網(wǎng)站系統(tǒng)安全防護(hù)體系建設(shè)方案

4 5 6部署 8 9測和恢復(fù) 9布和同步 9WEB護(hù)解決方案 11 11 安全性驗(yàn)證項(xiàng)目 12代碼進(jìn)行弱點(diǎn)檢測 13序漏洞列表作為審計(jì)項(xiàng)目 13Web御 14WEB應(yīng)用防火墻功能 15 15 網(wǎng)絡(luò)簡介 18CDN服務(wù)功能 18CDN服務(wù)特點(diǎn) 20 1 6 重等級 27 28Web應(yīng)用防護(hù)安全需能實(shí)現(xiàn)以下功能：一、針對網(wǎng)站主頁惡意篡改的監(jiān)控，防護(hù)和快速恢復(fù)： (1)支持多種保護(hù)模式，防止靜態(tài)和動(dòng)態(tài)網(wǎng)頁內(nèi)容被非法篡改。 (2)能夠防止主頁防護(hù)功能被惡意攻擊者非法終止。 (3)具備核心內(nèi)嵌技術(shù)，能實(shí)現(xiàn)高效快速實(shí)現(xiàn)大規(guī)模的網(wǎng)頁攻擊防護(hù)。 (4)支持實(shí)時(shí)檢測和快速恢復(fù)功能。 (5)支持多服務(wù)器、多站點(diǎn)的主頁防護(hù) (6)支持對常見的多種網(wǎng)頁文件類型的保護(hù)。 (7)支持網(wǎng)頁快照功能，根據(jù)需要即時(shí)提供快照頁面，以滿足客戶端的訪問。 (1)有效保護(hù)網(wǎng)站靜動(dòng)態(tài)網(wǎng)頁以及后臺DB信息，實(shí)現(xiàn)多方位攻擊防護(hù)。 (2)靈活的策略設(shè)置，能夠針對各個(gè)WEB應(yīng)用的特點(diǎn)，設(shè)置個(gè)性化的防護(hù)策略。 (3)不反射保護(hù)網(wǎng)站(或WEB應(yīng)用)程序代碼防止受到各種已知攻擊(如SQL注入，跨站腳本，釣魚攻擊等)和未知攻擊；并能限制未授權(quán)用戶透過網(wǎng)站訪問數(shù)據(jù)中心，防止入侵者的通信流程。 (4)能夠根據(jù)操作系統(tǒng)、應(yīng)用平臺及評估滲透工具等特征，形成完備的特征查，防止對WEB應(yīng)用的惡意信息獲取和特征收集。三、行為審計(jì)： (1)能夠記錄和有效統(tǒng)計(jì)用戶對WEB應(yīng)用資源的訪問，包括頁面點(diǎn)擊率、客戶對端地址、客戶端類型、訪問流量、訪問時(shí)間及搜索引擎關(guān)鍵字信息；有效的用戶行為訪問統(tǒng)計(jì)分析，如基于區(qū)域的訪問統(tǒng)計(jì)，便于識別WEB應(yīng)用的訪問群體是否符合預(yù)期，為應(yīng)用優(yōu)化提供依據(jù)。 (2)對攻擊來源和攻擊行為支持分類記錄探測，數(shù)據(jù)處理結(jié)果形成詳細(xì)的統(tǒng)計(jì)及排序，支持依據(jù)威脅的級別生成防護(hù)策略。 (3)提供多種審計(jì)報(bào)表，為系統(tǒng)的安全審計(jì)提供詳細(xì)的數(shù)據(jù)并作為可靠的決策依據(jù)。WEB輕服務(wù)器負(fù)載： (1)支持URL級別的流量管理和負(fù)載均衡，提供對頁面訪問的并發(fā)連接與速率進(jìn)行控制，提高應(yīng)用系統(tǒng)在資源緊張時(shí)的可用性。 (2)具備訪問過載保護(hù)能力，緩解WEB服務(wù)因訪問量過大而造成的拒絕服務(wù) (3)及時(shí)發(fā)現(xiàn)WEB應(yīng)用狀態(tài)異常，迅速反饋應(yīng)用服務(wù)活動(dòng)狀態(tài)，并選擇最優(yōu)秀服務(wù)連接。 (4)支持輪詢、最小負(fù)載、請求URL及加權(quán)等多種均衡策略，滿足各種應(yīng)用環(huán)境下的均衡要求。 (5)網(wǎng)站主頁和WEB應(yīng)用防護(hù)系統(tǒng)，需能分別以獨(dú)立方式及互備方式部署在不同機(jī)房。WebWeb用常見的網(wǎng)絡(luò)安全設(shè)備進(jìn)行防護(hù)外，需要更有效的保護(hù)，防止來自外部或內(nèi)部的非授權(quán)人員對頁面和內(nèi)容進(jìn)行篡改和非法添加。原理防篡改體系除了Web服務(wù)器外，另外需部署‘發(fā)布服務(wù)器’：-發(fā)布服務(wù)器：位于內(nèi)網(wǎng)中，本身處在相對安全的環(huán)境中，其上部署發(fā)布服務(wù)器軟件。所有行。發(fā)布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)頁文件完全相同的目錄結(jié)構(gòu)，發(fā)布服務(wù)器上的任何文件/目錄的變化都會(huì)自動(dòng)和立即地反映到Web服務(wù)器的相RCP、NFS、文件共享等)。網(wǎng)頁變更后，“發(fā)布服務(wù)器軟件”將其同步到Web服務(wù)器上。-Web服務(wù)器：位于Internet/DMZ中，本身處在不安全的環(huán)境中，其上部署Web服務(wù)器端防篡改模塊及內(nèi)容同步軟件模塊。防篡改系統(tǒng)的運(yùn)行原理：對所有網(wǎng)頁元素(包括靜態(tài)頁面、動(dòng)態(tài)腳本、圖像文件、多媒體文件以及所有 (RFC2104)計(jì)算，生成唯一的、不可逆轉(zhuǎn)的和不可偽造的數(shù)字水印。瀏覽者請求訪問任一網(wǎng)頁元素時(shí)，篡改檢測模塊(作為Web服務(wù)器軟件的一部分)讀出網(wǎng)頁元素的內(nèi)容重新計(jì)算數(shù)字水印，并與之前存儲(chǔ)的數(shù)字水印進(jìn)行比對，網(wǎng)頁元素的任何篡改都能夠被可靠地計(jì)算出來。