BSBY_f008

思科防火墻第一品牌【眾誠(chéng)鑫，王先生，13724320505】經(jīng)過(guò)多年的系統(tǒng)建設(shè)與服務(wù)實(shí)踐，眾誠(chéng)鑫科技建立了一套完善的項(xiàng)目管理體系和服務(wù)管理體系，打造出一支優(yōu)秀的技術(shù)、市場(chǎng)和管理團(tuán)隊(duì)，并通過(guò)ISO 9001質(zhì)量管理體系認(rèn)證。公司的技術(shù)人員、服務(wù)人員都經(jīng)過(guò)嚴(yán)格的崗位培訓(xùn)和專(zhuān)業(yè)培訓(xùn)，并積累了豐富的工作經(jīng)驗(yàn)；優(yōu)秀的人才團(tuán)隊(duì)不僅保證了公司的服務(wù)質(zhì)量，也推動(dòng)了公司業(yè)務(wù)良性發(fā)展。

　　對(duì)于大部分來(lái)說(shuō)，通常人們都會(huì)覺(jué)得應(yīng)用安全是非常可靠的。Web應(yīng)用安全全景編輯當(dāng)討論起Web應(yīng)用安全，我們經(jīng)常會(huì)聽(tīng)到這樣的回答：

　　“我們使用了防火墻”、“我們使用了網(wǎng)絡(luò)脆弱掃描工具”、“我們使用了 SSL 技術(shù)”、“我們每個(gè)季度都會(huì)進(jìn)行滲透測(cè)試”……所以，“我們的應(yīng)用是安全的”。現(xiàn)實(shí)真是如此嗎?讓我們一起來(lái)看一下 Web應(yīng)用安全的全景圖。

　　2: 信息安全全景

　　在企業(yè) Web 應(yīng)用的各個(gè)層面，都會(huì)使用不同的技術(shù)來(lái)確保安全性。為了保護(hù)客戶(hù)端機(jī)器的安全，用戶(hù)會(huì)安裝防病毒軟件 為了保證用戶(hù)數(shù)據(jù)傳輸?shù)狡髽I(yè) Web 服務(wù)器的傳輸安全，通信層通常會(huì)使用 SSL(安全套接層)技術(shù)加密數(shù)據(jù) 企業(yè)會(huì)使用防火墻和 IDS(入侵診斷系統(tǒng))/IPS(入侵防御系統(tǒng))來(lái)保證僅允許特定的訪問(wèn)，不必要暴露的端口和非法的訪問(wèn)，在這里都會(huì)被阻止 即使有防火墻，企業(yè)依然會(huì)使用身份認(rèn)證機(jī)制授權(quán)用戶(hù)訪問(wèn) Web 應(yīng)用。

　　但是，即便有防病毒保護(hù)、防火墻和 IDS/IPS，企業(yè)仍然不得不允許一部分的通訊經(jīng)過(guò)防火墻，畢竟 Web 應(yīng)用的目的是為用戶(hù)提供服務(wù)，保護(hù)措施可以關(guān)閉不必要暴露的端口，但是 Web 應(yīng)用必須的 80 和 443 端口，是一定要開(kāi)放的。可以順利通過(guò)的這部分通訊，可能是善意的，也可能是惡意的，很難辨別。這里需要注意的是，Web 應(yīng)用是由軟件構(gòu)成的，那么，它一定會(huì)包含缺陷(bugs)，這些 bug 就可以被惡意的用戶(hù)利用，他們通過(guò)執(zhí)行各種惡意的操作，或者偷竊、或者操控、或者破壞 Web 應(yīng)用中的重要信息。

　　因此可以看出，企業(yè)的回答，并不能真正保證企業(yè)的應(yīng)用安全：

　　a.網(wǎng)絡(luò)脆弱性掃描工具，由于它僅僅用來(lái)分析網(wǎng)絡(luò)層面的漏洞，不了解應(yīng)用本身，所以不能徹底提高Web應(yīng)用安全性

　　b.防火墻可以阻止對(duì)重要端口的訪問(wèn)，但是 80 和 443 端口始終要開(kāi)放，我們無(wú)法判斷這兩個(gè)端口中通訊數(shù)據(jù)是善意的訪問(wèn)還是惡意的攻擊

　　c.SSL 可以加密數(shù)據(jù)，但是它僅僅保護(hù)了在傳輸過(guò)程中數(shù)據(jù)的安全性，并沒(méi)有保護(hù)Web應(yīng)用本身

　　d.每個(gè)季度的滲透測(cè)試，無(wú)法滿(mǎn)足處于不斷變更之中的應(yīng)用。

　　只要訪問(wèn)可以順利通過(guò)企業(yè)的防火墻，Web應(yīng)用就毫無(wú)保留的呈現(xiàn)在用戶(hù)面前。只有加強(qiáng)Web應(yīng)用自身的安全，才是真正的Web應(yīng)用安全解決之道

公司名稱(chēng)：深圳市眾誠(chéng)鑫科技有限公司
應(yīng)用安全：http://www.zcxtec.com　http://www.zcxtec.com.cn　http://www.zcxtec.cn　
負(fù)責(zé)人：王先生 
電話：0755-82840597     
手機(jī)：13724320505 13631600109 
傳真：0755-82840507 
郵箱：wangbinliang@zcxtec.com                   
Q  Q：2230716125       
地址：深圳市福田區(qū)車(chē)公廟天安數(shù)碼城天濟(jì)大廈4棟A座302

　　本文出處：http://www.zcxtec.com/news/601.shtml