Web应用安全监测系统设计与应用

针对Web应用的攻击种类繁多、变化多样,基于静态规则库的旧的防护体系已经很难适应当前Web应用安全的新状况,提出了将无指导学习方法与合法规则检测模型相结合的Web应用安全防护新思路,设计了基于Web应用结构分析和流程分析的安全监测算法,并进行了系统实现.实现的Web应用安全监测系统现已应用于清华大学网络学堂,很好地实现了对Web应用访问请求信息的安全分析与监测.     

人力和社保厅门户网站安全架构与运维管理

从应用架构设计、应用系统安全设计、系统维护角度阐述了网络控制、入侵防护和安全审计.通过防篡改系统和Web应用防护系统实现防止外部入侵,自动告警,自动防护网站页面被篡改;通过应用监控及时有效地保护人社网的正常运行.     

多方位WEB网站安全防御系统研究

随着Web网站的快速发展,来自Web网站的安全风险越来越高。针对严峻的Web网站安全形势,以及单一的网站安全防护无法有效解决当前的Web网站安全问题的情况,文章对Web网站的安全问题展开多方面的研究。本文构建了一个集防注入/防XSS攻击功能,网站防篡改功能,Webshell检测功能于一体的多方位Web网站安全防御系统。     

面向云计算虚拟化的信息安全防护方案研究

云计算通过虚拟化技术实现网络按需调用集中共享资源,也引入了新的信息安全风险。文章分析了虚拟化面临各种威胁所对应的解决技术,通过无代理方式,从虚拟机外部为虚拟机中运行的系统提供高级保护。同时,从入侵检测、通信访问控制、防恶意软件以及防病毒等方面制定有效、全面的安全防护方案,完善企业云计算虚拟化信息安全防护体系,提高企业云计算虚拟化信息安全防护水平。     

网站应用层安全防护体系

针对网站面临的应用层安全问题,对应用层安全防护体系进行了研究。从事前Web应用漏洞扫描和测试、事中Web应用攻击主动防护、事后页面篡改检测及恢复三个层面建立了一个网站应用层安全防护体系。实践结果表明,该安全防护体系实现了网站的应用层安全,有效提高了网站安全性。     

浅谈网络安全等级保护2.0下的云计算安全风险

随着大数据、云计算和移动互联等新技术的出现,原有网络安全标准体系已不再适应当前的网络防护需求,经国家相关部委的重新修订,我国正式进入网络安全等级保护2.0时代.本文将对网络安全等级保护2.0背景下,云计算安全风险和云计算安全系统要点进行简要分析,在此基础上探索行之有效的云计算安全风险保护策略,以期提升网络安全等级保护2.0下云计算安全的保护水平,推动相关行业的持续发展.     

电力数据脱敏安全防护体系

随着电力事业的蓬勃发展,产生的大量电力数据因具有数量庞大、类型繁多、不易于处理等特点,给信息安全带来了巨大风险。针对电力数据开放过程中会牵涉到部分隐私及机密不能直接开放的问题,通过分析主流脱敏算法建立敏感信息分级机制,提出了一种适应性强、可扩展性高的电力数据脱敏安全防护体系。该体系够满足复杂应用场景下的不同脱敏需求,在不破坏所需要的数据信息与数据特征的前提下,对敏感信息进行保护。首先,结合电力大数据中的敏感信息相应特征,对大数据进行初步的分类;然后,按照对敏感数据划分的唯一性原则对数据进行数据脱敏处理,依据数据资源的防泄漏保护层建立了一套以数据防泄漏为核心的数据脱敏安全防护体系。通过192组电力客户信息数据测试情况对所提方案进行验证,实验结果表明,所提方案实现了良好的脱敏效果,有效解决了电力大数据的应用与保护之间的矛盾。     

基于Java2安全体系结构的Web数据库安全性问题研究

在Web应用系统中,Web数据库保护是关键,通过分析Java2安全平台中的安全体系结构核心、加密体系结构和Java2安全平台扩展中的验证授权服务、安全套接扩展、加密扩展,针对Web应用系统的三层结构模型,提出了基于Java2安全体系结构中的用户验证、保护数据库连接、访问控制和审计4大机制的Web数据库安全保护措施及具体的实现方法,为用户开发Web应用系统提供参考.     

工业控制系统信息安全防护体系研究

工业控制系统作为国家经济命脉的重要基础设施正面临着严峻的信息安全风险,工业控制系统信息安全防护体系建设迫在眉睫.分析了工业控制系统信息安全风险,结合电力行业工控系统信息安全需求,遵循先进成熟技术原则、分级保护原则、动态调整原则,提出了采用分层分域、纵深防御策略构建工业控制系统信息安全防护体系,阐述了安全风险评估体系、安全技术体系、安全管理体系的建设方案.     

基于Web应用的安全日志审计系统研究与设计

近年来随着Web应用技术的不断进步和发展,针对Web应用业务的需求越来越多,随之而来的Web应用安全攻击也呈上升趋势.目前针对网络攻击的防护技术手段也是层出不穷,但一般都是事前检测和事中防护,事后检测维护的则相应比较少.在网络中心有大量的服务器设备,Web日志文件作为服务器的一部分,详细记录设备系统每天发生的各种各样的事件,如客户端对服务器的访问请求记录、黑客对网站的入侵行为记录等,因此要想有效的管理维护设备和在攻击事件发生后及时的降低风险,分析审计日志对于事后检测和维护设备的安全是非常必要的.基于此,文章主要对基于Web应用安全日志审计系统进行研究和设计,日志审计系统主要分为三个子系统：日志采集子系统、分析引擎子系统和日志告警子系统.日志采集子系统采用多协议分析对日志进行收集,并进行相应的日志规范化和去重等处理.分析引擎子系统采用规则库和数理统计的方法,对日志特征进行提取和设置相应的统计量参数,进行比较分析.日志告警子系统则是主要配置相应策略并下发任务,对于审计结果进行界面展示或生成报告并以邮件的方式发送给用户等.     