任何通信實(shí)體(包括發(fā)布服務(wù)器和Web服務(wù)器和控制臺)之間采用工業(yè)標(biāo)準(zhǔn)的SSL3.0/TLS1.0安全通訊協(xié)議(RFC2246)，確保網(wǎng)頁元素文件和數(shù)字水印數(shù)據(jù)流在通信過程中不被黑客竊取和分析。通信實(shí)體間進(jìn)行強(qiáng)身份鑒別。首先，Web服務(wù)器要確保上傳文件的發(fā)布服務(wù)器的身份真實(shí)性，不能接受偽造的發(fā)布服務(wù)器上傳的文件；其次，發(fā)布服務(wù)器要確保是在與Web服務(wù)器通信，確保發(fā)送的文件能夠到Web服務(wù)器上。因此，雙方彼此都進(jìn)了身份鑒別。亦即：發(fā)布服務(wù)器采用客戶端數(shù)字證書與Web服務(wù)器通訊，同時(shí)也驗(yàn)證Web服務(wù)器數(shù)字證書的真實(shí)性。構(gòu)目前，大部分網(wǎng)站都使用內(nèi)容管理系統(tǒng)(CMS)來管理網(wǎng)頁產(chǎn)生的全過程，包括網(wǎng)頁的編輯、審核、簽發(fā)和合成等。在網(wǎng)站的網(wǎng)絡(luò)拓?fù)渲?，發(fā)布服務(wù)器部署在原有的內(nèi)容管理系統(tǒng)和Web服務(wù)器之間，下圖表明三者之間的關(guān)系。發(fā)布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)站文件完全相同的目錄結(jié)構(gòu)，任何文件/目錄的變化都會(huì)自動(dòng)映射到Web服務(wù)器的相應(yīng)位置上。網(wǎng)頁的合法變更(包括增加、修改、刪除、重命名)都在發(fā)布服務(wù)器上進(jìn)行，變更的手段可以是任意方式的(例如：FTP、SFTP、RCP、NFS、文件共享等)。網(wǎng)頁變更后，發(fā)布服務(wù)器將其同步到Web服務(wù)器上。無論什么情況下，不允許直接變更Web服務(wù)器上的頁面文件。下圖為防篡改系統(tǒng)的邏輯部署圖。若無多余服務(wù)器可供使用，則發(fā)布服務(wù)器可與內(nèi)容管理服務(wù)器建構(gòu)在同一服務(wù)器上：系統(tǒng)組成從邏輯上，防篡改系統(tǒng)由頁面保護(hù)子系統(tǒng)、自動(dòng)發(fā)布子系統(tǒng)和監(jiān)控管理子系統(tǒng)組成，三部分的關(guān)系如下圖所示。頁面保護(hù)子系統(tǒng)是系統(tǒng)的核心，內(nèi)嵌在Web服務(wù)器軟件里(即前述的核心內(nèi)嵌模塊)，包含應(yīng)用防護(hù)模塊和篡改檢測模塊。應(yīng)用防護(hù)模塊對每個(gè)用戶的請求進(jìn)行安全性檢查：如果正常則發(fā)送給Web服務(wù)器軟件；如果發(fā)現(xiàn)有攻擊特征碼，即刻中止此次請求并進(jìn)行報(bào)警。篡改檢測模塊對每個(gè)發(fā)送的網(wǎng)頁進(jìn)行即時(shí)的完整性檢查：如果網(wǎng)頁正常則復(fù)。對于Windows系統(tǒng)，頁面保護(hù)子系統(tǒng)還包括一個(gè)增強(qiáng)型事件觸發(fā)式檢測模塊，該模塊駐留于操作系統(tǒng)內(nèi)核，阻止大部分常規(guī)篡改手段。自動(dòng)發(fā)布子系統(tǒng)負(fù)責(zé)頁面的自動(dòng)發(fā)布，由發(fā)送端和接收端組成：發(fā)送端位于發(fā)布服務(wù)器上，稱之為自動(dòng)發(fā)布程序，它監(jiān)測到文件系統(tǒng)變化即進(jìn)行計(jì)算該文件水印，并進(jìn)行SSL發(fā)送；接收端位于Web服務(wù)器上，稱之為同步服務(wù)器，它接收到網(wǎng)頁和水印后，將網(wǎng)頁存放在文件系統(tǒng)中，將水印存放在安全數(shù)據(jù)庫里。所有合法網(wǎng)頁的增加、修改和刪除都通過自動(dòng)發(fā)布子系統(tǒng)進(jìn)行。負(fù)責(zé)篡改后自動(dòng)恢復(fù)，也提供系統(tǒng)管理員的使用界面。其功能包括：手工上傳、查看警告、檢測系統(tǒng)運(yùn)行情況、修改配置、查看和處理日志等。日志記錄所有系統(tǒng)、發(fā)布、篡改檢測和自動(dòng)恢復(fù)等信息，可以分類分日期查看，并根據(jù)管理員的要求實(shí)現(xiàn)轉(zhuǎn)儲(chǔ)。日志記錄還支持syslog，以實(shí)現(xiàn)與安全管理平臺的接口。與允余部署Web站點(diǎn)運(yùn)行的穩(wěn)定性是最關(guān)鍵的，防篡改系統(tǒng)支持所有部件的多機(jī)工作和熱備，可以有多臺安裝了防篡改模塊和同步服務(wù)軟件的Web服務(wù)器，也可以有兩發(fā)布服務(wù)器，避免單點(diǎn)失效問題，如下圖所示。1Web服務(wù)器多機(jī)和集群發(fā)布服務(wù)器支持1對多達(dá)64臺Web服務(wù)器的內(nèi)容同步，這些Web服務(wù)器的操作系統(tǒng)、Web服務(wù)器系統(tǒng)軟件、應(yīng)用腳本及網(wǎng)頁內(nèi)容既可以相同也可以不同。本案提供的解決方案將可實(shí)現(xiàn)異種系統(tǒng)架構(gòu)下對不同內(nèi)容的統(tǒng)一管理。支持發(fā)布服務(wù)器雙機(jī)協(xié)同工作，即一臺主發(fā)布服務(wù)器和一臺熱備發(fā)布服務(wù)器。在這種部署情形下，內(nèi)容管理系統(tǒng)(CMS)需要將內(nèi)容同時(shí)發(fā)布到兩臺發(fā)布服務(wù)器上。