三、WEBWebWEBCDNCDN5.25.3WebWebDBWEBWEBWEBDOS防篡改體系除了Web服務(wù)器外，另外需部署‘發(fā)布服務(wù)器’： 發(fā)布服務(wù)器： 位于內(nèi)網(wǎng)中，本身處于相對安全的環(huán)境中，其上部署發(fā)布服務(wù)器軟件。所有網(wǎng)頁的合法變更（包括增加、修改、刪除、重命名）均于發(fā)布服務(wù)器上進(jìn)行。發(fā)布服務(wù)器上具有和Web服務(wù)器上的網(wǎng)頁文件完全相同的目錄結(jié)構(gòu)，發(fā)布服務(wù)器上的任何文件/目錄的變化均會(huì)自動(dòng)和??即地反映到Web服務(wù)器的相應(yīng)位置上，文件/目錄變更的方法能夠是任意方式的（例如：FTP、SFTP、RCP、NFS、文件共享等。網(wǎng)頁變更后，“發(fā)布服務(wù)器軟件”將其同步到Web服務(wù)器上。 Web 位于Internet/DMZWeb服務(wù)器端防篡改模塊及內(nèi)容同步軟件模塊。防篡改系統(tǒng)的運(yùn)行原理：防篡改防竊聽任何通信實(shí)體（Web）之間采用工業(yè)標(biāo)準(zhǔn)的SSL3.0/TLS1.0（RFC2246，確保網(wǎng)頁元素文件和數(shù)字水印數(shù)據(jù)流于通信過程中不被黑客竊取和分析。身份鑒別通信實(shí)體間進(jìn)行強(qiáng)身份鑒別。首先，WebWeb目前，大部分網(wǎng)站均使用內(nèi)容管理系統(tǒng)（CMS）來管理網(wǎng)頁產(chǎn)生的全過程，包括網(wǎng)頁的編輯、審核、簽發(fā)和合成等。于網(wǎng)站的網(wǎng)絡(luò)拓?fù)渲?，發(fā)布服務(wù)器部署于原有的內(nèi)容管理系統(tǒng)和Web服務(wù)器之間，下圖表明三者之間的關(guān)系。發(fā)布服務(wù)器上具有和Web服務(wù)器上的網(wǎng)站文件完全相同的目錄結(jié)構(gòu)，任何文件/目錄的變化均會(huì)自動(dòng)映射到Web服務(wù)器的相應(yīng)位置上。網(wǎng)頁的合法變更（包括增加、修改、刪除、重命名）均于發(fā)布服務(wù)器上進(jìn)行，變更的手段能夠是任意方式的（FTP、SFTP、RCP、NFS、文件共享等。網(wǎng)頁變更后，發(fā)布服務(wù)器將其同步到Web服務(wù)器上。無論什么情況下，不允許直接變更Web服務(wù)器上的頁面文件。下圖為防篡改系統(tǒng)的邏輯部署圖。若無多余服務(wù)器可供使用，則發(fā)布服務(wù)器可和內(nèi)容管理服務(wù)器建構(gòu)于同壹服務(wù)器上：從邏輯上，防篡改系統(tǒng)由頁面保護(hù)子系統(tǒng)、自動(dòng)發(fā)布子系統(tǒng)和監(jiān)控管理子系統(tǒng)組頁面保護(hù)子系統(tǒng)頁面保護(hù)子系統(tǒng)是系統(tǒng)的核心，內(nèi)嵌于Web服務(wù)器軟件里（即前述的核心內(nèi)嵌模塊，包含應(yīng)用防護(hù)模塊和篡改檢測模塊。應(yīng)用防護(hù)模塊對每個(gè)用戶的請求進(jìn)行安全性檢查：如果正常則發(fā)送給服務(wù)器軟件；如果發(fā)現(xiàn)有攻擊特征碼，即刻中止此次請求且進(jìn)行報(bào)警。篡改檢測模塊對每個(gè)發(fā)送的網(wǎng)頁進(jìn)行即時(shí)的完整性檢查：如果網(wǎng)頁正常則對外發(fā)送；如果被篡改則阻斷對外發(fā)送，且依照壹定策略進(jìn)行報(bào)警和恢復(fù)。Windows系統(tǒng)，頁面保護(hù)子系統(tǒng)仍包括壹個(gè)增強(qiáng)型事件觸發(fā)式檢測模塊，該模塊駐留于操作系統(tǒng)內(nèi)核，阻止大部分常規(guī)篡改手段。自動(dòng)發(fā)布子系統(tǒng)自動(dòng)發(fā)布子系統(tǒng)負(fù)責(zé)頁面的自動(dòng)發(fā)布，由發(fā)送端和接收端組成：發(fā)送端位于發(fā)布服務(wù)器上，稱之為自動(dòng)發(fā)布程序，它監(jiān)測到文件系統(tǒng)變化即進(jìn)行計(jì)算該文件水印，且進(jìn)行SSL發(fā)送；接收端位于Web服務(wù)器上，稱之為同步服務(wù)器，它接收到網(wǎng)頁和水印后，將網(wǎng)頁存放于文件系統(tǒng)中，將水印存放于安全數(shù)據(jù)庫里。所有合法網(wǎng)頁的增加、修改和刪除均通過自動(dòng)發(fā)布子系統(tǒng)進(jìn)行。