360安域Web应用云安全管理系统
——技术白皮书
| ||||||
█ 版权声明 |
本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，所有版权均属360企业安全集团所有，受到有关产权及版权法保护。任何个人、机构未经360企业安全集团的书面授权许可，不得以任何方式复制或引用本文的任何片断。 |
█ 版本变更记录 | ||||||||||||||||
| ||||||||||||||||
█ 适用性说明 |
本模板用于撰写360企业安全集团中各种正式文件，包括技术手册、标书、白皮书、会议通知、公司制度等文档使用。 |
第一章引言
近年来，我国互联网市场规模和用户数量高速增长，随着云计算技术迅速兴起、信息化的普及，越来越多的企业走进“互联网+”，大量的金融、游戏、电子商务、电子政务、OA系统等网站业务陆续上线。但与此同时，我国的网站仍然存在较多的漏洞风险，Web服务日益成为网络攻击的重点目标，DNS攻击、暴力破解、零日漏洞利用、APT攻击依然让网站弱不禁风。传统的Web安全解决方案通过WAF等安全设备的堆叠来进行安全防护，这已经无法解决企业面临的网站安全风险。
随着Web应用的蓬勃发展，网站面临的安全问题也层出不穷，主要有如下几个方面：
网站漏洞的风险
漏洞攻击依然是Web攻击最常用的攻击手段，一方面网站编写人员本身缺少安全意识，代码校验性差，极易被渗透；一方面Web服务器存在安全漏洞，网站由于承载企业关键业务，补丁修复存在时间差，出现防护空窗期，从而被黑客恶意渗透。针对零日漏洞的攻击使得传统的安全设备全部失效，企业一旦应急响应不及时，将带来灾难性后果。
拒绝服务攻击
攻击者不断分析挖掘出更多的可以被利用的网络协议来躲避安全设备检测，如tcp-flood、udp-flood、icmp-flood、http-flood，同时增加攻击威力，突破防护设施。大量肉鸡上的攻击脚本将成为发起攻击的主要工具，随着攻防对抗的日趋激烈，单个攻击事件的峰值可能突破1Tbps，传统的流量清洗设备已经无法承担如此巨大流量的清洗工作。
域名的安全问题
针对域名系统的攻击呈现频繁态势，攻击者对网站域名服务器进行拒绝服务攻击，DNS无法解析正常请求，从而造成拒绝服务，这种攻击方式成功的绕过了传统的安全防护体系，用户本地构建的防御体系无论多么固若金汤，也无法对域名服务器进行任何的安全防护。
应急响应速度慢
当攻击威胁发生时，传统安全设备由于没有态势感知能力，无法进行提前预警。安全防护时依靠特征库进行升级完成，在更新完成前造成防护空窗期，攻击发生时无法告警。更新完成后，由于应用层漏洞规则的复杂性，对运维人员更新动作带来困难，增加运维难度。
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论