正常狀態(tài)下，主發(fā)布服務(wù)器工作時(shí)，由它對所有Web服行)，一旦在它修復(fù)后可以從主發(fā)布服務(wù)器恢復(fù)數(shù)據(jù)，進(jìn)入正常熱備狀態(tài)。主發(fā)布服務(wù)器如果失效(即不發(fā)心跳信號)，熱備發(fā)布服務(wù)器會(huì)接管工作，由熱備服務(wù)器對所有Web服務(wù)器進(jìn)行內(nèi)容同步。當(dāng)主發(fā)布服務(wù)器修復(fù)后，兩機(jī)同時(shí)工作，經(jīng)過一段時(shí)間的數(shù)據(jù)交接時(shí)間，熱備發(fā)布服務(wù)器重新進(jìn)入熱備狀態(tài)。方案特點(diǎn)篡改檢測和恢復(fù).5.2自動(dòng)發(fā)布和同步從網(wǎng)頁應(yīng)用程序?qū)用鎻木W(wǎng)頁應(yīng)用程序?qū)用孢M(jìn)行安全防護(hù)機(jī)制：第一項(xiàng)計(jì)劃是，通過網(wǎng)頁程序代碼的安全檢測，找出潛在應(yīng)用程序的編寫漏洞，提供開發(fā)團(tuán)隊(duì)修補(bǔ)建議，并據(jù)以改寫修補(bǔ)。同時(shí)為網(wǎng)頁應(yīng)用層防火墻提供防護(hù)規(guī)則，做到內(nèi)外共同防護(hù)；劃是，通過網(wǎng)頁應(yīng)用層防火墻軟件的部署，與網(wǎng)頁程序代碼的安全檢測互為在線運(yùn)營的網(wǎng)站立即建立防護(hù)，針對各種應(yīng)用層的攻擊進(jìn)行阻擋，建立起網(wǎng)站從內(nèi)而外的安全防護(hù)體系。1當(dāng)前安全風(fēng)險(xiǎn)分析越來越多的案例表明，網(wǎng)站的安全問題隨著各類網(wǎng)絡(luò)技術(shù)手段的不斷進(jìn)步而顯現(xiàn)出來。截止到目前，以跨站腳本攻擊、SQL注入攻擊為代表的攻擊方式對傳統(tǒng)的‘防火墻+入侵防護(hù)’所組成的網(wǎng)站安全防線帶來了極大的沖擊；同時(shí)由于新的攻擊方式的出現(xiàn)，一旦網(wǎng)站被入侵，輕則網(wǎng)站被植入惡意連結(jié)或?qū)ο螅瑢?dǎo)致訪問用戶的個(gè)人電腦中毒或被植入木馬；嚴(yán)重的話，通過網(wǎng)頁的接口導(dǎo)致客戶的信息或交易紀(jì)錄被入侵，從而面對的是漫長的調(diào)查、賠償、法律責(zé)任、甚至訴訟。如果被媒體披露的話，更會(huì)嚴(yán)重影響企事業(yè)單位的聲譽(yù)。網(wǎng)站安全風(fēng)險(xiǎn)分析：1沒有適當(dāng)機(jī)制確認(rèn)目前的目前已在線執(zhí)行的網(wǎng)頁系統(tǒng)，是幾年來不斷開發(fā)與累積的結(jié)果。然而新興的以網(wǎng)頁應(yīng)用程序?yàn)楣裟繕?biāo)的攻擊模式不斷被發(fā)現(xiàn)，因此當(dāng)前面臨的困難在于:發(fā)團(tuán)隊(duì)并非全職的安全專家，難以保證編寫出來的程序代碼絕對不會(huì)存在漏洞。在線的程序代碼為數(shù)眾多，如果要逐條人工檢視，的開發(fā)能力用于全力開發(fā)新法投入足夠的資源用于檢測舊的系統(tǒng)漏洞。經(jīng)常性的發(fā)生信息安全事件，會(huì)讓團(tuán)隊(duì)疲于奔命。量的資源來進(jìn)行調(diào)查與修復(fù)。更不用說后譽(yù)損失、法律責(zé)任、甚至訴訟與賠償事宜。2意攻擊后Script或SQLInjection等方式攻擊網(wǎng)站，而網(wǎng)站又剛好界反應(yīng)才知道有未知的漏洞被利用，那么不僅缺乏適當(dāng)?shù)臋C(jī)制可以立即發(fā)現(xiàn)攻擊，更無法達(dá)到防御的效果。3擊企事業(yè)單位有責(zé)任妥善保管的客戶個(gè)人信息，若因網(wǎng)站被入侵而導(dǎo)致客戶信息外泄，則有可能必須面對法律責(zé)任的問題。4敏感信息顯示于網(wǎng)頁接口時(shí)，需進(jìn)行屏蔽，避免會(huì)針對如信用卡卡號或身分證字號等敏感信息，如果需要在網(wǎng)頁中顯示響應(yīng)給使用者，則需要進(jìn)行屏蔽，將中間字符內(nèi)容取代為x或*等符號，避免使用者的計(jì)算機(jī)存在木馬或傳輸過程被竊聽，而造成信息外泄。然而現(xiàn)有的系統(tǒng)已經(jīng)運(yùn)作多年，需要逐一檢視并且修改，需花費(fèi)大量的資源與時(shí)間。5擋不住也看不懂Web攻擊原本期望通過IDS/IPS與防火墻來抵御黑客的攻擊。然而現(xiàn)在的黑客，Ⅰ再「硬碰硬」的進(jìn)Ⅰ防火墻、入侵偵測系統(tǒng)或者修補(bǔ)程序可以阻擋的「網(wǎng)絡(luò)型攻擊」或者「作業(yè)平臺的攻擊」。目前超過70%成功的黑客攻擊，Ⅰ是針對『Web應(yīng)用程序』的弱點(diǎn)而Ⅰ是操作系統(tǒng)的弱點(diǎn)，身份從Web應(yīng)用系統(tǒng)管道進(jìn)入，因此原先的防火墻與入侵偵測系統(tǒng)也束手無策。6SSL加密后的流量，無法從網(wǎng)絡(luò)端實(shí)施入侵檢查與因?yàn)檫\(yùn)營的是電子商務(wù)服務(wù)，因此為避免使用者進(jìn)行交易的過程中信息被從中竊聽，而實(shí)施HTTPS/SSL加密，保障傳輸過程的安全。然而，這也造成部署網(wǎng)頁防入侵機(jī)制時(shí)的限制與困擾。因?yàn)槿绻褂玫氖咕W(wǎng)絡(luò)型的WebApplicationFirewall機(jī)制，SSL加密后的流量就會(huì)無法進(jìn)行檢查，或者要改變現(xiàn)有SSL加密的處理流程。.2防護(hù)計(jì)劃開發(fā)流程中加入安全性驗(yàn)證項(xiàng)目在軟件開發(fā)流程中，擬規(guī)劃一套系統(tǒng)化的安全設(shè)計(jì)流程，確保網(wǎng)絡(luò)應(yīng)用程序的安全。