專家剖析政府網站為何易受攻擊
原創【51CTO.com 專家特稿】近期各大政府站點相繼被入侵，更為可惡的是被掛上惡意網馬，造成訪問政府站點的用戶大量密碼、銀行賬號、股票交易賬號、游戲賬號，甚至是個人隱私不斷泄露，內網機密信息泄露，造成大量不可估量的損失！
經過筆者調查，zone-h.org這個組織是一個全球網絡站點攻擊的統計站點，排在第一位一直都是中國的政府站點。不知道是為了刷這個排名，還是一些黑客以此類站點成功入侵為榮，但是從這個上面也能看到政府站點一是hack最喜歡光顧的站點，也可以看出這些站點是多么的脆弱！每年政府機關投入的網絡安全經費達到上百萬之多，更有甚者投入設備達到上千萬，但是這么多的經費投入，設備投入，為什么還是抵擋不住這些惡意攻擊呢？下面筆者來做下深度分析。
政府站點結構：
目前政府站點結構有三類：
A類是以jsp架構為主，數據庫以oracle為主（重要單位）
B類是以php架構為主，數據庫以mysq為主（官方政府站點，辦事機構等）
C類是以asp架構為主，數據庫以sql server，更小的使用access（多用于一些政府站點下的2層機構，例如社區站點，民生相關的，醫保等機構）
政府站點之所以淪陷的原因：
一、溜須拍馬，疏于防范
一些網絡管理人員為了能更上一層樓，討好相關領導，利用上班時間給一些領導下載電影和幫助一些領導子女下一些學習資料，歌曲，考試復習資料，在現在的信息時代中，誰能保證你所下載的這些電影和資料里面不被下了“作料”呢。有人肯定會說，這是沒有辦法的事情，畢竟人在屋檐下不得不低頭么，再說我機器上裝的有殺毒軟件，有病毒也就被殺毒軟件處理掉了，現在的免殺技術關閉殺毒軟件已經很輕松了。現在p2p已經成為了病毒和蠕蟲的最大滋生地了，所以無論我們的網絡安全設備是如何的值錢，但是我們在內部管理上出現了漏洞，那就是把銅墻鐵壁搬來也是阻擋不了的。
二、網管人員安全意識淡薄，引狼入室
人以類聚，物以群分，一些網管人員利用上班時間在服務器上聊天，結交五湖四海的兄弟，拜一些所謂的技術牛人為師，日久情深，暴露出自己的真實身份，太過相信對方，被對方利用了也不知曉，這些都不在少數，有些還成為了某間諜機構的馬前卒。這些我們能不為之嘆息么？做技術的人有一個共同的毛病，那就是空虛，畢竟每天面對自己的都是一些鋼鐵機器，生活在這個環境下，久而久之就更多的希望有朋友，有兄弟能同情自己，讓自己有一些安慰，那么解決這個辦法的最好途徑就是利用聊天工具進行聊天。這是一個通病，還有一個就是下載一些電影，對于那些愛好學習的書呆子管理員呢，更多的是下資料和人交流網絡安全技術，義氣大于天，過于相信別人，被人植入木馬，還在為其搖旗吶喊，哎，可悲啊，說實在的，這些工作在底層的技術人員很少有人去對他們關心，這也造就了今天的這個局面。所以更多的入侵其實發生在內部，無論是收買也好，還是發泄也好，這些內部的入侵從開始到現在一直都是屢禁不止。
三、巨資投入，更新無錢，網管身心疲憊，更新遙遙無期
一個項目投入上千萬，配備最頂尖的防火墻、路由器、IDS等硬件設備，小型機，幾十臺的公文流轉服務器，文件服務器，打印服務器，這些在某政府站點的專業機構中是最常見的。但是為什么還是被輕易入侵了呢，答案是很少有人去打補丁，從安裝的那一刻起，怎么裝上去的，就怎么使用，沒有人會去想著是不是該打補丁了，通常在政府擔任的管理人員要身兼多職，有些還要擔當某美女的專職程序安裝工，他們每天打交道的都是這些機器，平時少言寡語，這樣或許更顯得酷一些，但是碰到美女的時候，這些管理員也想打開了話匣子一樣，恨不得找話題和美女聊天，美女對他們的肯定，那比發了獎金還要高興，長期生活在這個環境下面，就會讓他們慢慢的疲憊和懶散起來，想去更新補丁包吧，又怕把設備給弄壞了，原因是他們的底子薄弱，似懂非懂，怕丟掉飯碗，日子久了，也就沒有心思去想著打補丁了，這樣樣本庫，入侵事件庫一直都是原始狀態，有些設備的密碼直接使用admin，或者root，這樣的設備筆者進入過的就不少，前提條件是經過官方授權的。還有一種情況就是前期把資金一下花完，這些硬件設備1年之后，再沒有多余的經費去做維護，廠商也不愿意擔任這個責任，所以更多的這些設備被成了擺設。所以這些政府站點被入侵就是這么的輕松了。
四、弱口令存在，入侵就是這么簡單
