网站系统安全防护体系建设方案

1、 AUTOTEXT 第 X 页 共 Y 页 * MERGEFORMAT 第 PAGE 30 页 共 NUMPAGES 31 页网站系统安安全防护体体系建设方方案 目录TOC o 1-3 h z u HYPERLINK l _Toc253386518 一、需求说说明 PAGEREF _Toc253386518 h 2 HYPERLINK l _Toc253386519 二、网页防防篡改解决决方案 PAGEREF _Toc253386519 h 4 HYPERLINK l _Toc253386520 2.1 技技术原理 PAGEREF _Toc253386520 h 4 HYPERLINK l _

2、Toc253386521 2.2 部部署结构 PAGEREF _Toc253386521 h 5 HYPERLINK l _Toc253386522 2.3 系系统组成 PAGEREF _Toc253386522 h 6 HYPERLINK l _Toc253386523 2.4 集集群与允余余部署 PAGEREF _Toc253386523 h 8 HYPERLINK l _Toc253386524 2.5 方方案特点 PAGEREF _Toc253386524 h 9 HYPERLINK l _Toc253386525 2.5.11 篡改检检测和恢复复 PAGEREF _Toc253386

3、525 h 9 HYPERLINK l _Toc253386526 2.5.22 自动发发布和同步步 PAGEREF _Toc253386526 h 9 HYPERLINK l _Toc253386527 三、WEBB应用防护护解决方案案 PAGEREF _Toc253386527 h 11 HYPERLINK l _Toc253386528 3.1 当当前安全风风险分析 PAGEREF _Toc253386528 h 11 HYPERLINK l _Toc253386529 3.2 防防护计划 PAGEREF _Toc253386529 h 12 HYPERLINK l _Toc253386

4、530 3.2.11 开发流流程中加入入安全性验验证项目 PAGEREF _Toc253386530 h 12 HYPERLINK l _Toc253386531 3.2.22 对网站站程序的源源代码进行行弱点检测测 PAGEREF _Toc253386531 h 13 HYPERLINK l _Toc253386532 3.2.33 导入网网页应用程程序漏洞列列表作为审审计项目 PAGEREF _Toc253386532 h 13 HYPERLINK l _Toc253386533 3.2.44 部署WWeb应用用防火墙进进行防御 PAGEREF _Toc253386533 h 14 HYP

5、ERLINK l _Toc253386534 3.3WWEB应用用防火墙功功能 PAGEREF _Toc253386534 h 15 HYPERLINK l _Toc253386535 3.3.11 集中管管控功能 PAGEREF _Toc253386535 h 15 HYPERLINK l _Toc253386536 3.3.22 防护功功能 PAGEREF _Toc253386536 h 15 HYPERLINK l _Toc253386537 3.4 预预期效益 PAGEREF _Toc253386537 h 16 HYPERLINK l _Toc253386538 四、内容分分发网络解

6、解决方案 PAGEREF _Toc253386538 h 18 HYPERLINK l _Toc253386539 4.1 内内容分发网网络简介 PAGEREF _Toc253386539 h 18 HYPERLINK l _Toc253386540 4.2 CDN服服务功能 PAGEREF _Toc253386540 h 18 HYPERLINK l _Toc253386541 4.3CCDN服务务特点 PAGEREF _Toc253386541 h 20 HYPERLINK l _Toc253386542 五、负载均均衡解决方方案 PAGEREF _Toc253386542 h 21 HY

7、PERLINK l _Toc253386543 5.2 广广域负载均均衡 PAGEREF _Toc253386543 h 23 HYPERLINK l _Toc253386544 5.3 关关键功能和和特点 PAGEREF _Toc253386544 h 24 HYPERLINK l _Toc253386545 六、应急响响应服务体体系 PAGEREF _Toc253386545 h 26 HYPERLINK l _Toc253386546 6.1 事事件分类与与分级 PAGEREF _Toc253386546 h 26 HYPERLINK l _Toc253386547 6.1.11 事件分

8、分类 PAGEREF _Toc253386547 h 26 HYPERLINK l _Toc253386548 6.1.22 事件分分级 PAGEREF _Toc253386548 h 26 HYPERLINK l _Toc253386549 6.1.33 预警服服务事件严严重等级 PAGEREF _Toc253386549 h 27 HYPERLINK l _Toc253386550 6.2 应应急响应服服务体系 PAGEREF _Toc253386550 h 28一、需求说说明针对Webb应用防护护安全需能能实现以下下功能：一、针对网网站主页恶恶意篡改的的监控，防防护和快速速恢复：（1）支

9、持持多种保护护模式，防防止静态和和动态网页页内容被非非法篡改。（2）能够够防止主页页防护功能能被恶意攻攻击者非法法终止。（3）具备备核心内嵌嵌技术，能能实现高效效快速实现现大规模的的网页攻击击防护。（4）支持持实时检测测和快速恢恢复功能。（5）支持持多服务器器、多站点的的主页防护护（6）支持持对常见的的多种网页页文件类型型的保护。（7）支持持网页快照照功能，根根据需要即即时提供快快照页面，以以满足客户户端的访问问。二、 对WWeb网站进进行多层次次检测分析析与应用防防护：（1）有效效保护网站站静动态网网页以及后后台DB信息，实实现多方位位攻击防护护。（2）灵灵活的策略略设置，能能够针对各各个W

