网站网页被篡改怎么办

ICS35.
040L80中华人民共和国国家标准GB/TXXXXX—XXXX信息安全技术网站可信评估指标Informationsecuritytechnology—Assessmentindexforwebsitetrustiness点击此处添加与国际标准一致性程度的标识在提交反馈意见时,请将您知道的相关专利连同支持性文件一并附上.
(本稿完成日期:2017-01-05)XXXX-XX-XX发布XXXX-XX-XX实施目次前言II引言III1范围12规范性引用文件13术语和定义14缩略语15评估指标26网站基本级要求36.
1身份要求36.
2系统安全要求37网站增强级要求67.
1身份要求67.
2系统安全要求68网站基本级评估方法98.
1身份真实性评估98.
2系统安全评估99网站增强级评估方法129.
1身份真实性评估139.
2系统安全评估1310评估结果展示1711评估结果撤销17附录A(资料性附录)评估流程示例18A.
1评估准备18A.
2评估阶段18前言本标准按照GB/T1.
1-2009的规则起草.
本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口.
本标准主要起草单位:中国电子技术标准化研究院、北龙中网(北京)科技有限责任公司、上海凭安网络科技有限公司、百度在线网络技术(北京)有限公司、北京奇虎科技有限公司、北京天威诚信电子商务服务有限公司、北京数字认证股份有限公司、中国信息安全认证中心、无线网络安全技术国家工程实验室.

本标准主要起草人:许东阳、范科峰、叶润国、上官晓丽、高宁、赵京、韩洪慧、杨茂江、黄林莉、石晓虹、郝萱、傅大鹏、张斌、李丽侠.
引言近年来,互联网应用的迅速普及,各种网站得到快速发展,但由此产生的网站信任问题也逐渐突出和严重.
大量的假冒网站和钓鱼网站的出现已严重影响了我国网站的健康发展,很多的网民被假冒网站和钓鱼网站欺诈过,每年造成巨大的经济损失,这引发了互联网的诚信危机,也对社会和经济的发展造成了一定负面的影响.

本标准规定了网站可信评估指标与评估方法,使得网站标识颁发机构可以评估网站的身份真实性与系统安全,互联网各终端软件厂商(浏览器、搜索引擎、微博、安全软件和即时通讯软件等)可查询标识颁发机构验证的网站标识信息,并以适当的方式展示给网民,以实现对网民上网行为的保护,帮助网民有效甄别真假网站,净化网络环境.

在本标准实施过程中,涉及到密码技术的具体应用时,应按照国家密码管理局发布的有关规定和相关技术规范执行.
信息安全技术网站可信评估指标范围本标准规定了网站可信评估指标、网站基本级要求、网站增强级要求、评估方法、评估结果展示和撤销等内容.
本标准适用于国内所有合法接入的互联网网站.
规范性引用文件下列文件对于本文件的应用是必不可少的.
凡是注日期的引用文件,仅注日期的版本适用于本文件.
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件.
GB/T22239—2008信息安全技术信息系统安全等级保护基本要求GB/T22240—2008信息安全技术信息系统安全等级保护定级指南GB/T25069—2010信息安全技术术语术语和定义GB/T25069—2010中界定的以及下列术语和定义适用于本文件.
3.
1网站系统websitesystem网站及支撑其运行的物理环境、网络环境、服务器操作系统和数据库系统等.
3.
2交易类网站transactionalwebsite以产品的网络销售为核心目的与盈利模式的网站,涉及支付、交易等行为,如网络商店、网络商城等.
3.
3网站标识websiteidentity用于公众识别网站身份和系统安全的电子图形标识.
3.
4标识颁发机构identityissuer负责网站标识整个生命周期(包括注册、签发、发布和废除)管理的、用户信任的颁发机构.
缩略语FTP文件传输协议(FileTransferProtocol)HTTP超文本传输协议(HypertextTransferProtocol)ICP网络内容服务商(InternetContentProvider)IP互联网协议/网间协议(InternetProtocol)PV页面访问量(PageView)SQL结构化查询语言(StructuredQueryLanguage)SSH安全外壳协议(SecureShell)WWW万维网(WorldWideWeb)评估指标网站可信评估指标可分为网站身份层、系统安全层.
网站身份评估指标包括网站名称、网站IP地址、域名所有权属、网站经营者身份证明信息等.
网站系统安全评估指标包括Web网站安全、数据安全、主机安全、网络边界安全、物理安全、综合防护等.

网站可信评估指标见表1.
