智恒聯(lián)盟WEB安全技術白皮書
前言;Web安全介紹的技術文章在互聯(lián)網(wǎng)上可以搜羅出很多有用的文章,國內大多信息安全公司也大呼全民進入了應用安全時代,似乎只有應用安全才是信息時代未來的關鍵。深究一下,到底應用安全指什么,最終用戶到
前言;Web安全介紹的技術文章在互聯(lián)網(wǎng)上可以搜羅出很多有用的文章,國內大多信息安全公司也大呼“全民進入了應用安全時代”,似乎只有應用安全才是信息時代未來的關鍵。深究一下,到底應用安全指什么,最終用戶到底需要什么樣的Web應用安全,筆者從事信息安全十余載,站在一個客觀角度來給每個用戶“把把脈”。
下一代移動互聯(lián),物聯(lián)網(wǎng),三網(wǎng)融合,云計算,幾乎每個互聯(lián)網(wǎng)產(chǎn)業(yè)都有應用有著密不可分的聯(lián)系,傳統(tǒng)的網(wǎng)站系統(tǒng)、郵件系統(tǒng)、微博、電子商務、電子政務應用更離不開應用安全,應用安全幾乎滲透了每個角落,在“網(wǎng)絡安全”、“信息安全”進入高速發(fā)展階段,應用安全領域正異軍突起,成為信息安全中最具活力的生力軍。然而應用安全又涉及到應用系統(tǒng)的多個方面,復雜性程度高,稍不留意,要么影響應用系統(tǒng)性能,要么留有安全隱患。什么樣的安全解決方案符合客戶自身需要,把風險控制在可接受的范圍內,又能夠不影響性能,資金投入控制適中,不至于浪費。
我們把用戶的應用歸為幾類,并分別結合國家公安部等級保護進行方案設計,下面先把涉及到的幾類安全產(chǎn)品功能進行簡單描述,我們以智恒聯(lián)盟公司產(chǎn)品為例。
WebGuard網(wǎng)頁防篡改產(chǎn)品,分為靜態(tài)防護和動態(tài)防護。靜態(tài)防護為基本模塊,主要是對網(wǎng)站操作系統(tǒng)漏洞風險或網(wǎng)站發(fā)布系統(tǒng)漏洞對網(wǎng)站中相關文件造成威脅而進行的保護措施,保護對象如網(wǎng)站框架文件、圖片、視頻等,可以做到即使網(wǎng)站遭受到惡意攻擊,也可以確保網(wǎng)站主體文件不受篡改。動態(tài)防護模塊主要針對網(wǎng)站的數(shù)據(jù)庫操作進行防護,目前大多網(wǎng)站均涉及到復雜的數(shù)據(jù)庫應用,里面涉及到用戶重要數(shù)據(jù),這類篡改事件也時有發(fā)生,如某政府國家級資質認證查詢數(shù)據(jù)庫常遭受攻擊篡改,這和目前猖獗的證書造假黑色產(chǎn)業(yè)鏈聯(lián)系緊密,制作了個假證書確在官網(wǎng)上能查詢到,自然售價和可信度高,這類犯法事件時有發(fā)生,還衍生到教育領域學校招生等,干擾正常秩序。此外,還有盜取網(wǎng)站用戶信息進行惡意傳播兜售,均涉及到數(shù)據(jù)庫安全,動態(tài)防護模塊對此類攻擊進行有效保護。
WAF(Web Application Firewall,網(wǎng)站應用防火墻)這個系統(tǒng)是網(wǎng)站防護的硬件解決方案,串聯(lián)在網(wǎng)站的出口,對來自互聯(lián)網(wǎng)80端口的惡意訪問攻擊進行防護,常見攻擊有注入、跨站、DDos等。智恒聯(lián)盟WAF系統(tǒng)還涉及到了事前評估技術,對網(wǎng)站進行掃描,事先發(fā)現(xiàn)風險進行修復,可以防止90%以上的已知漏洞攻擊。這個系統(tǒng)可以和防篡改系統(tǒng)部分功能替代,如可以替代防篡改的動態(tài)模塊,但DDos攻擊等動態(tài)防護模塊是無法替代的。硬件解決方案在大多情況下有一定的優(yōu)勢,但也存在不足,不能對文件進行保護,硬件的性能成為該類解決方案的瓶頸。如用戶網(wǎng)站服務器配置很高,性能很好,而WAF系統(tǒng)配置相對不高,所以選擇時要注意考慮WAF的性能指標,而不要一味追求低價而影響到網(wǎng)站性能。
下圖反應了攻擊過程所造成的影響進行了詳細拆解,幫助用戶進行準確的判斷分析。

