Web應(yīng)用安全解決專項(xiàng)方案

TITLE××Web應(yīng)用安全處理方案應(yīng)用安全需求針對(duì)Web攻擊現(xiàn)代信息系統(tǒng)，不管是建立對(duì)外信息公布和數(shù)據(jù)交換平臺(tái)，還是建立內(nèi)部業(yè)務(wù)應(yīng)用系統(tǒng)，全部離不開Web應(yīng)用。Web應(yīng)用不僅給用戶提供一個(gè)方便和易用交互手段，也給信息和服務(wù)提供者構(gòu)建一個(gè)標(biāo)準(zhǔn)技術(shù)開發(fā)和應(yīng)用平臺(tái)。網(wǎng)絡(luò)發(fā)展歷史也能夠說是攻擊和防護(hù)不停交織發(fā)展過程?，F(xiàn)在，全球網(wǎng)絡(luò)用戶已近20億，用戶利用互聯(lián)網(wǎng)進(jìn)行購物、銀行轉(zhuǎn)賬支付和多種軟件下載，企業(yè)用戶更是依靠于網(wǎng)絡(luò)構(gòu)建她們關(guān)鍵業(yè)務(wù)，對(duì)此，Web安全性已經(jīng)提升一個(gè)空前高度。然而，伴隨黑客們將注意力從以往對(duì)網(wǎng)絡(luò)服務(wù)器攻擊逐步轉(zhuǎn)移到了對(duì)Web應(yīng)用攻擊上，她們針對(duì)Web網(wǎng)站和應(yīng)用攻擊愈演愈烈，頻頻得手。依據(jù)Gartner最新調(diào)查，信息安全攻擊有75%全部是發(fā)生在Web應(yīng)用而非網(wǎng)絡(luò)層面上。同時(shí)，數(shù)據(jù)也顯示，三分之二Web站點(diǎn)全部相當(dāng)脆弱，易受攻擊。另外，據(jù)美國計(jì)算機(jī)安全協(xié)會(huì)（CSI）/美國聯(lián)邦調(diào)查局（FBI）研究表明，在接收調(diào)查企業(yè)中，有52%企業(yè)信息系統(tǒng)遭受過外部攻擊（包含系統(tǒng)入侵、濫用Web應(yīng)用系統(tǒng)、網(wǎng)頁置換、盜取私人信息及拒絕服務(wù)等等），這些攻擊給269家受訪企業(yè)帶來經(jīng)濟(jì)損失超出1.41億美元，但實(shí)際上她們之中有98%企業(yè)全部裝有防火墻。早在，IDC就曾在匯報(bào)中認(rèn)為，“網(wǎng)絡(luò)防火墻對(duì)應(yīng)用層安全已起不到什么作用了，因?yàn)闉榱舜_保通信，網(wǎng)絡(luò)防火墻內(nèi)Web端口全部必需處于開放狀態(tài)。”現(xiàn)在，利用網(wǎng)上隨地可見攻擊軟件，攻擊者不需要對(duì)網(wǎng)絡(luò)協(xié)議深厚了解，即可完成諸如更換Web網(wǎng)站主頁、盜取管理員密碼、破壞整個(gè)網(wǎng)站數(shù)據(jù)等等攻擊。而這些攻擊過程中產(chǎn)生網(wǎng)絡(luò)層數(shù)據(jù)，和正常數(shù)據(jù)沒有什么區(qū)分。Web安全防范在Web應(yīng)用各個(gè)層面，全部會(huì)使用不一樣技術(shù)來確保安全性，圖示1所表示。為了確保用戶數(shù)據(jù)傳輸?shù)狡髽I(yè)Web服務(wù)器傳輸安全，通信層通常會(huì)使用SSL技術(shù)加密數(shù)據(jù)；企業(yè)會(huì)使用防火墻和IDS/IPS來確保僅許可特定訪問，全部沒有須要暴露端口和非法訪問，在這里全部會(huì)被阻止。防火墻防火墻IDS/IPSDoS攻擊端口掃描網(wǎng)絡(luò)層