10、EBB应用的特特点，设置置个性化的的防护策略略。（3）不反反射保护网网站（或WWEB应用用）程序代代码防止受受到各种已已知攻击（如SQL注入，跨站脚本，钓鱼攻击等）和未知攻击；并能限制未授权用户透过网站访问数据中心，防止入侵者的通信流程。（4）能够够根据操作作系统、应应用平台及及评估渗透透工具等特特征，形成成完备的特特征库。综综合并发连连接、并发发请求及流流量限制，阻阻断攻击探探测或扫描描； 同时时能够对访访问数据流流进行协议议检查，防防止对WEEB应用的的恶意信息息获取和特特征收集。三、行为审审计：（1）能够够记录和有有效统计用用户对WEEB应用资资源的访问问，包括页页面点击率率、 客户户对

11、端地址址、客户端类类型、访问流量量、访问时间间及搜索引擎擎关键字信信息；并实现有有效的用户户行为访问问统计分析析，如基于于区域的访访问统计，便便于识别WWEB应用用的访问群群体是否符符合预期，为为应用优化化提供依据据。（2）对攻攻击来源和和攻击行为为支持分类类记录探测测，数据处理理结果形成成详细的统统计及排序序，支持依依据威胁的的级别生成成防护策略略。（3）提供供多种审计计报表，为为系统的安安全审计提提供详细的的数据并作作为可靠的的决策依据据。四、支持多多种WEBB 应用加加速技术，减减轻服务器器负载：（1）支持持URL 级别的流流量管理和和负载均衡衡，提供对对页面访问问的并发连连接与速率进行

12、行控制，提提高应用系系统在资源源紧张时的的可用性。（2）具备备访问过载载保护能力力，缓解WWEB 服服务因访问问量过大而而造成的拒拒绝服务攻攻击， 提提高系统承承受应用层层DOS攻攻击的服务务能力。（3）及时时发现WEEB 应用用状态异常常，迅速反反馈应用服服务活动状状态，并选选择最优秀秀服务连接接。（4）支持持轮询、最最小负载、请求URRL 及加加权等多种种均衡策略略，满足各各种应用环环境下的均均衡要求。（5）网站站主页和WWEB应用用防护系统统，需能分分别以独立立方式及互互备方式部部署在不同同机房。二、网页防防篡改解决方方案Web网站站和Webb应用系统统除了采用用常见的网网络安全设设备进

13、行防防护外，需需要更有效的网网页防篡改改系统来专专门对页面面内容进行行保护，防防止来自外外部或内部部的非授权权人员对页页面和内容容进行篡改改和非法添添加。2.1 技技术原理防篡改体系系除了Weeb服务器器外，另外外需部署发布服务务器：发布服务器器：位于内内网中，本本身处在相相对安全的的环境中，其其上部署发发布服务器器软件。所所有网页的的合法变更更（包括增增加、修改改、删除、重命名）都都在发布服服务器上进进行。发布布服务器上上具有与WWeb服务务器上的网网页文件完完全相同的的目录结构构，发布服服务器上的的任何文件件/目录的的变化都会会自动和立立即地反映映到Webb服务器的的相应位置置上，文件件/

14、目录变变更的方法法可以是任任意方式的的（例如：FTP、SFTPP、RCPP、NFSS、文件共共享等）。网页变更更后，“发布服务务器软件”将其同步步到Webb服务器上上。Web服务务器：位于于Inteernett/DMZZ中，本身身处在不安安全的环境境中，其上上部署Weeb服务器器端防篡改改模块及内内容同步软件模块。防篡改系统统的运行原理：防篡改对所有网页页元素（包包括静态页页面、动态态脚本、图图像文件、多媒体文文件以及所所有能以UURL形式式访问的实实体）在发发布时进行行128位位密钥的HHMAC-MD5（RRFC21104）计计算，生成成唯一的、不可逆转转的和不可可伪造的数数字水印。浏览者请

15、求求访问任一一网页元素素时，篡改改检测模块块（作为WWeb服务务器软件的的一部分）读读出网页元元素的内容容重新计算算数字水印印，并与之之前存储的的数字水印印进行比对对，网页元元素的任何何篡改都能能够被可靠靠地计算出出来。防窃听任何通信实实体（包括括发布服务务器和Weeb服务器器和控制台）之之间采用工工业标准的的SSL33.0/TTLS1.0安全通通讯协议（RRFC22246），确确保网页元元素文件和和数字水印印数据流在在通信过程程中不被黑黑客窃取和和分析。身份鉴别通信实体间间进行强身身份鉴别。首先，WWeb服务务器要确保保上传文件件的发布服服务器的身身份真实性性，不能接接受伪造的的发布服务务器

16、上传的的文件；其其次，发布布服务器要要确保是在在与Webb服务器通通信，确保保发送的文文件能够到到Web服服务器上。因此，双双方彼此都都进了身份份鉴别。亦亦即：发布布服务器采采用客户端端数字证书书与Webb服务器通通讯，同时时也验证WWeb服务务器数字证证书的真实实性。2.2 部部署结构目前，大部部分网站都都使用内容容管理系统统（CMSS）来管理理网页产生生的全过程程，包括网网页的编辑辑、审核、签发和合合成等。在在网站的网网络拓扑中中，发布服服务器部署署在原有的的内容管理理系统和WWeb服务务器之间，下下图表明三三者之间的的关系。发布服务器器上具有与与Web服服务器上的的网站文件件完全相同同的