監(jiān)控管理子系統(tǒng)負(fù)責(zé)篡改后自動(dòng)恢復(fù)，也提供系統(tǒng)管理員的使用界面。其功能包括：手工上傳、查見警告、檢測系統(tǒng)運(yùn)行情況、修改配置、查見和處理日志等。日志記錄所有系統(tǒng)、發(fā)布、篡改檢測和自動(dòng)恢復(fù)等信息，能夠分類分日期查見，且根據(jù)管理員的要求實(shí)現(xiàn)轉(zhuǎn)儲(chǔ)。日志記錄仍支持syslog，以實(shí)現(xiàn)和安全管理平臺(tái)的接口。Web夠有多臺(tái)安裝了防篡改模塊和同步服務(wù)軟件的Web服務(wù)器，也能夠有倆發(fā)布服務(wù)Web服務(wù)器多機(jī)和集群發(fā)布服務(wù)器支持164WebWeb的操作系統(tǒng)、Web服務(wù)器系統(tǒng)軟件、應(yīng)用腳本及網(wǎng)頁內(nèi)容既能夠相同也能夠不同。本案提供的解決方案將可實(shí)現(xiàn)異種系統(tǒng)架構(gòu)下對不同內(nèi)容的統(tǒng)壹管理。發(fā)布服務(wù)器雙機(jī)支持發(fā)布服務(wù)器雙機(jī)協(xié)同工作，即壹臺(tái)主發(fā)布服務(wù)器和壹臺(tái)熱備發(fā)布服務(wù)器。于這種部署情形下，內(nèi)容管理系統(tǒng)（CMS）需要將內(nèi)容同時(shí)發(fā)布到倆臺(tái)發(fā)布服務(wù)器上。正常狀態(tài)下，主發(fā)布服務(wù)器工作時(shí)，由它對所有Web務(wù)器進(jìn)行內(nèi)容同步。如果熱備發(fā)布服務(wù)器運(yùn)行失效（不影響網(wǎng)站系統(tǒng)運(yùn)行），壹旦于它修復(fù)后能夠從主發(fā)布服務(wù)器恢復(fù)數(shù)據(jù)，進(jìn)入正常熱備狀態(tài)。主發(fā)布服務(wù)器如果失效（即不發(fā)心跳信號(hào)，熱備發(fā)布服務(wù)器會(huì)接管工作，由熱備服務(wù)器對所有Web服務(wù)器進(jìn)行內(nèi)容同步。當(dāng)主發(fā)布服務(wù)器修復(fù)后，倆機(jī)同時(shí)工作，經(jīng)過壹段時(shí)間的數(shù)據(jù)交接時(shí)間，熱備發(fā)布服務(wù)器重新進(jìn)入熱備狀態(tài)。支持安全散列檢測方法；可檢測靜態(tài)頁面/動(dòng)態(tài)腳本/二進(jìn)制實(shí)體；支持對注入式攻擊的防護(hù)；網(wǎng)頁發(fā)布同時(shí)自動(dòng)更新水印值；網(wǎng)頁發(fā)送時(shí)比較網(wǎng)頁和水印值；支持?jǐn)嗑€/連線狀態(tài)下篡改檢測；支持連線狀態(tài)下網(wǎng)頁恢復(fù)；網(wǎng)頁篡改時(shí)多種方式報(bào)警；網(wǎng)頁篡改時(shí)可執(zhí)行外部程序或命令；能夠按不同容器選擇待檢測的網(wǎng)頁；支持增強(qiáng)型事件觸發(fā)檢測技術(shù)；加密存放水印值數(shù)據(jù)庫；支持各種私鑰的硬件存儲(chǔ)；支持使用外接安全密碼算法。自動(dòng)檢測發(fā)布服務(wù)器上文件系統(tǒng)任何變化；文件變化自動(dòng)同步到多個(gè)Web服務(wù)器；支持文件/目錄的增加/刪除/修改/更名；支持任何內(nèi)容管理系統(tǒng)；支持虛擬目錄/虛擬主機(jī)；支持頁面包含文件；支持雙機(jī)方式的冗余部署；斷線后自動(dòng)重聯(lián)；上傳失敗后自動(dòng)重試；使用SSL安全協(xié)議進(jìn)行通信；保證通信過程不被篡改和不被竊聽；通信實(shí)體使用數(shù)字證書進(jìn)行身份鑒別；所有過程有詳細(xì)的審計(jì)。三、WEB越來越多的案例表明，網(wǎng)站的安全問題隨著各類網(wǎng)絡(luò)技術(shù)手段的不斷進(jìn)步而顯現(xiàn)出來。截止到目前，以跨站腳本攻擊、SQL注入攻擊為代表的攻擊方式對傳統(tǒng)的‘防火墻+入侵防護(hù)’所組成的網(wǎng)站安全防線帶來了極大的沖擊；同時(shí)由于新的攻擊方式的出現(xiàn)，壹旦網(wǎng)站被入侵，輕則網(wǎng)站被植入惡意連結(jié)或?qū)ο螅瑢?dǎo)致訪問用戶的個(gè)人電腦中毒或被植入木馬；嚴(yán)重的話，通過網(wǎng)頁的接口導(dǎo)致客戶的信息或交易紀(jì)錄被入侵，從而面對的是漫長的調(diào)查、賠償、法律責(zé)任、甚至訴訟。