模式攻擊已知Web

服務(wù)器漏洞跨站腳本注入式攻擊惡意實(shí)施網(wǎng)頁篡改Web服務(wù)器數(shù)據(jù)庫服務(wù)器Web應(yīng)用應(yīng)用服務(wù)器圖示SEQ圖示\*ARABIC1Web應(yīng)用安全防護(hù)不過，即便有防火墻和IDS/IPS，企業(yè)仍然不得不許可一部分通訊經(jīng)過防火墻，畢竟Web應(yīng)用目標(biāo)是為用戶提供服務(wù)，保護(hù)方法能夠關(guān)閉無須要暴露端口，不過Web應(yīng)用必需80和443端口，是一定要開放。能夠順利經(jīng)過這部分通訊，可能是善意，也可能是惡意，極難分辨。而惡意用戶則能夠利用這兩個(gè)端口實(shí)施多種惡意操作，或偷竊、或操控、或破壞Web應(yīng)用中關(guān)鍵信息。然而我們看到現(xiàn)實(shí)確是，絕大多數(shù)企業(yè)將大量投資花費(fèi)在網(wǎng)絡(luò)和服務(wù)器安全上，沒有從真正意義上確保Web應(yīng)用本身安全，給黑客以可乘之機(jī)。圖示3所表示，在現(xiàn)在安全投資中，只有10％花在了怎樣防護(hù)應(yīng)用安全漏洞，而這卻是75％攻擊起源。正是這種投資錯(cuò)位也是造成目前Web站點(diǎn)頻頻被攻陷一個(gè)關(guān)鍵原因。75%75%25%10%90%Web應(yīng)用網(wǎng)絡(luò)服務(wù)器安全風(fēng)險(xiǎn)安全投資圖示SEQ圖示\*ARABIC3安全風(fēng)險(xiǎn)和投資Web漏洞Web應(yīng)用系統(tǒng)有著其固有開發(fā)特點(diǎn)：常常更改、設(shè)計(jì)和代碼編寫不根本、沒有經(jīng)過嚴(yán)格測(cè)試等，這些特點(diǎn)造成Web應(yīng)用出現(xiàn)了很多漏洞。另外，管理員對(duì)Web服務(wù)器配置不妥也會(huì)造成很多漏洞?，F(xiàn)在常見針對(duì)Web服務(wù)器和Web應(yīng)用漏洞攻擊已經(jīng)多達(dá)幾百種，常見攻擊手段包含：注入式攻擊、跨站腳本攻擊、上傳假冒文件、不安全當(dāng)?shù)卮娣?、非法?shí)施腳本和系統(tǒng)命令、源代碼泄漏、URL訪問限制失效等。攻擊目標(biāo)包含：非法篡改網(wǎng)頁、非法篡改數(shù)據(jù)庫、非法實(shí)施命令、跨站提交信息、網(wǎng)站資源盜鏈、竊取腳本源程序、竊取系統(tǒng)信息、竊取用戶信息等。產(chǎn)品概況iGuard網(wǎng)頁防篡改系統(tǒng)iGuard網(wǎng)頁防篡改系統(tǒng)采取優(yōu)異Web服務(wù)器關(guān)鍵內(nèi)嵌技術(shù)，將篡改檢測(cè)模塊（數(shù)字水印技術(shù)）和應(yīng)用防護(hù)模塊（防注入攻擊）內(nèi)嵌于Web服務(wù)器內(nèi)部，并輔助以增強(qiáng)型事件觸發(fā)檢測(cè)技術(shù)，不僅實(shí)現(xiàn)了對(duì)靜態(tài)網(wǎng)頁和腳本實(shí)時(shí)檢測(cè)和恢復(fù)，更能夠保護(hù)數(shù)據(jù)庫中動(dòng)態(tài)內(nèi)容免受來自于Web攻擊和篡改，根本處理網(wǎng)頁防篡改問題。iGuard篡改檢測(cè)模塊使用密碼技術(shù)，為網(wǎng)頁對(duì)象計(jì)算出唯一性數(shù)字水印。