BIT7信息系的统安全架构-网站安全架构.ppt

* 1.正常访问：应用系统将业务的结果以URL参数的形式返回给用户浏览器，没有作任何检查 2.跨站攻击：黑客利用这个漏洞，构造出一个URL，吸引用户点击。注意：这不是钓鱼攻击，而是真实的官方网站。事实上，除了恶作剧之外，跨站攻击还可以写上javascript脚本，并在用户端运行，造成更大危害。 3.应用防护：在应用系统的关键脚本执行前，iWall会检查这个页面的访问来源，即之前的访问页面是谁（谁链接过来的），凡是不是本机（本例中的）过来的，均视为攻击。 * 此页面讲解的时候，着重需要引出三个问题 1、Web端口谁来保护（防火墙并不能保护80、443端口） 2、应用数据谁来保护 3、如何保证公众浏览到的信息数原始的！！！这条最重要，网页防篡改产品都是基于文件的保护。而信息包含了文件和内容。即便文件未被篡改成功，只要内容被篡改了，老百姓依然看到了不该看的东西。说道此时可以再次将工商银行和贵州党校案例来佐证 对策二 安全扫描 应用安全扫描 测试方法 黑盒测试（渗透和黑客工具） 白盒测试（代码和开发生命周期） 产品 AppScan (IBM) WebInspect (HP) N-Stalker (N-Stalker) Acunetix (Acunetix) MatriXay (亚龙安恒,dbappsecurity) WebRavor (安域领创,SecDomain) * 对策三 安全防护 应用安全防护 网页防篡改系统 保护网页和脚本的完整性 安全容忍类产品 iGuard 应用防火墙 防止针对主机和应用程序的威胁 安全防护类产品 华诚 Imperva iWall * 网页防篡改系统设计思路 网站工作的流程 Web服务器收听请求 解析url 查找url对应的网页文件 对于静态网页文件, 发送给客户端; 对于动态网页文件, 服务器端执行脚本, 生成页面文件发送给客户端. 网页防篡改系统设计思路 网站备份恢复结构设计 网站文件备份 网站文件在处理前先做完整性校验 通过Hook函数修改web服务器（IIS），扩展完整性校验功能 校验不通过，则从备份系统中恢复造篡改的文件 为加速完整性校验，采用数字摘要技术 预先生成原始文件的摘要（数字水印） 实时比对 网页防篡改系统设计思路 网站备份恢复结构处理流程 Web服务器收听请求 解析url 查找url对应的网页文件 读取网页文件后，做完整性校验 校验不通过，则从备份中恢复 对于静态网页文件, 发送给客户端; 对于动态网页文件, 服务器端执行脚本, 生成页面文件发送给客户端. Web核心内嵌模块 * 硬件平台 （X86/sparc/ItaniumII/PowerPC/PA-RISC） 操作系统 （Windows/Linux/FreeBSD/Solaris/AIX/HP-UX） Web服务器软件 (IIS/Apache/Weblogic/Websphere) 安全核心内嵌模块 request response 应用防护技术 数字水印技术 Web服务器 防篡改技术 * 发布服务器 Web服务器 FTP/rsync 一般发布过程 篡改检测模块 自动发布子系统 监控和恢复子系统 + 篡改检测子系统 SSL 1.上传正常网页 = X 水印库 2.浏览正常网页 3.篡改网页 4.浏览篡改网页 5.自动恢复 文件系统 工作过程 发布过程 发布内嵌模块检测到文件创建/变化 为文件产生加密和不可逆转数字水印 通过加密通道传送到Web服务器 检测过程 公众发出请求浏览网页 应用防护子系统检查请求的合法性 页面保护子系统检查数字水印完整性 其它网页篡改防护的技术路线 外挂轮询 制作网站备份 定期抓取网页与相应的备份网页比对 特点: 可以是后台或前台 无法做到实时恢复 其它网页篡改防护的技术路线 文件保护（事件触发） 改造操作系统文件管理功能，监控和阻断文件写操作 只有特权帐户才能作写操作 Web服务器帐户权限只有读取权限 特点: 权限管理过于严格 限制了web服务器功能，不能适应Web2.0技术的要求 网页防篡改技术比较 外挂轮询 核心内嵌 事件触发 访问篡改网页 可能 不可能 可能 动态网页防护 不支持 支持 不支持 服务器负载 中 低 极低 带宽占用 中 无 无 检测时间 分钟级 实时 毫秒 绕过检测机制 不可能 不可能 可能 防范连续篡改 不能 支持 不支持 断线时检测 不能 能 不能 适用操作系统 所有 所有 受限 Web服务器内置的其它防护功能 同完整性校验功能的实现类似，web服务器在结构上可以扩展其它防护模块 SQL参数的校验处理 用户提交数据中恶意脚本的检查过滤 上述处理功能也可以在防火墙平台上实现 不适用于HTTPS模式 防注入攻击 SELECT *