如果被媒體披露的話，更會(huì)嚴(yán)重影響企事業(yè)單位的聲譽(yù)。網(wǎng)站安全風(fēng)險(xiǎn)分析：沒有適當(dāng)機(jī)制確認(rèn)目前的當(dāng)黑客利用時(shí)下WebAPCrossSiteScriptSQLInjection機(jī)制能夠??敏感信息顯示于網(wǎng)頁接口時(shí)，需進(jìn)行屏蔽，避免會(huì)然而現(xiàn)有的系統(tǒng)已經(jīng)運(yùn)作多年，需要逐壹檢視且且修IDS/IPS和防火墻，Web原本期望通過IDS/IPS測系統(tǒng)或者修補(bǔ)程序能夠阻擋的「網(wǎng)絡(luò)型攻擊」或者70%成功的黑客攻擊，都是針對『Web應(yīng)用程序』的弱點(diǎn)而不是操作系統(tǒng)的弱點(diǎn)，而且循著合法身份從WebSSL從網(wǎng)絡(luò)端實(shí)施入侵檢查和易的過程中信息被從中竊聽，而實(shí)施HTTPS/SSL制，SSL加密后的流量就會(huì)無法進(jìn)行檢查，或者要改變SSL于軟件開發(fā)流程中，擬規(guī)劃壹套系統(tǒng)化的安全設(shè)計(jì)流程，確保網(wǎng)絡(luò)應(yīng)用程序的安全。系統(tǒng)發(fā)展生命周期(SystemsDevelopmentLifeCycle,簡稱SDLC)是大部分信息應(yīng)用系統(tǒng)設(shè)計(jì)的參考模型，即壹套應(yīng)用程序軟件的發(fā)展需要?dú)v經(jīng)「分期就是系統(tǒng)發(fā)展生命周期。安全系統(tǒng)發(fā)展生命周期(SecuritySystemsDevelopmentLifeCycle)便是泛指于軟件開發(fā)生命周期中，應(yīng)考慮的信息安全措施及注意事項(xiàng)。建議導(dǎo)入自動(dòng)化網(wǎng)頁應(yīng)用程序源代碼安全檢測體系。不可否認(rèn)的，早期所開發(fā)的應(yīng)用程序，皆以「功能性」著眼，欠缺「安全性」的安全認(rèn)識(shí)和危機(jī)意識(shí)，因此于程序編寫中較少考慮到「安全性」的問題，因此不小心便導(dǎo)致所開發(fā)的Web應(yīng)用系統(tǒng)漏洞百出，導(dǎo)致SQLInjection、緩沖區(qū)溢出（Buffer-Overflow）、跨網(wǎng)站腳本攻擊（Cross-SiteScripting）等等Web序開發(fā)人員的專業(yè)領(lǐng)域，因此如何快速有效地針對單位內(nèi)現(xiàn)有和未來開發(fā)建設(shè)Web應(yīng)用系統(tǒng)進(jìn)行定期或者不定期檢驗(yàn)其可能的源代碼弱點(diǎn)和漏洞，需要壹套有系統(tǒng)有效率的「Web評估風(fēng)險(xiǎn)，提早進(jìn)行源代碼改寫和修補(bǔ)動(dòng)作。Web應(yīng)用系統(tǒng)原代碼自動(dòng)檢測系統(tǒng)所提供的服務(wù)特色為 針對程序源代碼檢測結(jié)果和方案，提供程序源代碼「弱點(diǎn)深度分析」和針對程序源代碼檢測結(jié)果和方案，提供程序源代碼「弱點(diǎn)深度分析」和「弱點(diǎn)嚴(yán)重性分析」等風(fēng)險(xiǎn)高低評估計(jì)分和圖表，協(xié)助程序開發(fā)人員規(guī)劃安排程序源代碼弱點(diǎn)安全問題修復(fù)的優(yōu)先級(jí)。清楚標(biāo)明程序源代碼弱點(diǎn)安全問題的結(jié)果和源頭，協(xié)助開發(fā)和項(xiàng)目管理人員了解程序源代碼弱點(diǎn)安全問題之發(fā)生程序行數(shù)和弱點(diǎn)來源，必須包含下列信息：可和本案「Web應(yīng)用系統(tǒng)安全防火墻」的安全訪問策略聯(lián)動(dòng)，解決復(fù)雜的應(yīng)用防火墻配置問題。開放網(wǎng)頁應(yīng)用程序安全計(jì)劃(OpenWebApplicationSecurityProject,以下簡稱OWASP)致力協(xié)助企業(yè)和政府機(jī)關(guān)(構(gòu))能夠理解和提高網(wǎng)頁應(yīng)用程序的安全性，且關(guān)注最嚴(yán)重的漏洞。OWASP2010年最新公布的十大信息安全漏洞(OWASPTop10)是壹個(gè)需要??刻處理的應(yīng)用程序安全漏洞。這些安全漏洞包括：Cross-SiteScripting（跨站腳本攻擊。