基于DOA下Web安全管理体系研究与设计.docVIP

基于DOA下Web安全管理体系研究与设计 　　摘要：随着“互联网+”、大数据时代的到来，人类已经从信息技术（IT，Information Technology） 时代逐步走向数据技术（ DT， Data Technology）时代。Web技术的广泛应用发展，客?舳艘凿?览和数据下载的方式占据了大量的市场、数据成倍的速度增长，以信息技术（小数据时代）发展而来的技术和信息安全技术，已不能有效解决目前的数据问题，而基于面向数据（ DOA， Data-Oriented Architecture），以碎片化应用的数据生态系统的构建机制，有效解决了大数据时代Web应用开发过程中的结构、管理、安全等体系问题。从数据保护到数据授权应用的全过程管理机制，解决了在云计算、大数据、“互联网+”信息时代Web所面临的安全问题。不但提供了知识理论和技术方案，也为数据安全、信息安全、数据应用、信息应用等带来了新的机制，新的思路。 　　关键词：DOA；XSS漏洞 ；SQL注入；Web安全 　　0引言 　　随着企业信息化程度的不断提高、科技技术应用的快速发展，信息时代已经成为我们的生活不可缺的一部分，Web应用技术的快速及应用，已经越来越成熟，并不断壮大，安全问题引起了社会各界的高度重视。而目前Web应用程序和服务的增长已逐渐超越了开发人员所能承受的安全意识范围。 　　1目前Web安全管理体系的威胁 　　Web面临安全多种多样，应用开发过程中也持续受到跨站脚本漏洞、SQL注入等各手段方式的攻击。而目前传统安全体系下大多数数据都是处于“裸露”的状态，一旦有不速之客通过各种漏洞或非法获得权限都可以获取数据信息，其中SQL注入作为主流攻击之首，“裸露”数据直接可以导致敏感数据的泄露甚至数据丢失。跨站攻击、网页篡改攻击也是传统web安全架构体系无法避免的网络攻击手段，在大数据复杂的“互联网+”环境下，依赖于云计算、移动互联网、大数据、物联网的Web应用也逐步增长。Web中数据存放、钓鱼网站、数据越权访问等现象时有发生，以传统的Web的安全体系架构已无法完成、快速更新适应于现在复杂的网络软件环境。 　　根据目前Web安全体系结构与常见解决方案缺陷的分析，Web安全体系加固中设计了防护客户端、加固系统服务端等策略。Web服务器安全架构中常见方案对离散服务器应用场景、服务器群组场景也大多都基于目前传统的Web安全体系架构而设计如2-1图： 　　2基于DOA下Web安全管理体系的研究设计 　　（1）避免性能瓶颈 　　建立面向数据（ DOA， Data-Oriented Architecture）具有安全属性（主人、朋友、陌生人与敌人）的数据授权机制，加密呈现深度级别和基于特定的访问者，特定的场合（环境），特定的时间（时段）的AAA（Authorization，Authentication，Accounting， 授权、认证、计帐）策略的Web安全机制，打破传统我们只对Web服务器本身进行直接加固，通过下放客户端，使每个防护客户端只处理流经本服务器的网络数据，只关心单台服务器的数据安全问题。建立数据与应用相分离，不依赖于特定的硬件环境和软件环境，数据生长不同的应用。站在数据的角度审视技术、架构、安全体系，建立以数据为核心，天生加密、授权访问、过程记录、加密存储、传输授权、解密使用的大数据平台碎片化应用安全体系。这样，在服务器的数据组的应用场景下，便不会存在单一的安全加固系统，而是需要处理群组中所有服务器的数据属性，从而有效降低了性能影响，避免了由于安全加固系统成为性能瓶颈，从而降低了对整个服务器群组中所有Web应用的服务质量产生的影响。 　　（2）统一服务管理平台 　　新型Web安全管理体系以数据为核心，重新认识数据价值和数据管理，满足各种应用需求，通过数据注册中心（DRC）、数据权限中心（DAC）、数据异常控制中心（DEC）来统一定义数据、管理数据和提供数据服务，通过数据应用单元（DAUs）对各种应用进行管理和服务建立一种数据大平台与碎片化应用的数据生态系统，解决数据与应用之间自生长、自适应、自管理和可持续发展的机制，构建从数据保护到授权应用的整套机制，即数据的安全机制，应用中数据的授权使用机制。 　　基于DOA下Web安全管理体系提供给管理员的唯一接口是基于数据安全体系的管理机制。以数据为核心的Web安全管理体系可以在不影响服务质量的前提下，处理大量处于网络位置离散状态下的网站服务器或服务器群组的数据，并且进行统一的安全管理，管理员可以数据为核心，提取调用数据，利用数据权限中心（DAC）进行统一安全配置与管理。同时，通过数据注册中心（DRC）建立的远程日志保存机制，可以防止攻击者对攻击痕迹的清除，并可以在不影响Web服务器性能的情况下，对来自异