构建安全WEB应用.docVIP

构建安全WEB应用 　　摘要: 本文分析WEB 应用现状、威胁和目前面临的挑战,详细描述如何构建安全 WEB 应用。 　　关键词: WEB 应用 风险管理 威胁 　　中图分类号：P624.8 文献标识码：A 文章编号： 　　1. 引言 　　随着 WEB 应用的普及，政府机构和企业都竞相部署了WEB应用系统作为信息发布的窗口。同时更多的对外业务也越来越多地转向WEB 平台上，如网上办公，网上营业厅等。WEB 应用的发展及蕴藏信息价值的提升，必然引发黑客的攻击热潮，近两年来各类WEB 应用安全事件层出不穷，如网页篡改、信息泄露、网站挂马等。 　　2.WEB 应用构架体系和安全威胁 　　2.1 WEB应用构架 　　要对WEB 系统提供安全防护，必须了解WEB基础架构。一个完整的WEB体系架构，通常由四部分构成,客户端、WEB服务、后台数据库、操作系统及网络。 　　浏览器端和服务器通过技术平台交换信息数据，在整个WEB 体系技术平台之上承载的是信息数据。用户通过 WEB浏览器发送请求给WEB 服务器，由WEB 服务将用户的请求转换为对后台数据的查询、提交或是更新，并将最终的结果（信息数据）在浏览器上展示给用户，而所有的信息数据由WEB 应用的后台承载系统进行承载和传输。 　　 　　 　　图WEB 应用架构图 　　2.2 WEB 应用威胁 　　在WEB 体系架构中，信息层面的安全威胁主要来自于虚假信息、非法信息、信息失密等，互联网上常见的有网络谣言、挂马站点、网络钓鱼、泄密等安全威胁。WEB技术体系中安全威胁来自于操作系统、浏览器、系统服务组件、网络平台，包括恶意代码（病毒、蠕虫、流氓软件等）、注入攻击、暴力破解、拒绝服务等。利用应用系统的安全漏洞进行的破坏,是所有安全威胁中占比例最大的一部分。 　　3. WEB应用的安全防护 　　3.1 WEB安全防护的软肋 　　为了全面提高WEB应用的安全，在不同的层面使用相应的技术来确保安全性。在WEB客户端方面，用户必须要安装防病毒、防木马软件。在服务器端为确保数据传输过程不失密，通信层使用SSL（安全套接层）技术加密数据;在服务器上使用软件防火墙，或者网络上部署防火墙设备和入防御系统（IPS），屏蔽不需要的端口和控制非法的访问，部署入侵防御检测系统（IDS），侦测网络上的恶意攻击行为。系统使用身份认证机制授权用户的访问行为。 　　但是即便有防病毒保护、防火墙和 IDS/IPS，企业仍然不得不允许一部分的通讯经过防火墙，毕竟 WEB 应用的目的是为用户提供服务，仅开放WEB 应用必须的80 和443 端口,保护措施可以避免暴露其它危险端口。但是经过此策略的通讯，却无法区分是善意的还是恶意的。同时由于WEB 应用是由软件构成的，那么它一定会包含缺陷，这些缺陷就可能被某些用户利用，他们通过执行各种恶意的操作，操控或者破坏重要信息。 　　IDS 可以监测常规的攻击事件，但是对于变形攻击和0day 攻击，无法进行有效的监测;SSL 可以加密数据，但是它仅仅保护了在传输过程中数据的安全性，并没有保护 WEB 应用本身;每个季度的渗透测试，无法满足处于不断变更之中的应用。只要访问可以顺利通过企业的防火墙，WEB 应用就毫无保留地呈现在用户面前。只有加强 WEB 应用自身的安全，通过对特定WEB 应用全生命周期的风险管控，才是真正的 WEB 应用安全解决之道。 　　3.2 Web 应用防火墙 　　在常见的WEB入侵案例中，大多数是利用漏洞，攻击者先获得一个低权限访问，然后通过低权限上传更多的文件，并尝试执行更高权限的系统命令，接下来攻击者再进一步尝试渗透内网，扫描数据库服务器所在的网段。如果在入侵攻击过程中，的任何一个环节设置有效的防御措施，都有可能导致入侵过程功亏一篑。 　　使用Web 应用防火墙进行系统防护,目前成为主要漏洞防手段。针对Web 扫描器评估所得的漏洞结果，设置对应的防护策略，对于来不及修补漏洞Web应用系统,是一种快捷有效的防护措施， Web扫描器与WEB防火墙联动，但需要人工进行鉴别和干预。 　　3.3 严格的最小权限原则 　　最小权限原则也是安全设计的基本原则之一。最小权限原则要求系统只授予主体必要的权限，而不要过度授权，这样能有效地减少系统、网络、应用、数据库出错的机会。比如在 Linux 系统中，一种良好的操作习惯是使用普通账户登录，在执行需要root 权限的操作时，再通过sudo 命令完成。这样能最大化地降低一些误操作导致的风险；同时普通账户被盗用后，与root 帐户被盗用所导致的后果是完全不同的。在使用最小权限原则时，需要认真梳理业务所需要的权限，在很多时候，开发者并不会意识到业务授予用户的权限过高。在通过访谈了解业务时，可以多设