11月3日，以“深度解讀應(yīng)用及業(yè)務(wù)安全”為主題的OWASP 2012中國峰會在深圳博林諾富特酒店召開。本屆大會從多方面、多角度詮釋基于、電話網(wǎng)和的應(yīng)用、融合及業(yè)務(wù)方面的安全，并圍繞應(yīng)用及業(yè)務(wù)安全發(fā)展方向和威脅增長趨勢等方面，進行深層次的探討。
以下是360網(wǎng)站衛(wèi)士安全解決經(jīng)理石祖文《web應(yīng)用安全發(fā)展的挑戰(zhàn)和趨勢》的演講：
下面我們介紹一下WEB應(yīng)用安全發(fā)展的挑戰(zhàn)和趨勢。新的時代WEB應(yīng)用的安全面臨著新的挑戰(zhàn)。其中包括以下五個方面。第一個如何攔截 JS WORM攻擊。 在WEB2.0這個時代JS比較多，相關(guān)的內(nèi)容發(fā)展得比較迅猛。第二個就是攔截未知的WEB框架漏洞，比如說前面提到的JAVA的框架。第三個如何抵御HTTP FLOOD攻擊這個通常稱為CC攻擊。第四個如何抵御DNS攻擊。這個攻擊近年出現(xiàn)的這種情況越來越多。第五個如何攔截WEB shell以及WEB shell行為，WEB shell用來控制這個網(wǎng)站。
這是當前WEB產(chǎn)品的分類，有網(wǎng)絡(luò)層過濾型、內(nèi)嵌型、云防護型、代碼防御型，這個是選了一些比較有代表的相關(guān)的產(chǎn)品。網(wǎng)絡(luò)過濾型性能高，手限于網(wǎng)絡(luò)區(qū)域、抗DDOS能力高。內(nèi)嵌型性能中、需要本機安裝，抗DDOS能力中。 云防護型性能比較高，前面一萬多的DDOS都能進行攔截，第二個不限制網(wǎng)絡(luò)區(qū)域用戶DNS值就可以用，由于采用分布式，性能極高。最后是代碼防御型的，這一類的就是性能相對偏低一點，然后需要插入用戶的網(wǎng)站代碼當中，這就是抗DDOS能力比較差?？傮wweb發(fā)展趨勢向著云防護方向發(fā)展。網(wǎng)站云防護具有以下幾個優(yōu)點，第一個是利用分布式架構(gòu)可以有效解決大型DDOS攻擊，第二個隱藏后端真實網(wǎng)站IP，杜絕對網(wǎng)站服務(wù)其漏洞的直接利用;第三個由專業(yè)安全團隊及時更新安全規(guī)則，第一時間攔截已知和0day漏洞;第四個更準確的用戶瀏覽統(tǒng)計，幫助站長了解網(wǎng)絡(luò)發(fā)展的狀況。
我這里介紹相關(guān)技術(shù)方面的東西比較少，大家有什么問題可以問。
提問：云防護對同一個威脅在這臺電腦上，安全衛(wèi)士會提供報警，在另外一臺電腦上360不會提供報警這是怎么回事?
譚曉生：前面有人問解釋解析的問題，同時360做了一套抗攻擊的DNS，現(xiàn)在在線上我們的抵抗能力每秒在400萬貓左右，可能預(yù)計在一年提到1000萬貓的解析量以上，第一種你的域名可以在NSO上解析，建議不管放在我們抗攻擊上或者是DNS的解析上，第二個用一個更快速的方式，我們的域名直接會在抗攻擊的上提供抗攻擊服務(wù)。這里面的360有兩個外包安全的產(chǎn)品，一個是360的掃描，目前也是全免費的服務(wù)，如果網(wǎng)站的站長上面登錄了之后，我們驗證的報告，第二個360網(wǎng)站衛(wèi)士，這里面提供一個抗DOS攻擊，它的原理是代理服務(wù)，如果用戶是靜態(tài)網(wǎng)站，我們可以提供加速的功能，目前全國十個點，十個點抗攻擊能力10個G，如果把業(yè)務(wù)全部打死沒有一兩個G的帶寬是很難做的到的，其實對炕幾抗擊攻擊我們提出技術(shù)，有這樣的設(shè)備或者網(wǎng)絡(luò)的程序做這樣一件事，最后還是要有足夠的服務(wù)器很帶寬，我在每個地方有10個G。再加上我DNS有這種調(diào)度能力，自動把服務(wù)放到其他點上去，為什么巴黎時裝網(wǎng)打得比較厲害，最后還生存了，是這樣一個東西。目前這個是全部免費的。我們?nèi)粘Ｔ诜雷o的有2000多個網(wǎng)站，這里面做了技術(shù)手段有了新的技術(shù)手段是主動的發(fā)現(xiàn)?？笵DOS攻擊高。