营销管理平台门户WＥＢ系统安全解决方案9/10/2024技术解决方案1建设背景1.1背景与现状随着信息化的日益深刻,信息网络技术的应用日益普及,网络安全问题已经会成为影响网络效能的重要问题。如何使营销管理平台网站不受黑客和病毒的入侵，如何保障营销管理平台网站核心数据传输的安全性、可靠性,也是建设平台过程中所必须考虑的重要事情之一。B2B电子商务网站–充分以客户为中心建制系统–支持从SAP自动同步商品、价格、库存信息–以类似B2C等传统电子商务网站形式展现商品,支持搜索引擎、热销排行、个性推荐–支持专卖店B2B客户直接在网站下单–支持专卖店B2Ｂ客户直接在网站在线支付–实现电子商务网站和ＳAP产品信息、订单信息、客户信息同步B2B订单管理–支持订单前置处理（订单审核、货源管理、价格管理、信用管理）–支持订单导入SAP–支持订单的状态和SＡP状态（拣配、出库）同步–支持订单收货确认、财务对账页面被篡改门户网站一旦被篡改(加入一些敏感的显性内容），常常会引发较大的影响，严重时甚至会造成政治事件。另外一种篡改方式是网页挂马：网页内容表面上没有任何异常,却可能被偷偷的挂上了木马程序。网页挂马虽然未必会给网站带来直接损害，但却会给浏览网站的用户带来损失。技术解决方案在线业务被攻击对企业和个人用户提供在线服务,已经成为门户网站的重要功能。这些服务一旦受到拒绝服务攻击而瘫痪、终止，对业务的正常运转必然造成极大的影响,可能会造成经济损失，严重时甚至会影响社会稳定。机密数据外泄在线业务系统中,总是需要保存一些企业、公众的相关资料,这些资料往往涉及到企业秘密和个人隐私，一旦泄露，会造成企业或个人的利益受损,可能会给单位带来严重的法律纠纷。1.2安全体系缺少应用防护综合针对现有长虹网站安全数据维护经验对营销管理平台网站的网络及应用环境进行了安全分析，分析表明现有的网络架构具备较好的网络安全防御能力和操作系统安全管理能力，而在ＷＥB应用层面缺少相关的安全防护措施和长效机制。应用前端交换机防火墙路由器2/3层交换机Web服务器网络存储应用服务器数据库服务器InternetIPS图：网络环境拓扑技术解决方案1.3安全分析通过杭州安恒科技工程师针在过去一年对长虹信息化网站服务器集群所进行的多次远程安全评估结果,暴露了诸多应用层安全问题。诸如长虹电子商城业务逻辑漏洞导致入侵者修改商品价格1元购机等漏洞。示例如下：漏洞展现：正常购买商品下订单的同时进行WEＢ数据抓包获取金额数值,进行恶意篡改订单支付金额。图正常订单支付金额为4000元图进行抓包操作获取金额值技术解决方案图成功修改订单支付金额漏洞危害:攻击者利用该业务逻辑漏洞，通过阻碍正常用户的功能使用，或通过修改订单支付金额进行恶意拍买，将会客户自身和网上商城的运营造成严重经济损失或不良影响。1.4应用层防护的必然性信息安全正如木桶理论所描术的那样，WＥＢ应用系统的安全程序并不取决于我们在某一个方面安全投入的巨大，而在于我们是否针对脆弱的防护御点采取了有效的措施。WＥB应用系统的防护需要采用专业的针对应用层的防护措施。针对ＷEＢ服务系统我们需要进行有效的防止网页被攻击或恶意篡改,杜绝因攻击而带来的恶性事件发生。针对于更为重要的技术解决方案电力数据我们更需要提高安全防护的水平,确保应用系统的数据不被恶意修改,敏感的数据不被非法访问或泄露。具体的需求主要表现为以下几个方面:1.4.1阻断应用攻击攻击防护方面要求专业的ＷEB应用防护设备进行防护,能通过对输入内容的过滤及请求过滤实现对WEB站点的保护。能有效防止跨站脚本攻击、SＱL注入等常见攻击。同时还需要有强大的可定制功能，针对WEB应用系统站点的特性进行定制安全策略，从而最大程序防护WEB站点。1.4.2屏蔽安全隐患为了防止服务端敏感信息泄露需要通过有效的技术手段对现有网站的敏感信息进行屏蔽，如备份文件的下载、敏感数据库下载，管理后台的外网尝试等，另外要求能屏蔽编写程序过程中遗留下的程序注释，对服务出错信息进行有效屏蔽。1.4.3防止网页篡改网页防篡改方面需要一种对服务器性能影响最低，但有实际有效的防护机制。能实时监测...