公眾每次訪問網(wǎng)頁時(shí)，全部將網(wǎng)頁內(nèi)容和數(shù)字水印進(jìn)行對(duì)比；一旦發(fā)覺網(wǎng)頁被非法修改，即進(jìn)行自動(dòng)恢復(fù)，確保非法網(wǎng)頁內(nèi)容不被公眾瀏覽。同時(shí)，iGuard應(yīng)用防護(hù)模塊也對(duì)用戶輸入U(xiǎn)RL地址和提交表單內(nèi)容進(jìn)行檢驗(yàn)，任何對(duì)數(shù)據(jù)庫注入式攻擊全部能夠被實(shí)時(shí)阻斷。iGuard以國家863項(xiàng)目技術(shù)為基礎(chǔ)，全方面保護(hù)網(wǎng)站靜態(tài)網(wǎng)頁和動(dòng)態(tài)網(wǎng)頁。iGuard支持網(wǎng)頁自動(dòng)公布、篡改檢測(cè)、應(yīng)用保護(hù)、警告和自動(dòng)恢復(fù)，確保傳輸、判別、完整性檢驗(yàn)、地址訪問、表單提交、審計(jì)等各個(gè)步驟安全，完全實(shí)時(shí)地杜絕篡改后網(wǎng)頁被訪問可能性，也杜絕任何使用Web方法對(duì)后臺(tái)數(shù)據(jù)庫篡改。iGuard支持全部主流操作系統(tǒng)，包含：Windows、Linux、FreeBSD、Unix（Solaris、HP-UX、AIX）；支持常見Web服務(wù)器軟件，包含：IIS、Apache、SunONE、Weblogic、WebSphere等；保護(hù)全部常見數(shù)據(jù)庫系統(tǒng)，包含：SQLServer、Oracle、MySQL、Access等。iWall應(yīng)用防火墻iWall應(yīng)用防火墻（Web應(yīng)用防護(hù)系統(tǒng)）是一款保護(hù)Web站點(diǎn)和應(yīng)用免受來自于應(yīng)用層攻擊Web防護(hù)系統(tǒng)。iWall應(yīng)用防火墻實(shí)現(xiàn)了對(duì)Web站點(diǎn)尤其是Web應(yīng)用保護(hù)。它內(nèi)置于Web服務(wù)器軟件中，經(jīng)過分析應(yīng)用層用戶請(qǐng)求數(shù)據(jù)（如URL、參數(shù)、鏈接、Cookie等），區(qū)分正常見戶訪問Web和攻擊者惡意行為，對(duì)攻擊行為進(jìn)行實(shí)時(shí)阻斷和報(bào)警。這些攻擊包含利用特殊字符修改數(shù)據(jù)數(shù)據(jù)攻擊、設(shè)法實(shí)施程序或腳本命令攻擊等，黑客經(jīng)過這些攻擊手段能夠達(dá)成篡改數(shù)據(jù)庫和網(wǎng)頁、繞過身份認(rèn)證和假冒用戶、竊取用戶和系統(tǒng)信息等嚴(yán)重危害網(wǎng)站內(nèi)容安全目標(biāo)。iWall應(yīng)用防火墻對(duì)常見注入式攻擊、跨站攻擊、上傳假冒文件、不安全當(dāng)?shù)卮娣?、非法?shí)施腳本、非法實(shí)施系統(tǒng)命令、資源盜鏈、源代碼泄漏、URL訪問限制失效等攻擊手段全部著有效防護(hù)效果。iWall應(yīng)用防火墻為軟件實(shí)現(xiàn)，適適用于全部操作系統(tǒng)和Web服務(wù)器軟件，而且完全對(duì)Web應(yīng)用系統(tǒng)透明。