Web的攻击与防御.ppt

Web安全技术 一、服务器端安全技术 服务器端安全最基本的是接入网入口的安全网关UTM ，其中IPS功能与防DDOS功能是Web服务器系统级入侵的直接防护，但UTM是通用的边界安全网关，非“专业的”Web入侵防护，一般作为安全的入门级防护。 网页防篡改技术的基本原理：是对Web服务器上的页面文件(目录下文件)进行监控，发现有更改及时恢复。所以该产品实际是一个“修补”的工具，不能阻止攻击者的篡改，就来个守株待兔，专人看守，减少损失是目标，防篡改属于典型的被动防护技术。 网页防篡改产品的部署：建立一台单独的管理服务器，然后在每台Web服务器上安装一个Agent程序，负责该服务器的“网页文件看护”，管理服务器是管理这些Agent看护策略的。 网页防篡改对保护静态页面有很好的效果 * Web安全技术 * Web安全技术 a)第一代技术，把Web服务器主目录下的文件做一个备份，用一个定时循环进程，把备份的文件与服务使用的文件逐个进行比较，不一样的就用备份去覆盖。网站更新发布时，则同时更新主目录与备份。这种方法在网站大的情况下，网页数量巨大，扫描一遍的时间太长，并且对Web服务器性能也是挤占。 b)第二代技术，采用了Hash算法，对主目录下的每个文件做Hash，生成该文件的“指纹”，定时循环进程直接计算服务用文件的Hash指纹，然后进行指纹核对，指纹一般比较小，比较方便；指纹具有不可逆的特点，不怕仿制。 * Web安全技术 c)第三代技术，既然网站上页面太多，三级以下页面的访问量，一般使用呈指数级下降，没人访问当然也不会被篡改，在这些页面重复扫描是不划算的。改变一下思路：对文件读取应该没有危险，危险的是对文件的改写操作。若只对文件被改变时才做检查，就可以大大降低对服务器资源的占用；具体做法是：开启一个看守进程，对Web服务器的主目录文件删改操作进行监控，发现有此操作，判断是否有合法身份，是否为授权的维护操作，否则阻断其执行，文件不被改写，也就起到了网页防篡改的目的。这个技术也称为事件触发防篡改。 这种技术需要考验对服务器操作系统的熟悉程度，但黑客也是高手，你的看护进程是用户级的，黑客可以获得高级权限，绕过你的“消息钩子”，监控就成了摆设。 * Web安全技术 d)第四代技术，既然是比谁的进程权限高，让操作系统干这个活儿，应该是最合适的，黑客再牛也不可能越过操作系统自己“干活”。因此，在Windows系统中，提供系统级的目录文件修改看护进程(系统调用)，防篡改产品直接调用就可以了，或者利用操作系统自身的文件安全保护功能，对主目录文件进行锁定(Windows对自己系统的重要文件也采取了类似的防篡改保护，避免病毒的侵扰)，只允许网站发布系统(网页升级更新)才可以修改文件，其他系统进程也不允许删改。 网页防篡改系统可以用于Web服务器，也可以用于中间件服务器，其目的都是保障网页文件的完整性。 * Web安全技术 web防火墙 防止网页被篡改是被动的，能阻断入侵行为才是主动型的，Web防火墙，主要是对Web特有入侵方式的加强防护，如DDOS防护、SQL注入、XML注入、XSS等。由于是应用层而非网络层的入侵，从技术角度都应该称为Web IPS，而不是Web防火墙。这里之所以叫做Web防火墙，是因为大家比较好理解，业界流行的称呼而已。由于重点是防SQL注入，也有人称为SQL防火墙。 * Web安全技术 * Web安全技术 Web防火墙的主要技术的对入侵的检测能力，尤其是对Web服务入侵的检测，主要有以下几种方式： ◆代理服务：代理方式本身就是一种安全网关，基于会话的双向代理，中断了用户与服务器的直接连接，适用于各种加密协议，这也是Web的Cache应用中最常用的技术。代理方式防止了入侵者的直接进入，对DDOS攻击可以抑制，对非预料的“特别”行为也有所抑制。Netcontinuum(梭子鱼)公司的WAF就是这种技术的代表。?? ?? * Web安全技术 ◆特征识别：识别出入侵者是防护的前提。特征就是攻击者的“指纹”，如缓冲区溢出时的Shellcode，SQL注入中常见的“真表达(1=1)”…应用信息没有“标准”，但每个软件、行为都有自己的特有属性，病毒与蠕虫的识别就采用此方式，麻烦的就是每种攻击都自己的特征，数量比较庞大，多了也容易相象，误报的可能性也大。虽然目前恶意代码的特征指数型地增长，安全界声言要淘汰此项技术，但目前应用层的识别还没有特别好的方式。?? * Web安全技术 ◆算法识别：特征识别有缺点，人们在寻求新的方式。对攻击类型进行归类，相同类的特征进行模式化，不再是单个特征的比较，算法识别有些类似模式识别，但对攻击方式依赖性