表1网站可信评估指标类别项目评估内容网站身份层网站名称标识颁发机构登记网站注册的名称ICP备案信息一致性标识颁发机构验证网站相关信息是否与ICP备案信息一致网站IP地址标识颁发机构登记网站运营IP地址,包括地址范围,是否动态分配,网站服务器是否在国内或者国外域名所有权属标识颁发机构验证网站域名注册信息,核验该网站是否具有域名所有权属组织机构代码标识颁发机构登记网站实际经营单位的组织机构代码,有些单位没有组织机构代码可使用其它社会信用代码代替工商登记信息一致性标识颁发机构验证网站相关信息是否与工商登记信息一致身份证明信息标识颁发机构登记身份证明信息,可以为网站实际经营者身份证明信息或者经办人信息及授权证明系统安全层Web应用安全标识颁发机构评估Web应用安全、域名安全等数据安全标识颁发机构评估网站的内容发布及数据安全等主机安全标识颁发机构评估服务器安全、管理终端安全等网络边界安全标识颁发机构评估网络边界安全物理安全标识颁发机构评估网站的物理安全综合防护标识颁发机构评估网站的运行支撑、攻击防范、安全监控、应急响应等根据上述评估指标,需要针对构成网站系统的各层面提出安全要求,并规范相应的评估方法与流程,开展评估工作.
本标准中的网站身份和系统安全要求可划分为基本级、增强级两个等级.
各评估单位可依据网站的类别、访问量、注册用户数和业务重要度选择相应级别的要求进行评估,见表2.
其中,满足任意一项级别选择指标要求的网站均宜选择增强级要求与评估.

在本标准描述中的粗体字表示较低等级要求中未出现或较高等级要求中加强的内容.
表2网站评估级别选择方法级别选择因素级别选择指标适用的评估级别类别交易类网站是增强级否基本级访问量有效日均访问次数≥20万PV是增强级否基本级注册用户数累计注册用户总数≥50万是增强级否基本级业务重要度网站受到破坏后,会对社会秩序和公共利益造成严重损害或者对国家安全造成损害;或按照GB/T22240—2008要求安全保护等级级别定为三级以上(含三级)的网站是增强级否基本级有效日均访问次数应避免重复统计同一访问源在短时间内进行的多次访问.
网站基本级要求身份要求为了应对日益严峻的流量劫持、数据泄漏、钓鱼欺诈等安全问题,网站经营者应向核验机构证明其真实身份,应提供的信息包括但不限于:网站名称、ICP备案信息、网站IP地址、域名所有权属、组织机构代码、工商登记信息、身份证明信息等.

系统安全要求运行支撑本项要求包括:a)网站系统如采用主机托管或虚拟主机模式建设运行,应选择在物理安全、网络安全、主机安全等方面符合本标准基本级要求或GB/T22239—2008中第二级基本要求的数据中心;b)网站经营者应分析网站系统的性能需求,从网络带宽、服务器的处理能力、应用程序的并发处理能力等方面对网站性能予以保障.
物理安全机房场地在防火、防水、防震、防盗、防静电、防雷、防电磁、监控、温湿度控制等方面应符合GB/T22239—2008中第二级基本要求的物理安全要求.
网络边界安全本项要求包括:a)应在网站系统与互联网之间的网络边界处部署防火墙等边界隔离设备,并配置合理的边界访问控制策略,实现网站系统与互联网之间的逻辑隔离;b)应明确各安全域之间的实际访问需求,合理配置相应的安全域边界过滤策略;c)应仅允许互联网用户及内部用户终端访问网站服务器提供的HTTP服务等指定的服务和端口.
服务器安全本项要求包括:a)操作系统和数据库系统应遵循最小安装原则,仅安装业务必需的服务、组件和软件等;b)应采用用户名/口令等鉴别机制实现服务器操作系统及数据库系统的身份鉴别,口令应有复杂度要求并定期更换;c)应采取措施防范口令暴力破解攻击,可采用设置登录延时、限制最大失败登录次数、锁定账号等措施;d)针对服务器操作系统及数据库系统应设置必要的用户访问控制策略,为不同用户授予其完成各自承担任务所需的最小权限,限制超级管理员等默认角色或用户的访问权限;e)应及时清除服务器操作系统及数据库系统中的无用账号、默认账号;f)应限制网站服务器及数据库服务器等重要服务器的远程管理,需要远程进行管理时,应采用SSH等安全方式实现;g)服务器应仅开启业务所需的最少服务及端口;h)应实现服务器操作系统及数据库系统的安全审计,对系统远程管理、账号登录、策略更改、对象访问、服务访问、系统事件、账户管理等行为及WWW、FTP等重要服务访问进行审计;i)针对安全审计记录及审计策略应设置必要的访问控制,禁止未授权的删除、修改或覆盖等.
管理终端安全本项要求包括:a)应根据网站管理需求,设置端口、协议等访问控制策略,禁止非授权远程访问管理终端;b)应设置并启用管理终端的移动存储介质接入安全策略,检验移动存储介质的安全性;c)不应长期设置共享目录,共享文件应明确共享权限,不再使用时应及时取消相应目录的共享设置;d)应对软件的增加、修改、删除等软件变更情况进行审计,审计信息应包括日期、时间、来源、用户、操作及结果等要素;e)应定期进行管理终端软件安全漏洞扫描,及时评估和修补已经发布的软件安全漏洞.
