日前，引起公眾廣泛關注的CSDN泄露案告破，在犯罪份子被繩之于法的同時，CSDN網(wǎng)站也因為數(shù)據(jù)泄露防護不到位而收到了我國落實信息安全等級保護制度以來的首例行政“罰單”。其實CSDN事件只是近年來眾多企業(yè)數(shù)據(jù)泄露案例中的冰山一角，卻是引發(fā)全社會互聯(lián)網(wǎng)隱私擔憂的一記響雷，讓公眾和監(jiān)管部門開始強烈的要求企業(yè)保管好用戶的隱私數(shù)據(jù)，工業(yè)和信息化部甚至編制《信息安全技術公共及商用服務信息系統(tǒng)個人信息保護指南》以指導和規(guī)范企業(yè)利用信息系統(tǒng)處理用戶核心信息的過程。

數(shù)據(jù)之所以讓眾多黑客趨之若鶩，是因為數(shù)據(jù)的價值已經(jīng)被廣泛認可，數(shù)據(jù)交易的市場利益鏈也已生成。但與此同時存在的卻是眾多企業(yè)對數(shù)據(jù)安全問題缺乏危機感，一旦泄露發(fā)生才開始亡羊補牢，卻已經(jīng)付出企業(yè)形象、用戶信任和經(jīng)濟損失等重要代價。在所有的泄露事件中，黑客輕易盜取用戶數(shù)據(jù)庫信息，很多企業(yè)數(shù)據(jù)庫中的用戶賬戶和密碼居然是以明文形式存在，薄弱的信息安全防護意識讓黑客輕易得手。由此甚至引發(fā)了全國網(wǎng)名大量更換密碼的恐慌，更有網(wǎng)友發(fā)出了中國互聯(lián)網(wǎng)無隱私，有“裸奔”的感慨。

然而，防護意識薄弱只是一個方面，黑客之所以能夠如此順利的攻破眾多企業(yè)的信息安全防線，還有一個主要原因是在現(xiàn)代Web應用環(huán)境中，傳統(tǒng)的防火墻、抗DDoS、流量控制等安全系統(tǒng)其實就如同一道馬其諾防線?；仡櫧陙韲鴥?nèi)重大的安全事件，我們會看見企業(yè)面臨的不再是過去操作系統(tǒng)漏洞或網(wǎng)絡攻擊威脅，黑客逐漸將視線轉(zhuǎn)向企業(yè)網(wǎng)絡對外的Web站點，例如：網(wǎng)絡在線交易網(wǎng)站、企業(yè)的電子商務網(wǎng)站與企業(yè)內(nèi)部的ERP、CRM系統(tǒng)等，針對Web服務器網(wǎng)頁的應用層入侵大量出現(xiàn)，例如：SQL注入、跨站攻擊、Cookie篡改等等，在這攻擊面前基于靜態(tài)特征檢測的安全設備已然形同虛設。

回顧近年出現(xiàn)的數(shù)據(jù)泄露案，我們不難發(fā)現(xiàn)Web正是黑客實現(xiàn)數(shù)據(jù)竊取的攻擊的主要目標，這是因為企業(yè)基于業(yè)務發(fā)展需求，不斷將越來越多的應用和關鍵業(yè)務集中于web平臺，使其成為了大量數(shù)據(jù)的所在地。

Web應用面臨的安全挑戰(zhàn)

數(shù)據(jù)庫注入和數(shù)據(jù)泄露：攻擊者可以利用web數(shù)據(jù)查詢功能，將精心構(gòu)造的數(shù)據(jù)庫攻擊命令隱藏在正常的查詢功能之中，能夠輕易穿透靜態(tài)防護的防火墻的等安全設備，并繞過身份認證，從而獲取數(shù)據(jù)庫權(quán)限。而后攻擊者可以對數(shù)據(jù)庫進行任意操作，達到竊取數(shù)據(jù)、破壞數(shù)據(jù)庫的目的，主要的攻擊方式是SQL注入和跨站腳本。

客戶端安全：如果用戶瀏覽器端開啟Cookie的功能，任何站點都可以修改cookie。如果Web將某些用戶ID存放在cookie中，并直接以此ID進行權(quán)限限制，那么攻擊者可以修改客戶端的cookie值，以仿冒其他用戶權(quán)限，最終竊取web應用信息和數(shù)據(jù)，此種方式主要是cookie注入，信息竊聽等。

