Web應(yīng)用安全解決方案

1、Web應(yīng)用安全解決方案一、 應(yīng)用安全需求1 針對(duì)Web的攻擊現(xiàn)代的信息系統(tǒng)，無論是建立對(duì)外的信息發(fā)布和數(shù)據(jù)交換平臺(tái)，還是建立內(nèi)部的業(yè)務(wù)應(yīng)用系統(tǒng)，都離不開Web應(yīng)用。Web應(yīng)用不僅給用戶提供一個(gè)方便和易用的交互手段，也給信息和服務(wù)提供者構(gòu)建一個(gè)標(biāo)準(zhǔn)技術(shù)開發(fā)和應(yīng)用平臺(tái)。網(wǎng)絡(luò)的發(fā)展歷史也可以說是攻擊與防護(hù)不斷交織發(fā)展的過程。目前，全球網(wǎng)絡(luò)用戶已近20 億，用戶利用互聯(lián)網(wǎng)進(jìn)行購(gòu)物、銀行轉(zhuǎn)賬支付和各種軟件下載，企業(yè)用戶更是依賴于網(wǎng)絡(luò)構(gòu)建他們的核心業(yè)務(wù)，對(duì)此，Web 安全性已經(jīng)提高一個(gè)空前的高度。然而，隨著黑客們將注意力從以往對(duì)網(wǎng)絡(luò)服務(wù)器的攻擊逐步轉(zhuǎn)移到了對(duì) Web 應(yīng)用的攻擊上，他們針對(duì)Web網(wǎng)站和應(yīng)用

2、的攻擊愈演愈烈，頻頻得手。根據(jù) Gartner的最新調(diào)查，信息安全攻擊有75%都是發(fā)生在Web應(yīng)用而非網(wǎng)絡(luò)層面上。同時(shí)，數(shù)據(jù)也顯示，三分之二的Web站點(diǎn)都相當(dāng)脆弱，易受攻擊。另外，據(jù)美國(guó)計(jì)算機(jī)安全協(xié)會(huì)（CSI）/美國(guó)聯(lián)邦調(diào)查局（FBI）的研究表明，在接受調(diào)查的公司中，2004年有52%的公司的信息系統(tǒng)遭受過外部攻擊（包括系統(tǒng)入侵、濫用Web應(yīng)用系統(tǒng)、網(wǎng)頁(yè)置換、盜取私人信息及拒絕服務(wù)等等），這些攻擊給269家受訪公司帶來的經(jīng)濟(jì)損失超過1.41億美元，但事實(shí)上他們之中有98%的公司都裝有防火墻。早在2002年，IDC就曾在報(bào)告中認(rèn)為，“網(wǎng)絡(luò)防火墻對(duì)應(yīng)用層的安全已起不到什么作用了，因?yàn)闉榱舜_保通信，

3、網(wǎng)絡(luò)防火墻內(nèi)的Web端口都必須處于開放狀態(tài)?！蹦壳?，利用網(wǎng)上隨處可見的攻擊軟件，攻擊者不需要對(duì)網(wǎng)絡(luò)協(xié)議深厚理解，即可完成諸如更換Web網(wǎng)站主頁(yè)、盜取管理員密碼、破壞整個(gè)網(wǎng)站數(shù)據(jù)等等攻擊。而這些攻擊過程中產(chǎn)生的網(wǎng)絡(luò)層數(shù)據(jù)，和正常數(shù)據(jù)沒有什么區(qū)別。2 Web安全防范在Web應(yīng)用的各個(gè)層面，都會(huì)使用不同的技術(shù)來確保安全性，如圖示1所示。為了保證用戶數(shù)據(jù)傳輸?shù)狡髽I(yè)Web服務(wù)器的傳輸安全，通信層通常會(huì)使用 SSL技術(shù)加密數(shù)據(jù)；企業(yè)會(huì)使用防火墻和IDS/IPS來保證僅允許特定的訪問，所有不必要暴露的端口和非法的訪問，在這里都會(huì)被阻止。防火墻IDS/IPSDoS攻擊端口掃描網(wǎng)絡(luò)層模式攻擊已知Web服務(wù)器漏洞