系統(tǒng)發(fā)展生命周期(SystemsDevelopmentLifeCycle,簡稱SDLC)是大部分信息應(yīng)用系統(tǒng)設(shè)計(jì)的參考模型，即一套應(yīng)用程序軟件的發(fā)展需要?dú)v經(jīng)「分析」、系統(tǒng)發(fā)展生命周期。安全系統(tǒng)發(fā)展生命周期(SecuritySystemsDevelopmentLifeCycle)便是泛指在軟件開發(fā)生命周期中，應(yīng)考慮的信息安全措施及注意事項(xiàng)。3.2.2對網(wǎng)站程序的源代碼進(jìn)行弱點(diǎn)檢測建議導(dǎo)入自動(dòng)化網(wǎng)頁應(yīng)用程序源代碼安全檢測體系。不可否認(rèn)的，早期所開發(fā)的應(yīng)用程序，皆以「功能性」著眼，欠缺「安全性」的安全認(rèn)識與危機(jī)意識，因此在程序編寫中較少考慮到「安全性」的問題，因此不小心便導(dǎo)致所開發(fā)的Web應(yīng)用系統(tǒng)漏洞百出，導(dǎo)致SQLInjection、緩沖區(qū)溢出(Buffer-Overflow)、跨網(wǎng)站腳本攻擊(Cross-SiteScripting)等等Web攻擊。信息安全的相關(guān)領(lǐng)域知識包含「操作系統(tǒng)」、「開發(fā)工具」、「網(wǎng)站平臺」、「程序邏輯」、「程序編譯」、「程序執(zhí)行」以及種種通訊協(xié)議原理，并非程序開Web應(yīng)用系統(tǒng)進(jìn)行定期或者不定期檢驗(yàn)其可能的源代碼弱點(diǎn)與漏洞，需要一套有系統(tǒng)有效率的「Web應(yīng)用系統(tǒng)原代碼自動(dòng)檢測系統(tǒng)」，有助于提早發(fā)現(xiàn)并評估風(fēng)險(xiǎn)，提早進(jìn)行源代碼改寫與修補(bǔ)動(dòng)作。WebWeb應(yīng)用系統(tǒng)原代碼自動(dòng)檢測系統(tǒng)所提供的服務(wù)特色為：針對程序源代碼檢測結(jié)果與報(bào)告，提供程序源代碼「弱點(diǎn)深度分析」與「弱點(diǎn)嚴(yán)重性分析」等風(fēng)險(xiǎn)高低評估計(jì)分與圖表，協(xié)助程序開發(fā)人員規(guī)劃安排程序源代碼弱點(diǎn)安全問題修復(fù)的優(yōu)先級。清楚標(biāo)明程序源代碼弱點(diǎn)安全問題的結(jié)果與源頭，協(xié)助開發(fā)與項(xiàng)目管理人員了解程序源代碼弱點(diǎn)安全問題之發(fā)生程序行數(shù)與弱點(diǎn)來源，必須包含下列信息：可與本案「Web應(yīng)用系統(tǒng)安全防火墻」的安全訪問策略聯(lián)動(dòng)，解決復(fù)雜的應(yīng)用防火墻配置問題。導(dǎo)入網(wǎng)頁應(yīng)用程序漏洞列表作為審計(jì)項(xiàng)目OWASP)致力協(xié)助企業(yè)和政府機(jī)關(guān)(構(gòu))能夠理解和提高網(wǎng)頁應(yīng)用程序的安全性，括：Cross-SiteScripting(跨站腳本攻擊)。網(wǎng)頁應(yīng)用程序直接將來自使用者的執(zhí)行請求送回瀏覽器執(zhí)行，使得攻擊者可擷取使用者的Cookie或Session數(shù)據(jù)而能直接登入成使用者。InjectionFlaw：網(wǎng)頁應(yīng)用程序執(zhí)行來自外部包括數(shù)據(jù)庫在內(nèi)的惡意指令，SQL注入,命令注入等攻擊包括在內(nèi)。MaliciousFileExecution：網(wǎng)頁應(yīng)用程序引入來自外部的惡意檔案并執(zhí)行檔案內(nèi)容。InsecureDirectObjectReference：攻擊者利用網(wǎng)頁應(yīng)用程序本身的檔案讀取功能任意存取檔案或重要數(shù)據(jù)，案例包括http://example/read.php?file=../../../../../../../c:\boot.iniCross-SiteRequestForgery(CSRF):已登入網(wǎng)頁應(yīng)用程序的合法使用者執(zhí)行到惡意的HTTP指令，但網(wǎng)頁應(yīng)用程序卻當(dāng)成合法需求處理，使得惡意指令被正常執(zhí)行，案例包括社交網(wǎng)站分享的QuickTime、Flash影片中藏有惡意的HTTP請求。InformationLeakageandImproperErrorHandling：網(wǎng)頁應(yīng)用程序的執(zhí)行錯(cuò)誤訊息包含敏感數(shù)據(jù)，案例包括:系統(tǒng)檔案路徑BrokenAuthenticationandSessionManagement：網(wǎng)頁應(yīng)用程序中自行編寫的身份驗(yàn)證相關(guān)功能有缺陷。InsecureCryptographicStorage：網(wǎng)頁應(yīng)用程序沒有對敏感性數(shù)據(jù)使用加密、使用較弱的加密算法或?qū)⒚荑€儲(chǔ)存在容易被取得之處。InsecureCommunication：沒有在傳送敏感性數(shù)據(jù)時(shí)使用HTTPS或其它加密方式。FailuretoRestrictURLAccess：某些網(wǎng)頁因?yàn)闆]有權(quán)限控制，使得攻擊者可通過網(wǎng)址直接存取，案例包括允許直接修改Wiki或Blog網(wǎng)頁內(nèi)容。歸咎這些安全漏洞的根本原因，乃在于網(wǎng)頁應(yīng)用程序本身存在安全漏洞，忽略應(yīng)該注意的函數(shù)處理與防范來自使用者的惡意攻擊。