一种基于文件强制访问控制的网站防护方法
【技术领域】
[0001]本发明涉及数据安全领域，具体地说是一种基于文件强制访问控制的网站防护方法。
【背景技术】
[0002]随着网络的普及和应用，博客、论坛、网店、内容管理等网站层出不穷，人们间的沟通、交易、展示越来越依靠网络。网络在给大家带来方便的同时也存在着各种风险，如各类网站挂马、恶意网站破坏、信息泄露等。现有技术中，网站防护策略主要基于应用层、网络层，并基于黑名单的规则匹配来实现，虽然能够起到一定的防护作用，但效果并不理想。如何保证网站的安全引起了大家越来越多的关注。
[0003]为了保障系统安全，主机安全增强系统，如浪潮主机安全增强系统(简称SSR)已得到该用应用。该系统是基于对主机的内核级安全增强防护，当未经授权的内、外网用户进入了主机内部，它通过对原有系统管理员的权力进行分散，使其不再具有对系统自身安全构成威胁的能力，从而达到从根本上保障系统安全的目的。
【发明内容】
[0004]本发明的技术任务是针对上述现有技术的不足，提供一种基于文件强制访问控制的网站防护方法。
[0005]本发明的技术任务是按以下方式实现的:一种基于文件强制访问控制的网站防护方法，其特点是通过对已知漏洞和高危文件的分析，得到不同网站类型中的关键文件列表，并做成基于主机安全增强系统的文件规则模版，然后通过浪潮主机安全增强系统的文件强制访问控制功能进行规则配置和下发，实现对网站的底层防护。
[0006]当前使用率较高的网站类型主要有以下几类:IIS+ASP、Apache+PHP、Tomcat+JSP、Weblogic+JSPo
[0007]下面分别针对这四类网站分别说明其网站目录下的文件防护策略:
[0008](一 )所述网站类型为IIS+ASP时，文件规则模版采用以下文件防护策略:
[0009]为了保护用户的网站动态脚本，避免攻击者修改网站动态脚本插入后门或者上传Webshell，设置:.ASP、.ASPX,.ASA、.CDX、.CER、.HTR格式的文件对于所有进程均只有读权限；
[0010]为了防止利用IIS文件名解析漏洞，上传类似于xx.asp ;jpg格式的恶意代码文件，设置:.ASP ;*、.ASPX ;*、.ASA ;*、.CDX ;*、.CER ;*、.HTR ;*格式的文件对于所有进程只有读权限；
[0011]为了防止网站样式表被恶意修改挂马或毁坏，设置:.CSS格式的文件对所有进程只有读权限。
[0012]( 二)所述网站类型为Apache+PHP时，文件规则模版采用以下文件防护策略:
[0013]为了保护用户的网站动态脚本，避免攻击者修改网站动态脚本插入后门或者上传Webshell，设置:.PHP,.PHP3、.PHP4、.CDX、.CER格式的文件对于所有进程只有读权限；
[0014]防止利用Apache文件名解析漏洞，上传类似于xx.php.jpg格式的恶意代码文件，设置:.PHP.*、.PHP3.*、.PHP4.*格式的文件(星号为通配符)对于所有进程只有读权限；
[0015]为了防止网站样式表被恶意修改挂马或毁坏，设置:.CSS格式的文件对所有进程只有读权限。
[0016](三)所述网站类型为Tomcat+JSP时，文件规则模版采用以下文件防护策略:
[0017]为了保护用户的网站动态脚本，避免攻击者修改网站动态脚本插入后门或者上传Webshell，设置:.JSP格式的文件对于所有进程只有读权限；
[0018]为了防止网站JS脚本被恶意修改挂马，设置:.JS格式的文件对于所有进程只有读权限；
[0019]为了防止网站样式表被恶意修改挂马或毁坏，设置:.CSS格式的文件对所有进程只有读权限；
[0020]为了保护Web应用部署描述文件，防止恶意修改造成应用异常，设置:WEB_INF目录中的web.xml文件对所有进程只有读权限。
[0021](四)所述网站类型为Weblogic+JSP时，文件规则模版采用以下文件防护策略:
[0022]为了保护用户的网站动态脚本，避免攻击者修改网站动态脚本插入后门或者上传Webshell，设置:.JSP格式的文件对于所有进程只有读权限；
[0023]为了防止网站JS脚本被恶意修改挂马，设置:.JS格式的文件对于所有进程只有读权限；
[0024]为了防止网站样式表被恶意修改挂马或毁坏，设置:.CSS格式的文件对所有进程只有读权限；
[0025]为了保护Web应用部署描述文件，防止恶意修改造成应用异常，设置:WEB_INF目录中的web.xml文件对所有进程只有读权限；
[0026]plan, xml文件是Weblogic的部署计划相关文件，指明了应用的访问路径，为防止恶意修改造成应用访问失败，设置其对所有进程只有读权限。
[0027]将以上4种网站的各自规则，做成基于主机安全增强系统的文件规则模版后，根据实际环境中的网站类型和路径，修改文件规则模版路径，然后将规则文件导入，即可按照规则对网站目录进行内核级的强制访问控制。
[0028]上述方法的实现包括以下步骤:
[0029](一 )在服务器上部署网站，并安装主机安全增强系统客户端；
[0030]( 二)在本地PC上安装主机安全增强系统控制端，然后确定系统中的网站目录，并修改提前制定好的文件规则模版中文件的路径；
[0031](三)使用主机安全增强系统的规则导入功能，将网站文件规则导入，从而实现对网站关键文件的保护。
[0032]本发明的基于文件强制访问控制的网站防护方法基于白名单，与现有技术中基于黑名单形式的防护手段形成了互补，且实现于内核层，作为网站防护体系中的最后一道防线，对网站关键文件进行最后一层防护，从最根本上防止恶意上传和破坏，保证网站的安全和稳定运行。
【附图说明】
[0033]附图1是本发明实施例网站防护方案流程图；
[0034]附图2是本发明实施例系统网络拓扑图。
【具体实施方式】
[0035]参照说明书附图以具体实施例对本发明的基于文件强制访问控制的网站防护方法作以下详细地说明。
[0036]实施例:
[0037]步骤一、通过对已知漏洞和高危文件的分析，针对当然使用率较高的IIS+ASP、Apache+PHP、Tomcat+JSP、Weblogic+JSP等四类网站制定网站目录下的文件防护策略:
[0038](1)IIS+ASP
[0039]为了保护用户的网站动态脚本，避免攻击者修改网站动态脚本插入后门或者上传Webshell，设置:.ASP、.ASPX,.ASA、.CDX、.CER、.HTR格式的文件对于所有进程均只有读权限；
[0040]为了防止利用IIS文件名解析漏洞，上传类似于xx.asp ;jpg格式的恶意代码文件，设置:.ASP ;*、.ASPX