有些機關站點，使用的網頁竟然是一些開源站點，進行修改以后就進行使用的，更多的是使用免費源代碼，有些為了省事，連官方公布的密碼都沒有修改，就直接架設上，連原始的密碼都沒有調整，有些數據庫防下載都沒有設置，經筆者檢測的這樣問題的站點數量已經都記不清楚了，利用萬能密碼直奔管理后臺。哎，換想一下，如果對方是個間諜的話，那么你們自身機器上的文件信息，涉密信息還能保證不泄密么？
#p#
為什么有人會這么熱衷政府站點的入侵，入侵此類站點的用意為何？
通過近期這么多的政府站點被入侵，可以看出哪些黑色交易商已經到了狗急跳墻的地步，以前他們是只針對游戲站點下手和賭博站點，現在這些游戲站點已經獲得了大量的安全經驗，加上國內針對這個方面打擊的相當嚴厲，他們已經把矛頭轉向了這個領域，這個領域的涉獵范圍廣闊，每天有很多的用戶登陸上來，進行一些信息查詢和了解一些最新的政府動向。這些用戶有可能就是一些游戲玩家，企業家，機關人員，拿下該站點后，通過掛網頁木馬從而能夠盜取大量的信息。這些信息經過匯總分類以后再處理給黑色產業鏈下面的分支機構，進行專向的分揀，各取所需。
誰最該為這些政府站點遭受入侵之后而負責？
最該為這些政府站點負責的不是別人，而是管理這些站點的領導，管理這些站點的管理員，他們太多的是沒有經過任何的崗前安全培訓就進行上崗操作了，多數都是通過各種關系而進入，熟人推薦，以某某領導的親戚而進來，恰恰因為這些人的存在，造成了網站淪陷的加劇，這些人員沒有一點的安全常識，更多的是就靠書本上的一點點所知的皮毛就進行操作，為了自己的私欲，利用上班期間，高速帶寬的便利條件，下載大量的電影和資料，天南海北的聊天。未經別人開口，就自報家門，在強大的虛榮心縱容下，甚至在聊天過程中暴漏很多機密信息，以及網絡拓撲結構等重要信息，從而留下致命的安全隱患。
還有些機關為了省錢，把站點進行isp托管維護，這些服務器供應商維護人員通常也不夠專業，有些是兼職人員，還有一些管理員是身兼多職，通過熟人介紹認識一些所謂社會上的電腦高手，經過一番簡單調查以后，就讓這些人員來進行維護，這就造成了被旁路入侵的安全隱患，在同一網段的服務器被拿下以后，通過滲透入侵，嗅探到關鍵密碼，而最終拿下該政府站點。
在這里筆者真誠的希望這些領導醒悟起來，花一些時間和精力要么組建一支專業的技術強隊來維護，要么就選擇一些專業的技術團隊來做技術服務支撐，前提條件是如果選擇了后者，一定要做好調查，以免被人魚目混珠，被人渾水摸魚了,因為98%的攻擊最先發自網絡安全內部，有些入侵的原因就是管理人員對領導的不滿，或被責罵或被撤職，這些都是造成攻擊的主要原因，所以在這里筆者也希望這些領導能更多的平已進人，放下官架子，多為這些基層人員考慮，能一視同仁，多關心下下屬。
如何才能更好的防范政府站點被入侵？
對網絡管理人員進行技術培訓，經過技術考核才能上崗，崗前安全培訓，要求操作人員對數據庫調用讀寫具有一定的水準，網站編寫要有高水準，熟悉一些常見的網絡腳本。在服務器上不擅自進行下載和上傳操作，不在主服務器上聊天和安裝未經驗證和檢查的第三方軟件和控件。
管理員要經常的更換密碼，隨身攜帶的密碼本要放到別人不容易看到和拿到的地方，不和外面的社會人員進行聊天，時刻保持清醒的頭腦，不要在工作之外的時間談論自己的身份和工作相關的內容。
把重要數據庫放到內網里面，對進行數據庫操作的人員進行ip限制和安全審計，2天一清查登陸信息，勤查服務器日志。
內網做到真正的物理隔離，對一些重要的移動存儲設備進行安全審計，未經允許不得私自插入個人機和涉密服務器，涉密郵箱要做到發完即刪除，時常檢查草稿箱和文件服務器，一經發現有入侵跡象，要第一時間做到現場保護，數據保留，不能為了逃脫干系而采取毀滅證據，錯過了重要的取證過程。
總結：
建議這些政府站點的領導們能夠好好的深思下，檢查下自己的站點是否存在上述的這些問題，現在改的話，還是來得及的，別到時候丟了烏紗帽，或者丟了性命，到那時，為時已晚矣！自身負責，勤加管理，多多咨詢專業安全機構，時常搞一些安全培訓，友情入侵檢測，和當地的安全公司或者安全組織進行互動，由衷的希望政府職能部門的領導能充分利用政府站點更好的為老百姓做事，讓老百姓能夠快速安全，便捷的在家中完成一些事物處理。
【編輯推薦】
