《leadsec_waf产品介绍v3.0-20110518》由会员分享，可在线阅读，更多相关《leadsec_waf产品介绍v3.0-20110518（31页珍藏版）》请在金锄头文库上搜索。
1、网御Web应用安全防护系统(WAF)Web防火墙产品培训产品管理部刘燕岭Web应用的安全威胁如何防范Web的安全威胁如何选择Web防火墙产品网御WAF的解决方案 第一章第二章第三章第四章目录目录“专攻专守专攻专守”- -保护保护WebWeb应用安全应用安全让每一个人放心的使用互联网！.Web应用的安全威胁如何防范Web的安全威胁如何选择Web防火墙产品网御WAF的解决方案 第一章第二章第三章第四章目录目录“专攻专守专攻专守”- -保护保护WebWeb应用安全应用安全让每一个人放心的使用互联网！.安全威胁事件安全威胁事件频频发发网站挂马（地下产业链）WebWeb安全状况安全状况不容乐观不容乐观网
2、络安全信息与动态周报网络安全信息与动态周报 - 2010- 2010年年1111月月1 1日日1111月月7 7日日 短短短短1 1周内，中国境内英文域名以周内，中国境内英文域名以. 结尾的网站被篡改数量为结尾的网站被篡改数量为7272个个，环比，环比增长增长31%31%，截止，截止1111月月8 8日中午日中午1212时仍未恢复的网站为时仍未恢复的网站为2121个个，被挂马网站，被挂马网站5 5个个。20102010年上半年中国互联网网络安全报告年上半年中国互联网网络安全报告 - 2010- 2010年年9 9月月中国互联网络发展状况统计报告中国互联网络发展状况统计报告 - 2010- 20
3、10年年7 7月月 截至截至20102010年年6 6月，中国的网站数，即域名注册者在中国境内的网站数（包括在月，中国的网站数，即域名注册者在中国境内的网站数（包括在境内接入和境外接入）为境内接入和境外接入）为279279万个万个。WebWeb网站早期开发者安全意识薄弱网站早期开发者安全意识薄弱第三方内容成风险源第三方内容成风险源 SQLSQL注入和注入和XSSXSS攻击攻击 篡改篡改WebWeb系统数据系统数据 CookieCookie监听、监听、CookieCookie投毒投毒 安全威胁客户端网络带宽滥用客户端网络带宽滥用WebWeb应用的安全应用的安全威胁威胁SQL注入和XSS攻击都是利
4、用了Web页面的脚 本编写的不完善，导致攻击者可以提交精心 构造的URL、FORM表单或POST信息，绕过数 据库的权限认证（SQL注入攻击），或者是 提交发布一些含有恶意脚本的内容，当潜在 受害者访问了这些内容后，将会泄露自己的 私密信息（XSS攻击）。正是由于这类攻击 所利用的并不是通用漏洞，而是每个页面自 己的缺陷，所以变种和变形攻击数量非常多 ，如果还是以常用方法进行检测，漏报和误 报率将会极高。恶意用户通过对Cookie监听破译用户证书 ，篡改从服务器传送到浏览器的cookie数 据。网站常常将一些包括用户ID、口令、 账号等的cookie存储到用户系统上，通过 改变这些值，恶意的用
5、户就可以访问不属 于他们的账户。 面对威胁，传统防护技术的面对威胁，传统防护技术的局限性局限性 （1 1） 防火墙防火墙主要工作在四层以下，主要是基于包检测技术，不能实现对主要工作在四层以下，主要是基于包检测技术，不能实现对HTTPHTTP 协议的精细控制。协议的精细控制。 防病毒产品防病毒产品不仅对不仅对WebWeb应用程序中的漏洞难以识别，而且对网页中存在应用程序中的漏洞难以识别，而且对网页中存在 的恶意代码（网页木马）更是束手无策。的恶意代码（网页木马）更是束手无策。 IPSIPS仅是对仅是对HTTPHTTP数据包有效负载的检测分析，并不能将所有的数据包还数据包有效负载的检测分析，并不能
