通用WEB系统和网站安全测试服务白皮书
[精品]IT系统安全白皮书
![[精品]IT系统安全白皮书](https://img.taocdn.com/s3/m/c034851417fc700abb68a98271fe910ef12dae74.png)
IT系统安全白皮书第一章企业与信息安全1.1 企业风险与安全1.2 信息安全的重要性及价值分析第二章信息安全基础及发展趋势2.1 进一步了解信息安全2.2 信息系统安全发展历程2.3 信息安全国际标准及组织2.4 OSI安全模型2.5 安全子系统2.6 揭穿黑客攻击术2.7 安全技术发展趋势第三章安全之道—MASS3.1 MASS的安全模型3.2 构建安全架构3.3 与总体解决方案架构的整合第四章实践及案例分析4.1 IT基础设施与网络安全4.2 访问控制4.3 身份和信任管理4.4 安全审核4.5 MASS架构整体安全解决方案实例第五章结束篇第一章企业与信息安全|信息安全的重要性及价值分析企业风险与安全1.1 企业风险与安全911事件以后，安全问题成为一个热门的话题，刚刚结束的雅典奥运会在安全方面的投入就超过了20亿美元。
对于企业来说，在进行商务活动的时候始终面临风险，这些风险是固有的，其存在于企业与客户和合作伙伴的日常接触之中。
了解这些风险与相应的安全解决方案是降低这些风险的前提。
企业通过提供产品与服务创造价值，在提供产品与服务的过程中不可避免的要跨越一些物理或逻辑上的边界。
这些边界是应该被安全地保护的，然而有效地保护这些边界并不是一件容易的事情。
大多数企业并不是一张白纸，它们已经存在了一些人员、流程和资源。
一个全面安全计划的实施会破坏当前企业的运作。
因此绝大多数企业在这些年一直为“如何实施安全解决方案以降低商业风险？”的问题所困绕。
1.1.1 企业风险安全不仅仅是产品，也不仅仅是服务。
它是企业创造价值的过程中的一个必要条件，安全包含了物理的安全：如警卫、枪支、门禁卡；安全产品：如防火墙、入侵检测系统、安全管理工具和安全管理服务。
安全不是绝对的，世界上不存在绝对的安全，企业始终面临着风险，有些风险可以避免，有些风险可以降低，而有些是可以接受的。
一个企业如果了解了这些风险，并且处理好这些风险，那么它就是安全的。
TongWeb6.0技术产品白皮书
产品概述：阐述TongWeb应用服务器在企业级应用中的作用。
体系结构：详细说明TongWeb应用服务器的体系结构及其优势。
产品特性：简要介绍TongWeb应用服务器的产品特性。
今天，伴随网络和信息化建设的蓬勃发展，中间件平台广泛地应用于电信、金融、政府，交通，能源等各行各业的企业应用。
为了充分利用和保护关键业务基础架构，所选的中间件平台必须是基于标准、具有可扩展性、持续的可用性、高效的易管理性，而且要足够灵活，以支持各类开发团队和多种应用框架。
东方通TongWeb应用服务器完全满足甚至超过了上述要求。
TongWeb应用服务器支持SOA，为企业应用提供最可靠，最稳定的基础支撑环境。
TongWeb应用服务器支持从开发到生产的整个应用生命周期和多种主流的应用框架，并完全支持Java EE 6 Web Profile规范,内部采用松散耦合的架构使上层容器和服务可以灵活扩展，同时提供高可靠、高伸缩、运行时可动态扩展的web集群。
目前，TongWeb应用服务器已经发展到了第6代产品。
10多年来，通过持续创新，艰苦磨练，不断吸收并满足企业的迫切需求，TongWeb应用服务器已经成为企业和开发人员的理想选择，帮助电信、金融、电子政务，以及其它企业应用不断获得成功。
概要TongWeb应用服务器在企业级应用中的作用。
产品概述TongWeb6.0应用服务器全面实现了Java EE 6 Web Profile规范；它提供高级数据源服务、高可用性、集群和多平台支持。
通过配置TongWeb应用服务器集群，可以实现负载均衡，增强应用的扩展性。
TongWeb应用服务器的集群提供多台服务器之间的无缝移植以及故障切换，从而可确保关键应用和服务持续运行，帮助企业应对应用程序宕机或者服务意外无法访问等情况。
TongWeb应用服务器提供的安全特性可以保护对应用的访问，保障企业数据的安全，并防止恶意攻击。
TongWeb应用服务器提供的监控功能，可以帮助优化应用和TongWeb应用服务器的性能。
TongWeb6.0技术产品白皮书
产品概述：阐述TongWeb应用服务器在企业级应用中的作用。
体系结构：详细说明TongWeb应用服务器的体系结构及其优势。
产品特性：简要介绍TongWeb应用服务器的产品特性。
今天，伴随网络和信息化建设的蓬勃发展，中间件平台广泛地应用于电信、金融、政府，交通，能源等各行各业的企业应用。
为了充分利用和保护关键业务基础架构，所选的中间件平台必须是基于标准、具有可扩展性、持续的可用性、高效的易管理性，而且要足够灵活，以支持各类开发团队和多种应用框架。
东方通TongWeb应用服务器完全满足甚至超过了上述要求。
TongWeb应用服务器支持SOA，为企业应用提供最可靠，最稳定的基础支撑环境。
TongWeb应用服务器支持从开发到生产的整个应用生命周期和多种主流的应用框架，并完全支持Java EE 6 Web Profile规范,内部采用松散耦合的架构使上层容器和服务可以灵活扩展，同时提供高可靠、高伸缩、运行时可动态扩展的web集群。
目前，TongWeb应用服务器已经发展到了第6代产品。
10多年来，通过持续创新，艰苦磨练，不断吸收并满足企业的迫切需求，TongWeb应用服务器已经成为企业和开发人员的理想选择，帮助电信、金融、电子政务，以及其它企业应用不断获得成功。
概要TongWeb应用服务器在企业级应用中的作用。
产品概述TongWeb6.0应用服务器全面实现了Java EE 6 Web Profile规范；它提供高级数据源服务、高可用性、集群和多平台支持。
通过配置TongWeb应用服务器集群，可以实现负载均衡，增强应用的扩展性。
TongWeb应用服务器的集群提供多台服务器之间的无缝移植以及故障切换，从而可确保关键应用和服务持续运行，帮助企业应对应用程序宕机或者服务意外无法访问等情况。
TongWeb应用服务器提供的安全特性可以保护对应用的访问，保障企业数据的安全，并防止恶意攻击。
TongWeb应用服务器提供的监控功能，可以帮助优化应用和TongWeb应用服务器的性能。
