web應(yīng)用安全解決方案(編輯修改稿)
2025-05-24 22:28 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 始路徑過濾：限制HTTP請(qǐng)求中的對(duì)指定開始路徑地址的訪問。n 請(qǐng)求文件過濾：限制HTTP請(qǐng)求中的對(duì)指定文件的訪問。n 請(qǐng)求文件類型過濾：限制HTTP請(qǐng)求中的對(duì)指定文件類型的訪問。n 請(qǐng)求版本過濾：限制對(duì)指定HTTP版本的訪問及完整性檢查。n 請(qǐng)求客戶端過濾：限制對(duì)指定HTTP客戶端的訪問及完整性檢查。n 請(qǐng)求鏈接過濾：限制鏈接字段中含有的字符及完整性檢查。n 鑒別類型過濾：限制對(duì)指定HTTP鑒別類型的訪問。n 鑒別帳號(hào)過濾：限制對(duì)指定HTTP鑒別帳號(hào)的訪問。n 內(nèi)容長(zhǎng)度過濾：限制對(duì)指定HTTP請(qǐng)求內(nèi)容長(zhǎng)度的訪問。n 內(nèi)容類型過濾：限制對(duì)指定HTTP請(qǐng)求內(nèi)容類型的訪問。這些規(guī)則需要可以根據(jù)Web系統(tǒng)的實(shí)際情況進(jìn)行配置和分站點(diǎn)應(yīng)用。2． 請(qǐng)求內(nèi)容限制iWall可以對(duì)HTTP請(qǐng)求的內(nèi)容進(jìn)行以下過濾和限制：n URL過濾：對(duì)提交的URL請(qǐng)求中的字符進(jìn)行限制。n 請(qǐng)求參數(shù)過濾：對(duì)GET方法提交的參數(shù)進(jìn)行檢查（包括注入式攻擊和代碼攻擊）。n 請(qǐng)求數(shù)據(jù)過濾：對(duì)POST方法提交的數(shù)據(jù)進(jìn)行檢查（包括注入式攻擊和代碼攻擊）。n Cookie過濾：對(duì)Cookie內(nèi)容進(jìn)行檢查。n 盜鏈檢查：對(duì)指定的文件類型進(jìn)行參考域的檢查。n 跨站腳本攻擊檢查：對(duì)指定的文件類型進(jìn)行參考開始路徑的檢查。這些規(guī)則需要可以根據(jù)Web系統(tǒng)的實(shí)際情況進(jìn)行配置和分站點(diǎn)應(yīng)用。3． 指定站點(diǎn)規(guī)則iWall可以分別為一臺(tái)服務(wù)器上不同的站點(diǎn)制定不同的規(guī)則，站點(diǎn)區(qū)分的方法包括：n 不同的端口。n 不同的IP地址。n 不同的主機(jī)頭名（即域名）。4． 可防范的攻擊iWall組合以上限制特性，可針對(duì)以下應(yīng)用攻擊進(jìn)行有效防御：n SQL數(shù)據(jù)庫(kù)注入式攻擊。n 腳本源代碼泄露。n 非法執(zhí)行系統(tǒng)命令。n 非法執(zhí)行腳本。n 上傳假冒文件。n 跨站腳本漏洞。n 不安全的本地存儲(chǔ)。n 網(wǎng)站資源盜鏈。n 應(yīng)用層拒絕服務(wù)攻擊。對(duì)這些攻擊更詳細(xì)的描述見本文檔第6章：常見應(yīng)用層攻擊簡(jiǎn)介。4． iGuard標(biāo)準(zhǔn)部署1） 兩臺(tái)服務(wù)器部署iGuard至少需要兩臺(tái)服務(wù)器：n 發(fā)布服務(wù)器：位于內(nèi)網(wǎng)中，本身處在相對(duì)安全的環(huán)境中，其上部署iGuard的發(fā)布服務(wù)器軟件。n Web服務(wù)器：位于公網(wǎng)/DMZ中，本身處在不安全的環(huán)境中，其上部署iGuard的Web服務(wù)器端軟件。它們之間的關(guān)系如圖示1所示。iGuard發(fā)布服務(wù)器軟件發(fā)布服務(wù)器HTTPFTP…SSLIntranetDMZInternetiGuardWeb服務(wù)器端軟件Web服務(wù)器Internet圖示 1 iGuard兩臺(tái)服務(wù)器2） 發(fā)布服務(wù)器發(fā)布服務(wù)器上運(yùn)行iGuard的“發(fā)布服務(wù)器軟件”（Staging Server）。所有網(wǎng)頁(yè)的合法變更（包括增加、修改、刪除、重命名）都在發(fā)布服務(wù)器上進(jìn)行。發(fā)布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)頁(yè)文件完全相同的目錄結(jié)構(gòu)，發(fā)布服務(wù)器上的任何文件/目錄的變化都會(huì)自動(dòng)和立即地反映到Web服務(wù)器的相應(yīng)位置上，文件/目錄變更的方法可以是任意方式的（例如：FTP、SFTP、RCP、NFS、文件共享等）。網(wǎng)頁(yè)變更后，“發(fā)布服務(wù)器軟件”將其同步到Web服務(wù)器上。發(fā)布服務(wù)器是部署iGuard時(shí)新增添的機(jī)器，原則需要一臺(tái)獨(dú)立的服務(wù)器；對(duì)于網(wǎng)頁(yè)更新不太頻繁的網(wǎng)站，也可以用普通PC機(jī)或者與擔(dān)任其他工作的服務(wù)器共用。發(fā)布服務(wù)器為PC服務(wù)器，其本身的硬件配置無特定要求，操作系統(tǒng)可選擇Windows（一般網(wǎng)站）或Linux（大型網(wǎng)站，需選加Linux企業(yè)發(fā)布模塊）。3） Web服務(wù)器Web服務(wù)器上除了原本運(yùn)行的Web服務(wù)器軟件（如IIS、Apache、SunONE、Weblogic、Websphere等）外，還運(yùn)行有iGuard的“Web服務(wù)器端軟件”，“Web服務(wù)器端軟件”由“同步服務(wù)器”（SyncServer）和“防篡改模塊”（AntiTamper）組成。“iGuard同步服務(wù)器”負(fù)責(zé)與iGuard發(fā)布服務(wù)器通信，將發(fā)布服務(wù)器上的所有網(wǎng)頁(yè)文件變更同步到Web服務(wù)器本地；“iGuard防篡改模塊”作為W
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1