未授權(quán)的訪問：正常使用者可能會有非授權(quán)的行為進行存取。例如：醫(yī)療系統(tǒng)的處理人員有權(quán)限可以登入醫(yī)療數(shù)據(jù)庫存取，卻可能會逾越自己的權(quán)限，進行非法下載相關數(shù)據(jù)庫的數(shù)據(jù)供自己或別人使用。此種未經(jīng)授權(quán)的訪問方式是導致web應用系統(tǒng)的信息泄露和受攻擊的主要手段之一。

傳統(tǒng)安全手段防護風險：

所有針對Web 應用系統(tǒng)的攻擊，有些是已被發(fā)現(xiàn)，并具有可識別的固定特征的;有些則是因網(wǎng)站的設計和代碼，以及攻擊者的行為習慣導致的攻擊，沒有固定的特征可循。傳統(tǒng)的那些安全手段基本無能為力，沒有辦法通過靜態(tài)的特征、策略等方式防范動態(tài)的、不斷調(diào)整變化的web攻擊手段。必須能夠通過主動的安全防護措施，從根本上避免對web網(wǎng)站的惡意篡改、信息竊取，外部人員對web服務器的入侵、刪除或是上傳木馬文件等類型的攻擊行為。

AppWall阻斷Web攻擊，遠離數(shù)據(jù)泄露

對于企業(yè)而言，如何實現(xiàn)數(shù)據(jù)泄露防護呢? Radware安全專家表示，現(xiàn)代企業(yè)只有實施恰當?shù)腤eb安全機制才能遠離數(shù)據(jù)庫被撬開的風險。Radware作為國際領先的應用交付和應用安全廠商，致力于為用戶提供安全、有效的應用安全解決方案，Radware 的用戶通過部署AppWall這款將主動防御和被動防御有機結(jié)合的優(yōu)秀Web應用安全解決方案，有效防范各類Web攻擊。

Radware AppWall經(jīng)過多年來無數(shù)用戶的驗證，已知或者未知的攻擊都能實現(xiàn)全面的控制與防范。一方面AppWall能夠?qū)λ衅ヅ湟阎籼卣鞯恼埱筮M行告警、阻斷，實現(xiàn)被動防御;另一方面AppWall的智能行為分析系統(tǒng)能夠主動實時學習Web服務器的各類參數(shù)和用戶訪問行為，并進行智能分析，當發(fā)現(xiàn)不符合所學習到的正常行為模型的訪問請求、或者是針對Web服務器的未知入侵攻擊時，AppWall第一時間對上述可疑訪問和攻擊進行告警、阻斷，并生成報告，主動防御未知的Web攻擊。具體來說，Radware AppWall具有以下優(yōu)勢：

•  Radware AppWall作為Web應用防火墻設備，滿足OWASP安全體系標準的要求;
• AppWall構(gòu)架于Radware ODS1/ODSVL平臺上，單臺設備可提供1G的處理能力;
• AppWall具有自學習功能夠?qū)eb服務、應用、頁面、參數(shù)等所有Web組件進行學習，提供細粒度的攻擊防范;
•  AppWall智能分析系統(tǒng)使所有的攻擊規(guī)避行為無所遁形;
• AppWall具有深入的Http/Https的分析能力和協(xié)議規(guī)范性檢測，對所有的Web服務器具有很好的兼容性;
• 簡單快速消除誤報，提升Web應用的安全性;
•  完善的日志報表功能，讓管理者能夠更細致的掌握整個Web應用的運行狀況與安全級別;
•  AppWall具有良好的擴展性，通過Cluster的方式將整個方案的性能進行擴展，并增加其可靠性;
• 策略快速部署能力，無需太多人工干預即可提供高標準安全級別;
• 靈活的部署方式，能夠與負載均衡設備完美集成，提高整個解決方案的可靠性。

總之，信息資產(chǎn)是企業(yè)的重要的資產(chǎn)，采用正確的方法對信息系統(tǒng)安全風險應加以管理，可以幫助企業(yè)防范入侵與攻擊，進而確保信息系統(tǒng)的安全。Radware擁有全球領先的應用安全技術與完整的解決方案，可幫助企業(yè)遠離Web攻擊引發(fā)的數(shù)據(jù)泄露之痛。