宙斯盾:一种WEB应用的安全防护解决方案

在移动互联网时代,APP应用获得深度推广,WEB应用已然成为互联网时代的主流。针对WEB应用的各类安全攻击层出不穷,一时间,安全攻击与安全防护进入到斗智斗勇、你死我活的胶着状态。基于这样的处境,参照安全防护方面的竞品,开发了一套基于PAAS云服务的安全产品:宙斯盾主动安全卫士。该产品为集安全、性能、监控、健康报告于一体,是一种高可用保障平台和可视化管理支撑工具。     

基于生命周期的应用安全解决方案

随着Web技术的不断发展,Web技术得到广泛应用,针对Web应用的攻击方法也日新月异。针对Web应用安全防御中出现的防护方法不当等问题,提出了一种基于系统生命周期的Web应用系统安全解决方案。方案在系统的设计、建设、部署和运维中融入了安全设计、安全部署、加固防护、安全测评及应急响应等安全措施,弥补了传统安全防护方案在应用安全防护方面的不足,具有一定的实用价值。     

Web应用漏洞分析及防御解决方案研究

Web技术在网络上的广泛应用,使得Web网站系统时刻都在遭受着各种攻击与入侵,网络上越来越泛滥的各种垃圾邮件、网络欺诈或诱骗钓鱼软件及盗号木马程序更加剧了网络用户在进行安全防护方面的困难,Web应用安全面临的问题与挑战日益严峻。针对当前常见的SQL注入与溢出、ASP攻击与破坏,列举Web应用程序不同的入侵漏洞及造成的危害程度,详细分析了应用程序代码存在的不足及防范措施,从代码设计上提出解决漏洞修补的安全技术与方法,总结出一套完整的Web应用防攻击解决方案,得出在Web应用漏洞方面防御时重点关注的几项关键内容,确保整个网络应用服务系统的安全运行。     

SecaaS中的增值业务分析

云计算代表了当前工业界最有价值的信息技术演进方向,而云计算环境下的安全也越来越受到安全工业界的重视,越来越多的云用户开始意识到将安全资源聚集的意义,Secaa S(安全即服务)就是安全资源集中化的一个典型应用。文章首先依据云安全联盟对安全即服务的分类,对身份认证及访问控制、数据丢失防护,Web安全、入侵防御等云安全涉及的业务类型进行定义和介绍;然后对云计算(以Iaa S为主)环境下的安全即服务技术进行阐述,包括Iaa S环境下的安全防护涉及的内容以及由此衍生的可能形成服务的增值业务,随即分享作者对安全增值业务的部署模型、需要的技术支撑以及云数据中心涉及的增值业务的研究成果。     

Web Services通信环境下的安全机制

能在Internet上实现互操作的WebServices由于自身的优点．近年来已成为一个新的研究热点,但是其安全性这一潜在问题也日益引起人们的关注。文章从Web服务的安全需求出发,提出了Web服务通信环境下的集成服务安全支撑平台解决方案。对C／S模式的Web服务安全通信流程进行设计,结合WS—Security标准．建立了Web服务安全通信系统的有效功能模型,解决了现有安全机制在WebServices中不能提供足够安全保障的不足．有效地保证了Web服务环境下端到端的通信安全。     

Web应用的安全现状与防护技术研究

随着互联网技术的发展,Web技术得到了日益广泛的应用,越来越多基于Web应用的系统被部署在互联网上以提供各式各样的服务,由于互联网本身的开放性使其时刻面临着潜在恶意攻击,其安全性问题日益突出。在这样的背景下,进行Web应用安全现状与防护技术的研究具有很强的现实意义,为了提高Web安全性,建立健全Web防护体系,这里从客户端、服务器端和传输三方面对当今Web应用所面临的安全成胁进行了系统地分析,并针对各自面临的常见安全威胁提出了相应的安全防护方案和防护建议。     

