天镜Web应用检测系统产品白皮书V1.1(启明).docx

1、2015产品白皮书天镜 Web 应用检测系统用安全云实现云安全天镜 web 应用检测系统产品白皮书启明星辰 http:/1 前 言1.1 版 权 声 明北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。1.2 免 责 条 款本文档依据现有信息制作

2、，其内容如有更改，恕不另行通知。北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。天镜 web 应用检测系统产品白皮书启明星辰 http:/1.3 公 司 简 介启明星辰公司成立于 1996 年，由留美博士严望佳女士创建，是国内最具实力的、拥有完全自主知识产权的网络安全产品、可信天阗入侵检测集中管理系统、安全服务与解决方案的综合提供商。2010 年 6 月 23 日，启明星辰在深交所中小板正式挂牌上市。启明星辰拥有完善的专业安全产品线，横跨防火墙/UTM、入侵检测管理、

3、网络审计、终端管理、加密认证等技术领域，共有百余个产品型号，并根据客户需求不断增加。启明星辰解决方案为客户的安全需求与信息安全产品、服务之间架起桥梁，将客户的安全保障体系与信息安全核心技术紧密相连，帮助其建立完善的安全保障体系。自 2002 年起，启明星辰就持续保持国内入侵检测、漏洞扫描市场占有率第一。近年来，发展成为国内统一威胁管理、天阗入侵检测集中管理系统国内市场第一位，安全性审计、安全专业服务市场领导者。目前，公司在全国各省市自治区设立三十多家分支机构，拥有覆盖全国的渠道和售后服务体系。长期以来，启明星辰公司得到了党和国家领导人的关怀与鼓励。2000 年 1 月，江泽民、李岚清、曾庆红等

4、党和国家领导人亲切视察启明星辰公司；2003 年 1 月，胡锦涛总书记亲切接见了启明星辰公司 CEO 严望佳博士。凭借多年来的潜心研发，启明星辰获得国家规划布局内重点软件企业，国家火炬计划软件产业优秀企业，中国电子政务 IT100 强等荣誉，及拥有最高级别的涉及国家秘密的计算机信息系统集成资质证书。启明星辰目前是我国规模最大的国家级网络安全研究基地。完成包括国家发改委产业化示范工程，国家科技部 863 计划、国家科技支撑计划等国家级科研项目近百项。创造了百余项专利和软件著作权，参与制订国家及行业网络安全标准，填补了我国信息安全科研领域的多项空白。作为信息安全行业的领军企业，启明星辰以用户需求为

5、根本动力，研究开发了完善的专业安全产品线。通过不断耕耘，已经成为在政府、电信、金融、能源、交通、军队、军工、制造等国内高端企业级客户的首选品牌：启明星辰在政府和军队拥有 80%的市场占有率，为世界五百强中 60%的中国企业客户提供安全产品及服务；在金融领域，启明星辰对政策性银行、国有控股商业银行、全国性股份制商业银行实现 90%的覆盖率。在电信领域，天镜 web 应用检测系统产品白皮书启明星辰 http:/启明星辰为中国移动、中国电信、中国联通三大运营商提供安全产品、安全服务和解决方案。作为北京奥组委独家中标的核心信息安全产品、服务及解决方案提供商，奥帆委唯一信息安全供应商，启明星辰受到独家官

6、方授权，全面负责奥运会主体网络系统的安全保障，得到了国家主管部门的大力嘉奖。此外，启明星辰还为上海世博会、广州亚运会等多项世界级大型活动提供全方位信息安全保障。在公司快速稳定发展的同时，启明星辰公司坚持以爱心回馈社会，截止目前，已累计资助贫困学子、受灾、贫困群众近 2000 多万元人民币，并在江西、青海、新疆等地援建了5 所希望小学。启明星辰公司将秉承诚信和创新精神，继续致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其 IT 基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业第一品牌而不懈努力。天镜 web 应用检测系统产品白皮书启明星辰 http:

7、/1.4 目 录1.1 版权声明 .21.2 免责条款 .21.3 公司简介 .31.4 目录 .52 背景 .63 产品综述 .63.1 产品客户价值 .63.2 体系结构 .63.3.1 硬件形态 .63.3.1 软件架构 .63.3 产品功能 .73.4 产品特点 .83.5 部署方式 .83.5.1 单机部署 .83.5.1 云模式部署 .84 技术优势 .94.1 私有云/云部署 .95 典型应用 .96 服务支持 .96.1 产品升级周期 .96.2 产品更新方式 .96.3 联系方式 .10天镜 web 应用检测系统产品白皮书启明星辰 http:/ 6 / 142 背 景随着 I

8、nternet 的普及和发展以及 Web 应用技术的发展和研究的深入，已经有越来越多的 Web 应用系统被部署在 Internet 上以提供各式各样的应用服务。Web 应用系统己被广泛应用于商业，军事，医疗以及政府机构等各个领域。然而，随着 Web 应用系统的广泛应用，由于其自身的特点及开发模式，Web 应用系统漏洞日益增加。权威的安全组织 OWASP（Open Web Application Security Project）从 2010 年开始发布 “10 大 Web 应用安全漏洞”。根据国家互联网应急中心 CNCERT/CC 发布的2013 年中国互联网网络安全报告，Web 应用漏洞占