Web应用安全本项要求包括:a)网站对浏览用户可不进行鉴别,对前台注册用户、后台内容管理用户及系统管理用户应采用用户名/口令等身份鉴别机制实现用户身份鉴别;b)应提供访问控制功能,授予网站用户为完成各自承担任务所需的最小权限,限制默认角色或用户的访问权限;c)应提供安全审计功能,应对用户的注册、登录、关键业务操作等行为进行日志记录;d)应对安全审计记录及审计策略设置必要的访问控制,禁止未授权的删除、修改或覆盖等;e)应根据网站访问需求限制最大并发会话连接数;f)如用户在一段时间内未作任何操作,网站应自动结束当前会话;g)应定期针对应用程序或代码、Web应用服务器、FTP等网络应用程序进行漏洞扫描,及时修补存在的安全漏洞.
域名安全本项要求包括:a)应选择主管部门批准的域名注册服务机构进行域名注册和域名托管,并进行域名信息报备;b)应遵循国家有关监督审批流程开展域名变更、解析地址变更等工作,当域名信息需要变化时,应经审核批准后,由指定专人负责实施并及时记录.
内容发布及数据安全本项要求包括:a)网站内容管理模块应提供内容审核功能,并提供网站内容编辑与审核发布权限分离的功能;b)网站应仅面向经身份验证的注册用户提供信息发布功能,且提供信息经审核人员审核后才能发布的功能选项;c)应根据网站规模和信息发布方式选择相应的网页防篡改产品,对网站关键的静态页面和动态页面进行监控和保护;d)应保护收集到的个人信息、关键配置参数、重要业务数据等,在远程传输及本地存储过程中应采用相应措施进行保护;e)应对网站系统的应用程序、系统数据、配置数据及审计日志等定期进行备份.
攻击防范本项要求包括:a)应在网络边界、服务器、管理终端等处应采取恶意代码防范措施,实行统一有效的恶意代码防范软件机制,并及时更新恶意代码防范软件版本和恶意代码特征库,对恶意代码进行实时检测和清除;b)应定期对所有本地存储介质进行安全扫描,及时对接入介质及其文件进行安全扫描;c)应对恶意代码防范软件的运行状态进行监测,并对关闭进程或修改配置的行为进行监测;d)应针对信息系统中的安全事件进行实时监控,监测和阻断端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等常见网络攻击行为,并监测和阻断目录遍历攻击等Web服务器漏洞攻击行为以及SQL注入、跨站脚本攻击等网站自身漏洞攻击行为.

安全监控与应急响应本项要求包括:a)应利用网站状态监控系统或人工监控的方式,监测网站的运行状态,对网站异常状况进行报警和处置;b)应定期对网站应用程序、操作系统及数据库、管理终端进行全面扫描,根据扫描结果判断网站存在的安全风险,及时调整监测策略;c)应利用木马监控系统或第三方安全服务等方式及时发现并处置网站挂马事件;d)应利用网页防篡改系统、人工自检或第三方安全服务等方式及时发现网站篡改事件并迅速处理;e)可根据网站系统的具体特点,制定应急响应预案,当信息安全事件发生时,应按照应急预案的要求及时组织应急处置并记录.
网站增强级要求身份要求为了应对日益严峻的流量劫持、数据泄漏、钓鱼欺诈等安全问题,网站经营者应向核验机构证明其真实身份,应提供的信息包括但不限于:网站名称、ICP备案信息、网站IP地址、域名所有权属、组织机构代码、工商登记信息、身份证明信息等.

系统安全要求运行支撑本项要求包括:a)网站系统如采用主机托管或虚拟主机模式建设运行,应选择在物理安全、网络安全、主机安全等方面符合本标准增强级要求或GB/T22239-2008中第三级基本要求的数据中心;b)网站系统的Web应用程序与数据库系统应部署在不同的独立物理服务器或虚拟服务器上;c)网站经营者应分析网站系统的性能需求,从网络带宽、负载均衡、服务器的处理能力、应用程序的并发处理能力等方面对网站性能予以保障.
物理安全机房场地在防火、防水、防震、防盗、防静电、防雷、防电磁、监控、温湿度控制等方面应符合GB/T22239-2008中第三级基本要求的物理安全要求.
网络边界安全本项要求包括:a)应在网站系统与互联网之间的网络边界处部署防火墙等边界隔离设备,并配置合理的边界访问控制策略,实现网站系统与互联网之间的逻辑隔离;b)应明确各安全域之间的实际访问需求,合理配置相应的安全域边界过滤策略;c)应仅允许互联网用户及内部用户终端访问网站服务器提供的HTTP服务等指定的服务和端口;d)应仅允许指定的IP地址访问网站服务器提供的内容管理、系统管理等服务和端口.
