证券交易业务网站安全解决方案

证券交易业务网站安全解决方案北京中软华泰信息技术有限责任公司2008-5-10 ,目 录1. 证券交易业务网站安全形势 .......................

证券交易业务网站

安全解决方案

北京中软华泰信息技术有限责任公司

2008-5-10

目 录

1. 证券交易业务网站安全形势 .......................................................................................................... 3

2. 证券交易业务网站安全需求及现有技术现状 ............................................................................. 4

2.1 网站常见攻击分析 ................................................................................................................. 4

2.1.1 恶意代码攻击 . ............................................................................................................. 4

2.1.2 利用系统漏洞的攻击 ................................................................................................. 4

2.1.3 XSS 攻击 . .................................................................................................................... 4

2.1.4 DDoS/DoS攻击 ......................................................................................................... 5

2.1.5 SQL注入攻击 ............................................................................................................ 5

2.2 目前已有网站防护技术及其缺陷分析................................................................................ 6

2.2.1 传统防恶意代码技术弊端 . ........................................................................................ 6

2.2.2 常见网页防篡改技术及其缺陷................................................................................. 6

2.2.3 防SQL 注入技术情况 . ................................................................................................. 7

3. 华泰证券交易业务网站安全解决方案 . ......................................................................................... 8

3.1

3.2 网站防护方案概述 . ........................................................................................................... 8 HuaTech 网站防护系统具体技术方案 ............................................................................ 9

3.2.1 恶意代码主动防御 ..................................................................................................... 9

3.2.2 网页的文件过滤驱动保护 . ...................................................................................... 10

3.2.3 防跨站攻击 . ............................................................................................................... 10

3.2.4 防SQL 注入 ................................................................................................................ 10

3.2.5 双机热备 .................................................................................................................... 11

3.2.6 自身抗网络攻击能力 ............................................................................................... 11

3.2.7采用内核性能优化和安全加固技术 ....................................................................... 11

3.3 方案创新内容 .................................................................................................................. 12

3.3.1 对未知病毒具备免疫能力 . ...................................................................................... 12

3.3.2 更有效的网页防篡改技术 . ...................................................................................... 12

3.3.3 更简便的布署与管理过程 . ...................................................................................... 12 4. 系统部署方案 ................................................................................................................................ 13

1. 证券交易业务网站安全形势

随着证券交易业务的快速发展，越来越多的人开始选择通过网络查询交易相关信息、实现网上交易。目前，我国的各种证券交易机构，纷纷建立了网上查询交易系统，方便、快捷的交易特点促使这几年我国的网上证券用户数量急剧增长。在这种环境下，信息安全问题已经成为证券交易业务发展中亟待解决的重要问题。

证券交易业务系统主要包括三个关键组成部分：证券交易服务器、证券交易客户端以及传输过程。其中，证券交易网站服务器的安全是重中之重。网站因需要被公众访问而暴露于因特网上，由于处于一个相对开放的环境中，加之各类网页应用系统的复杂性和多样性导致系统漏洞层出不穷，极易成为黑客的攻击目标。根据CNCERT 调查报告显示，2007年上半年，中国大陆被篡改网站的数量相比往年处于明显上升趋势，被篡改网站总数达到28367个，比去年全年增加了近16。而仅在2007年11月1日至30日，大陆地区被篡改网站的数量就达到了5499个，较上月增加537个，其中代号为“Kml! ”和“@SL@N_BEY”的攻击者对大陆网站进行了大量的篡改。针对金融类网站的攻击事件也呈不断上升趋势。2005年，美国爆发了当今最大的金融数据泄密事件，有黑客侵入了为万事达、Visa 、AmericanExpress 和Discover 服务的“信用卡第三方付款处理器”的网络系统，造成4000多万信用卡用户的数据资料被窃；2006年，某犯罪组织竟然在某银行的证券交易服务器内成功植入了木马程序，每隔0.5秒扫描一次，凡是此时登陆的客户，其帐号和口令通通被窃取，这一事件甚至惊动了国务院……。因此，提高证券交易网站的安全性刻不容缓。