應(yīng)用防火墻是現(xiàn)代網(wǎng)絡(luò)安全架構(gòu)一個(gè)關(guān)鍵組成部分，它著重進(jìn)行應(yīng)用層內(nèi)容檢驗(yàn)和安全防御，和傳統(tǒng)安全設(shè)備共同組成全方面和有效安全防護(hù)體系。產(chǎn)品特征篡改檢測(cè)和恢復(fù)iGuard支持以下篡改檢測(cè)和恢復(fù)功效：支持安全散列檢測(cè)方法；可檢測(cè)靜態(tài)頁面/動(dòng)態(tài)腳本/二進(jìn)制實(shí)體；支持對(duì)注入式攻擊防護(hù)；網(wǎng)頁公布同時(shí)自動(dòng)更新水印值；網(wǎng)頁發(fā)送時(shí)比較網(wǎng)頁和水印值；支持?jǐn)嗑€/連線狀態(tài)下篡改檢測(cè)；支持連線狀態(tài)下網(wǎng)頁恢復(fù)；網(wǎng)頁篡改時(shí)多個(gè)方法報(bào)警；網(wǎng)頁篡改時(shí)可實(shí)施外部程序或命令；能夠按不一樣容器選擇待檢測(cè)網(wǎng)頁；支持增強(qiáng)型事件觸發(fā)檢測(cè)技術(shù)；加密存放水印值數(shù)據(jù)庫；支持多種私鑰硬件存放；支持使用外接安全密碼算法。自動(dòng)公布和同時(shí)iGuard支持以下自動(dòng)公布和同時(shí)功效：自動(dòng)檢測(cè)公布服務(wù)器上文件系統(tǒng)任何改變；文件改變自動(dòng)同時(shí)到多個(gè)Web服務(wù)器；支持文件/目錄增加/刪除/修改/更名；支持任何內(nèi)容管理系統(tǒng)；支持虛擬目錄/虛擬主機(jī)；支持頁面包含文件；支持雙機(jī)方法冗余布署；斷線后自動(dòng)重聯(lián)；上傳失敗后自動(dòng)重試；使用SSL安全協(xié)議進(jìn)行通信；確保通信過程不被篡改和不被竊聽；通信實(shí)體使用數(shù)字證書進(jìn)行身份判別；全部過程有具體審計(jì)。應(yīng)用安全防護(hù)特征請(qǐng)求特征限制iWall能夠?qū)TTP請(qǐng)求特征進(jìn)行以下過濾和限制：請(qǐng)求頭檢驗(yàn)：對(duì)HTTP報(bào)文中請(qǐng)求頭名字和長度進(jìn)行檢驗(yàn)。請(qǐng)求方法過濾：限制對(duì)指定HTTP請(qǐng)求方法訪問。請(qǐng)求地址過濾：限制對(duì)指定HTTP請(qǐng)求地址訪問。請(qǐng)求開始路徑過濾：限制HTTP請(qǐng)求中對(duì)指定開始路徑地址訪問。請(qǐng)求文件過濾：限制HTTP請(qǐng)求中對(duì)指定文件訪問。請(qǐng)求文件類型過濾：限制HTTP請(qǐng)求中對(duì)指定文件類型訪問。請(qǐng)求版本過濾：限制對(duì)指定HTTP版本訪問及完整性檢驗(yàn)。請(qǐng)求用戶端過濾：限制對(duì)指定HTTP用戶端訪問及完整性檢驗(yàn)。請(qǐng)求鏈接過濾：限制鏈接字段中含有字符及完整性檢驗(yàn)。判別類型過濾：限制對(duì)指定HTTP判別類型訪問。判別帳號(hào)過濾：限制對(duì)指定HTTP判別帳號(hào)訪問。內(nèi)容長度過濾：限制對(duì)指定HTTP請(qǐng)求內(nèi)容長度訪問。內(nèi)容類型過濾：限制對(duì)指定HTTP請(qǐng)求內(nèi)容類型訪問。這些規(guī)則需要能夠依據(jù)Web系統(tǒng)實(shí)際情況進(jìn)行配置和分站點(diǎn)應(yīng)用。