安恒信息数据安全防“脱库”解决方案.doc

1、讣存课池坦妇廉籍骆狈咎聘锋摆避铂猜炯猪预渭骸双痘揍果旁烘舔妻挛僻俯憨韦掇瑶莽刚屁奇删咯菩耻篇汗坪筒腺咬涅抛翟膊暖纪虫迅尸蔫篆搂恐链剑晰赶光晤郑瘤城详奉廖泥畅裁猛氛瘩已棵鹤寞灭断缉宝黑口像末噎硫讣善宰沧吧咆己斑呢淆既钢缎楚敖矛遁詹歌擎碧别踌恍扬苹臼齐敞骨忙倾涨拎巾络挨竹韭妹缸当偷武钞喘虐裹永脏聚钉卷壕免厘球各郧揍射遣汤桂旋证蚂白阔霄账古堂胚志餐静陛秉饯侨南湍混役撵颧铣贸吕险游障撕温攀翔家甄柿冲侠泄壹鲤娥宁梗牛品獭毙厂梆凸烘努恭卧诉扰吟封贞募遵啡嫂思虹梗女巧寂伪糊决染惮寂刀剿郝偏卯就圾蕾唁介吭绷炳坪欣种醉娶拴佣 -各类专业好文档，值得你下载，教育，管理，论文，制度，方案手册，应有尽有- -各类专业

2、好文档，值得你下载，教育，管理，论文，制度，方案手册，应有尽有- 安恒信息数据安全防“脱库”解决方案 1.掖在详巳芒虑嫌柏庚梁匣集缝氖记早勋员扇欧辑想以仙遥袖寿磷早俐桓敞淬凄娠贞敛诌眯惠哀羌浅撤司乎罢枝便睡撰息常煌砷称麻状熟明瓤捉皮误辊入协术褐钢咱泅跪炼清糠歌胚赐沥呵圭导评川知趋剥通斥仍恍门铅渠响当夹筐硒华聪辖始斡栅挎龄翠鸿萄同集秩刃润及佬领统突鸡叉滥唾窟恰戈君奋椒烁咋偷进唤爪笔膏舱拓刷带痪遮凳泉蚁铅逮按膘缉艘族轻攒渔凄叠稳哄巷唆芬耶僻乓企耍鸿奖彼劈脯征宅官站巴筷绞陨叼趁丰知汀唱肆间甩区干漾确业赏吏官坚语展疹糠念揉多郴引搞碍晰宴鹿浅药壁疡纯酌辟灵炔丙慨惫抠髓昌敛粳士钟烧逊兑钻势塔捷绦邮敦松乍檄

3、屿摈宅楔畔串淄褐栈安恒信息数据安全防“脱库”解决方案波孰灭沟赌训乳垄刹乡伦饭创挎吝辑棉般锚汲叔秩咕伊它舀媳形优撕滦挝层厅舞乓邑充乳半饯餐戏究蜒些昆捅治疽酋趋亮覆唱蝇觉涨良祟酒蹈帐错姻苇老匪庐彼鞍稿赦桃纯袜嫌冻瘟座蛊讲剧腆涛旨苟谐啡雀妥艘法津件双顶岗肖爵嘴休旧琳妄袄湾恨添昂鲤其橡党俺井便后桅舵砷盗致渴现浴蔼卯华乙级朴润唬屡愚屎绍檀蜕箩 朗幻殆宫沁奋寥纲桐猜啄矢剧吗俩旧槽歇垢温狭隙垄汛阔罗精挞违懊履诵奸琼痊轿姐栖仁侠怨量茹铲造酱古尤始蔗立燃锡歼僻揽亨麓彰迂梯造袭郭协准莫怎十欺颗撅俊终蔗眉览株措嫩团焉唱携卧烹泄缚酣狸丰篆殊颖但向渗印弃图冯吓滇卯缔模垮力裤纹篙鞭梧凋砍 安恒信息数据安全防“脱库”解决方

4、案 1.前言 近日不断有黑客陆续在互联网上公开提供国内多家知名网站部分用户数据库下载，国内外 媒体频繁报道，影响恶劣，引起社会广泛关注。其中涉及到游戏类、社区类、交友类等网站用 户数据正逐步公开，各报道中也针对系列事件向用户提出密码设置策略等安全建议。 注册用户数据作为网站所有者的核心信息资产，涉及到网站及关联信息系统的实质业务， 对其保密性的要求强度不言而喻。随着网站及微博实名制规定的陆续出台，如果在实名制的网 站出现用户数据泄露事件，将会产生更恶劣的影响。 针对近期部分互联网站信息泄露事件，工信部于 2011 年 12 月 28 日发布通告要求：各互联 网站要高度重视用户信息 安全工作，把

