...wd......wd......wd...網(wǎng)站系統(tǒng)安全防護(hù)體系建設(shè)方案目錄一、需求說明2二、網(wǎng)頁防篡改解決方案42.1技術(shù)原理42.2部署構(gòu)造52.3系統(tǒng)組成62.4集群與允余部署82.5方案特點92.5.1篡改檢測和恢復(fù)92.5.2自動發(fā)布和同步9三、WEB應(yīng)用防護(hù)解決方案113.1當(dāng)前安全風(fēng)險分析113.2防護(hù)方案123.2.1開發(fā)流程中參加安全性驗證工程123.2.2對網(wǎng)站程序的源代碼進(jìn)展弱點檢測133.2.3導(dǎo)入網(wǎng)頁應(yīng)用程序漏洞列表作為審計工程133.2.4部署Web應(yīng)用防火墻進(jìn)展防御143.3WEB應(yīng)用防火墻功能153.3.1集中管控功能153.3.2防護(hù)功能153.4預(yù)期效益16四、內(nèi)容分發(fā)網(wǎng)絡(luò)解決方案184.1內(nèi)容分發(fā)網(wǎng)絡(luò)簡介184.2CDN服務(wù)功能184.3CDN服務(wù)特點20五、負(fù)載均衡解決方案215.2廣域負(fù)載均衡235.3關(guān)鍵功能和特點24六、應(yīng)急響應(yīng)服務(wù)體系266.1事件分類與分級266.1.1事件分類266.1.2事件分級266.1.3預(yù)警服務(wù)事件嚴(yán)重等級276.2應(yīng)急響應(yīng)服務(wù)體系28一、需求說明針對Web應(yīng)用防護(hù)安全需能實現(xiàn)以下功能：一、針對網(wǎng)站主頁惡意篡改的監(jiān)控，防護(hù)和快速恢復(fù)：〔1〕支持多種保護(hù)模式，防止靜態(tài)和動態(tài)網(wǎng)頁內(nèi)容被非法篡改?！?〕能夠防止主頁防護(hù)功能被惡意攻擊者非法終止?！?〕具備核心內(nèi)嵌技術(shù)，能實現(xiàn)高效快速實現(xiàn)大規(guī)模的網(wǎng)頁攻擊防護(hù)。〔4〕支持實時檢測和快速恢復(fù)功能?！?〕支持多服務(wù)器、多站點的主頁防護(hù)〔6〕支持對常見的多種網(wǎng)頁文件類型的保護(hù)?！?〕支持網(wǎng)頁快照功能，根據(jù)需要即時提供快照頁面，以滿足客戶端的訪問。二、對Web網(wǎng)站進(jìn)展多層次檢測分析與應(yīng)用防護(hù)：〔1〕有效保護(hù)網(wǎng)站靜動態(tài)網(wǎng)頁以及后臺DB信息，實現(xiàn)多方位攻擊防護(hù)?！?〕 靈活的策略設(shè)置，能夠針對各個WEB應(yīng)用的特點，設(shè)置個性化的防護(hù)策略。〔3〕不反射保護(hù)網(wǎng)站〔或WEB應(yīng)用〕程序代碼防止受到各種攻擊〔如SQL注入，跨站腳本，釣魚攻擊等〕和未知攻擊；并能限制未授權(quán)用戶透過網(wǎng)站訪問數(shù)據(jù)中心，防止入侵者的通信流程?！?〕能夠根據(jù)操作系統(tǒng)、應(yīng)用平臺及評估滲透工具等特征，形成完備的特征庫。綜合并發(fā)連接、并發(fā)請求及流量限制，阻斷攻擊探測或掃描；同時能夠?qū)υL問數(shù)據(jù)流進(jìn)展協(xié)議檢查，防止對WEB應(yīng)用的惡意信息獲取和特征收集。三、行為審計：〔1〕能夠記錄和有效統(tǒng)計用戶對WEB應(yīng)用資源的訪問，包括頁面點擊率、客戶對端地址、客戶端類型、訪問流量、訪問時間及搜索引擎關(guān)鍵字信息；并實現(xiàn)有效的用戶行為訪問統(tǒng)計分析，如基于區(qū)域的訪問統(tǒng)計，便于識別WEB應(yīng)用的訪問群體是否符合預(yù)期，為應(yīng)用優(yōu)化提供依據(jù)。〔2〕對攻擊來源和攻擊行為支持分類記錄探測，數(shù)據(jù)處理結(jié)果形成詳細(xì)的統(tǒng)計及排序，支持依據(jù)威脅的級別生成防護(hù)策略?！?〕提供多種審計報表，為系統(tǒng)的安全審計提供詳細(xì)的數(shù)據(jù)并作為可靠的決策依據(jù)。四、支持多種WEB應(yīng)用加速技術(shù)，減輕服務(wù)器負(fù)載：〔1〕支持URL級別的流量管理和負(fù)載均衡，提供對頁面訪問的并發(fā)連接與速率進(jìn)展控制，提高應(yīng)用系統(tǒng)在資源緊張時的可用性?！?〕具備訪問過載保護(hù)能力，緩解WEB服務(wù)因訪問量過大而造成的拒絕服務(wù)攻擊，提高系統(tǒng)承受應(yīng)用層DOS攻擊的服務(wù)能力?！?〕及時發(fā)現(xiàn)WEB應(yīng)用狀態(tài)異常，迅速反響應(yīng)用服務(wù)活動狀態(tài)，并選擇最優(yōu)秀服務(wù)連接?！?〕支持輪詢、最小負(fù)載、請求URL及加權(quán)等多種均衡策略，滿足各種應(yīng)用環(huán)境下的均衡要求?！?〕網(wǎng)站主頁和WEB應(yīng)用防護(hù)系統(tǒng)，需能分別以獨立方式及互備方式部署在不同機房。二、網(wǎng)頁防篡改解決方案Web網(wǎng)站和Web應(yīng)用系統(tǒng)除了采用常見的網(wǎng)絡(luò)安全設(shè)備進(jìn)展防護(hù)外，需要更有效的網(wǎng)頁防篡改系統(tǒng)來專門對頁面內(nèi)容進(jìn)展保護(hù)，防止來自外部或內(nèi)部的非授權(quán)人員對頁面和內(nèi)容進(jìn)展篡改和非法添加。2.1技術(shù)原理防篡改體系除了Web服務(wù)器外，另外需部署‘發(fā)布服務(wù)器’：發(fā)布服務(wù)器：位于內(nèi)網(wǎng)中，本身處在相對安全的環(huán)境中，其上部署發(fā)布服務(wù)器軟件。所有網(wǎng)頁的合法變更〔包括增加、修改、刪除、重命名〕都在發(fā)布服務(wù)器上進(jìn)展。發(fā)布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)頁文件完全一樣的目錄構(gòu)造，發(fā)布服務(wù)器上的任何文件/目錄的變化都會自動和立即地反映到Web服務(wù)器的相應(yīng)位置上，文件/目錄變更的方法可以是任意方式的〔例如：FTP、SFTP、RCP、NFS、文件共享等〕。