FortiWeb应用防火墙

《FortiWeb应用防火墙》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、构建安全WEB应用系统FortiwebFortinetSEHunkyan议程Web威胁概述FortiWEB介绍FortinetWeb威胁防御技术FortiWeb产品线1234国内某银行门户案例5Web的发展WEB1.0单纯通过网络浏览器浏览html网页模式传统媒体网络化WEB2.0内容更丰富、联系性更强、工具性更强互联网作为平台WEB3.0新的概念与模式机器要思考了云WEB网络安全事件类型分布数据来源：CNCERT/CC安全事件回顾WEB的开放性带来丰富资源、高效率、新工作方式的同时，传统网络边界正逐消失，机构的重要资产暴露在越来越多的威

2、胁中。现今WEB安全问题对人们来说屡见不先,以下是收录于国际安全组织记录的安全事件1.2009年5月26日，法国移动运营商OrangeFrance提供照片管理的网站频道被曝存在SQL注入漏洞，黑客利用此漏洞获取到245,000条用户记录（包括E-mail、姓名及明文方式的密码）。2.2009年1月26日，土耳其黑客采用SQL注入攻击，篡改了美国军方两台重要服务器的网页。3.2009年1月26日，印度驻西班牙使馆网站被挂马（通过iFrame攻击植入恶意代码）中国安全报告2008年上半年，中国大陆被篡改网站总数达到35113个41%2008年

3、1月至6月期间，中国大陆政府网站被篡改数量基本保持平同比增加了41%。67%2008年4月Google的数据20表明：在过去10个月中，Google通过对互联网上几十亿URL进行抓取分析发现有300多万个恶意URL。其中，中国的恶意站点占到了总数67%。近期各类媒体（如新浪）对网页来自《中国互联网网络安全报告》篡改问题也进行了曝光，从侧面表明日前国内对该问题的关注度。数据显示：网页篡改事件特别是我国大陆地区政府网页被篡改事件呈现大幅增长趋势。3511341%67%国内针对WEB攻击的法律法规发改委、公安部、国家保密局联合下发通知，要求加强

4、和规范国家电子政务工程建设项目信息安全风险评估工作。3部委要求，国家的电子政务网络、重点业务信息系统、基础信息库以及相关支撑体系等国家电子政务工程建设项目，必须进行完整信息安全风险评估工作。评估的主要内容包括：分析信息系统资产的重要程度，评估信息系统面临的安全威胁、存在的脆弱性、已有的安全措施和残余风险的影响等　　电子政务项目涉密信息系统的信息安全风险评估，由国家保密局涉密信息系统安全保密测评中心承担。非涉密信息系统的信息安全风险评估，由国家信息技术安全研究中心、中国信息安全测评中心、公安部信息安全等级保护评估中心等三家专业测评机构承

5、担中华人民共和国公安部令-第82号第九条提供互联网信息服务的单位除落实本规定第七条规定的互联网安全保护技术措施外，还应当落实具有以下功能的安全保护技术措施：　　（一）在公共信息服务中发现、停止传输违法信息，并保留相关记录；　　（二）提供新闻、出版以及电子公告等服务的，能够记录并留存发布的信息内容及发布时间（四）开办电子公告服务的，具有用户注册信息和发布信息审计功能；　　（五）开办电子邮件和网上短信息服务的，能够防范、清除以群发方式发送伪造、隐匿信息发送者真实标记的电子邮件或者短信息。（三）开办门户网站、新闻网站、电子商务网站的，能够

6、防范网站攻击、网页被篡改，被篡改后能够自动恢复；当前的Web威胁Web威胁”就是利用Internet对Web服务执行各种恶意活动，如身份窃取、私密信息窃取、带宽资源占用等。面对Web威胁的快速增长，传统的安全防护技术对Web威胁越来越感到无能为力几乎所有的Web威胁都无法被防病毒软件发现层出不穷的WEB攻击Sql注入反射非安全通信Cookie窃取恶意文件执行转储钓鱼强制浏览攻击跨站请求伪造修改系统获得信息渗透结束为什么应用系统系统中会存在那么多漏洞之一开发人员的重视程度大部分应用系统开发人员，关注的是客户对业务系统的应用需求，可用性需求，

7、扩展性需求，甚至系统的维护便捷度都有很好的认识，但是对于系统的安全漏洞，如果客户不提起，开发人员并不重视为什么应用系统系统中会存在那么多漏洞之二客户对于应用系统的安全防护意识很多客户过于依赖传统的FW、IPS等安全设备，殊不知这些传统的设备无法抵挡渗透者看似正常的访问。渗透者直接穿越FWIDS本身不阻止攻击深层的http渗透IPS无法识别为什么应用系统系统中会存在那么多漏洞之三HTTP协议缺陷HTTP协议最大的弊端在于缺乏一个可靠的会话管理机制，http本身是短连接应用，client会同时发出很多链接进行http业务交互，很多渗透者可以利

8、用这个缺陷进行cookie篡改及会话劫持攻击等攻击动作。议程Web威胁概述FortiWeb介绍FortiWeb威胁防御技术FortiWeb产品线1234国内某银行门户案例5Fortinet（飞