【文章內(nèi)容簡介】 層檢查數(shù)據(jù)包而不是在應(yīng)用層檢查應(yīng)用請求，因此它們?nèi)狈ψ銐虻膽?yīng)用層的邏輯信息來判斷一個應(yīng)用請求是合法的還是非法的。比如，任何傳統(tǒng)網(wǎng)絡(luò)防火墻都對經(jīng)過 SSL加密保護(hù)的應(yīng)用完全無能為力，從而無法檢測針對這種引用的任何攻擊。 此外一些工具如應(yīng)用掃描器也可以查找系統(tǒng)中那些明顯的漏洞 ，但是掃描 整個 系統(tǒng)并 河南 XXXXXX 網(wǎng) 站 安全防護(hù) 方案 第 6 頁 且給有漏洞的系統(tǒng)打補丁是件非常費時費力的工作。更大的問題是，掃描器無法掃描到所有的系統(tǒng)漏洞，因為一 個應(yīng)用系統(tǒng)需要檢查的方面往往非常多，并且系統(tǒng)狀態(tài)的可能性也非常多。雖然開發(fā)人員可以給系統(tǒng)打上成百上千的補丁，但是只要發(fā)現(xiàn)一個可利用的漏洞，黑客就能夠滲入到系統(tǒng)并造成非常巨大的危害。 因此，理想的解決方案應(yīng)該是把安全防護(hù)功能轉(zhuǎn)移到 安全 設(shè)備中。通過賦于這些新的設(shè)備更多的應(yīng)用層知識，使其能夠過濾掉惡意的應(yīng)用請求。這種設(shè)備的工作方式與防火墻類似，但不是基于網(wǎng)絡(luò)數(shù)據(jù)包而是基于應(yīng)用邏輯的。由于具備了足夠的信息和知識，這種設(shè)備 能夠根據(jù)應(yīng)用規(guī)范有效的識別 正常的應(yīng)用請求， 并且能區(qū)分并過濾任何非法的服務(wù)請求。這種 根據(jù) 新的防護(hù)需 求而出現(xiàn)的設(shè)備就是應(yīng)用防火墻。因為應(yīng)用系統(tǒng)的多樣性，不同的應(yīng)用系統(tǒng)需要具備相應(yīng)功能的防火墻。專門保護(hù) Web應(yīng)用系統(tǒng)的設(shè)備就叫 Web安全網(wǎng)關(guān)。 Web安全網(wǎng)關(guān)的出現(xiàn)，將會使目前日益惡化的 Web應(yīng)用安全得到良好的改善。 WEB 安全網(wǎng)關(guān)是集 WEB 應(yīng)用防火墻 (WAF)、 WEB 威脅管理、負(fù)載均衡于一體的網(wǎng)關(guān)型 WEB 整體安全防護(hù)設(shè)備 。 為了有效的對 XXXXXX的網(wǎng)站提供全方位的安全防護(hù)，并結(jié)合 XXXXXX的網(wǎng)絡(luò)環(huán)境，使用的安全產(chǎn)品或技術(shù)需要覆蓋一下范圍或?qū)崿F(xiàn)以下目標(biāo)： ? 對常見的 WEB攻擊進(jìn)行安全防護(hù) 例如： SQL 注入攻擊 ，跨站腳本攻擊，應(yīng)用層 DDoS 防護(hù)，已知的蠕蟲攻擊 ,以及系統(tǒng)漏洞和系統(tǒng)溢出攻擊防護(hù)等； ? 對敏感資源和數(shù)據(jù)的非法訪問進(jìn)行阻斷； ? 提供多種技術(shù)的網(wǎng)站加速功能； ? 靈活多變的偽裝技術(shù)使系統(tǒng)避免探測和攻擊； ? 提供全面的 Web流量管理，包括基于網(wǎng)站的流量控制，基于 URL的流量控制，基于規(guī)則的 URL流量控制，最大并發(fā)訪問數(shù) ,每秒最大并發(fā)訪問， URL最大消費帶寬等； ? 提供強大的 Web資源訪問審計，高效的日志處理引擎，實時 Web資源訪問統(tǒng)計，海量日志處理，豐富的統(tǒng)計報表，詳細(xì)的訪問日志，訪問者 /訪問時間統(tǒng)計報表，客戶端操作系 統(tǒng) /瀏覽器統(tǒng)計報表，被訪問文件統(tǒng)計報表等。 ? 設(shè)備提供負(fù)載均衡功能，能夠?qū)δ壳按嬖诘膬膳_ web服務(wù)器進(jìn)行負(fù)載均衡，實現(xiàn)網(wǎng)站無間斷運行。 針對 XXXXXX的網(wǎng)站情況，我們推薦選用天泰 WEB安全網(wǎng)關(guān)對網(wǎng)站進(jìn)行安全防護(hù)，防止 河南 XXXXXX 網(wǎng) 站 安全防護(hù) 方案 第 7 頁 網(wǎng)站被入侵、防止系統(tǒng)信息被修改、防止對后臺數(shù)據(jù)庫的惡意訪問、杜絕 DDoS攻擊，保障系統(tǒng)服務(wù)的持續(xù)性。 WEB 安全網(wǎng)關(guān)產(chǎn)品部署分析 Web安全網(wǎng)關(guān)主要是對 XXXXXX的 web 應(yīng)用系統(tǒng)（網(wǎng)站）的服務(wù)器進(jìn)行 web應(yīng)用防護(hù)。在確定保護(hù)對象后，要根據(jù)應(yīng)用和產(chǎn)品適應(yīng)網(wǎng)絡(luò)的情況不同，采用相應(yīng)的接入方式部署。天泰 web安全網(wǎng)關(guān)主要接入方式有：透明方式、路由方式和單臂方式等。 設(shè)備部署方式 透明或路由方式部署 透明方式和路由方式的部署位置極為相似，均需要串聯(lián)接入網(wǎng)絡(luò)中，所有訪問 web 服務(wù)器的數(shù)據(jù)都需要通過 web 安全網(wǎng)關(guān)設(shè)備， web 安全網(wǎng)關(guān)除了需要分析 應(yīng)用的數(shù)據(jù)以外還需要處理非 協(xié)議的數(shù)據(jù)流，對設(shè)備的性能要求較高。 其網(wǎng)絡(luò)結(jié)構(gòu)為： 路由方式： ① 設(shè)備接口分別設(shè)置為不同網(wǎng)段的地址，具有基本路由功能； ② 能夠進(jìn)行源地址轉(zhuǎn)換和目標(biāo)地址轉(zhuǎn)換功能 ； ③ 支持軟件安全防護(hù) BYPASS功能； ④ 需要防火墻將原來影射到 web服務(wù)器地址的信息更改為影射到 web安全網(wǎng)關(guān)的外部地址。 透明方式： 河南 XXXXXX 網(wǎng) 站 安全防護(hù) 方案 第 8 頁 ① 設(shè)備接口在同一個網(wǎng)段，接入方便，不需要更改網(wǎng)絡(luò)配置； ② 支持軟硬件 BYPASS功能； ③ 不支持路由轉(zhuǎn)發(fā)和地址轉(zhuǎn)換功能。 單臂方式部署 單臂方式的部署如同普通服務(wù)器一樣，只需要接入設(shè)備一個接口即可。該接入方法能夠只對 協(xié)議的數(shù)據(jù)流進(jìn)行分析和防護(hù)，對設(shè)備性能要求較路由和透明方式低。 單臂方式的網(wǎng)絡(luò)結(jié)構(gòu)為： 備注： ① 需要防火墻將原來映射到 web 服務(wù)器地址的 服務(wù)信息更改為映射到 web安全網(wǎng)關(guān)的地址； ② 支持軟件安全 BYPASS功能； ③ 不支持路由和地址轉(zhuǎn)換功能。 部署方式分析 根據(jù)我們對 XXXXXX網(wǎng)站的研究，以盡可能不改變目前網(wǎng)絡(luò)和故障 恢復(fù)便利為設(shè)計原則，最大的提高網(wǎng)絡(luò)安全性為要求，我們推薦使用透明方式進(jìn)行接入。以下具體說明。 