網(wǎng)頁變更后，“發(fā)布服務(wù)器軟件〞將其同步到Web服務(wù)器上。Web服務(wù)器：位于Internet/DMZ中，本身處在不安全的環(huán)境中，其上部署Web服務(wù)器端防篡改模塊及內(nèi)容同步軟件模塊。防篡改系統(tǒng)的運行原理：防篡改對所有網(wǎng)頁元素〔包括靜態(tài)頁面、動態(tài)腳本、圖像文件、多媒體文件以及所有能以URL形式訪問的實體〕在發(fā)布時進(jìn)展128位密鑰的HMAC-MD5〔RFC2104〕計算，生成唯一的、不可逆轉(zhuǎn)的和不可偽造的數(shù)字水印。瀏覽者請求訪問任一網(wǎng)頁元素時，篡改檢測模塊〔作為Web服務(wù)器軟件的一局部〕讀出網(wǎng)頁元素的內(nèi)容重新計算數(shù)字水印，并與之前存儲的數(shù)字水印進(jìn)展比對，網(wǎng)頁元素的任何篡改都能夠被可靠地計算出來。防竊聽任何通信實體〔包括發(fā)布服務(wù)器和Web服務(wù)器和控制臺〕之間采用工業(yè)標(biāo)準(zhǔn)的SSL3.0/TLS1.0安全通訊協(xié)議〔RFC2246〕，確保網(wǎng)頁元素文件和數(shù)字水印數(shù)據(jù)流在通信過程中不被黑客竊取和分析。身份鑒別通信實體間進(jìn)展強身份鑒別。首先，Web服務(wù)器要確保上傳文件的發(fā)布服務(wù)器的身份真實性，不能承受偽造的發(fā)布服務(wù)器上傳的文件；其次，發(fā)布服務(wù)器要確保是在與Web服務(wù)器通信，確保發(fā)送的文件能夠到Web服務(wù)器上。因此，雙方彼此都進(jìn)了身份鑒別。亦即：發(fā)布服務(wù)器采用客戶端數(shù)字證書與Web服務(wù)器通訊，同時也驗證Web服務(wù)器數(shù)字證書的真實性。2.2部署構(gòu)造目前，大局部網(wǎng)站都使用內(nèi)容管理系統(tǒng)〔CMS〕來管理網(wǎng)頁產(chǎn)生的全過程，包括網(wǎng)頁的編輯、審核、簽發(fā)和合成等。在網(wǎng)站的網(wǎng)絡(luò)拓?fù)渲校l(fā)布服務(wù)器部署在原有的內(nèi)容管理系統(tǒng)和Web服務(wù)器之間，以以下列圖說明三者之間的關(guān)系。發(fā)布服務(wù)器上具有與Web服務(wù)器上的網(wǎng)站文件完全一樣的目錄構(gòu)造，任何文件/目錄的變化都會自動映射到Web服務(wù)器的相應(yīng)位置上。網(wǎng)頁的合法變更〔包括增加、修改、刪除、重命名〕都在發(fā)布服務(wù)器上進(jìn)展，變更的手段可以是任意方式的〔例如：FTP、SFTP、RCP、NFS、文件共享等〕。網(wǎng)頁變更后，發(fā)布服務(wù)器將其同步到Web服務(wù)器上。無論什么情況下，不允許直接變更Web服務(wù)器上的頁面文件。以以下列圖為防篡改系統(tǒng)的邏輯部署圖。假設(shè)無多余服務(wù)器可供使用，那么發(fā)布服務(wù)器可與內(nèi)容管理服務(wù)器建構(gòu)在同一服務(wù)器上：2.3系統(tǒng)組成從邏輯上，防篡改系統(tǒng)由頁面保護(hù)子系統(tǒng)、自動發(fā)布子系統(tǒng)和監(jiān)控管理子系統(tǒng)組成，三局部的關(guān)系如以以下列圖所示。發(fā)布服務(wù)器發(fā)布服務(wù)器自動發(fā)布子系統(tǒng)〔自動發(fā)布程序〕管理和監(jiān)控子系統(tǒng)內(nèi)容管理系統(tǒng)〔第三方軟件〕Web服務(wù)器Web服務(wù)器軟件〔第三方軟件〕頁面保護(hù)子系統(tǒng)〔應(yīng)用防護(hù)/篡改檢測〕自動發(fā)布子系統(tǒng)〔同步服務(wù)器〕頁面保護(hù)子系統(tǒng)頁面保護(hù)子系統(tǒng)是系統(tǒng)的核心，內(nèi)嵌在Web服務(wù)器軟件里〔即前述的核心內(nèi)嵌模塊〕，包含應(yīng)用防護(hù)模塊和篡改檢測模塊。應(yīng)用防護(hù)模塊對每個用戶的請求進(jìn)展安全性檢查：如果正常那么發(fā)送給Web服務(wù)器軟件；如果發(fā)現(xiàn)有攻擊特征碼，即刻中止此次請求并進(jìn)展報警。篡改檢測模塊對每個發(fā)送的網(wǎng)頁進(jìn)展即時的完整性檢查：如果網(wǎng)頁正常那么對外發(fā)送；如果被篡改那么阻斷對外發(fā)送，并依照一定策略進(jìn)展報警和恢復(fù)。對于Windows系統(tǒng)，頁面保護(hù)子系統(tǒng)還包括一個增強型事件觸發(fā)式檢測模塊，該模塊駐留于操作系統(tǒng)內(nèi)核，阻止大局部常規(guī)篡改手段。自動發(fā)布子系統(tǒng)自動發(fā)布子系統(tǒng)負(fù)責(zé)頁面的自動發(fā)布，由發(fā)送端和接收端組成：發(fā)送端位于發(fā)布服務(wù)器上，稱之為自動發(fā)布程序，它監(jiān)測到文件系統(tǒng)變化即進(jìn)展計算該文件水印，并進(jìn)展SSL發(fā)送；接收端位于Web服務(wù)器上，稱之為同步服務(wù)器，它接收到網(wǎng)頁和水印后，將網(wǎng)頁存放在文件系統(tǒng)中，將水印存放在安全數(shù)據(jù)庫里。所有合法網(wǎng)頁的增加、修改和刪除都通過自動發(fā)布子系統(tǒng)進(jìn)展。監(jiān)控管理子系統(tǒng)負(fù)責(zé)篡改后自動恢復(fù)，也提供系統(tǒng)管理員的使用界面。其功能包括：手工上傳、查看警告、檢測系統(tǒng)運行情況、修改配置、查看和處理日志等。日志記錄所有系統(tǒng)、發(fā)布、篡改檢測和自動恢復(fù)等信息，可以分類分日期查看，并根據(jù)管理員的要求實現(xiàn)轉(zhuǎn)儲。日志記錄還支持syslog，以實現(xiàn)與安全管理平臺的接口。2.4集群與允余部署Web站點運行的穩(wěn)定性是最關(guān)鍵的，防篡改系統(tǒng)支持所有部件的多機工作和熱備，可以有多臺安裝了防篡改模塊和同步服務(wù)軟件的Web服務(wù)器，也可以有兩發(fā)布服務(wù)器，防止單點失效問題，如以以下列圖所示。