安恒信息明御web应用防火墙产品白皮书

《安恒信息明御web应用防火墙产品白皮书》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、1.概述Web网站是企业和用户、合作伙伴及员工的快速、高效的交流平台。Web网站也容易成为黑客或恶意程序的攻击目标，造成数据损失，网站篡改或其他安全威胁。根据国家计算机网络应急技术处理协调中心（简称CNCERT/CC）的工作报告显示：目前中国的互联网安全实际状况仍不容乐观。各种网络安全事件与去年同期相比都有明显增加。对政府类和安全管理相关类网站主要采用篡改网页的攻击形式，以达到泄愤和炫耀的目的，也不排除放置恶意代码的可能，导致政府类网站存在安全隐患。对中小企业，尤其是以网络为核心业务的企业，采用注入攻击、跨站攻击

2、以及应用层拒绝服务攻击（DenialOfService）等，影响业务的正常开展。2007年到2009年上半年，中国大陆被篡改网站的数量相比往年处于明显上升趋势。1.1常见攻击手法　　目前已知的应用层和网络层攻击方法很多，这些攻击被分为若干类。下表列出了这些最常见的攻击技术，其中最后一列描述了安恒WAF如何对该攻击进行防护。　　表1.1:对不同攻击的防御方法攻击方式描述安恒WAF的防护方法跨站脚本攻击跨站脚本攻击利用网站漏洞攻击那些访问该站点的用户，常见目的是窃取该站点访问者相关的用户登陆或认证信息。通过检查应用流

3、量，阻止各种恶意的脚本插入到URL,header及form中。SQL注入攻击者通过输入一段数据库查询代码窃取或修改数据库中的数据。通过检查应用流量，侦测是否有危险的数据库命令或查询语句被插入到URL,header及form中。命令注入攻击者利用网页漏洞将含有操作系统或软件平台命令注入到网页访问语句中以盗取数据或后端服务器的控制权。通过检查应用流量，检测并阻止危险的系统或软件平台命令被插入到URL,header及form中。cookie/seesion劫持Cookie/seesion通常用于用户身份认证，并且可能携

4、带用户敏感的登陆信息。攻击者可能被修改Cookie/seesion提高访问权限，或伪装成他人的身份登陆。通过检查应用流量，拒绝伪造身份登录的会话访问。参数（或表单）篡改通过修改对URL、header和form中对用户输入数据的安全性判断，并且提交到服务器。利用参数配置文档检测应用中的参数，仅允许合法的参数通过，防止参数篡改发生。缓冲溢出攻击由于缺乏数据输入的边界条件限制，攻击者通过向程序缓冲区写入超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令。如获取系统管理员的权限。用户可以根据应

5、用需求设定和限制数据边界条件，确保不危及脆弱的服务器。日志篡改黑客篡改删除日志以掩盖其攻击痕迹或改变web处理日志。.通过检查应用流量，防止带有日志篡改的应用访问。应用平台漏洞攻击黑客通过获悉应用平台后，可以利用该平台的已知漏洞进行攻击。当应用平台出现漏洞，且没有官方补丁时，同样面临被攻击的风险。安恒WAF将阻止已知的攻击，并提供安全策略规则升级服务，用户可以按计划进行安全应用策略升级。同时，对于高级用户，安恒WAF提供自定义规则库的添加，可以针对某些关键字，特殊应用做特殊安全处理。DOS攻击通过DOS攻击请求，

6、以达到消耗应用平台资源异常消耗的一种攻击，最终造成应用平台拒绝服务。可以防护所有的网络层的DoS。包括防止SYNcookie，应用层DOS攻击和对客户端连接速率进行限制。HTTPS类攻击一些狡猾的黑客通过HTTPS进行HTTPS类的攻击，由于SSL加密数据包无法进行有效的检测，导致通用的网络防火墙和普通WEB应用防火墙无能为力。支持用户上传HTTPS证书，在WAF进行第一轮认证，并对应用流量进行解密和侦测，对HTTPS类的所有攻击进行有效的拦截和防御。2.现有的防御技术目前，很多企业采用网络安全防御技术对Web应

7、用进行防护，如综合采用网络防火墙、IDS、补丁安全管理、升级软件等措施，然而这些方法难以有效的阻止Web攻击，且对于HTTPS类的攻击手段，更是显得束手无策。2.1.传统网络防火墙第一代网络防火墙可以控制对网络的访问，管理员可以创建网络访问控制列表(ACLs)允许或阻止来自某个源地址或发往某个目的地址及相关端口的访问流量。传统的防火墙无法阻止Web攻击，不论这些攻击来自防火墙内部的还是外部，因为它们无法检测、阻断、修订、删除或重写HTTP应用的请求或应答内容。为了保障对web应用的访问，防火墙会开放Web应用的8

8、0端口，这意味着Internet上的任意IP都能直接访问Web应用，因此web及其应用服务器事实上是无安全检测和防范的。状态检测防火墙是防火墙技术的重大进步，这种防火墙在网络层的ACLs基础上增加了状态检测方式，它监视每一个连接状态，并且将当前数据包和状态信息与前一时刻的数据包和状态信息进行比较，从而得到该数据包的控制信息，来达到保护网络安全的目的。它能根据TCP会话异常