淺議從網(wǎng)站安全角度中小企業(yè)建立門戶網(wǎng)站的策略

李惠

摘 要：本文主要討論中小企業(yè)門戶網(wǎng)站在建設(shè)到運(yùn)營(yíng)期間，將面臨的網(wǎng)絡(luò)威脅，以及針對(duì)于各種威脅所做的安全策略的設(shè)計(jì)。

關(guān)鍵詞：中小企業(yè)；門戶網(wǎng)站；網(wǎng)絡(luò)威脅

DOI：10.16640/j.cnki.37-1222/t.2017.14.118

隨著互聯(lián)網(wǎng)時(shí)代的深入，企業(yè)門戶網(wǎng)站的建設(shè)已經(jīng)變的很普遍也極其必要，但由于企業(yè)選擇的不同建站方式，網(wǎng)站的結(jié)構(gòu)與技術(shù)水平有相當(dāng)大的差異，各中對(duì)于網(wǎng)站宣傳作用的影響主要受制于內(nèi)容、結(jié)構(gòu)的設(shè)計(jì)，但一個(gè)不可忽視的問題：網(wǎng)站安全也隨之浮出水面，不得不引起我們的重視。

網(wǎng)站安全對(duì)于企業(yè)門戶網(wǎng)站而言，主要體現(xiàn)在兩個(gè)方面：既系統(tǒng)安全與數(shù)據(jù)安全。前者保障網(wǎng)站系統(tǒng)的穩(wěn)定工作，不會(huì)因?yàn)槟撤N事件導(dǎo)致網(wǎng)站系統(tǒng)的崩潰，從而中斷網(wǎng)站的運(yùn)營(yíng)，影響用戶及客戶的訪問，進(jìn)而妨礙企業(yè)的正常宣傳和具體業(yè)務(wù)。后者保障網(wǎng)站上的企業(yè)及客戶的數(shù)據(jù)不被惡意的刪除、篡改、竊取和盜鏈，或因各種原因?qū)е聰?shù)據(jù)的丟失和損毀。這里單獨(dú)解釋一下盜鏈的定義與危害，盜鏈簡(jiǎn)單的說即是未經(jīng)企業(yè)的許可將將企業(yè)網(wǎng)站中的部分?jǐn)?shù)據(jù)引用至其它的網(wǎng)站，可以這樣理解：如果整個(gè)網(wǎng)站被引用，這是對(duì)企業(yè)的有益引用，我們所指的盜鏈?zhǔn)蔷植繑?shù)據(jù)的盜引（如對(duì)于旅游網(wǎng)站的圖片和線路的引用；對(duì)于內(nèi)容服務(wù)類企業(yè)網(wǎng)站中內(nèi)容的引用）。這種引用會(huì)導(dǎo)致兩方面的后果：一方面是企業(yè)的創(chuàng)意和業(yè)務(wù)數(shù)據(jù)被盜用和濫用，另一方面大量的盜鏈會(huì)導(dǎo)致網(wǎng)站的帶寬被引用的網(wǎng)站訪客所占用，致使網(wǎng)站訪問速度變慢，影響正常的訪問速度及網(wǎng)站的穩(wěn)定性。

下面我們將從建站模式的選擇，網(wǎng)站運(yùn)營(yíng)平臺(tái)的選擇，主要的安全策略，維護(hù)中的注意事項(xiàng)幾個(gè)方面加以詳細(xì)的討論。

1 建站模式的選擇

首先是建站團(tuán)隊(duì)的選擇，主要是三種情況：1）建站服務(wù)商，優(yōu)點(diǎn)是技術(shù)成熟，團(tuán)隊(duì)穩(wěn)定，售前售后服務(wù)好，開發(fā)經(jīng)驗(yàn)充足，缺點(diǎn)是成本較高，這種開發(fā)團(tuán)隊(duì)適合企業(yè)規(guī)模較大，對(duì)網(wǎng)站的穩(wěn)定性和性能要求較高的企業(yè)；2）企業(yè)內(nèi)部技術(shù)員工，優(yōu)點(diǎn)是對(duì)企業(yè)情況及需求較為了解，開發(fā)成本低，缺點(diǎn)是沒有完整的項(xiàng)目規(guī)程和成熟的開發(fā)經(jīng)驗(yàn)，這種開發(fā)模式適合擁有獨(dú)立技術(shù)部門且對(duì)網(wǎng)站安全性要求不高的企業(yè)；3）獨(dú)立開發(fā)者，主要是淘寶或技術(shù)群中專門從事網(wǎng)站開發(fā)的專門獨(dú)立技術(shù)提供者，優(yōu)點(diǎn)是專業(yè)水平和服務(wù)尚可，開發(fā)成本較低，缺點(diǎn)是團(tuán)隊(duì)穩(wěn)定性差，比較適合微小企業(yè)。