安恒信息明御WEB应用防火墙产品白皮书
安恒信息明御WEB应用防火墙产品白皮书一、产品概述在当今数字化的时代，Web 应用已经成为企业和组织开展业务的重要窗口，但同时也面临着日益严峻的安全威胁。
为了有效保护 Web 应用的安全，安恒信息推出了明御 WEB 应用防火墙（以下简称“明御WAF”）。
这一强大的安全防护产品旨在为企业的Web 应用提供全面、精准和高效的安全防护，抵御各类网络攻击，保障业务的稳定运行。
明御 WAF 采用了先进的技术架构和智能的防护策略，能够实时监测和分析 Web 应用的流量，快速识别并拦截各种恶意攻击行为，如SQL 注入、跨站脚本攻击（XSS）、Web 应用扫描、恶意爬虫等。
同时，它还具备强大的 Web 应用漏洞防护能力，能够及时发现和修复应用中的安全漏洞，有效降低安全风险。
二、产品功能1、攻击防护明御 WAF 具备强大的入侵检测和防御功能，能够准确识别并拦截常见的Web 攻击，如SQL 注入、XSS 攻击、命令注入、文件包含等。
通过实时监测 Web 流量，对请求进行深度分析，及时发现和阻止恶意攻击行为。
针对 DDoS 攻击，明御 WAF 提供了有效的防护机制，能够识别和过滤异常流量，保障 Web 应用在遭受攻击时仍能正常运行。
对 Web 应用扫描行为进行检测和拦截，防止攻击者通过扫描获取应用的敏感信息和漏洞。
2、漏洞防护能够对 Web 应用中的常见漏洞进行检测和防护，如缓冲区溢出、目录遍历、权限提升等。
通过实时更新漏洞库，确保对最新漏洞的有效防护。
提供漏洞修复建议，帮助用户及时修复应用中的安全漏洞，提高应用的安全性。
3、访问控制支持基于 IP 地址、用户身份、访问时间等多种因素的访问控制策略，实现精细化的访问管理。
对 Web 应用的 URL 进行访问控制，限制未授权的访问和操作。
4、数据安全防护对敏感数据进行识别和加密，保障数据在传输和存储过程中的安全性。
防止数据泄露，对数据的输出进行严格的控制和过滤。
5、应用加速通过缓存、压缩等技术，提高 Web 应用的响应速度和性能，改善用户体验。
Amazon Web Services (AWS)安全性白皮书说明书
WHITE PAPERExecutive SummaryOrganizations are turning to Amazon Web Services (AWS) in vast numbers to extend internal data centers and take advantage of the elasticity of the cloud. While AWS secures the infrastructure, AWS end-users are responsible for protecting everything residing within it—as described in the AWS Shared Responsibility Model. Faced with a fluid, fast-growing attack surface, however, organizations continue to rely on a multiplicity of disparate security technologies, platforms, and management tools to protect their AWS environments.This fragmented, complex approach to managing security across every AWS instance means that organizations lack transparent security visibility and control. They also find themselves in a reactive security mode instead of taking a proactive approach in responding to threats. Moreover, one of the reasons end-users opt for AWS is its elasticity—the ability to quickly scale up and down cloud services based on business requirements and user demands. This elasticity means it is difficult to extend and scale security components to meet this rapid change.What Keeps AWS On Top?AWS is shaking up the cloud computing market in the same way parent company Amazon has changed the retail landscape. Indeed, the popularity of AWS—from servers, storage, and networking to remote computing, email, and security—is such that the organization now comprises 10% of Amazon’s total revenues and more than 50% of the parent company’s profits1.AWS is also the market leader in Infrastructure-as-a-Service (IaaS), with 33% market share.2 And its other offerings such as Platform-as-a-Service (PaaS) continue to gain momentum. It thus should be no surprise that AWS boasts a global customer base that spans the newest startup companies to Fortune 