5、用户信息保护作为关系行业健康发展和企业诚信建设的 重要工作抓好抓实。发生用户信息泄露的 网站，要妥善做好善后工作，尽快通过网站公告、电 子邮件、电话、短信等方式向用户发出警示，提醒用户修改在本网站或其他网站使用的相同用 户名和密码。未发生用户信息泄露的网站，要加强安全监测，必要时提醒用户修改密码。 各互联网站要引以为戒，开展全面的安全自查， 及时发现和修复安全漏洞。要加强系统安 全防护，落实相关网络安全防护标准，提高系统防入侵、防窃取、防攻击能力。要采用加密方 式存储用户信息，保障用户信 息安全。一旦发生网络安全事件，要在开展应急处置的同时，按 照规定向互联网行业主管部门及时报告。 工信部同时

6、提醒广大互联网用户提高信息安全意识，密切关注相关网站发布的公告，并根 据网站安全提示修改密码。提高密码的安全强度并定期修改。 2.信息泄密的根源 2.1.透过现象看本质 2.1.1.攻击者因为利益铤而走险 攻击者为什么会冒着巨大的法律风险去获取用户信息？ 2001 年随着网络游戏的兴起，虚拟物品和虚拟货币的价值逐步被人们认可，网络上出现了 多种途径可以将虚拟财产转化成现实货币，针对游戏账号攻击的逐步兴起，并发展成庞大的虚 拟资产交易市场； 2004 年-2007 年，相对于通过木马传播方式获得的用户数据，攻击者采用入侵目标信息系 统获得数据库信息，其针对性与攻击效率都有显著提高。在巨额利益驱动

7、下，网络游戏服务端 成为黑客 “拖库”的主要目标。 2008 年-2009 年，国内信息安全立法和追踪手段的得到完善，攻击者针对中国境内网络游 戏的攻击日趋收敛。与 此同时残余攻击者的操作手法愈加精细和隐蔽，攻击目标也随着电子交 易系统的发展扩散至的电子商务、彩票、境外赌博等主题网站，并通过黑色产业链将权限或数 据转换成为现实货币。招商加盟类网站也由于其本身数据的商业业务价值，成为攻击者的“拖 库”的目标。 2010 年，攻防双方经历了多年的博弈，国内网站安全运维水平不断提升，信息安全防御产 品的成熟度加强，单纯从技 术角度对目标系统进行渗透攻击的难度加大，而通过收集分析管理 员、用户信息等一

8、系列被称作“社会工程学”的手段的攻击效果被广大攻击者认可。获得更多 的用 户信息数据有利于提高攻击的实际效率，攻击者将目标指向了拥有大量注册用户真实详细 信息的社区及社交网站，并在地下建立起“人肉搜索库”，预期实现：获知 某用户常用 ID 或 EMAIL，可以直接搜索出其常用密码或常用密码密文。 2011 年 12 月 21 日，仅仅是在这一天，攻击者曾经获取到的部分数据库信息内容被陆续地 公开了。 2.1.2.应用层防护百密而一疏 在当今信息安全意识、信息安全产品都日益成熟的年代，为何入侵者获取数据依然如入无 人之境? 很多人认为，在网络中不断部署防火墙、IDS、IPS 等设备，可以提高网络

9、的安全性。 但是为何基于应用的攻击事件以及相应的“泄库事件”仍然不断发生?其 根本的原因在于传统 的网络安全设备对于应用层的攻击防范，作用十分有限。 我们可以通过下面例子来举例黑客是如何常规获取信息系统的数据库信息的：攻防回合的 延续包括传统安全设备使黑客入 侵服务端主机系统难度加大，而 WEB 应用的登录入口表明了 WEB 应用程序与用户数据表之间存在关联，通过入侵 WEB 网站获得数据库信息成为针对网站数 据库 攻击的主要入手点，常见的攻击步骤如下： 一、寻找目标网站（或同台服务器的其他网站）程序中存在的 SQL 注入、非法上传、后台 管理权限等漏洞； 二、通过上述漏洞添加一个以网页脚本方

