WEB安全防護新思路：雙重保護、立體防御
【51CTO.com 綜合消息】據中國互聯網應急中心最新統計顯示，2008年我國大陸地區政府網頁遭篡改事件呈大幅增長趨勢，僅2009年3月我國大陸地區被篡改網站的數量就達到2225個。隨著企業和政府越來越多的業務系統采用基于WEB服務方式，互聯網在為用戶提供方便快捷的同時，針對WEB業務的攻擊亦在迅猛增長。
一方面，基于新技術的突破和應用， WEB技術提供的快捷性、交互性和通用性被越來越多的業務系統所采用；而另一方面，病毒、木馬蠕蟲、釣魚軟件等卻又通過WEB服務的方式大肆在互聯網上傳播，嚴重威脅到了WEB服務的業務系統。對于用戶而言，WEB即敞開了便捷的大門，也讓諸如網頁篡改、密碼盜竊、數據泄漏等安全隱患無處不在。
更為嚴重的是網站作為政府、企業等部門對外的窗口和實施電子政務、電子商務的重要平臺，其安全問題直接關系政府和企業形象，在很大程度上決定了電子政務和電子商務的效率。尤其是，政府網站作為一級政府發布重要新聞、重大方針政策以及法律、法規等的重要渠道，一旦被黑客篡改，將嚴重損害政府的形象，影響社會穩定。甚至有的篡改將直接導致事件升級成政治事件，嚴重危及國家安全和人民利益，其安全性問題不容忽視。
當前典型的WEB攻擊手段主要有以下幾種：
1、利用病毒、蠕蟲、木馬和間諜軟件等惡意代碼，破壞WEB系統；
2、利用系統漏洞，使用緩沖區溢出方式獲得管理員權限，從而任意修改WEB網站內容，竊取信息；
3、XSS攻擊，即跨站腳本攻擊。惡意攻擊者往WEB頁面里插入惡意html代碼，當用戶瀏覽該頁之時，嵌入其中WEB里面的html代碼會被執行，從而達到惡意用戶的特殊目的；
4、利用DOS、DDOS等方式，造成服務癱瘓；
5、利用網站應用程序漏洞，采用SQL注入或跨站攻擊等方式，獲得系統或數據庫管理員權限，從而任意修改數據庫，達到網頁篡改或破壞網頁的目的。
在日趨復雜的WEB安全威脅面前，天融信公司推出的集WEB防護網關和網頁防篡改系統雙重防護能力的天融信網站防護系統，實現了對WEB服務器端和訪問WEB服務器的應用層數據流的深度分析。
|
|
|
圖 網站安全防護示意圖 |
其中，網頁防篡改系統，對基于OS（Windows、Linux、Unix）的WEB服務器、數據庫支持系統和特定的中間件處理服務器進行底層加固、上層過濾，控制系統中進程的運行類別以及權限，對進程啟動所需要的exe、dll、sys等文件進行完整性度量。如符合策略標準，則允許其正常啟動，否則阻止該程序的啟動。
當應用程序請求訪問某些文件時，需要通過度量模塊進行度量，判斷是否滿足訪問權限。這樣在權限控制合理的前提下，應用程序只擁有最小權限，即使其被攻擊者利用，對系統的威脅也是有限的。
同時，網頁防篡改系統會限制WWW服務、FTP服務等訪問與WEB無關的其他任何目錄及文件，有效的實現了WWW服務和系統中其他應用的邏輯隔離，從而降低WWW服務受攻擊的概率。當終端用戶的HTTP請求被WWW服務解析之前，過濾引擎首先將其捕獲，并與策略規則庫中進行特征匹配，如果確定該請求有攻擊性質，則丟棄。這樣就可以有效防御諸如SQL注入、跨站腳本漏洞、CGI等流行攻擊，利用文件過濾驅動技術保護網頁和動態腳本不被非法纂改，從而從源頭上杜絕各類非法篡改行為。
硬件方面，WEB防護網關借助過濾引擎，實現對基于WEB服務訪問攻擊的阻擋，從而形成立體防御?？傮w來說，本解決方案可以實現以下功能：
1、 對未知病毒具備免疫能力
針對市場上傳統反病毒產品無法滿足機構用戶業務安全需求現狀，天融信網站防護系統提供了更加積極主動的安全防御措施，不僅可以防范已知的病毒、木馬等威脅，而且對未知惡意代碼同樣具備有效的防范能力。
2、 牢固的動態網頁防護
天融信網站防護系統通過文件過濾驅動技術對腳本進行檢測，從而避免網頁和網站結構被篡改。另外還可以對SQL注入和跨站攻擊進行有效防護，防止動態網站的數據庫被黑客篡改。
3、 更有效的網頁防篡改技術
不同于市場上常見的網頁防篡改技術（外掛輪詢技術、核心內嵌技術、事件觸發技術），天融信網站防護系統，不再完全依托備份服務器，不僅讓安全性能得到提升，同時可以更有效禁止任何非法的網頁修改行為。
4、 采用內核性能優化和安全加固技術
天融信網站防護系統特有的與上層應用程序無關的安全設計，除了為文件資源提供強制型存取控制、以及特權管理外，還能防止關鍵應用程序被篡改并且能為關鍵應用程序定制靈活的保護策略，做到“量體裁衣”。針對網站防護系統中的服務模塊，采用多種內核性能優化技術，大大提高了網站防護系統的工作效率以及系統本身的健壯性。
5、 更簡便的布署與管理過程
目前常見的防止SQL注入的方式，多為在網頁代碼中加入過濾語句，這樣做不僅需要針對不同的網頁作不同處理，而且通用性差。為此，天融信網站防護系統采用網絡中間層驅動（NDIS）進行過濾，可以支持所有的網站服務。
毫無疑問，今天的WEB已經成為政府和企事業用戶所面臨的最嚴重的安全威脅之一，在復雜的攻擊形態以及層出不窮的新安全威脅面前，傳統的安全防護手段已顯得捉襟見肘。作為國內信息安全領域的領導廠商，天融信網站防護系統不僅集惡意代碼主動防御、網頁文件過濾驅動保護、跨站攻擊防護、防SQL注入、抗網絡攻擊等多個安全功能于一身，而且全面兼顧服務器終端與網絡流量的深度檢測，實現了用戶WEB業務的 “雙重保護、立體防御”。
