Web应用暨数据安全实施案例.pdfVIP

        U.S.cellular 梭子鱼  Web 应用暨数据安全实施案例  —— 肖作葵    1/4    用户概况 U.S.cellular 公司是美国第八大无线服务运营商，总部位于芝加哥，在美国25州开展无线 电话和数据运营服务；拥有 500 个营业网点和1800个销售代理商。 该公司的门户网站为用户及其代理商提供产品信息、产品支持、在线服务等功能；其中用户 及代理商的在线服务需要连接到网站后台的数据中心，因此数据中心运行的安全性、可用性非常 突出。 为了确保网站安全，U.S.cellular 公司首先采取了传统的安全解决方法：如采用防火墙保 护网络、加密所有交易保护隐私、使用口令验证控制应用交互，记录访问日志并加强审计；然而 U.S.cellular 安全团队对于 Web 应用安全进行深入研究后发现其传统的安全措施无法消除网站 安全风险： 1、针对大型在线网站的黑客攻击增加，数据窃取事件频发；而新的法律界定了信息防护的 责任；一旦U.S.cellular网站被攻击，客户信息被泄露，损失无法估量。 2、在对网站进行应用漏洞测试发现了较多的安全漏洞，如果采用源代码安全修订防护，需 要昂贵的费用，估算将超过1000000 美元。并且需要长达 12-18个月的时间，最为关键的是无法 确保源代码完全被修复。 因此U.S.cellular 决定必须采用新的安全防护设备。 U.S.cellular 的需求 1、新的设备必须保障应用，Web应用安全威胁的根源在于应用程序代码，而不是服务器和网 络，因此新的设备不是更过的网络层工作设备，必须能检查 Web 应用流量并能对 HTTP 进行深度 检测。 2、必须确保数据中心的可靠性和安全性。必须能够阻止透过Web 应用对数据库的攻击。设备 必须具备冗余和 failover功能。 3、需要具备SSL卸载能力以减轻服务器负荷 4、需要具备用户认证功能以加强访问安全。 5、解决方案必须易于管理和使用，U.S.cellular 公司不希望新的设备需要大量人员培训和 复杂维护时间，新的设备必须类似于目前数据中心设备。 梭子鱼 Web 应用防火墙解决方案： 2/4  全球领先的应用安全和交付解决方案提供商——梭子鱼网络有限公司对此提出了以梭子鱼 WEB 应用防火墙（Barracuda Web Application Controllers）为核心的应用解决方案。一方面 可以帮助 U.S.cellular 公司的 WEB 服务器和 WEB 应用提供全面的防护，包括:1）对已知的 WEB 系统和网络基础设施漏洞攻击的安全防护；2）各种恶意攻击的防护；3）数据中心的安全防范； 另一方面，梭子鱼 WEB 应用防火墙还负责企业网络应用的高可用性和高效性，将加速功能（TCP 池，缓存、GZIP 压缩）和可用性功能（负载均衡、内容交换和健康检查等）在一个单一的节点 处结合起来显著的简化了数据中心的体系结构。 具体解决方案应用如下： 1、梭子鱼 Web 应用