服务器安全本项要求包括:a)操作系统和数据库系统应遵循最小安装原则,仅安装业务必需的服务、组件和软件等;b)应采用用户名/口令等鉴别机制实现服务器操作系统及数据库系统的身份鉴别,口令应有复杂度要求并定期更换;c)应采取措施防范口令暴力破解攻击,可采用设置登录延时、限制最大失败登录次数、锁定账号等措施;d)针对服务器操作系统及数据库系统应设置必要的用户访问控制策略,为不同用户授予其完成各自承担任务所需的最小权限,限制超级管理员等默认角色或用户的访问权限;e)应及时清除服务器操作系统及数据库系统中的无用账号、默认账号;f)应限制网站服务器及数据库服务器等重要服务器的远程管理,需要远程进行管理时,应采用SSH等安全方式实现,并对远程管理的系统管理员采用数字证书等高强度鉴别方式;g)服务器应仅开启业务所需的最少服务及端口;h)应实现服务器操作系统及数据库系统的安全审计,对系统远程管理、账号登录、策略更改、对象访问、服务访问、系统事件、账户管理等行为及WWW、FTP等重要服务访问进行审计;i)针对安全审计记录及审计策略应设置必要的访问控制,禁止未授权的删除、修改或覆盖等.
管理终端安全本项要求包括:a)应采取技术措施对接入的管理终端进行身份认证,身份认证通过后方可接入和使用网络资源;b)应根据网站管理需求,设置端口、协议等访问控制策略,禁止非授权远程访问管理终端;c)应设置并启用管理终端的移动存储介质接入安全策略,检验移动存储介质的安全性;d)不应长期设置共享目录,共享文件应明确共享权限,不再使用时应及时取消相应目录的共享设置;e)应对软件的增加、修改、删除等软件变更情况进行审计,审计信息应包括日期、时间、来源、用户、操作及结果等要素;f)应定期进行管理终端软件安全漏洞扫描,及时评估和修补已经发布的软件安全漏洞.
Web应用安全本项要求包括:a)网站对浏览用户可不进行鉴别,对前台注册用户、后台内容管理用户及系统管理用户应采用不同强度的身份鉴别机制实现用户身份鉴别;b)应提供访问控制功能,授予网站用户为完成各自承担任务所需的最小权限,限制默认角色或用户的访问权限;c)应提供安全审计功能,应对用户的注册、登录、关键业务操作等行为进行日志记录;d)应对安全审计记录及审计策略设置必要的访问控制,禁止未授权的删除、修改或覆盖等;e)应根据网站访问需求限制最大并发会话连接数;f)如用户在一段时间内未作任何操作,网站应自动结束当前会话;g)应定期针对应用程序或代码、Web应用服务器、FTP等网络应用程序进行漏洞扫描,及时修补存在的安全漏洞.
域名安全本项要求包括:a)应选择主管部门批准的域名注册服务机构进行域名注册和域名托管,并进行域名信息报备;b)应遵循国家有关监督审批流程开展域名变更、解析地址变更等工作,当域名信息需要变化时,应经审核批准后,由指定专人负责实施并及时记录.
c)应对域名解析的正确性进行监控,以发现可能的恶意攻击.
内容发布及数据安全本项要求包括:a)网站内容管理模块应提供内容审核功能,并提供网站内容编辑与审核发布权限分离的功能;b)网站应仅面向经身份验证的注册用户提供信息发布功能,且提供信息经审核人员审核后才能发布的功能选项;c)应提供技术手段辅助进行网站发布内容的过滤;d)应根据网站规模和信息发布方式选择相应的网页防篡改产品,对网站关键的静态页面和动态页面进行监控和保护;e)应保护收集到的个人信息、关键配置参数、重要业务数据等,在远程传输及本地存储过程中应采用相应措施进行保护;f)应对网站系统的应用程序、系统数据、配置数据及审计日志等定期进行备份,必要时应采取异地备份措施,并实施备份恢复演练.
攻击防范本项要求包括:a)应在网络边界、服务器、管理终端等处应采取恶意代码防范措施,实行统一有效的恶意代码防范软件机制,并及时更新恶意代码防范软件版本和恶意代码特征库,对恶意代码进行实时检测和清除;b)应定期对所有本地存储介质进行安全扫描,及时对接入介质及其文件进行安全扫描;c)应对恶意代码防范软件的运行状态进行监测,并对关闭进程或修改配置的行为进行监测;d)应针对信息系统中的安全事件进行实时监控,监测和阻断端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等常见网络攻击行为,并监测和阻断目录遍历攻击等Web服务器漏洞攻击行为以及SQL注入、跨站脚本攻击等网站自身漏洞攻击行为;e)应加强物理安全、人员意识教育和培训以及制定安全策略、事件响应计划等控制措施,防御社会工程攻击.
