【IT168 案例】随着大数据时代的来临，IDC机房建设不断升级，IDC安全已成为各大电信运营商竞争和关注的焦点。特别是随着企业信息化程度的提高，其自身的数据安全和信息网络安全也越来越被关注。

　　近几年，IDC机房在信息安全方面采取了一系列安全措施，初步实现了对部分关键业务系统的基本保护，并降低了病毒和黑客等攻击源对系统安全性造成破坏的可能性。但由于IDC机房网络信息系统结构的复杂性和庞大性，而且各种应用系统的建设受到当时条件的限制缺乏统一的远景规划，导致在网络信息系统管理和技术上还遗留了很多安全问题和隐患，使得Web应用系统仍然存在很多来自外部或内部引起的安全风险, 目前在国内，针对Web应用的攻击问题相当严重，网页遭受非法篡改的事件时有发生。托管到IDC机房的用户网站，一旦某些重要网页被篡改后被公众浏览到，将会对客户单位及IDC机房的形象造成巨大的负面影响。为了保证现有业务系统安全，必须对现有的IDC机房的Web网站进行专业有效的安全防护，能够有效防止黑客对网站页面的篡改攻击，保障客户网站安全。

　　特殊环境决定IDC机房网页防篡改建设原则

　　考虑到IDC机房的特殊性，IDC机房的用户数量庞大，网站应用所使用的OS平台、Web服务器种类、后台发布系统、后台数据库等种类繁多，技术水平参差不齐。要对整个机房的所有Web网站系统进行统一的防篡改建设，首要考虑的因素是可实施性;针对不同的Web网站系统，能够简单有效的实现网页防篡改目的，达到用户实际需求。另外，还需遵循以下原则：

　　■ 方案先进原则：系统要求功能完善、技术先进、安全可靠、服务领先;

　　■ 系统安全原则：系统自身安全包括物理安全、系统安全、数据安全和运行安全等;

　　■  可扩展原则：统一规划，兼顾长远，既要满足现有的需求，又要兼顾系统的可扩展性，保证分布实施的延续性。系统在结构、规模、应用能力等各个方面都必须具备很强的扩展能力;

　　■ 易操作原则：网页防篡改保护系统的使用、维护、管理等方面要易操作;

　　■  高效原则：系统的处理能力要求能满足现阶段的实际需求，保证系统的高效运行，并能根据系统的发展进行不断提升;

　　■ 功能完整原则：网页防篡改保护系统的功能完整，应用安全扩展系统功能完整;

　　■ 灵活性原则：整个系统的扩展方面必须满足灵活性要求。

　　天融信推出IDC机房网页防篡改方案

　　结合上述分析，天融信公司应用安全团队通过对网站安全多年的研究经验，针对Web应用安全提出了全新的安全防护方式，采用天融信网页防篡改系统对IDC机房的网站系统进行统一规划建设，达到IDC机房的防篡改保护要求。天融信网页防篡改系统采用当前非常先进的系统底层文件驱动技术，通过驱动层面的访问控制手段，实现对网站页面的全面保护，直接阻止非法用户对网站页面的篡改行为，真正意义上做到了事前防篡改。

　　由于IDC机房的特殊性，采用当前市面上传统的防篡改产品，使用传统的部署模式无法满足IDC机房的技术要求;当前传统的防篡改系统都是采用分布式部署，集中管理模式部署，在部署防篡改的时候，需要对原网站系统进行完全备份，用于后期网站更新发布及篡改恢复。但此类防篡改系统针对IDC机房的庞大用户群体，根本无法有效推广，具体来看，存在以下问题：

　　1、 传统防篡改系统部署模式需要对原网站进行备份，IDC如此庞大的网站数量，备份网站需要极大的磁盘空间，需要耗费极大的资源。

　　2、传统防篡改系统采用集中管控方式，数以万计的防篡改客户端集中于一个管理平台，对软件的可靠性及可用性提出了严峻的考验，环境过于复杂后，可能根本无法实现。

　　3、传统防篡改部署后，网站发布需要在防篡改指定的备份目录进行发布，发布后由防篡改系统把数据信息同步到对应的Web目录，IDC机房的客户都是远程维护信息，如果采用此模式，所有用户发布都必须经过防篡改备份端，必须考虑防篡改备份服务器的安全性、可靠性及对应服务器的性能。如此多的用户使用同一台或几台备份服务器，如何控制对应的用户权限?如何保证用户发布的习惯，保证用户发布的信息能及时同步到对应的Web应用?

　　通过以上分析可以得出，采用传统的防篡改防护模式，根本无法满足IDC机房的基本需求，天融信针对IDC机房的特殊性进行全面分析，推出一套适用于IDC机房的防篡改安全防护方案，此方案简单有效，能够全面适宜于IDC机房的特殊环境，便于大量推广。具体方案如下：

　　改变传统的部署模式，把分布式部署，集中管理模式更改为针对单一服务器单独部署。针对IDC机房的特殊情况，天融信推出一款专业用于IDC机房的防篡改系统，该系统打破常规，所有防护都基于单台服务器来实现，使管理模式变得简单易行。

　　天融信的防篡改核心技术采用第三代防篡改技术：系统底层文件驱动保护技术，使用该技术能够从系统底层对需要保护的网站文件或目录进行全面保护，防止黑客篡改，做到事前防御。正是由于这种技术的先进性，使得防篡改使用单机模式部署成为可选择的一种部署方式，此方式能够完美的满足IDC机房的特殊环境要求，有效防护IDC用户的Web网站。具体实现方式如下：

　　1、在IDC机房需要进行篡改防护的服务器上安装天融信网页防篡改系统，通过防篡改策略，直接监控网站目录，阻止篡改攻击，部署后即使非法用户获得管理员或SYSTEM权限，均无法对保护目录下的网页文件进行篡改。

　　2、部署防篡改系统后，网站需要发布更新，必须预留页面更新通道，我们通过进程许可的方式来实现;所谓进程许可就是把用户用于网站更新发布的进程添加到防篡改系统的许可列表，则该进程可以往防篡改保护目录更新网页文件，除此进程外的所有操作都被视为非法，防篡改系统将直接阻止。

　　3、为便于集中监控，天融信网页防篡改系统对篡改日志可以提供syslog接口统一上报到IDC机房的统一监控平台。

　　方案优势：

　　采用以上方案，无需增加额外设备，无需改变原有网络架构，所有操作均针对单一服务器，安装部署简单，防篡改防护只针对文件，与Web服务器无关，适用于所有的Web服务器和所有的内容管理系统。即便防篡改系统出现故障，不会影响Web网站正常运行，有效保障业务系统的有效性和连续性。