500 companies.What makes AWS so successful? Four criteria dominate. First, AWS is innovating at lightning speed, keeping pace with industry trends and rapidly adding new services like data analytics and machine learning. Second, the organization has a vast, global customer and partner ecosystem. Third, AWS has market experience, having been among the first to market for public cloud services more than 10 years ago. Finally, there’s the fiscal argument. Developing, deploying, and managing critical applications in AWS delivers a 64% savings when compared with deploying the same resources in onpremises or hosted environments.3Addressing Security Challenges For Workloads With AWSIT and business leaders welcome the adoption of AWS’ on-demand infrastructure and services and are capitalizing on the promise of increased agility, lower costs, and improved flexibility. However, as often is the case with new opportunities, challenges also occur when moving workloads onto AWS. While the AWS infrastructure has embedded security tools and controls, the individual AWS environments—public, private, and hybrid—lack a consolidated security architecture. This results in various security challenges that CISOs must tackle.1. Cloud Proliferation Creates Security SilosThe surge in demand for AWS results in a proliferation of AWS cloud environments. A survey by RightScale found that enterprisesare running applications in an average of 4.8 clouds (3.1 clouds in production and experimenting with 1.7).4 Another discovered that companies use an average of 16 cloud-based Software-as-aService (SaaS) applications to help run their business.5 While these organizations may have other cloud providers outside of AWS, the likelihood is that they have multiple AWS instances.When it comes to security, the result is a multi-cloud environment that leverages security within silos. When Shadow IT is added to the mix, where individual departments or teams use cloud services and applications outside of the corporate IT procurement process, the complexity of managing these multiple cloud instances, including AWS, increases.AWS security is based on a Shared Responsibility Model. AWS is responsible for the security of the cloud, including the compute, storage, and database resources. End-users, meanwhile, are responsible for security in the cloud, such as data, applications, operating systems, and firewalls. But when security tools and processes reside within each AWS deployment, this incurs inefficiencies, diminishes the security posture, and increases complexity.2WHITE PAPER |Solores Tiassiti Alit Esti Autent Ut Repta Doluptati2. Lack of Security Visibility and ControlsWith AWS cloud environments