BIT7信息系统安全架构网站安全架构.pptVIP

* 1.正常访问：应用系统将业务的结果以URL参数的形式返回给用户浏览器，没有作任何检查 2.跨站攻击：黑客利用这个漏洞，构造出一个URL，吸引用户点击。注意：这不是钓鱼攻击，而是真实的官方网站。事实上，除了恶作剧之外，跨站攻击还可以写上javascript脚本，并在用户端运行，造成更大危害。 3.应用防护：在应用系统的关键脚本执行前，iWall会检查这个页面的访问来源，即之前的访问页面是谁（谁链接过来的），凡是不是本机（本例中的）过来的，均视为攻击。 * 此页面讲解的时候，着重需要引出三个问题 1、Web端口谁来保护（防火墙并不能保护80、443端口） 2、应用数据谁来保护 3、如何保证公众浏览到的信息数原始的！！！这条最重要，网页防篡改产品都是基于文件的保护。而信息包含了文件和内容。即便文件未被篡改成功，只要内容被篡改了，老百姓依然看到了不该看的东西。说道此时可以再次将工商银行和贵州党校案例来佐证 对策二 安全扫描 应用安全扫描 测试方法 黑盒测试（渗透和黑客工具） 白盒测试（代码和开发生命周期） 产品 AppScan (IBM) WebInspect (HP) N-Stalker (N-Stalker) Acunetix (Acunetix) MatriXay (亚龙安恒,dbappsecurity) WebRavor (安域领创,SecDomain) * 对策三 安全防