你的网站安全吗?Web安全交给谁?,web网站面临的安全问题有哪些

1年前 (2022-12-26) 首席小编
9分钟
267
0

打开凤凰新闻,查看更多高清图片

每天,我们通过越来越丰富的Web应用与资源连接在一起,研究表明,绝大多数用户是不愿意用“放弃互联网”来换取“防止个人信息泄露”的。因此,Web服务器以其强大的计算能力、处理性能及掌握着这些蕴含高价值的信息成为了被攻击的主要目标。据统计,64%的公司曾遭受过来自Web的攻击。62%的公司曾被钓鱼或是社会工程学攻击。另外,59%的公司曾被恶意代码和僵尸网络攻击过。

对于企业来说,保护蕴含高价值的企业网站和所存储的数据的安全是重中之重。但是在建站后,我们会发现,无论配置多么齐全,网站也会遭遇各种攻击、扫描,服务器仿佛成了裸奔的香饽饽。如果之前你没遇到过有恶意攻击者或者信息被偷窃的先例,那你肯定不会明白这种事情的后果有多么严重,风险离我们是如此地近。怎么办?

惯性思维会告诉我们,应该安装一个防火墙,但哪个选择更好呢?硬件防火墙?软件防火墙?Web应用防火墙?如果你不是专业人士,你一定会被市场上繁多的产品弄得晕头转向。要想弄清楚该选择何种防火墙,从需求入手是最好的办法,我们希望防火墙帮我们解决哪些问题?

先捋一下需求:

1、要能防御来自网络的恶意攻击:防止竞争对手恶意攻击或黑客敲诈勒索,导致的请求超时,瞬断,不稳定等问题。

2、要能防止数据的泄露:防止黑客通过SQL注入、网页木马等攻击手段入侵网站数据库,获取核心业务数据。

3、要能防止企业网站被篡改:防止黑客通过扫描系统漏洞,植入木马后修改页面内容或发布不良信息,影响网站形象。

4、要做到政府要求的安全合规要求:符合相关法律法规要求,满足信息系统安全等级保护(等保测评)需求。

接下来再来了解一下防火墙。

一、传统意义上的防火墙(FireWall)

当我们接入互联网时,采用的防火墙是一种用于安全管理与筛选的软件和硬件设备,它将内网和公网(如Internet)分开,帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障,以保护用户资料与信息安全性的技术。

硬件型防火墙好理解,通常是个长方型的扁盒子,它把防火墙程序固化到芯片中,由硬件执行这些功能,从而能降低CPU的负担,使服务更稳定。硬件防火墙中可能还有除软件防火墙以外的其他功能,例如CF(内容过滤)IDS(入侵侦测)IPS(入侵防护)以及VPN等等的功能,这导致硬件防火墙的价格都很高。

软件型防火墙是将软件部署在系统主机上来完成防火墙功能,其安全性较硬件防火墙差,同时占用系统资源,在一定程度上影响系统性能。其一般用于单机系统或是极少数的个人计算机,很少用于计算机网络中。

防火墙的关键技术主要有过滤技术、加密技术、防病毒技术、代理服务器。主要功能有网络安全的屏障、强化网络安全策略、监控审计、防止内部信息的外泄、日志记录与事件通知。

二、Web应用防火墙(Web Application Firewall)

较低的网络层(Web应用防火墙被安置在第七层)被许多设备所覆盖,每一种设备都有它们独特的功能,比如路由器,交换机,防火墙,入侵检测系统,入侵防御系统等等。然而,在HTTP的世界里,所有这些功能都被融入在一个设备里:Web应用防火墙。Web应用防火墙主要是对Web特有的入侵方式具备防护能力,例如常见的DDOS防护、SQL注入、跨站脚本攻击、参数篡改、应用平台漏洞攻击、拒绝服务攻击等等。由于都是属于应用层而不是网络层的入侵,从技术上来看都是属于Web IPS(Web入侵防御系统),而不是传统的防火墙。

Web应用防火墙被部署在Web应用程序前面,在用户请求到达Web服务器前对用户请求进行扫描和过滤,Web应用防火墙分析并校验每个用户请求的网络包,会记录黑客攻击样本库及漏洞情况,使用数千台防御设备和骨干网络以及安全替身、攻击溯源等前沿技术,确保每个用户请求有效且安全,构建网站应用级入侵防御系统,对无效或有攻击行为的请求进行阻断或隔离,解决网页篡改、数据泄露和访问不稳定等异常问题,保障网站数据安全性和应用程序可用性。Web防火墙的出现解决了传统防火墙无法解决的针对应用层的攻击问题。

选择什么样的防火墙?