透明方式接入就是 web安全網(wǎng)關(guān)安裝后，用戶在使用時意識不到該設(shè)備的存在，在用戶無所察覺的情況下提高網(wǎng)絡(luò)的整體安全。 在網(wǎng)絡(luò)設(shè)備出現(xiàn)人為或自然的破壞以后將影響到網(wǎng)絡(luò)鏈路的暢通，采用透明式安裝方式可以非常方便的恢復(fù)網(wǎng)絡(luò)鏈路的暢通性，只需關(guān)閉 web安全網(wǎng)關(guān)即可。雖然暫時失去對 web服務(wù)器的保護(hù)，但降低了由于網(wǎng)絡(luò)鏈路故障導(dǎo)致網(wǎng)站不能正常打開所帶來的損失。 河南 XXXXXX 網(wǎng) 站 安全防護(hù) 方案 第 9 頁 所以，根據(jù)我們研究，推薦使用透明方式部署。將 WEB安全網(wǎng)關(guān)部署于服務(wù) 器的前端，不需要更改任何網(wǎng)絡(luò)層的配置，僅需分配給 WEB安全網(wǎng)關(guān)一個可路由的 IP 地址即可。 WEB 安全網(wǎng)關(guān)實現(xiàn)的功能 天泰 Web安全網(wǎng)關(guān)率先引入了應(yīng)用基礎(chǔ)設(shè)施新概念，在架構(gòu)中整合了性能、安全性、可用性，并節(jié)省了成本，而這些正是現(xiàn)代企業(yè)在網(wǎng)絡(luò)中放心地部署關(guān)鍵應(yīng)用的過程中所必須的。天泰 Web安全網(wǎng)關(guān) 不但融合了傳統(tǒng)網(wǎng)絡(luò)防火墻和流量管理器系統(tǒng)的所有特點，而且還具備了新型的 Web應(yīng)用防火墻的功能，因此系統(tǒng)具備先進(jìn)的應(yīng)用功能。 保護(hù)系統(tǒng)安全 天泰 Web安全網(wǎng)關(guān) 具備全面的攻擊防御系統(tǒng)，可保證系統(tǒng)不受網(wǎng)絡(luò)蠕蟲 /病毒和應(yīng)用專用漏洞的攻擊 ,最大可能地緩解 DoS/DDoS攻擊對應(yīng)用的影響。 安全網(wǎng)關(guān) 系統(tǒng)的核心是WebSwitch?引擎 , 該引擎提供了獨特的、高性能的第 7層功能組合。通過對應(yīng)用請求進(jìn)行檢查，辨別惡意內(nèi)容并阻止其進(jìn)入應(yīng)用服務(wù)器。 天泰 Web安全網(wǎng)關(guān) 的安全功能包括： ? 網(wǎng)絡(luò)攻擊防護(hù) —— 通過在惡意蠕蟲和病毒進(jìn)入應(yīng)用服務(wù)器前進(jìn)行識別并拒絕，保護(hù)應(yīng)用服務(wù)器不受侵襲。 天泰 Web安全網(wǎng)關(guān)的 NetShield?引擎獨特的包檢測和過濾功能（包括對加密流量進(jìn)行檢測）可支持管理員制定策略來保護(hù)系統(tǒng)不受這些攻擊。 ? DoS/DDoS攻擊 保護(hù) —— 識別網(wǎng) 絡(luò)層和應(yīng)用層 DoS/DDoS攻擊，最大可能地地緩解攻擊對網(wǎng)絡(luò)和系統(tǒng)造成的危害。 ? Web應(yīng)用防火墻 —— 能夠完美地保護(hù)客戶免遭傳統(tǒng)安全措施所無法阻擋的應(yīng)用威脅的侵害，并且無需單獨部署應(yīng)用安全防護(hù)設(shè)備。天泰 WebShield? Web應(yīng)用安全引擎不僅可以幫助客戶阻止會損害系統(tǒng)的應(yīng)用層攻擊，還能幫助企業(yè)滿足法規(guī)要求，如支付卡行業(yè) (PCI)的數(shù)據(jù)安全標(biāo)準(zhǔn)。 加強系統(tǒng)審計 天泰 Web安全網(wǎng)關(guān) 能夠采集和統(tǒng)計用戶對各個 We