4、跨站腳本注入式攻擊惡意執(zhí)行網(wǎng)頁(yè)篡改Web服務(wù)器數(shù)據(jù)庫(kù)服務(wù)器Web應(yīng)用應(yīng)用服務(wù)器圖示 1 Web應(yīng)用的安全防護(hù)但是，即便有防火墻和IDS/IPS，企業(yè)仍然不得不允許一部分的通訊經(jīng)過防火墻，畢竟 Web 應(yīng)用的目的是為用戶提供服務(wù)，保護(hù)措施可以關(guān)閉不必要暴露的端口，但是Web應(yīng)用必須的80 和443端口，是一定要開放的?？梢皂樌ㄟ^的這部分通訊，可能是善意的，也可能是惡意的，很難辨別。而惡意的用戶則可以利用這兩個(gè)端口執(zhí)行各種惡意的操作，或者偷竊、或者操控、或者破壞 Web 應(yīng)用中的重要信息。然而我們看到的現(xiàn)實(shí)確是，絕大多數(shù)企業(yè)將大量的投資花費(fèi)在網(wǎng)絡(luò)和服務(wù)器的安全上，沒有從真正意義上保證 Web 應(yīng)

5、用本身的安全，給黑客以可乘之機(jī)。如圖示3所示，在目前安全投資中，只有10花在了如何防護(hù)應(yīng)用安全漏洞，而這卻是75的攻擊來源。正是這種投資的錯(cuò)位也是造成當(dāng)前Web站點(diǎn)頻頻被攻陷的一個(gè)重要因素。75%25%10%90%Web應(yīng)用網(wǎng)絡(luò)服務(wù)器安全風(fēng)險(xiǎn)安全投資圖示 2 安全風(fēng)險(xiǎn)和投資3 Web漏洞Web應(yīng)用系統(tǒng)有著其固有的開發(fā)特點(diǎn)：經(jīng)常更改、設(shè)計(jì)和代碼編寫不徹底、沒有經(jīng)過嚴(yán)格的測(cè)試等，這些特點(diǎn)導(dǎo)致Web應(yīng)用出現(xiàn)了很多的漏洞。另外，管理員對(duì)Web服務(wù)器的配置不當(dāng)也會(huì)造成很多漏洞。目前常用的針對(duì)Web服務(wù)器和Web應(yīng)用漏洞的攻擊已經(jīng)多達(dá)幾百種，常見的攻擊手段包括：注入式攻擊、跨站腳本攻擊、上傳假冒文件、不安

6、全本地存儲(chǔ)、非法執(zhí)行腳本和系統(tǒng)命令、源代碼泄漏、URL訪問限制失效等。攻擊目的包括：非法篡改網(wǎng)頁(yè)、非法篡改數(shù)據(jù)庫(kù)、非法執(zhí)行命令、跨站提交信息、網(wǎng)站資源盜鏈、竊取腳本源程序、竊取系統(tǒng)信息、竊取用戶信息等。 二、 產(chǎn)品概況1 iGuard網(wǎng)頁(yè)防篡改系統(tǒng)iGuard網(wǎng)頁(yè)防篡改系統(tǒng)采用先進(jìn)的Web服務(wù)器核心內(nèi)嵌技術(shù)，將篡改檢測(cè)模塊（數(shù)字水印技術(shù)）和應(yīng)用防護(hù)模塊（防注入攻擊）內(nèi)嵌于Web服務(wù)器內(nèi)部，并輔助以增強(qiáng)型事件觸發(fā)檢測(cè)技術(shù)，不僅實(shí)現(xiàn)了對(duì)靜態(tài)網(wǎng)頁(yè)和腳本的實(shí)時(shí)檢測(cè)和恢復(fù)，更可以保護(hù)數(shù)據(jù)庫(kù)中的動(dòng)態(tài)內(nèi)容免受來自于Web的攻擊和篡改，徹底解決網(wǎng)頁(yè)防篡改問題。iGuard的篡改檢測(cè)模塊使用密碼技術(shù)，為網(wǎng)頁(yè)對(duì)象

