贵州省政府网站群安全检测服务方案二〇〇九年一月六日目录---本文于网络，仅供参考，勿照抄，如有侵权请联系删除------本文于网络，仅供参考，勿照抄，如有侵权请联系删除---第1章.前言1.1前言据调查，有75%的攻击发生在Web应用层，且大多数网站都相当脆弱。大量的攻击者在利用Web漏洞入侵网站，实现数据篡改、挂马获利。然而，用户很难主动发现这一切。若能主动发现Web漏洞以及网页木马，并采取补救措施，就可以降低网站安全风险，减少损失。这一切都需要从建立一个主动的网站安全检查机制入手。针对这一网站安全趋势，（北京）信息安全服务中心发布了专门针对网站安全的标准化服务产品——Web安全检测服务。Web漏洞、网页木马，这些令管理员头痛的问题可以通过远程方式进行详细的检测，相当于为网站进行了一次全面的“体检”，并提供有针对性的“治疗”措施和健康建议，从而将这些安全隐患带来的损失降到最低。1.2什么是网页漏洞和网页挂马1.2.1网页漏洞日益增长的网络业务应用为脆弱的web应用提供了漏洞滋生的土壤。如银行、政府机构和在线商务企业都使用了web技术提供服务。这些机构往往自己开发整套的web应用程序(ASP、JSP和CGI等)，而这些开发者由于没有获得过专业训练，导致这些自产web软件漏洞百出，这些漏洞统称为网页漏洞。网页漏洞的存在意味着网页中任何传递给浏览器的信息都可能被用户利用和操纵，恶意用户可以查看、修改或者插入敏感信息（包括价格、会话跟踪信息甚至是脚本执行代码）。1.2.2网页挂马很多朋友都碰到过这样的现象：打开一个网站，结果页面还没显示，杀毒软件就开始报警，提示检测到木马病毒。有经验的朋友会知道这是网页病毒，但是自己打开的明明是正规网站，没有哪家正规网站会将病毒放在自己的网页上吧？则是什么导致了这种现象的发生呢？其中最有可能的一个原因就是：这个网站被挂马了。网页木马是指黑客攻击WEB网站后，在网页中嵌入的一段用于自动下载带有特定目的木马程序的恶意代码或脚本。请注意，挂上去的是一段代码或脚本，而非真正的“一匹”马。而黑客实施恶意代码或脚本植入的行为通常称为“挂马”。1.3监测实施原则1.3.1标准性原则符合标准的要求：依据国际信息安全标准、国内行业规范及其他相关标准和制度。---本文于网络，仅供参考，勿照抄，如有侵权请联系删除---根据ISO17799/ISO27001所建立的信息安全管理框架，作为建立企业信息安全管理体系（ISMS）的主要依据。根据ISO13335、国信办《信息安全风险评估标准》作为对信息资产进行安全风险评估与风险管理的主要参考方法。根据公安部《信息安全等级保护规范》、美国国家安全局信息安全保障架构IATF等标准作为建立信息安全架构体系的主要依据。根据COBIT、ITIL、CMMI等国际上得到普遍认可的事实标准，对IT流程进行风险评估与控制。根据国家保密局、国家档案局、国资委及广东省的有关保密规定，作为企业建立保密工作体系的依据。1.3.2项目规范化管理在信息安全服务过程中，根据安全工程的项目管理方法，在每个项目阶段都建立持续监控机制，制定相应的文档规范，对工作过程中产生的文档进行跟踪和控制；安全咨询项目框架遵从美国项目管理协会(PMI)推出的项目管理知识体系（PMBOK），并在实际中根据自己的行业特征，形成自己的行之有效的项目管理体系，所有项目的管理都必须严格遵守规定的流程，以确保项目的成功和客户的满意度。过程可控性：本项目的管理将依据PMI项目管理、服务规范等进行管理，成立高层项目管理委员会保障项目的沟通管理，达到项目过程的可控性。工具可控性：咨询服务人员所使用的评估、修补与加固的工具将事先通告用户，确保应在双方认可的范围之内，并通过安全培训、工程联络会等方式进行工具的使用介绍。服务过程中采用的安全技术手段确定为已经经过实际应用的安全技术和产品。整体性原则：在进行安全咨询服务过程中将严格按照确定的范围和内容进行实施，从广度和深度上满足用户的要求，安全咨询项目包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患。最小影响原则：会从项目管理和技术应用的层面，将安...