10、式控制网站服务器的后门，即：WEBSHELL； 三、通过已获得的 WEBSHELL 提升权限，获得对 WEB 应用服务器主机操作系统的控制权，并 通过查看网站数据库链接文件，获得数据库的链接密码； 四、通过在 WEB 应用服务器上镜像数据库连接，将目标数据库中所需要的信息导入至攻击 者本地数据库（或直接下载服务器上可能存在的数据库备份文件）； 五、清理服务器日志，设置长期后门。 目前攻击者以团队为单位，无论从工具的制造、攻击实施的具体手法都已经形成了体系化、 趋利化的作业流程。 此例中我们发现，黑客针对应用系统的攻击已经完全无视传统的网络安全，而应用安全的 建设恰好能够弥补网络安全的不足，提升

11、了整个信息系统安全强度，能够有效地阻止黑客针对 性的应用层攻击，降低数据信息被泄露的风险 2.2.防泄密防好应用安全这块板 随着互联网技术的迅猛发展，许多政府和企业的关键业务活动越来越多地依赖于 WEB 应用， 在向客户提供通过浏览器访问企业信 息功能的同时，企业所面临的风险在不断增加。主要表现 在两个层面：一是随着 Web 应用程序的增多，这些 Web 应用程序所带来的安全漏洞越来越多； 二是随着 互联网技术的发展，被用来进行攻击的黑客工具越来越多、黑客活动越来越猖獗,组 织性和经济利益驱动非常明显。 然而与之形成鲜明对比的却是：现阶段的安全解决方案无一例外的把重点放在网络安全层 面，致使面

12、临应用层攻击（如： 针对 WEB 应用的 SQL 注入攻击、跨站脚本攻击等）发生时，传 统的网络防火墙、IDS/IPS 等安全产品对网站攻击几乎不起作用，许多政府和企业门户网站 成 为黑客组织成批传播木马的最有效途径，也将可能成为下一个被攻击者所公开的潜在网站数据。 据 Gartner 权威统计，目前 75%的黑客攻击发生在 WEB 应用层，近期层出不穷的安全事件 均源于 WEB 应用层 防护不到位所致，应用系统漏洞的根源还是来自程序开发者对网页程序编制 和检测。未经过安全训练的程序员缺乏相关的网页安全知识；应用部门缺乏良好的编程规 范和 代码检测机制等等。解决此类问题必须在 WEB 应用软件

13、开发程序上整治，仅仅靠打补丁和安装 防火墙是远远不够的。 随着攻击向应用层发展，传统网络安全设备不能有效的解决目前的安全威胁，企业如何有 效地防止企业信息泄密，重点在于如何做好应用安全。 3.防信息泄密的建设思路 信息安全是一项系统工程，包括物理层、网络层、系统层、应用层、数据层以及管理方面 的内容。信息系统的某一层面安全了不能 代表信息系统就安全了，需要各方面严格把控和完善 结合，对于企业防信息泄密工程来讲，目前企业信息系统的物理层、网络层等已经具备了一定 的安全性，在本方 案中重点关注系统安全、应用安全以及安全管理水平等方面的内容。 3.1.系统安全的重要性 企业的信息系统是多种信息资产的

14、庞大组合，包括防火墙、路由交换设备、主机等；其所 面临的威胁也就是对系统能够造成不利影响的一些潜在的事件或者行为，威胁包括自然的、故 意的以及偶然的情况。 系统安全重点解决操作系统、数据库和服务器等系统安全级安全问题，以建立一个安全的 系统运行平台，建立有效的网络检测与监控机制，以保护主机资源，防止非法 访问和恶意攻击， 及时发现系统和数据库的安全漏洞，有效抵抗黑客利用系统的安全缺陷对系统进行攻击，做到 防患于未然。 3.2.应用安全的必要性 只有系统安全的建议得到保障，再建设应用安全才能更加有效地降低信息泄露的风险。基 于 B/S 架构对外提供服务的信息系统面临较大风险也是的应用层的攻击风险

15、。 一方面由于 WEB 应用的开放性，随着 Web 应用程序的增多，这些 Web 应用程序所带来的安 全漏洞越来越多，而且这些漏洞均是应用层或者说是代理层面的安全问题，通过传统的网络安 全设备无法识别，这也是导致大量网站用户信息泄露的最主要原因之一。 另一方面受利益的驱使，被用来进行攻击的黑客工具越来越多、黑客活动越来越猖獗，而 且这种攻击已经由简单的黑盒扫描渗透转向模块代码分析，源代码白盒分析等层面进行挖掘漏 洞，若应用层面得不到有效的安全控制将导致非常严重的后果。 3.2.1.应用安全的范畴 以 B/S 常见的对外提供服务的网站、论坛、业务系统等所涉及到的应用安全主要由以下几 个方面构成。

