Web應(yīng)用安全網(wǎng)關(guān)部分功能的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著Internet技術(shù)的飛速發(fā)展，Web網(wǎng)站及應(yīng)用系統(tǒng)逐漸滲透到各行各業(yè)，當(dāng)前此類(lèi)Web應(yīng)用的特點(diǎn)包括:客戶、員工、合作伙伴間基于Web應(yīng)用的互動(dòng)更多;工作系統(tǒng)大多也都網(wǎng)絡(luò)化;關(guān)鍵業(yè)務(wù)流程和數(shù)據(jù)過(guò)多的曝露在網(wǎng)絡(luò)上;協(xié)議和架構(gòu)的標(biāo)準(zhǔn)化也帶來(lái)更多的安全問(wèn)題。因此，Web應(yīng)用的安全控制就顯得尤為重要，也將是今后相當(dāng)長(zhǎng)一段時(shí)間亟待解決的問(wèn)題。針對(duì)Web應(yīng)用網(wǎng)絡(luò)安全，比較傳統(tǒng)的是采用防火墻、IDP/IPS相互配合，來(lái)進(jìn)行Web的應(yīng)用程序安全控制

2、，但這些傳統(tǒng)的防護(hù)技術(shù)手段，都是在已知安全特征基礎(chǔ)上的應(yīng)用安全檢測(cè)及防護(hù)手段，而且它們只能做到網(wǎng)絡(luò)，有的可以處理協(xié)議層數(shù)據(jù)包，對(duì)于在Web的應(yīng)用層做大量采用，同時(shí)又是在被攻擊的重點(diǎn)對(duì)象是動(dòng)態(tài)頁(yè)面的情況下是無(wú)計(jì)可施的。
　　本論文是以當(dāng)前流行的八種Web攻擊類(lèi)型（SQL注入、XSS攻擊、Web惡意掃描、CSRF攻擊、應(yīng)用層Dos攻擊、網(wǎng)站盜鏈攻擊、Cookie篡改攻擊和網(wǎng)頁(yè)掛馬攻擊）及其對(duì)應(yīng)的檢測(cè)防御技術(shù)為切入點(diǎn)，基于對(duì)新形式下的W

3、eb應(yīng)用安全問(wèn)題的考慮，研發(fā)出一個(gè)Web應(yīng)用安全網(wǎng)關(guān)。本人主要參與實(shí)現(xiàn)的是Web攻擊防護(hù)模塊、Web非授權(quán)訪問(wèn)防護(hù)模塊和Web惡意代碼防護(hù)模塊的設(shè)計(jì)與實(shí)現(xiàn)。
　　通過(guò)部署本網(wǎng)關(guān)能夠?qū)崿F(xiàn)加強(qiáng)Web安全防護(hù)能力，能夠?qū)eb應(yīng)用主流的應(yīng)用層攻擊進(jìn)行防護(hù)。實(shí)現(xiàn)系統(tǒng)將主要解決Web應(yīng)用站點(diǎn)的安全防護(hù)，功能模塊包括:Web攻擊防護(hù)模塊，主要是對(duì)Web應(yīng)用是否存在SQL注入、XSS攻擊、Web惡意掃描和應(yīng)用層DoS攻擊進(jìn)行特征檢測(cè)防御并阻斷;