实现应用层安全

zirunnidebbb

客的攻击手法正变得越来越狡猾。针对应用层的攻击常常能够穿过防火墙，潜入到Web应用当中，破坏有用数据。
  
* W2 r0 S% C. s! D, K  假如用户有一个不太为人所知的网站，就不会担心网站受到攻击。但是如果很多人都知道网站的情况，网站就面临安全风险了。许多针对应用层的攻击可以穿过网站偷走客户资料，而用户对此却一无所知。
  
$ B- ?  k) P' G% ~1 ^  普通防火墙为什么不能阻止这些攻击呢？这是因为这类攻击往往伪装成合法数据流，绕过报警设备。SQL注入就是这样一种攻击。在这种攻击中，黑客利用HTML表格对数据库进行非法查询。命令执行攻击也是此类威胁，只要Web应用向Shell应用程序传送命令，黑客就可以在服务器上执行任意命令。
6 a% s! A. @! \  
1 ]! R. t% e/ {/ D2 ^/ U) C  R+ Z  类似的攻击还有HTML攻击，HTML注释常常包含敏感信息，包括粗心大意的程序员留下的注册信息。总之，攻击应用层的战线从修改cookie到改变HTML表格中的隐藏域。好在这些攻击中的大多数可以被安全设备加以阻止。
) H; v0 W! d2 Q! R3 P4 r  
; f4 g- R0 e. _$ c. G  扫描设备和Web应用防火墙组合在一起，可以构成一道坚固的防线。首先，使用应用扫描程序扫描Web应用，寻找安全漏洞；其次，部署Web应用防火墙阻止非法入侵。
  
; {+ A) r$ B: |! x$ Z7 o$ E. h  扫描程序能够对服务器发起各种模拟攻击以找出安全漏洞。这类程序在详细说明漏洞和建议补救措施方面都做得相当好，能够帮助用户寻找安全漏洞，但是这些软件包不能取代安全专业人员的全面审计。
  g) T& P3 C( U5 _8 j  
% R4 |9 {5 f" q+ m1 e  一旦找到安全漏洞并采取补救措施之后，就到了部署Web应用防火墙的时候了。Web应用防火墙的工作方式十分有趣: 首先学习合法数据流进出应用的方式，然后识别非法数据流。在完成这项工作时，Web应用防火墙必须工作在一个比普通防火墙更深的层次来检查数据包。一些Web应用防火墙是软件，另一些是专用设备，还有一些则是软件与专用设备的组合。不过，这些防火墙都不是即插即用，即使专用设备也是如此。需要提醒用户的是，必须仔细配置Web应用防火墙，使其在过滤攻击的同时也能减少虚假报警。  
  k8 A4 O* {7 L$ @6 G+ \
0 E0 }6 n3 t( k