7、計(jì)算出唯一性的數(shù)字水印。公眾每次訪問網(wǎng)頁(yè)時(shí)，都將網(wǎng)頁(yè)內(nèi)容與數(shù)字水印進(jìn)行對(duì)比；一旦發(fā)現(xiàn)網(wǎng)頁(yè)被非法修改，即進(jìn)行自動(dòng)恢復(fù)，保證非法網(wǎng)頁(yè)內(nèi)容不被公眾瀏覽。同時(shí)，iGuard的應(yīng)用防護(hù)模塊也對(duì)用戶輸入的URL地址和提交的表單內(nèi)容進(jìn)行檢查，任何對(duì)數(shù)據(jù)庫(kù)的注入式攻擊都能夠被實(shí)時(shí)阻斷。iGuard以國(guó)家863項(xiàng)目技術(shù)為基礎(chǔ)，全面保護(hù)網(wǎng)站的靜態(tài)網(wǎng)頁(yè)和動(dòng)態(tài)網(wǎng)頁(yè)。iGuard支持網(wǎng)頁(yè)的自動(dòng)發(fā)布、篡改檢測(cè)、應(yīng)用保護(hù)、警告和自動(dòng)恢復(fù)，保證傳輸、鑒別、完整性檢查、地址訪問、表單提交、審計(jì)等各個(gè)環(huán)節(jié)的安全，完全實(shí)時(shí)地杜絕篡改后的網(wǎng)頁(yè)被訪問的可能性，也杜絕任何使用Web方式對(duì)后臺(tái)數(shù)據(jù)庫(kù)的篡改。iGuard支持所有主流的操作系

8、統(tǒng)，包括：Windows、Linux、FreeBSD、Unix（Solaris、HP-UX、AIX）；支持常用的Web服務(wù)器軟件，包括：IIS、Apache、SunONE、Weblogic、WebSphere等；保護(hù)所有常用的數(shù)據(jù)庫(kù)系統(tǒng)，包括：SQL Server、Oracle、MySQL、Access等。2 iWall應(yīng)用防火墻iWall應(yīng)用防火墻（Web應(yīng)用防護(hù)系統(tǒng)）是一款保護(hù)Web站點(diǎn)和應(yīng)用免受來自于應(yīng)用層攻擊的Web防護(hù)系統(tǒng)。iWall應(yīng)用防火墻實(shí)現(xiàn)了對(duì)Web站點(diǎn)特別是Web應(yīng)用的保護(hù)。它內(nèi)置于Web服務(wù)器軟件中，通過分析應(yīng)用層的用戶請(qǐng)求數(shù)據(jù)（如URL、參數(shù)、鏈接、Cookie等），區(qū)

9、分正常用戶訪問Web和攻擊者的惡意行為，對(duì)攻擊行為進(jìn)行實(shí)時(shí)阻斷和報(bào)警。這些攻擊包括利用特殊字符修改數(shù)據(jù)的數(shù)據(jù)攻擊、設(shè)法執(zhí)行程序或腳本的命令攻擊等，黑客通過這些攻擊手段可以達(dá)到篡改數(shù)據(jù)庫(kù)和網(wǎng)頁(yè)、繞過身份認(rèn)證和假冒用戶、竊取用戶和系統(tǒng)信息等嚴(yán)重危害網(wǎng)站內(nèi)容安全的目的。iWall應(yīng)用防火墻對(duì)常見的注入式攻擊、跨站攻擊、上傳假冒文件、不安全本地存儲(chǔ)、非法執(zhí)行腳本、非法執(zhí)行系統(tǒng)命令、資源盜鏈、源代碼泄漏、URL訪問限制失效等攻擊手段都著有效的防護(hù)效果。iWall應(yīng)用防火墻為軟件實(shí)現(xiàn)，適用于所有的操作系統(tǒng)和Web服務(wù)器軟件，并且完全對(duì)Web應(yīng)用系統(tǒng)透明。應(yīng)用防火墻是現(xiàn)代網(wǎng)絡(luò)安全架構(gòu)的一個(gè)重要組成部分，它著