residing within their own silos, this prevents end-users from seeing across and between each AWS instance, not to mention having a consolidated view of the entire attack surface and security components that includes each AWS instance.This creates manual processes for cybersecurity teams that are already overburdened, as they must build and consolidate security logs for each AWS account and deploy and manage security policies accordingly. Since there are currently 1 million unfilled cybersecurity positions today, a number that is expected to grow to 3.5 million in a few years, security leaders—even if they have budget to add more security headcount—cannot find the subject-matter security professionals needed to fulfill these additional security tasks.63. Growing, Evolving Attack SurfaceMigration of on-premises infrastructure to AWS and the adoption of new digital transformation (DX) initiatives on AWS expand the attack surface. Moreover, cloud deployments aren’t static, experiencing fluctuations and changes based on traffic and data volumes and business demands. As a result, it is more difficult to seamlessly extend security tools to accommodate these variables, with already overtaxed security teams typically turning to manual processes to overcome the problem.4. Cloud Agility and Scalability Complicates Security ProtectionsDynamic cloud workloads have peak and off-peak hours. Indeed, it is this scalability that makes AWS such an appealing proposition for organizations. However, the effective application of AWS cloud security requires an ability to scale up and down in concert with the workload. But traditional security architectures don’t meet this requirement. Connections between security elements and cloud silos break and must be manually reconnected. And as workloads scale horizontally, security protections can be compromised. One option to address the latter issue is to deploy more network security firewalls, but this can be prohibitively expensive, with firewalls frequently sitting idle during nonpeak sessions.5. Threat Prevention and DetectionMany attacks are multivector and polymorphic. With separate AWS instances, organizations lack the ability to share real-time threat intelligence across their AWS environment as well as with other potential access points in their IT infrastructure—endpoints, email, data center, and so forth. Disaggregated security also prevents security organizations from automating processes such as compliance tracking and reporting and real-time threat-intelligence sharing. Additionally, it is impossible for security teams to segment users, applications, and devices and to centrally manage security policies and controls across