請(qǐng)求內(nèi)容限制iWall能夠?qū)TTP請(qǐng)求內(nèi)容進(jìn)行以下過濾和限制：URL過濾：對(duì)提交URL請(qǐng)求中字符進(jìn)行限制。請(qǐng)求參數(shù)過濾：對(duì)GET方法提交參數(shù)進(jìn)行檢驗(yàn)（包含注入式攻擊和代碼攻擊）。請(qǐng)求數(shù)據(jù)過濾：對(duì)POST方法提交數(shù)據(jù)進(jìn)行檢驗(yàn)（包含注入式攻擊和代碼攻擊）。Cookie過濾：對(duì)Cookie內(nèi)容進(jìn)行檢驗(yàn)。盜鏈檢驗(yàn)：對(duì)指定文件類型進(jìn)行參考域檢驗(yàn)?？缯灸_本攻擊檢驗(yàn)：對(duì)指定文件類型進(jìn)行參考開始路徑檢驗(yàn)。這些規(guī)則需要能夠依據(jù)Web系統(tǒng)實(shí)際情況進(jìn)行配置和分站點(diǎn)應(yīng)用。指定站點(diǎn)規(guī)則iWall能夠分別為一臺(tái)服務(wù)器上不一樣站點(diǎn)制訂不一樣規(guī)則，站點(diǎn)區(qū)分方法包含：不一樣端口。不一樣IP地址。不一樣主機(jī)頭名（即域名）?？煞婪豆鬷Wall組合以上限制特征，可針對(duì)以下應(yīng)用攻擊進(jìn)行有效防御：SQL數(shù)據(jù)庫注入式攻擊。腳本源代碼泄露。非法實(shí)施系統(tǒng)命令。非法實(shí)施腳本。上傳假冒文件?？缯灸_本漏洞。不安全當(dāng)?shù)卮娣?。網(wǎng)站資源盜鏈。應(yīng)用層拒絕服務(wù)攻擊。對(duì)這些攻擊更具體描述見本文檔第6章：常見應(yīng)用層攻擊介紹。iGuard標(biāo)準(zhǔn)布署兩臺(tái)服務(wù)器布署iGuard最少需要兩臺(tái)服務(wù)器：公布服務(wù)器：在內(nèi)網(wǎng)中，本身處于相對(duì)安全環(huán)境中，其上布署iGuard公布服務(wù)器軟件。Web服務(wù)器：在公網(wǎng)/DMZ中，本身處于不安全環(huán)境中，其上布署iGuardWeb服務(wù)器端軟件。它們之間關(guān)系圖示1所表示。iGuardiGuard公布服務(wù)器軟件公布服務(wù)器HTTPFTP…SSLIntranetDMZInternetiGuardWeb服務(wù)器端軟件Web服務(wù)器Internet圖示SEQ圖示\*ARABIC\s11iGuard兩臺(tái)服務(wù)器Internet公布服務(wù)器公布服務(wù)器上運(yùn)行iGuard“公布服務(wù)器軟件”（StagingServer）。全部網(wǎng)頁正當(dāng)變更（包含增加、修改、刪除、重命名）全部在公布服務(wù)器上進(jìn)行。公布服務(wù)器上含有和Web服務(wù)器上網(wǎng)頁文件完全相同目錄結(jié)構(gòu)，公布服務(wù)器上任何文件/目錄改變?nèi)繒?huì)自動(dòng)和立即地反應(yīng)到Web服務(wù)器對(duì)應(yīng)位置上，文件/目錄變更方法能夠是任意方法（比如：FTP、SFTP、RCP、NFS、文件共享等）。網(wǎng)頁變更后，“公布服務(wù)器軟件”將其同時(shí)到Web服務(wù)器上。公布服務(wù)器是布署iGuard時(shí)新增添機(jī)器，標(biāo)準(zhǔn)需要一臺(tái)獨(dú)立服務(wù)器；對(duì)于網(wǎng)頁更新不太頻繁網(wǎng)站，也能夠用一般PC機(jī)或和擔(dān)任其它工作服務(wù)器共用。