我们从上面的分析和叙述中可以看出,传统防火墙只是针对一些底层(网络层、传输层)的信息进行阻断,而Web应用防火墙则深入到应用层,对所有应用信息进行过滤,解决了传统防火墙无法解决的应用层防护问题,并提供了以下功能:

攻击防护:智能识别Web系统服务状态,实时在线优化防御规则库、分发虚拟补丁程序,提供持续的安全防御支持。数千台防御设备,数百GB海量带宽和内部高速传输网络,实时有效抵御各类DDoS攻击、CC攻击。

安全替身:通过前沿的安全替身技术,虚拟补丁服务,采用主动发现、协同防御的方式将Web安全问题化于无形。即使在极端情况下,Web系统被入侵,甚至被完全破坏,也能重新构造安全内容,以保障系统正常服务。

攻击溯源:现有全球30万黑客档案库及漏洞情况服务中心,对攻击进行实时拦截、联动动态分析。通过百亿日志的大数据分析追溯攻击人员和事件,并利用“反向APT”技术完善黑客档案库,为攻击取证提供详尽依据。

登录安全:通过对登录过程中失败的用户名、密码、登录频率和登录后地域变化等多因素进行关联判断,从而实现Web系统登录安全。

不断迭代的Web应用防火墙将具备更强大的能力,比如:网页源码加密、防扫描、防自动化攻击、防暴力破解、防撞库、防嗅探等等。

Web安全需求的复杂性

从广义上来说,Web应用防火墙就是应用级的网站安全综合解决方案,但难以界定,因为是这个名称包含的东西太多了,如果我们要深究它精确的定义,就可能会得到更多的疑问。因为一些Web应用防火墙是硬件设备,一些则是应用软件;一些是基于网络的,另一些则是嵌入WEB服务器的。而拥有不同知识背景的人往往会关注它不同方面的特点。比如具有网络入侵检测背景的人更倾向于把它看作是运行在HTTP层上的IDS设备;具有防火墙从业背景的人更趋向于把它看作一种防火墙的功能模块。还有一种理解来自于“深度检测防火墙”这个术语。他们认为深度检测防火墙是一种和Web应用防火墙功能相当的设备。然而,尽管两种设备有些相似之处,但是差异还是很大的。深度检测防火墙通常工作在网络的第三层以及更高的层次,而Web应用防火墙则在第七层处理HTTP服务并且很好地支持它。

从技术角度看,直接更改Web代码解决安全问题更好,这是毋庸置疑的,但也没那么容易(实现)。因为,通过更改WEB应用代码是否一定就能增强系统安全性能,这本身就存在争论。而且现实也更加复杂:

1、不可能确保100%的安全。人的能力有限,会不可避免地犯错误。

2、绝大多数情况下,很少有人力求100%的安全。如今的现实生活中那些引领应用发展的人更多注重功能而不是安全。这种观念正在改变,只是有点缓慢。

3、一个复杂的系统通常包含第三方产品(组件,函数库),它们的安全性能是不为人知的。如果这个产品的源代码是保密的,那么你必须依赖商品的厂商提供补丁。即使有些情况下源代码是公开的,你也不可能有精力去修正它们。

4、我们不得不使用存在安全隐患的业务系统,尽管这些旧系统根本无法改进。

因此,如果企业想获得最好的效果,我们需要双管齐下:一方面,必须提高管理者和开发者的安全意识;另一方面,尽可能提高应用系统的安全性。

本文由:首席小编 发布于 小火鸡软件开发,转载请注明出处:https://www.kuzhuti.cn/blog/3203.html
酷客_WP小编
作者

相关推荐

1年前 (2023-02-18)

内容管理系统与营销技术的结合与应用,内容管理系统与营销技术的结合与应用论文

B2B内容营销希望能在客户的购买旅途中,通过合适的方式,及时给客户传递到其所在阶段有价值的内容。比如认知阶段的与品牌和解决方案相关的内容、考虑阶段和用户建立信任感的行业案例、购买阶段的深度服务介绍等。 承载这些内容有图文、视频、网页、白皮书...

评论

已有0人参与了评论

扫码添加微信

联系我们

微信:Kuzhuti
在线咨询:QQ交谈