網(wǎng)絡(luò)安全態(tài)勢分析

網(wǎng)站篡改事件近些年來越演越烈，其中包括政府、教育、金融、事業(yè)企業(yè)單位等。根據(jù)國家互聯(lián)網(wǎng)應(yīng)急響應(yīng)中心發(fā)布的《2015年中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全報告》中指出，“2015年CNCERT/CC工檢測到境內(nèi)被篡改的網(wǎng)站數(shù)量為24550個，其中境內(nèi)政府網(wǎng)站篡改數(shù)量為898個。”

網(wǎng)頁篡改按照攻擊手段來進行區(qū)分，可以分成顯式篡改和隱式篡改兩種。通過顯式網(wǎng)頁篡改，黑客可炫耀自己的技術(shù)技巧，或達到聲明自己主張的目的;隱式篡改一般是將被攻擊網(wǎng)站的網(wǎng)頁植入鏈接色情、詐騙等非法信息的暗鏈中，以幫助黑客牟取非法經(jīng)濟利益。黑客為了篡改網(wǎng)頁，一般需提前知曉網(wǎng)站的漏洞，提前在網(wǎng)頁中植入后門，并最終獲取網(wǎng)站的控制權(quán)。

網(wǎng)站代表著企業(yè)、金融、政府機構(gòu)、教育等行業(yè)在互聯(lián)網(wǎng)用戶中的形象，要是頁面被惡意篡改會造成嚴重的影響尤其是經(jīng)濟損失、名譽損失、政治風險等。所以如何有效快速的發(fā)現(xiàn)篡改事件，將篡改事件的惡劣影響縮至最小才是最最重要的事宜。

如何進行網(wǎng)站篡改檢測頁面篡改監(jiān)控有兩種模式處理：第一種處理模式，對于網(wǎng)站結(jié)構(gòu)或者屬性單一的用戶，提供基于防護的篡改監(jiān)控防護模式。用戶可以根據(jù)自己情況，從管理中心下載與其服務(wù)器相對應(yīng)的防篡改客戶端，安裝在自己服務(wù)器上，和管理中心互聯(lián)，完成”監(jiān)控-防護”的功能;

第二種處理模式，基于掃描的網(wǎng)頁篡改監(jiān)控服務(wù)。通過遠程實時監(jiān)測目標網(wǎng)站頁面的信息，包括網(wǎng)站的標題、文本內(nèi)容、圖片等元素進行關(guān)鍵字、敏感詞、暗鏈等項目來進行檢測判定，一旦發(fā)現(xiàn)頁面被篡改情況，第一時間通知用戶。用戶可根據(jù)烽火臺提供的安全建議及時修復(fù)被篡改頁面，避免篡改事件影響擴散，給自身帶來聲譽和法律風險。

頁面篡改監(jiān)控實踐：探測篡改最核心的關(guān)鍵是降低誤報率，要是誤報率太高的話會導(dǎo)致用戶頻頻被誤報短信和郵件騷擾。烽火臺通過如下幾個技術(shù)特點大大的降低了誤報率使得檢測能力有效的提升。

特點一，檢測敏感度

烽火臺會對頁面的整體代碼進行評估，通過配置選項可以設(shè)置頁面修改比例。這樣能夠有效的判定網(wǎng)站篡改事件，修改的比較靈敏后，會頻繁對網(wǎng)站進行更新檢測，缺點就是探測的靈敏了誤報率就響應(yīng)的增高一些。

頁面修改比例調(diào)整高一些，這樣靈敏度雖然降低了，但是彈出出來的篡改事件誤報率大大降低，因為代碼修改浮動很大。正常的網(wǎng)站更新不可能修改大批量的代碼。

特點二，篡改關(guān)鍵詞匹配

對于降低誤報率的另外一個手段則是用來檢測審核修改的內(nèi)容合規(guī)性，對網(wǎng)站更新的內(nèi)容進行關(guān)鍵詞及敏感詞的特征匹配，若是探測到了修改并還觸發(fā)了敏感詞基本能判定為頁面被篡改。

特點三，圖片文件檢測

篡改圖片也是烽火臺的一個亮點，通過掃描發(fā)現(xiàn)網(wǎng)站內(nèi)包含圖片信息，平臺會對該圖片進行md5效驗并做下記錄，當檢測到圖片文件發(fā)生變化后，平臺會對新的圖片進行md5效驗在和原md5進行匹配核對。

特點四，暗鏈檢測

隱式篡改一般是將被攻擊網(wǎng)站的網(wǎng)頁植入鏈接色情、詐騙等非法信息的暗鏈中，以幫助黑客牟取非法經(jīng)濟利益。烽火臺會對網(wǎng)站內(nèi)的鏈接進行探測抓取，平臺會主動訪問該鏈接來判斷是否是非法惡意鏈接，用來有效的區(qū)分友鏈和暗鏈。

特點五，敏感詞檢測

敏感詞檢測平臺也使用了兩種技術(shù)手段，一種是內(nèi)置了敏感詞庫對頁面的內(nèi)容信息機型敏感詞匹配檢測。另外一種是通過引擎進行百度hack檢測和谷歌hack檢測。這樣通過搜索引擎能夠更加完善靜態(tài)庫的不足。

如何用烽火臺來監(jiān)控網(wǎng)站?首先登陸烽火臺平臺，在任務(wù)中心—站點管理—新增

需要設(shè)置上網(wǎng)站的名稱、及監(jiān)控的域名地址、網(wǎng)站類別等信息

其次在任務(wù)管理—內(nèi)容監(jiān)控—新增，根據(jù)實際情況設(shè)置監(jiān)控信息。監(jiān)控頻率有每N分鐘、每N小時、每天、每周等，具體的頻率時間可以根據(jù)自己的實際情況自行設(shè)定。并且可以設(shè)置監(jiān)控的深度、掃描線程數(shù)、掃描最大頁面數(shù)等。

再次就是配置告警管理，設(shè)置好告警接受人和接收告警方式，有短信和郵件兩種告警模式。

這時候，一個網(wǎng)站的監(jiān)控項目創(chuàng)建成功。之后如果網(wǎng)站被重定向或者篡改成其他頁面，就可以接收到告警短信。

遠江盛邦對于網(wǎng)站篡改監(jiān)控多次參與國家級安全保障網(wǎng)站安全是安全的重點領(lǐng)域，而篡改監(jiān)控則是重點中的重點。篡改往往有其經(jīng)濟和整治目的，他不像數(shù)據(jù)盜竊，成功失敗都是發(fā)生在攻擊的同時，而篡改攻擊，不僅要技術(shù)上成功還要被盡量多的人訪問才算成功，因此只要能在足夠短的時間內(nèi)發(fā)現(xiàn)篡改，并進行修正，就可以認為是對篡改攻擊的成功防御!