目前國內網(wǎng)站主要涉及到幾個領域:電信運營商、政府、金融、證券、電子商務、教育、企事業(yè)單位。按照等級保護防護要求,除個別網(wǎng)站系統(tǒng)三級之外,大多屬于二級或一級。按照網(wǎng)站安全事件大多以下幾類。
1、網(wǎng)站上出現(xiàn)惡意的非法信息;
i. 各類疆獨、藏獨、法輪功等反動言論;
ii. 色情、暴力、賭博等信息;
iii. 政府政策虛假信息、金融非法言論、謠言等;
2、 網(wǎng)站遭受大量掛馬攻擊(通過網(wǎng)站掛馬傳播木馬已經(jīng)占到木馬傳播總量的 90%以上,黑客產(chǎn)業(yè)鏈發(fā)達,大多受經(jīng)濟利益驅動。);
i. 反動組織的間諜軟件;
ii. 各類帳號信息盜取類;
iii. 文件盜取類;
iv. 惡意破壞類;
v. 掛馬隱蔽性較強且長期潛伏,使得木馬變種傳播更為猖獗;
3、 網(wǎng)站的漏洞百出,遭受惡意篡改;
i. 頁面完全篡改;
ii. 部分內容篡改;
iii. 數(shù)據(jù)庫內容惡意刪除或破壞;
大多用戶遭受攻擊所造成的影響是信譽受損、政治風險、經(jīng)濟利益受損。綜上所述,我們進行量身解決方案定制。

以上主要涉及到外部安全攻擊防護,對于具有大量內部服務器,除了web服務器,還涉及到數(shù)據(jù)庫服務器、生產(chǎn)服務器、各類OA、文件服務器,如何實現(xiàn)規(guī)范化管理,杜絕內部安全隱患,需要進行安全運維審計系統(tǒng)的部署,結合電信行業(yè)4A標準以及國際金融法案進行必要的安全防護,這類解決方案主要根據(jù)服務器數(shù)量及應用規(guī)模,外部運維團隊規(guī)模等進行相應解決方案選擇。智恒聯(lián)盟安全運維審計系統(tǒng)綜合了國內最先進的防護理念,實現(xiàn)了精細化管理、規(guī)范化管理、流程化管理等多個角度,清晰人性化的操作界面得到國內廣泛應用。
結束語:應用安全涉及到外部和內部,外部涉及到多種類型以及根據(jù)風險、網(wǎng)站規(guī)模等進行方案的確認,具體某個用戶可以咨詢相關安全專業(yè)人士進行方案設計。隨著國內外安全技術的發(fā)展,黑客技術的發(fā)展,互聯(lián)網(wǎng)應用的發(fā)展,應用安全任重而道遠,需要研究的課題還很多。北京智恒聯(lián)盟科技有限公司作為國內應用安全領軍企業(yè)率先提出此《WEB安全技術白皮書》,希望能為更多用戶清晰理性的選擇適合自身解決方案提供幫助。
下一代移動互聯(lián),物聯(lián)網(wǎng),三網(wǎng)融合,云計算,幾乎每個互聯(lián)網(wǎng)產(chǎn)業(yè)都有應用有著密不可分的聯(lián)系,傳統(tǒng)的網(wǎng)站系統(tǒng)、郵件系統(tǒng)、微博、電子商務、電子政務應用更離不開應用安全,應用安全幾乎滲透了每個角落,在“網(wǎng)絡安全”、“信息安全”進入高速發(fā)展階段,應用安全領域正異軍突起,成為信息安全中最具活力的生力軍。然而應用安全又涉及到應用系統(tǒng)的多個方面,復雜性程度高,稍不留意,要么影響應用系統(tǒng)性能,要么留有安全隱患。什么樣的安全解決方案符合客戶自身需要,把風險控制在可接受的范圍內,又能夠不影響性能,資金投入控制適中,不至于浪費。
我們把用戶的應用歸為幾類,并分別結合國家公安部等級保護進行方案設計,下面先把涉及到的幾類安全產(chǎn)品功能進行簡單描述,我們以智恒聯(lián)盟公司產(chǎn)品為例。
WebGuard網(wǎng)頁防篡改產(chǎn)品,分為靜態(tài)防護和動態(tài)防護。靜態(tài)防護為基本模塊,主要是對網(wǎng)站操作系統(tǒng)漏洞風險或網(wǎng)站發(fā)布系統(tǒng)漏洞對網(wǎng)站中相關文件造成威脅而進行的保護措施,保護對象如網(wǎng)站框架文件、圖片、視頻等,可以做到即使網(wǎng)站遭受到惡意攻擊,也可以確保網(wǎng)站主體文件不受篡改。動態(tài)防護模塊主要針對網(wǎng)站的數(shù)據(jù)庫操作進行防護,目前大多網(wǎng)站均涉及到復雜的數(shù)據(jù)庫應用,里面涉及到用戶重要數(shù)據(jù),這類篡改事件也時有發(fā)生,如某政府國家級資質認證查詢數(shù)據(jù)庫常遭受攻擊篡改,這和目前猖獗的證書造假黑色產(chǎn)業(yè)鏈聯(lián)系緊密,制作了個假證書確在官網(wǎng)上能查詢到,自然售價和可信度高,這類犯法事件時有發(fā)生,還衍生到教育領域學校招生等,干擾正常秩序。此外,還有盜取網(wǎng)站用戶信息進行惡意傳播兜售,均涉及到數(shù)據(jù)庫安全,動態(tài)防護模塊對此類攻擊進行有效保護。
WAF(Web Application Firewall,網(wǎng)站應用防火墻)這個系統(tǒng)是網(wǎng)站防護的硬件解決方案,串聯(lián)在網(wǎng)站的出口,對來自互聯(lián)網(wǎng)80端口的惡意訪問攻擊進行防護,常見攻擊有注入、跨站、DDos等。智恒聯(lián)盟WAF系統(tǒng)還涉及到了事前評估技術,對網(wǎng)站進行掃描,事先發(fā)現(xiàn)風險進行修復,可以防止90%以上的已知漏洞攻擊。這個系統(tǒng)可以和防篡改系統(tǒng)部分功能替代,如可以替代防篡改的動態(tài)模塊,但DDos攻擊等動態(tài)防護模塊是無法替代的。硬件解決方案在大多情況下有一定的優(yōu)勢,但也存在不足,不能對文件進行保護,硬件的性能成為該類解決方案的瓶頸。如用戶網(wǎng)站服務器配置很高,性能很好,而WAF系統(tǒng)配置相對不高,所以選擇時要注意考慮WAF的性能指標,而不要一味追求低價而影響到網(wǎng)站性能。
下圖反應了攻擊過程所造成的影響進行了詳細拆解,幫助用戶進行準確的判斷分析。