17、目录结结构，任何何文件/目目录的变化化都会自动动映射到WWeb服务务器的相应应位置上。网页的合法法变更（包包括增加、修改、删删除、重命命名）都在在发布服务务器上进行行，变更的的手段可以以是任意方方式的（例例如：FTTP、SFFTP、RRCP、NNFS、文文件共享等等）。网页页变更后，发发布服务器器将其同步步到Webb服务器上上。无论什什么情况下下，不允许许直接变更更Web服服务器上的的页面文件件。下图为防篡篡改系统的的逻辑部署署图。若无无多余服务务器可供使使用，则发发布服务器器可与内容容管理服务务器建构在在同一服务务器上：2.3 系系统组成从逻辑上，防防篡改系统统由页面保保护子系统统、自动发布

18、布子系统和和监控管理理子系统组组成，三部部分的关系系如下图所所示。发布服务器自动发布子系统（自动发布程序）管理和监控子系统内容管理系统（第三方软件）Web服务器Web服务器软件（第三方软件）页面保护子系统（应用防护/篡改检测）自动发布子系统（同步服务器）页面保护子子系统页面保护子子系统是系系统的核心心，内嵌在在Web服服务器软件件里（即前前述的核心心内嵌模块块），包含含应用防护护模块和篡篡改检测模模块。应用防护模模块对每个个用户的请请求进行安安全性检查查：如果正正常则发送送给Webb服务器软软件；如果果发现有攻攻击特征码码，即刻中中止此次请请求并进行行报警。篡改检测模模块对每个个发送的网网页进

19、行即即时的完整整性检查：如果网页页正常则对对外发送；如果被篡篡改则阻断断对外发送送，并依照照一定策略略进行报警警和恢复。对于Winndowss系统，页页面保护子子系统还包包括一个增增强型事件件触发式检检测模块，该该模块驻留留于操作系系统内核，阻阻止大部分分常规篡改改手段。自动发布子子系统自动发布子子系统负责责页面的自自动发布，由由发送端和和接收端组组成：发送送端位于发发布服务器器上，称之之为自动发发布程序，它它监测到文文件系统变变化即进行行计算该文文件水印，并并进行SSSL发送；接收端位位于Webb服务器上上，称之为为同步服务务器，它接接收到网页页和水印后后，将网页页存放在文文件系统中中，将水

20、印印存放在安安全数据库库里。所有有合法网页页的增加、修改和删删除都通过过自动发布布子系统进进行。监控管理子子系统负责篡改后后自动恢复复，也提供供系统管理理员的使用用界面。其其功能包括括：手工上上传、查看看警告、检检测系统运运行情况、修改配置置、查看和和处理日志志等。日志记录所所有系统、发布、篡篡改检测和和自动恢复复等信息，可可以分类分分日期查看看，并根据据管理员的的要求实现现转储。日日志记录还还支持syyslogg，以实现现与安全管管理平台的的接口。2.4 集集群与允余余部署Web站点点运行的稳稳定性是最最关键的，防防篡改系统统支持所有有部件的多多机工作和和热备，可可以有多台台安装了防防篡改模

21、块块和同步服服务软件的的Web服服务器，也也可以有两两发布服务务器，避免免单点失效效问题，如如下图所示。Web服务务器多机和和集群发布服务器器支持1对对多达644台Webb服务器的的内容同步步，这些WWeb服务务器的操作作系统、WWeb服务务器系统软软件、应用用脚本及网网页内容既既可以相同同也可以不不同。本案案提供的解解决方案将将可实现异异种系统架架构下对不不同内容的的统一管理理。发布服务器器双机支持发布服服务器双机机协同工作作，即一台台主发布服服务器和一一台热备发发布服务器器。在这种种部署情形形下，内容容管理系统统（CMSS）需要将将内容同时时发布到两两台发布服服务器上。正常状态态下，主发发

22、布服务器器工作时，由它对对所有Weeb服务器器进行内容容同步。如如果热备发发布服务器器运行失效（不影影响网站系系统运行），一旦在它修复后可以从主发布服务器恢复数据，进入正常热备状态。主发布服务器如果失效（即不发心跳信号），热备发布服务器会接管工作，由热备服务器对所有Web服务器进行内容同步。当主发布服务器修复后，两机同时工作，经过一段时间的数据交接时间，热备发布服务器重新进入热备状态。2.5 方方案特点2.5.11 篡改检测测和恢复支持安全散散列检测方方法；可检测静态态页面/动动态脚本/二进制实实体；支持对注入入式攻击的的防护；网页发布同同时自动更更新水印值值；网页发送时时比较网页页和水印值值

23、；支持断线/连线状态态下篡改检检测；支持连线状状态下网页页恢复；网页篡改时时多种方式式报警；网页篡改时时可执行外外部程序或或命令；可以按不同同容器选择择待检测的的网页；支持增强型型事件触发发检测技术术；加密存放水水印值数据据库；支持各种私私钥的硬件件存储；支持使用外外接安全密密码算法。2.5.22 自动发布布和同步自动检测发发布服务器器上文件系系统任何变变化；文件变化自自动同步到到多个Weeb服务器器；支持文件/目录的增增加/删除除/修改/更名；支持任何内内容管理系系统；支持虚拟目目录/虚拟拟主机；支持页面包包含文件；支持双机方方式的冗余余部署；断线后自动动重联；上传失败后后自动重试试；使用S

