梭子鱼应用防火墙在纳斯达克(NASDAQ)的实施案例.pdf

    梭子鱼应用防火墙在纳斯达 克（NASDAQ）的实施案例     关于纳斯达克（NASDAQ） 纳斯达克(Nasdaq)是全美证券商协会自动报价系统（National Association of Securities Dealers Automated Quotations）英文缩写，目前已成为纳斯达克股票市 场的代名词。信息和服务业的兴起催生了纳斯达克。纳斯达克始建于 1971 年，是一 个完全采用 电子交易、为新兴产业提供竞争舞台、自我监管、面向全球的股票市场。 纳斯达克是全美也是世界最大的股票电子交易市场。 纳斯达克的特点是收集和发布场外交易非上市股票的证券商报价。它现已成为全 球最大的证券交易市场。目前的上市公司有5200多家。纳斯达克又是全世界第一个采 用 电子交易的股市，它在55个国家和地区设有26万多个计算机销售终端。 Web安全防护至关重要 由于纳斯达克是一个电子交易系统，经营着全球最大的资本市场，系统的安全性和可靠 性成为至关重要的因素。 由于纳斯达克的交易使用电子在线系统，又因为。 纳斯达克拥有其官方网站，为用户提供了一个信息共享的平台。由于纳斯达克在金融行 业的地位和影响力，并且该网站包含大量的金融信息，致使其成为世界各地黑客的攻击目标。 通过对纳斯达克的官方网站的加固和防护，可以确保其免受各类Web攻击，这些Web攻击 主要包括： 1.缓存溢出 — 薄弱的应用编码会尝试将应用数据存储于缓存中，而不是正常的分配，这 将最终导致一个攻击，借此，恶意代码将溢出到另外一个缓存中来执行恶意代码。 2.跨站点脚本攻击— 攻击类型的代码数据被插入到另外一个可信任区域的数据中，最终导 致使用可信任的身份来执行攻击 3.服务拒绝攻击 — 这种攻击会导致服务没有能力为正常业务提供服务 4.异常错误处理—错误发生时，向用户提交错误提示是很正常的事情，但是如果提交的错误 提示中包含了太多的内容，就有可能会被攻击者分析出网络环境的结构或配置。 5.非法session ID — 当session ID没有被正常使用时，攻击者可以破坏Web会话，并且实 施多个攻击（通过冒用其他的可信任的凭证），借此来绕开认证机制。 6.命令注入 — 如果没有成功的阻止带有语法含义的输入内容，有可能导致对数据库信息的     非法访问。