Web服務(wù)器多機和集群發(fā)布服務(wù)器支持1對多達(dá)64臺Web服務(wù)器的內(nèi)容同步，這些Web服務(wù)器的操作系統(tǒng)、Web服務(wù)器系統(tǒng)軟件、應(yīng)用腳本及網(wǎng)頁內(nèi)容既可以一樣也可以不同。本案提供的解決方案將可實現(xiàn)異種系統(tǒng)架構(gòu)下對不同內(nèi)容的統(tǒng)一管理。發(fā)布服務(wù)器雙機支持發(fā)布服務(wù)器雙機協(xié)同工作，即一臺主發(fā)布服務(wù)器和一臺熱備發(fā)布服務(wù)器。在這種部署情形下，內(nèi)容管理系統(tǒng)〔CMS〕需要將內(nèi)容同時發(fā)布到兩臺發(fā)布服務(wù)器上。正常狀態(tài)下，主發(fā)布服務(wù)器工作時，由它對所有Web服務(wù)器進(jìn)展內(nèi)容同步。如果熱備發(fā)布服務(wù)器運行失效〔不影響網(wǎng)站系統(tǒng)運行〕，一旦在它修復(fù)后可以從主發(fā)布服務(wù)器恢復(fù)數(shù)據(jù)，進(jìn)入正常熱備狀態(tài)。主發(fā)布服務(wù)器如果失效〔即不發(fā)心跳信號〕，熱備發(fā)布服務(wù)器會接收工作，由熱備服務(wù)器對所有Web服務(wù)器進(jìn)展內(nèi)容同步。當(dāng)主發(fā)布服務(wù)器修復(fù)后，兩機同時工作，經(jīng)過一段時間的數(shù)據(jù)交接時間，熱備發(fā)布服務(wù)器重新進(jìn)入熱備狀態(tài)。2.5方案特點2.5.1篡改檢測和恢復(fù)支持安全散列檢測方法；可檢測靜態(tài)頁面/動態(tài)腳本/二進(jìn)制實體；支持對注入式攻擊的防護(hù)；網(wǎng)頁發(fā)布同時自動更新水印值；網(wǎng)頁發(fā)送時比較網(wǎng)頁和水印值；支持?jǐn)嗑€/連線狀態(tài)下篡改檢測；支持連線狀態(tài)下網(wǎng)頁恢復(fù)；網(wǎng)頁篡改時多種方式報警；網(wǎng)頁篡改時可執(zhí)行外部程序或命令；可以按不同容器選擇待檢測的網(wǎng)頁；支持增強型事件觸發(fā)檢測技術(shù)；加密存放水印值數(shù)據(jù)庫；支持各種私鑰的硬件存儲；支持使用外接安全密碼算法。2.5.2自動發(fā)布和同步自動檢測發(fā)布服務(wù)器上文件系統(tǒng)任何變化；文件變化自動同步到多個Web服務(wù)器；支持文件/目錄的增加/刪除/修改/更名；支持任何內(nèi)容管理系統(tǒng)；支持虛擬目錄/虛擬主機；支持頁面包含文件；支持雙機方式的冗余部署；斷線后自動重聯(lián)；上傳失敗后自動重試；使用SSL安全協(xié)議進(jìn)展通信；保證通信過程不被篡改和不被竊聽；通信實體使用數(shù)字證書進(jìn)展身份鑒別；所有過程有詳細(xì)的審計。三、WEB應(yīng)用防護(hù)解決方案從網(wǎng)頁應(yīng)用程序?qū)用孢M(jìn)展安全防護(hù)機制：第一項方案是，通過網(wǎng)頁程序代碼的安全檢測，找出潛在應(yīng)用程序的編寫漏洞，提供開發(fā)團(tuán)隊修補建議，并據(jù)以改寫修補。同時為網(wǎng)頁應(yīng)用層防火墻提供防護(hù)規(guī)那么，做到內(nèi)外共同防護(hù)；第二項方案是，通過網(wǎng)頁應(yīng)用層防火墻軟件的部署，與網(wǎng)頁程序代碼的安全檢測互相聯(lián)動，為在線運營的網(wǎng)站立即建設(shè)防護(hù)，針對各種應(yīng)用層的攻擊進(jìn)展阻擋，建設(shè)起網(wǎng)站從內(nèi)而外的安全防護(hù)體系。3.1當(dāng)前安全風(fēng)險分析越來越多的案例說明，網(wǎng)站的安全問題隨著各類網(wǎng)絡(luò)技術(shù)手段的不斷進(jìn)步而顯現(xiàn)出來。截止到目前，以跨站腳本攻擊、SQL注入攻擊為代表的攻擊方式對傳統(tǒng)的‘防火墻+入侵防護(hù)’所組成的網(wǎng)站安全防線帶來了極大的沖擊；同時由于新的攻擊方式的出現(xiàn)，一旦網(wǎng)站被入侵，輕那么網(wǎng)站被植入惡意連結(jié)或?qū)ο?，?dǎo)致訪問用戶的個人電腦中毒或被植入木馬；嚴(yán)重的話，通過網(wǎng)頁的接口導(dǎo)致客戶的信息或交易紀(jì)錄被入侵，從而面對的是漫長的調(diào)查、賠償、法律責(zé)任、甚至訴訟。如果被媒體披露的話，更會嚴(yán)重影響企事業(yè)單位的聲譽。網(wǎng)站安全風(fēng)險分析：項次大綱說明1沒有適當(dāng)機制確認(rèn)目前的網(wǎng)頁程序存在哪些漏洞目前已在線執(zhí)行的網(wǎng)頁系統(tǒng)，是幾年來不斷開發(fā)與累積的結(jié)果。然而新興的以網(wǎng)頁應(yīng)用程序為攻擊目標(biāo)的攻擊模式不斷被發(fā)現(xiàn)，因此當(dāng)前面臨的困難在于:現(xiàn)有的開發(fā)團(tuán)隊并非全職的安全專家，難以保證編寫出來的程序代碼絕對不會存在漏洞。在線的程序代碼為數(shù)眾多，如果要逐條人工檢視，絕對力有未逮，且現(xiàn)有的開發(fā)能力用于全力開發(fā)新的服務(wù)與流程改善，無法投入足夠的資源用于檢測舊的系統(tǒng)漏洞。經(jīng)常性的發(fā)生信息安全事件，會讓團(tuán)隊疲于奔命。也花費大量的資源來進(jìn)展調(diào)查與修復(fù)。更不用說后續(xù)延伸出來的商譽損失、法律責(zé)任、甚至訴訟與賠償事宜。2網(wǎng)站的運營者往往都在網(wǎng)站遭受入侵與惡意攻擊后通過外界反響才知道當(dāng)黑客利用時下WebAP的攻擊手法，如CrossSiteScript或SQLInjection等方式攻擊網(wǎng)站，而網(wǎng)站又剛好有未知的漏洞被利用，那么不僅缺乏適當(dāng)?shù)臋C制可以立即發(fā)現(xiàn)攻擊，更無法到達(dá)防御的效果。3法律責(zé)任的沖擊企事業(yè)單位有責(zé)任妥善保管的客戶個人信息，假設(shè)因網(wǎng)站被入侵而導(dǎo)致客戶信息外泄，那么有可能必須面對法律責(zé)任的問題。