日前，引起公眾廣泛關(guān)注的CSDN泄露案告破，在犯罪份子被繩之于法的同時(shí)，CSDN網(wǎng)站也因?yàn)閿?shù)據(jù)泄露防護(hù)不到位而收到了我國落實(shí)信息安全等級保護(hù)制度以來的首例行政“罰單”。其實(shí)CSDN事件只是近年來眾多企業(yè)數(shù)據(jù)泄露案例中的冰山一角，卻是引發(fā)全社會(huì)互聯(lián)網(wǎng)隱私擔(dān)憂的一記響雷，讓公眾和監(jiān)管部門開始強(qiáng)烈的要求企業(yè)保管好用戶的隱私數(shù)據(jù)，工業(yè)和信息化部甚至編制《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》以指導(dǎo)和規(guī)范企業(yè)利用信息系統(tǒng)處理用戶核心信息的過程。

數(shù)據(jù)之所以讓眾多黑客趨之若鶩，是因?yàn)閿?shù)據(jù)的價(jià)值已經(jīng)被廣泛認(rèn)可，數(shù)據(jù)交易的市場利益鏈也已生成。但與此同時(shí)存在的卻是眾多企業(yè)對數(shù)據(jù)安全問題缺乏危機(jī)感，一旦泄露發(fā)生才開始亡羊補(bǔ)牢，卻已經(jīng)付出企業(yè)形象、用戶信任和經(jīng)濟(jì)損失等重要代價(jià)。在所有的泄露事件中，黑客輕易盜取用戶數(shù)據(jù)庫信息，很多企業(yè)數(shù)據(jù)庫中的用戶賬戶和密碼居然是以明文形式存在，薄弱的信息安全防護(hù)意識(shí)讓黑客輕易得手。由此甚至引發(fā)了全國網(wǎng)名大量更換密碼的恐慌，更有網(wǎng)友發(fā)出了中國互聯(lián)網(wǎng)無隱私，有“裸奔”的感慨。

然而，防護(hù)意識(shí)薄弱只是一個(gè)方面，黑客之所以能夠如此順利的攻破眾多企業(yè)的信息安全防線，還有一個(gè)主要原因是在現(xiàn)代Web應(yīng)用環(huán)境中，傳統(tǒng)的防火墻、抗DDoS、流量控制等安全系統(tǒng)其實(shí)就如同一道馬其諾防線。回顧近年來國內(nèi)重大的安全事件，我們會(huì)看見企業(yè)面臨的不再是過去操作系統(tǒng)漏洞或網(wǎng)絡(luò)攻擊威脅，黑客逐漸將視線轉(zhuǎn)向企業(yè)網(wǎng)絡(luò)對外的Web站點(diǎn)，例如：網(wǎng)絡(luò)在線交易網(wǎng)站、企業(yè)的電子商務(wù)網(wǎng)站與企業(yè)內(nèi)部的ERP、CRM系統(tǒng)等，針對Web服務(wù)器網(wǎng)頁的應(yīng)用層入侵大量出現(xiàn)，例如：SQL注入、跨站攻擊、Cookie篡改等等，在這攻擊面前基于靜態(tài)特征檢測的安全設(shè)備已然形同虛設(shè)。

回顧近年出現(xiàn)的數(shù)據(jù)泄露案，我們不難發(fā)現(xiàn)Web正是黑客實(shí)現(xiàn)數(shù)據(jù)竊取的攻擊的主要目標(biāo)，這是因?yàn)槠髽I(yè)基于業(yè)務(wù)發(fā)展需求，不斷將越來越多的應(yīng)用和關(guān)鍵業(yè)務(wù)集中于web平臺(tái)，使其成為了大量數(shù)據(jù)的所在地。

Web應(yīng)用面臨的安全挑戰(zhàn)

數(shù)據(jù)庫注入和數(shù)據(jù)泄露：攻擊者可以利用web數(shù)據(jù)查詢功能，將精心構(gòu)造的數(shù)據(jù)庫攻擊命令隱藏在正常的查詢功能之中，能夠輕易穿透靜態(tài)防護(hù)的防火墻的等安全設(shè)備，并繞過身份認(rèn)證，從而獲取數(shù)據(jù)庫權(quán)限。而后攻擊者可以對數(shù)據(jù)庫進(jìn)行任意操作，達(dá)到竊取數(shù)據(jù)、破壞數(shù)據(jù)庫的目的，主要的攻擊方式是SQL注入和跨站腳本。

客戶端安全：如果用戶瀏覽器端開啟Cookie的功能，任何站點(diǎn)都可以修改cookie。如果Web將某些用戶ID存放在cookie中，并直接以此ID進(jìn)行權(quán)限限制，那么攻擊者可以修改客戶端的cookie值，以仿冒其他用戶權(quán)限，最終竊取web應(yīng)用信息和數(shù)據(jù)，此種方式主要是cookie注入，信息竊聽等。

