到广泛应用，网络攻击者已经逐渐将关注点从传统网络服务器逐步转移到了对Web业务，他们利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，带来严重的安全事故。当前Web面临的主要威胁包括：可信任站点的漏洞；浏览器和浏览器插件的漏洞；终端用户的安全策略不健全：携带恶意软件的移动存储设备；网络钓鱼；僵尸网络；带有键盘记录程序的木马等。

Web威胁防护技术主要包括：

1) Web访问控制技术

访间控制是Web站点安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法访问者访问。访问Web站点要进行用户名、用户口令的识别与验证、用户账号的缺省限制检查。只要其中任何一关未过，该用户便不能进入某站点进行访问。

Web服务器一般提供了：通过IP地址、子网或域名；通过用户名／口令：通过公钥加密体系PKI（CA认证）等访问控制方法。

2)单点登录( Single Sign-On，SSO)技术

单点登录为应用系统提供集中统一的身份认证，实现“一点登录、多点访问”。单点登录系统采用基于数字证书的加密和数字签名技术，基于统一的策略的用户身份认证和授权控制功能，对用户实行集中统一的管理和身份认证。

3)网页防篡改技术

网页防篡改技术包括时间轮询技术、核心内嵌技术、事件触发技术、文件过滤驱动技术等。

时间轮询技术利用网页检测程序，以轮询方式读出要监控的网页，与真实网页相比较，来判断网页内容的完整性，对于被篡改的网页进行报警和恢复。但是由于目前网站页面通常数量庞大，检测轮巡时间很长，且占用系统资源较大，该技术逐渐被淘汰。

所谓核心内嵌技术即密码水印技术。该技术将篡改检测模块内嵌在Web服务器软件里，它在每一个网员流出时都进行完整性检查，对于篡改网页进行实时访问阻断，并予以报警和恢复。

所谓事件触发技术就是利用操作系统的文件系统或驱动程序接口，在网页文件的被修改时进行合法性检查，对于非法操作进行报警和恢复。

文件过滤驱动技术的原理是：将篡改监测的核心程序通过文件底层驱动技术应用到Web服务器中，通过事件触发方式进行自动监测，对文件夹的所有文件内容，对照其底层文件属性，经过内置散列快速算法，实时进行监测，若发现属性变更，则将备份路径文件夹内容复制到监测文件夹相应文件位置，使得公众无法看到被篡改页面。通过底层文件驱动技术，整个文件复制过程毫秒级，其所消耗的内存和CPU占用率也远远低于其他防篡改技术，是一种简单、高效、安全性又极高的一种防篡改技术。

4) Web内容安全

内容安全管理分为电子邮件过滤、网页过滤、反间谍软件三项技术，这三项技术不仅对内容安全市场发展起到决定性推动作用，而且对于互联网的安全起到至关重要的保障作用。