4敏感信息顯示于網(wǎng)頁接口時，需進(jìn)展屏蔽，防止會員信息外泄針對如信用卡卡號或身分證字號等敏感信息，如果需要在網(wǎng)頁中顯示響應(yīng)給使用者，那么需要進(jìn)展屏蔽，將中間字符內(nèi)容取代為x或*等符號，防止使用者的計算機存在木馬或傳輸過程被竊聽，而造成信息外泄。然而現(xiàn)有的系統(tǒng)已經(jīng)運作多年，需要逐一檢視并且修改，需花費大量的資源與時間。5傳統(tǒng)IDS/IPS與防火墻，擋不住也看不懂Web攻擊原本期望通過IDS/IPS與防火墻來抵御黑客的攻擊。然而現(xiàn)在的黑客，不再「硬碰硬」的進(jìn)行防火墻、入侵偵測系統(tǒng)或者修補程序可以阻擋的「網(wǎng)絡(luò)型攻擊」或者「作業(yè)平臺的攻擊」。目前超過70%成功的黑客攻擊，都是針對『Web應(yīng)用程序』的弱點而不是操作系統(tǒng)的弱點，而且循著合法身份從Web應(yīng)用系統(tǒng)管道進(jìn)入，因此原先的防火墻與入侵偵測系統(tǒng)也束手無策。6SSL加密后的流量，無法從網(wǎng)絡(luò)端實施入侵檢查與過濾因為運營的是電子商務(wù)服務(wù)，因此為防止使用者進(jìn)展交易的過程中信息被從中竊聽，而實施S/SSL加密，保障傳輸過程的安全。然而，這也造成部署網(wǎng)頁防入侵機制時的限制與困擾。因為如果使用的使網(wǎng)絡(luò)型的WebApplicationFirewall機制，SSL加密后的流量就會無法進(jìn)展檢查，或者要改變現(xiàn)有SSL加密的處理流程。3.2防護(hù)方案3.2.1開發(fā)流程中參加安全性驗證工程在軟件開發(fā)流程中，擬規(guī)劃一套系統(tǒng)化的安全設(shè)計流程，確保網(wǎng)絡(luò)應(yīng)用程序的安全。系統(tǒng)開展生命周期(SystemsDevelopmentLifeCycle,簡稱SDLC)是大局部信息應(yīng)用系統(tǒng)設(shè)計的參考模型，即一套應(yīng)用程序軟件的開展需要歷經(jīng)「分析」、「設(shè)計」、「建構(gòu)」、「測試」、「系統(tǒng)維護(hù)」至下一次的需求產(chǎn)生，這一周期就是系統(tǒng)開展生命周期。安全系統(tǒng)開展生命周期(SecuritySystemsDevelopmentLifeCycle)便是泛指在軟件開發(fā)生命周期中，應(yīng)考慮的信息安全措施及本卷須知。3.2.2對網(wǎng)站程序的源代碼進(jìn)展弱點檢測建議導(dǎo)入自動化網(wǎng)頁應(yīng)用程序源代碼安全檢測體系。不可否認(rèn)的，早期所開發(fā)的應(yīng)用程序，皆以「功能性」著眼，欠缺「安全性」的安全認(rèn)識與危機意識，因此在程序編寫中較少考慮到「安全性」的問題，因此不小心便導(dǎo)致所開發(fā)的Web應(yīng)用系統(tǒng)漏洞百出，導(dǎo)致SQLInjection、緩沖區(qū)溢出〔Buffer-Overflow〕、跨網(wǎng)站腳本攻擊〔Cross-SiteScripting〕等等Web攻擊。信息安全的相關(guān)領(lǐng)域知識包含「操作系統(tǒng)」、「開發(fā)工具」、「網(wǎng)站平臺」、「程序邏輯」、「程序編譯」、「程序執(zhí)行」以及種種通訊協(xié)議原理，并非程序開發(fā)人員的專業(yè)領(lǐng)域，因此如何快速有效地針對單位內(nèi)現(xiàn)有與未來開發(fā)建設(shè)的Web應(yīng)用系統(tǒng)進(jìn)展定期或者不定期檢驗其可能的源代碼弱點與漏洞，需要一套有系統(tǒng)有效率的「Web應(yīng)用系統(tǒng)原代碼自動檢測系統(tǒng)」，有助于提早發(fā)現(xiàn)并評估風(fēng)險，提早進(jìn)展源代碼改寫與修補動作。Web應(yīng)用系統(tǒng)原代碼自動檢測系統(tǒng)所提供的服務(wù)特色為：針對程序源代碼檢測結(jié)果與報告，提供程序源代碼「弱點深度分析」與「弱點嚴(yán)重性分析」等風(fēng)險上下評估計分與圖表，協(xié)助程序開發(fā)人員規(guī)劃安排程序源代碼弱點安全問題修復(fù)的優(yōu)先級。清楚標(biāo)明程序源代碼弱點安全問題的結(jié)果與源頭，協(xié)助開發(fā)與工程管理人員了解程序源代碼弱點安全問題之發(fā)生程序行數(shù)與弱點來源，必須包含以下信息：可與本案「Web應(yīng)用系統(tǒng)安全防火墻」的安全訪問策略聯(lián)動，解決復(fù)雜的應(yīng)用防火墻配置問題。3.2.3導(dǎo)入網(wǎng)頁應(yīng)用程序漏洞列表作為審計工程開放網(wǎng)頁應(yīng)用程序安全方案(OpenWebApplicationSecurityProject,以下簡稱OWASP)致力協(xié)助企業(yè)和政府機關(guān)(構(gòu))能夠理解和提高網(wǎng)頁應(yīng)用程序的安全性，并關(guān)注最嚴(yán)重的漏洞。OWASP于2010年最新公布的十大信息安全漏洞(OWASPTop10)是一個需要立刻處理的應(yīng)用程序安全漏洞。這些安全漏洞包括：Cross-SiteScripting〔跨站腳本攻擊〕。網(wǎng)頁應(yīng)用程序直接將來自使用者的執(zhí)行請求送回瀏覽器執(zhí)行，使得攻擊者可擷取使用者的Cookie或Session數(shù)據(jù)而能直接登入成使用者。InjectionFlaw：網(wǎng)頁應(yīng)用程序執(zhí)行來自外部包括數(shù)據(jù)庫在內(nèi)的惡意指令，SQL注入,命令注入等攻擊包括在內(nèi)。MaliciousFileExecution：網(wǎng)頁應(yīng)用程序引入來自外部的惡意檔案并執(zhí)行檔案內(nèi)容。