這里面涉及具體的有關(guān)于網(wǎng)站安全的是網(wǎng)站模式的選擇，常用的是B/S（瀏覽器-服務(wù)器）結(jié)構(gòu)，B/S結(jié)構(gòu)的特點(diǎn)是所有的數(shù)據(jù)和程序在服務(wù)器端存儲(chǔ)和運(yùn)行，這種結(jié)構(gòu)兼容性非常好，能在各種操作系統(tǒng)和瀏覽器以及移動(dòng)終端上打開，有利于企業(yè)的宣傳。也因?yàn)槿绱?，大量的并行訪問也對(duì)B/S結(jié)構(gòu)對(duì)于服務(wù)器性能和穩(wěn)定性提出了較高要求。建議有條件采用獨(dú)立服務(wù)器的企業(yè)，選用性能配比較高的刀片式服務(wù)器，常用的服務(wù)器有IBM公司和康柏公司的服務(wù)器。

網(wǎng)站開發(fā)語言常用的有ASP、JSP和.Net，ASP（Active Server Pages）活動(dòng)交互服務(wù)模式，便于發(fā)開和維護(hù)，支持多種即時(shí)翻譯程序。.net是ASP的擴(kuò)展應(yīng)用，提高了網(wǎng)站程序和代碼的安全性和穩(wěn)定性。Jsp（Java Server Pages），是基于JAVA語言和小程序的，與標(biāo)記語言（HTML）相結(jié)合的，通過性較強(qiáng)的活動(dòng)網(wǎng)頁開發(fā)技術(shù)。開發(fā)團(tuán)隊(duì)可以結(jié)合開發(fā)成本、企業(yè)需求和安全需求三方面來進(jìn)行選擇。

2 網(wǎng)站運(yùn)行平臺(tái)的選擇

企業(yè)的網(wǎng)站需要24小時(shí)的運(yùn)行，這就需要一個(gè)穩(wěn)定的運(yùn)行平臺(tái)，關(guān)于軟件環(huán)境這是需要網(wǎng)站開發(fā)團(tuán)隊(duì)來制定，主要是操作系統(tǒng)，目前流行的是windows2008，及數(shù)據(jù)庫系統(tǒng)，目前主要以SQL和ORACLE為主。本文主要討論企業(yè)建站應(yīng)該選用什么樣的硬件平臺(tái)。目前主要的模式是獨(dú)立主機(jī)和虛擬空間兩種。獨(dú)立主機(jī)是只獨(dú)立架設(shè)一臺(tái)網(wǎng)站服務(wù)器，優(yōu)點(diǎn)在于便于管理與維護(hù)，擴(kuò)容性強(qiáng)；缺點(diǎn)是費(fèi)用較高，維護(hù)成本高，技術(shù)要求高，適用于企業(yè)規(guī)模較大，網(wǎng)站結(jié)構(gòu)宏大，功能全面，訪問量大的環(huán)境。虛擬空間是指在服務(wù)提供商的主機(jī)中劃出虛擬空間來運(yùn)行企業(yè)的網(wǎng)站，優(yōu)點(diǎn)是成本低，缺點(diǎn)是容量有限，訪問速度受限，可擴(kuò)容性差，適用于小微企業(yè)的功能單一的展示型網(wǎng)站。

3 主要安全策略

企業(yè)網(wǎng)站運(yùn)行中主要的安全策略包括軟件和硬件兩個(gè)方面。硬件方面，建議在主交換下裝配IPS（入侵檢測(cè)系統(tǒng)），以及硬件防火墻。較大型的企業(yè)要將辦公網(wǎng)絡(luò)劃制網(wǎng)段。軟件方面除要為服務(wù)器裝配軟件防火墻，專業(yè)級(jí)別的服務(wù)器殺毒軟件外，還要對(duì)數(shù)據(jù)庫系統(tǒng)進(jìn)行雙機(jī)熱備份，或采用SCSI陣列2或5，以保證數(shù)據(jù)安全。

4 系統(tǒng)維護(hù)策略

網(wǎng)站系統(tǒng)需要長(zhǎng)期穩(wěn)定的運(yùn)行環(huán)境，這種環(huán)境的營(yíng)造一方面靠前期建站的總體設(shè)計(jì)，另一方面后期維護(hù)也很重要。

對(duì)于獨(dú)立主機(jī)架設(shè)的網(wǎng)站服務(wù)器而言，維護(hù)相對(duì)復(fù)雜，所以本文以此為例。

首先維護(hù)人員應(yīng)當(dāng)定期檢查IPS及防火墻的日志記錄，發(fā)現(xiàn)有無異常數(shù)據(jù)。然后是對(duì)系統(tǒng)進(jìn)行備份，對(duì)數(shù)據(jù)庫操作日志進(jìn)行檢測(cè)，發(fā)現(xiàn)異常操作。對(duì)防火墻和殺毒軟件系統(tǒng)進(jìn)行定期升級(jí)。

系統(tǒng)維護(hù)人員也應(yīng)當(dāng)建立完善的維護(hù)日志，以便于系統(tǒng)故障后的原因排查，以及維護(hù)人員更換和交接后，能迅速了解網(wǎng)站的工作狀態(tài)和歷史情況。

綜上所述，中小企業(yè)建設(shè)一個(gè)適合自身的網(wǎng)站，除了目標(biāo)需求外，要充分考慮網(wǎng)站的安全性，限于水平，此文論述尚有許多不足，望讀者批評(píng)指正。

參考文獻(xiàn)：

[1]邱文軍，華中平.計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全維護(hù)研究[J].信息安全，2007（09）：111-112.