Web应用的安全现状及防护措施.docVIP

PAGE PAGE 1 Web应用的安全现状及防护措施 　　摘要：随着信息化的不断发展，基于互联网平台的Web应用得到了迅速发展，为互联网的发展发挥着非常重要的作用。然而，伴随该项技术的不断发展，随之也出现了不少安全问题，给Web的应用造成了一定的威胁。本文，对Web的应用安全现状进行了分析，并提出了有针对性的应对措施。 　　关键词：Web应用；安全现状；防护措施 　　中图分类号：TP393.08文献标识码：A文章编号：1007-9599（2012）21-0000-02 　　随着网络技术的快速发展，越来越多的web应用件被用于Internet中。对于Web应用软件而言，是一种借助Internet技术加以连接的客户/服务器软件，并且可以传输数据。在市场需求的不断推动下，Web应用软件的种类与数量也不断增加，软件的复杂程度也不断增加，软件的质量与安全问题已成为人们越来越关注的问题。对于该软件的服务而言，包括邮件服务、电子公告牌、网上商店以及数据库管理工具。对于这些服务的提供，使得系统在运行过程中暴露出越来越多的弱点，这也意味着web应用软件将面临着较为严重的安全隐患。为此，在今后的工作过程中，应对Web应用软件的安全现状进行分析，并提出有针对性的应对措施，以提升Web应用软件的运作安全水平。 　　1Web应用安全认识误区及安全现状 　　1.1安全认识误区 　　为了确保Web应用安全，人们多在各个工作层面部署属于自己的安全策略，如安装杀毒软件来确保计算机运行安全，采用SSL技术对所传输的数据加密处理，并搭建防火墙来过滤一些不安全访问信息。对于这些防护措施而言，虽然可以将不必要暴露的端口进行关闭，对一些非法信息进行过滤处理，但仍然不能保障Web应用安全。对于Web服务所依赖的80和443端口而言，必须是开放的，然而防火墙却不能正确辨认出端口所传输的信息是否安全，当访问通过防护措施时，Web应用就会完全暴露在用户面前。而针对应用面层的攻击而言，可以很轻易地突破受防火墙保护的网站。如对较为常见的SQL注入攻击表现层面而言，几乎是普通的数据交互查询。而对于防护系统而言，它也是较为正常的访问链接，并且判断不出其所存在的恶意攻击。因此对于搭建防火墙、安装杀毒软件以及SSL加密等处理措施都不能完全保障Web应用的安全。 　　1.2Web应用安全现状 　　必威体育精装版的网络安全统计数据表明，累计每天都有超过12亿人次的网民受到木马攻击，并且有大量的流行软件、大型网站被“挂马”，并且每年都呈现出明显的大幅度增长趋势。由此可以看出，现阶段的互联网仍然非常脆弱，90%左右的木马病毒都以“挂马”的形式进行传播。而这些问题的额产生，在很大程度上源于web安全领域的问题，如后台服务器的不安全设置、系统漏洞、Web应用程序实现代码缺陷等，给不法分子以可乘之机。而对于这些隐患而言，75%左右的攻击都出现在Web应用程序本身，这也是用入侵检测系统、防火墙以SSL所无法应对与解决的。 　　2确保Web应用安全的防护措施 　　2.1确保操作系统安全的效安全防护措施 　　操作系统作为抵御非法攻击的第一道防线，对确保Web的安全发挥着非常重要的作用。对于操作系统的防护措施而言，主要包含以下几个方面：（1）对系统补丁进行实时更新升级，防止不法分子依靠系统漏洞进行攻击。（2）对不必要的通讯端口进行关闭处理，以有效降低恶意攻击的入侵通口。（3）对密码管理制度进行规范处理。对服务器上的各个登录密码进行统一生成与集中处理。（4）在进行软件与组件安装时，应认真谨慎，关闭不必要的服务器，以有效降低安全隐患。（5）遵循最小权限原则设置文件系统，以有效避免跨站脚本攻击与提权操作。 　　2.2网络与通信信道防护 　　网络作为系统防护的第一门户，直接面对着大量的外部访问请求。提升网络安全性，能有效防御基于TCP/IP的恶意攻击。对于本层的防护技术而言，主要立足于网络层的端口、协议等，在保障通信畅通的前提下，应尽可能对系统进行防护处理。边界路由器、网络防火墙、核心交换机等都能实现对网络层端口、协议等层面的安全保护。对于防火墙而言，可作为网络通信的Port开关，只对必要的通信端口开放，能有效屏蔽大量病毒的端口，并可将较为重要的Web纳进隔离区进行防护。对于边界路由器、核心交换机设备而言，都有基ACL的访问控制单元。为此，建立起相对比较完善的访问控制表，并结合企业内部的IP管理，能对大量非正常访问的数据包进行过滤处理。在此过程中，还可将安全网关、防病毒墙、IDS/IPS以及网站保护墙等部署在Web服务器前面，能屏蔽大量的入侵攻击。对于通信信道的防护措施而言，可在较为安全的环境中，以HTI/PS协议来代替HTFP协议。并利用SSL来保证安全传输文件，通过Web服务器与客户端浏览器之间构建起一条安全通信信