Web安全問題是在兩個大的背景下產(chǎn)生的：一個是Web應(yīng)用的發(fā)展和廣泛普及;一個是(或網(wǎng)絡(luò)安全)的大趨勢。日前，網(wǎng)御總裁兼畢學(xué)堯博士就Web應(yīng)用安全問題接受了筆者的專訪。
專訪嘉賓介紹
聯(lián)想網(wǎng)御總裁兼CTO畢學(xué)堯博士
中國的在2003年以后出現(xiàn)了井噴式發(fā)展，隨著時代的到來，Web應(yīng)用已經(jīng)無處不在，Web應(yīng)用安全問題也開始逐漸凸顯出來。相關(guān)數(shù)據(jù)可以參見CNNIC歷年統(tǒng)計分析數(shù)據(jù)，主要是網(wǎng)站數(shù)量、數(shù)量、網(wǎng)頁總數(shù)和網(wǎng)民數(shù)量等幾個維度的統(tǒng)計數(shù)據(jù)。
2005年是網(wǎng)絡(luò)安全的一個分水嶺，2005年之前，安全問題主要是凸顯在以系統(tǒng)及網(wǎng)絡(luò)漏洞為根源的安全問題，安全問題主要圍繞及網(wǎng)絡(luò)層的相關(guān)漏洞，最典型的網(wǎng)絡(luò)安全事件都集中在及其他操作系統(tǒng)的系統(tǒng)級安全問題;隨著微軟對安全問題的重視以及SDL在微軟開發(fā)過程中的應(yīng)用及普及，2005年以后安全問題開始逐漸開始轉(zhuǎn)向應(yīng)用安全領(lǐng)域，主要是Web應(yīng)用相關(guān)的安全漏洞，其中以XSS和SQL注入的應(yīng)用安全漏洞開始被大規(guī)模利用。相關(guān)統(tǒng)計數(shù)據(jù)可以參見SANS TOP20統(tǒng)計數(shù)據(jù)及OWASP TOP10應(yīng)用安全漏洞統(tǒng)計數(shù)據(jù)。
當(dāng)前的Web應(yīng)用安全問題主要集中以XSS、SQL注入等應(yīng)用安全漏洞為基礎(chǔ)的攻擊，攻擊表現(xiàn)為網(wǎng)站掛馬和網(wǎng)站篡改等攻擊時間;中國的網(wǎng)站安全問題尤其堪憂，早期建設(shè)的大量網(wǎng)站在建設(shè)初期主要考慮了系統(tǒng)及網(wǎng)絡(luò)安全層面的防護(hù)，絕大多數(shù)忽略了應(yīng)用安全層面的建設(shè)和防護(hù)，早期的Web應(yīng)用相關(guān)的代碼也缺少相應(yīng)的安全編程規(guī)范，所以中國的網(wǎng)站安全尤其是電子政務(wù)門戶網(wǎng)站的安全令人堪憂。2010年期間，發(fā)布的官方統(tǒng)計數(shù)據(jù)是中國每天被黑的政府網(wǎng)網(wǎng)站多達(dá)45個。
Web應(yīng)用的安全防護(hù)
從解決的角度來說，Web應(yīng)用的防護(hù)應(yīng)該是一個動態(tài)的安全防護(hù)過程，應(yīng)該包含事前的安全編碼、上線之前的安全檢測及滲透、上線之后的監(jiān)控及防護(hù)。由于當(dāng)前大多數(shù)的系統(tǒng)是早期已經(jīng)上線的Web應(yīng)用系統(tǒng)，因此大多數(shù)的安全防護(hù)是通過增加安全防護(hù)設(shè)備來實現(xiàn)，如Web應(yīng)用、網(wǎng)頁防篡改、網(wǎng)站加固等手段。
Web應(yīng)用防火墻
Web應(yīng)用防火墻(WAF)目前尚未有統(tǒng)一的標(biāo)準(zhǔn)定義，國際上有兩個組織OWASP和WASC曾經(jīng)給出過相關(guān)定義。
簡而言之，Web應(yīng)用防火墻就是專門針對HTTP及HTTPS協(xié)議進(jìn)行細(xì)粒度控制及防護(hù)的安全防護(hù)系統(tǒng)，主要是架設(shè)在之前來對來自客戶端及返回的數(shù)據(jù)基于安全策略進(jìn)行安全防護(hù)。
Web應(yīng)用防火墻主要工作在應(yīng)用層，主要是HTTP協(xié)議的控制和防護(hù)，能夠?qū)崿F(xiàn)對HTTP協(xié)議的細(xì)粒度解析和控制;傳統(tǒng)防火墻主要工作在四層一下，主要是基于包的檢測技術(shù)，不能實現(xiàn)對HTTP協(xié)議的精細(xì)控制。
Web應(yīng)用防火墻的防護(hù)重點主要是來自訪問端對Web服務(wù)器的攻擊，通過安全策略來限制和控制來自外部的攻擊;同時能夠?qū)Ψ?wù)器返回的數(shù)據(jù)進(jìn)行防護(hù)，如服務(wù)器返回的錯誤信息防護(hù)，服務(wù)器返回的敏感內(nèi)容的防護(hù)等。
Web應(yīng)用防火墻的發(fā)展趨勢
國外的Web應(yīng)用防火墻主要在2000年左右出現(xiàn)，但由于當(dāng)時的Web安全事件較少，市場一直沒有啟動;由于2005年安全問題開始轉(zhuǎn)向Web安全，再加上2006年左右國外的PCI DSS標(biāo)準(zhǔn)推廣，WAF正式登上歷史舞臺開始成為世人矚目的焦點。
未來的發(fā)展趨勢開始向防護(hù)及Web Service防護(hù)逐漸深入，開始和具體的業(yè)務(wù)系統(tǒng)配合更加緊密;防護(hù)會更加智能;功能會更加強(qiáng)大，逐漸滲透到應(yīng)用交付領(lǐng)域，實現(xiàn)緩存加速和負(fù)載均衡等功能。
Web應(yīng)用防火墻的競爭優(yōu)勢
通過上面多個問題的分析我們可以看出，WAF與UTM、的產(chǎn)品定位不同，WAF對用戶的業(yè)務(wù)保障是一個有競爭力的安全解決方案。
目前Web應(yīng)用防火墻主要分為：
·采用基于HTTP會話的檢測技術(shù)的WAF廠商
·基于IPS技術(shù)號稱WAF的廠商
·基于UTM或防火墻技術(shù)號稱WAF的廠商
·基于負(fù)載均衡技術(shù)號稱WAF的廠商
·部分防篡改廠商的WAF
目前國外的WAF主要是Imperva和兩家;也曾經(jīng)收購了一家WAF廠商，但是其產(chǎn)品分類是在應(yīng)用交付領(lǐng)域。
的Web安全防護(hù)
對于企業(yè)的Web安全防護(hù)需要具體情況具體分析，主要需遵循如下原則：
(1)不能影響Web應(yīng)用的正常運行及使用;
(2)Web安全防護(hù)不能影響Web服務(wù)的性能及可用性;
(3)Web安全防護(hù)不要對現(xiàn)有系統(tǒng)進(jìn)行太多變更;
(4)盡量不要在Web服務(wù)器上安裝插件，以免影響Web服務(wù)器的穩(wěn)定性及安全性;
(5)需要在安全性和業(yè)務(wù)連續(xù)性保證方面取得一個較好的平衡點。