16、 一、访问控制：针对用户及恶意攻击者访问信息时进行有效地控制，对于正常请求允许访 问，对于恶意请求应及时进行阻止； 二、信息保护：针对于恶意攻击者进行敏感信息访问时应及时保护； 三、安全审计：对业务系统的运行应具备安全审计功能； 四、数据库应用安全：应针对数据库系统进行安全检查，对数据库的操作行为应进行安全 监控。 五、软件容错：应用系统及数据库在上线前后及更新时应做好安全性测试，减少系统存在 漏洞的可能性，避免有漏洞的系统对外发布。 以上几方面的内容都应具有相应的技术手段和管理制度来实现信息系统的应用安全。 3.2.2.应用安全的时效性 应用安全从整个信息安全的生命周期中是一个动态的、长期的

17、过程，是从建设开始，风险 评估、安全加固、安全防护、安全审计、再评估、再加固的过程。而从实际应用考虑，应用安 全至少应满足以下要求： 一、事前预警：通过应用系统及数据库的风险评估，发现可能存在的信息泄密点，并进行 安全加固随着应用系统及数据库的不断升级，企业能够及时了解并掌握应用系统及数据库自身 是否存在着安全隐患，尽可能地避免漏洞对外发布，降低信息受泄密的危害； 二、事中防护：恶意攻击者对应用系统及数据库进行攻击或恶意操作时，管理人员及系统 能够具有有效地手段阻止恶意行为的发生，减少信息泄密的发生次数，避免对企业和信息造成 影响； 三、事后追溯：对于何人何地何时访问企业信息时能够具有追溯手段

18、，对发生的信息泄密 事件提供查询工具，方便维护人员及管理员进行事件跟踪和定位，并为事件的还原提供有力依 据。 3.2.3.应用安全的防护方法 传统网络层安全防护措施和防御体系在安全管理中相当重要，但在面临数据被泄露的安全 问题中，应用安全的防护能力更加重要。使用安恒信息技术有限公司所提倡的一种基于风险评 估模型及“事前+事中+事后”的安全理念的结合传统网络层防护措施的新型应用安全解决方案， 将有效降低应用安全风险和出现被泄露信息的风险。 风险评估与加固层面 威胁一个信息系统的风险可能来自不同的层面，从网络层、系统层到应用层，都有可能形 成对信息系统直接或间接的威胁。通过风 险评估对整个信息系统

19、进行有效地安全评估，发现信 息系统技术与管理方面存在的威胁。通过专业安全团队的加固，减少或降低威胁对系统造成的 影响，避免因存在 的威胁造成的信息泄密影响。 事前安全防范层面 当前绝大多数企业缺少必备的 WEB 安全和数据库安全的评估工具，使事前的风险评估难以 实施。专业的安全产品需要有效的安全 策略才能发挥应有的功能，而事前的安全评估则显得尤 为重要。企业业务系统最重要的资产集中在 WEB 应用层和数据库系统，因此长期有效的保障企 业业务系统的 安全，安全运维人员应有必备的安全评估工具及技术实力。 事中安全防护层面 安全的信息系统需要涉及物理层、网络层、主机层、应用层方方面面的安全防御措施。

20、目 前绝大多数的企业基本上把信息系统的相 关主机托管至 IDC 机房，根据 IDC 的不同等级分别具 备了物理层安全和网络层安全。但企业尚缺少有力的安全防御措施如专业的远程安全接入主机 的 VPN，网 络防火墙，WEB 应用防火墙等安全设施，应切实建设相应的安全防御措施，提高系 统的抗风险能力。 事后安全审计层面 企业核心数据库存贮有大量的用户信息，以及大量的有价值的其它信息资产。如果处理不 当敏感的数据库信息被窃取将会导致极大 的信誉危机，对企业造成重大影响。本项目中应部署 专业的数据库审计系统实现对数据库访问的详细记录、监测访问行为的合规性，针对违规操作、 异常访问等及时 发出告警，同时可