1

2．证券交易业务网站安全需求及现有技术现状

2.1 网站常见攻击分析

目前常见的网站攻击方式主要有利用系统漏洞的攻击；利用病毒、蠕虫、木马和间谍软件等恶意代码实施攻击；利用DOS 、DDOS 等攻击方式以及SQL 注入等，这些攻击方式无一例外地成为了威胁证券交易网站安全的因素。

2.1.1 恶意代码攻击

如今，恶意程序也以每天数百的数量激增。由于证券交易网站服务器的访问量巨大，因此，恶意代码攻击者不仅把证券交易业务网站作为实施攻击的重点目标，而且还会把网站作为传播恶意代码的重要载体。新类型的病毒、木马等出现后，其制造者通常会先选择网站作为攻击对象，在成功感染网站系统后采用网页“挂马”的方式向更多的终端机器传播恶意代码。

2.1.2 利用系统漏洞的攻击

这种攻击方式是使用缓冲区溢出方式获得管理员权限，从而任意修改网页内容，窃取信息。系统漏洞是指应用软件或操作系统软件在逻辑设计上的缺陷或在编写时产生的错误，这个缺陷或错误可以被不法者或者电脑黑客利用，通过植入木马、病毒等方式来攻击或控制整个电脑，从而窃取电脑中的重要资料和信息，甚至破坏系统。

2.1.3 XSS攻击

XSS 又叫CSS (Cross Site Script) ，即跨站脚本攻击。它指的是恶意攻击者往Web 页面里插入恶意html 代码，当用户浏览该页之时，嵌入其Web 里面的html 代码就会被执行，从而达到恶意用户的特殊目的。XSS 属于被动式的攻

2

击，由于其被动且不容易被发现，所以许多人经常忽略其危害性。

2.1.4 DDoS/DoS攻击

DoS （Denial of Service），即拒绝服务，是指攻击者通过消耗受害网络的带宽，消耗受害主机的系统资源，发掘编程缺陷，提供虚假路由或DNS 信息，致使被攻击目标不能正常工作。

DDOS (Distributed Denial of Service)即分布式拒绝服务攻击，相当于DOS 攻击的升级版，是同时发动分布于全球的几千台主机对目的主机攻击，即使对于带宽较宽的站点也会产生致命的效果。

2.1.5 SQL注入攻击

这种攻击手法利用网页漏洞使用SQL 注入攻击方式，获得系统或数据库管理员权限，从而任意修改数据库。所谓SQL 注入，就是通过把SQL 命令插入到Web 表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL 命令，比如很多网站泄露VIP 会员密码大多就是通过WEB 表单递交查询字符暴露出来的，这类表单特别容易受到SQL 注入式攻击。

例如某个ASP .NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。登录页面中输入的内容将直接用来构造动态的SQL 命令，或者直接用作存储过程的参数。攻击者在用户名字和密码输入框中输入“‘或’1‘=’1”之类的内容。用户输入的内容提交给服务器之后，服务器运行上面的ASP .NET 代码构造出查询用户的SQL 命令，但由于攻击者输入的内容非常特殊，所以最后得到的SQL 命令变成：SELECT * from Users WHERE login =‘’or ‘1’=‘1’AND password =‘’or ‘1’=‘1’。 服务器执行查询或存储过程，将用户输入的身份信息和服务器中保存的身份信息进行对比。由于SQL 命令实际上已被注入式攻击修改，已经不能真正验证用户身份，所以系统会错误地授权给攻击者

