網(wǎng)頁(yè)防篡改項(xiàng)目總體建設(shè)方案(編輯修改稿)

　

【文章內(nèi)容簡(jiǎn)介】 （ 3）在工作人員管理主機(jī)上安裝管理控制臺(tái)（ IGuard Console），用來(lái)登錄管理中心，進(jìn)行策略調(diào)整，查閱日志等操作。 注：防火墻需要開(kāi)放對(duì)應(yīng) TCP 通信端口。 系統(tǒng)影響 （ 1）安裝 IGuard 對(duì)服務(wù)器現(xiàn)狀的影響 安裝 IGuard 不會(huì)影響網(wǎng)站的正常運(yùn)行，不需要斷開(kāi)網(wǎng)絡(luò) ，不需要重啟服務(wù)器，不會(huì)對(duì)服務(wù)器的運(yùn)行現(xiàn)狀產(chǎn)生不良影響。 （ 2）安裝完成后系統(tǒng)資源占用情況 IGuard 網(wǎng)頁(yè)防篡改系統(tǒng)是基于系統(tǒng)底層來(lái)做的，采用事件觸發(fā)機(jī)制，占用系統(tǒng)資源很少，一般正常運(yùn)行占用系統(tǒng)資源的 2%左右。 （ 3）網(wǎng)頁(yè)發(fā)布方式的相應(yīng)調(diào)整 部署完網(wǎng)頁(yè)防篡改后，由于網(wǎng)站原始路徑受到保護(hù)，默認(rèn)不能再對(duì)該路徑進(jìn)行修改，必須通過(guò)備份路徑來(lái)進(jìn)行發(fā)布更新，備份路徑可選擇安裝在本機(jī)其他路徑或額外的備份服務(wù)器。然后將現(xiàn)有發(fā)布系統(tǒng)的發(fā)布路徑路徑改為備份路徑。這樣，以后網(wǎng)站發(fā)布需要首先將網(wǎng)站發(fā)布到備份路 徑，再由網(wǎng)頁(yè)防篡改系統(tǒng)把新發(fā)布的文件由備份路徑實(shí)時(shí)同步到相應(yīng)的 Web 服務(wù)器的原始路徑。 當(dāng)然，也可根據(jù)管理方式的不同靈活設(shè)定防護(hù)策略，可以針對(duì) FTP 或特定發(fā)布系統(tǒng)進(jìn)行放行，使原發(fā)布流程不做任何變更。或者在發(fā)布更新時(shí)暫停保護(hù)，更新完成再開(kāi)啟保護(hù)等。 配合事項(xiàng) （ 1）確認(rèn)網(wǎng)頁(yè)防篡改所需的管理中心部署服務(wù)器； （ 2）安裝時(shí)網(wǎng)站系統(tǒng)管理人員到場(chǎng)，并提供需要防護(hù)的網(wǎng)站路徑和相應(yīng)服務(wù)器的 root 用戶口令； （ 3）協(xié)調(diào)網(wǎng)站發(fā)布人員，調(diào)整網(wǎng)頁(yè)防篡改發(fā)布方式，把原有網(wǎng)站發(fā)布路徑指向備份路徑； （ 4）部署完成后做發(fā)布測(cè)試，檢測(cè)網(wǎng)站能否正常發(fā)布； （ 5）用戶訪問(wèn)網(wǎng)站測(cè)試，確認(rèn)網(wǎng)站能夠正常提供服務(wù)，所有功能正常； （ 6）打開(kāi)管理中心服務(wù)器的管理端口； （ 7）打開(kāi) Web 服務(wù)器的數(shù)據(jù)傳輸端口； 安裝測(cè)試 防篡改系統(tǒng)實(shí)施完成后可按照如下步驟進(jìn)行簡(jiǎn)單測(cè)試： （ 1）檢查網(wǎng)站服務(wù)器主機(jī)是否運(yùn)行正常。 （ 2）使用網(wǎng)站鏈接是否可以正常訪問(wèn)網(wǎng)站。 （ 3）對(duì)網(wǎng)站進(jìn)行發(fā)布更新操作，檢測(cè)網(wǎng)站是否正常顯示更新。 （ 4）檢查防篡改系統(tǒng)控制臺(tái)（ console）是否可以登錄管 理中心進(jìn)行相關(guān)配臵操作，策略下發(fā)是否成功，是否有日志顯示。 故障排除及回退 網(wǎng)頁(yè)無(wú)法正常訪問(wèn) （ 1）防篡改策略下發(fā)后，被保護(hù)的網(wǎng)站目錄為只讀權(quán)限，有部分網(wǎng)站應(yīng)用在外部用戶訪問(wèn)時(shí)會(huì)在保護(hù)目錄的某個(gè)子目錄下面產(chǎn)生一些臨時(shí)文件，設(shè)定防篡改策略后，臨時(shí)文件無(wú) 法生成，導(dǎo)致網(wǎng)頁(yè)訪問(wèn)失敗。 