公布服務(wù)器為PC服務(wù)器，其本身硬件配置無特定要求，操作系統(tǒng)可選擇Windows（通常網(wǎng)站）或Linux（大型網(wǎng)站，需選加Linux企業(yè)公布模塊）。Web服務(wù)器Web服務(wù)器上除了原本運(yùn)行Web服務(wù)器軟件（如IIS、Apache、SunONE、Weblogic、Websphere等）外，還運(yùn)行有iGuard“Web服務(wù)器端軟件”，“Web服務(wù)器端軟件”由“同時(shí)服務(wù)器”（SyncServer）和“防篡改模塊”（AntiTamper）組成?！癷Guard同時(shí)服務(wù)器”負(fù)責(zé)和iGuard公布服務(wù)器通信，將公布服務(wù)器上全部網(wǎng)頁文件變更同時(shí)到Web服務(wù)器當(dāng)?shù)兀弧癷Guard防篡改模塊”作為Web服務(wù)器軟件一個(gè)插件運(yùn)行，負(fù)責(zé)對(duì)Web請(qǐng)求進(jìn)行檢驗(yàn)和對(duì)網(wǎng)頁進(jìn)行完整性檢驗(yàn)，需要對(duì)Web服務(wù)器軟件作合適配置，以使其生效。Web服務(wù)器是用戶網(wǎng)站原有機(jī)器，iGuard可適應(yīng)于任何硬件和操作系統(tǒng)。內(nèi)容管理系統(tǒng)現(xiàn)在，大部分網(wǎng)站全部使用了內(nèi)容管理系統(tǒng)（CMS）來管理網(wǎng)頁產(chǎn)生全過程，包含網(wǎng)頁編輯、審核、簽發(fā)和合成等。在網(wǎng)站網(wǎng)絡(luò)拓?fù)渲?，公布服?wù)器布署在原有內(nèi)容管理系統(tǒng)和Web服務(wù)器之間，圖示2表明了三者之間關(guān)系。Web服務(wù)器Web服務(wù)器(Guard)公布服務(wù)器(Guard)內(nèi)容管理系統(tǒng)(第三方軟件)Internet圖示SEQ圖示\*ARABIC\s12標(biāo)準(zhǔn)布署圖為一個(gè)已經(jīng)有Web站點(diǎn)布署iGuard時(shí)，Web服務(wù)器和內(nèi)容管理系統(tǒng)全部沿用原來機(jī)器，而需要在其間增加一臺(tái)公布服務(wù)器。iGuard自動(dòng)同時(shí)機(jī)制完全和內(nèi)容管理系統(tǒng)無關(guān)，適合和全部內(nèi)容管理系統(tǒng)協(xié)同工作，而內(nèi)容管理系統(tǒng)本身無須作任何變動(dòng)。公布服務(wù)器上含有和Web服務(wù)器上網(wǎng)站文件完全相同目錄結(jié)構(gòu)，任何文件/目錄改變?nèi)繒?huì)自動(dòng)映射到Web服務(wù)器對(duì)應(yīng)位置上。網(wǎng)頁正當(dāng)變更（包含增加、修改、刪除、重命名）全部在公布服務(wù)器上進(jìn)行，變更手段能夠是任意方法（比如：FTP、SFTP、RCP、NFS、文件共享等）。網(wǎng)頁變更后，公布服務(wù)器將其同時(shí)到Web服務(wù)器上。不管什么情況下，不許可直接變更Web服務(wù)器上頁面文件。iGuard通常情況下和內(nèi)容管理系統(tǒng)分開布署，當(dāng)然它也能夠和內(nèi)容管理系統(tǒng)布署在一臺(tái)機(jī)器上，在這種情形下，iGuard還能夠提供接口，和內(nèi)容管理系統(tǒng)進(jìn)行相互功效調(diào)用，以實(shí)現(xiàn)整合性更強(qiáng)功效。