網(wǎng)頁應(yīng)用程序直接將來自使用者的執(zhí)行請求送回瀏覽器執(zhí)行，使得攻擊者可擷取使用者的CookieSession數(shù)據(jù)而能直接登入成使用者。InjectionFlaw：網(wǎng)頁應(yīng)用程序執(zhí)行來自外部包括數(shù)據(jù)庫于內(nèi)的惡意指令，SQL注入,命令注入等攻擊包括于內(nèi)。MaliciousFileExecution：網(wǎng)頁應(yīng)用程序引入來自外部的惡意檔案且執(zhí)行檔案內(nèi)容。InsecureDirectObjectReference：攻擊者利用網(wǎng)頁應(yīng)用程序本身的檔案讀取功能任意存取檔案或重要數(shù)據(jù)，案例包括http://example/read.php?file=../../../../../../../c:\boot.iniCross-SiteRequestForgery(CSRF):已登入網(wǎng)頁應(yīng)用程序的合法使用者執(zhí)行HTTP指令，但網(wǎng)頁應(yīng)用程序卻當(dāng)成合法需求處理，使得惡意指令被正常執(zhí)行，案例包括社交網(wǎng)站分享的QuickTime、Flash影片中藏有惡意HTTPInformationLeakageandImproperErrorHandling：網(wǎng)頁應(yīng)用程序的執(zhí)行錯(cuò)誤訊息包含敏感數(shù)據(jù)，案例包括:系統(tǒng)檔案路徑BrokenAuthenticationandSessionManagement：網(wǎng)頁應(yīng)用程序中自行編寫的身份驗(yàn)證關(guān)聯(lián)功能有缺陷。InsecureCryptographicStorage：網(wǎng)頁應(yīng)用程序沒有對敏感性數(shù)據(jù)使用加密、使用較弱的加密算法或?qū)⒚荑€儲(chǔ)存于容易被取得之處。InsecureCommunication：沒有于傳送敏感性數(shù)據(jù)時(shí)使用HTTPS或其它加密方式。FailuretoRestrictURLAccess：某些網(wǎng)頁因?yàn)闆]有權(quán)限控制，使得攻擊者可通過網(wǎng)址直接存取，案例包括允許直接修改Wiki或Blog網(wǎng)頁內(nèi)容。歸咎這些安全漏洞的根本原因，乃于于網(wǎng)頁應(yīng)用程序本身存于安全漏洞，忽略應(yīng)該注意的函數(shù)處理和防范來自使用者的惡意攻擊。倘若這些安全漏洞于開發(fā)和部署過程沒有被檢測出來，則日后就會(huì)發(fā)生信息安全事件。利用‘Web系統(tǒng)原代碼自動(dòng)檢測系統(tǒng)’所提供的檢測服務(wù)可事先發(fā)現(xiàn)網(wǎng)站所潛藏的上述安全漏洞。Web導(dǎo)入網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)的好處于于 于修補(bǔ)源代碼中存于的安全隱患之前（可能因?yàn)殚_發(fā)團(tuán)隊(duì)變更、服務(wù)無法暫停等原因暫時(shí)無法對安全隱患進(jìn)行修補(bǔ)，則依靠網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)提供Web應(yīng)用安全防護(hù)，從而保證網(wǎng)站應(yīng)用的安全性；能夠?qū)⒕W(wǎng)頁應(yīng)用程序源代碼安全檢測系統(tǒng)檢測出的安全問題自動(dòng)直接生成網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)所需使用的安全防護(hù)規(guī)則（AccessPolicy）得網(wǎng)頁應(yīng)用程序源代碼安全檢測系統(tǒng)和網(wǎng)頁應(yīng)用程序防火墻系統(tǒng)產(chǎn)生互相聯(lián)動(dòng)，從而做到網(wǎng)站應(yīng)用安全的自動(dòng)化防護(hù)。通過網(wǎng)頁應(yīng)用程序防火墻的部署，讓訪問者對網(wǎng)站的請求，以及網(wǎng)站預(yù)計(jì)響應(yīng)給訪問者的顯示網(wǎng)頁，均經(jīng)過「Web應(yīng)用系統(tǒng)安全防火墻」全程檢查和檢視其行為」或者「重置合法和合適的響應(yīng)」，讓「使用者」和「系統(tǒng)管理者」均能夠繼續(xù)「安心」的運(yùn)作?！