Web应用中SQL注入攻击研究

SQL注入攻击是一种利用客户端用户提交数据构成查询语句而没有对潜在有害字符进行处理就在Web应用后台数据库中执行,从而产生与应用预期不同结果的一种攻击手段。在Internet或企业内部网络中,对Web应用中进行SQL注入攻击大量存在。这种攻击手段很容易被攻击者利用,但是只要对Web应用采取合理的安全防护措施就可以阻止SQL注入的发生或减少攻击造成的损失。     

基于云计算平台的防御拒绝服务攻击方法

随着企业的关键核心数据及服务从企业网迁移到了云服务中心,更多的应用和集成业务开始依靠互联网,拒绝服务带来的后果和破坏将会明显地超过传统的企业网环境。在云计算环境下,具体的应用成为攻击目标,攻击者会使用针对具体应用的攻击方法来攻击受害者的在线服务。文章提出了一种基于云计算平台的处理拒绝服务攻击的策略,主要解决了在云计算平台上对具体应用进行HTTP拒绝服务攻击的问题。通过该策略,能够在即使黑客伪装为合法用户后仍然能够防御拒绝服务攻击。     

Web应用系统软件信息安全技术研究

探讨了Web应用系统安全攻击和漏洞检测技术,分析了几种主要的Web安全防护技术,开发了Web应用系统的安全性检测软件.实践表明,提高Web应用系统的安全性具有现实意义,可以减少因Web应用漏洞而对网络系统带来的安全问题.     

从“网站挂黑链事件” 看网御星云政府网站安全解决方案

网御星云Web应用安全防护系统(简称:网御WAF)主要针对Web服务器进行HTTP/HTTPS流量分析,防护以Web应用程序漏洞为目标的攻击,并针对Web应用访问各方面进行优化,以提高Web或网络协议应用的可用性、性能和安全性,确保Web业务应用能够快速、     

一种改进的分布式Web服务注册管理模型研究

目前比较流行的Web服务注册管理模型UDDI存在实际使用情况较差的问题.主要原因在于:集中式的管理导致其随着服务数量的增加变得较难管理和维护;另一方面,目前UDDI只能提供基于关键字的目录查找,造成了服务查找有效性较差的问题.文中提出了一种改进的分布式服务注册管理模型(pUDDI),利用分布式结构和Web服务池机制减轻Web服务注册中心的负担和提高注册库中服务查找的有效性.     

基于Sub Web Service服务组合方法

在当前Web服务动态组合研究的基础上,提出了一种基于Sub Web Service的混合Web服务组合方法。结合静态与动态服务组合方法,将动态生成的服务组合计划描述保存在缓冲池中,当用户使用该组合服务时,系统将会在缓冲池中搜寻此服务组合,并为请求调用它。在组合算法中提出了基于Sub Web Service的组合算法,将多输入多输出的Web服务分解为多输入单输出的Sub Web服务执行服务组合。在避免重复动态组合服务的基础上,减轻了Web服务在组合过程中对多输出接口的依赖性,提高了系统服务效率。     

基于本体的Web服务组合异构消息的转换

Web服务的动态组合中所面临的一个重要问题是不同Web服务之间的消息格式的异构，这使得服务组合的流程定义和服务的选择有了很大的耦合性，因而动态组合变得困难．本文分析了Web服务组合中消息传递的异构现象，提出了一种基于本体的异构消息自动匹配和转换方法．该方法将上游Web服务输出信息通过本体匹配的方式有效的提取出来，并根据对应操作转换为与当前Web服务的输入参数格式相匹配的形式．这样，简化了Web服务组合的过程定义，也能够支持Web服务的替换和过程的动态演化．     

安全云服务平台技术研究

安全云服务是将云计算技术应用于业务应用安全领域,通过对安全设施资源及业务能力进行云化,形成安全能力资源池,并基于互联网提供按需的安全服务,从而实现安全即服务的一种技术和业务模式。安全云服务将传统安全技术和云计算技术进行了双向有机融合,能够提供更强大、更为有力的安全服务能力。文中对安全云服务平台的主要架构和服务模式进行了阐述,能够对国内安全云服务平台的建设提供一些参考。     

基于JBoss实现Web服务与通信业务整合

作为面向服务体系( SOA)的最主要的实现方式,Web服务(Web Services)技术被认为是业务整合的主要基础之一.根据ParlayX的Web服务规范,在NGN/IMS网络环境中,提出了一种基于JBoss服务器的以Web服务的方式交付通信业务的下一代网络融合业务平台架构,详细分析了Web服务与通信业务之间的交互方式,并利用该融合业务平台架构实现了一个第三方呼叫控制示例业务,展示了如何整合Web服务和通信业务,验证了该融合业务平台架构的可行性.     