24、SLL安全协议议进行通信信；保证通信过过程不被篡篡改和不被被窃听；通信实体使使用数字证证书进行身身份鉴别；所有过程有有详细的审审计。三、WEBB应用防护护解决方案案从网页应用用程序层面面进行安全全防护机制制：第一项计划划是，通过过网页程序序代码的安安全检测，找找出潜在应应用程序的的编写漏洞洞，提供开开发团队修修补建议，并并据以改写写修补。同同时为网页页应用层防防火墙提供供防护规则则，做到内内外共同防防护；第二项计划划是，通过过网页应用用层防火墙墙软件的部部署，与网网页程序代代码的安全全检测互相联动，为为在线运营营的网站立立即建立防防护，针对对各种应用用层的攻击击进行阻挡挡，建立起起网站从内内而

25、外的安安全防护体体系。3.1 当当前安全风风险分析越来越多的的案例表明明，网站的的安全问题题随着各类类网络技术术手段的不不断进步而而显现出来来。截止到到目前，以以跨站脚本本攻击、SSQL注入入攻击为代代表的攻击击方式对传传统的防火墙+入侵防护护所组成的的网站安全全防线带来来了极大的的冲击；同同时由于新新的攻击方方式的出现现，一旦网网站被入侵侵，轻则网网站被植入入恶意连结结或对象，导导致访问用用户的个人人电脑中毒毒或被植入入木马；严严重的话，通通过网页的的接口导致致客户的信信息或交易易纪录被入入侵，从而而面对的是是漫长的调调查、赔偿偿、法律责责任、甚至至诉讼。如如果被媒体体披露的话话，更会严严重

26、影响企企事业单位位的声誉。网站安全风风险分析：项次大纲说明1没有适当机机制确认目目前的网页页程序存在在哪些漏洞洞目前已在线线执行的网网页系统，是是几年来不不断开发与与累积的结结果。然而而新兴的以以网页应用用程序为攻攻击目标的的攻击模式式不断被发发现，因此此当前面临临的困难在在于:现有的开发发团队并非非全职的安安全专家，难难以保证编编写出来的的程序代码码绝对不会会存在漏洞洞。在线的程序序代码为数数众多，如如果要逐条条人工检视视，绝对力力有未逮，且且现有的开开发能力用用于全力开开发新的服服务与流程程改善，无无法投入足足够的资源源用于检测测旧的系统统漏洞。经常性的发发生信息安安全事件，会会让团队疲疲

27、于奔命。也花费大大量的资源源来进行调调查与修复复。更不用用说后续延延伸出来的的商誉损失失、法律责责任、甚至至诉讼与赔赔偿事宜。2网站的运营营者往往都都在网站遭遭受入侵与与恶意攻击击后通过外界反反应才知道道当黑客利用用时下Weeb APP的攻击手手法，如CCrosss Sitte Sccriptt或SQL Injeectioon等方式式攻击网站站，而网站站又刚好有有未知的漏漏洞被利用用，那么不不仅缺乏适适当的机制制可以立即即发现攻击击，更无法法达到防御御的效果。3法律责任的的冲击企事业单位位有责任妥妥善保管的的客户个人人信息，若若因网站被被入侵而导导致客户信信息外泄，则则有可能必必须面对法法律责

28、任的的问题。4敏感信息显显示于网页页接口时，需需进行屏蔽蔽，避免会会员信息外外泄针对如信用用卡卡号或或身分证字字号等敏感感信息，如如果需要在在网页中显显示响应给给使用者，则则需要进行行屏蔽，将将中间字符符内容取代代为x或*等符号，避避免使用者者的计算机机存在木马马或传输过过程被窃听听，而造成成信息外泄泄。然而现有的的系统已经经运作多年年，需要逐逐一检视并并且修改，需需花费大量量的资源与与时间。5传统IDSS/IPSS与防火墙墙，挡不住住也看不懂懂 Webb攻击原本期望通通过IDSS/IPSS与防火墙墙来抵御黑黑客的攻击击。然而现现在的黑客客，再硬碰硬的进防防火墙、入入侵侦测系系统或者修修补程序

29、可可以阻挡的的网络型型攻击或或者作业业平台的攻攻击。目目前超过 70% 成功的黑黑客攻击，是针对 Webb 应用程程序的弱弱点而是是操作系统统的弱点，而而且循着合合法身份从从Web 应用系统统管道进入入，因此原原先的防火火墙与入侵侵侦测系统统也束手无无策。6SSL加密密后的流量量，无法从从网络端实实施入侵检检查与过滤滤因为运营的的是电子商商务服务，因因此为避免免使用者进进行交易的的过程中信信息被从中中窃听，而而实施HTTTPS/SSL加加密，保障障传输过程程的安全。然而，这也也造成部署署网页防入入侵机制时时的限制与与困扰。因因为如果使使用的使网网络型的WWeb AAppliicatiion F

30、Firewwall机机制，SSSL加密后后的流量就就会无法进进行检查，或或者要改变变现有SSLL加密的处处理流程。3.2 防防护计划3.2.11 开发流程程中加入安安全性验证证项目在软件开发发流程中，拟拟规划一套套系统化的的安全设计计流程，确确保网络应应用程序的的安全。系系统发展生生命周期(Systtems Deveelopmment Lifee Cyccle,简简称SDLLC)是大大部分信息息应用系统统设计的参参考模型，即即一套应用用程序软件件的发展需需要历经分析、设计、建构构、测测试、系统维护护至下一一次的需求求产生，这这一周期就就是系统发发展生命周周期。安全全系统发展展生命周期期(Sec