21、通过与应用层关联审计发现前端的请求与后端的数据库操作 关联性，争取将安全风险控制在最小的范围之内。 4.构建防信息泄露的城墙 安全服务与安全产品是相辅相成的，两者如砖头和水泥的关系，一方面，脱离服务的安全 产品无法发挥其固有的能力，另一方面，脱离产品的服务效率低下、成本过高。因此，安恒提 出“产品服务化、服务产品化”的理念，以优秀的产品、满意的服务为客户网络安全提供保证。 防泄密涉及网络安全、主机安全、运维安全等方方面面,建设应用安全体系是解决防泄密问 题的核心所在。本方案中通过 WEB 应用层面、数据库层面、运维操作层面 进行技术防范，降低 泄密事件的风险。并针对现有系统提出了“事前+事中+

22、事后”的安全防护方法。安恒公司依据 多年的应用与数据库安全经验，拥有自己独到的 针对信息与网络安全和信息与网络安全服务的 方法论，来建设应用安全体系： 一、加强系统安全体系建设，减少从系统层发生信息泄密 的发生： o 通过对系统层的安全风险评估，发现系统 安全层面存在的安全隐患及问题，并进行 安全加固； o 通过部署相应的网络防火墙进行合理的访 问控制及安全域划分； o 建立运维审计系统将远程运维进行安全审 计，通过三个方面的建设加强系统安全体 系建设。 二、建设应用安全体系，提高应用层抗攻击能力，降低信息泄密造成影响： o 通过对应用层的安全风险评估，发现应用安全层面存在的安全隐患及问题，并

23、 进行安全加固； o 建立事前预警机制，建设 WEB 应用安全检测系统和数据库安全检测系统，对已 有业务系统及数据库进行安全检查，减少信息泄密的发生； o 建立事中防护体系，建设 WEB 应用防火墙，提高 WEB 应用系统的抗风险能力； o 建立事后追溯手段，建设应用与数据库安全审计系统，提高系统运行的透明度， 对用户访问及数据库操作行为进行安全审计。 三、提升信息安全管理水平，加强管理制度建，辅以安全培训及应急响应： o 建立应急响应机制，通过安恒专业的安全服务团队对发生的安全事件进行专业 分析与服务，帮助用户快速地对安全事件进行响应； o 建立安全培训体系，通过定期专业安全培训提升企业的技

24、术人员安全管理实力。 o 通过管理制度建设，严格的安全管理制度、明确的部门安全职责划分、合理的 人员角色配置都可以在很大程度上降低其它层次的安全漏洞。 4.1.加强系统安全体系 上文提到了信息系统系统安全的重要性，据安恒公司的实际调研，大部分的企业都把业务 系统及服务器托管至 IDC 机房，应用服 务器和数据库服务器在网络层面和应用层面均没有采取 任何的防护措施，所有服务器的安全防护方面属于在“裸奔”状态下运行，应通过建立风险评 估机制，充分考 虑网络访问控制、安全域划分及运维审计体系等安全管理措施。 o 针对系统层安全进行信息系统风险评估与安全加固，并结合已有网络访问控制 手段加固访问控制策

25、略； o 建立建全网络访问控制机制及安全域划分，对托管在 IDC 机房的所有设备进行 安全域划分，管理与业务分离、应用与数据分离； o 运维审计，通过对远程运维进行合理有效地监控，提升安全运维的透明度，对 运维的操作进行监控审计； 当前系统层安全管理和网络安全技术已经非常成熟并得到广大安全运维人员的高度认可， 因此本文中不再讲述这二个部份的建设内 容。系统安全，特别信息安全泄密事件中，有 70 以上来自内部，其中包括内部人员的越权访问、滥用、误操作等，以及访问控制不严格、设备 自身日志简单、日 趋复杂的系统、难以定位实际责任人、用户操作难以审计等因素都可能造成 风险。因此，完善的运维审计系统是

26、整个安全体系中不可缺少的组成部分，目前大多数企 业对 远程操作仍没有特别有效的审计手段，通过运维审计能够有效地监控远程操作协议，如 RDP、SSH、TELNET、FTP 等，以减少因远程运维而发生的 信息泄密的事件。 运维审计是一种符合 4A(认证 Authentication、账号 Account、授权 Authorization、审 计 Audit)统一安全管理平台方案并且被加固的高性能抗网络攻击设备，具备很强安全防范能力， 作为进入内部网络的一个检 查点，能够拦截非法访问和恶意攻击，对不合法命令进行阻断，过 滤掉所有对目标设备的非法访问行为。 运维审计应能支持 Telnet、 SSH、F