InsecureDirectObjectReference：攻擊者利用網(wǎng)頁應(yīng)用程序本身的檔案讀取功能任意存取檔案或重要數(shù)據(jù)，案例包括://example/read.php?file=../../../../../../../c:\boot.iniCross-SiteRequestForgery(CSRF):已登入網(wǎng)頁應(yīng)用程序的合法使用者執(zhí)行到惡意的指令，但網(wǎng)頁應(yīng)用程序卻當(dāng)成合法需求處理，使得惡意指令被正常執(zhí)行，案例包括社交網(wǎng)站分享的QuickTime、Flash影片中藏有惡意的請求。InformationLeakageandImproperErrorHandling：網(wǎng)頁應(yīng)用程序的執(zhí)行錯誤訊息包含敏感數(shù)據(jù)，案例包括:系統(tǒng)檔案路徑BrokenAuthenticationandSessionManagement：網(wǎng)頁應(yīng)用程序中自行編寫的身份驗證相關(guān)功能有缺陷。InsecureCryptographicStorage：網(wǎng)頁應(yīng)用程序沒有對敏感性數(shù)據(jù)使用加密、使用較弱的加密算法或?qū)⒚荑€儲存在容易被取得之處。InsecureCommunication：沒有在傳送敏感性數(shù)據(jù)時使用S或其它加密方式。FailuretoRestrictURLAccess：某些網(wǎng)頁因為沒有權(quán)限控制，使得攻擊者可通過網(wǎng)址直接存取，案例包括允許直接修改Wiki或Blog網(wǎng)頁內(nèi)容。歸咎這些安全漏洞的基本原因，乃在于網(wǎng)頁應(yīng)用程序本身存在安全漏洞，忽略應(yīng)該注意的函數(shù)處理與防范來自使用者的惡意攻擊。倘假設(shè)這些安全漏洞在開發(fā)與部署過程沒有被檢測出來，那么日后就會發(fā)生信息安全事件。利用‘Web應(yīng)用系統(tǒng)原代碼自動檢測系統(tǒng)’所提供的檢測服務(wù)可事先發(fā)現(xiàn)網(wǎng)站所潛藏的上述安全漏洞。3.2.4部署Web應(yīng)用防火墻進(jìn)展防御導(dǎo)入網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)的好處在于：網(wǎng)站源代碼檢測階段：在修補源代碼中存在的安全隱患之前〔可能因為開發(fā)團(tuán)隊變更、服務(wù)無法暫停等原因暫時無法對安全隱患進(jìn)展修補〕，那么依靠網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)提供Web應(yīng)用安全防護(hù)，從而保證網(wǎng)站應(yīng)用的安全性；網(wǎng)站安全加固階段：可以將網(wǎng)頁應(yīng)用程序源代碼安全檢測系統(tǒng)檢測出的安全問題自動直接生成網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)所需使用的安全防護(hù)規(guī)那么〔AccessPolicy〕，使得網(wǎng)頁應(yīng)用程序源代碼安全檢測系統(tǒng)與網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)產(chǎn)生互相聯(lián)動，從而做到網(wǎng)站應(yīng)用安全的自動化防護(hù)。通過網(wǎng)頁應(yīng)用程序防火墻的部署，讓訪問者對網(wǎng)站的請求，以及網(wǎng)站預(yù)計響應(yīng)給訪問者的顯示網(wǎng)頁，都經(jīng)過「Web應(yīng)用系統(tǒng)安全防火墻」全程檢查與檢視其「安全性」、「合法性」與「正確性」，如有任何「非法行為」，自動「阻斷非法行為」或者「重置合法與適宜的響應(yīng)」，讓「使用者」與「系統(tǒng)管理者」都可以繼續(xù)「安心」的運作。「Web應(yīng)用系統(tǒng)安全防火墻」部署架構(gòu)如以以下列圖：3.3WEB應(yīng)用防火墻功能3.3.1集中管控功能同一解決方案除了提供硬件式應(yīng)用防護(hù)設(shè)備外，可依實際需求選擇將軟件式應(yīng)用防火墻系統(tǒng)安裝于Web服務(wù)器主機上，不需要調(diào)整網(wǎng)絡(luò)與系統(tǒng)架構(gòu)。支持【集中叢集控管(ClusterManagement)】方式，通過統(tǒng)一集中管理接口，同時管理與安全防護(hù)規(guī)那么部署多臺「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」。支持集群內(nèi)各臺「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」運行狀態(tài)，如有異常，立即顯示。具備多管理者、多網(wǎng)站群組的權(quán)限管理能力，提供讓特定管理者管理特定網(wǎng)站群組安全防護(hù)規(guī)那么的能力內(nèi)建「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」紀(jì)錄查詢與查看工具，方便實時分析，提供多重條件過濾查詢功能，無須額外購置審計報表分析工具。提供符合法規(guī)遵循角度需求的審計紀(jì)錄，詳細(xì)紀(jì)錄系統(tǒng)的操作與變更，方便審計人員查驗。提供統(tǒng)計報表能力，提供多種預(yù)設(shè)統(tǒng)計圖表，支持自定義設(shè)定分析范圍與時間區(qū)段，產(chǎn)生滿足單位需求與法規(guī)遵循要求的報表。提供直接過濾防護(hù)SSL加密網(wǎng)頁的機制，安裝部署時，不需要更改SSL密鑰存放位置，防止密鑰管理的額外問題。3.3.2防護(hù)功能可防御以下19大類(含)以上網(wǎng)頁攻擊型態(tài)，超過10,000種(含)以上網(wǎng)頁攻擊方法。支持以下OWASPTop10十大網(wǎng)頁應(yīng)用程序弱點的攻擊模式。提供「輸入驗證(InputValidation)」處理機制，提供黑名單或者白名單方式驗證使用者輸入內(nèi)容數(shù)據(jù)的類型、范圍、格式與長度。提供「客戶端瀏覽器存取權(quán)限」的管理能力，可以限制存取網(wǎng)站的客戶端IP地址、使用的瀏覽器版本、網(wǎng)頁開放存取的時間范圍以及SSL加密的強度等等存取條件。