安全监控与应急响应本项要求包括:a)应利用网站状态监控系统等方式,监测网站的运行状态,对网站异常状况进行实时报警和处置;b)应定期对网站应用程序、操作系统及数据库、管理终端进行全面扫描,根据扫描结果判断网站存在的安全风险,及时调整监测策略;c)应利用木马监控系统或第三方安全服务等方式对网站挂马事件进行实时监控和处置;d)应利用网页防篡改系统或第三方安全服务等方式对网站篡改事件进行实时监控和处置;e)可根据网站系统的具体特点,制定应急响应预案,当信息安全事件发生时,应按照应急预案的要求及时组织应急处置并记录.
网站基本级评估方法身份真实性评估a)评估方法:1)申请单位按照附录A所示网站身份和系统安全评估流程,提交包括但不限于:申请表原件(需加盖公章)、工商营业执照副本复印件或组织机构代码证复印件以及经办人身份证复印件等材料;2)标识颁发机构对申请材料完整性及真实性进行核验,并与相应的数据库信息进行比对,核验其真实性,评估项目如表1中网站身份层所示;3)对于符合要求的申请,标识颁发机构发放网站标识并纳入到数据库中;b)预期结果身份真实性的全部要求都能得到满足.
系统安全评估运行支撑a)评估方法:1)确认网站的运行模式,如采用主机托管或虚拟主机模式建设运行,审查其数据中心在物理安全、边界安全、服务器安全等方面是否符合本标准基本级要求或GB/T22239-2008中第二级基本要求;2)验证网站系统的网络带宽、服务器的处理能力、应用程序的并发处理能力等方面是否满足性能需求.
b)预期结果运行支撑的全部要求都能得到满足.
物理安全a)评估方法:审查其机房场地在防火、防水、防震、防盗、防静电、防雷、防电磁、监控、温湿度控制等方面是否符合GB/T22239-2008中第二级基本要求;b)预期结果物理安全的全部要求都能得到满足.
网络边界安全a)评估方法:1)审查网站系统与互联网之间的网络边界处是否部署防火墙等边界隔离设备,是否实现网站系统与互联网之间的逻辑隔离;2)审查网站系统各安全域之间是否配置相应的安全域边界过滤策略;3)验证互联网用户及内部用户终端仅能访问网站服务器提供的HTTP服务等指定的服务和端口,尝试访问其它服务和端口.
b)预期结果网络边界安全的全部要求都能得到满足.
服务器安全a)评估方法:1)审查网站服务器的操作系统和数据库系统是否遵循最小安装原则,是否仅安装业务必需的服务、组件和软件等;2)审查服务器操作系统及数据库系统是否采用用户名/口令等鉴别机制实现身份鉴别,口令是否具有复杂度,是否定期更换;3)验证服务器操作系统及数据库系统是否采用设置登录延时、限制最大失败登录次数、锁定账号等措施,以防范口令暴力破解攻击;4)检查服务器操作系统及数据库系统是否设置必要的用户访问控制策略,是否为不同用户授予其完成各自承担任务所需的最小权限,是否限制超级管理员等默认角色或用户的访问权限;5)检查服务器操作系统及数据库系统中是否存在无用账号、默认账号;6)审查是否限制网站Web服务器、数据库服务器等重要服务器的远程管理,验证是否采用SSH等安全方式实现服务器操作系统及数据库系统的远程管理;7)验证服务器操作系统及数据库系统是否仅开启业务所需的最少服务及端口,尝试访问其它服务和端口;8)验证服务器操作系统及数据库系统是否具有安全审计功能,是否对系统远程管理、账号登录、策略更改、对象访问、服务访问、系统事件、账户管理等行为及WWW、FTP等重要服务访问进行审计;9)验证安全审计记录及审计策略是否设置必要的访问控制,尝试未授权的删除、修改或覆盖审计记录及审计策略等.
b)预期结果服务器安全的全部要求都能得到满足.
管理终端安全a)评估方法:1)审查管理终端是否设置端口、协议等访问控制策略,尝试是否能非授权远程访问管理终端;2)验证管理终端是否设置并启用移动存储介质接入安全策略,尝试插入外来移动存储介质是否启动安全检验程序;3)验证是否存在长期设置的共享目录,短期的共享文件是否明确共享权限;4)验证管理终端对软件的增加、修改、删除等软件变更情况是否具有审计功能,查看审计信息是否包括日期、时间、来源、用户、操作及结果等要素;5)验证管理终端是否定期进行软件安全漏洞扫描,是否及时评估和修补已经发布的软件安全漏洞.
b)预期结果管理终端安全的全部要求都能得到满足.