竁eb應(yīng)用系統(tǒng)安全防火墻」部署架構(gòu)如下圖：WEB同壹解決方案除了提供硬件式應(yīng)用防護(hù)設(shè)備外，可依實(shí)際需求選擇將軟件式應(yīng)用防火墻系統(tǒng)安裝于Web服務(wù)器主機(jī)上，不需要調(diào)整網(wǎng)絡(luò)和系統(tǒng)架構(gòu)。支持【集中叢集控管(ClusterManagement)】方式，通過統(tǒng)壹集中管理接口，同時(shí)管理和安全防護(hù)規(guī)則部署多臺(tái)「Web應(yīng)用系統(tǒng)軟件式防火墻支持集群內(nèi)各臺(tái)「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」運(yùn)行狀態(tài)，如有異常，??即顯示。具備多管理者、多網(wǎng)站群組的權(quán)限管理能力，提供讓特定管理者管理特定網(wǎng)站群組安全防護(hù)規(guī)則的能力內(nèi)建「Web應(yīng)用系統(tǒng)軟件式防火墻系統(tǒng)」紀(jì)錄查詢和查見工具，方便實(shí)時(shí)分析，提供多重條件過濾查詢功能，無須額外購置審計(jì)報(bào)表分析工具。提供符合法規(guī)遵循角度需求的審計(jì)紀(jì)錄，詳細(xì)紀(jì)錄系統(tǒng)的操作和變更，方便審計(jì)人員查驗(yàn)。提供統(tǒng)計(jì)報(bào)表能力，提供多種預(yù)設(shè)統(tǒng)計(jì)圖表，支持自定義設(shè)定分析范圍和時(shí)間區(qū)段，產(chǎn)生滿足單位需求和法規(guī)遵循要求的報(bào)表。提供直接過濾防護(hù)SSL加密網(wǎng)頁的機(jī)制，安裝部署時(shí)，不需要更改密鑰存放位置，避免密鑰管理的額外問題?？煞烙铝?910,000頁攻擊方法。支持下列OWASPTop10十大網(wǎng)頁應(yīng)用程序弱點(diǎn)的攻擊模式。提供「輸入驗(yàn)證(InputValidation)」處理機(jī)制，提供黑名單或者白名單方式驗(yàn)證使用者輸入內(nèi)容數(shù)據(jù)的類型、范圍、格式和長度。提供「客戶端瀏覽器存取權(quán)限」的管理能力，能夠限制存取網(wǎng)站的客戶IP地址、使用的瀏覽器版本、網(wǎng)頁開放存取的時(shí)間范圍以及SSL密的強(qiáng)度等等存取條件。提供「網(wǎng)頁存取身份驗(yàn)證(Authentication)」處理機(jī)制，讓缺乏賬號(hào)密碼等權(quán)限管理的網(wǎng)頁具備身份驗(yàn)證能力。提供「網(wǎng)頁存取安全會(huì)話(SecureSession)」處理機(jī)制，保護(hù)客戶端瀏覽器Cookie的安全使用，降低Cookie外泄的機(jī)率。提供「網(wǎng)頁上傳下載雙向過濾保護(hù)」功能，通過關(guān)鍵詞過濾網(wǎng)站惡意內(nèi)容或不當(dāng)文字，或是防止機(jī)敏數(shù)據(jù)外泄。針對網(wǎng)頁敏感信息，例如：信用卡信息、身份證號(hào)等隱私數(shù)據(jù)，提供「自動(dòng)屏蔽(AutoMask/XXX)」功能機(jī)制，避免單位機(jī)密數(shù)據(jù)或者個(gè)人隱私外泄。提供「反釣魚(Anti-Phishing)」功能，可通過黑、白或灰名單方式限制釣魚網(wǎng)站引用主網(wǎng)站的內(nèi)容。通過ReferenceChecking強(qiáng)制網(wǎng)站的使用方式，防止網(wǎng)站內(nèi)容遭受未經(jīng)合法授權(quán)的「強(qiáng)迫瀏覽」或者「盜連」。內(nèi)建「安全防護(hù)規(guī)則設(shè)定」向?qū)?，根?jù)實(shí)際需求和環(huán)境提供彈性和自定義安全防護(hù)規(guī)則的設(shè)定功能。提供安全防護(hù)規(guī)則集的「版本管理」機(jī)制，且且支持「版本回溯(Rollback)」功能。支持人工智能安全防護(hù)規(guī)則「學(xué)習(xí)模式」，提供網(wǎng)站系統(tǒng)安全防護(hù)規(guī)則設(shè)定的建議。支持下列操作系統(tǒng)：Windows、LinuxUnix-Like作業(yè)系統(tǒng)可和「Web應(yīng)用系統(tǒng)源代碼自動(dòng)檢測系統(tǒng)」所生成的安全防護(hù)規(guī)則聯(lián)動(dòng)。通過「Web應(yīng)用系統(tǒng)安全防火墻」和「網(wǎng)站源代碼弱點(diǎn)檢測」的部署和導(dǎo)入，預(yù)期達(dá)到的效益和目標(biāo)：。