企业网站的安全威胁及防护措施

你是不是经常有这样的疑惑：“网站刚才还好好的，怎么突然登不上去了？”“为什么我每天访问的公司网站，一夜之间就被乱码取代了？”每当出现这些情况，网速和网站技术维护人员都成了默默的“背锅侠”。
其实，这也不能全怪他们，真正的幕后黑手，可能是网络黑客。
我们都知道，企业网站目前是企业信息系统建设的重要组成部分，然而企业网站除了能带来更好的推广宣传效果，也伴随着许多安全风险，如黑客攻击、网页纂改等问题，会严重影响企业的业务开展和企业形象，造成极坏的社会影响及声誉影响。
一、网站的安全威胁
目前较为常见的Web应用安全威胁主要有以下几种：
1、ddos攻击
DDoS分布式拒绝服务是最常见的网络攻击之一。攻击者控制大量主机对互联网上的目标进行攻击，占用服务器资源，导致业务中断，造成客户直接经济损失同时也对企业的声誉造成不同程度的影响。而多数客户经验不足，对ddos攻击威胁无计可施。
2、Web漏洞利用
由于网站应用开发的不规范性及开发者水平所限，任何网站应用都会存在漏洞。攻击者利用Web应用存在的漏洞缺陷，避开网站系统的身份验证，并将恶意程序传递给执行服务终端，使服务器执行错误命令，或诱导用户对上传的文件进行浏览与下载，导致Web网页篡改、挂马，甚至网站后台服务及数据库被控制，造成敏感数据泄露或托库。
3、SQL注入
SQL注入漏洞攻击是OWASP TOP10中发生频率非常高的漏洞利用攻击，该攻击主要是指攻击者在 Web表单递交查询字符串或者页面请求查询字符串或者输入域名查询字符串中插入SQL命令，以欺骗应用服务器的方式进行恶意SQL命令执行，给网站应用造成敏感数据泄露，数据库数据丢失或托库等严重影响。
4、XSS-跨站脚本攻击
XSS攻击也是OWASP TOP10中发生频率非常高的一种攻击行为。通常情况下，攻击者利用web应用存在的XSS漏洞将恶意代码置入到其他用户所使用的页面中，使用户在进行网页浏览时会点击到插入其中的连接，从而为攻击者提供信息盗取契机。
5、CSRF-跨站请求伪造攻击
CSRF攻击又被称之为“one-click attack”或者是“session riding”。攻击者通过伪装收信人用户请求对网站进行恶意利用，使用户在已登录页面中执行非自主意愿的操作。相对于跨站脚本攻击而言，其危险性更强，也更难防范。
6网页篡改与挂马
Web网页篡改挂马攻击通常是利用网站存在的漏洞，对网站应用后台进行提权操作，然后对Web页面内容进行篡改或植入木马暗链。一旦木马程序运行，将可能完全控制网站后台服务，从而获得敏感数据，甚至对网站进行破坏，或利用已被控制的网站应用为跳板对其它网站，业务系统或服务器进行攻击。
二、网站安全威胁的防护措施
那么，该如何解决企业网站安全防护问题呢？采取什么措施才适合网站安全防护建设需要呢？
1、事前分析预防阶段
这个阶段主要是针对待上线的网站Web应用，进行全面的安全评估，参照OWASP TOP10对网站Web应用进行全面检测，可以使企业管理人员充分了解Web应用存在的安全隐患，建立安全可靠的Web应用服务，改善并提升网站应用对抗各类Web应用攻击的能力。安全评估的内容主要包括漏洞扫描、配置核查、渗透测试、源代码审计等。
2、事中监测防护阶段
这个阶段主要是采取有效的安全防护措施，针对网站的各类攻击行为及异常访问行为进行实时的监测和防护，对于发现攻击实时阻断，并通过告警通知企业安全管理员，以便于快速处理安全事件。这一阶段的防护措施可以分为网络层安全防护和应用层安全防护两个部分。
3、事后优化阶段
在网站安全防护的事后阶段，通过安全设备日志及告警信息，对攻击源进行定位，分析攻击路径，找出引发攻击的网站脆弱点，有针对性的对网站安全防护策略进行优化，改善安全防护措施，加固企业网站系统。
最后，针对网站安全防护措施的优化和完善提供以下建议：
① 企业应定期对网站进行全面的安全评估，并且针对安全评估结果对网站实施安全加固；
② 建立和完善可落地的网站安全管理制度，规范企业网站的日常运维管理和操作。
③ 建立和完善有效的应急响应预案和流程，并定期进行应急演练，做到当发生异常状况时能够及时有效的进行处置和恢复，避免网站业务中断给企业带来损失。
④ 定期对相关管理人员和技术人员进行安全培训，提高安全技术能力和实际操作能力。