Web应用安全a)评估方法:1)审查网站是否对前台注册用户、后台内容管理用户及系统管理用户采用用户名/口令等身份鉴别机制实现用户身份鉴别;2)验证网站是否提供访问控制功能,是否授予网站用户为完成各自承担任务所需的最小权限,是否限制默认角色或用户的访问权限;3)验证网站是否提供安全审计功能,是否对用户的注册、登录、关键业务操作等行为进行日志记录;4)验证安全审计记录及审计策略是否设置必要的访问控制,尝试未授权的删除、修改或覆盖审计记录及审计策略等;5)验证网站是否根据访问需求限制最大并发会话连接数;6)尝试用户在一段时间内未作任何操作,验证网站是否自动结束当前会话;7)验证网站是否定期针对应用程序或代码、Web应用服务器、FTP等网络应用程序进行漏洞扫描,是否及时修补存在的安全漏洞.
b)预期结果Web应用安全的全部要求都能得到满足.
域名安全a)评估方法:1)审查网站是否在主管部门批准的域名注册服务机构进行域名注册和域名托管,是否进行域名信息报备;2)审查网站是否遵循国家有关监督审批流程开展域名变更、解析地址变更等工作,当发生域名信息变更经审核批准后,是否由指定专人负责实施并及时记录.
b)预期结果域名安全的全部要求都能得到满足.
内容发布及数据安全a)评估方法:1)审查网站内容管理模块是否提供内容审核功能,是否提供网站内容编辑与审核发布权限分离的功能;2)验证网站是否仅面向经身份验证的注册用户提供信息发布功能,是否提供信息经审核人员审核后才能发布的功能选项;3)验证网站是否根据规模和信息发布方式已选择相应网页防篡改产品,是否对网站关键的静态页面和动态页面进行监控和保护,尝试对网站关键的页面内容进行非授权修改;4)验证网站是否保护收集到的个人信息、关键配置参数、重要业务数据等,是否在远程传输及本地存储过程中采用相应措施;5)验证网站是否对应用程序、系统数据、配置数据及审计日志等定期进行备份.
b)预期结果内容发布及数据安全的全部要求都能得到满足.
攻击防范a)评估方法:1)审查网站是否在网络边界、服务器、管理终端等处采取恶意代码防范措施,是否实行统一有效的恶意代码防范软件机制,是否及时更新恶意代码防范软件版本和恶意代码特征库,是否对恶意代码进行实时检测和清除;2)验证网站是否定期对所有本地存储介质进行安全扫描,是否及时对接入介质及其文件进行安全扫描;3)验证网站是否对恶意代码防范软件的运行状态进行监测,是否对关闭进程或修改配置的行为进行监测;4)验证网站是否针对信息系统中的安全事件进行实时监控,模拟针对网站的木马、病毒等攻击手段尝试破坏网站的正常运行,验证是否能监测和阻断端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等常见网络攻击行为,验证是否能监测和阻断目录遍历攻击等Web服务器漏洞攻击行为以及SQL注入、跨站脚本攻击等网站自身漏洞攻击行为;b)预期结果攻击防范的全部要求都能得到满足.
安全监控与应急响应a)评估方法:1)审查网站是否利用状态监控系统或人工监控的方式监测网站的运行状态,是否能对网站异常状况进行报警和处置;2)验证网站是否定期对网站应用程序、操作系统及数据库、管理终端进行全面扫描,是否能根据扫描结果判断网站存在的安全风险,并及时调整监测策略;3)验证网站是否利用木马监控系统或第三方安全服务等方式,能及时发现并处置网站挂马事件;4)验证网站是否利用网页防篡改系统、人工自检或第三方安全服务等方式,能及时发现网站篡改事件并迅速处理;4)审查网站是否根据系统的具体特点已制定应急响应预案,当信息安全事件发生时,是否能按照应急预案的要求及时组织应急处置并记录.
b)预期结果安全监控与应急响应的全部要求都能得到满足.
网站增强级评估方法身份真实性评估a)评估方法:1)申请单位按照附录A所示网站身份和系统安全评估流程,提交包括但不限于:申请表原件(需加盖公章)、工商营业执照副本复印件或组织机构代码证复印件以及经办人身份证复印件等材料;2)标识颁发机构对申请材料完整性及真实性进行核验,并与相应的数据库信息进行比对,核验其真实性,评估项目如表1中网站身份层所示;3)对于符合要求的申请,标识颁发机构发放网站标识并纳入到数据库中;b)预期结果身份真实性的全部要求都能得到满足.
系统安全评估运行支撑a)评估方法:1)确认网站的运行模式,如采用主机托管或虚拟主机模式建设运行,审查其数据中心在物理安全、边界安全、服务器安全等方面是否符合本标准增强级要求或GB/T22239-2008中第三级基本要求;2)确认网站系统的Web应用程序与数据库系统是否部署在不同的独立物理服务器或虚拟服务器上;3)验证网站系统的网络带宽、服务器的处理能力、应用程序的并发处理能力等方面是否满足性能需求.
b)预期结果运行支撑的全部要求都能得到满足.
物理安全a)评估方法:审查其机房场地在防火、防水、防震、防盗、防静电、防雷、防电磁、监控、温湿度控制等方面是否符合GB/T22239-2008中第三级基本要求;b)预期结果物理安全的全部要求都能得到满足.