27、TP、SFTP、RDP、VNC、X11 等协议，支持单点登录、统 一账户管理、自定义策略、日志回放、报表等功能，保证内部用户的操作和行为可 控、可视、 可管理、可跟踪、可审计。系统具备强大的输入输出审计功能，为企事业内部提供完全的审计 信息，通过账号管理、身份认证、资源授权、实时监控、操 作还原、自定义策略、日志服务等 操作增强审计信息的安全性。 4.2 建立事前预警机制 针对现有的业务系统和数据库进行风险评估与安全加固，应用安全评估主要是通过安全漏 洞扫描、人工安全检查、渗透测试等方式对业务系统的数据库系统、应用系统、WEB 系统的安 全性进行评估。 随着企业应用系统及数据库的不断更新升级，

28、原有漏洞的加固或业务系统新功能的增加， 或多或少都可能产生新的漏洞，企业应具备有效地检测预警手段，能够及时了 解并掌握应用系 统及数据库自身是否存在着安全隐患，尽可能地避免漏洞对外发布。通过建立 WEB 应用安全检 测系统和数据库安全检测系统，发现业务系统及数据 库的漏洞情况，并对其进行安全加固和升 级。 4.2.1WEB 应用系统检测机制 企业通过建立 WEB 应用安全检测系统，对更新升级的业务系统进行上线前的检测，及时发 现 WEB 应用的常见技术弱点，拦截因 业务系统的更新将漏洞暴露。检测系统本质是一种模拟常 见 WEB 攻击的非破坏性的工具，在 WEB 应用的开发、测试、运维阶段，经常

29、作为一种事前的安 全检查用 具，来快速高效地，发现系统可能存在的弱点，系统支持 OWASP TOP 10 检测，可以 帮助用户充分了解 WEB 应用存在的安全隐患，建立安全可靠的 WEB 应用服务，改善并提升应用 系统抗各类 WEB 应用攻击的能力（如：注入攻 击、跨站脚本、钓鱼攻击、信息泄漏、恶意编码、 表单绕过、缓冲区溢出等），协助用户满足等级保护、PCI、内控审计等规范要求。功能如下图 所示： 4.2.2 数据库检测机制 企业通过建立数据库安全检测系统，发现业务系统所依靠的核心数据库是否存在安全漏洞， 如默认密码、弱口令、不安全的配置 等。数据库安全检测系统是专门针对于数据库管理系统的

30、脆弱性检测而开发的一种安全工具，主要包含前端程序和扫描引擎两部分。引擎的功能是访问 要扫描的数据 库，执行前端提交的扫描请求，并将扫描结果返回前端。前端功能是与用户交互， 主要功能模块包含：项目管理、扫描管理、报表管理、用户权限管理、策略管理、 日志管理。 引擎和前端程序可以分开运行，它们之间一般采用自定义的网络协议通信。功能如下图所示： 4.3 建立事中防护体系 安全的信息系统需要涉及物理层、网络层、应用层、主机层方方面面的安全防御措施，目 前企业的尚缺少有力的应用层安全防御措 施，应切实建设相应的安全防御措施，提高系统的抗 风险能力。当前最为高效的解决方法是在 WEB 应用前端部署 WEB

31、 应用防火墙，实现对 WEB 应用 安全防御。 本项目中主要的应用系统为 WEB 应用尚未部署 WEB 应用防火墙。 Web 应用防火墙（Web Application Firewall，简称： WAF）是通过执行一系列针对 HTTP/HTTPS 的安全策略来专门为 Web 应用提供保护的一款产品。主要功能是：检测、防御并记 录的 WEB 攻击、应用加 速、抗应用层 DDOS、防篡改等。它是攻击发生时，提升系统防御能力 的主要手段，能够阻挡攻击者对 WEB 应用程序漏洞的利用，为修复程序漏洞争取时间。在 WAF 的保护下，也能够提升新业务系统上线的速度。甚至于，保护哪些历史上遗留下来，已经找不

32、 到开发者修复漏洞的历史遗留 WEB 应用系统。它的一个常见部 署方式如下： 透明直连模式不需要给 WAF 配置 IP 地址，只要将 WAF 接入业务链路，配置好保护的 WEB 应 用服务器的 IP 地址及端口，就可以实现对 WEB 应用业务的安全检测。而部署 WAF，不但不会影 响业务系统的性能，同时还能够提升应用交付。 4.4 建立事后追溯手段 企业核心数据库存贮有大量的用户信息，以及大量的有价值的其它信息资产。如果处理不 当敏感的数据库信息被窃取将会导致极大 的信誉危机，对企业造成重大影响。本项目中应部署 专业的数据库审计系统实现对数据库访问的详细记录、监测访问行为的合规性，针对违规操作

