个人信息保护伞|绿盟BMG守护政府网站业务安全
2020-12-25
业务背景
随着信息技术的广泛深入应用，特别是电子政务的不断发展，党政机关网站作用日益突出，已经成为宣传党的路线方针政策、公开政务信息的重要窗口，成为各级党政机关履行社会管理和公共服务职能、为民办事和了解掌握社情民意的重要平台。但也要看到，随着党政机关网站承载的业务不断增加，涉及政务信息、商业秘密和个人信息的内容越来越多，党政机关网站日益成为不法分子和各种犯罪组织的重点攻击对象，数据安全与个人信息保护面临严峻挑战。
今年我国在个人信息保护和数据安全制度建设方面也在加速，2020年5月28日，十三届全国人大三次会议表决通过《民法典》，自2021年1月1日起施行。《民法典》中明确了自然人的个人信息受法律保护，同时也界定个人信息的定义以及处理的原则和条件等条例。7月，《中华人民共和国数据安全法（草案）》经第十三届全国人大常委会第二十次会议审议后在中国人大网向公众公开征求意见。10月，《个人信息保护法（草案）》也首度公开，对个人信息保护的责任落实以及健全个人信息处理规则进行明确。
为了更好的助力国家电子政务的发展，以及针对政府网站面临的数据安全与个人信息保护的问题，海王捕鱼在2020年7月重磅推出了可精准阻击爬虫等自动化工具的绿盟业务安全网关系统（BMG）。通过撞库等攻击行为，爬虫可以暴力破解查询接口，获取用户隐私信息。这类事件的发生可能严重损害政府和公众利益，影响政府形象，乃至危害公共安全。
核心功能
- 机器人缓解
绿盟业务安全网关系统能对访问应用系统的客户端行为进行甄别，鉴别客户端的访问行为是否来自真实用户操作，是否通过业务系统合法的访问路径与流程进行的访问，是否具有真实用户的正常轨迹。能从以下几个方面进行识别：脚本运行环境检测、浏览器环境检测、生物特征识别等。
- 应用侧加固
支持对响应的页面内容中关键信息进行混淆，客户端提交的敏感数据进行加密以及通过生成动态的令牌来进行验证请求是否合法等功能来进行主动防御。
- 业务合规校验
绿盟业务安全网关系统支持基础业务安全校验功能，包含：协议合规、请求合规、文件合规等功能，来对业务系统进行防护。
- 自定义防护
1.支持细粒度防护，能对整个站点、部分页面以及单个URL路径进行防护。
2.支持基于客户端特征与攻击行为的拦截，支持多源低频和单源多频攻击的拦截。
3.支持添加新的策略规则防护，拦截规则策略要能针对用户特征的拦截和攻击行为的拦截。
- 攻击者画像
绿盟业务安全网关支持攻击者信息关联。根据请求流量、告警日志、设备指纹、用户会话信息分析特定攻击者使用过的代理IP、网站用户以及所有的事件活动，检测分析近期攻击过程及受影响资产范围和数量。
典型部署
绿盟业务安全网关设备提供多种灵活的部署方式，包括透明部署模式、反向代理模式和旁路模式。在部署了多业务网段服务器的网络环境中，业务安全网关设备可以采用旁路方式部署，提供一种逻辑在线防护能力。
客户收益
帮助政府行业客户实现API请求防控、机器人流量管理，同时精准阻击拖库、监管扫描、自动化、针对API的手动参数篡改等攻击，有效提升政府网站个人信息保护与数据安全的防护水平，全方位保障政府网站的业务安全。