提供「網(wǎng)頁存取身份驗證(Authentication)」處理機制，讓缺乏賬號密碼等權(quán)限管理的網(wǎng)頁具備身份驗證能力。提供「網(wǎng)頁存取安全會話(SecureSession)」處理機制，保護(hù)客戶端瀏覽器Cookie的安全使用，降低Cookie外泄的機率。提供「網(wǎng)頁上傳下載雙向過濾保護(hù)」功能，通過關(guān)鍵詞過濾網(wǎng)站惡意內(nèi)容或不當(dāng)文字，或是防止機敏數(shù)據(jù)外泄。針對網(wǎng)頁敏感信息，例如：信用卡信息、身份證號等隱私數(shù)據(jù)，提供「自動屏蔽(AutoMask/XXX)」功能機制，防止單位機密數(shù)據(jù)或者個人隱私外泄。提供「反釣魚(Anti-Phishing)」功能，可通過黑、白或灰名單方式限制釣魚網(wǎng)站引用主網(wǎng)站的內(nèi)容。通過ReferenceChecking強制網(wǎng)站的使用方式，防止網(wǎng)站內(nèi)容遭受未經(jīng)合法授權(quán)的「強迫瀏覽」或者「盜連」。內(nèi)建「安全防護(hù)規(guī)那么設(shè)定」向?qū)?，根?jù)實際需求與環(huán)境提供彈性與自定義安全防護(hù)規(guī)那么的設(shè)定功能。提供安全防護(hù)規(guī)那么集的「版本管理」機制，并且支持「版本回溯(Rollback)」功能。支持人工智能安全防護(hù)規(guī)那么「學(xué)習(xí)模式」，提供網(wǎng)站系統(tǒng)安全防護(hù)規(guī)那么設(shè)定的建議。支持以下操作系統(tǒng)：Windows、Linux與Unix-Like作業(yè)系統(tǒng)可與「Web應(yīng)用系統(tǒng)源代碼自動檢測系統(tǒng)」所生成的安全防護(hù)規(guī)那么聯(lián)動。3.4預(yù)期效益通過「Web應(yīng)用系統(tǒng)安全防火墻」與「網(wǎng)站源代碼弱點檢測」的部署與導(dǎo)入，預(yù)期到達(dá)的效益與目標(biāo)：。對在線運作的網(wǎng)站應(yīng)用程序進(jìn)展防護(hù)，降低被黑風(fēng)險：通過網(wǎng)頁應(yīng)用程序防火墻的部署，讓使用者對網(wǎng)站的請求，以及網(wǎng)站預(yù)計響應(yīng)給使用者的顯示網(wǎng)頁，都經(jīng)過「Web應(yīng)用系統(tǒng)安全防火墻」全程檢查與檢視其「安全性」、「合法性」與「正確性」，如有任何「非法行為」，自動「阻斷非法行為」或者「重置合法與適宜的響應(yīng)」，讓「使用者」與「系統(tǒng)管理者」都可以繼續(xù)「安心」的運作。在網(wǎng)站程序漏洞被黑客利用前，即可進(jìn)展修補，以治本方式鏟除漏洞：利用「網(wǎng)站程序的源代碼弱點檢測系統(tǒng)」，可例行對在線運作的網(wǎng)站程序源代碼進(jìn)展掃描與檢測，以清楚存在哪些的弱點與漏洞，并方案性的依據(jù)嚴(yán)重度進(jìn)展修補改寫，以鏟除這些漏洞，提高網(wǎng)站的安全性。培養(yǎng)開發(fā)團(tuán)隊編寫高安全性的網(wǎng)頁程序代碼與安全網(wǎng)站能力：藉由網(wǎng)站源代碼的掃描報告解讀與程序代碼修正程序。讓開發(fā)團(tuán)隊的程序開發(fā)人員，熟悉高安全性的網(wǎng)頁程序的編寫方法，進(jìn)而養(yǎng)成良好的編寫與測試習(xí)慣。四、內(nèi)容分發(fā)網(wǎng)絡(luò)解決方案4.1內(nèi)容分發(fā)網(wǎng)絡(luò)簡介內(nèi)容分發(fā)網(wǎng)絡(luò)〔CDN,ContentDistributionNetwork〕服務(wù)=智能的網(wǎng)站鏡像+頁面緩存+流量導(dǎo)流。CDN所做的，就是為互聯(lián)網(wǎng)上的內(nèi)容提供EMS服務(wù)，在最正確的時間用最正確的手段，把最正確的內(nèi)容，推送到最正確的地點〔訪問客戶〕，能夠幫助用戶解決分布式存儲、負(fù)載均衡、網(wǎng)絡(luò)請求的重定向和網(wǎng)站內(nèi)容管理等問題。其目的是通過在現(xiàn)有的Internet中增加一層新的網(wǎng)絡(luò)架構(gòu)，將網(wǎng)站的內(nèi)容發(fā)布到最接近用戶的網(wǎng)絡(luò)“邊緣〞，使網(wǎng)站訪問用戶可以就近取得所需的網(wǎng)頁內(nèi)容，解決Internet網(wǎng)絡(luò)擁塞狀況、提高用戶訪問網(wǎng)站的響應(yīng)速度。從技術(shù)全面解決由于網(wǎng)絡(luò)帶寬小、用戶訪問量大、網(wǎng)點分布不均而產(chǎn)生的用戶訪問網(wǎng)站響應(yīng)速度慢的基本原因。CDN網(wǎng)絡(luò)營造了一個網(wǎng)絡(luò)運營環(huán)境，不僅能夠提供以網(wǎng)絡(luò)加速為根基的系列服務(wù)，包括針對網(wǎng)頁、流媒體、文件傳輸、文件播放等內(nèi)容提供加速，還能提供一些相關(guān)的增值服務(wù)以更有效地滿足客戶在這些應(yīng)用方面的需求。4.2CDN服務(wù)功能眾所周知，互聯(lián)網(wǎng)的訪問速度取決于眾多的因素，包括Internet網(wǎng)絡(luò)傳輸質(zhì)量、國內(nèi)南北互聯(lián)互通問題、網(wǎng)站服務(wù)器性能、網(wǎng)站出口帶寬、網(wǎng)頁程架構(gòu)和網(wǎng)頁內(nèi)容類型等等。CDN網(wǎng)頁加速產(chǎn)品采用全球智能域名解析系統(tǒng)和高速緩存等專業(yè)技術(shù)，通過遍布全球的CDN網(wǎng)絡(luò)把網(wǎng)頁內(nèi)容分發(fā)到離網(wǎng)民最近的邊緣節(jié)點上，繞過國內(nèi)以及跨國的傳輸擁塞影響，突破源站出口帶寬和性能屏障，訪問用戶可以從最適合的節(jié)點上獲得所需的內(nèi)容，從而提高網(wǎng)站的訪問速度和質(zhì)量。