网络边界安全a)评估方法:1)审查网站系统与互联网之间的网络边界处是否部署防火墙等边界隔离设备,是否实现网站系统与互联网之间的逻辑隔离;2)审查网站系统各安全域之间是否配置相应的安全域边界过滤策略;3)验证互联网用户及内部用户终端仅能访问网站服务器提供的HTTP服务等指定的服务和端口,尝试访问其它服务和端口;4)验证是否仅允许指定的IP地址访问网站服务器提供的内容管理、系统管理等服务和端口,尝试其它IP地址是否能访问.
b)预期结果网络边界安全的全部要求都能得到满足.
服务器安全a)评估方法:1)审查网站服务器的操作系统和数据库系统是否遵循最小安装原则,是否仅安装业务必需的服务、组件和软件等;2)审查服务器操作系统及数据库系统是否采用用户名/口令等鉴别机制实现身份鉴别,口令是否具有复杂度,是否定期更换;3)验证服务器操作系统及数据库系统是否采用设置登录延时、限制最大失败登录次数、锁定账号等措施,以防范口令暴力破解攻击;4)检查服务器操作系统及数据库系统是否设置必要的用户访问控制策略,是否为不同用户授予其完成各自承担任务所需的最小权限,是否限制超级管理员等默认角色或用户的访问权限;5)检查服务器操作系统及数据库系统中是否存在无用账号、默认账号;6)审查是否限制网站Web服务器、数据库服务器等重要服务器的远程管理,验证是否采用SSH等安全方式实现服务器操作系统及数据库系统的远程管理,验证对远程管理的系统管理员是否采用数字证书等高强度鉴别方式;7)验证服务器操作系统及数据库系统是否仅开启业务所需的最少服务及端口,尝试访问其它服务和端口;8)验证服务器操作系统及数据库系统是否具有安全审计功能,是否对系统远程管理、账号登录、策略更改、对象访问、服务访问、系统事件、账户管理等行为及WWW、FTP等重要服务访问进行审计;9)验证安全审计记录及审计策略是否设置必要的访问控制,尝试未授权的删除、修改或覆盖审计记录及审计策略等.
b)预期结果服务器安全的全部要求都能得到满足.
管理终端安全a)评估方法:1)审查是否对接入的管理终端采取技术措施进行身份认证,是否身份认证通过后方可接入和使用网络资源;2)审查管理终端是否设置端口、协议等访问控制策略,尝试是否能非授权远程访问管理终端;3)验证管理终端是否设置并启用移动存储介质接入安全策略,尝试插入外来移动存储介质是否启动安全检验程序;4)验证是否存在长期设置的共享目录,短期的共享文件是否明确共享权限;5)验证管理终端对软件的增加、修改、删除等软件变更情况是否具有审计功能,查看审计信息是否包括日期、时间、来源、用户、操作及结果等要素;6)验证管理终端是否定期进行软件安全漏洞扫描,是否及时评估和修补已经发布的软件安全漏洞.
b)预期结果管理终端安全的全部要求都能得到满足.
Web应用安全a)评估方法:1)审查网站是否对前台注册用户、后台内容管理用户及系统管理用户采用不同强度的身份鉴别机制实现用户身份鉴别;2)验证网站是否提供访问控制功能,是否授予网站用户为完成各自承担任务所需的最小权限,是否限制默认角色或用户的访问权限;3)验证网站是否提供安全审计功能,是否对用户的注册、登录、关键业务操作等行为进行日志记录;4)验证安全审计记录及审计策略是否设置必要的访问控制,尝试未授权的删除、修改或覆盖审计记录及审计策略等;5)验证网站是否根据访问需求限制最大并发会话连接数;6)尝试用户在一段时间内未作任何操作,验证网站是否自动结束当前会话;7)验证网站是否定期针对应用程序或代码、Web应用服务器、FTP等网络应用程序进行漏洞扫描,是否及时修补存在的安全漏洞.
b)预期结果Web应用安全的全部要求都能得到满足.
域名安全a)评估方法:1)审查网站是否在主管部门批准的域名注册服务机构进行域名注册和域名托管,是否进行域名信息报备;2)审查网站是否遵循国家有关监督审批流程开展域名变更、解析地址变更等工作,当发生域名信息变更经审核批准后,是否由指定专人负责实施并及时记录;2)审查网站是否对域名解析的正确性进行监控,以发现可能的恶意攻击.
b)预期结果域名安全的全部要求都能得到满足.