對于線運(yùn)作的網(wǎng)站應(yīng)用程序進(jìn)行防護(hù)，降低被黑風(fēng)險(xiǎn)：給使用者的顯示網(wǎng)頁，均經(jīng)過「Web于網(wǎng)站程序漏洞被黑客利用前，即可進(jìn)行修補(bǔ)，以治本方式根除漏洞：培養(yǎng)開發(fā)團(tuán)隊(duì)編寫高安全性的網(wǎng)頁程序代碼和安全網(wǎng)站能力：藉由網(wǎng)站源代碼的掃描方案解讀和程序代碼修正程序。讓開發(fā)團(tuán)隊(duì)的程序開發(fā)人員，熟悉高安全性的網(wǎng)頁程序的編寫方法，進(jìn)而養(yǎng)成良好的編寫和測試習(xí)慣。內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN,ContentDistributionNetwork）服務(wù)=智能的網(wǎng)站鏡像+頁面緩存+流量導(dǎo)流。CDN所做的，就是為互聯(lián)網(wǎng)上的內(nèi)容提供EMS服務(wù)，于最正確的時(shí)間用最正確的手段，把最正確的內(nèi)容，推送到最正確的地點(diǎn)（訪問客戶，能夠幫助用戶解決分布式存儲(chǔ)、負(fù)載均衡、網(wǎng)絡(luò)請求的重定向和網(wǎng)站內(nèi)容管理等問題。其目的是通過于現(xiàn)有的Internet中增加壹層新的網(wǎng)絡(luò)架構(gòu)，將網(wǎng)站的內(nèi)容發(fā)布到最接近用戶的網(wǎng)絡(luò)“邊緣”，使網(wǎng)站訪問用戶能夠就近取得所需的網(wǎng)頁內(nèi)容，解決Internet網(wǎng)絡(luò)擁塞情況、提高用戶訪問網(wǎng)站的響應(yīng)速度。從技術(shù)全面解決由于網(wǎng)絡(luò)帶寬小、用戶訪問量大、網(wǎng)點(diǎn)分布不均而產(chǎn)生的用戶訪問網(wǎng)站響應(yīng)速度慢的根本原因。CDN網(wǎng)絡(luò)營造了壹個(gè)網(wǎng)絡(luò)運(yùn)營環(huán)境，不僅能夠提供以網(wǎng)絡(luò)加速為基礎(chǔ)的系列服務(wù)，包括針對網(wǎng)頁、流媒體、文件傳輸、文件播放等內(nèi)容提供加速，仍能提供壹些關(guān)聯(lián)的增值服務(wù)以更有效地滿足客戶于這些應(yīng)用方面的需求。CDN眾所周知，互聯(lián)網(wǎng)的訪問速度取決于眾多的因素，包括Internet網(wǎng)絡(luò)傳輸質(zhì)量、國內(nèi)南北互聯(lián)互通問題、網(wǎng)站服務(wù)器性能、網(wǎng)站出口帶寬、網(wǎng)頁程架構(gòu)和網(wǎng)頁內(nèi)容類型等等。CDN網(wǎng)頁加速產(chǎn)品采用全球智能域名解析系統(tǒng)和高速緩存等專業(yè)技術(shù)，通過遍布全球的CDN網(wǎng)絡(luò)把網(wǎng)頁內(nèi)容分發(fā)到離網(wǎng)民最近的邊緣節(jié)點(diǎn)用戶能夠從最適合的節(jié)點(diǎn)上獲得所需的內(nèi)容，從而提高網(wǎng)站的訪問速度和質(zhì)量。CDN網(wǎng)頁加速產(chǎn)品支持SSL加密，網(wǎng)頁壓縮，防盜鏈等功能：網(wǎng)頁壓縮功能：支持網(wǎng)站本身的壓縮功能，同時(shí)能夠幫助未實(shí)現(xiàn)壓縮功能的網(wǎng)站提供壓縮服務(wù)，通過壓縮數(shù)據(jù)大小的改變，減少數(shù)據(jù)傳輸?shù)臅r(shí)間，節(jié)省傳輸?shù)膸挘鬼撁骘@示速度自然提高。防盜鏈功能：IPURL地域化內(nèi)容服務(wù)功能：CDN安全的分發(fā)內(nèi)容CDNDDoS整個(gè)分發(fā)網(wǎng)絡(luò)中除了網(wǎng)絡(luò)層有加密校驗(yàn)機(jī)制，分發(fā)的文件會(huì)攜帶特定的加密碼，于傳送到最終目的地后進(jìn)行校驗(yàn)完畢后確認(rèn)文件于傳輸過程中沒有缺失和修改，返回給中央分發(fā)服務(wù)系統(tǒng)安全到達(dá)的信息，且服務(wù)器采用專有OS構(gòu)，即使遭到攻擊黑客也無法篡改用戶內(nèi)容，保證分發(fā)內(nèi)容的安全性和完整性。完善的日志分析完善的日志分析功能，能夠根據(jù)用戶個(gè)性需求，制定多重樣式的日志分析方案，包括用戶訪問行為分析、用戶來源地分析、網(wǎng)站點(diǎn)擊率分析等。且能夠提供自動(dòng)報(bào)表生成。