云计算的服务安全体系结构和访问控制模型

Security is a key problem for the development of Cloud Computing. A common service security architecture is a basic abstract to support security research work. The authorization ability in the service security faces more complex and variable users and environment. Based on the multidimensional views , the service security architecture is described on three dimensions of service security requirement integrating security attributes and service layers . An attribute-based dynamic access control model is presented to detail the relationships among subjects , objects , roles , attributes , context and extra factors further. The model uses dynamic control policies to support the multiple roles and flexible authority. At last, access control and policies execution mechanism were studied as the implementation suggestion.     

Evaluating the web‐application resiliency to business‐layer DoS attacks

A denial‐of‐service (DoS) attack is a serious attack that targets web applications. According to Imperva, DoS attacks in the application layer comprise 60% of all the DoS attacks. Nowadays, attacks have grown into application‐ and business‐layer attacks, and vulnerability‐analysis tools are unable to detect business‐layer vulnerabilities (logic‐related vulnerabilities). This paper presents the business‐layer dynamic application security tester (BLDAST) as a dynamic, black‐box vulnerability‐analysis approach to identify the business‐logic vulnerabilities of a web application against DoS attacks. BLDAST evaluates the resiliency of web applications by detecting vulnerable business processes. The evaluation of six widely used web applications shows that BLDAST can detect the vulnerabilities with 100% accuracy. BLDAST detected 30 vulnerabilities in the selected web applications; more than half of the detected vulnerabilities were new and unknown. Furthermore, the precision of BLDAST for detecting the business processes is shown to be 94%, while the generated user navigation graph is improved by 62.8% because of the detection of similar web pages.     

多租户SaaS服务安全技术研究

SaaS近年来快速的发展,得到业界的广泛关注,具备通过互联网访问、多租户共享等特质。但由于租户的所有核心业务数据和客户资料都由SaaS服务提供商所掌握,如何保证SaaS服务的安全性已成为SaaS服务发展的第一道门槛。根据SaaS服务特点,提出SaaS服务体系架构链的概念,并在此基础上提出SaaS二维安全分层模型。基于此模型,探讨了SaaS服务每个层面可能涉及的安全技术与策略。     

基于Java语言的Web服务的动态发现与调用研究

Web服务是一个崭新的分布式计算模型,它的研究重点是Web服务的新型构架,Web服务的高效执行方式,Web服务与其他成熟技术的有机结合以及Web服务的集成是解决现实应用问题的重要技术。为了充分发挥Web服务的灵活性,用户必须能够动态地发现和调用Web服务。动态发现Web服务的研究目标是服务发现的高效率和自动化。在此使用Java的开放源码包uddi4j,wsdl4j和Apache Axis 2来实现Web服务的动态发现与调用的方法。该方法实现了Web服务与Java技术的有机结合,为更高效率的应用Web服务提供一种思路。     

基于并发事务逻辑的Web服务编制验证

 服务编制解决的是组织之间的业务集成问题,面临的是一个广泛分布、动态、自治、异构的网络环境,保障组合服务的正确执行以及相关特性的验证问题显得尤为重要.形式化方法是一种有效的解决方法,服务编制需要建立在严格的形式化模型的基础上,可以通过具有明确的、形式化语义的形式化模型研制验证工具来完成组合服务正确性的验证.本文基于并发事务逻辑(CTR:Concurrent TRansaction Logic)对服务编制的元素进行了描述和建模,给出了从WS-BPEL到并发事务逻辑的转换规则,讨论了服务编制在CTR中的验证问题以及WS-BPEL和CTR的表达能力,最后给出了一个实际的服务编制在CTR中建模的例子,验证了服务编制的CTR模型的有效性.