10、重進(jìn)行應(yīng)用層的內(nèi)容檢查和安全防御，與傳統(tǒng)安全設(shè)備共同構(gòu)成全面和有效的安全防護(hù)體系。3 產(chǎn)品特性1） 篡改檢測(cè)和恢復(fù)iGuard支持以下篡改檢測(cè)和恢復(fù)功能：n 支持安全散列檢測(cè)方法；n 可檢測(cè)靜態(tài)頁(yè)面/動(dòng)態(tài)腳本/二進(jìn)制實(shí)體；n 支持對(duì)注入式攻擊的防護(hù)；n 網(wǎng)頁(yè)發(fā)布同時(shí)自動(dòng)更新水印值；n 網(wǎng)頁(yè)發(fā)送時(shí)比較網(wǎng)頁(yè)和水印值；n 支持?jǐn)嗑€/連線狀態(tài)下篡改檢測(cè)；n 支持連線狀態(tài)下網(wǎng)頁(yè)恢復(fù)；n 網(wǎng)頁(yè)篡改時(shí)多種方式報(bào)警；n 網(wǎng)頁(yè)篡改時(shí)可執(zhí)行外部程序或命令；n 可以按不同容器選擇待檢測(cè)的網(wǎng)頁(yè)；n 支持增強(qiáng)型事件觸發(fā)檢測(cè)技術(shù)；n 加密存放水印值數(shù)據(jù)庫(kù)；n 支持各種私鑰的硬件存儲(chǔ)；n 支持使用外接安全密碼算法。2） 自

11、動(dòng)發(fā)布和同步iGuard支持以下自動(dòng)發(fā)布和同步功能：n 自動(dòng)檢測(cè)發(fā)布服務(wù)器上文件系統(tǒng)任何變化；n 文件變化自動(dòng)同步到多個(gè)Web服務(wù)器；n 支持文件/目錄的增加/刪除/修改/更名；n 支持任何內(nèi)容管理系統(tǒng)；n 支持虛擬目錄/虛擬主機(jī)；n 支持頁(yè)面包含文件；n 支持雙機(jī)方式的冗余部署；n 斷線后自動(dòng)重聯(lián)；n 上傳失敗后自動(dòng)重試；n 使用SSL安全協(xié)議進(jìn)行通信；n 保證通信過程不被篡改和不被竊聽；n 通信實(shí)體使用數(shù)字證書進(jìn)行身份鑒別；n 所有過程有詳細(xì)的審計(jì)。3） 應(yīng)用安全防護(hù)特性1 請(qǐng)求特性限制iWall可以對(duì)HTTP請(qǐng)求的特性進(jìn)行以下過濾和限制：n 請(qǐng)求頭檢查：對(duì)HTTP報(bào)文中請(qǐng)求頭的名字和長(zhǎng)度

12、進(jìn)行檢查。n 請(qǐng)求方法過濾：限制對(duì)指定HTTP請(qǐng)求方法的訪問。n 請(qǐng)求地址過濾：限制對(duì)指定HTTP請(qǐng)求地址的訪問。n 請(qǐng)求開始路徑過濾：限制HTTP請(qǐng)求中的對(duì)指定開始路徑地址的訪問。n 請(qǐng)求文件過濾：限制HTTP請(qǐng)求中的對(duì)指定文件的訪問。n 請(qǐng)求文件類型過濾：限制HTTP請(qǐng)求中的對(duì)指定文件類型的訪問。n 請(qǐng)求版本過濾：限制對(duì)指定HTTP版本的訪問及完整性檢查。n 請(qǐng)求客戶端過濾：限制對(duì)指定HTTP客戶端的訪問及完整性檢查。n 請(qǐng)求鏈接過濾：限制鏈接字段中含有的字符及完整性檢查。n 鑒別類型過濾：限制對(duì)指定HTTP鑒別類型的訪問。n 鑒別帳號(hào)過濾：限制對(duì)指定HTTP鑒別帳號(hào)的訪問。n 內(nèi)容長(zhǎng)度過