倘若這些安全漏洞在開發(fā)與部署過程沒有被檢測出來，則日后就會(huì)發(fā)生信息安全事件。利用‘Web應(yīng)用系統(tǒng)原代碼自動(dòng)檢測系統(tǒng)’所提供的檢測服務(wù)可事先發(fā)現(xiàn)網(wǎng)站所潛藏的上述安全漏洞。Web行防御導(dǎo)導(dǎo)入網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)的好處在于：11網(wǎng)站源代碼檢測階段：在修補(bǔ)源代碼中存在的安全隱患之前(可能因?yàn)殚_發(fā)團(tuán)隊(duì)變更、服務(wù)無法暫停等原因暫時(shí)無法對安全隱患進(jìn)行修補(bǔ))，則依靠網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)提供Web應(yīng)用安全防護(hù)，從而保證網(wǎng)站應(yīng)用的安全性；11網(wǎng)站安全加固階段：可以將網(wǎng)頁應(yīng)用程序源代碼安全檢測系統(tǒng)檢測出的安全問題自動(dòng)直接生成網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)所需使用的安全防護(hù)規(guī)則(AccessPolicy)，使得網(wǎng)頁應(yīng)用程序源代碼安全檢測系統(tǒng)與網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)產(chǎn)生互相聯(lián)動(dòng)，從而做到網(wǎng)站應(yīng)用安全的自動(dòng)化防護(hù)。通過網(wǎng)頁應(yīng)用程序防火墻的部署，讓訪問者對網(wǎng)站的請求，以及網(wǎng)站預(yù)計(jì)響應(yīng)給訪問者的顯示網(wǎng)頁，都經(jīng)過「Web應(yīng)用系統(tǒng)安全防火墻」全程檢查與檢視其「安全性」、「合法性」與「正確性」，如有任何「非法行為」，自動(dòng)「阻斷非法行為」或者「重置合法與合適的響應(yīng)」，讓「使用者」與「系統(tǒng)管理者」都可以繼續(xù)「安心」的運(yùn)作。「Web應(yīng)用系統(tǒng)安全防火墻」部署架構(gòu)如下圖：3.3WEB應(yīng)用防火墻功能集中管控功能同一解決方案除了提供硬件式應(yīng)用防護(hù)設(shè)備外，可依實(shí)際需求選擇將軟件式應(yīng)用防火墻系統(tǒng)安裝于Web服務(wù)器主機(jī)上，不需要調(diào)整網(wǎng)絡(luò)與系統(tǒng)架構(gòu)。支持【集中叢集控管(ClusterManagement)】方式，通過統(tǒng)一集中管理接口，同時(shí)管理與安全防護(hù)規(guī)則部署多臺「Web應(yīng)用系統(tǒng)軟件式防火墻系支持集群內(nèi)各臺「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」運(yùn)行狀態(tài)，如有異常，立即顯示。具備多管理者、多網(wǎng)站群組的權(quán)限管理能力，提供讓特定管理者管理特定網(wǎng)站群組安全防護(hù)規(guī)則的能力內(nèi)建「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」紀(jì)錄查詢與查看工具，方便實(shí)時(shí)分析，提供多重條件過濾查詢功能，無須額外購置審計(jì)報(bào)表分析工具。提供符合法規(guī)遵循角度需求的審計(jì)紀(jì)錄，詳細(xì)紀(jì)錄系統(tǒng)的操作與變更，方便審計(jì)人員查驗(yàn)。提供統(tǒng)計(jì)報(bào)表能力，提供多種預(yù)設(shè)統(tǒng)計(jì)圖表，支持自定義設(shè)定分析范圍與時(shí)間區(qū)段，產(chǎn)生滿足單位需求與法規(guī)遵循要求的報(bào)表。提供直接過濾防護(hù)SSL加密網(wǎng)頁的機(jī)制，安裝部署時(shí)，不需要更改SSL密鑰存放位置，避免密鑰管理的額外問題。.3.2防護(hù)功能可防御下列19大類(含)以上網(wǎng)頁攻擊型態(tài)，超過10,000種(含)以上網(wǎng)頁攻擊方法。支持下列OWASPTop10十大網(wǎng)頁應(yīng)用程序弱點(diǎn)的攻擊模式。提供「輸入驗(yàn)證(InputValidation)」處理機(jī)制，提供黑名單或者白名單方式驗(yàn)證使用者輸入內(nèi)容數(shù)據(jù)的類型、范圍、格式與長度。提供「客戶端瀏覽器存取權(quán)限」的管理能力，可以限制存取網(wǎng)站的客戶端IP地址、使用的瀏覽器版本、網(wǎng)頁開放存取的時(shí)間范圍以及SSL加密的強(qiáng)度等等存取條件。提供「網(wǎng)頁存取身份驗(yàn)證(Authentication)」處理機(jī)制，讓缺乏賬號密碼等權(quán)限管理的網(wǎng)頁具備身份驗(yàn)證能力。提供「網(wǎng)頁存取安全會(huì)話(SecureSession)」處理機(jī)制，保護(hù)客戶端瀏覽器Cookie的安全使用，降低Cookie外泄的機(jī)率。提供「網(wǎng)頁上傳下載雙向過濾保護(hù)」功能，通過關(guān)鍵詞過濾網(wǎng)站惡意內(nèi)容或不當(dāng)文字，或是防止機(jī)敏數(shù)據(jù)外泄。針對網(wǎng)頁敏感信息，例如：信用卡信息、身份證號等隱私數(shù)據(jù)，提供「自動(dòng)屏蔽(AutoMask/XXX)」功能機(jī)制，避免單位機(jī)密數(shù)據(jù)或者個(gè)人隱私外泄。