未授權(quán)的訪問：正常使用者可能會(huì)有非授權(quán)的行為進(jìn)行存取。例如：醫(yī)療系統(tǒng)的處理人員有權(quán)限可以登入醫(yī)療數(shù)據(jù)庫存取，卻可能會(huì)逾越自己的權(quán)限，進(jìn)行非法下載相關(guān)數(shù)據(jù)庫的數(shù)據(jù)供自己或別人使用。此種未經(jīng)授權(quán)的訪問方式是導(dǎo)致web應(yīng)用系統(tǒng)的信息泄露和受攻擊的主要手段之一。

傳統(tǒng)安全手段防護(hù)風(fēng)險(xiǎn)：

所有針對Web 應(yīng)用系統(tǒng)的攻擊，有些是已被發(fā)現(xiàn)，并具有可識(shí)別的固定特征的;有些則是因網(wǎng)站的設(shè)計(jì)和代碼，以及攻擊者的行為習(xí)慣導(dǎo)致的攻擊，沒有固定的特征可循。傳統(tǒng)的那些安全手段基本無能為力，沒有辦法通過靜態(tài)的特征、策略等方式防范動(dòng)態(tài)的、不斷調(diào)整變化的web攻擊手段。必須能夠通過主動(dòng)的安全防護(hù)措施，從根本上避免對web網(wǎng)站的惡意篡改、信息竊取，外部人員對web服務(wù)器的入侵、刪除或是上傳木馬文件等類型的攻擊行為。

AppWall阻斷Web攻擊，遠(yuǎn)離數(shù)據(jù)泄露

對于企業(yè)而言，如何實(shí)現(xiàn)數(shù)據(jù)泄露防護(hù)呢? Radware安全專家表示，現(xiàn)代企業(yè)只有實(shí)施恰當(dāng)?shù)腤eb安全機(jī)制才能遠(yuǎn)離數(shù)據(jù)庫被撬開的風(fēng)險(xiǎn)。Radware作為國際領(lǐng)先的應(yīng)用交付和應(yīng)用安全廠商，致力于為用戶提供安全、有效的應(yīng)用安全解決方案，Radware 的用戶通過部署AppWall這款將主動(dòng)防御和被動(dòng)防御有機(jī)結(jié)合的優(yōu)秀Web應(yīng)用安全解決方案，有效防范各類Web攻擊。

Radware AppWall經(jīng)過多年來無數(shù)用戶的驗(yàn)證，已知或者未知的攻擊都能實(shí)現(xiàn)全面的控制與防范。一方面AppWall能夠?qū)λ衅ヅ湟阎籼卣鞯恼埱筮M(jìn)行告警、阻斷，實(shí)現(xiàn)被動(dòng)防御;另一方面AppWall的智能行為分析系統(tǒng)能夠主動(dòng)實(shí)時(shí)學(xué)習(xí)Web服務(wù)器的各類參數(shù)和用戶訪問行為，并進(jìn)行智能分析，當(dāng)發(fā)現(xiàn)不符合所學(xué)習(xí)到的正常行為模型的訪問請求、或者是針對Web服務(wù)器的未知入侵攻擊時(shí)，AppWall第一時(shí)間對上述可疑訪問和攻擊進(jìn)行告警、阻斷，并生成報(bào)告，主動(dòng)防御未知的Web攻擊。具體來說，Radware AppWall具有以下優(yōu)勢：

•  Radware AppWall作為Web應(yīng)用防火墻設(shè)備，滿足OWASP安全體系標(biāo)準(zhǔn)的要求;
• AppWall構(gòu)架于Radware ODS1/ODSVL平臺(tái)上，單臺(tái)設(shè)備可提供1G的處理能力;
• AppWall具有自學(xué)習(xí)功能夠?qū)eb服務(wù)、應(yīng)用、頁面、參數(shù)等所有Web組件進(jìn)行學(xué)習(xí)，提供細(xì)粒度的攻擊防范;
•  AppWall智能分析系統(tǒng)使所有的攻擊規(guī)避行為無所遁形;
• AppWall具有深入的Http/Https的分析能力和協(xié)議規(guī)范性檢測，對所有的Web服務(wù)器具有很好的兼容性;
• 簡單快速消除誤報(bào)，提升Web應(yīng)用的安全性;
•  完善的日志報(bào)表功能，讓管理者能夠更細(xì)致的掌握整個(gè)Web應(yīng)用的運(yùn)行狀況與安全級別;
•  AppWall具有良好的擴(kuò)展性，通過Cluster的方式將整個(gè)方案的性能進(jìn)行擴(kuò)展，并增加其可靠性;
• 策略快速部署能力，無需太多人工干預(yù)即可提供高標(biāo)準(zhǔn)安全級別;
• 靈活的部署方式，能夠與負(fù)載均衡設(shè)備完美集成，提高整個(gè)解決方案的可靠性。

總之，信息資產(chǎn)是企業(yè)的重要的資產(chǎn)，采用正確的方法對信息系統(tǒng)安全風(fēng)險(xiǎn)應(yīng)加以管理，可以幫助企業(yè)防范入侵與攻擊，進(jìn)而確保信息系統(tǒng)的安全。Radware擁有全球領(lǐng)先的應(yīng)用安全技術(shù)與完整的解決方案，可幫助企業(yè)遠(yuǎn)離Web攻擊引發(fā)的數(shù)據(jù)泄露之痛。