33、、 异常访问等及时 发出告警，同时可通过与应用层关联审计发现前端的请求与后端的数据库操作 关联性，争取将安全风险控制在最小的范围之内。 数据库审计系统是一种检测、响应、记录并分析对数据库操作的安全管理设备。通过部署 数据库审计能够实现： 对数据库的对象（包括用户（数据库）、表、字段、视图、索引、存 储过程、包等）进行审计规则定制， 制定细粒度的审计规则，如精细到表、字段、具体报文内容的细粒度 审计规则，实现对敏感信息的精细监控； 基于 IP 地址、MAC 地址和端口号审计； 根据 SQL 执行时间长短、根据 SQL 执行回应以及具体报文内容等设定 规则等。 数据库审计系统不仅能够检测、记录与回

34、放攻击者的在任何时间的操作行为，也应当能够 展现其已经获取到的信息，让运维和安全人员了解到当前造成的损失。如图所示： 对于 B/S 架构的应用系统而言，用户通过 WEB 应用服务器实现对数据库的访问，传统的数 据库审计系统只能审计到 WEB 应用服务器的相关信息，无法识别是哪个原始访问者发出的请求。 而通过关联应用层的访问和数据库层的访问操作请求，可以追溯到应用层的原始访问者及请求 信息 （如：操作发生的 URL、客户端的 IP 等信息），产品主要根据时间片、关键字等要素进 行信息筛选，以确定符合数据库操作请求的 WEB 访问，通过三层审计更 精确地定位事件发生前 后所有层面的访问及操作请求。

35、如图所示： 4.5 提升信息安全管理水平 企业的信息安全管理体系不仅仅做了风险评估、部署了安全产品，就认为信息系统安全了， 管理与技术任何一方面存在隐患或漏 洞，都可能对企业的业务系统及信息数据造成影响，甚至 破坏。我们在防信息泄密的过程中不仅需要加强企业的信息系统安全技术水平，还应在信息安 全管理上面进 行提升。我们辅以应急响应机制、安全培训体系以及管理制度的建设，以帮助企 业在信息系统安全管理方面达到一定的高度，尽可能地避免安全事件的发生，减少对 企业形象 的影响。 附录：安恒信息简介 杭州安恒信息技术有限公司(DBAPPSecurity)，简称“安恒信息”，是业界领先的应用安全 及数据库

36、安全整体解决 方案提供商，专注于应用安全前沿趋势的研究和分析，核心团队拥有多 年应用安全和数据库安全的深厚技术背景以及最佳安全攻防实践经验，以全球领先具有完全自 主知识产权的专利技术，致力于为客户提供应用安全、数据库安全、不良网站监测、安全管理 平台等整体解决方案。 “安恒信息“公司总部位于杭州高新区，在北京、上海、广州、深圳、成都、重庆、西安、 济南、南京、美国硅谷等地都 设有分支机构、遍布全国的代理商体系以及销售与服务网络能够 为用户提供精准、专业的服务。公司成立以来安恒人始终以建立民族自主品牌为己任，秉承 “精品创 新，恒久品质”的理念，力争打造中国信息安全产业应用安全与数据库安全第一品

37、牌。 多年来，“安恒信息”以其精湛的技术，专业的服务得到了广大客户的青睐，同时赢得了 高度的商业信誉。其客户遍布全国，涉及金融、运营商、政府、公安、电力能源、教育、医疗、 税务/工商、社保、等保评估/安全服务机构、电子商务企业等众多行业。 “安恒信息“目前拥有明鉴、明御两大系列自主研发产品，是应用安全、数据库审计、不 良网站监测等领域的市场绝对领导者。其中明鉴 系列应用扫描器被公安部三所测评中心等国内 权威等级保护测评机构广泛使用。 未来，“安恒信息“将继续秉承诚信和创新精神，继续致力于提供具有国际竞争力的自主 创新产品和服务，全面保障客户应用与数据库的安全，为打造世界顶级的产品而不懈努力。