提供「反釣魚(Anti-Phishing)」功能，可通過黑、白或灰名單方式限制釣魚網(wǎng)站引用主網(wǎng)站的內(nèi)容。通過ReferenceChecking強(qiáng)制網(wǎng)站的使用方式，防止網(wǎng)站內(nèi)容遭受未經(jīng)合法授權(quán)的「強(qiáng)迫瀏覽」或者「盜連」。內(nèi)建「安全防護(hù)規(guī)則設(shè)定」向?qū)?，根?jù)實(shí)際需求與環(huán)境提供彈性與自定義安全防護(hù)規(guī)則的設(shè)定功能。提供安全防護(hù)規(guī)則集的「版本管理」機(jī)制，并且支持「版本回溯(Rollback)」功能。支持人工智能安全防護(hù)規(guī)則「學(xué)習(xí)模式」，提供網(wǎng)站系統(tǒng)安全防護(hù)規(guī)則設(shè)定的建議。支持下列操作系統(tǒng)：Windows、Linux與Unix-Like作業(yè)系統(tǒng)可與「Web應(yīng)用系統(tǒng)源代碼自動(dòng)檢測系統(tǒng)」所生成的安全防護(hù)規(guī)則聯(lián)動(dòng)。預(yù)期效益通過「Web應(yīng)用系統(tǒng)安全防火墻」與「網(wǎng)站源代碼弱點(diǎn)檢測」的部署與導(dǎo)入，預(yù)期達(dá)到的效益與目標(biāo)：。1對在線運(yùn)作的網(wǎng)站應(yīng)用程序進(jìn)行防護(hù)，降低被黑風(fēng)險(xiǎn)：通過網(wǎng)頁應(yīng)用程序防火墻的部署，讓使用者對網(wǎng)站的請求，以及網(wǎng)站預(yù)計(jì)響應(yīng)給使用者的顯示網(wǎng)頁，都經(jīng)過「Web應(yīng)用系統(tǒng)安全防火墻」全程檢查與檢視其繼續(xù)「安心」的運(yùn)作。1在網(wǎng)站程序漏洞被黑客利用前，即可進(jìn)行修補(bǔ)，以治本方式根除漏洞：進(jìn)行掃描與檢測，以清楚存在哪些已知的弱點(diǎn)與漏洞，并計(jì)劃性的依據(jù)嚴(yán)重度進(jìn)行修補(bǔ)改寫，以根除這些漏洞，提高網(wǎng)站的安全性。1培養(yǎng)開發(fā)團(tuán)隊(duì)編寫高安全性的網(wǎng)頁程序代碼與安全網(wǎng)站能力：藉由網(wǎng)站源代碼的掃描報(bào)告解讀與程序代碼修正程序。讓開發(fā)團(tuán)隊(duì)的程序開發(fā)人員，熟悉高安全性的網(wǎng)頁程序的編寫方法，進(jìn)而養(yǎng)成良好的編寫與測試習(xí)慣。內(nèi)容分發(fā)網(wǎng)絡(luò)簡介內(nèi)容分發(fā)網(wǎng)絡(luò)(CDN,ContentDistributionNetwork)服務(wù)=智能的網(wǎng)站鏡像+頁面緩存+流量導(dǎo)流。CDN所做的，就是為互聯(lián)網(wǎng)上的內(nèi)容提供EMS服務(wù)，在最正確的時(shí)間用最正確的手段，把最正確的內(nèi)容，推送到最正確的地點(diǎn)(訪問客戶)，能夠幫助用戶解決分布式存儲(chǔ)、負(fù)載均衡、網(wǎng)絡(luò)請求的重定向和網(wǎng)站內(nèi)容管理等問題。其目的是通過在現(xiàn)有的Internet中增加一層新的網(wǎng)絡(luò)架構(gòu)，將網(wǎng)站的內(nèi)容發(fā)布到最接近用戶的網(wǎng)絡(luò)“邊緣”，使網(wǎng)站訪問用戶可以就近取得所需的網(wǎng)頁內(nèi)容，解決Internet因。CDN網(wǎng)絡(luò)營造了一個(gè)網(wǎng)絡(luò)運(yùn)營環(huán)境，不僅能夠提供以網(wǎng)絡(luò)加速為基礎(chǔ)的系列服務(wù)，包括針對網(wǎng)頁、流媒體、文件傳輸、文件播放等內(nèi)容提供加速，還能提供一些相關(guān)的增值服務(wù)以更有效地滿足客戶在這些應(yīng)用方面的需求。4.2CDN服務(wù)功能眾所周知，互聯(lián)網(wǎng)的訪問速度取決于眾多的因素，包括Internet網(wǎng)絡(luò)傳輸質(zhì)量、國內(nèi)南北互聯(lián)互通問題、網(wǎng)站服務(wù)器性能、網(wǎng)站出口帶寬、網(wǎng)頁程架構(gòu)和網(wǎng)頁內(nèi)容類型等等。CDN網(wǎng)頁加速產(chǎn)品采用全球智能域名解析系統(tǒng)和高速緩存等專業(yè)技術(shù)，通過遍布全球的CDN網(wǎng)絡(luò)把網(wǎng)頁內(nèi)容分發(fā)到離網(wǎng)民最近的邊緣節(jié)點(diǎn)上，繞過國內(nèi)以及跨國的傳輸擁塞影響，突破源站出口帶寬和性能屏障，訪問用戶可以從最適合的節(jié)點(diǎn)上獲得所需的內(nèi)容，從而提高網(wǎng)站的訪問速度和質(zhì)量。CDN網(wǎng)頁加速產(chǎn)品支持SSL加密，網(wǎng)頁壓縮，防盜鏈等功能：縮功能：支持網(wǎng)站本身的壓縮功能，同時(shí)能夠幫助未實(shí)現(xiàn)壓縮功能的網(wǎng)站提供壓縮寬，使頁面顯示速度自然提高?；跁r(shí)間或者用戶IP對URL進(jìn)行加密和驗(yàn)證，幫助網(wǎng)站防止盜鏈現(xiàn)象。1地域化內(nèi)容服務(wù)功能：根據(jù)訪問用戶的地域不同，將用戶的訪問請求分配到相應(yīng)的CDN節(jié)點(diǎn)上進(jìn)行響應(yīng)，從而為來自不同地域用戶提供針對該地域投放的特色內(nèi)容，使得網(wǎng)站內(nèi)容更加有針對性，實(shí)現(xiàn)個(gè)性化服務(wù)。