解決方案：網(wǎng)頁(yè)防篡改系統(tǒng)有設(shè)臵許可的功能，可以把在外部訪問(wèn)時(shí)會(huì)產(chǎn)生臨時(shí)文件的目錄放在防篡改系統(tǒng)的配臵項(xiàng)里面，把它設(shè)為許可，該目錄將具有可寫(xiě)權(quán)限，保證網(wǎng)站能夠正常訪問(wèn)。 （ 2）防篡改策略下發(fā)后，網(wǎng)站目 錄不可寫(xiě)，網(wǎng)站更新只能在備份端進(jìn)行，直接在網(wǎng)站 目錄做網(wǎng)站更新將無(wú)法更新， 導(dǎo)致發(fā)布的 更新頁(yè)面不能訪問(wèn)。 解決方案：網(wǎng)頁(yè)防篡改對(duì)網(wǎng)站目錄進(jìn)行保護(hù)，被保護(hù)的網(wǎng)站目錄將不可寫(xiě)，只能通過(guò)備份目錄來(lái)更新網(wǎng)站，需要在網(wǎng)站原始路徑與實(shí)際發(fā)布系統(tǒng)之間增加一個(gè)備份路徑，在該備份路徑上做網(wǎng)站更新，防篡改系統(tǒng)能夠把更新的內(nèi)容實(shí)時(shí)增量同步到網(wǎng)站原始路徑，實(shí)現(xiàn)正常的發(fā)布更新流程。 影響應(yīng)用系統(tǒng)工作 IGuard 網(wǎng)頁(yè)防篡改系統(tǒng)工作在系統(tǒng)層，一般不會(huì)對(duì) Web 應(yīng)用造成影響，如果 Web 應(yīng)用出現(xiàn)問(wèn)題，要在防篡改系統(tǒng)上查找原 因，可立即停止防篡改系統(tǒng)保護(hù)策略，并聯(lián)系技術(shù)支 持人員進(jìn)行排查。 因此，我們建議首先在正式部署防篡改系統(tǒng)前好備份，以便有問(wèn)題可以及時(shí)恢復(fù)；部署完系統(tǒng)以后檢查應(yīng)用系統(tǒng)，看是否正常工作；若應(yīng)用系統(tǒng)出現(xiàn)故障，可以立即停止防篡改系統(tǒng)監(jiān)控進(jìn)程，及時(shí)排查原因。 環(huán)境工具材料準(zhǔn)備 在項(xiàng)目實(shí)施過(guò)程中，需要準(zhǔn)備一部分工具及附助材料。為此，根據(jù)系統(tǒng)內(nèi)容，以及本工程的進(jìn)度計(jì)劃、質(zhì)量目標(biāo)，需要制定產(chǎn)品、材料、工具的準(zhǔn)備計(jì)劃。 在項(xiàng)目實(shí)施開(kāi)始前一周， 海康 將跟據(jù)工程規(guī)模、機(jī)房及實(shí)施產(chǎn)品的實(shí)際情況準(zhǔn)備實(shí)施相關(guān)的輔 助材料及工具，保證滿足項(xiàng)目實(shí)施的工期安排，計(jì)劃安排應(yīng)充分考慮設(shè)備的生產(chǎn)周期以及運(yùn)輸周期，不得影響工期需求。 預(yù)計(jì)需要采購(gòu)的材料、工具如下： 序號(hào) 材料、工具名稱 規(guī)格描述 1 千兆以太網(wǎng)跳線 符合 1000BASET標(biāo)準(zhǔn) 2 百兆以太網(wǎng)跳線 符合 100BASET 標(biāo)準(zhǔn) 3 網(wǎng)線鉗 適用壓接電話端子之種類 (可剝圓孔線 ) 4 RJ45/RJ11 測(cè)線儀 采用自動(dòng)掃描方式，快速測(cè)試，流線型外形，符合人體工程學(xué)設(shè)計(jì)。 項(xiàng)目施工進(jìn)度計(jì)劃 本期項(xiàng)目要求按照 2020 年 11 月底為項(xiàng)目啟動(dòng)（清單小簽）時(shí)間點(diǎn)， 2020年 12 月底為設(shè)備上線和基本業(yè)務(wù)開(kāi)展的時(shí)間點(diǎn)進(jìn)行進(jìn)度計(jì)劃安排，因此本期施工進(jìn)度計(jì)劃安排按照 15 個(gè)工作日內(nèi)系統(tǒng)上線進(jìn)入試運(yùn)行階段計(jì)算。 