资源描述：
《基于saas模式的web云安全防护》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、基于SaaS模式的Web云安全防护尹辉山东司法警官职业学院摘要：针对目前网站的安全现状，通过对传统网站安全解决方案存在问题的分析，提岀了基于SaaS模式的Web安全解决方案，并阐述了该方案的优势。关键词：SaaS;Web;云安全;0前言在“互联网+”背景下，大数据、云计算、移动互联技术的发展为网络应用者带來越來越多的便利，同时也对网络安全性提出更高的要求，安全的量和质打破了网站传统的安全防御体系。基于SaaS模式的web云安全防护体系是在大数据分析背景下，数据驱动安全，高效精准解决web安全问题。1SaaS
2、概念SaaS是SoftwareasaService的简称，客户向厂商定购应用软件服务，通过互联网获得服务，按照服务内容和时间长短支付费用。用户通过互联网使用软件和服务，企业为客户提供软件离线操作及本地数据存储，省去客户投资购买和维护设备及应用程序的开发工作，是效益最高的一种营运模式。基于SaaS模式的web云安全防护就是安全以服务的方式，向用户在线交付。2网站安全现状截至2016年12月，中国网站总数为482万个，根据2016年中国互联网安全报告，国内46.3%的网站存在安全漏洞，安全形势非常严峻。3718
3、8个网站漏洞中事件型漏洞占93.9%,通用型漏洞占6.1%。50.6%是高危漏洞，35.4%是中危型漏洞，只有14.0%是低危型漏洞。应用程序错误信息占24.4%,服务器路径泄露（由异常页面导致的）占19.8%,跨站脚本攻击漏洞占16%,SQL注入漏洞占7.9%,发现目录启用了自动目录列表功能占3.0%,发现敏感名称的目录漏洞占2.8%,IIS短文件名泄露漏洞占2・6%,WEB服务器启用了OPTIONS方法占2.3%,发现robots,txt文件占2.3%,Mysql可远程连接占1.7%,其它占17.2%。
4、为获取网站数据库信息和管理员账户信息，利用SQL注入暴库、脱库成为主要攻击方式。根据2016年补天平台收录网站漏洞类型分布，SQL注入占44.9%,命令执行占14.0%,弱口令占11.7%,信息泄露占11.1%,逻辑漏洞占3.3%,其他占15.0%。2016年网站卫士拦截漏洞攻击类型主要是SQL注入占39.8%,扫描器攻击占11.2%o在197.9万个监测网站数据中有4.2%的网站被篡改了页面内容或置入了色情、博彩信息。2015年屮国网站安全报告，在扫描的21854台服务器中有18.7%的服务器被留了木马后
5、门程序。DDOS攻击带宽70.5%小于1M,66.2%的攻击时长为60s-600s。被DDOS攻击的网站，23%会无法访问，18%的网站访问速度会受到影响。由此可见，网站安全形势不容乐观，针对网站的安全问题成为安全厂商的工作重点3传统网站安全解决方案传统的网站安全解决方案是在总部数据中心对网站进行Web漏洞扫描和网站安全监测，主要安全防护设备由抗DDOS设备、防火墙、IPS、WAF组成，如图1所zjO图1传统网站安全解决方案下载原图由设备厂商进行设备升级，更新速度慢、不及时，设备策略配置复杂，运行维护难度
6、大。同时，在监测过程中，误报率高，日志报表不好理解。抗DDOS攻击设备防护能力差，岀口带宽被占满后设备失效。无法实吋监测DDOS攻击和钓鱼网站。传统的网站安全方案存在很多弊端，主要有：(1)防火墙局限:传统的防火墙主要工作在0S1模型三、四层，它无需理解Web应用程序语言，基于IP报文进行检测，无需理解HTTP会话。防火墙不能对HTML应用程序用户端的输入进行验证，不能检测到被恶意修改过参数的URL请求。(2)入侵防御系统不足:传统IPS设备主要注重防护，不能进行事前预防。由于安全漏洞的存在导致系统安全受到
7、威胁。仅防护不能彻底消除安全隐患，需要使用Web应用漏洞扫描工具，进行事前预警，提前发现安全隐患，保证系统安全。⑶传统WAF能力所限:传统WAF虽然理论值能让防御率到达99%以上，但在不影响访问效率的前提下，任何WEB防御规则最多只能防御70%左右的攻击。传统WAF在接近标称值一半流量并开启全部规则的情况下儿近宕机。且在新漏洞爆发时，升级受厂家本地支撑能力限制，无法第一时间进行漏洞库升级。(4)无法阻止DDOS大流量攻击防护:传统串联到链路上的抗DDOS攻击设备，对CC攻击及小流量的DDOS攻击可有效防御，
8、但对超过链路带宽的DDOS攻击则无能为力。(5)节假日、重要时期安全保障:节假日及重要时期，攻击相对比较频繁，且相关的安全运维人员较少，门户网站保障力度不够。(6)网站唯一运营商链路:没有CD7加速功能，其他运营商用户或省外用户访问速度相对较慢。4基于SaaS模式的系统安全性分析SaaS系统中存放大量客户的业务数据，保障数据安全是其工作中的重中之重，安全性保障主要包括资源存取控制安全和数据安全。4.1访问控制(1