13、濾：限制對(duì)指定HTTP請(qǐng)求內(nèi)容長(zhǎng)度的訪問。n 內(nèi)容類型過濾：限制對(duì)指定HTTP請(qǐng)求內(nèi)容類型的訪問。這些規(guī)則需要可以根據(jù)Web系統(tǒng)的實(shí)際情況進(jìn)行配置和分站點(diǎn)應(yīng)用。2 請(qǐng)求內(nèi)容限制iWall可以對(duì)HTTP請(qǐng)求的內(nèi)容進(jìn)行以下過濾和限制：n URL過濾：對(duì)提交的URL請(qǐng)求中的字符進(jìn)行限制。n 請(qǐng)求參數(shù)過濾：對(duì)GET方法提交的參數(shù)進(jìn)行檢查（包括注入式攻擊和代碼攻擊）。n 請(qǐng)求數(shù)據(jù)過濾：對(duì)POST方法提交的數(shù)據(jù)進(jìn)行檢查（包括注入式攻擊和代碼攻擊）。n Cookie過濾：對(duì)Cookie內(nèi)容進(jìn)行檢查。n 盜鏈檢查：對(duì)指定的文件類型進(jìn)行參考域的檢查。n 跨站腳本攻擊檢查：對(duì)指定的文件類型進(jìn)行參考開始路徑的檢查。

14、這些規(guī)則需要可以根據(jù)Web系統(tǒng)的實(shí)際情況進(jìn)行配置和分站點(diǎn)應(yīng)用。3 指定站點(diǎn)規(guī)則iWall可以分別為一臺(tái)服務(wù)器上不同的站點(diǎn)制定不同的規(guī)則，站點(diǎn)區(qū)分的方法包括：n 不同的端口。n 不同的IP地址。n 不同的主機(jī)頭名（即域名）。4 可防范的攻擊iWall組合以上限制特性，可針對(duì)以下應(yīng)用攻擊進(jìn)行有效防御：n SQL數(shù)據(jù)庫(kù)注入式攻擊。n 腳本源代碼泄露。n 非法執(zhí)行系統(tǒng)命令。n 非法執(zhí)行腳本。n 上傳假冒文件。n 跨站腳本漏洞。n 不安全的本地存儲(chǔ)。n 網(wǎng)站資源盜鏈。n 應(yīng)用層拒絕服務(wù)攻擊。對(duì)這些攻擊更詳細(xì)的描述見本文檔第6章：常見應(yīng)用層攻擊簡(jiǎn)介。4 iGuard標(biāo)準(zhǔn)部署1） 兩臺(tái)服務(wù)器部署iGuard

15、至少需要兩臺(tái)服務(wù)器：n 發(fā)布服務(wù)器：位于內(nèi)網(wǎng)中，本身處在相對(duì)安全的環(huán)境中，其上部署iGuard的發(fā)布服務(wù)器軟件。n Web服務(wù)器：位于公網(wǎng)/DMZ中，本身處在不安全的環(huán)境中，其上部署iGuard的Web服務(wù)器端軟件。它們之間的關(guān)系如圖示1所示。iGuard發(fā)布服務(wù)器軟件發(fā)布服務(wù)器HTTPFTPSSLIntranetDMZInternetiGuardWeb服務(wù)器端軟件Web服務(wù)器Internet圖示 1 iGuard兩臺(tái)服務(wù)器2） 發(fā)布服務(wù)器發(fā)布服務(wù)器上運(yùn)行iGuard的“發(fā)布服務(wù)器軟件”（Staging Server）。所有網(wǎng)頁(yè)的合法變更（包括增加、修改、刪除、重命名）都在發(fā)布服務(wù)器上進(jìn)行。發(fā)

