【正文】 系統(tǒng)工作原 理圖 文件防護(hù)實(shí)現(xiàn)原理 對(duì)于當(dāng)代的操作系統(tǒng)來(lái)說(shuō)，所有硬件、軟件程序以及操作系統(tǒng)本身對(duì)磁盤文件的操作都要通過(guò)操作系統(tǒng)的文件驅(qū)動(dòng)部分來(lái)進(jìn)行，也僅有文件驅(qū)動(dòng)層才能最終將要進(jìn)行的文件操作傳達(dá)給磁盤存儲(chǔ)設(shè)備，從而讀取或改變其內(nèi)容。系統(tǒng)針對(duì)來(lái)源和操作行為，提前終止其后續(xù)篡改操作請(qǐng)求。 2：試運(yùn)行周期根據(jù)工程實(shí)施總進(jìn)度及合同相關(guān)規(guī)定。 影響應(yīng)用系統(tǒng)工作 IGuard 網(wǎng)頁(yè)防篡改系統(tǒng)工作在系統(tǒng)層，一般不會(huì)對(duì) Web 應(yīng)用造成影響，如果 Web 應(yīng)用出現(xiàn)問(wèn)題，要在防篡改系統(tǒng)上查找原 因，可立即停止防篡改系統(tǒng)保護(hù)策略，并聯(lián)系技術(shù)支 持人員進(jìn)行排查。 配合事項(xiàng) （ 1）確認(rèn)網(wǎng)頁(yè)防篡改所需的管理中心部署服務(wù)器； （ 2）安裝時(shí)網(wǎng)站系統(tǒng)管理人員到場(chǎng)，并提供需要防護(hù)的網(wǎng)站路徑和相應(yīng)服務(wù)器的 root 用戶口令； （ 3）協(xié)調(diào)網(wǎng)站發(fā)布人員，調(diào)整網(wǎng)頁(yè)防篡改發(fā)布方式，把原有網(wǎng)站發(fā)布路徑指向備份路徑； （ 4）部署完成后做發(fā)布測(cè)試，檢測(cè)網(wǎng)站能否正常發(fā)布； （ 5）用戶訪問(wèn)網(wǎng)站測(cè)試，確認(rèn)網(wǎng)站能夠正常提供服務(wù)，所有功能正常； （ 6）打開(kāi)管理中心服務(wù)器的管理端口； （ 7）打開(kāi) Web 服務(wù)器的數(shù)據(jù)傳輸端口； 安裝測(cè)試 防篡改系統(tǒng)實(shí)施完成后可按照如下步驟進(jìn)行簡(jiǎn)單測(cè)試： （ 1）檢查網(wǎng)站服務(wù)器主機(jī)是否運(yùn)行正常。 注：防火墻需要開(kāi)放對(duì)應(yīng) TCP 通信端口。 在湘江路 IDC機(jī)房的兩臺(tái)服務(wù)器中 ,需要安裝 2 個(gè)監(jiān)控端 ,可以單獨(dú)管理中心 ,也可以把管理中心安裝在其中一臺(tái) WEB 服務(wù)中 .登錄管理中心需要使用控制臺(tái) 模塊，該模塊可安裝在管理人員辦公主機(jī)上， 或者移動(dòng)電腦上 ,可根據(jù)權(quán)限進(jìn)行策略管理。 ? 接口開(kāi)放性 網(wǎng)頁(yè)防篡改系統(tǒng)應(yīng)用的各項(xiàng)技術(shù)應(yīng)保證具有開(kāi)放性、可擴(kuò)展性，系統(tǒng)軟件和硬件須提供開(kāi)放的應(yīng)用接口，能夠與其他應(yīng)用系統(tǒng)進(jìn)行互通。 ? 可防護(hù)各類 WEB 應(yīng)用 支持各類 WEB 服務(wù)器，例如 IIS、 WebLogic、 WebSphere、 Apache、Tomcat 等；支持各類 WEB 服務(wù)器中安裝的主流數(shù)據(jù)庫(kù)，包括 SQL Server、Oracle、 Sybase、 Informix、 DB MySQL 等；支持各類 WEB 系統(tǒng)所部署的服務(wù)器操作系統(tǒng)及其版本。 用 戶 接 口 界 面自 我 保 護(hù) 模 塊防 護(hù) 模 塊檢 測(cè) 模 塊系 統(tǒng) 運(yùn) 行 環(huán) 境對(duì) 外 發(fā) 布 的 文件 . 圖 片 . 聲 音 等W E B 應(yīng) 用 相 關(guān)的 目 錄 及 文 件動(dòng) 態(tài) 生 成 的 網(wǎng) 頁(yè)內(nèi) 容數(shù) 據(jù) 庫(kù)S Q L 注 入跨 站 攻 擊非 法 上 傳W E B S h e l l… …保 護(hù) 的 內(nèi) 容 各 種 攻 擊網(wǎng) 頁(yè) 篡 改 防 護(hù)利 用 O S 漏 洞攻 擊 圖 網(wǎng)頁(yè)防篡改系統(tǒng)功能框架示意圖 其中各個(gè)模塊的實(shí)現(xiàn)的主要功能如下： （ 1）檢測(cè)模塊 檢測(cè)模塊主要功能是發(fā)現(xiàn)正在進(jìn)行的網(wǎng)頁(yè)篡改攻擊、越權(quán)獲取信息企圖或者已經(jīng)成功的網(wǎng)頁(yè)篡改攻擊。 ? 管理指標(biāo) 網(wǎng)頁(yè)防篡改系統(tǒng)具備完整的帳號(hào)、認(rèn)證、權(quán)限管理、審計(jì)功能，支持圖形化管理界面，支持系統(tǒng)組件的運(yùn)行狀態(tài)監(jiān)控。 用戶可訪問(wèn)的網(wǎng)頁(yè)內(nèi)容指用戶可以從互聯(lián)網(wǎng)公開(kāi)訪問(wèn)的合法資源，包括靜態(tài)網(wǎng)頁(yè)顯示的內(nèi)容、動(dòng)態(tài)網(wǎng)頁(yè)或數(shù)據(jù)庫(kù)等生成的內(nèi)容。建立網(wǎng)站備份路徑，用來(lái)對(duì)網(wǎng)站系統(tǒng)做發(fā)布更新。 （ 3）網(wǎng)頁(yè)發(fā)布方式的相應(yīng)調(diào)整 部署完網(wǎng)頁(yè)防篡改后，由于網(wǎng)站原始路徑受到保護(hù)，默認(rèn)不能再對(duì)該路徑進(jìn)行修改，必須通過(guò)備份路徑來(lái)進(jìn)行發(fā)布更新，備份路徑可選擇安裝在本機(jī)其他路徑或額外的備份服務(wù)器。 （ 4）檢查防篡改系統(tǒng)控制臺(tái)（ console）是否可以登錄管 理中心進(jìn)行相關(guān)配臵操作，策略下發(fā)是否成功，是否有日志顯示。為此，根據(jù)系統(tǒng)內(nèi)容，以及本工程的進(jìn)度計(jì)劃、質(zhì)量目標(biāo)，需要制定產(chǎn)品、材料、工具的準(zhǔn)備計(jì)劃。 IGuard網(wǎng)頁(yè)防篡改保護(hù)系統(tǒng)采用基于文件驅(qū)動(dòng)級(jí)的保護(hù)技術(shù) —— 內(nèi)核事件觸發(fā)保護(hù)機(jī)制，確保系統(tǒng)資源不被浪費(fèi)。文件防護(hù)模塊提供對(duì)網(wǎng)站頁(yè)面腳本等相關(guān)文件的防護(hù)，動(dòng)態(tài)防護(hù)模塊提供對(duì)網(wǎng)站動(dòng)態(tài)應(yīng)用及數(shù)據(jù)庫(kù)內(nèi)容的防護(hù)。當(dāng)操作系統(tǒng)產(chǎn)生一個(gè) 磁盤文件操作事件時(shí)，防篡改系統(tǒng)就能夠通過(guò)文件驅(qū)動(dòng)層捕獲這一事件，通過(guò)識(shí)別其是否針對(duì)被保護(hù)路徑以及操作是否合法，進(jìn)行相應(yīng)的放行或阻止操作。 IGuard 防篡改系統(tǒng)的動(dòng)態(tài)防護(hù)模塊采用核心內(nèi)嵌技術(shù)，與 Web 服務(wù)緊密結(jié)合，能夠捕獲所有的 Web 連接請(qǐng)求，可以對(duì)用戶提交的數(shù)據(jù)內(nèi)容及訪問(wèn)請(qǐng)求進(jìn)行合法性檢測(cè)，支持對(duì) SQL 注入（盲注）攻擊、 XSS 跨站攻擊、溢出代碼攻擊等構(gòu)造類網(wǎng)絡(luò)攻擊方式的檢測(cè)，能夠進(jìn)行有效的阻止與保護(hù)。首先，對(duì)于頁(yè)面文件來(lái)說(shuō)，一般正常的訪問(wèn)不會(huì)導(dǎo)致網(wǎng)站頁(yè)面的更改，而防篡改系統(tǒng)只有在檢測(cè)到有對(duì)頁(yè)面文件進(jìn)行修改的行為時(shí)才會(huì)對(duì)該行為進(jìn)行攔截，而其他的系統(tǒng)操作與防篡改系統(tǒng)無(wú)關(guān)，不受影響。當(dāng)針對(duì)備份路徑的文件內(nèi)容進(jìn)行修改時(shí)， IGuard系統(tǒng)可以通過(guò)文件驅(qū)動(dòng)層截獲這一請(qǐng)求，在操作完成后可以自動(dòng)將修改的部分增量同步到網(wǎng)站原始路徑。系統(tǒng)日志記錄了所有用戶（包括超級(jí)用戶和各個(gè)管理員）的操作記錄，如更改策略、打開(kāi)關(guān)閉保護(hù)、增刪保護(hù)目錄、備份恢復(fù)、增刪管理員等。