them. All of these issues create security gaps that hacktivists can exploit.ConclusionAs more and more organizations migrate workloads, data, and applications to AWS, their cloud environments quickly evolve. These AWS instances present significant security challenges, as complexity escalates, visibility gets obscured, manual processes burgeon, and overall risk postures increase. Traditional security approaches cannot scale to protect this expanding attack surface, and the lack of integration thwarts automation of processes and protections. They also cannot accommodate the rapid and evolving changes taking place in the threat landscape, where attacks target multiple entry points concurrently and zero-day threats are increasingly accessible to all types of bad actors. Security leaders are unable to extract themselves and their teams from a reactive security approach and develop a proactive security model that reduces risks.1 Jordan Novet, “Amazon cloud revenue jumps 45 percent in fourth quarter,” CNBC, February 1, 2018.2 Mike Robuck, “Report: Amazon Web Services still rules the cloud roost for market share,” FierceTelecom, April 27, 2018.3 Larry Carvalho and Matthew Marden, “Quantifying the Business Value of Amazon Web Services,” IDC, May 2015.。
TongWeb技术白皮书
TongWeb技术白皮书东方通科技公司2004.05目录1.概述 (3)2.应用服务器概念及TONGWEB 的起源 (3)2.1三层/多层应用模式和应用服务器 (3)2.2J2EE体系结构 (4)3.TONGWEB 体系结构 (4)3.1概述 (4)3.2T ONG W EB主要构件和功能 (5)（1）易于扩展服务的TongWeb内核 (5)（2）TongWeb Web容器 (6)（3）TongWeb EJB容器 (6)（4）会话管理器 (7)（5）数据库管理功能 (8)（6）名字目录服务 (8)（7）JCA支持 (8)（8）Java消息管理 (9)（9）交易服务与交易API (10)（10）安全服务 (10)（11）集群与均衡负载 (11)（12）Web Service支持 (11)（13）通过IIOP与CORBA对象的交互 (11)（14）开发和管理工具支持 (12)4.与传统应用的集成 (12)4.1支持J AVA连接器体系统结构（JCA） (12)4.2与T ONG EASY、T ONG LINK/Q的的集成 (12)1.概述本技术白皮书是为想深入了解TongWeb 的技术人员编写，内容包括三层/多层应用模式介绍、应用服务器和J2EE介绍、TongWeb体系结构、功能特性、与传统应用的集成等几个部分。
2.应用服务器2.1三层/多层应用模式和应用服务器传统的应用系统模式是“主机/终端”或“客户机/服务器”。
随着Internet 的发展壮大，新的开发模式也应运而生，即所谓的“浏览器/服务器”结构、“瘦客户机”模式。
但是以Internet 为基础的企业级应用，不仅要求在分布式环境下实现信息的采集、管理、发布、交换、处理等，还要求能解决好以下问题：∙快速开发和构建∙处理大量并发事务∙交易完整性∙易扩展∙互操作性∙可靠性∙信息安全要很好地解决以上问题，仅靠简单的Web技术是不够的，需要引入三层/多层应用模式。
信息安全白皮书
信息安全白皮书摘要：本白皮书旨在探讨信息安全领域的重要性，并提供一些关键性的观点和建议，以帮助组织和个人保护其信息资产免受各种威胁。
首先，我们将介绍信息安全的定义和范围，随后讨论当前面临的主要威胁和挑战。
接下来，我们将提供一些信息安全的最佳实践和策略，以及一些技术解决方案。
最后，我们将强调持续的教育和培训的重要性，以确保信息安全意识的普及和提高。
1. 引言信息安全是指保护信息资产免受未经授权的访问、使用、披露、破坏、修改或泄露的过程。
在当今数字化时代，信息安全已成为组织和个人不可或缺的重要组成部分。
随着互联网的普及和技术的不断发展，信息安全面临着越来越多的威胁和挑战。
2. 当前的威胁和挑战在信息安全领域，我们面临着各种各样的威胁和挑战。
其中包括：- 黑客攻击：黑客通过网络攻击和渗透技术，获取未经授权的访问权限，窃取敏感信息或破坏系统。
- 恶意软件：恶意软件如病毒、蠕虫和木马程序，可以破坏计算机系统、窃取敏感信息或进行其他不良行为。
- 社会工程学：攻击者利用心理学和社交工程学技巧，通过欺骗和误导来获取信息或访问权限。
- 数据泄露：未经授权的信息披露可能导致个人隐私泄露、金融损失或声誉受损。
- 供应链攻击：攻击者通过渗透供应链，将恶意代码或后门引入软件或硬件产品中，从而获取对系统的控制权。