内容发布及数据安全a)评估方法:1)审查网站内容管理模块是否提供内容审核功能,是否提供网站内容编辑与审核发布权限分离的功能;2)验证网站是否仅面向经身份验证的注册用户提供信息发布功能,是否提供信息经审核人员审核后才能发布的功能选项;3)验证网站是否提供技术手段辅助进行网站发布内容的过滤;4)验证网站是否根据规模和信息发布方式已选择相应网页防篡改产品,是否对网站关键的静态页面和动态页面进行监控和保护,尝试对网站关键的页面内容进行非授权修改;5)验证网站是否保护收集到的个人信息、关键配置参数、重要业务数据等,是否在远程传输及本地存储过程中采用相应措施;6)验证网站是否对应用程序、系统数据、配置数据及审计日志等定期进行备份,是否根据网站需求采取异地备份措施,并实施备份恢复演练.
b)预期结果内容发布及数据安全的全部要求都能得到满足.
攻击防范a)评估方法:1)审查网站是否在网络边界、服务器、管理终端等处采取恶意代码防范措施,是否实行统一有效的恶意代码防范软件机制,是否及时更新恶意代码防范软件版本和恶意代码特征库,是否对恶意代码进行实时检测和清除;2)验证网站是否定期对所有本地存储介质进行安全扫描,是否及时对接入介质及其文件进行安全扫描;3)验证网站是否对恶意代码防范软件的运行状态进行监测,是否对关闭进程或修改配置的行为进行监测;4)验证网站是否针对信息系统中的安全事件进行实时监控,模拟针对网站的木马、病毒等攻击手段尝试破坏网站的正常运行,验证是否能监测和阻断端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等常见网络攻击行为,验证是否能监测和阻断目录遍历攻击等Web服务器漏洞攻击行为以及SQL注入、跨站脚本攻击等网站自身漏洞攻击行为;5)验证网站经营者是否提供物理安全、人员意识教育和培训,是否制定安全策略、事件响应计划等控制措施,以防御社会工程攻击.
b)预期结果攻击防范的全部要求都能得到满足.
安全监控与应急响应a)评估方法:1)审查网站是否利用状态监控系统等方式监测网站的运行状态,是否能对网站异常状况进行实时报警和处置;2)验证网站是否定期对网站应用程序、操作系统及数据库、管理终端进行全面扫描,是否能根据扫描结果判断网站存在的安全风险,并及时调整监测策略;3)验证网站是否利用木马监控系统或第三方安全服务等方式,能进行实时监控和处置网站挂马事件;4)验证网站是否利用网页防篡改系统或第三方安全服务等方式,能进行实时监控和处置网站篡改事件;5)审查网站是否根据系统的具体特点已制定应急响应预案,当信息安全事件发生时,是否能按照应急预案的要求及时组织应急处置并记录.
b)预期结果安全监控与应急响应的全部要求都能得到满足.
评估结果展示网站评估结果展示流程如下:a)申请单位通过相应级别的网站身份与系统安全评估后,可获得由标识颁发机构颁发的网站标识;b)申请单位网站可纳入标识颁发机构的数据库中,公众可查询详细信息,包括网站等级、评估日期与有效期等;c)申请单位网站可在支持网站评估结果的浏览器、搜索引擎、微博、安全软件以及及时通讯软件等平台上展示电子网站标识.
评估结果撤销撤销流程如下:a)申请单位及网站信息变更后应及时提交变更材料到标识颁发机构更改信息,包括但不限于:工商注册信息、网站ICP备案信息、域名注册信息和经办人信息等,若信息未及时更改,将导致网站标识暂停解析,直至取消网站评估结果;b)申请单位主体若出现被政府相关部门查处、被新闻机构曝光、公众投诉等情况,将按照相关的退出流程暂停网站标识解析,直至取消;c)申请单位网站若出现木马、病毒、黄赌毒等内容或该网站变成"钓鱼网站",标识颁发机构将暂停网站标识解析,直至取消;d)申请单位擅自出租、出借和转让网站标识,或者出现其他应予撤销的情形,标识颁发机构将停止网站标识解析,取消网站评估结果.
(资料性附录)评估流程示例网站身份和系统安全评估流程示例如下.
评估准备评估开始前,标识颁发机构应做好以下准备工作:——根据网站身份和系统安全要求,明确评估项;——根据评估项,建立评估系统;——对评估项、评估流程、评估方法、评估结果表示方法进行公示.
评估阶段信息采集根据评估项,可以通过计算机或者人工方式采集网站的信息.
评估a)申请单位按照要求提交相应的申请材料;b)标识颁发机构对申请材料完整性及真实性进行核验,并与相应的数据库信息进行比对,核验其真实性;c)如申请单位需要进行基本级评估,标识颁发机构按照网站基本级要求与评估方法,核验是否通过评估;d)如申请单位需要进行增强级评估,标识颁发机构按照网站增强级要求与评估方法,核验是否通过评估;e)对于符合要求的申请,标识颁发机构发放网站标识并纳入到数据库中.
跟踪对被评网站定期或不定期进行跟踪.
a)对于已申请的单位,标识颁发机构应明示其评估通过日期与有效期,每年要核验其营业执照是否经过了年检,网站域名是否过期、申请者与网站域名的一致性是否持续,并且每个季度要核验一次该企业是否被注销.