網(wǎng)站流量及時(shí)方案網(wǎng)站異常告警網(wǎng)站鏡像網(wǎng)站頁面訪問性能優(yōu)化CDN服務(wù)為訪問用戶提供更快的網(wǎng)站訪問速度，且降低源站的訪問壓力。而源站本地則能夠采用服務(wù)器負(fù)載均衡（SLB,ServerLoadBalance）技術(shù)方案進(jìn)壹步降低源站的訪問中斷風(fēng)險(xiǎn)。更完善的負(fù)載均衡方案是采用廣域負(fù)載均衡（GLSB,GlobalServerLoadBalance）技術(shù)為應(yīng)用網(wǎng)站提供不同地域的主用/備用站點(diǎn)架構(gòu)，如上圖示，假設(shè)于Internet上提供倆個(gè)服務(wù)，分別為WorldWideWeb服務(wù)()和E-commerce服務(wù)()，而今我們于防火墻和交換機(jī)之間加入了SLB，此設(shè)備于OSI/ISO七層架構(gòu)中屬于三到七層的設(shè)備，因此能夠整合不同平臺(tái)、新舊不同的服務(wù)器，另外、服務(wù)器也由壹臺(tái)增加至三臺(tái)，我們稱為服務(wù)器農(nóng)場(ServerFarm),且且將原本屬于服務(wù)器的IP地址移到SLB備上，對使用者而言依然是存取此IP上的服務(wù)，沒有改變。因此，必須指定另外壹個(gè)網(wǎng)段的IP給原來的服務(wù)器使用。此時(shí)，SLB設(shè)備除對外提供服務(wù)，對內(nèi)做到下列的功能：網(wǎng)絡(luò)地址轉(zhuǎn)換(利用此技術(shù)將內(nèi)部的虛擬IP對應(yīng)到外部的真實(shí)IP(視提供的服務(wù)而定，于此例中有二個(gè)IPNAT)，如此壹來便能夠解決用壹個(gè)IP來代替許多不同的IP的問題。有效分配負(fù)載流量：如何將由Internet上的流量分配到后端的服務(wù)器上，其中包含了那壹臺(tái)服務(wù)器該負(fù)責(zé)較多的工作，或是壹視同仁的照次序分配而不考慮效能等因素，我們稱為負(fù)載平衡模式(LoadBalanceMode)。Healthcheck機(jī)制：SLB設(shè)備能夠有效掌控后端服務(wù)器的情況，必須定期自動(dòng)檢查服務(wù)器的運(yùn)作情形，以免發(fā)生將使用者數(shù)據(jù)請求引導(dǎo)至發(fā)生故障或是過于忙碌的服務(wù)器上的情形。Fail-Over機(jī)制：SLB架構(gòu)建置完成，SLB設(shè)備便成為非常重要的壹個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)。壹旦發(fā)生故障，整個(gè)服務(wù)便會(huì)中斷，因此備援是非常重要的課題，理想的備援機(jī)制是于完全不影響使用者的前提下完成取代故障設(shè)備且提供服務(wù)的工作，壹般我們也稱之為高可靠度(HighAvailability)。廣域負(fù)載均衡（GSLB，GlobalServerLoadBalance）是壹種將SLB的概念擴(kuò)展到廣域范圍的技術(shù)，和SLB于壹個(gè)單獨(dú)的節(jié)點(diǎn)上為壹組服務(wù)器提供負(fù)載均衡服務(wù)不同，GSLB提供了壹種對多個(gè)不同地域的服務(wù)器群(多個(gè)節(jié)點(diǎn))提供負(fù)載均衡的服務(wù)，于實(shí)現(xiàn)上能夠分為倆個(gè)方面，壹方面是如何實(shí)現(xiàn)將用戶的請求指向到選定的節(jié)點(diǎn)上，壹方面是研究如何確定最佳的站點(diǎn)。GSLB服務(wù)能夠?qū)Ψ植加诓煌赜虻亩鄠€(gè)源站服務(wù)器群提供廣域負(fù)載均衡服務(wù)，采用DNS解析的方式來實(shí)現(xiàn)用戶訪問重定向，同時(shí)采用智能策略確定最佳源站點(diǎn)，提高了服務(wù)的可用性和系統(tǒng)性能。原理說明：廣域負(fù)載均衡于DNS解析階段實(shí)現(xiàn)：客戶端針對壹個(gè)域名（Domain）發(fā)送壹個(gè)DNS 廣域負(fù)載均衡由壹系列算法返回壹個(gè)最優(yōu)siteIP（延時(shí)最小、距離最近等?？蛻舳讼虼薎P發(fā)起連接請求。當(dāng)客戶端向某IP發(fā)起訪問連接請求時(shí)，執(zhí)行（本地）服務(wù)器負(fù)載均衡（SLB，負(fù)載均衡設(shè)備根據(jù)最優(yōu)算法選擇服務(wù)器和相應(yīng)的服務(wù)轉(zhuǎn)發(fā)請求，如上圖所示。Web完全支持URLURLHTTP信息分配流量。