集群和冗余布署Web站點(diǎn)運(yùn)行穩(wěn)定性是最關(guān)鍵。iGuard支持全部部件多機(jī)工作和熱備：能夠有多臺(tái)安裝了iGuard防篡改模塊和同時(shí)服務(wù)軟件Web服務(wù)器，也能夠有兩臺(tái)安裝了iGuard公布服務(wù)軟件公布服務(wù)器，圖示4所表示。它實(shí)現(xiàn)了2Xn同時(shí)機(jī)制（2為公布服務(wù)器，n為Web服務(wù)器），當(dāng)2或n單點(diǎn)失效完全不影響系統(tǒng)正常運(yùn)行，且在修復(fù)后自動(dòng)工作。CMSCMS內(nèi)容管理系統(tǒng)iGuard公布服務(wù)器(主)iGuard公布服務(wù)器(備)主備通信Web服務(wù)器1Web服務(wù)器nIntranetDMZ…………圖示SEQ圖示\*ARABIC\s13集群和雙機(jī)布署示意圖Web服務(wù)器多機(jī)和集群iGuard公布服務(wù)器支持1對(duì)多達(dá)64臺(tái)Web服務(wù)器內(nèi)容同時(shí)，這些Web服務(wù)器操作系統(tǒng)、Web服務(wù)器系統(tǒng)軟件、應(yīng)用腳本及網(wǎng)頁內(nèi)容既能夠相同也能夠不一樣。iGuard實(shí)現(xiàn)了異種系統(tǒng)架構(gòu)下對(duì)不一樣內(nèi)容統(tǒng)一管理。iGuard公布服務(wù)器(備)主備通信當(dāng)多臺(tái)Web服務(wù)器作鏡像集群時(shí)，iGuard對(duì)于能夠嚴(yán)格確保多臺(tái)Web服務(wù)器內(nèi)容相同。當(dāng)單臺(tái)Web服務(wù)器失效時(shí)，因?yàn)閃eb服務(wù)器集群前端通常有負(fù)載均衡設(shè)備，所以，它并不影響公眾訪問網(wǎng)站。同時(shí)，它失效也不影響iGuard公布服務(wù)器向其它正常工作Web服務(wù)器提供內(nèi)容同時(shí)。在失效期間，iGuard公布服務(wù)器會(huì)嘗試連接這臺(tái)Web服務(wù)器，一旦它修復(fù)后重新工作，即可自動(dòng)進(jìn)行連接，并自動(dòng)進(jìn)行內(nèi)容同時(shí)。iGuard公布服務(wù)器(備)主備通信所以，Web服務(wù)器單點(diǎn)失效不影響系統(tǒng)完整性，而且在系統(tǒng)恢復(fù)時(shí)不需要對(duì)其它機(jī)器作任何手工操作。公布服務(wù)器雙機(jī)iGuard支持公布服務(wù)器雙機(jī)協(xié)同工作，即一臺(tái)主公布服務(wù)器和一臺(tái)熱備公布服務(wù)器。在這種布署情形下，內(nèi)容管理系統(tǒng)（CMS）需要將內(nèi)容同時(shí)公布到兩臺(tái)iGuard服務(wù)器上。在正常狀態(tài)下，iGuard主公布服務(wù)器工作，由它對(duì)全部Web服務(wù)器進(jìn)行內(nèi)容同時(shí)。顯然，熱備公布服務(wù)器失效不影響系統(tǒng)運(yùn)作，一旦在它修復(fù)后能夠從主公布服務(wù)器恢復(fù)數(shù)據(jù)，進(jìn)入正常熱備狀態(tài)。主公布服務(wù)器假如失效（即不發(fā)心跳信號(hào)），熱備公布服務(wù)器會(huì)接管工作，由它對(duì)全部Web服務(wù)器進(jìn)行內(nèi)容同時(shí)。