項(xiàng)目預(yù)計(jì)自設(shè)備供貨完畢后（供貨周期為 5 個(gè)工作日）， 15 個(gè)工作日內(nèi)完成系統(tǒng)實(shí)施進(jìn)入試運(yùn)行階段，具體時(shí)間進(jìn)度安排： 序號(hào) 項(xiàng)目細(xì)節(jié) 5 日 4 日 4 日 4 日 4 日 4 日 N 日 1 設(shè)備到貨 2 產(chǎn)品到貨驗(yàn)收 3 系統(tǒng)安裝 4 策略配臵 5 系統(tǒng)獨(dú)立測(cè)試 6 系統(tǒng)聯(lián)調(diào) 7 實(shí)施文檔準(zhǔn)備 8 試運(yùn)行階段 說(shuō)明： 1：本進(jìn)度表為項(xiàng)目工期進(jìn)度表。 2：試運(yùn)行周期根據(jù)工程實(shí)施總進(jìn)度及合同相關(guān)規(guī)定。 項(xiàng)目人員安排情況 海康 將針對(duì)本項(xiàng)目建立專門的項(xiàng)目管理團(tuán)隊(duì)，以全方位與用戶實(shí)現(xiàn)高速接口，管理組織人員名單如下： 序號(hào) 姓名 項(xiàng)目 職能 所在地 職位 從業(yè)經(jīng)驗(yàn)（年） 1 董全宇 項(xiàng)目經(jīng)理 哈爾濱 分公司經(jīng)理 12 2 李倩 項(xiàng)目變更控制 及商務(wù)審核 北京 商務(wù) 經(jīng)理 5 3 楊澤輝 產(chǎn)品技術(shù)咨詢 北京 技術(shù)總監(jiān) 8 4 朱鐵男 技術(shù) 顧問(wèn) 及安全顧問(wèn) 北京 咨詢 顧問(wèn) 4 5 梁冬娟 文檔 管理 及 QA質(zhì)量審計(jì) 北京 文檔 工程師 3 6 劉媛 測(cè)試組 北京 測(cè)試工程師 3 海康作為系統(tǒng) 原廠商，在工程實(shí)施過(guò)程中， 將 提供及時(shí)的 技術(shù)支持 服務(wù)， 技術(shù)支持 人員名單如下： 序號(hào) 姓名 項(xiàng)目 職能 所在地 職 位 從業(yè)經(jīng)驗(yàn)（年） 1 潘志超 項(xiàng)目實(shí)施工程師 哈爾濱 工 程師 3 2 史帥 項(xiàng)目實(shí)施工程師 哈爾濱 工程師 4 3 楊夢(mèng)端 項(xiàng)目實(shí)施工程師 哈爾濱 工程師 3 4 李波 遠(yuǎn)程支持工程師 北京 工程師 2 5 張吉州 遠(yuǎn)程支持工程師 北京 工程師 3 二 、功能特性 網(wǎng)站因需要被公眾訪問(wèn)而暴露于因特網(wǎng)上，因此最容易成為黑客的攻擊目標(biāo)。 IGuard 通過(guò)操作系統(tǒng)底層驅(qū)動(dòng)技術(shù)，對(duì)保護(hù)的對(duì)象（靜態(tài)網(wǎng)頁(yè)、動(dòng)態(tài)執(zhí)行腳本、 文件夾）實(shí)時(shí)監(jiān)測(cè)其屬性，一旦 發(fā)現(xiàn)更改立刻阻斷非法篡改操作，阻止網(wǎng)頁(yè)文件被修改，并實(shí)時(shí)通知管理客戶端，如果發(fā)生文件篡改現(xiàn)象，系統(tǒng)也會(huì)自動(dòng)從備份端進(jìn)行恢復(fù)，使用雙重機(jī)制保證了網(wǎng)頁(yè)內(nèi)容的安全。 IGuard網(wǎng)頁(yè)防篡改保護(hù)系統(tǒng)采用基于文件驅(qū)動(dòng)級(jí)的保護(hù)技術(shù) —— 內(nèi)核事件觸發(fā)保護(hù)機(jī)制，確保系統(tǒng)資源不被浪費(fèi)。不同于其他防篡改軟件的 Web 事件觸發(fā)機(jī)制， IGuard 的頁(yè)面防篡改模塊采用的是與操作系統(tǒng)底層文件驅(qū)動(dòng)級(jí)保護(hù)技術(shù)，與操作系統(tǒng)緊密結(jié)合。這樣做完全杜絕了普通 Web 內(nèi)嵌防篡改軟件可能發(fā)生的計(jì)算校驗(yàn)占用系統(tǒng)資源過(guò)多，校驗(yàn)值計(jì)算不正確，篡改備份后無(wú)法恢 復(fù)等一系列的風(fēng)險(xiǎn)。 系統(tǒng)動(dòng)態(tài)防護(hù)模塊支持對(duì) SQL 注入攻擊、跨站攻擊、溢出代碼攻擊等構(gòu)造類網(wǎng)絡(luò)攻擊方式的檢測(cè)，能夠進(jìn)行有效的阻止與保護(hù)。 在面對(duì)大規(guī)模連續(xù)的篡改時(shí)， IG