31、curitty Syystemms Deeveloopmennt Liife CCyclee )便是是泛指在软软件开发生生命周期中中，应考虑虑的信息安安全措施及及注意事项项。3.2.22 对网站程程序的源代代码进行弱弱点检测建议导入自自动化网页页应用程序序源代码安安全检测体体系。不可否认的的，早期所所开发的应应用程序，皆皆以功能能性着眼眼，欠缺安全性的安全认认识与危机机意识，因因此在程序序编写中较较少考虑到到安全性性的问题题，因此不不小心便导导致所开发发的 Weeb 应用用系统漏洞洞百出，导导致 SQQL Innjecttion、缓冲区溢溢出（Buufferr-Oveerfloow）、跨跨网站

32、脚本本攻击（CCrosss-Sitte Sccriptting）等等等 Weeb攻击。信息安全全的相关领领域知识包包含操作作系统、开发工工具、网站平台台、程程序逻辑、程序序编译、程序执执行以及及种种通讯讯协议原理理，并非程程序开发人人员的专业业领域，因因此如何快快速有效地地针对单位位内现有与与未来开发发建设的 Web 应用系统统进行定期期或者不定定期检验其其可能的源源代码弱点点与漏洞，需需要一套有有系统有效效率的WWeb 应应用系统原原代码自动动检测系统统，有助助于提早发发现并评估估风险，提提早进行源源代码改写写与修补动动作。Web 应应用系统原原代码自动动检测系统统所提供的的服务特色色为：针

33、对程序源源代码检测测结果与报报告，提供供程序源代代码弱点点深度分析析与弱弱点严重性性分析等等风险高低低评估计分分与图表，协协助程序开开发人员规规划安排程程序源代码码弱点安全全问题修复复的优先级级。清楚标明程程序源代码码弱点安全全问题的结结果与源头头，协助开开发与项目目管理人员员了解程序序源代码弱弱点安全问问题之发生生程序行数数与弱点来来源，必须须包含下列列信息：可与本案Web 应用系统统安全防火火墙的安安全访问策策略联动，解解决复杂的的应用防火火墙配置问问题。3.2.33 导入网页页应用程序序漏洞列表表作为审计计项目开放网页应应用程序安安全计划(Openn Webb Appplicaation

34、n Seccuritty Prrojecct, 以以下简称OOWASPP)致力协协助企业和和政府机关关(构)能够理解解和提高网网页应用程程序的安全全性，并关关注最严重重的漏洞。OWASSP于2010年年最新公布布的十大信信息安全漏漏洞(OWWASP Top 10)是一个个需要立刻刻处理的应应用程序安安全漏洞。这些安全全漏洞包括括：Crosss-Sitte Sccriptting（跨跨站脚本攻攻击）。网网页应用程程序直接将将来自使用用者的执行行请求送回回浏览器执执行，使得得攻击者可可撷取使用用者的Coookiee或Sesssion数数据而能直直接登入成成使用者。Injecctionn Flaaw

35、：网页页应用程序序执行来自自外部包括括数据库在在内的恶意意指令，SSQL注入入,命令注入入等攻击包包括在内。Malicciouss Fille Exxecuttion：网页应用用程序引入入来自外部部的恶意档档案并执行行档案内容容。Inseccure Direect OObjecct Reefereence：攻击者利利用网页应应用程序本本身的档案案读取功能能任意存取取档案或重重要数据，案案例包括hhttp:/exxamplle/reead.pphp?ffile=./././././././c:boott.iniiCrosss-Sitte Reequesst Foorgerry (CCSRF):

36、已登登入网页应应用程序的的合法使用用者执行到到恶意的HHTTP指指令，但网网页应用程程序却当成成合法需求求处理，使使得恶意指指令被正常常执行，案案例包括社社交网站分分享的 QQuickkTimee、Flassh影片中中藏有恶意意的HTTTP请求。Inforrmatiion LLeakaage aand IImprooper Erroor Haandliing：网网页应用程程序的执行行错误讯息息包含敏感感数据，案案例包括:系统档案案路径Brokeen Auuthennticaationn andd Sesssionn Mannagemment：网页应用用程序中自自行编写的的身份验证证相关功能能有

37、缺陷。Inseccure Crypptogrraphiic Sttoragge：网页页应用程序序没有对敏敏感性数据据使用加密密、使用较较弱的加密密算法或将将密钥储存存在容易被被取得之处处。Inseccure Commmuniccatioon：没有有在传送敏敏感性数据据时使用HHTTPSS或其它加加密方式。Failuure tto Reestriict UURL AAccesss：某些些网页因为为没有权限限控制，使使得攻击者者可通过网网址直接存存取，案例例包括允许许直接修改改Wikii或Blogg网页内容容。归咎这些安安全漏洞的的根本原因因，乃在于于网页应用用程序本身身存在安全全漏洞，忽忽略应该

38、注注意的函数数处理与防防范来自使使用者的恶恶意攻击。倘若这些些安全漏洞洞在开发与与部署过程程没有被检检测出来，则则日后就会会发生信息息安全事件件。利用Web 应用系统统原代码自自动检测系系统所提供的的检测服务务可事先发发现网站所所潜藏的上上述安全漏漏洞。3.2.44 部署Weeb应用防防火墙进行行防御导入网页应应用程序防防火墙系统统的好处在在于：网站源代码码检测阶段段：在修补源代代码中存在在的安全隐隐患之前（可可能因为开开发团队变变更、服务务无法暂停停等原因暂暂时无法对对安全隐患患进行修补补），则依依靠网页应应用程序防防火墙系统统提供Weeb应用安安全防护，从从而保证网网站应用的的安全性；网站