3. 信息安全的最佳实践和策略为了有效保护信息资产，以下是一些信息安全的最佳实践和策略：- 制定和实施安全政策：组织应该制定明确的安全政策，并确保其被全体员工遵守。
安全政策应涵盖访问控制、密码管理、数据备份等方面。
- 加强身份验证：采用多因素身份验证，如密码加令牌、生物识别等，以提高访问控制的安全性。
- 加密敏感数据：对敏感数据进行加密，以防止未经授权的访问或泄露。
- 定期更新和维护系统：及时应用安全补丁、更新防病毒软件和防火墙等，以确保系统的安全性。
- 建立灾备和业务连续性计划：制定并测试灾备和业务连续性计划，以应对突发事件和数据丢失。
TongWeb4.7技术白皮书
T on g T e c h®TongWeb4.7技术白皮书东方通科技公司2006.12目录1.概要 (1)2.企业级应用 (1)3.多层业务解决方案 (1)3.1T ONG W EB架构 (1)3.2表示层 (2)3.3业务层 (3)3.4集成层 (4)3.5系统服务 (5)1.概要TongWeb4.7应用服务器是完全遵循J2EE1.4规范的企业级应用服务器，是经受大量客户应用验证的应用支撑平台。
TongWeb4.7应用服务器已经通过了Sun MicroSystems的J2EE1.4兼容性认证，并在业界标准的J2EE性能基准测试（SPECjAppServer）中，表现出很高的性能与可伸缩性。
本白皮书包含如下三个方面的内容：•企业级应用•多层业务解决方案•管理服务2.企业级应用TongWeb全面实现了J2EE1.4规范，支持Web服务标准和互操作性。
它提供了高级消息服务、集群、高安全性、高可用性、系统管理监控和优化、方便的企业级管理、多平台开发、应用迁移、良好的集成性等诸多功能。
基于TongWeb应用服务器，您可以方便、快捷、高效地构建多层分布式企业应用，同时能够动态的与外部企业系统进行交互。
TongWeb集群可为企业应用提供高度可用、可靠、可伸缩的平台支撑，在硬件或网络出现故障的情况下提供持续可靠的服务。
可靠的安全特性可以保障企业数据的安全，防止恶意攻击。
同时TongWeb安全框架还具备扩展功能，企业可以通过插件集成其他安全产品，以提供更高级别的安全保护。
TongWeb从体系构架、连接管理、线程管理、数据缓存、对象池等多方面进行性能优化。
同时系统管理员还能监控服务器运行状况，以便及时调整服务器的运行效率。
TongWeb提供基于JBuilder，Eclipse等主流开发平台的工具支持，用户可以在可视化环境下方便的开发，调试和部署基于TongWeb的企业应用。
同时，TongWeb还提供了可视化的应用迁移工具，用户可以把基于其他应用服务器的企业应用方便地迁移到TongWeb上。
网络安全技术白皮书范本
网络安全技术白皮书范本技术白皮书目录第一部分公司简介6第二部分网络安全的背景6第一章网络安全的定义6第二章产生网络安全问题的几个方面72．1 信息安全特性概述72. 2 信息网络安全技术的发展滞后于信息网络技术。
72．3TCP/IP协议未考虑安全性72．4操作系统本身的安全性82．5未能对来自Internet的邮件夹带的病毒及Web浏览可能存在的恶意Java/ActiveX控件进行有效控制82．6忽略了来自内部网用户的安全威胁82．7缺乏有效的手段监视、评估网络系统的安全性82．8使用者缺乏安全意识，许多应用服务系统在访问控制及安全通信方面考虑较少，并且，如果系统设置错误，很容易造成损失8第三章网络与信息安全防范体系模型以及对安全的应对措施83．1信息与网络系统的安全管理模型93.2 网络与信息安全防范体系设计93.2.1 网络与信息安全防范体系模型93.2.1.1 安全管理93.2.1.2 预警93.2.1.3 攻击防范93.2.1.4 攻击检测103.2.1.5 应急响应103.2.1.6 恢复103.2.2 网络与信息安全防范体系模型流程103.2.3 网络与信息安全防范体系模型各子部分介绍 113.2.3.1 安全服务器113.2.3.2 预警123.2.3.3 网络防火墙123.2.3.4 系统漏洞检测与安全评估软件133.2.3.5 病毒防范133.2.3.6 VPN 132.3.7 PKI 143.2.3.8 入侵检测143.2.3.9 日志取证系统143.2.3.10 应急响应与事故恢复143.2.4 各子部分之间的关系及接口15第三部分相关网络安全产品和功能16第一章防火墙161.1防火墙的概念及作用161.2防火墙的任务171.3防火墙术语181.4用户在选购防火墙的会注意的问题：21 1.5防火墙的一些参数指标231.6防火墙功能指标详解231.7防火墙的局限性281.8防火墙技术发展方向28第二章防病毒软件332．1病毒是什么332．2病毒的特征342．3病毒术语352．4病毒的发展的趋势372．5病毒入侵渠道382．6防病毒软件的重要指标402．7防病毒软件的选购41第三章入侵检测系统（IDS）423.1入侵检测含义423.2入侵检测的处理步骤433.3入侵检测功能463.4入侵检测系统分类 483.5入侵检测系统技术发展经历了四个阶段 483.6入侵检测系统的缺点和发展方向 49第四章VPN（虚拟专用网）系统494.1 VPN基本概念494.2 VPN产生的背景494.3 VPN的优点和缺点50第五章安全审计系统505.1、安全审计的概念505.2：安全审计的重要性505.3、审计系统的功能特点50第六章漏洞扫描系统516.1网络漏洞扫描评估系统的作用516.2 网络漏洞扫描系统选购的注意事项：1、是否通过国家的各种认证目前国家对安全产品进行认证工作的权威部门包括公安部信息安全产品测评中心、国家信息安全产品测评中心、解放军安全产品测评中心、国家保密局测评认证中心。
企业Web应用安全网关技术白皮书
企业Web应用安全网关技术白皮书精确过滤让网站安全变得简单目录1.产品简介 (2)2.功能特点 (2)2.1.Web应用防护 (2)2.2.Web非授权访问防护 (2)2.3.Web恶意代码防护 (3)2.4.Web应用合规 (3)2.5.Web应用交付 (3)2.6.Web应用防护事件库 (3)2.7.集中管理与事件分析 (4)3.产品型号 (4)4.用户需求 (4)5.典型应用 (5)5.1.桥模式部署 (5)5.2.代理模式部署 (5)5.3.单臂模式部署 (6)5.4.BYPASS (7)1.产品简介天清Web 应用安全网关，是启明星辰公司自行研制开发的新一代Web 安全防护与应用交付类应用安全产品，主要针对Web 服务器进行HTTP/HTTPS 流量分析，防护以Web 应用程序漏洞为目标的攻击，并针对Web 应用访问各方面进行优化，以提高Web 或网络协议应用的可用性、性能和安全性，确保Web 业务应用快速、安全、可靠地交付。