CDN網(wǎng)頁加速產(chǎn)品支持SSL加密，網(wǎng)頁壓縮，防盜鏈等功能：網(wǎng)頁壓縮功能：支持網(wǎng)站本身的壓縮功能，同時能夠幫助未實現(xiàn)壓縮功能的網(wǎng)站提供壓縮服務(wù)，通過壓縮數(shù)據(jù)大小的改變，減少數(shù)據(jù)傳輸?shù)臅r間，節(jié)省傳輸?shù)膸挘鬼撁骘@示速度自然提高。防盜鏈功能：基于時間或者用戶IP對URL進(jìn)展加密和驗證，幫助網(wǎng)站防止盜鏈現(xiàn)象。地域化內(nèi)容服務(wù)功能：根據(jù)訪問用戶的地域不同，將用戶的訪問請求分配到相應(yīng)的CDN節(jié)點上進(jìn)展響應(yīng)，從而為來自不同地域用戶提供針對該地域投放的特色內(nèi)容，使得網(wǎng)站內(nèi)容更加有針對性，實現(xiàn)個性化服務(wù)。4.3CDN服務(wù)特點安全的分發(fā)內(nèi)容CDN節(jié)點前端都有可以抵御幾十萬級別DDoS攻擊的設(shè)備，智能的全域負(fù)載均衡系統(tǒng)會根據(jù)攻擊路線改變用戶訪問目的地，保障用戶訪問不受攻擊影響。在整個分發(fā)網(wǎng)絡(luò)中除了網(wǎng)絡(luò)層有加密校驗機制，分發(fā)的文件會攜帶特定的加密碼，在傳送到最終目的地后進(jìn)展校驗完畢后確認(rèn)文件在傳輸過程中沒有缺失和修改，返回給中央分發(fā)服務(wù)系統(tǒng)安全到達(dá)的信息，且服務(wù)器采用專有OS架構(gòu)，即使遭到攻擊黑客也無法篡改用戶內(nèi)容，保證分發(fā)內(nèi)容的安全性和完整性。完善的日志分析完善的日志分析功能，可以根據(jù)用戶個性需求，制定多重樣式的日志分析報告，包括用戶訪問行為分析、用戶來源地分析、網(wǎng)站點擊率分析等。并可以提供自動報表生成。網(wǎng)站流量及時報告提供在線的瀏覽訪問量接口，使用戶隨時了解網(wǎng)站運轉(zhuǎn)狀況。網(wǎng)站異常告警當(dāng)網(wǎng)站發(fā)生非正常訪問量激增或網(wǎng)站源不可達(dá)時，會及時發(fā)送EMAIL到用戶信箱告知狀況并及時通知，使得網(wǎng)站安全可靠。網(wǎng)站鏡像可以提供用戶網(wǎng)站異地鏡像功能，保證源站發(fā)生狀況后，可以借用CDN節(jié)點上的網(wǎng)站為用戶提供暫時的頁面訪問服務(wù)。網(wǎng)站頁面訪問性能優(yōu)化降低源站對高帶寬的需求，并減低源站服務(wù)器的訪問壓力。五、負(fù)載均衡解決方案CDN服務(wù)為訪問用戶提供更快的網(wǎng)站訪問速度，并降低源站的訪問壓力。而源站本地那么可以采用服務(wù)器負(fù)載均衡〔SLB,ServerLoadBalance〕技術(shù)方案進(jìn)一步降低源站的訪問中斷風(fēng)險。更完善的負(fù)載均衡方案是采用廣域負(fù)載均衡〔GLSB,GlobalServerLoadBalance〕技術(shù)為應(yīng)用網(wǎng)站提供不同地域的主用/備用站點架構(gòu)，5.1服務(wù)器負(fù)載均衡如上圖示，假設(shè)在Internet上提供兩個服務(wù)，分別為WorldWideWeb服務(wù)()與E-commerce服務(wù)()，而今我們在防火墻與交換機之間參加了SLB，此設(shè)備在OSI/ISO七層架構(gòu)中屬于三到七層的設(shè)備，因此可以整合不同平臺、新舊不同的服務(wù)器，另外、服務(wù)器也由一臺增加至三臺，我們稱為服務(wù)器農(nóng)場(ServerFarm),并且將原本屬于服務(wù)器的IP地址移到SLB設(shè)備上，對使用者而言依然是存取此IP上的服務(wù)，沒有改變。因此，必須指定另外一個網(wǎng)段的IP給原來的服務(wù)器使用。此時，SLB設(shè)備除對外提供服務(wù)，對內(nèi)做到以下的功能：網(wǎng)絡(luò)地址轉(zhuǎn)換(NetworkAddressTranslation,NAT)：利用此技術(shù)將內(nèi)部的虛擬IP對應(yīng)到外部的真實IP(視提供的服務(wù)而定，在此例中有二個IP需做NAT)，如此一來便可以解決用一個IP來代替許多不同的IP的問題。有效分配負(fù)載流量：如何將由Internet上的流量分配到后端的服務(wù)器上，其中包含了那一臺服務(wù)器該負(fù)責(zé)較多的工作，或是一視同仁的照次序分配而不考慮效能等因素，我們稱為負(fù)載平衡模式(LoadBalanceMode)。Healthcheck機制：為了使SLB設(shè)備可以有效掌控后端服務(wù)器的狀況，必須定期自動檢查服務(wù)器的運作情形，以免發(fā)生將使用者數(shù)據(jù)請求引導(dǎo)至發(fā)生故障或是過于忙碌的服務(wù)器上的情形。Fail-Over機制：一旦SLB架構(gòu)建置完成，SLB設(shè)備便成為非常重要的一個網(wǎng)絡(luò)節(jié)點。一旦發(fā)生故障，整個服務(wù)便會中斷，因此備援是非常重要的課題，理想的備援機制是在完全不影響使用者的前提下完成取代故障設(shè)備并提供服務(wù)的工作，一般我們也稱之為高可靠度(HighAvailability)。5.2廣域負(fù)載均衡廣域負(fù)載均衡〔GSLB，GlobalServerLoadBalance〕是一種將SLB的概念擴展到廣域范圍的技術(shù)，與SLB在一個單獨的節(jié)點上為一組服務(wù)器提供負(fù)載均衡服務(wù)不同，GSLB提供了一種對多個不同地域的服務(wù)器群(多個節(jié)點)提供負(fù)載均衡的服務(wù)，在實現(xiàn)上可以分為兩個方面，一方面是如何實現(xiàn)將用戶的請求指向到選定的節(jié)點上，一方面是研究如何確定最正確的站點。GSLB服務(wù)可以對分布在不同地域的多個源站服務(wù)器群提供廣域負(fù)載均衡服務(wù)，采用DNS解析的方式來實現(xiàn)用戶訪問重定向，同時采用智能策略確定最正確源站點，提高了服務(wù)的可用性和系統(tǒng)性能。原理說明：廣域負(fù)載均衡在DNS解析階段實現(xiàn)：1〕客戶端針對一個域名〔Domain〕發(fā)送一個DNS請求。2〕廣域負(fù)載均衡由一系列算法返回一個最優(yōu)site的IP〔延時最小、距離最近等〕。3〕客戶端向此IP發(fā)起連接請求。