9、18.1%。国家计算机网络入侵防范中心 2012 年发现主流社交网站存在新型 XAS 安全漏洞，可以被利用进行蠕虫攻击、钓鱼攻击、窃取用户隐私等，严重威胁到社交网络及其用户的安全和隐私。2013 年 7 月曝出的 Struts2 漏洞， 2014 年 4 月曝出的 OpenSSL（心脏出血），给全球网站，尤其是银行等金融机构网站带来重大影响。这些漏洞不只是会泄露用户账号密码信息，甚至会导致网站服务器被控制等等。与此同时，针对 Web 应用程序安全漏洞的 SQL 注入、网页挂马、跨站脚本攻击频频发生，大量知名网站用户信息被黑客在网上曝光，新浪微博遭受 XSS 跨站脚本攻击，美国第二大团购网站 L

10、ivingSocial 遭遇黑客攻击，致使 5000 万用户资料外泄。面对 Web 应用系统的安全现状，迫切需要专门针对 Web 应用安全漏洞的检测系统，用于主动发现 Web 应用系统潜在的安全缺陷或漏洞，并及时采取修补措施，将安全问题防患于未然。为了有效应对 Web 应用系统的安全风险，启明星辰推出了天镜 Web 应用检测系统产品，全面、有效地检测 Web 应用系统潜在的各种漏洞。3 产 品 综 述3.1 产 品 客 户 价 值为了改善用户 Web 应用的安全状况，提高应用系统的安全性，启明星辰公司推出了天镜 Web 应用检测系统，帮助用户检查 Web 应用系统的安全性。天镜 Web 应用检

11、测系统拥有强大的 Web 漏洞扫描能力，支持基于 CWE（Common Weakness Enumeration）的安全弱点库和基于 CVE（Common Vulnerabilities and Exposures）的安全漏洞库，通过详细分析网站的结构和链接，探测网站对异常行为的反应，指出可能存在的漏洞，并提供实时的可用天镜 web 应用检测系统产品白皮书启明星辰 http:/ 7 / 14性监控、网页变更监控，对异常活动发出报警；对于外网用户，提供 DNS 解析监控，当DNS 服务器被污染时发出报警。3.2 体 系 结 构3.2.1 硬 件 形 态天镜 Web 应用检测系统的硬件平台是 1U

12、 上架设备，标配 1 个 10/100/1000M 管理口（可做扫描口）、5 个 100/1000M 扫描电口、1 个 USB 口、 1 个 CONSOLE 口、单交流电源。3.2.2 软 件 架 构天镜 Web 应用检测系统是基于 Web 的管理方式，用户使用浏览器通过 SSL 加密通道和系统进行交互，方便用户管理。整个系统架构如下图所示。天镜 web 应用检测系统产品白皮书启明星辰 http:/ 8 / 143.3 产 品 功 能功能项 功能描述web 应用安全漏洞检测提供对 Web 应用的 SQL 注入漏洞、命令注入、CRLF 注入、LDAP 注入、XSS 跨站脚本漏洞、路径遍历漏洞、信

13、息泄漏漏洞、URL 跳转漏洞、文件包含漏洞、应用程序漏洞、文件上传漏洞等进行检测。挂马检测 对网站进行挂马检测。暗链检测 提供网页内暗链的检测。漏洞验证 提供针对已发现的 Web 应用的漏洞进行验证。网站安全监控提供网站挂马检测、敏感词监控、应用漏洞监控等网站安全监控功能。系统管理提供用户管理、升级管理、授权管理、系统配置等管理功能。天镜 web 应用检测系统产品白皮书启明星辰 http:/ 9 / 143.4 产 品 特 点3.4.1 以 安 全 弱 点 为 中 心 的 网 站 漏 洞 检 测 系 统相对与传统扫描器，天镜 Web 应用扫描系统更关注造成安全漏洞的原因，天镜 Web应用扫描系

14、统支持 CWE（Common Weakness Enumeration）中所列举的与 WEB 安全相关的安全弱点，安全弱点是程序员在软件开发中的错误类型，CVE（Common Vulnerabilities and Exposures）中的所列举的漏洞是指经过分析验证可被利用的问题，可以说发现安全弱点意味着发现未知的安全漏洞，可以说，通过对 WEB 应用系统的探测及反馈，天镜 Web 应用扫描系统能够发现未知的安全漏洞，具有一定的漏洞挖掘能力。同时天镜 Web 应用扫描系统也支持各种主流 WEB 应用的已知安全漏洞。3.4.2 功 能 完 善 的 WEB 应 用 安 全 服 务 平 台天镜 W

15、eb 应用扫描系统不仅是一套漏洞扫描系统，同时也是一个功能完善强大的WEB 应用安全服务平台，支持 WEB 漏洞扫描、WEB 可用性监控、网页变更监控、DNS解析监控、关键字监控、暗链挂马监控等诸多功能，支持 24 小时不停的安全监控。天镜Web 应用扫描系统支持多用户多账号管理，每个账号都能得到一个完善的监控平台，后台管理员可以看到所有用户的运行状况，前后台均可以独立初具安全报表。拥有了天镜 Web应用扫描系统就等于获得了一个完整的安全服务平台。3.4.3 云 模 式 的 云 安 全 监 控 解 决 方 案天镜 Web 应用扫描系统支持云模式部署，可以根据安全监控任务的需要不断扩展，进行伸缩部署，为更多的 WEB 应用系统提供安全服务。天镜 web 应用检测系统产品白皮书启明星辰 http:/ 10 / 143.5 部 署 方 式天镜 Web 应用检测系统部署灵活简单，应用灵活，适用于各种规模、各种类型的网站进行 Web 漏洞检测。3.5.1 单 机 部 署中小网站可以通过部署单个天镜 Web 应用检测系统实现扫描，部署如下图示。3.5.2 云 模 式 部 署大型网站可以通过云模式部署多个天镜 Web 应用检测系统实现多个域名同时扫描，部署如下图示。