16、布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)頁(yè)文件完全相同的目錄結(jié)構(gòu)，發(fā)布服務(wù)器上的任何文件/目錄的變化都會(huì)自動(dòng)和立即地反映到Web服務(wù)器的相應(yīng)位置上，文件/目錄變更的方法可以是任意方式的（例如：FTP、SFTP、RCP、NFS、文件共享等）。網(wǎng)頁(yè)變更后，“發(fā)布服務(wù)器軟件”將其同步到Web服務(wù)器上。發(fā)布服務(wù)器是部署iGuard時(shí)新增添的機(jī)器，原則需要一臺(tái)獨(dú)立的服務(wù)器；對(duì)于網(wǎng)頁(yè)更新不太頻繁的網(wǎng)站，也可以用普通PC機(jī)或者與擔(dān)任其他工作的服務(wù)器共用。發(fā)布服務(wù)器為PC服務(wù)器，其本身的硬件配置無特定要求，操作系統(tǒng)可選擇Windows（一般網(wǎng)站）或Linux（大型網(wǎng)站，需選加Linux企業(yè)發(fā)布模塊）。3） Web服

17、務(wù)器Web服務(wù)器上除了原本運(yùn)行的Web服務(wù)器軟件（如IIS、Apache、SunONE、Weblogic、Websphere等）外，還運(yùn)行有iGuard的“Web服務(wù)器端軟件”，“Web服務(wù)器端軟件”由“同步服務(wù)器”（SyncServer）和“防篡改模塊”（AntiTamper）組成?！癷Guard同步服務(wù)器”負(fù)責(zé)與iGuard發(fā)布服務(wù)器通信，將發(fā)布服務(wù)器上的所有網(wǎng)頁(yè)文件變更同步到Web服務(wù)器本地；“iGuard防篡改模塊”作為Web服務(wù)器軟件的一個(gè)插件運(yùn)行，負(fù)責(zé)對(duì)Web請(qǐng)求進(jìn)行檢查和對(duì)網(wǎng)頁(yè)進(jìn)行完整性檢查，需要對(duì)Web服務(wù)器軟件作適當(dāng)配置，以使其生效。Web服務(wù)器是用戶網(wǎng)站原有的機(jī)器，iGua

18、rd可適應(yīng)于任何硬件和操作系統(tǒng)。4） 內(nèi)容管理系統(tǒng)目前，大部分網(wǎng)站都使用了內(nèi)容管理系統(tǒng)（CMS）來管理網(wǎng)頁(yè)產(chǎn)生的全過程，包括網(wǎng)頁(yè)的編輯、審核、簽發(fā)和合成等。在網(wǎng)站的網(wǎng)絡(luò)拓?fù)渲?，發(fā)布服務(wù)器部署在原有的內(nèi)容管理系統(tǒng)和Web服務(wù)器之間，圖示2表明了三者之間的關(guān)系。Web服務(wù)器(Guard)發(fā)布服務(wù)器(Guard)內(nèi)容管理系統(tǒng)(第三方軟件)Internet圖示 2 標(biāo)準(zhǔn)部署圖為一個(gè)已有的Web站點(diǎn)部署iGuard時(shí)，Web服務(wù)器和內(nèi)容管理系統(tǒng)都沿用原來的機(jī)器，而需要在其間增加一臺(tái)發(fā)布服務(wù)器。iGuard的自動(dòng)同步機(jī)制完全與內(nèi)容管理系統(tǒng)無關(guān)的，適合與所有的內(nèi)容管理系統(tǒng)協(xié)同工作，而內(nèi)容管理系統(tǒng)本身無須作任

19、何變動(dòng)。發(fā)布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)站文件完全相同的目錄結(jié)構(gòu)，任何文件/目錄的變化都會(huì)自動(dòng)映射到Web服務(wù)器的相應(yīng)位置上。網(wǎng)頁(yè)的合法變更（包括增加、修改、刪除、重命名）都在發(fā)布服務(wù)器上進(jìn)行，變更的手段可以是任意方式的（例如：FTP、SFTP、RCP、NFS、文件共享等）。網(wǎng)頁(yè)變更后，發(fā)布服務(wù)器將其同步到Web服務(wù)器上。無論什么情況下，不允許直接變更Web服務(wù)器上的頁(yè)面文件。iGuard一般情況下與內(nèi)容管理系統(tǒng)分開部署，當(dāng)然它也可以與內(nèi)容管理系統(tǒng)部署在一臺(tái)機(jī)器上，在這種情形下，iGuard還可以提供接口，與內(nèi)容管理系統(tǒng)進(jìn)行互相的功能調(diào)用，以實(shí)現(xiàn)整合性更強(qiáng)的功能。5） 集群和冗余部署Web

