Web安全解决方案

随着互联网技术的不断发展，越来越多的企业和组织通过门户网站、在线服务平台等向公众提供服务，Web应用的重要程度不言而喻。

由于Web应用具有访问对象开放、技术架构复杂、涉及场景多样等特点，使其长期成为攻击的第一目标。根据最新的调查报告显示，信息安全攻击中超过75%都发生在Web应用层而非网络层上，可能造成的危害结果包括服务器沦陷、数据信息泄露、服务应用中断、网站内容篡改等，每年都给数以万计的用户造成了巨大的损失。

与此同时，国家机关和行业监管部门也不断加大监察和惩治力度，通过自建监测平台或者与互联网众测平台合作等模式，监管机构拥有了越来越专业的Web安全检测手段，这使得系统运维者面临的防护压力与日俱增。

Web系统的安全建设涉及到风险的发现与处置两个方面，良好的Web整体防护体系需要具备提前感知漏洞存在的能力，并通过有效的技术防护手段落地，降低或者消除漏洞暴漏的风险，达到整体防护能力提升的目标，详细分析“安全监测”与“安全防护”这两个领域，用户需要解决的业务挑战包括：

安全监测

• Web漏洞的感知与验证

• Web系统可用性监控

• 源代码安全分析

• 0 Day漏洞发现

• Web未知资产监测

安全防护

• DDoS攻击防护

• 0 Day漏洞防护

• Web常见攻击防护

• Web 页面内容防护

• Web数据防护

• Web运维防护

方案组成

基于“云+本地”的Web安全解决方案，整合了自主研发业界领先的众测平台、代码安全扫描工具、云端监测工具、云端防护SAAS服务、本地应用及漏洞感知系统等多种先进技术手段，可以有效的从Web系统生命周期的各个环节管理和控制可能出现的Web风险，帮助用户建立起快速、有效、自动、全面的整体安全防护体系，保障Web应用安全性的同时，降低监管压力和合规风险。

安全防护方案组成如下图所示：

部署示意图

对于典型的Web类应用的安全防护，设备及服务的部署方式如下图所示：

Web 安全产品三大方向：Web应用防火墙（WAF）、基于SaaS 模式的Web 安全监测、混合Web安全部署架构。

• 代码卫士进行代码级安全检测，从系统开发早期发现应用缺陷，提升漏洞检出率的同时降低风险修复成本

• 通过云端网站监测有效发现Web漏洞、7*24小时监测网站可用性，云端漏洞自动验证，降低误报风险

• 本地鹰眼旁路监测设备，独创的镜像监听扫描模式，准确发现未知Web资产，自动完成漏洞检测

• 补天众测服务，集合优质白帽资源，深度分析定位系统漏洞，减少漏洞暴漏可能，降低监管压力

• 安全通告及预警服务，结合奇安信云端大数据和补天平台威胁情报，提升用户漏洞管理能力

全面立体的纵深防护体系

• 有效应对海量DDoS攻击，云端安域+本地边界抗D+WAF应用层防护，有效应对SYN Flood、UDP Flood、UDP DNS Query Flood、ICMP Flood、HTTP GET等攻击类型，保证业务高可用

• 网站完整性保护，通过云端缓存结合服务器防篡改方式，有效监测和防护各种针对网页的篡改、暗链等攻击行为，保证网站页面完整可用

• 专业的安全服务团队提供云端监控及应急响应服务，快速定位并处置突发事件，针对重保需求，按需提供驻场服务

• 统一访问行为审计，帮助用户建立内部安全大数据平台，有效分析统计各种异常行为，提高攻击防护效果，解决法律取证难题

本方案适用于政府、金融、教育、能源、工业等多种行业、覆盖大、中、小不同规模的Web类应用整体安全监测及防护场景。