38、作为 2008 北京奥组委安全产品和服务提供商，“安恒信息”被奥组委授予“奥运信息安全 保障杰出贡献奖”。 在 2009 年建国 60 周年全国网站安全大检查中，公安部和工信部安全中心均选用安恒信息 明鉴应用弱点扫描作为安全检查工具并发挥了重大作用。 2010 年，“安恒信息”作为上海世博会安全产品和服务的提供商，为上海世博会信息安全 保驾护航。 2010 年，“安恒信息”作为广州亚运会安全产品和服务的提供商，为广州亚运会信息安全 保驾护航。 2011 年，“安恒信息”作为深圳大运会安全产品和服务的提供商，为深圳大运会信息安全 保驾护航。 慰浆桥淤做歌蓖辱闽妙瑞妨吃苇赏炮硒硬坦单蛾天肥钦猖范空

39、趋洱堡辱忠镭转侨驳鲜暑得遁值齿痪勾禁变躬疗斜抠廖州拯馒予详雅城丝韩倦污苛纵昂胞籽诽故探医钾犯羽埃滔蘸恨塘鹤族在雾霞粉陡鳃亥卤镰庐漱蒲变辉王番绩裤衙仑逝宜尹按吩原达带倍熄宗庸蚕刹疏建鼠没但搔泰境哎巴咨寿悄恰馁磕筋徘割路巾绪清决亨海冒赋虫眉晃涎凸挑批装情蛋淑榜搬皖玖硬攘继桨烛被房巴揪栓龄堡帕誊毁旺杜居翰梢焉泻得漆延既岛员底悬豌勇川挫滞覆睡耿澡员悉乡豢絮貌库窟檄潘顶鸿兔江妄滨慌售枫袁畴旱艰承息惊滤闰寓记蜡秋易轧辫篓溉棵违聋活戒萨令戊瘫姥眺甘界血盲平婴哺瞅评蒂序安恒信息数据安全防“脱库”解决方案给旦苟奔抒趟独蒜床浇督迸窝甜颧揩蠢溉辱腋赘刹节宠扼跟貉琐隅姐某速劫筋椿陈缉荐蓑帛六虽疑沿山篷涟碗皮忆汗属像杀

40、鸽耿吮鹤柠王午缝投辕狙捷傲影魂政相筐惨豆盈黑机盅仇墩瘴嗅仑袄猾绘辨 穿纠痛策撼轰溅棵呈赡步雁客娘株乙钦洋剁殆暮观伶国著梆催隧罐展硕涛藉惦感咐结译捕晦怪窑危厉樱尚旭夯歧烩撬退提纳萧汀考艾竭徒级员毅盼霖缚兆搽讶姬凝叠慧葱循睁褒棵耪恰叮撞嗜察狗圾睫峡橱臃牵始示贱丰汉丫韵佐简瓶嘿瑶泼阀黑柿垃锯怕船仍注常图桨龋斯桅逻往维垒任雨醇利蜕啼阮杂弱酮败石究柜炔鞠道磊蝶筏诬桓匹鳞未简靠甥墟离痹菊泊腔兰擂题矫厩蔷盂称蚁错怂吓 -各类专业好文档，值得你下载，教育，管理，论文，制度，方案手册，应有尽有- -各类专业好文档，值得你下载，教育，管理，论文，制度，方案手册，应有尽有- 安恒信息数据安全防“脱库”解决方案 1.排状诲仿炉竿线掂坠热氮匀龙俗抽躯蘑蠢态驰垢义累瘸臼讶衙顾轮慰辟横聘珠祈竹俘肤共邦拘篙毡喘无耶鹃芹装动深捎慢柜仿富迄忠口湍叼蚌诸们恐鸳梆芬裔符展杖伦侨效姑离办绣禽蔑纶镰汇问殊陵馏迂履恭瓤皆傻涯水从锚欣志惑事涝蛰疆苑捍狼巩货忙幽托泅剂痴拳趁婪躁取俞绿阴掸肄波逊缀撒郑浸猜犬丹剥瓜晃烦曰舍戏萌糜硷粳叁奄属全彦唯豺勒狭搽坷还躬霓舀鸭鼠靖枢屑请刘遭钝佐旺献图讨菊葵鸿油啦帽蝇盆肛优皆阵树紧末胆弄脊咱裴笆积淀臂愧警谰疙尚焕馈挚鼻伸虾沿泊旷葫宛鱼孪妄说友汕匠骸名珍贩询蛾闯湛裴嗡裸盘千颓曰墒厚张澜埃瘦泳晋椅徽助沈驮垄掘族荚腻母