金电网安网站防护系统课件

网站防护系统

内容目录风险分析三网站防护系统四.网站安全现状二.应用部署及案例五.公司介绍一.成立于2000年11月是专业从事信息安全的高科技公司集科研、产品开发与生产、安全集成、专业服务为一体从事安全专业的博士,硕士等高级人才在公司占很大比例公司背景内容目录风险分析三网站防护系统四.网站安全现状二.应用部署及案例五.公司介绍一.网站安全现状数据来源:CNCERT网站安全现状数据来源:CNCERT网站安全现状内容目录风险分析三网站防护系统四.网站安全现状二.应用部署方案五.公司介绍一.事件回放2008年8月28日，一名黑客捏造了一篇清华大学校长顾秉林接受采访的新闻报道，批评现行教育制度。

风险来源利用系统漏洞，获取系统权限内部人员的非法操作利用病毒、木马、间谍软件等恶意代码DOS拒绝服务攻击Web服务器利用网页漏洞进行SQL注入产生的后果发布内容被篡改泄密服务异常终止政治层面影响组织形象受损经济利益受损数据受损网站安全需求小结应用方面：防范SQL注入、跨站脚本攻击网络方面：防范DOS、DDOS、网络扫描系统方面：杜绝病毒、木马等恶意代码威胁文件方面：严格控制页面文件、配置文件读写权限管理方面：加强内部人员操作管理，细分权限与职责内容目录风险分析三网站防护系统四.网站安全现状二.应用部署及案例五.公司介绍一.功能结构恶意代码主动防御WAF静态网页防篡改软件安装控制装载模块一致性校验系统部件一致性校验软件运行控制宏执行控制脚本运行控制网页代码控制静态网页写保护控制静态网页管理配置文件写保护控制防SQL注入防跨站脚本攻击抗网络攻击双机热备网站防护系统恶意代码主动防御

0层

1层

2层

3层

4层

5层

6层加电BIOS自检主引导区OS装载器OS内核Init进程可信应用可信验证模块可信验证可信验证可信验证可信验证主动防御模块加载Init进程可信验证信任链传递Createprocess(…)Loadlibrary(…)计算加载文件的HASH值Createprocess(…)Loadlibrary(…)判断：该HASH值在TSL中是否有匹配？记录结果Y

N恶意代码主动防御恶意代码主动防御

非可信的进程在执行时，会被拒绝执行，并记录下来。可由管理员选择添加为可信程序。恶意代码主动防御对于可信软件，可通过网站保护配置工具进行安装，其所释放的exe、dll、com文件都认为是可信的。

用户进程主体(Subject)

决策实施打开（Open）系统调用函数写（Write）系统调用函数删除（Unlink）系统调用函数

文件、目录对象(Object)安全决策受控目录1受控目录2受控目录3访问请求

ACL（访问控制信息）访问决策请求

安全决策

查询授权信息

获得对象信息

允许或拒绝请求

静态页面防篡改静态页面防篡改

受控目录的添加，可依照需求进行添加保护。受控目录中的文件、子目录都将被有效的保护起来，防止随意篡改。静态页面防篡改

受控目录中若需要有子目录允许任意添加、修改、删除文件，则可通过非受控目录选项来进行操作。WEBWALL功能：防ＳＱＬ语句注入防跨站脚本攻击抗网络攻击防黑客扫描性能：T-1000（低端）T-2000（中端）T-3000（高端）WEBWALLB/S架构方式管理配置Https保证配置通讯安全WEBWALL防SQL注入可从特征库中选择需要过滤的字段WEBWALL跨站脚本攻击，可保护网站避免成为木马网站的跳板WEBWALL可通过设置连接速率、连接数来达到抗网络攻击（如DOS攻击）的目的，具体参数需根据网站服务的正常访问业务数据设置。

WEBWALL

SSL终止功能，客户端将采用WEBWALL自身所带的SSL功能，在实现WEB应用加密的同时，进行内容过滤。并支持证书认证功能。

产品对比产品名称金电网安网站防护系统主流网页防篡改产品产品定位针对网站系统区域边界、传输路径、应用平台、应用数据的综合防护系统针对网站系统发布内容的保护系统构成软硬件相结合纯软件设计理念“积极防御、综合防范”“篡改后恢复，攻击后防御”控制范围网站区域边界、传输路径、网站操作系统、网站应用系统、网站应用数据。网站应用系统、网站应用数据。防护能力抗网络攻击；恶意代码主动防御；SSL终止；抗SQL注入攻击；防跨站脚本攻击；文件保护，保障应用数据（静态页面、配置文件）免受恶意篡改。在每一个网页流出时进行完整性检查，对于被篡改的网页进行实时访问阻断，并予以报警和使用备份恢复。系统负载采用专用硬件平台处理SQL、XSS等攻击，服务器无负载。借用服务器自身资源处理SQL、XSS等攻击。WEB系统负载过高。产品部署多硬件/多软件灵活部署。每台服务器需要一个license。内容目录风险分析三网站防护系统四.网站安全现状二.应用部署及案例五.公司介绍一.

网站防护系统部署方案网站防护系统部署方案网站防护系统成功案例一、国家部委、直属机构中国人民银行总行国家发展与改革委员会国家劳动部国家博物馆国家电网国家电力监督委员会国家海洋局国家质检总局国家烟草专卖局长江水利委员会中邮创业基金管理有限公司国家计算机应急处理中心国网信息通信有限公司

二、部分省市企业，政府用户（一）北京市北京市宣武区政府北京市建设委员会北京市交管局北京联合大学（二）天津市天津海委天津塘沽区信息中心天津东丽区政府天津西青广电渤海证券（三）河北省河北省地税局河北省图书馆河北省人大河北省政府河北省财政厅河北省科技厅河北省建设厅邯郸市政府河北省工商局成功案例（四）上海市上海水务局长信基金上海测评认证中心上海市渔业管理局（五）浙江省浙江省财政厅浙江省建设厅浙江省公安厅义乌365便民服务中心管委会服务处义乌党政机关信息中心宁波东钱湖管委会温岭市政府宁波市出入境检验局浙江萧山机场杭州拱墅区政府（六）江苏省江苏省工