20、站點(diǎn)運(yùn)行的穩(wěn)定性是最關(guān)鍵的。iGuard支持所有部件的多機(jī)工作和熱備：可以有多臺(tái)安裝了iGuard防篡改模塊和同步服務(wù)軟件的Web服務(wù)器，也可以有兩臺(tái)安裝了iGuard發(fā)布服務(wù)軟件的發(fā)布服務(wù)器，如圖示4所示。它實(shí)現(xiàn)了2Xn的同步機(jī)制（2為發(fā)布服務(wù)器，n為Web服務(wù)器），當(dāng)2或n的單點(diǎn)失效完全不影響系統(tǒng)的正常運(yùn)行，且在修復(fù)后自動(dòng)工作。CMS內(nèi)容管理系統(tǒng)iGuard發(fā)布服務(wù)器(主)iGuard發(fā)布服務(wù)器(備)主備通信Web服務(wù)器1Web服務(wù)器nIntranetDMZ圖示 3 集群和雙機(jī)部署示意圖6） Web服務(wù)器多機(jī)和集群iGuard發(fā)布服務(wù)器支持1對(duì)多達(dá)64臺(tái)Web服務(wù)器的內(nèi)容同步，這些Web服

21、務(wù)器的操作系統(tǒng)、Web服務(wù)器系統(tǒng)軟件、應(yīng)用腳本及網(wǎng)頁(yè)內(nèi)容既可以相同也可以不同。iGuard實(shí)現(xiàn)了異種系統(tǒng)架構(gòu)下對(duì)不同內(nèi)容的統(tǒng)一管理。iGuard發(fā)布服務(wù)器(備)主備通信當(dāng)多臺(tái)Web服務(wù)器作鏡像集群時(shí)，iGuard對(duì)于能夠嚴(yán)格保證多臺(tái)Web服務(wù)器內(nèi)容相同。當(dāng)單臺(tái)Web服務(wù)器失效時(shí)，由于Web服務(wù)器集群前端通常有負(fù)載均衡設(shè)備，因此，它并不影響公眾訪問網(wǎng)站。同時(shí)，它的失效也不影響iGuard發(fā)布服務(wù)器向其他正常工作的Web服務(wù)器提供內(nèi)容同步。在失效期間，iGuard發(fā)布服務(wù)器會(huì)嘗試連接這臺(tái)Web服務(wù)器，一旦它修復(fù)后重新工作，即可自動(dòng)進(jìn)行連接，并自動(dòng)進(jìn)行內(nèi)容同步。因此，Web服務(wù)器的單點(diǎn)失效不影響系統(tǒng)

22、的完整性，并且在系統(tǒng)恢復(fù)時(shí)不需要對(duì)其余機(jī)器作任何手工操作。7） 發(fā)布服務(wù)器雙機(jī)iGuard支持發(fā)布服務(wù)器雙機(jī)協(xié)同工作，即一臺(tái)主發(fā)布服務(wù)器和一臺(tái)熱備發(fā)布服務(wù)器。在這種部署情形下，內(nèi)容管理系統(tǒng)（CMS）需要將內(nèi)容同時(shí)發(fā)布到兩臺(tái)iGuard服務(wù)器上。在正常狀態(tài)下，iGuard主發(fā)布服務(wù)器工作，由它對(duì)所有Web服務(wù)器進(jìn)行內(nèi)容同步。顯然，熱備發(fā)布服務(wù)器失效不影響系統(tǒng)運(yùn)作，一旦在它修復(fù)后可以從主發(fā)布服務(wù)器恢復(fù)數(shù)據(jù)，進(jìn)入正常熱備狀態(tài)。主發(fā)布服務(wù)器如果失效（即不發(fā)心跳信號(hào)），熱備發(fā)布服務(wù)器會(huì)接管工作，由它對(duì)所有Web服務(wù)器進(jìn)行內(nèi)容同步。當(dāng)主發(fā)布服務(wù)器修復(fù)后，兩機(jī)同時(shí)工作，經(jīng)過一段時(shí)間的數(shù)據(jù)交接時(shí)間，熱備發(fā)布服

