國(guó)際知名Web應(yīng)用安全組織OWASP在11月8日-9日在中國(guó)北京國(guó)際會(huì)議中心召開(kāi)OWASP 2011亞洲峰會(huì)，各行業(yè)的CIO/CTO/CSO代表和國(guó)內(nèi)外知名的應(yīng)用安全專(zhuān)家、廠商代表均有參與。

大會(huì)上有多家安全公司在展示自己的網(wǎng)站安全解決方案，在經(jīng)過(guò)一個(gè)展臺(tái)時(shí)，我們突然發(fā)現(xiàn)有一家Web應(yīng)用防火墻廠商推出了免部署的線上解決方案——SafeHTTP“網(wǎng)站衛(wèi)士”。

以往的網(wǎng)站安全方案，都是將安全設(shè)備或安全軟件部署到企業(yè)內(nèi)部或企業(yè)自己的Web服務(wù)器上，通過(guò)漏洞掃描器、WAF、IPS一類(lèi)的產(chǎn)品檢測(cè)和防護(hù)Web站點(diǎn)。作為買(mǎi)賣(mài)雙方，完全可以一錘子買(mǎi)賣(mài)，即“購(gòu)買(mǎi)——安裝——用戶自己維護(hù)”模式。當(dāng)然，比較靠譜的廠商基本都會(huì)提供售后支持。

SafeHTTP“網(wǎng)站衛(wèi)士”此時(shí)推出的這個(gè)解決方案卻是“租賃——用戶免維護(hù)”模式。所有的漏洞升級(jí)、防攻擊特征、惡意代碼過(guò)濾都由SafeHTTP“網(wǎng)站衛(wèi)士”的云平臺(tái)搞定。采用PaaS平臺(tái)即服務(wù)的模式，無(wú)縫即時(shí)。用戶只需將DNS地址解析到SafeHTTP“網(wǎng)站衛(wèi)士”，然后遞交域名和網(wǎng)站信息待其生效，即可安枕無(wú)憂的享受自來(lái)水式的網(wǎng)站安全服務(wù)。而且在SLA協(xié)議的保護(hù)下，任何網(wǎng)站安全風(fēng)險(xiǎn)都將由服務(wù)提供商承擔(dān)。

基本上采用這類(lèi)解決方案后，就不用整天盯著防火墻和漏洞掃描器了。

這類(lèi)PaaS模式的安全方案有什么好處？

實(shí)時(shí)的web惡意流量過(guò)濾，

降低服務(wù)器負(fù)載，降低宕機(jī)風(fēng)險(xiǎn)

加速訪問(wèn)響應(yīng)

減少數(shù)據(jù)被盜

豐富的報(bào)告

5分鐘搞定實(shí)施

無(wú)硬件投資，節(jié)約開(kāi)支

無(wú)代碼變動(dòng)專(zhuān)業(yè)的服務(wù)團(tuán)隊(duì)

額外的好處：網(wǎng)站加速
 

SafeHTTP“網(wǎng)站衛(wèi)士”原理

 
在問(wèn)到SafeHTTP“網(wǎng)站衛(wèi)士”背后的技術(shù)儲(chǔ)備時(shí)，SafeHTTP李松表示：“安信華本身就是WAF設(shè)備廠商，一直向客戶提供高性能的WEB安全設(shè)備，目前，有超過(guò)一萬(wàn)多個(gè)站點(diǎn)正在得到保護(hù)?，F(xiàn)在做這個(gè)‘云WAF’，技術(shù)上沒(méi)有問(wèn)題。而且這對(duì)中小型客戶來(lái)說(shuō)是一種極具吸引力的解決方案?！?/P>

[[51412]]

OWASP 2011會(huì)場(chǎng)上的 SafeHTTP總經(jīng)理 李松

誰(shuí)比較適合用這種服務(wù)？

“云WAF”的客戶群，像門(mén)戶網(wǎng)站那種有技術(shù)和人員儲(chǔ)備的公司肯定不需要。主要的客戶對(duì)象還是網(wǎng)站帶寬在100M以內(nèi)的。帶寬100M以上的客戶完全可以購(gòu)買(mǎi)WAF硬件設(shè)備或者自己搞一套防護(hù)方案。

說(shuō)細(xì)一點(diǎn)，不同類(lèi)型，不同規(guī)模的網(wǎng)站都在面臨各類(lèi)威脅的挑戰(zhàn)，大型網(wǎng)站通常都有專(zhuān)門(mén)的團(tuán)隊(duì)解決各類(lèi)安全問(wèn)題，如果您的網(wǎng)站不是這種大型網(wǎng)站，都在SafeHTTP服務(wù)范圍。

SafeHTTP“網(wǎng)站衛(wèi)士”根據(jù)網(wǎng)站的位置將客戶分為三類(lèi)：

1、網(wǎng)站在公司內(nèi)部，通過(guò)簡(jiǎn)單的DNS調(diào)整就可以得到SafeHTTP的服務(wù)。

2、虛擬主機(jī)有兩個(gè)不同選擇，可以簡(jiǎn)單改變DNS得到SafeHTTP的服務(wù)，另外SafeHTTP也在同主流虛擬主機(jī)服務(wù)商展開(kāi)合作，在他們的IDC里面部署服務(wù)。

3、網(wǎng)站的IDC機(jī)房，SafeHTTP正在同主流IDC合作，把SafeHTTP的服務(wù)在他們機(jī)房里面開(kāi)展，現(xiàn)在只需要注冊(cè)，我們就會(huì)優(yōu)先同您的IDC合作。

SafeHTTP李松表示：“我們的目標(biāo)是小網(wǎng)站，大安全；而且不只是安全，我們還會(huì)為企業(yè)的網(wǎng)站提供增值服務(wù)，借此網(wǎng)站客戶的高層以及管理員可以更了解自己的網(wǎng)站。在中國(guó)主流的IDC機(jī)房，我們的設(shè)備會(huì)分布部署，‘網(wǎng)站衛(wèi)士’是你身邊的網(wǎng)站安全服務(wù)?！?/P>

PaaS網(wǎng)站安全業(yè)務(wù)被業(yè)內(nèi)看好

據(jù)悉，這類(lèi)新型的PaaS網(wǎng)站安全業(yè)務(wù)出現(xiàn)后，多家安全公司已開(kāi)始籌備“云WAF”租賃業(yè)務(wù)，對(duì)此李松表示，已經(jīng)做好了“持久戰(zhàn)”的準(zhǔn)備。在問(wèn)起對(duì)PaaS安全這個(gè)行業(yè)的發(fā)展預(yù)估時(shí)，李松果斷的說(shuō)道：“用戶對(duì)Web安全的需求日益迫切，企業(yè)的發(fā)展前景清晰可見(jiàn)?！?/P>

后記：

在本屆OWASP 2011亞洲峰會(huì)上，我們發(fā)現(xiàn)以往沒(méi)有推出過(guò)專(zhuān)門(mén)Web安全產(chǎn)品的傳統(tǒng)安全公司也都紛紛推出了各具特色的Web應(yīng)用安全產(chǎn)品。應(yīng)對(duì)目前越來(lái)越狡猾，越來(lái)越具破壞力的黑客攻擊手段，人們勢(shì)必需要更快響應(yīng)時(shí)間和更專(zhuān)業(yè)的安全服務(wù)。有位OWASP演講嘉賓的話說(shuō)的好——“不要再拿著刀去對(duì)付持槍的人”。