每個(gè)URL定向到某服務(wù)器，或于多個(gè)服務(wù)器之間進(jìn)行負(fù)載均衡，從而提供優(yōu)化的WebURL文本中包含的信息，能夠保持客戶持續(xù)性，從而保證內(nèi)容的個(gè)性化。通過負(fù)載均衡優(yōu)化服務(wù)器資源 輪詢 最少用戶數(shù) 最少數(shù)據(jù)包數(shù) 最少字節(jié)數(shù) 最快回應(yīng)時(shí)間 SNMP健康情況檢查能夠監(jiān)視服務(wù)器于IP、TCP、UDP、應(yīng)用和內(nèi)容等所有協(xié)議層上的工作狀態(tài)。如果發(fā)現(xiàn)故障，訪問用戶即被透明地重定向到正常工作的服務(wù)器上。完全的容錯(cuò)和冗余雙機(jī)備援架構(gòu)方式提供設(shè)備間的完全容錯(cuò)，以確保網(wǎng)絡(luò)最大的可用性。倆個(gè)設(shè)備通過網(wǎng)絡(luò)相互檢查各自的工作狀態(tài)，為其所管理的應(yīng)用保障完全的網(wǎng)絡(luò)可用性。它們可工作于‘主用-備用’模式或‘主用-主用’模式，于‘主用-主用’模式下，因?yàn)閭z個(gè)設(shè)備均處于工作狀態(tài)，從而最大限度地保護(hù)了投資。且且所有的訪問會(huì)話信息均可于設(shè)備間進(jìn)行鏡像，從而提供透明的冗余和完全的容錯(cuò)，確保于任何時(shí)候用戶均能夠獲得網(wǎng)站訪問的最佳服務(wù)。通過正常退出服務(wù)保證穩(wěn)定運(yùn)行當(dāng)需要進(jìn)行服務(wù)器升級(jí)或系統(tǒng)維護(hù)時(shí)，負(fù)載均衡設(shè)備可保證穩(wěn)定的服務(wù)器退出服務(wù)以避免網(wǎng)站訪問中斷。當(dāng)選定某臺(tái)服務(wù)器要退出負(fù)載均衡服務(wù)后，新的訪問連接將不會(huì)被指向該服務(wù)器。應(yīng)用安全 DDoS保護(hù)：識(shí)別和保護(hù)應(yīng)用基礎(chǔ)架構(gòu)不受DoS/DDoS攻擊。這種保護(hù)已超越了其他供應(yīng)商采用的傳統(tǒng)SYNcookie技術(shù)所提供的保護(hù)。 入侵過濾：通過于惡意蠕蟲和病毒進(jìn)入應(yīng)用服務(wù)器前進(jìn)行識(shí)別且拒絕，保護(hù)應(yīng)用服務(wù)器不受侵襲。包檢測和過濾功能（包括對加密流量進(jìn)行檢測）可支持管理員制定政策來保護(hù)系統(tǒng)不受這些攻擊。 SSL加密：應(yīng)用內(nèi)容于傳輸過程中均受加密保護(hù)，通過卸載服務(wù)器復(fù)雜的加密任務(wù)將應(yīng)用處理能力發(fā)揮到了極致。該功能使管理員能保護(hù)敏感應(yīng)用內(nèi)容的安全，使其擺脫被竊取及被濫用的潛于威脅。旁路建構(gòu)方式，保障原有網(wǎng)絡(luò)結(jié)構(gòu)負(fù)載均衡設(shè)備可選擇以旁路方式連接至網(wǎng)站系統(tǒng)，降低Web應(yīng)用交付使用的延宕風(fēng)險(xiǎn)。事件的分類分級(jí)，用于信息安全事件的防范和處置，為事前準(zhǔn)備、事中應(yīng)對、事后處理提供壹個(gè)整體事件防范和處置的基礎(chǔ)。根據(jù)信息安全事件發(fā)生的原因、表現(xiàn)形式等，可將各種信息安全事件歸納為六大類。惡意程序事件：7網(wǎng)絡(luò)攻擊事件：7信息內(nèi)容安全事件：2設(shè)備設(shè)施故障：災(zāi)害性事件：其他信息安全事件：5度、系統(tǒng)損失和社會(huì)影響。系統(tǒng)損失是指由于信息安全事件對信息系統(tǒng)的軟硬件、功能及數(shù)據(jù)的破壞，導(dǎo)致系統(tǒng)業(yè)務(wù)中斷，從而給事發(fā)組織和國家所造成的損失，其大小主要考慮恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)。重大事件（較大事件（壹般事件（透過網(wǎng)站內(nèi)、外網(wǎng)自動(dòng)監(jiān)控手段且輔以人工測試方式，可將前文所列的各類事件進(jìn)行嚴(yán)重等級(jí)劃分，說明如下：Ⅰ級(jí)DDoS屬安全隱患性的較大SQL掃描發(fā)現(xiàn)的系統(tǒng)及估方案及解決方案提交網(wǎng)站管理屬壹般告警事件，此類事件發(fā)生時(shí)，對網(wǎng)站系統(tǒng)運(yùn)行的影響較應(yīng)急響應(yīng)服務(wù)體系由上海絡(luò)安的上海世博會(huì)信