6、将所有的数据包还 原组装成数据流或具体的内容进行基于关键字或具体内容的检测分析与原组装成数据流或具体的内容进行基于关键字或具体内容的检测分析与 特征提取。比如特征提取。比如CookieCookie篡改、会话劫持，篡改、会话劫持，IPSIPS都不能较好的进行防护。都不能较好的进行防护。 网页防篡改软件网页防篡改软件 静态备份技术，不适用动态网站静态备份技术，不适用动态网站 无法应对无法应对SQLSQL注入、注入、XSSXSS攻击等检测与拦截攻击等检测与拦截面对威胁，传统防护技术的面对威胁，传统防护技术的局限性局限性 （2 2） Web应用的安全威胁如何防范Web的安全威胁如何选择Web防火墙产品
7、网御WAF的解决方案 第一章第二章第三章第四章目录目录“专攻专守专攻专守”- -保护保护WebWeb应用安全应用安全让每一个人放心的使用互联网！.WebWeb防火墙（防火墙（WAFWAF）定义定义技术技术起源起源工作机制工作机制范围范围应用安全应用安全传统网络防火墙传统网络防火墙OSIOSI网络模型，网络模型， 提供协议保护提供协议保护 网络端口阻断网络端口阻断 UDP/TCPUDP/TCP状态状态网络协议网络协议协议执行协议执行传统传统IPSIPS提供基于规则提供基于规则 的网络保护的网络保护 基于规则的检测基于规则的检测 阻断连接阻断连接 UDP/TCPUDP/TCP状态感知状态感知 网络
8、协议网络协议 网络应用网络应用 增强的访问控增强的访问控 制制 URLURL检测检测 支持众多应用支持众多应用 规则规则WAF WAF提供提供 HTTP/HTTPS HTTP/HTTPS 应应 用保护用保护 URL URL 标准化标准化 HTTPHTTP会话状态感会话状态感 知知 上下文管理上下文管理HTTP/HTTPSHTTP/HTTPS 应用应用 基于上下文的基于上下文的 安全模型安全模型 自适应规则（自适应规则（ 学习能力）学习能力） 内容控制内容控制WAFWAF产品的产品的技术技术路线路线 技术路线技术路线2007. 01异常检测协议异常检测协议 WAFWAF对对HTTPHTTP的请求
9、可执行某种异常检测，拒绝不符合的请求可执行某种异常检测，拒绝不符合HttpHttp标准的请求。甚至，标准的请求。甚至，WAFWAF还可以严格限定还可以严格限定HTTPHTTP协议中那些过于松散或未被完全制定的选项。协议中那些过于松散或未被完全制定的选项。 增强的输入验证增强的输入验证 很多很多WEBWEB程序员用程序员用JavaScriptJavaScript在浏览器上实现输入验证。而浏览器只是一个用在浏览器上实现输入验证。而浏览器只是一个用 户控制的简单工具，因此攻击者可以非常容易地绕过输入验证，直接将恶意代户控制的简单工具，因此攻击者可以非常容易地绕过输入验证，直接将恶意代 码输入到码输入
10、到WEBWEB应用服务器。在服务端进行输入验证是解决上述问题的正确方应用服务器。在服务端进行输入验证是解决上述问题的正确方 法。如果这个方法不能实现，还可以通过在客户和应用服务器之间增加代理，法。如果这个方法不能实现，还可以通过在客户和应用服务器之间增加代理，让代理去执行让代理去执行WebWeb页面上嵌入的页面上嵌入的JavaScriptJavaScript，实现输入验证。，实现输入验证。 CookiesCookies保护保护 WAFWAF通常会将通常会将cookiescookies整个内容加密，或者是将整个整个内容加密，或者是将整个cookiescookies机制虚拟化。机制虚拟化。抗入侵规