23、務(wù)器重新進(jìn)入熱備狀態(tài)。因此，iGuard發(fā)布服務(wù)器的單點(diǎn)失效也不影響系統(tǒng)的完整性，并且在系統(tǒng)恢復(fù)時(shí)不需要對(duì)其余機(jī)器作任何手工操作。5 iWall標(biāo)準(zhǔn)部署iWall由以下兩個(gè)模塊組成：n 應(yīng)用防護(hù)模塊。iWall的核心防護(hù)模塊，內(nèi)嵌于Web系統(tǒng)（Web服務(wù)器軟件）中，與Web服務(wù)器一起運(yùn)行。n 配置管理模塊。iWall的配置生成程序，在獨(dú)立管理員機(jī)器上運(yùn)行，僅在系統(tǒng)管理員需要改變iWall配置時(shí)才使用。兩者之間沒有通信連接。僅通過一個(gè)配置文件交換數(shù)據(jù)，即：配置管理模塊生成一個(gè)配置文件，將它復(fù)制到Web服務(wù)器上供應(yīng)用防護(hù)模塊使用。它們的關(guān)系如圖示5-1所示。HTTPiWall配置管理模塊管理員用機(jī)

24、iWall應(yīng)用防護(hù)模塊Web服務(wù)器配置文件圖示 二4 部署示意圖采取這種配置方式的優(yōu)點(diǎn)在于：n 避免直接在Web服務(wù)器上修改配置，不給黑客可乘之機(jī)。n 避免在Web上新開管理網(wǎng)絡(luò)端口，不增加新的安全隱患。n 在多個(gè)Web服務(wù)器鏡像時(shí)，可以快速生成統(tǒng)一配置。三、 “上?！盬eb應(yīng)用安全部署方案1 系統(tǒng)現(xiàn)狀1） 拓?fù)鋱D“上?！本W(wǎng)站目前的網(wǎng)絡(luò)拓?fù)鋱D如圖示4所示。內(nèi)容管理系統(tǒng)nWeb服務(wù)器雙機(jī)圖示 5 系統(tǒng)現(xiàn)狀拓?fù)鋱D2） 要點(diǎn)n Web網(wǎng)站內(nèi)容既有全靜態(tài)站點(diǎn)，也有動(dòng)態(tài)應(yīng)用站點(diǎn)；n Web服務(wù)器的操作系統(tǒng)為Sun Salaris；3） 安全隱患目前這個(gè)系統(tǒng)在網(wǎng)頁(yè)內(nèi)容方面存在如下安全隱患：n 網(wǎng)頁(yè)篡改：沒有部署網(wǎng)頁(yè)防篡改系統(tǒng)，靜態(tài)網(wǎng)頁(yè)一旦被黑客篡改，沒有檢查、報(bào)警和恢復(fù)機(jī)制。n 應(yīng)用防護(hù)：沒有應(yīng)用防護(hù)機(jī)制，容易遭受各類web攻擊，例如注入式、跨站、上傳假冒文件、不安全本地存儲(chǔ)、非法執(zhí)行腳本、非法執(zhí)行系統(tǒng)命令、資源盜鏈、源代碼泄漏、URL訪問限制失效等。2 部署實(shí)施1） 拓?fù)鋱D“上?！本W(wǎng)站部署Web應(yīng)用安全產(chǎn)品的網(wǎng)絡(luò)拓?fù)鋱D如圖示5所示。CMS內(nèi)容管理系統(tǒng)iGuard發(fā)布服務(wù)器(主)iWall配置管理模塊iGuard發(fā)布服務(wù)器(備)主備通信Web服務(wù)器雙機(jī)IntranetDMZiGu