基于HTTP反向代理的Web安全網(wǎng)關(guān)技術(shù)研究.pdf

1、隨著移動(dòng)互聯(lián)網(wǎng)的發(fā)展，越來(lái)越多的基于HTTP協(xié)議的互聯(lián)網(wǎng)應(yīng)用正改變著人們的生活。但由于HTTP協(xié)議的開(kāi)放特性和自身設(shè)計(jì)上存在的安全缺陷，采用HTTP協(xié)議的Web應(yīng)用容易出現(xiàn)資源越權(quán)訪問(wèn)、網(wǎng)絡(luò)攻擊和流量分析等安全問(wèn)題。傳統(tǒng)意義上對(duì)于這些安全問(wèn)題的防范均停留在Web服務(wù)器和Web應(yīng)用層面上，隨著網(wǎng)絡(luò)攻擊形式的多樣化，形如OpenSSL互聯(lián)網(wǎng)基礎(chǔ)設(shè)施軟件漏洞頻發(fā)，對(duì)于安全問(wèn)題應(yīng)對(duì)出現(xiàn)滯后性，而且應(yīng)用開(kāi)發(fā)人員在安全問(wèn)題上花費(fèi)大量精力和時(shí)間而不能

2、專(zhuān)注于Web應(yīng)用軟件本身。
　　傳統(tǒng)安全防護(hù)軟件在架構(gòu)上多數(shù)采用安全模塊的形式嵌入到Web服務(wù)器上，但隨之帶來(lái)了與Web服務(wù)器耦合、部署困難和帶來(lái)不穩(wěn)定因素等問(wèn)題。而且，在大部分安全防護(hù)軟件中，防護(hù)來(lái)自HTTP攻擊流量時(shí)，采取了特征靜態(tài)匹配的方式，使得防護(hù)處于被動(dòng)。隨著人工智能研究的興起，越來(lái)越多的安全防護(hù)算法已經(jīng)開(kāi)始采用主動(dòng)的機(jī)器學(xué)習(xí)來(lái)識(shí)別新型網(wǎng)絡(luò)攻擊。但是，由于絕大部分算法沒(méi)有深入HTTP報(bào)文協(xié)議本身，僅僅是對(duì)HTTP報(bào)文整體

3、數(shù)據(jù)進(jìn)行分析研判，割裂了數(shù)據(jù)之間的關(guān)聯(lián)性，所以容易出現(xiàn)漏報(bào)和誤報(bào)等問(wèn)題。
　　因此，傳統(tǒng)的安全防護(hù)技術(shù)不足以應(yīng)對(duì)復(fù)雜多樣的網(wǎng)絡(luò)攻擊、高并發(fā)用戶(hù)請(qǐng)求和苛刻的服務(wù)器穩(wěn)定要求。本文試圖從解決傳統(tǒng)安全防護(hù)技術(shù)存在的防護(hù)措施單一、架構(gòu)耦合、模塊難擴(kuò)展以及性能瓶頸等問(wèn)題入手，主要工作有:
　　1、提出了一種基于HTTP反向代理服務(wù)器的Web安全網(wǎng)關(guān)系統(tǒng)解決方案，并給出了系統(tǒng)設(shè)計(jì)和關(guān)鍵技術(shù)的實(shí)現(xiàn)方法，實(shí)現(xiàn)了一個(gè)原型系統(tǒng);
　　2、提

4、出的“安全檢測(cè)校驗(yàn)鏈”及其樹(shù)形層次分析結(jié)構(gòu)能在Web安全網(wǎng)關(guān)中以可擴(kuò)展的方式進(jìn)行攻擊檢測(cè)和防御，有效解決了傳統(tǒng)Web安全防護(hù)手段擴(kuò)展困難的問(wèn)題;
　　3、基于“安全檢測(cè)校驗(yàn)鏈”改進(jìn)了傳統(tǒng)的HTTP攻擊檢測(cè)模型，從解析HTTP請(qǐng)求報(bào)文協(xié)議入手，在整體上應(yīng)用DFA（有窮狀態(tài)自動(dòng)機(jī)）報(bào)文檢測(cè)，抵御畸形HTTP請(qǐng)求報(bào)文的攻擊，在局部上解構(gòu)并分析HTTP請(qǐng)求報(bào)文，針對(duì)可能出現(xiàn)攻擊的請(qǐng)求URL、請(qǐng)求頭元數(shù)據(jù)以及請(qǐng)求主體三大部分均采用N-gra

5、m特征提取與信息增益特征向量篩選算法，結(jié)合BP神經(jīng)網(wǎng)絡(luò)分類(lèi)算法，采用不同的學(xué)習(xí)數(shù)據(jù)庫(kù)進(jìn)行有針對(duì)性的攻擊報(bào)文檢測(cè)和攔截;
　　4、所設(shè)計(jì)的Web安全網(wǎng)關(guān)還能實(shí)現(xiàn)對(duì)請(qǐng)求用戶(hù)的黑白名單篩查、通過(guò)訪問(wèn)控制列表限制對(duì)受保護(hù)資源的訪問(wèn)，以及多種形式網(wǎng)絡(luò)攻擊的規(guī)則匹配防護(hù)等功能。
　　據(jù)本文所實(shí)現(xiàn)的基于HTTP反向代理的Web安全網(wǎng)關(guān)系統(tǒng)原型及其核心功能，經(jīng)過(guò)實(shí)驗(yàn)表明，系統(tǒng)可擴(kuò)展性較強(qiáng)，對(duì)HTTP攻擊報(bào)文判斷準(zhǔn)確，可以為Web服務(wù)器和We