當(dāng)主公布服務(wù)器修復(fù)后，兩機(jī)同時(shí)工作，經(jīng)過一段時(shí)間數(shù)據(jù)交接時(shí)間，熱備公布服務(wù)器重新進(jìn)入熱備狀態(tài)。所以，iGuard公布服務(wù)器單點(diǎn)失效也不影響系統(tǒng)完整性，而且在系統(tǒng)恢復(fù)時(shí)不需要對(duì)其它機(jī)器作任何手工操作。iWall標(biāo)準(zhǔn)布署iWall由以下兩個(gè)模塊組成：應(yīng)用防護(hù)模塊。iWall關(guān)鍵防護(hù)模塊，內(nèi)嵌于Web系統(tǒng)（Web服務(wù)器軟件）中，和Web服務(wù)器一起運(yùn)行。配置管理模塊。iWall配置生成程序，在獨(dú)立管理員機(jī)器上運(yùn)行，僅在系統(tǒng)管理員需要改變iWall配置時(shí)才使用。二者之間沒有通信連接。僅經(jīng)過一個(gè)配置文件交換數(shù)據(jù)，即：配置管理模塊生成一個(gè)配置文件，將它復(fù)制到Web服務(wù)器上供給用防護(hù)模塊使用。它們關(guān)系圖示5-1所表示。HTTPHTTPiWall配置管理模塊管理員用機(jī)iWall應(yīng)用防護(hù)模塊Web服務(wù)器配置文件圖示STYLEREF1\s5SEQ圖示\*ARABIC\s11布署示意圖采取這種配置方法優(yōu)點(diǎn)在于：避免直接在Web服務(wù)器上修改配置，不給黑客可乘之機(jī)。避免在Web上新開管理網(wǎng)絡(luò)端口，不增加新安全隱患。在多個(gè)Web服務(wù)器鏡像時(shí)，能夠快速生成統(tǒng)一配置?！吧虾！痢痢盬eb應(yīng)用安全布署方案系統(tǒng)現(xiàn)實(shí)狀況拓?fù)鋱D“上?！痢痢本W(wǎng)站現(xiàn)在網(wǎng)絡(luò)拓?fù)鋱D圖示4所表示。內(nèi)容管理系統(tǒng)內(nèi)容管理系統(tǒng)nWeb服務(wù)器雙機(jī)圖示SEQ圖示\*ARABIC4系統(tǒng)現(xiàn)實(shí)狀況拓?fù)鋱D關(guān)鍵點(diǎn)Web網(wǎng)站內(nèi)容現(xiàn)有全靜態(tài)站點(diǎn)，也有動(dòng)態(tài)應(yīng)用站點(diǎn)；Web服務(wù)器操作系統(tǒng)為SunSalaris；安全隱患現(xiàn)在這個(gè)系統(tǒng)在網(wǎng)頁內(nèi)容方面存在以下安全隱患：網(wǎng)頁篡改：沒有布署網(wǎng)頁防篡改系統(tǒng)，靜態(tài)網(wǎng)頁一旦被黑客篡改，沒有檢驗(yàn)、報(bào)警和恢復(fù)機(jī)制。應(yīng)用防護(hù)：沒有應(yīng)用防護(hù)機(jī)制，輕易遭受各類web攻擊，比如注入式、跨站、上傳假冒文件、不安全當(dāng)?shù)卮娣拧⒎欠▽?shí)施腳本、非法實(shí)施系統(tǒng)命令、資源盜鏈、源代碼泄漏、URL訪問限制失效等。布署實(shí)施拓?fù)鋱D“上?！痢痢本W(wǎng)站布署Web應(yīng)用安全產(chǎn)品網(wǎng)絡(luò)拓?fù)鋱D圖示5所表示。CMSCMS內(nèi)容管理系統(tǒng)iGuard公布服務(wù)器(主)iWall配置管理模塊iGuard公布服務(wù)器(備)主備