39、安全加加固阶段：可以将网页页应用程序序源代码安安全检测系系统检测出出的安全问问题自动直直接生成网网页应用程程序防火墙墙系统所需需使用的安安全防护规规则（Acccesss Pollicy），使使得网页应应用程序源源代码安全全检测系统统与网页应应用程序防防火墙系统统产生互相相联动，从从而做到网网站应用安安全的自动动化防护。通过网页应应用程序防防火墙的部部署，让访访问者对网网站的请求求，以及网网站预计响响应给访问问者的显示示网页，都都经过WWeb 应应用系统安安全防火墙墙全程检检查与检视视其安全全性、合法性与正确确性，如如有任何非法行为为，自动动阻断非非法行为或者重重置合法与与合适的响响应，让让使用

40、者者与系系统管理者者都可以以继续安安心的运运作。Web 应用系统统安全防火火墙部署署架构如下下图：3.3WWEB应用用防火墙功功能3.3.11 集中管控控功能同一解决方方案除了提提供硬件式式应用防护护设备外，可可依实际需需求选择将将软件式应应用防火墙墙系统安装装于Webb服务器主主机上，不不需要调整整网络与系系统架构。支持【集中中丛集控管管(Cluusterr Mannagemment)】方式，通通过统一集集中管理接接口，同时时管理与安安全防护规规则部署多多台Weeb 应用用系统软件件式防火墙墙系统。支持集群内内各台WWeb 应应用系统软软件式防火火墙系统运行状态态，如有异异常，立即即显示。具

41、备多管理理者、多网网站群组的的权限管理理能力，提提供让特定定管理者管管理特定网网站群组安安全防护规规则的能力力内建Weeb 应用用系统软件件式防火墙墙系统纪纪录查询与与查看工具具，方便实实时分析，提提供多重条条件过滤查查询功能，无无须额外购购置审计报报表分析工工具。提供符合法法规遵循角角度需求的的审计纪录录，详细纪纪录系统的的操作与变变更，方便便审计人员员查验。提供统计报报表能力，提提供多种预预设统计图图表，支持持自定义设设定分析范范围与时间间区段，产产生满足单单位需求与与法规遵循循要求的报报表。提供直接过过滤防护 SSL加加密网页的的机制，安安装部署时时，不需要要更改 SSSL 密密钥存放位

42、位置，避免免密钥管理理的额外问问题。3.3.22 防护功能可防御下列列19大类(含)以上网页页攻击型态态，超过110,0000种(含)以上网页页攻击方法法。支持下列OOWASPP Topp 10十十大网页应应用程序弱弱点的攻击击模式。提供输入入验证(IInputt Vallidattion)处理机机制，提供供黑名单或或者白名单单方式验证证使用者输输入内容数数据的类型型、范围、格式与长长度。提供客户户端浏览器器存取权限限的管理理能力，可可以限制存存取网站的的客户端IIP地址、使用的浏浏览器版本本、网页开开放存取的的时间范围围 以及SSLL加密的强强度等等存存取条件。提供网页页存取身份份验证(AA

43、utheenticcatioon)处处理机制，让让缺乏账号号密码等权权限管理的的网页具备备身份验证证能力。提供网页页存取安全全会话(SSecurre Seessioon)处处理机制，保保护客户端端浏览器CCookiie的安全全使用，降降低 Coookiee 外泄的的机率。提供网页页上传下载载双向过滤滤保护功功能，通过过关键词过过滤网站恶恶意内容或或不当文字字，或是防防止机敏数数据外泄。针对网页敏敏感信息，例例如：信用用卡信息、身份证号号等隐私数数据，提供供自动屏屏蔽(Auuto MMask/XXX)功能机机制，避免免单位机密密数据或者者个人隐私私外泄。提供反钓钓鱼(Annti-PPhishhi

44、ng)功能，可可通过黑、白或灰名名单方式限限制钓鱼网网站引用主主网站的内内容。通过 Reefereence Checckingg 强制网网站的使用用方式，防防止网站内内容遭受未未经合法授授权的强强迫浏览或者盗盗连。内建安全全防护规则则设定向向导，根据据实际需求求与环境提提供弹性与与自定义安安全防护规规则的设定定功能。提供安全防防护规则集集的版本本管理机机制，并且且支持版版本回溯(Rolllbackk)功能能。支持人工智智能安全防防护规则学习模式式，提供供网站系统统安全防护护规则设定定的建议。支持下列操操作系统：Winddows、Linuux 与 Uniix-Liike 作作业系统可与Weeb

45、应用用系统源代代码自动检检测系统所生成的的安全防护规规则联动。3.4 预预期效益通过Weeb应用系系统安全防防火墙与与网站源源代码弱点点检测的的部署与导导入，预期期达到的效效益与目标标：。对在线运作作的网站应应用程序进进行防护，降降低被黑风风险：通过网页应应用程序防防火墙的部部署，让使使用者对网网站的请求求，以及网网站预计响响应给使用用者的显示示网页，都都经过WWeb 应应用系统安安全防火墙墙全程检检查与检视视其安全全性、合法性与正确确性，如如有任何非法行为为，自动动阻断非非法行为或者重重置合法与与合适的响响应，让让使用者者与系系统管理者者都可以以继续安安心的运运作。在网站程序序漏洞被黑黑客利

