SaaS常见网络攻击防范的研究doc.docVIP

SaaS常见网络攻击防范的研究 摘要 目前安全问题是限制软件即服务模式应用的最主要原因之一。SaaS专家在谈及SaaS安全性问题时认为，虽然安全性不足以制约整个产业的发展，但这一产业要想实现快速发展，安全性问题仍需要重点关注。Cookie或者账号信息等。攻击者也可以利用CSRF能导致用户在完全无知的情况下发送HTTP请求到SaaS系统，从而破坏或者泄漏租户数据。HTTP响应拆分攻击目前不是很受一些安全机构重视，但对于数据安全性要求较高的SaaS系统是有必要加以防范的，因为只要有用户数据泄漏，便会影响SaaS企业的声誉，并且给SaaS系统的进一步推广带来非常不利的影响。 虽然微软等已经意识到这些网络攻击的严重危害性，并且IE8提供了隐私报告功能，包含了一个XSS过滤器，并且引入了一种防止页面被框架化的机制，但这些都只是在一定程度上增加了网络攻击的难度；Firefox提供禁用脚本的插件，但用户还是会利用插件的白名单功能允许部分网站使用脚本，从而导致网络攻击漏洞。目前SaaS企业还未对网络攻击的防范有充分的考虑，甚至是直到客户要求防范网站攻击的时候，才补充对网络攻击的防范，这样将会需要更多的人力和时间成本。因此对SaaS系统常见网络攻击的防范技术是非常重要的。 目前所有用户提交内容进行输入验证，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，包含最小的、安全的Tag对其他的一律过滤保持浏览器更新，清理历史记录Cookie记录Cookies Hashing可以对CSRF进行一定的防范，检测访问来路HTTP Referrer是由客户端浏览器发送的，攻击者可以伪造HTTP头。在用户提交的每一个表单中使用验证码给non-GET的请求设置security token，。 ABSTRACT Currently security is one of the most important reasons that obstruct the widespread use of SaaS software. SaaS experts said that while security is insufficient to constrain the development of the SaaS industry. But as we want this industry to achieve rapid development, the security issues have to be focused. The network attacks is one of the biggest threats that against the security of SaaS system. Currently though many SaaS systems are able to prevent SQL injection well, to ensure the security of user login, but no better guard against cross-site scripting attacks, cross site request forgery, HTTP Response Splitting attacks. The most famous Network security research organization in the world called Owasp listed the top network attacks in 2007, cross-site scripting and cross site request forgery attacks both ranked the top five. On the other hand, the HTTP Response Splitting attacks is also extremely dangerous because it can lead to XSS or other network attacks. For a SaaS system, the user account of each tenant is very important. But the network attackers can make use of Cross Site Scripting vulnerabilities to get the Cookie or login account of a tenant. They can also make use of Cross Site Request Forgery to send HTTP r