目前國內網(wǎng)站主要涉及到幾個領域:電信運營商、政府、金融、證券、電子商務、教育、企事業(yè)單位。按照等級保護防護要求,除個別網(wǎng)站系統(tǒng)三級之外,大多屬于二級或一級。按照網(wǎng)站安全事件大多以下幾類。
1、網(wǎng)站上出現(xiàn)惡意的非法信息;
i. 各類疆獨、藏獨、法輪功等反動言論;
ii. 色情、暴力、賭博等信息;
iii. 政府政策虛假信息、金融非法言論、謠言等;
2、 網(wǎng)站遭受大量掛馬攻擊(通過網(wǎng)站掛馬傳播木馬已經(jīng)占到木馬傳播總量的 90%以上,黑客產(chǎn)業(yè)鏈發(fā)達,大多受經(jīng)濟利益驅動。);
i. 反動組織的間諜軟件;
ii. 各類帳號信息盜取類;
iii. 文件盜取類;
iv. 惡意破壞類;
v. 掛馬隱蔽性較強且長期潛伏,使得木馬變種傳播更為猖獗;
3、 網(wǎng)站的漏洞百出,遭受惡意篡改;
i. 頁面完全篡改;
ii. 部分內容篡改;
iii. 數(shù)據(jù)庫內容惡意刪除或破壞;
大多用戶遭受攻擊所造成的影響是信譽受損、政治風險、經(jīng)濟利益受損。綜上所述,我們進行量身解決方案定制。

以上主要涉及到外部安全攻擊防護,對于具有大量內部服務器,除了web服務器,還涉及到數(shù)據(jù)庫服務器、生產(chǎn)服務器、各類OA、文件服務器,如何實現(xiàn)規(guī)范化管理,杜絕內部安全隱患,需要進行安全運維審計系統(tǒng)的部署,結合電信行業(yè)4A標準以及國際金融法案進行必要的安全防護,這類解決方案主要根據(jù)服務器數(shù)量及應用規(guī)模,外部運維團隊規(guī)模等進行相應解決方案選擇。智恒聯(lián)盟安全運維審計系統(tǒng)綜合了國內最先進的防護理念,實現(xiàn)了精細化管理、規(guī)范化管理、流程化管理等多個角度,清晰人性化的操作界面得到國內廣泛應用。
結束語:應用安全涉及到外部和內部,外部涉及到多種類型以及根據(jù)風險、網(wǎng)站規(guī)模等進行方案的確認,具體某個用戶可以咨詢相關安全專業(yè)人士進行方案設計。隨著國內外安全技術的發(fā)展,黑客技術的發(fā)展,互聯(lián)網(wǎng)應用的發(fā)展,應用安全任重而道遠,需要研究的課題還很多。北京智恒聯(lián)盟科技有限公司作為國內應用安全領軍企業(yè)率先提出此《WEB安全技術白皮書》,希望能為更多用戶清晰理性的選擇適合自身解決方案提供幫助。

責任編輯:和碩涵
免責聲明:本文僅代表作者個人觀點,與本站無關。其原創(chuàng)性以及文中陳述文字和內容未經(jīng)本站證實,對本文以及其中全部或者部分內容、文字的真實性、完整性、及時性本站不作任何保證或承諾,請讀者僅作參考,并請自行核實相關內容。
我要收藏
個贊
-
發(fā)電電力輔助服務營銷決策模型
2019-06-24電力輔助服務營銷 -
繞過安卓SSL驗證證書的四種方式
-
網(wǎng)絡何以可能
2017-02-24網(wǎng)絡