Web時(shí)代安全如何突圍？

隨著互聯(lián)網(wǎng)的普及，越來(lái)越多的應(yīng)用和業(yè)務(wù)開(kāi)始依托Web展開(kāi)，各種各樣的安全威脅和攻擊也滲透其中。要想揪出躲在這些應(yīng)用中的"毒瘤"，并不是一件容易的事情，至少傳統(tǒng)的針對(duì)網(wǎng)絡(luò)層的安全產(chǎn)品是無(wú)能為力的。那么，誰(shuí)能保障我們的Web應(yīng)用安全？我們又該如何正確地認(rèn)識(shí)這類(lèi)安全產(chǎn)品？帶著這樣的問(wèn)題，記者采訪(fǎng)了杭州安恒信息技術(shù)有限公司總裁兼技術(shù)總監(jiān)范淵先生。

針對(duì)Web時(shí)代的安全威脅，什么樣的防護(hù)手段才是真正有效的？

范淵：目前，很多企業(yè)都是通過(guò)網(wǎng)絡(luò)安全防御技術(shù)對(duì)Web應(yīng)用進(jìn)行防護(hù)的，例如采用防火墻、IDS等產(chǎn)品，但它們無(wú)法對(duì)應(yīng)用層進(jìn)行深入地分析，很難找出隱藏在應(yīng)用中的安全威脅，無(wú)法有效阻止Web攻擊。

事實(shí)上，對(duì)于Web應(yīng)用進(jìn)行防護(hù)，只有Web應(yīng)用防火墻才是最有效的。

Web應(yīng)用防火墻（WAF）旨在保護(hù)Web應(yīng)用程序免受常見(jiàn)攻擊（如跨站腳本攻擊和SQL注入攻擊等）的威脅，對(duì)HTTP有非常深入的理解，能夠深入分析和解析HTTP的有效性，可以監(jiān)測(cè)往返流量，還能對(duì)Web流量進(jìn)行安全控制。

傳統(tǒng)防火墻主要在于保護(hù)網(wǎng)絡(luò)的外圍部分，而WAF則部署在Web客戶(hù)端與Web服務(wù)器之間，可以輕松分析出應(yīng)用層的流量，發(fā)現(xiàn)任何違反安全政策的安全問(wèn)題。

那么，一款好的Web應(yīng)用防火墻，應(yīng)該具備哪些特性？

范淵：一款好的Web應(yīng)用防火墻，應(yīng)該能夠有效緩解針對(duì)Web業(yè)務(wù)的各類(lèi)安全威脅，高效保障Web應(yīng)用的可用性和可靠性，還能夠滿(mǎn)足合規(guī)要求。同時(shí)，它對(duì)現(xiàn)有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)還應(yīng)該是盡量無(wú)影響的，而且方便管理，不會(huì)對(duì)現(xiàn)有Web服務(wù)器的訪(fǎng)問(wèn)速率造成太大的影響，不會(huì)對(duì)正常業(yè)務(wù)訪(fǎng)問(wèn)進(jìn)行錯(cuò)誤的攔截阻斷。

以安恒信息明御Web應(yīng)用防火墻為例，是安恒信息結(jié)合多年應(yīng)用安全的攻防理論和應(yīng)急響應(yīng)實(shí)踐經(jīng)驗(yàn)積累的基礎(chǔ)上自主研發(fā)完成的，滿(mǎn)足各類(lèi)法律法規(guī)如PCI、等級(jí)保護(hù)、企業(yè)內(nèi)部控制規(guī)范等要求。

明御Web應(yīng)用防火墻采用專(zhuān)利級(jí)Web入侵異常檢測(cè)引擎，能夠有效分析和識(shí)別各類(lèi)已知和變形的應(yīng)用攻擊，如注入攻擊、跨站腳本攻擊(釣魚(yú)攻擊)、惡意編碼(網(wǎng)頁(yè)木馬)、緩沖區(qū)溢出、信息泄露、應(yīng)用層DoS/DDoS攻擊等，為防御的準(zhǔn)確性和高效性提供了基礎(chǔ)；支持全透明部署，無(wú)需更改原有的DNS或IP配置，對(duì)原有應(yīng)用不會(huì)造成任何影響；支持HTTPS，可實(shí)現(xiàn)各類(lèi)高安全要求Web應(yīng)用系統(tǒng)的深度實(shí)時(shí)防護(hù)（如網(wǎng)銀、證券交易等）；支持多保護(hù)對(duì)象，包括不同域名不同IP、不同域名相同IP的情況；支持用戶(hù)自定義規(guī)則庫(kù)，用戶(hù)可以根據(jù)數(shù)據(jù)包的特征關(guān)鍵字等自定義安全策略規(guī)則，來(lái)實(shí)現(xiàn)安全檢測(cè)及過(guò)濾；統(tǒng)一日志平臺(tái)接口；支持阻斷、告警、By-Pass等多種應(yīng)用模式。

我們知道，安恒信息的產(chǎn)品不只是Web應(yīng)用防火墻一種。那么，在安全防護(hù)方面，安恒信息能夠?yàn)橛脩?hù)提供哪些層面的幫助？

范淵：事實(shí)上，安恒信息是應(yīng)用安全及數(shù)據(jù)庫(kù)安全整體解決方案提供商，專(zhuān)注于應(yīng)用安全前沿趨勢(shì)的研究和分析，核心團(tuán)隊(duì)擁有多年應(yīng)用安全和數(shù)據(jù)庫(kù)安全的深厚技術(shù)背景以及最佳安全攻防實(shí)踐經(jīng)驗(yàn)，目前擁有明鑒、明御兩大系列自主研發(fā)產(chǎn)品，可以為客戶(hù)提供應(yīng)用安全、數(shù)據(jù)庫(kù)安全、不良網(wǎng)站監(jiān)測(cè)、安全管理平臺(tái)等整體解決方案。

需要強(qiáng)調(diào)的是，除了幫助用戶(hù)防范外部的Web應(yīng)用風(fēng)險(xiǎn)，安恒信息還能夠幫助客戶(hù)解決針對(duì)內(nèi)部的數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)。安恒信息的明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)以獨(dú)立硬件審計(jì)的工作模式、靈活的審計(jì)策略配置，解決企業(yè)核心數(shù)據(jù)庫(kù)面臨的"越權(quán)使用、權(quán)限濫用、權(quán)限盜用"等安全威脅，滿(mǎn)足各類(lèi)法令法規(guī)對(duì)數(shù)據(jù)庫(kù)審計(jì)的要求，真正實(shí)現(xiàn)數(shù)據(jù)庫(kù)全業(yè)務(wù)運(yùn)行可視化、日常操作可監(jiān)控、危險(xiǎn)操作可控制、所有行為可審計(jì)、安全事件可追溯。

與此同時(shí)，安恒信息還可以為用戶(hù)提供全面、深度的安全服務(wù)，包括安全咨詢(xún)服務(wù)、風(fēng)險(xiǎn)評(píng)估服務(wù)、安全外包服務(wù)等內(nèi)容。

一句話(huà)，安恒信息能夠從事前、事中、事后等多角度入手，幫助用戶(hù)建立一個(gè)可靠、有效的安全防護(hù)體系。
如果有需要服務(wù)器的租用與托管的敬請(qǐng)聯(lián)系QQ：１５０１２８１７５８（億恩星辰）　　　聯(lián)系電話(huà)：０３７１—６３３２２２２０

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]