"應(yīng)用"是王道 錦囊妙計(jì)謀安全(1)

第二回：未雨綢繆 構(gòu)筑WEB安全檢測防護(hù)

引言：

隨著互聯(lián)網(wǎng)的逐漸普及，應(yīng)用層安全問題正逐漸的顯露出來。越來越多的政府等重要網(wǎng)站或WEB辦公系統(tǒng)被滲透，在通過瀏覽器方式實(shí)現(xiàn)展現(xiàn)與交互的同時(shí)，用戶的業(yè)務(wù)系統(tǒng)所受到的威脅也隨之而來，并且隨著業(yè)務(wù)系統(tǒng)的復(fù)雜化及互聯(lián)網(wǎng)環(huán)境的變化，所受威脅也在飛速增長。而網(wǎng)絡(luò)管理人員卻對(duì)此無能為力，因?yàn)閭鹘y(tǒng)的WEB應(yīng)用防火墻和入侵檢測系統(tǒng)等安全產(chǎn)品并不能發(fā)現(xiàn)并阻止來自于應(yīng)用層的入侵攻擊。網(wǎng)站應(yīng)用的安全性事先必須進(jìn)行有效測試和評(píng)估，這樣才能避免在日益增長的應(yīng)用層攻擊事件中遭受損失。

江湖危機(jī)：WEB安全受到的挑戰(zhàn)

最權(quán)威的RSA大會(huì)研究顯示，Web應(yīng)用安全已超過所有以前網(wǎng)絡(luò)層安全，逐漸成為最嚴(yán)重、最廣泛、危害性最大的安全問題。

WEB安全的挑戰(zhàn)主要來自以下幾個(gè)方面：

◆ XSS跨站攻擊

◆ SQL 注入

◆ 網(wǎng)絡(luò)釣魚

◆ 惡意代碼

◆ 偽造ARP報(bào)文

◆ RootKit隱身技術(shù)

◆ 等等

黑客出擊：攻擊由網(wǎng)絡(luò)層轉(zhuǎn)向應(yīng)用層

隨著互聯(lián)網(wǎng)技術(shù)的迅猛發(fā)展，許多政府和企業(yè)的關(guān)鍵業(yè)務(wù)活動(dòng)越來越多地依賴于WEB應(yīng)用，在向客戶提供通過瀏覽器訪問企業(yè)信息功能的同時(shí)，企業(yè)所面臨的風(fēng)險(xiǎn)在不斷增加。主要表現(xiàn)在兩個(gè)層面：一是隨著Web應(yīng)用程序的增多，這些Web應(yīng)用程序所帶來的安全漏洞越來越多；二是隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，被用來進(jìn)行攻擊的黑客工具越來越多、黑客活動(dòng)越來越猖獗,組織性和經(jīng)濟(jì)利益驅(qū)動(dòng)非常明顯。

然而與之形成鮮明對(duì)比的卻是：現(xiàn)階段的安全解決方案無一例外的把重點(diǎn)放在網(wǎng)絡(luò)安全層面，致使面臨應(yīng)用層攻擊（如：針對(duì)WEB應(yīng)用的SQL注入攻擊、跨站腳本攻擊等）發(fā)生時(shí)，傳統(tǒng)的網(wǎng)絡(luò)WEB應(yīng)用防火墻、IDS/IPS等安全產(chǎn)品對(duì)網(wǎng)站攻擊幾乎不起作用，許多政府和企業(yè)門戶網(wǎng)站成為黑客組織成批傳播木馬的最有效途徑。

據(jù)統(tǒng)計(jì)75%的網(wǎng)絡(luò)攻擊和互聯(lián)網(wǎng)安全侵害源于應(yīng)用軟件，網(wǎng)頁上的漏洞的根源還是來自程序開發(fā)者對(duì)網(wǎng)頁程序編制和檢測。未經(jīng)過安全訓(xùn)練的程序員缺乏相關(guān)的網(wǎng)頁安全知識(shí)；應(yīng)用部門缺乏良好的編程規(guī)范和代碼檢測機(jī)制等等。解決此類問題必須在WEB應(yīng)用軟件開發(fā)程序上整治，僅僅靠打補(bǔ)丁和安裝WEB應(yīng)用防火墻是遠(yuǎn)遠(yuǎn)不夠的。

安恒信息高手點(diǎn)析：面向應(yīng)用層新型攻擊特點(diǎn)簡析

◆ 隱蔽性強(qiáng)：利用Web漏洞發(fā)起對(duì)WEB應(yīng)用的攻擊紛繁復(fù)雜，包括SQL注入，跨站腳本攻擊等等，一個(gè)共同特點(diǎn)是隱蔽性強(qiáng)，不易發(fā)覺。

◆ 攻擊時(shí)間短：可在短短幾秒到幾分鐘內(nèi)完成一次數(shù)據(jù)竊取、一次木馬種植、完成對(duì)整個(gè)數(shù)據(jù)庫或Web服務(wù)器的控制，以至于非常困難做出人為反應(yīng)。

◆危害性大：目前幾乎所有銀行，證券，電信，移動(dòng)，政府以及電子商務(wù)企業(yè)都提供在線交易，查詢和交互服務(wù)。用戶的機(jī)密信息包括賬戶，個(gè)人私密信息（如身份證），交易信息等等，都是通過Web存儲(chǔ)于后臺(tái)數(shù)據(jù)庫中，這樣，在線服務(wù)器一旦癱瘓，或雖在正常運(yùn)行，但后臺(tái)數(shù)據(jù)已被篡改或者竊取， 都將造成企業(yè)或個(gè)人巨大的損失。據(jù)權(quán)威部門統(tǒng)計(jì)，目前身份失竊（identity theft）已成為全球最嚴(yán)重的問題之一。

◆ 造成非常嚴(yán)重的有形和無形損失：目前，很多大型企業(yè)都是在國內(nèi)外上市的企業(yè)，一旦發(fā)生這類安全事件，必將造成人心惶惶，名譽(yù)掃地，以致于造成經(jīng)濟(jì)和聲譽(yù)上的巨大損失，即便不上市，其影響和損失也是不可估量的。
如果有需要服務(wù)器的租用與托管的敬請(qǐng)聯(lián)系QQ：１５０１２８１７５８（億恩星辰）　　　聯(lián)系電話：０３７１—６３３２２２２０

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]