电子政务网站安全问题及防护探究

0 引言

电子政务网站是服务人民的重要窗口，也是政府走近群众、群众近进政府的重要平台，确保电子政务网站的运行安全，是网站实现服务功能的重要保障。当前，电子政务网站受到网络攻击的新闻时有发生，其主要的安全问题主要有DDoS攻击、SQL注入攻击和 XSS攻击，这些攻击的发生，对网站的安全稳定形成了较大威胁。在Goog1e和Baidu中使用“政府 网站 被黑”词条搜索，分别有717，000和394，000条查询结果。在汶川地震发生后的短时间内，陕西和广西地震局的信息发布门户网站连续被黑，极大影响了普通民众获取重要信息的便捷性。因此，在开放的互联网环境之下，电子政务网站的安全构建，应逐步建立起完善的安全体系架构，并依托加固技术、安全检测技术等，全方位营造良好的内外环境，确保电子政务网站安全稳定运行。

1 电子政务网站安全问题

1.1 分布式拒绝服务攻击（DDoS）

当前，黑客攻击日益频繁，攻击手段防不胜防，而DDoS攻击就是难以防范的黑客攻击手段。DDoS的攻击方式多样，但最为常见，也是最基本的DDoS攻击，就是通过“合理”的服务请求，实现对服务资源的过多占用，如服务器连接资源、数据库连接资源文件系统容量、网络宽带等资源的过多占用，直接导致服务处于“超载”状态，对于其他的服务请求不能及时响应，甚至是无法响应。因此，影响服务资源，导致资源匮乏是DDoS攻击的显著特点。一旦造成DDoS攻击，即使网速足够快、内存容量足够大、处理速度足够快，都会产生 “超载”、“无法响应”等问题。

1.2 SQL 注入攻击

注入攻击包括SQL、命令、LDAP、XPath、XSLT等类型。当用户提供的数据被当作命令或者查询的一部分提供给解析器执行时，即可能发生注入攻击。攻击者提供特定加工的数据欺骗解析器执行非预期的命令。在注入攻击中，SQL 注入攻击最常见。SQL注入是指，将SQL命令插入至Web表单的输入域的查询字符串，进而欺骗服务器执行恶意的SQL命令。SQL注入攻击可以使得攻击者使用应用程序实现登录，进而在数据库中执行“命令”，造成网络信息安全问题。特别是对于应用程序为“特权很高”的账户，其所造成的安全问题更加严重。

1.3 跨站点脚本攻击（XSS）

XSS是指攻击者利用电子政务网站漏洞，从登录用户端恶意盗取相关的信息，进而造成网络信息安全问题。用户在网站的浏览、电子邮件的阅览等操作中，都会对 XSS的相关链接进行点击，而相关链接中存在恶意代码，可对用户的相关信息进行盗取。攻击者为了“掩人耳目”，往往会采用十六进制编码链接。电子政务网站在接收到包含恶意代码的页面请求之后，由于页面与合法页面一样，进而成功对网站形成攻击。当前，诸多的论坛程序对包含javascript、HTML的帖子未进行拦截，这也就使得一些用户浏览包含恶意脚本的帖子之后，就有可能出现session信息被盗取。

2 电子政务网站的安全构建策略

2.1 网站安全架构

电子政务网站的安全体系构建，关键在于建立完备的安全体系架构，实现全方位多层次的深度应用安全防御。因此，对于DDoS攻击、SQL注入攻击和XSS攻击，应构建如图1所示的网站安全架构。在安全体系架构中，安全技术支撑平台是网站安全的重要基础，特别是应用层，是网站安全的前提，强调电子政务网站建立时，需要建立完善的安全管理体系、应急恢复机制，为全方位的安全保驾护航，也为了避免因应用层受损而导致网站安全问题的发生。此外，逐步建立健全网络安全监督管理机制，并通过激励制度的建立，提高网站安全管理人员的安全应急能力，明确管理人员与相关工作人员的职责。在应急恢复机制的建立中，强调“防范为主、及时根除”的原则，全方位加固网站的运行安全环境。

图1 电子政务网站安全架构图

2.2 网站加固技术

网站加固技术是当前网站安全构建的重要手段，也是有效防止黑客等攻击的有效措施，对提高电子政务网站的安全运行，营造了良好的内外环境。

2.2.1 高性能网络设备的应用

在网络安全构建中，网络设备的购置是必要的，特别是在选购WEB应用防火墙、交换机和路由器等网络设备时，应选择信誉好、质量好、专业的企业产品。与网络设备供应商建立良好的合作关系，面对诸如DDoS的一些攻击，可以请求供应商在网络接点处进行相应的限流处理，实现对若干DDoS攻击的有效防御。

2.2.2 增强操作系统的防护性能

当前，Windows Server2008、2012服务操作系统，其本身对攻击具备一定的防御能力。但是，服务操作系统处于“默认”状态时，这一功能处于“关闭”状态。那么，需要人工进行开启，这样话，可以实现对SYN攻击包的有效抵挡。因此，在实际的安全构建中，应注重操作系统防御性能的增加，提高应对外界恶意攻击的性能。

3 网站安全监测技术

电子政务网站的安全构建，离不开网络监测技术的保驾护航。安全监测技术的应用，可以对网站攻击及时发现，并及时采取应对措施。从实际来看，当前的网站安全监测技术主要有网站远程监测、应用环境与操作系统预警等，在很大程度上为电子政务网站的安全运行，营造了良好的运行环境。那么，具体而言，主要在于：

3.1 网站远程检测

网站远程检测技术，是在传统监测技术的基础上发展而来，其在网站安全构建中，主要表现出以下显著特点：（1）远程网站监测技术，其在标准化建设上，更加注重高标准；（2）能够对Web漏洞实现快速且全方面的监测，并且其多种安全工具的采用，数据分析、人工审核的建立，都进一步提高了其安全检测的有效性、准确性。

3.2 应用环境与操作系统预警

在网站安全体系中，应用环境与操作系统的安全与否，直接对WEB运行的安全性产生影响。特别是操作系统作为服务器运行的基础，一旦发生安全问题，将会对网站形成严重的影响。因此，在日常防护中，应强化对应用环境的安全检测、核查操作系统等，检测其是否存在隐藏的克隆管理员账号的安全问题；检测中间件的环境是否存在安全隐患等。这些安全隐患的定期检测，是维护网站运行环境安全的有力保障，也是及时发现问题的有效举措。

4 结束语

综上所述，电子政务网站所面临的安全问题呈现出多样化特点，无论是DDoS攻击，还是SQL注入攻击，都会对网站的安全构成直接的安全威胁。因此，在推进电子政务发展的过程中，应立足于当前的安全现状，有针对性、有建设性的提出应对策略，强化网站安全体系的构建。在本文的论述中，建立完善的网站安全体系架构；强化网络加固技术的应用；采用网络安全检测技术，都是电子政务网站安全构建的有效策略，对于推进电子政务网站的发展起到重要作用。特别是在网络信息技术快速发展的当前，电子政务网站的安全构建，应强化先进网络安全技术的应用，并做好相应的安全管理工作，做到“预防为主、及时清除”的原则，确保电子政务网站处于安全稳定的运行环境之中。