46、用前前，即可进进行修补，以以治本方式式根除漏洞洞：利用网站站程序的源源代码弱点点检测系统统，可例例行对在线线运作的网网站程序源源代码进行行扫描与检检测，以清清楚存在哪哪些已知的的弱点与漏漏洞，并计计划性的依依据严重度度进行修补补改写，以以根除这些些漏洞，提提高网站的的安全性。培养开发团团队编写高高安全性的的网页程序序代码与安安全网站能能力：藉由网站源源代码的扫扫描报告解解读与程序序代码修正正程序。让让开发团队队的程序开开发人员，熟熟悉高安全全性的网页页程序的编编写方法，进进而养成良良好的编写写与测试习习惯。四、内容分分发网络解解决方案4.1 内内容分发网网络简介内容分发网网络（CDDN, CC

47、onteent DDistrributtion Netwwork）服务=智能的网站镜像+页面缓存+流量导流。CDN所做做的，就是是为互联网网上的内容容提供EMMS 服务务，在最正正确的时间间用最正确确的手段，把把最正确的的内容，推推送到最正正确的地点点（访问客户），能能够帮助用用户解决分分布式存储储、负载均均衡、网络络请求的重重定向和网网站内容管管理等问题题。其目的是是通过在现现有的Innternnet 中中增加一层层新的网络络架构，将将网站的内内容发布到到最接近用用户的网络络“边缘”，使网站访访问用户可可以就近取取得所需的的网页内容，解解决 Innternnet网络络拥塞状况况、提高用用户访

48、问网网站的响应应速度。从从技术全面面解决由于于网络带宽宽小、用户户访问量大大、网点分分布不均而而产生的用用户访问网网站响应速速度慢的根根本原因。CDN 网网络营造了了一个网络络运营环境境，不仅能能够提供以以网络加速速为基础的的系列服务务，包括针针对网页、流媒体、文件传输输、文件播播放等内容容提供加速速，还能提提供一些相相关的增值值服务以更更有效地满满足客户在在这些应用用方面的需需求。4.2 CDN服服务功能众所周知，互互联网的访访问速度取取决于众多多的因素，包包括Intterneet网络传传输质量、国内南北北互联互通问题题、网站服服务器性能能、网站出出口带宽、网页程架架构和网页页内容类型型等等

49、。CCDN网页页加速产品品采用全球球智能域名名解析系统统和高速缓缓存等专业业技术，通通过遍布全全球的CDDN 网络络把网页内内容分发到到离网民最最近的边缘缘节点上，绕绕过国内以以及跨国的的传输拥塞塞影响，突突破源站出出口带宽和和性能屏障障，访问用用户可以从从最适合的的节点上获获得所需的的内容，从从而提高网网站的访问问速度和质质量。CDN 网页加速速产品支持持SSL 加密，网网页压缩，防防盗链等功功能：网页压缩功功能：支持网站本本身的压缩缩功能，同同时能够帮帮助未实现现压缩功能能的网站提提供压缩服服务，通过过压缩数据据大小的改改变，减少少数据传输输的时间，节节省传输的的带宽，使使页面显示示速度自

50、然然提高。防盗链功能能：基于时间或或者用户IIP 对URL 进行加密密和验证，帮帮助网站防防止盗链现现象。地域化内容容服务功能能：根据访问用用户的地域域不同，将将用户的访访问请求分分配到相应应的CDNN 节点上上进行响应应，从而为为来自不同同地域用户户提供针对对该地域投投放的特色色内容，使使得网站内内容更加有有针对性，实实现个性化化服务。4.3CCDN服务务特点安全的分发发内容CDN 节节点前端都都有可以抵抵御几十万万级别DDDoS 攻击的的设备，智智能的全域域负载均衡衡系统会根根据攻击路路线改变用用户访问目目的地，保保障用户访访问不受攻攻击影响。在整个分分发网络中中除了网络络层有加密密校验机

51、制制，分发的的文件会携携带特定的的加密码，在在传送到最最终目的地地后进行校校验完毕后后确认文件件在传输过过程中没有有缺失和修修改，返回回给中央分分发服务系系统安全到到达的信息息，且服务务器采用专专有OS 架构，即即使遭到攻攻击黑客也也无法篡改改用户内容容，保证分分发内容的的安全性和和完整性。完善的日志志分析完善的日志志分析功能能，可以根根据用户个个性需求，制制定多重样样式的日志志分析报告告，包括用用户访问行行为分析、用户来源源地分析、网站点击击率分析等等。并可以以提供自动动报表生成成。网站流量及及时报告提供在线的的浏览访问问量接口，使使用户随时时了解网站站运转状况况。网站异常告告警当网站发生生

52、非正常访访问量激增增或网站源源不可达时时，会及时时发送EMMAIL到到用户信箱箱告知状况况并及时电电话通知，使使得网站安安全可靠。网站镜像可以提供用用户网站异异地镜像功功能，保证证源站发生生状况后，可可以借用CCDN节点点上的网站站为用户提提供暂时的的页面访问问服务。网站页面访访问性能优优化降低源站对对高带宽的的需求，并并减低源站站服务器的的访问压力力。五、负载均均衡解决方方案CDN服务务为访问用用户提供更更快的网站站访问速度度，并降低低源站的访访问压力。而源站本本地则可以以采用服务务器负载均均衡（SLLB, SServeer Looad BBalannce）技技术方案进进一步降低低源站的访访

