web应用安全防护与安全评估研究

安全技术

we b应用安全防护与安全评估研究 谭园园王旌。

( 1 .第二炮兵工程大学信息管理中心陕西西安 7 1 0 0 2 5; 2 .兰州军区司令部军训和兵种部训练保障处甘肃兰州 7 3 0 0 0 0 ) 摘要：文章介绍 Tw e b]￣目前面临的主要安全风险和w e b安全防护目标，给出一种基于管理制度、安全平台和响应机制为一体的安全防护体系， 并提出了针对这种安全防护体系的安全评估手段进一步保障了安全防护体系的有效性和强壮性。 关键词： we b应用安全防护安全评估中图分类号： T P 3 9 3 . 0 8 文献标识码： A

文章编号： 1 0 0 7 . 9 4 1 6 ( 2 0 1 3 ) 0 3— 0 2 0 1 . 0 3

随着信息技术的发展，网络已经成为获取信息、交流信息的主就会导致代码中存在安全漏洞，使得入侵者能够利用这些漏洞发起要工具， We b应用因其开发维护成本较低，使用简单方便，已经成为 we b攻击。常见的代码导致的安全漏洞有 S Q L注入、跨站脚本攻击、 网络信息交互的主要载体，与此同时， wl e b应用面临的风险和挑战也越权操作、文件上传组件漏洞、下载漏洞等。 越来越多，根据C V E等机构的统计， we b应用类的安全攻击已经超 1 . 2 we b应用安全防护目标 过了其他安全攻击的总和。 we b应用安全防护的目标是通过安全产品和安全技术对 we b

1 we b应用安全风险与防护目标 1 . 1针对 we b应用的安全风险

进行管理和控制，保障 户的可控性。 1 . 2 . 1可靠性

点免受网络攻击和恶意代码的影响，维

护系统的可靠性、服务的可用性，信息的保密性、数据的完整性、用

we b应用所面临的安全风险与其所处的网络环境、系统运行环境和we b应用自身有很大的关系，主要表现在以下几个方面。 1 . 1 . 1网络环境

可靠性是we b应用系统能够在规定条件下和规定时间内实现规定功能的特性。可靠性是系统安全的最基本要求之一，是所有we b 应用系统的建设和运行目标。 1. 2. 2可用性

网络自身存在的配置问题、协议缺陷等，很容易被入侵者利用从而攻击we b系统。常见的网络监听、木马攻击和D D O S攻击就属于

此类安全风险。 1 . 1 . 2操作系统

可用性是we b服务可被授权实体访问并按需求使用的特性。可

用性应满足身份识别与确认、访问控制、业务流控制、路由选择控操作系统配置不当、管理不善会导致服务器存在安全隐患，如制、审计跟踪等要求。 果被攻击者利用，就会对服务器的安全性造成极大的威胁，黑客、病 1 . 2. 3保密性毒可以利用这些缺陷对we b￣] i务器进行攻击。 1 . 1 . 3 w e b支持软件保密性是we b应用信息不被泄露给非授权的用户、实体或过程的特性。保密性主要通过信息加密、身份认证、访问控制、安全通信

目前用得较多的we b支持软件主要有I I S、 Ap a c h e等，这些we b 协议等技术实现 .它是在可靠性和可用性的基础之上，保障信息安服务器软件自身存在很多安全漏洞或缺口，￣ I I I S的Nu l 1 . h t w、 全的重要手段。 MDAC、 I S M. d l l、 We b h i t s . d l l、 Un i c o d e解析错误漏洞等多种漏洞 1 . 2 . 4完整性 给入侵者可乘之机。 1 . 1 . 4 we b应用程序

完整性是网络信息未经授权不能进行改变的特性，即网络信息

在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱在w。 b代码编写过程中，如果程序员未充分考虑各种安全因素， 序、重放、插入的特性。完整性是一种面向信息的安全性 .它要求保

[

一 一

匝 臣 区 图 2安全评估流程示意图

[二亟二二]一

[二

—一 图1 we b安全分层防护平台

作者简介：谭园园，女，硕士，出生于t 9 8 0年6月，陕西省宝鸡市人，现为第二炮兵工程大学信息管理中心工程师，研究方向为网络、数字资源处 理和we b应用技术。