4〕當(dāng)客戶端向某IP發(fā)起訪問連接請求時，執(zhí)行〔本地〕服務(wù)器負(fù)載均衡〔SLB〕，負(fù)載均衡設(shè)備根據(jù)最優(yōu)算法選擇服務(wù)器和相應(yīng)的服務(wù)轉(zhuǎn)發(fā)請求，如上圖所示。5.3關(guān)鍵功能和特點Web交換完全支持URL交換，根據(jù)URL和信息分配流量。每個URL都可以重定向到某服務(wù)器，或在多個服務(wù)器之間進(jìn)展負(fù)載均衡，從而提供優(yōu)化的Web交換性能。根據(jù)URL文本中包含的信息，可以保持客戶持續(xù)性，從而保證內(nèi)容的個性化。通過負(fù)載均衡優(yōu)化服務(wù)器資源支持的負(fù)載均衡演算法至少包含，輪詢(Cyclic)最少用戶數(shù)(Leastusers)最少數(shù)據(jù)包數(shù)(Leastpackets)最少字節(jié)數(shù)(Leastbytes)最快回應(yīng)時間(FastedResponseTime)SNMP定制(SNMPcustomized)安康狀況檢查可以監(jiān)視服務(wù)器在IP、TCP、UDP、應(yīng)用和內(nèi)容等所有協(xié)議層上的工作狀態(tài)。如果發(fā)現(xiàn)故障，訪問用戶即被透明地重定向到正常工作的服務(wù)器上。完全的容錯與冗余雙機備援架構(gòu)方式提供設(shè)備間的完全容錯，以確保網(wǎng)絡(luò)最大的可用性。兩個設(shè)備通過網(wǎng)絡(luò)相互檢查各自的工作狀態(tài)，為其所管理的應(yīng)用保障完全的網(wǎng)絡(luò)可用性。它們可工作于‘主用-備用’模式或‘主用-主用’模式，在‘主用-主用’模式下，因為兩個設(shè)備都處于工作狀態(tài)，從而最大限度地保護(hù)了投資。并且所有的訪問會話信息都可在設(shè)備間進(jìn)展鏡像，從而提供透明的冗余和完全的容錯，確保在任何時候用戶都可以獲得網(wǎng)站訪問的最正確服務(wù)。通過正常退出服務(wù)保證穩(wěn)定運行當(dāng)需要進(jìn)展服務(wù)器升級或系統(tǒng)維護(hù)時，負(fù)載均衡設(shè)備可保證穩(wěn)定的服務(wù)器退出服務(wù)以防止網(wǎng)站訪問中斷。中選定某臺服務(wù)器要退出負(fù)載均衡服務(wù)后，新的訪問連接將不會被指向該服務(wù)器。應(yīng)用安全DDoS保護(hù)：識別和保護(hù)應(yīng)用根基架構(gòu)不受DoS/DDoS攻擊。這種保護(hù)已超越了其他供應(yīng)商采用的傳統(tǒng)SYNcookie技術(shù)所提供的保護(hù)。入侵過濾：通過在惡意蠕蟲和病毒進(jìn)入應(yīng)用服務(wù)器前進(jìn)展識別并拒絕，保護(hù)應(yīng)用服務(wù)器不受侵襲。包檢測和過濾功能〔包括對加密流量進(jìn)展檢測〕可支持管理員制定政策來保護(hù)系統(tǒng)不受這些攻擊。SSL加密：應(yīng)用內(nèi)容在傳輸過程中都受加密保護(hù)，通過卸載服務(wù)器復(fù)雜的加密任務(wù)將應(yīng)用處理能力發(fā)揮到了極致。該功能使管理員能保護(hù)敏感應(yīng)用內(nèi)容的安全，使其擺脫被竊取及被濫用的潛在威脅。旁路建構(gòu)方式，保障原有網(wǎng)絡(luò)構(gòu)造負(fù)載均衡設(shè)備可選擇以旁路方式連接至網(wǎng)站系統(tǒng)，降低Web應(yīng)用交付使用的延宕風(fēng)險。六、應(yīng)急響應(yīng)服務(wù)體系6.1事件分類與分級事件的分類分級，用于信息安全事件的防范與處置，為事前準(zhǔn)備、事中應(yīng)對、事后處理提供一個整體事件防范與處置的根基。6.1.1事件分類根據(jù)信息安全事件發(fā)生的原因、表現(xiàn)形式等，可將各種信息安全事件歸納為六大類。惡意程序事件：包括計算機病毒事件、蠕蟲事件、木馬事件、僵尸網(wǎng)絡(luò)事件、攻擊程序事件、網(wǎng)頁內(nèi)嵌惡意代碼事件和其它有害程序事件等7個第二層分類。僵尸網(wǎng)絡(luò)是指網(wǎng)絡(luò)上受到黑客集中控制的一群計算機，它可以被用于伺機發(fā)起網(wǎng)絡(luò)攻擊，網(wǎng)絡(luò)攻擊事件：包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽事件、網(wǎng)絡(luò)釣魚事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個第二層分類。信息內(nèi)容安全事件：包括網(wǎng)頁篡改、偽造網(wǎng)站等2個第二層分類。設(shè)備設(shè)施故障：是指由于網(wǎng)站系統(tǒng)自身故障、外圍保障設(shè)施故障或人為使用非技術(shù)手段而導(dǎo)致的信息安全事件。災(zāi)害性事件：是指由于不可抗力對信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。其他信息安全事件：指不能歸為以上5個基本分類的信息安全事件。6.1.2事件分級對信息安全事件的分級可參考以下三個要素：信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響。系統(tǒng)損失是指由于信息安全事件對信息系統(tǒng)的軟硬件、功能及數(shù)據(jù)的破壞，導(dǎo)致系統(tǒng)業(yè)務(wù)中斷，從而給事發(fā)組織和國家所造成的損失，其大小主要考慮恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價。重大事件〔Ⅰ級〕指能夠?qū)е聡?yán)重影響或破壞的信息安全事件，使重要信息系統(tǒng)遭受重大的系統(tǒng)損失，即造成系統(tǒng)長時間中斷或癱瘓，使其業(yè)務(wù)處理能力受到極大影響，或系統(tǒng)關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價巨大，對于事發(fā)組織是無可承受的；或使重要信息系統(tǒng)遭受特別重大的系統(tǒng)損失。較大事件〔Ⅱ級〕指