国家电网边缘计算应用安全风险评估研究

依据国家网络安全等级保护与风险评估系列标准以及电力信息系统特点,提出国家电网边缘计算应用安全的风险评估模型,然后采用漏洞扫描工具AWVS、AppScan分别对集成最新安全漏洞的开源Web应用靶机软件BWAPP进行安全漏洞评测与风险评估实验,再运用模糊层次分析法对Web应用安全进行综合安全评价。针对应用程序的安全检测实验结果整理安全评估数据,实现对国家电网边缘计算应用安全风险评估的实例化验证。     

Web应用的漏洞分析与研究

本文基于OWASP(开放式Web应用程序安全项目)TOP10 2021的十大漏洞进行分析和研究,逐步形成安全漏洞的定义、威胁、成因、修复及预防分析框架。Web应用的安全防御始终是一个动态的过程,需要共同防御,才能最大限度的降低Web安全漏洞带来的危害。     

安全的Web服务集成框架分析与设计

提出了一个可扩展的Web服务的安全体系架构模型：SX_RSRPM模型,该模型通过对协议栈进行安全性扩展和增加安全认证角色有效地提高了Web服务的安全度。在基于XML的安全技术、WS_Seclurity协议的分析基础上,提出了Web服务的应用安全层次结构,并在开发OPEN-CLASS平台的过程中形成了一个实用的Web服务应用安全集成方案。     

Web应用程序中的潜在安全问题研究

主要讨论基于Web应用程序的潜在安全问题。首先阐述Web系统的漏洞,建立Web应用程序安全意识的必要性及应用程序存在的威胁以及相应对策;接着讨论一些可能存在的安全风险;最后给出对Web应用程序开发者和系统管理员的一些建议。     

基于二维安全防护体系的WAF系统

针对Web攻击,传统防火墙对应用层防护存在不足,而Web应用防火墙可利用其架构的技术优势,应对繁多的攻击方式。给出二维安全防护系统及Web服务器核心内嵌模型,进一步给出Web应用防火墙设计实现方案。实验表明,该系统能够解决Web应用安全问题,具有较高的网络性能,支持策略的定制与扩展。     

浅析Web应用系统的安全及防护策略

随着网络技术的发展,Web应用服务的快速普及,各种基于Internet的Web应用系统的攻击事件频发。本文试着分析Web应用系统主要安全问题及威胁Web安全的主要原因,提出Web应用系统的防护策略。     

一种Web软件安全漏洞分类方法

研究了环境错误与状态错误引发Web应用软件安全问题的途径,在此基础上提出了一种用于进行Web应用软件安全漏洞分类的层次分析模型。使用该模型对CVE漏洞数据库中抽取的Web软件安全漏洞进行了分类,并与使用EAI模型分类的结果做了对比。评估结果表明,该模型具备良好的漏洞分类能力,适用于指导Web应用软件的安全测试和安全防御工作。     

面向跨企业多方协同应用的Web服务安全模型

现有的Web服务安全工具仅提供单个服务的安全策略配置功能,忽略了业务流程层面的安全需求。为此,提出一种面向跨企业多方协同应用的Web服务安全模型,将Web服务安全建模、部署与监控过程,融合到企业业务流程管理过程中。在此基础上构造基于Secure-WSCDL的建模工具、转换工具和监控工具,实现SOA架构下业务模型与安全建模在软件工程生命周期中的同步。通过简化的国际贸易进出口流程实例,验证了该模型与相应工具的有效性。     

A web-based cooperative tool for risk management with adaptive security

Risk management can benefit from Web-based tools fostering actions for treating risks in an environment, while having several individuals collaborating to face the endeavors related to risks. During the intervention, the security rules in place to preserve resources from unauthorized access, might need to be modified on the fly, e.g., increasing the privileges of risk managers or letting rescue teams view the exact position of the victims. Modifications should respect the overall security policies and avoid security conflicts. This paper presents a dynamic access control model for environmental risks involving physical resources. Data structures included in our Web application to represent both risk and security are given. To keep the dynamic security rules compliant with overall organization security objectives, we consider rules grouped in Access Control Domains so that changes do not create security conflicts during collaboration in risk management. Considering work environments as an example, risk and access control models are introduced. Security is built on the ABAC (Attribute Based Access Control) paradigm. A Risk Management System (RMS) is illustrated: it captures events, signals potential risks, and outputs strategies to prevent the risk. Dynamic authorization is included in the RMS to vary subjects’ privileges on physical resources based on risk level, people position and so on. These concepts are implemented in a prototype Web application appearing as a Web Dashboard for risk management.     

Web应用防火墙(WAF)技术的综述

Web应用的广泛扩展,使得传统的网络防护技术已经不能有效地应对来自应用层的各种攻击。随着服务提供商对Web应用的安全需求不断提升,Web应用防火墙(WAF)作为应用层防护工具开始备受关注。为了研究Web应用防火墙技术的发展现状,通过阅读大量文献,对Web应用防火墙技术进行总结和分析,提出了Web应用防火墙的发展新趋势。