國際知名Web應用安全組織OWASP在11月8日-9日在中國北京國際會議中心召開OWASP 2011亞洲峰會，各行業的CIO/CTO/CSO代表和國內外知名的應用安全專家、廠商代表均有參與。

大會上有多家安全公司在展示自己的網站安全解決方案，在經過一個展臺時，我們突然發現有一家Web應用防火墻廠商推出了免部署的線上解決方案——SafeHTTP“網站衛士”。

以往的網站安全方案，都是將安全設備或安全軟件部署到企業內部或企業自己的Web服務器上，通過漏洞掃描器、WAF、IPS一類的產品檢測和防護Web站點。作為買賣雙方，完全可以一錘子買賣，即“購買——安裝——用戶自己維護”模式。當然，比較靠譜的廠商基本都會提供售后支持。

SafeHTTP“網站衛士”此時推出的這個解決方案卻是“租賃——用戶免維護”模式。所有的漏洞升級、防攻擊特征、惡意代碼過濾都由SafeHTTP“網站衛士”的云平臺搞定。采用PaaS平臺即服務的模式，無縫即時。用戶只需將DNS地址解析到SafeHTTP“網站衛士”，然后遞交域名和網站信息待其生效，即可安枕無憂的享受自來水式的網站安全服務。而且在SLA協議的保護下，任何網站安全風險都將由服務提供商承擔。

基本上采用這類解決方案后，就不用整天盯著防火墻和漏洞掃描器了。

這類PaaS模式的安全方案有什么好處？

實時的web惡意流量過濾，

降低服務器負載，降低宕機風險

加速訪問響應

減少數據被盜

豐富的報告

5分鐘搞定實施

無硬件投資，節約開支

無代碼變動專業的服務團隊

額外的好處：網站加速
 

SafeHTTP“網站衛士”原理

 
在問到SafeHTTP“網站衛士”背后的技術儲備時，SafeHTTP李松表示：“安信華本身就是WAF設備廠商，一直向客戶提供高性能的WEB安全設備，目前，有超過一萬多個站點正在得到保護。現在做這個‘云WAF’，技術上沒有問題。而且這對中小型客戶來說是一種極具吸引力的解決方案。”

[[51412]]

OWASP 2011會場上的 SafeHTTP總經理 李松

誰比較適合用這種服務？

“云WAF”的客戶群，像門戶網站那種有技術和人員儲備的公司肯定不需要。主要的客戶對象還是網站帶寬在100M以內的。帶寬100M以上的客戶完全可以購買WAF硬件設備或者自己搞一套防護方案。

說細一點，不同類型，不同規模的網站都在面臨各類威脅的挑戰，大型網站通常都有專門的團隊解決各類安全問題，如果您的網站不是這種大型網站，都在SafeHTTP服務范圍。

SafeHTTP“網站衛士”根據網站的位置將客戶分為三類：

1、網站在公司內部，通過簡單的DNS調整就可以得到SafeHTTP的服務。

2、虛擬主機有兩個不同選擇，可以簡單改變DNS得到SafeHTTP的服務，另外SafeHTTP也在同主流虛擬主機服務商展開合作，在他們的IDC里面部署服務。

3、網站的IDC機房，SafeHTTP正在同主流IDC合作，把SafeHTTP的服務在他們機房里面開展，現在只需要注冊，我們就會優先同您的IDC合作。

SafeHTTP李松表示：“我們的目標是小網站，大安全；而且不只是安全，我們還會為企業的網站提供增值服務，借此網站客戶的高層以及管理員可以更了解自己的網站。在中國主流的IDC機房，我們的設備會分布部署，‘網站衛士’是你身邊的網站安全服務?！?/P>

PaaS網站安全業務被業內看好

據悉，這類新型的PaaS網站安全業務出現后，多家安全公司已開始籌備“云WAF”租賃業務，對此李松表示，已經做好了“持久戰”的準備。在問起對PaaS安全這個行業的發展預估時，李松果斷的說道：“用戶對Web安全的需求日益迫切，企業的發展前景清晰可見。”

后記：

在本屆OWASP 2011亞洲峰會上，我們發現以往沒有推出過專門Web安全產品的傳統安全公司也都紛紛推出了各具特色的Web應用安全產品。應對目前越來越狡猾，越來越具破壞力的黑客攻擊手段，人們勢必需要更快響應時間和更專業的安全服務。有位OWASP演講嘉賓的話說的好——“不要再拿著刀去對付持槍的人”。