Web安全解决方案

随着互联网技术的不断发展,越来越多的企业和组织通过门户网站、在线服务平台等向公众提供服务,Web应用的重要程度不言而喻。

由于Web应用具有访问对象开放、技术架构复杂、涉及场景多样等特点,使其长期成为攻击的第一目标。根据360最新的调查报告显示,信息安全攻击中超过75%都发生在Web应用层而非网络层上,可能造成的危害结果包括服务器沦陷、数据信息泄露、服务应用中断、网站内容篡改等,每年都给数以万计的用户造成了巨大的损失。

与此同时,国家机关和行业监管部门也不断加大监察和惩治力度,通过自建监测平台或者与互联网众测平台合作等模式,监管机构拥有了越来越专业的Web安全检测手段,这使得系统运维者面临的防护压力与日俱增。

360企业安全集团作为国内最大的信息安全企业,拥有东半球最权威的安全研究团队,通过对各类攻击威胁的深入分析,陆续研制出各类Web安全产品及服务,方案涵盖Web安全防护、Web漏洞检测、网站群态势感知、互联网众测、网站内容安全、Web运维安全等多个维度,通过云端+本地的方案整合,可以极大的提升用户Web系统的整体安全预警、监控及防护能力。

业务挑战

Web系统的安全建设涉及到风险的发现与处置两个方面,良好的Web整体防护体系需要具备提前感知漏洞存在的能力,并通过有效的技术防护手段落地,降低或者消除漏洞暴漏的风险,达到整体防护能力提升的目标,详细分析“安全监测”与“安全防护”这两个领域,用户需要解决的业务挑战包括:

安全监测
  • Web漏洞的感知与验证
  • Web系统可用性监控
  • 源代码安全分析
  • 0 Day漏洞发现
  • Web未知资产监测
安全防护
  • DDoS攻击防护
  • 0 Day漏洞防护
  • Web常见攻击防护
  • Web 页面内容防护
  • Web数据防护
  • Web运维防护

解决方案

方案组成

360基于“云+本地”的Web安全解决方案,整合了自主研发业界领先的众测平台、代码安全扫描工具、云端监测工具、云端防护SAAS服务、本地应用及漏洞感知系统等多种先进技术手段,可以有效的从Web系统生命周期的各个环节管理和控制可能出现的Web风险,帮助用户建立起快速、有效、自动、全面的整体安全防护体系,保障Web应用安全性的同时,降低监管压力和合规风险。

安全防护方案组成如下图所示:

部署示意图

对于典型的Web类应用的安全防护,设备及服务的部署方式如下图所示:

方案优势

360Web安全防护方案涵盖IDC定义的Web 安全产品三大方向:Web应用防火墙(WAF)、基于SaaS 模式的Web 安全监测、混合Web安全部署架构。2015-2016年,360在Web安全领域强势发力,先后发布了国内首个结合威胁情报技术的网站云监测SaaS服务及WAF v6.0版本,增强了产品对未知威胁的发现及防护能力。在以协同、联动为主题的ISC 2016大会召开后,360发布了国内首个云+本地的Web安全防护方案。利用云端带宽的优势对本地WAF防护大流量DDOS攻击能力的不足进行有效弥补。

全面的漏洞管理及评估流程,彻底发现系统潜在漏洞
  • 代码卫士进行代码级安全检测,从系统开发早期发现应用缺陷,提升漏洞检出率的同时降低风险修复成本
  • 通过云端网站监测有效发现Web漏洞、7*24小时监测网站可用性,云端漏洞自动验证,降低误报风险
  • 本地鹰眼旁路监测设备,独创的镜像监听扫描模式,准确发现未知Web资产,自动完成漏洞检测
  • 补天众测服务,集合优质白帽资源,深度分析定位系统漏洞,减少漏洞暴漏可能,降低监管压力
  • 安全通告及预警服务,结合360云端大数据和补天平台威胁情报,提升用户漏洞管理能力
全面立体的纵深防护体系
  • 有效应对海量DDoS攻击,云端安域+本地边界抗D+WAF应用层防护,有效应对SYN Flood、UDP Flood、UDP DNS Query Flood、ICMP Flood、HTTP GET等攻击类型,保证业务高可用
  • 网站完整性保护,通过云端缓存结合服务器防篡改方式,有效监测和防护各种针对网页的篡改、暗链等攻击行为,保证网站页面完整可用
  • 专业的安全服务团队提供云端监控及应急响应服务,快速定位并处置突发事件,针对重保需求,按需提供驻场服务
  • 统一访问行为审计,帮助用户建立内部安全大数据平台,有效分析统计各种异常行为,提高攻击防护效果,解决法律取证难题

适用场景

本方案适用于政府、金融、教育、能源、工业等多种行业、覆盖大、中、小不同规模的Web类应用整体安全监测及防护场景。