3

2.2 目前已有网站防护技术及其缺陷分析

2.2.1 传统防恶意代码技术弊端

目前市场上的计算机病毒防杀类产品大都是基于恶意代码特征指令序列的静态判定方法形成的，这种技术的最严重缺陷是它不能对变体或未知特征的恶意代码进行判断，其技术的先天安全滞后性已经不能满足用户（尤其是像证券交易业务这样关系到国家经济命脉和社会稳定的业务）的安全要求。每一次的大规模病毒爆发都伴随着用户业务和经济上的巨大损失，因此，市场迫切需要一种更加积极主动的安全技术和产品来阻止包括未知恶意代码在内的安全事件的发生。

2.2.2 常见网页防篡改技术及其缺陷

目前市场上比较常见的网页防篡改技术有以下三种：

1）外挂轮询技术：利用一个网页读取和检测程序，以轮询方式读出要监控的网页，与真实网页相比较，来判断网页内容的完整性，对于被篡改的网页进行报警和恢复。

2）核心内嵌技术：将篡改检测模块内嵌在Web 服务器软件里，它在每一个网页流出时都进行完整性检查，对于篡改网页进行实时访问阻断，并予以报警和恢复。

3）事件触发技术：利用操作系统的文件系统或驱动程序接口，在网页文件的被修改时进行合法性检查，对于非法操作进行报警和恢复。

外挂轮询方式以轮询方式检测监控网页，在两次检测中间就会出现一个时间间隙，如果攻击发生在这个时间间隙中，则被篡改的网页内容已经被提供出去，危害已经造成，再恢复就没什么意义了。此外，由于从外部不断地和独立地扫描Web 服务器文件，对Web 服务器会形成相当的负载，并且扫描频度（亦即安全程度）和负载总是矛盾的。

核心内嵌技术需要对每一个流出的网页进行完整性检查，如果浏览人数众多，网页需要频繁的被检测，将会极大的影响系统的性能。另外，这项技术在

4

实现时需要备份要监控的网页，以便和流出的网页进行对比。但是，如果备份的网页也被篡改，将会造成巨大的影响。

事件触发技术的缺陷是需要不断侦测受控网页。如果是大中型网站，或者提供下载服务的网站，那么就需要对所有的网页及文件进行监控，至使其设备会产生过大的压力。另外，与核心内嵌技术相同，事件触发技术也需要备份要监控的网页，如果备份服务器也被篡改，则不可能再恢复正常。

以上三种方法的共同安全隐患是，需要备份要监控的网页，以便在网页被篡改之后能够恢复。但是，其备份服务器同时也面临着被攻击的风险，一旦备份的网页也被篡改，就不再具有恢复的可能。

2.2.3 防SQL 注入技术情况

目前市场上常见的防止SQL 注入的方式为在网页代码中加入过滤语句，但这种方式是在应用层基础上实现，需要针对不同的网页作不同的处理，不能通用。

5

3. 华泰证券交易业务网站安全解决方案

3.1 网站防护方案概述

HuaTech 网站防护系统方案，是华泰公司网络安全研发团队在深厚技术积累和应用实践经验的基础上，对目前国内外相关计算机数据进行详尽搜集、仔细研究，对同类安全产品进行纵横比较分析后，自主创新设计的一套针对证券交易业务网站的安全防护方案。

本方案试图从以下几方面提高证券交易服务器的安全性：

a) 通过信任链传递机制实现对证券交易服务器的应用安全管理，阻止恶意代码在证券交易服务器上传播和运行，从而保证证券交易业务正常、可信地运行；

b) 通过“管道封装技术”达到“网站安全防护”功能，防止溢出类黑客攻击对证券交易服务器系统重要数据和信息（比如网页）的篡改和破坏，并阻止黑客对证券交易服务器采取的SQL 注入攻击和跨站攻击，有效防范对证券交易数据库的攻击；

c) 通过在证券交易服务器前部署“网站保护墙”，对DDoS 攻击等类型攻击进行有效过滤，阻止黑客对证券交易业务服务的破坏。

整个系统由软件和硬件部分共同组成，主要实现了恶意代码主动防御、网页的文件过滤驱动保护、防SQL 注入、双机热备、抗网络攻击能力等功能。以期防止黑客入侵、网站篡改，从而更有效地对网站网页安全进行保护。 HuaTech 网站防护系统由恶意代码主动防御子系统、网页防篡改子系统和Web Wall 子系统等三部分构成。其中恶意代码主动防御子系统、网页防篡改子系统为软件实现，Web Wall子系统是一个高速稳定的硬件平台和经过安全加固的操作系统的组合。