4.3CDN服務(wù)特點(diǎn)CDN節(jié)點(diǎn)前端都有可以抵御幾十萬級別DDoS攻擊的設(shè)備，智能的全域負(fù)載均衡系統(tǒng)會(huì)根據(jù)攻擊路線改變用戶訪問目的地，保障用戶訪問不受攻擊影響。在整個(gè)分發(fā)網(wǎng)絡(luò)中除了網(wǎng)絡(luò)層有加密校驗(yàn)機(jī)制，分發(fā)的文件會(huì)攜帶特定的加密碼，在傳送到最終目的地后進(jìn)行校驗(yàn)完畢后確認(rèn)文件在傳輸過程中沒有缺失和修改，返回給中央分發(fā)服務(wù)系統(tǒng)安全到達(dá)的信息，且服務(wù)器采用專有OS架構(gòu)，即使遭到攻擊黑客也無法篡改用戶內(nèi)容，保證分發(fā)內(nèi)容的安全性和完整性。完善的日志分析功能，可以根據(jù)用戶個(gè)性需求，制定多重樣式的日志分析報(bào)告，包括用戶訪問行為分析、用戶來源地分析、網(wǎng)站點(diǎn)擊率分析等。并可以提供自動(dòng)報(bào)表生成。及時(shí)報(bào)告提供在線的瀏覽訪問量接口，使用戶隨時(shí)了解網(wǎng)站運(yùn)轉(zhuǎn)狀況。當(dāng)網(wǎng)站發(fā)生非正常訪問量激增或網(wǎng)站源不可達(dá)時(shí)，會(huì)及時(shí)發(fā)送EMAIL到用戶信箱告知狀況并及時(shí)電話通知，使得網(wǎng)站安全可靠。鏡像功能，保證源站發(fā)生狀況后，可以借用CDN節(jié)點(diǎn)上的網(wǎng)站為用戶提供暫時(shí)的頁面訪問服務(wù)。1網(wǎng)站頁面訪問性能優(yōu)化降低源站對高帶寬的需求，并減低源站服務(wù)器的訪問壓力。CDN服務(wù)為訪問用戶提供更快的網(wǎng)站訪問速度，并降低源站的訪問壓力。而源站本地則可以采用服務(wù)器負(fù)載均衡(SLB,ServerLoadBalance)技術(shù)方案進(jìn)一步降低源站的訪問中斷風(fēng)險(xiǎn)。更完善的負(fù)載均衡方案是采用廣域負(fù)載均衡(GLSB,GlobalServerLoadBalance)技術(shù)為應(yīng)用網(wǎng)站提供不同地域的主用/備用站點(diǎn)架構(gòu)，衡()與E-commerce服務(wù)(192.168.10.2)，而今我們在防火墻與交換機(jī)之間加入了SLB，此設(shè)備在OSI/ISO七層架構(gòu)中屬于三到七層的設(shè)備，因此可以整合不同平臺、新舊不同的服務(wù)器，另外、服務(wù)器也由一臺增加至三臺，我們稱為服務(wù)器農(nóng)場(ServerFarm),并且將原本屬于服務(wù)器的IP地址移到SLB設(shè)備上，對使用者而言依然是存取此IP上的服務(wù)，沒有改變。因此，必須指定另外一個(gè)網(wǎng)段的IP給原來的服務(wù)器使用。此時(shí)，SLB設(shè)備除對外提供服務(wù)，對內(nèi)做到下列的功能：1網(wǎng)絡(luò)地址轉(zhuǎn)換(NetworkAddressTranslation,NAT)：利用此技術(shù)將內(nèi)部的虛擬IP對應(yīng)到外部的真實(shí)IP(視提供的服務(wù)而定，在此例中有二個(gè)IP需做NAT)，如此一來便可以解決用一個(gè)IP來代替許多不同的IP的問題。1有效分配負(fù)載流量：如何將由Internet上的流量分配到后端的服務(wù)器上，其中包含了那一臺服素，我們稱為負(fù)載平衡模式(LoadBalanceMode)。1Healthcheck機(jī)制：為了使SLB設(shè)備可以有效掌控后端服務(wù)器的狀況，必須定期自動(dòng)檢查服務(wù)器的運(yùn)作情形，以免發(fā)生將使用者數(shù)據(jù)請求引導(dǎo)至發(fā)生故障或是過于忙碌的服務(wù)器上的情形。1Fail-Over機(jī)制：一旦SLB架構(gòu)建置完成，SLB設(shè)備便成為非常重要的一個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)。一旦發(fā)生故障，整個(gè)服務(wù)便會(huì)中斷，因此備援是非常重要的課題，理想的備援機(jī)制是在完全不影響使用者的前提下完成取代故障設(shè)備并提供服務(wù)的工作，一般我們也稱之為高可靠度(HighAvailability)。均衡廣域負(fù)載均衡(GSLB，GlobalServerLoadBalance)是一種將SLB的概念擴(kuò)展到廣域范圍的技術(shù)，與SLB在一個(gè)單獨(dú)的節(jié)點(diǎn)上為一組服務(wù)器提供負(fù)載均衡服務(wù)不同，GSLB提供了一種對多個(gè)不同地域的服務(wù)器群(多個(gè)節(jié)點(diǎn))提供負(fù)載均衡的服務(wù)，在實(shí)現(xiàn)上可以分為兩個(gè)方面，一方面是如何實(shí)現(xiàn)將用戶的請求指向到選定的節(jié)點(diǎn)上，一方面是研究如何確定最佳的站點(diǎn)。GSLB服務(wù)可以對分布在不同地域的多個(gè)源站服務(wù)器群提供廣域負(fù)載均衡服務(wù)，采用DNS解析的方式來實(shí)現(xiàn)用戶訪問重定向，同時(shí)采用智能策略確定最佳源站點(diǎn)，提高了服務(wù)的可用性和系統(tǒng)性能。原理說明：廣域負(fù)載均衡在DNS解析階段實(shí)現(xiàn)：1)客戶端針對一個(gè)域名(Domain)發(fā)送一個(gè)DNS請求。2)廣域負(fù)載均衡由一系列算法返回一個(gè)最優(yōu)site的IP(延時(shí)最小、距離最近等)。3)客戶端向此IP發(fā)起連接請求。