53、问中断风风险。更完完善的负载载均衡方案案是采用广广域负载均均衡（GLLSB, Globbal SServeer Looad BBalannce）技技术为应用用网站提供供不同地域域的主用/备用用站点架构，5.1 服服务器负载载均衡如上图示，假假设在Innternnet 上上提供两个个服务，分分别为Woorld Widee Webb 服务(1992.1668.100.1)与与E-coommerrce 服服务(1992.1668.100.2)，而而今我们在在防火墙与与交换机之之间加入了了SLB，此此设备在OOSI/IISO 七七层架构中中属于三到到七层的设设备，因此此可以整合合不同平台台、新旧不不同

54、的服务务器，另外外、服务器器也由一台台增加至三三台，我们们称为服务务器农场(Servver FFarm), 并且且将原本属属于服务器器的IP 地址移到到SLB 设备上，对对使用者而而言依然是是存取此IIP 上的的服务，没没有改变。因此，必必须指定另另外一个网网段的IPP 给原来来的服务器器使用。此此时，SLLB 设备备除对外提提供服务，对对内做到下下列的功能能： 网络地址转转换(Neetworrk Adddresss Trransllatioon, NNAT)：利用此技术术将内部的的虚拟IPP 对应到到外部的真真实IP(视提供的的服务而定定，在此例例中有二个个IP 需做做NAT)，如此一一来便

55、可以以解决用一一个IP 来代替许许多不同的的IP 的问问题。有效分配负负载流量：如何将由IInterrnet 上的流量量分配到后后端的服务务器上，其其中包含了了那一台服服务器该负负责较多的的工作，或或是一视同同仁的照次次序分配而而不考虑效效能等因素素，我们称称为负载平平衡模式(Loadd Ballancee Modde)。Healtth chheck 机制：为了使SLLB 设备备可以有效效掌控后端端服务器的的状况，必必须定期自自动检查服服务器的运运作情形，以以免发生将将使用者数数据请求引引导至发生生故障或是是过于忙碌碌的服务器器上的情形形。Fail-Overr 机制：一旦SLBB 架构建建置完

56、成，SLB 设备便成为非常重要的一个网络节点。一旦发生故障，整个服务便会中断，因此备援是非常重要的课题，理想的备援机制是在完全不影响使用者的前提下完成取代故障设备并提供服务的工作，一般我们也称之为高可靠度(High Availability)。5.2 广广域负载均均衡广域负载均均衡（GSSLB，GGlobaal Seerverr Loaad Baalancce）是一一种将SLLB的概念念扩展到广广域范围的的技术，与与SLB在在一个单独独的节点上上为一组服服务器提供供负载均衡衡服务不同同，GSLLB提供了了一种对多多个不同地域的的服务器群群(多个节节点)提供供负载均衡衡的服务，在在实现上可可以分

57、为两两个方面，一一方面是如如何实现将将用户的请请求指向到到选定的节节点上，一一方面是研研究如何确确定最佳的的站点。GGSLB服服务可以对对分布在不不同地域的的多个源站站服务器群群提供广域域负载均衡衡服务，采采用DNSS解析的方方式来实现现用户访问问重定向，同同时采用智智能策略确确定最佳源源站点，提提高了服务务的可用性性和系统性性能。原理说明：广域负载载均衡在DDNS解析析阶段实现现：1）客户端端针对一个个域名（DDomaiin）发送送一个DNNS请求。2）广域负负载均衡由由一系列算算法返回一一个最优ssite的的IP（延延时最小、距离最近近等）。3）客户端端向此IPP发起连接接请求。4）当客户

58、户端向某IIP发起访访问连接请请求时，执执行（本地地）服务器器负载均衡衡（SLBB），负载均衡衡设备根据据最优算法法选择服务务器和相应应的服务转转发请求，如如上图所示。5.3 关关键功能和和特点Web交换换完全支持UURL交换换，根据UURL和HHTTP信信息分配流流量。每个个 URLL 都可以以重定向到到某服务器器，或在多多个服务器器之间进行行负载均衡衡，从而提提供优化的的Web交换换性能。根根据URLL文本中包包含的信息息，可以保保持客户持持续性，从从而保证内内容的个性性化。通过负载均均衡优化服服务器资源源支持的负载载均衡演算算法至少包包含，轮询 (CCycliic)最少用户数数 (Lee

59、ast userrs)最少数据包包数 (LLeastt paccketss)最少字节数数 (Leeast bytees)最快回应时时间 (FFasteed Reesponnse TTime) SNMP定定制 (SSNMP custtomizzed)健康状况检检查可以监视服服务器在IIP、TCCP、UDDP、应用用和内容等等所有协议议层上的工工作状态。如果发现现故障，访访问用户即即被透明地地重定向到到正常工作作的服务器器上。完全的容错错与冗余双机备援架架构方式提提供设备间间的完全容容错，以确确保网络最最大的可用用性。两个个设备通过过网络相互互检查各自自的工作状状态，为其其所管理的的应用保障障完全

60、的网网络可用性性。它们可可工作于主用-备备用模式或主用-主主用模式，在在主用-主主用模式下，因因为两个设设备都处于于工作状态态，从而最最大限度地地保护了投投资。并且且所有的访访问会话信信息都可在在设备间进进行镜像，从从而提供透透明的冗余余和完全的的容错，确确保在任何何时候用户户都可以获获得网站访访问的最佳佳服务。通过正常退退出服务保保证稳定运运行当需要进行行服务器升升级或系统统维护时，负载均衡设备可保证稳定的服务器退出服务以避免网站访问中断。当选定某台服务器要退出负载均衡服务后，新的访问连接将不会被指向该服务器。应用安全DDoS保保护：识别和保保护应用基基础架构不不受DoSS/DDooS攻击。