配置管理器（软件）：系统提供了GUI 管理程序，用于网站防护系统进行配置及日常管理，其中GUI 管理器支持远程集中统一管理。管理软件均可运行于Microsoft Windows /2000/XP/2003 环境下。

配置管理界面：系统支持两种配置管理界面，（1）GUI 管理界面管理方式，

6

用于网站防护系统进行配置及日常管理，其中GUI 管理器支持远程集中统一管理。管理软件均可运行于Microsoft Windows /2000/XP/2003 环境下。（2）Web 界面管理方式，网站防护系统可以通过Web 界面进行统一集中管理。

图1给出了HuaTech

网站防护系统体系结构。

图1：证券交易业务网站防护系统体系结构

3.2 HuaTech 网站防护系统具体技术方案 3.2.1 恶意代码主动防御

通过利用信任链机制，对系统中所有装载的可执行文件代码（例如EXE 、DLL 、COM 等）进行控制，所有可执行文件代码在加载运行之间都需要先经过检验，只有通过验证的代码才可以加载，从而有效地阻止恶意代码的运行。验证方法为：首先为系统制定可信白名单，即允许执行代码文件的hash ，在进程装载二进制文件之前首先计算其hash 值，并与可信白名单进行比较，不在白名单中的一概不允许执行，这样既可以防止恶意代码运行，又可以防止恶意代码依附其他系统或应用程序运行，确保执行代码的真实性和完整性，同时效率上不会有明显影响。

7

3.2.2 网页的文件过滤驱动保护

利用操作系统漏洞，应用缓冲区溢出等方法可以获得管理员权限，从而可以任意修改网页文件，以达到攻击的目的。针对这种攻击方式，采用安全管道封装技术来保护网页不被篡改。即网站管理员可以自行选择需要保护的网页文件并将之设定为受控对象，对于每一个受保护的对象，管理员为其设定一个对象相关授权码。对于所有受保护的对象，网站防护系统在操作系统内核对其加以保护，在不知道对象相关授权码的情况下，即使是系统管理员，系统也禁止其对受保护对象（比如主页）进行任何特定操作，例如修改内容、删除、重命名等。

通过安全管道封装技术，即使攻击者拿到系统管理员的权限，由于不知道受控对象的授权码，因而也无法对其进行修改，从而可以有效阻止溢出类攻击对系统网页的篡改。

对于Web 服务（例如IIS 、APACHE ）的相关配置文件也采用同样的方式进行保护，防止通过修改配置文件达到篡改网页的目的。

需要指出的是由于对于受保护对象的读操作没有任何的限制，因而可以保证Web 正常向外提供服务。只有在提供授权码的情况下才可以对受保护对象进行修改，使得管理员可以方便的更新网页内容。

3.2.3 防跨站攻击

跨站攻击的攻击者通过向Web 页面里插入恶意html 代码，从而达到特殊目的。网站防护系统通过先进的数据包正则表达式匹配原理，可以准确地过滤数据包中含有的跨站攻击的关键字。从而保护用户的WEB 服务器安全。

3.2.4 防SQL 注入

使用硬件模块截获所有收到的网络数据包，在URL 地址中查找是否有这些关键字的存在，如果发现数据包中包含这些关键字，则将该数据包丢掉，从而过滤掉SQL 注入攻击所使用的注入代码，保证数据库的安全，防止非法修改数

8