4)當(dāng)客戶端向某IP發(fā)起訪問連接請求時(shí)，執(zhí)行(本地)服務(wù)器負(fù)載均衡 (SLB)，負(fù)載均衡設(shè)備根據(jù)最優(yōu)算法選擇服務(wù)器和相應(yīng)的服務(wù)轉(zhuǎn)發(fā)請求，如上圖所示。特點(diǎn)完全支持URL交換，根據(jù)URL和HTTP信息分配流量。每個(gè)URL都可以重定向到某服務(wù)器，或在多個(gè)服務(wù)器之間進(jìn)行負(fù)載均衡，從而提供優(yōu)化的Web交換性能。根據(jù)URL文本中包含的信息，可以保持客戶持續(xù)性，從而保證內(nèi)容的個(gè)性化。1通過負(fù)載均衡優(yōu)化服務(wù)器資源支持的負(fù)載均衡演算法至少包含，-輪詢(Cyclic)-最少用戶數(shù)(Leastusers)-最少數(shù)據(jù)包數(shù)(Leastpackets)-最少字節(jié)數(shù)(Leastbytes)-最快回應(yīng)時(shí)間(FastedResponseTime)-SNMP定制(SNMPcustomized)可以監(jiān)視服務(wù)器在IP、TCP、UDP、應(yīng)用和內(nèi)容等所有協(xié)議層上的工作狀態(tài)。如果發(fā)現(xiàn)故障，訪問用戶即被透明地重定向到正常工作的服務(wù)器上。錯(cuò)與冗余雙機(jī)備援架構(gòu)方式提供設(shè)備間的完全容錯(cuò)，以確保網(wǎng)絡(luò)最大的可用性。兩個(gè)設(shè)備通過網(wǎng)絡(luò)相互檢查各自的工作狀態(tài)，為其所管理的應(yīng)用保障完全的網(wǎng)絡(luò)可用性。它們可工作于‘主用-備用’模式或‘主用-主用’模式，在‘主用-資。并且所有的訪問會(huì)話信息都可在設(shè)備間進(jìn)行鏡像，從而提供透明的冗余和完全的容錯(cuò)，確保在任何時(shí)候用戶都可以獲得網(wǎng)站訪問的最佳服務(wù)。1通過正常退出服務(wù)保證穩(wěn)定運(yùn)行當(dāng)需要進(jìn)行服務(wù)器升級或系統(tǒng)維護(hù)時(shí)，負(fù)載均衡設(shè)備可保證穩(wěn)定的服務(wù)器后，新的訪問連接將不會(huì)被指向該服務(wù)器。-DDoS保護(hù)：識別和保護(hù)應(yīng)用基礎(chǔ)架構(gòu)不受DoS/DDoS攻擊。這種保護(hù)已超越了其他供應(yīng)商采用的傳統(tǒng)SYNcookie技術(shù)所提供的保護(hù)。-入侵過濾：通過在惡意蠕蟲和病毒進(jìn)入應(yīng)用服務(wù)器前進(jìn)行識別并拒絕，保護(hù)應(yīng)用服務(wù)器不受侵襲。包檢測和過濾功能(包括對加密流量進(jìn)行檢測)可支持管理員制定政策來保護(hù)系統(tǒng)不受這些攻擊。-SSL加密：應(yīng)用內(nèi)容在傳輸過程中都受加密保護(hù)，通過卸載服務(wù)器復(fù)雜的加密任務(wù)將應(yīng)用處理能力發(fā)揮到了極致。該功能使管理員能保護(hù)敏感應(yīng)用內(nèi)容的安全，使其擺脫被竊取及被濫用的潛在威脅。1旁路建構(gòu)方式，保障原有網(wǎng)絡(luò)結(jié)構(gòu)負(fù)載均衡設(shè)備可選擇以旁路方式連接至網(wǎng)站系統(tǒng)，降低Web應(yīng)用交付使用的延宕風(fēng)險(xiǎn)。事件的分類分級，用于信息安全事件的防范與處置，為事前準(zhǔn)備、事中應(yīng)對、事后處理提供一個(gè)整體事件防范與處置的基礎(chǔ)。包括計(jì)算機(jī)病毒事件、蠕蟲事件、木馬事件、僵尸網(wǎng)絡(luò)事件、攻擊程序事件、網(wǎng)頁內(nèi)嵌惡意代碼事件和其它有害程序事件等7個(gè)第二層分類。僵尸網(wǎng)絡(luò)是指網(wǎng)絡(luò)上受到黑客集中控制的一群計(jì)算機(jī)，它可以被用于伺機(jī)發(fā)起網(wǎng)絡(luò)攻擊，包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽事件、網(wǎng)絡(luò)釣魚事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個(gè)第二層分類。包括網(wǎng)頁篡改、偽造網(wǎng)站等2個(gè)第二層分類。是指由于網(wǎng)站系統(tǒng)自身故障、外圍保障設(shè)施故障或人為使用非技術(shù)手段而導(dǎo)致的信息安全事件。是指由于不可抗力對信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。指不能歸為以上5個(gè)基本分類的信息安全事件。1)重大事件(Ⅰ級)指能夠?qū)е聡?yán)重影響或破壞的信息安全事件，使重要信息系統(tǒng)遭受重大的系統(tǒng)損失，即造成系統(tǒng)長時(shí)間中斷或癱瘓，使其業(yè)務(wù)處理能力受到極大影響，或系統(tǒng)關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)巨大，對于事發(fā)組織是無可承受的；或使重要信息系統(tǒng)遭受特別重大的系統(tǒng)損失。2)較大事件(Ⅰ級)指能夠?qū)е螺^嚴(yán)重影響或破壞的信息安全事件。使重要信息系統(tǒng)遭受較大的系統(tǒng)損失，即造成系統(tǒng)中斷，明顯影響系統(tǒng)效率，使重要信息系統(tǒng)或一般信息系統(tǒng)業(yè)務(wù)處理能力受到影響，或系統(tǒng)重要數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)較大，但對于