這樣就使得只有通過(guò) FTP 方式進(jìn)行的文件更新才是合法的，而通過(guò)其他的方式進(jìn)行的更新操作都是非法的。 自動(dòng)增量發(fā)布更新實(shí)現(xiàn) 防篡改系統(tǒng)在安裝后會(huì)默認(rèn)對(duì)任何修改網(wǎng)站文件內(nèi)容的操作進(jìn)行阻止，因此，網(wǎng)站的發(fā)布更新一般在備份路徑完成。系統(tǒng)針對(duì)來(lái)源和操作行為，提前終止其后續(xù)篡改操作請(qǐng)求。系統(tǒng)默認(rèn)針對(duì)原始網(wǎng)站路徑的任何修改操作均為非法，可根據(jù) 不同網(wǎng)站管理方式及發(fā)布更新方式靈活設(shè)定防護(hù)策略（根據(jù)進(jìn)程進(jìn)行放行等）。 文件防護(hù)模塊負(fù)責(zé)對(duì)網(wǎng)站服務(wù)器上的文件內(nèi)容部分進(jìn)行防護(hù)，而動(dòng)態(tài)防護(hù)模塊負(fù)責(zé)對(duì)動(dòng)態(tài)應(yīng)用及數(shù)據(jù)調(diào)用進(jìn)行防護(hù)。 在面對(duì)大規(guī)模連續(xù)的篡改時(shí)， IGuard 防篡改系統(tǒng)檢測(cè)到首個(gè)非法操作后就會(huì)實(shí)時(shí)阻斷其后續(xù)其他的篡改操作。 項(xiàng)目預(yù)計(jì)自設(shè)備供貨完畢后（供貨周期為 5 個(gè)工作日）， 15 個(gè)工作日內(nèi)完成系統(tǒng)實(shí)施進(jìn)入試運(yùn)行階段，具體時(shí)間進(jìn)度安排： 序號(hào) 項(xiàng)目細(xì)節(jié) 5 日 4 日 4 日 4 日 4 日 4 日 N 日 1 設(shè)備到貨 2 產(chǎn)品到貨驗(yàn)收 3 系統(tǒng)安裝 4 策略配臵 5 系統(tǒng)獨(dú)立測(cè)試 6 系統(tǒng)聯(lián)調(diào) 7 實(shí)施文檔準(zhǔn)備 8 試運(yùn)行階段 說(shuō)明： 1：本進(jìn)度表為項(xiàng)目工期進(jìn)度表。 解決方案：網(wǎng)頁(yè)防篡改對(duì)網(wǎng)站目錄進(jìn)行保護(hù)，被保護(hù)的網(wǎng)站目錄將不可寫，只能通過(guò)備份目錄來(lái)更新網(wǎng)站，需要在網(wǎng)站原始路徑與實(shí)際發(fā)布系統(tǒng)之間增加一個(gè)備份路徑，在該備份路徑上做網(wǎng)站更新，防篡改系統(tǒng)能夠把更新的內(nèi)容實(shí)時(shí)增量同步到網(wǎng)站原始路徑，實(shí)現(xiàn)正常的發(fā)布更新流程?；蛘咴诎l(fā)布更新時(shí)暫停保護(hù)，更新完成再開(kāi)啟保護(hù)等。 （ 3）在工作人員管理主機(jī)上安裝管理控制臺(tái)（ IGuard Console），用來(lái)登錄管理中心，進(jìn)行策略調(diào)整，查閱日志等操作。 部署拓?fù)? 根據(jù)項(xiàng)目需求調(diào)研，網(wǎng)頁(yè)防篡改系統(tǒng)在 黑龍江聯(lián)通 平臺(tái)部署拓?fù)淙缦拢? … … …二 樞 紐 1 D C 2 5 臺(tái) 服 務(wù) 器（ 部 署 U n i s G u a r d 防 篡 改 系 統(tǒng) 監(jiān) 控 端 ）湘 江 路 1 D C 2 臺(tái) 服 務(wù) 器（ 部 署 U n i s G u a r d 防 篡 改 系 統(tǒng) 監(jiān) 控 端 ）U n i s G u a r d 防 篡改 系 統(tǒng) 管 理 中 心U n i s G u a r d 防 篡改 系 統(tǒng) 管 理 中 心告 警 服 務(wù) 器報(bào) 表 服 務(wù) 器備 份 服 務(wù) 器… … …二 樞 紐 1 D C 2 5 臺(tái) 服 務(wù) 器（ 部 署 U n i s G u a r d 防 篡 改 系 統(tǒng) 監(jiān) 控 端 ）湘 江 路 1 D C 2 臺(tái) 服 務(wù) 器（ 部 署 U n i s G u a r d 防 篡 改 系 統(tǒng) 監(jiān) 控 端 ）U n i s G u a r d 防 篡改 系 統(tǒng) 管 理 中 心U n i s G u a r d 防 篡