11、避技术抗入侵规避技术 基于网络的基于网络的IDSIDS对付对付WEBWEB攻击的问题就是攻击规避技术。攻击的问题就是攻击规避技术。WAFWAF每次可每次可 以看到整个以看到整个HTTPHTTP请求，所以能够将动态请求和静态请求分别对待避免请求，所以能够将动态请求和静态请求分别对待避免 所有类型的所有类型的HTTPHTTP请求分片的攻击。这样请求分片的攻击。这样WAFWAF可以有足够的计算能力可以有足够的计算能力对付各种攻击规避技术。对付各种攻击规避技术。 响应监视和信息泄露保护响应监视和信息泄露保护 信息泄露防护是我们给监视信息泄露防护是我们给监视HTTPHTTP输出数据的一个名称。从原理上来
12、说输出数据的一个名称。从原理上来说 它和请求监视是一样的，目的是监视可疑的输出，并防止可疑的它和请求监视是一样的，目的是监视可疑的输出，并防止可疑的HTTPHTTP 输出数据到达用户。另外，这个技术的另一项应用是发现成功入侵的输出数据到达用户。另外，这个技术的另一项应用是发现成功入侵的 迹象。在攻击者没有完全掌控服务器而仅仅尝试迹象。在攻击者没有完全掌控服务器而仅仅尝试WEBWEB应用的安全漏洞应用的安全漏洞的情况下，这项技术可以起到防护效果。的情况下，这项技术可以起到防护效果。 Web应用的安全威胁如何防范Web的安全威胁如何选择Web防火墙产品网御WAF的解决方案 第一章第二章第三章第四章
13、目录目录“专攻专守专攻专守”- -保护保护WebWeb应用安全应用安全让每一个人放心的使用互联网！.WAFWAF产品产品之之功能选择篇功能选择篇WebWeb虚拟服务虚拟服务通过部署通过部署WAFWAF来管理多个独立的来管理多个独立的WebWeb应用，各应用，各WebWeb应用可采用不同的安全策略，可在不应用可采用不同的安全策略，可在不 修改用户网络架构的情况下增加新的应用，为多元化的修改用户网络架构的情况下增加新的应用，为多元化的WebWeb业务运营机构提供显著的运营优业务运营机构提供显著的运营优 势与便利条件。势与便利条件。策略策略A A 代理模式代理模式 DoSDoS防御防御 WebWeb
14、攻击防护攻击防护 WebWeb请求信息限制请求信息限制 WebWeb敏感信息保护敏感信息保护 CookieCookie防篡改防篡改 重点重点URLURL保护保护 网页防篡改网页防篡改策略策略B B 代理模式代理模式 WebWeb攻击防护攻击防护 WebWeb请求信息限制请求信息限制 WebWeb敏感信息防护敏感信息防护 CookieCookie防篡改防篡改策略策略C C 桥模式桥模式 SSLSSL代理代理 WebWeb攻击防护攻击防护用户用户WAFWAF各类各类WebWeb应用应用WAFWAF产品产品之之功能选择篇功能选择篇WebWeb攻击防护攻击防护WAFWAF需要防护基于需要防护基于HTT
15、P/HTTPS/FTPHTTP/HTTPS/FTP协议的蠕虫攻击、木马后门、协议的蠕虫攻击、木马后门、CGICGI扫描、间谍软件扫描、间谍软件 、灰色软件、网络钓鱼、漏洞扫描、灰色软件、网络钓鱼、漏洞扫描、SQLSQL注入攻击及注入攻击及XSSXSS攻击等常见的攻击等常见的WebWeb攻击。攻击。用户用户WAFWAFWebWeb应用应用 基于基于HTTP/HTTPS/FTPHTTP/HTTPS/FTP协议的蠕虫攻协议的蠕虫攻 击、木马后门、间谍软件、灰色软件、网击、木马后门、间谍软件、灰色软件、网 络钓鱼等基本攻击；络钓鱼等基本攻击； CGICGI扫描、漏洞扫描等扫描攻击；扫描、漏洞扫描等扫描攻击； SQLSQL注入攻击、注入攻击、XSSXSS攻击等攻击等WebWeb攻击攻击 ； 不断更新的不断更新的WebWeb应用防护事件库；应用防护事件库； 针对针对WebWeb攻击事件阻断、报警；攻击事件阻断、报警； 提取提取WebWeb攻击事件原始报文；攻击事件原始报文；WAFWAF产品产品之之功能选择篇功能选择篇应用层应用层DOSDOS攻击防护攻击防护WAFWAF需要防护带宽及资源耗尽型拒绝服务攻击。需要防护带宽及资源耗尽型拒绝服务攻击。 XML XML DoSDoS攻击防护是对攻击防护是对HTTPHTTP请求中请求中 的的XMLX