2.功能特点2.1. Web应用防护天清WAF能够精确识别并防护常见的Web攻击：•基于HTTP/HTTPS/FTP协议的蠕虫攻击、木马后门、间谍软件、灰色软件、网络钓鱼等基本攻击；•CGI扫描、漏洞扫描等扫描攻击；•SQL注入攻击、XSS攻击等Web攻击；•应用层Dos防护；2.2. Web非授权访问防护天清WAF能够精确识别并防护常见的Web非授权访问攻击：•CSRF攻击防护•Cookie篡改防护•网站盗链防护2.3. Web恶意代码防护天清WAF能够精确识别并防护常见的Web恶意代码攻击：•网页挂马防护•WebShell防护2.4. Web应用合规天清WAF能够精确识别并防护常见的Web应用合规：•基于URL的访问控制•HTTP协议合规•敏感信息泄露防护•文件上传下载控制•Web表单关键字过滤2.5. Web应用交付天清WAF能够对Web应用加速和流量分配：•网页防篡改•基于URL的流量控制•Web应用加速•多服务器负载均衡2.6. Web应用防护事件库天清WAF产品内置Web应用防护事件库，包含各类Web安全相关事件特征，启明星辰提供定期与突发Web安全事件紧急升级服务，能够针对最新的、突发的、热点的Web 攻击进行快速响应。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1.1 文档目的 ........................................................................................... 1 1.2 文档范围 ........................................................................................... 1 1.3 版权声明 ........................................................................................... 1 第 2 章 通用 Web 系统和网站安全测试概述 .............................................. 2
4.1 某大型即时通讯中国运营处服务器端站点安全测试......................... 12
I
4.2 某大型制造企业业务系统安全验收.................................................. 12 第 5 章 关于翰海源 .................................................................................. 13
1.3 版权声明
本文档中出现的任何文字叙述、 文档格式、 插图、 照片、 方法、 过程等内容， 除另有特别注明， 版权均属南京翰海源信息技术有限公司共同所有，受到有关产 权及版权法保护。 任何个人、 机构未经南京翰海源信息技术有限公司的书面授权 许可，不得复制或引用本文档的任何片断，无论通过电子形式或非电子形式。
3.1 Web 安全测试服务内容 .................................................................... 6 3.2 安全测试实施技术............................................................................. 7 3.3 安全测试流程 .................................................................................. 10 第 4 章 成功案例 ...................................................................................... 12
思考域不同。功能测试以系统所具有的功能为思考域。安全测试的 思考域不但包括系统的功能，还有系统的机制、外部环境、应用与 数据自身安全风险与安全属性等。
问题发现模式不同。功能测试以违反功能定义为判断依据。安全测 试以违反权限与能力的约束为判断依据。
我们的安全测试也不是一般所说的渗透测试 出发点差异。渗透测试是以成功入侵系统，证明系统存在安全问题 出发点；而安全测试是则是以发现系统所以可能的安全隐患为出发 点。 视角差异。渗透测试是以攻击者的角度看待思考问题，安全测试则 是站在防护者角度思考问题，尽量发现所有可能被攻击者利用的安 全隐患，并指导客户进行修复。 覆盖性差异。渗透测试只选取几个点作为测试的目标，而安全测试 是在分析系统架构并找出系统所有可能的攻击界面后进行的具有完 备性的测试。 成本差异。安全测试需要对系统的功能、系统所采用的技术以及系 统的架构等进行分析， 所以较渗透测试需要投入更多的时间和人力。 解决方案差异。渗透测试无法为客户提供有针对性的解决方案；而 安全测试会站在开发者的角度分析问题的成因，为客户提供更有效 的解决方案。
5.1 公司简介 ......................................................................................... 13 5.2 主要技术团队成员........................................................................... 13
III
南京翰海源信息技术有限公司
2012-05-28
第1章
文档概述
1.1 文档目的
本文档旨在介绍南京翰海源信息技术有限公司通用 Web 系统和网站安全测 试服务体系，向读者说明本公司安全测试服务的主要内容。
1.2 文档范围
本文档可供欲了解我公司通用 Web 系统和网站安全测试服务的读者快速了 解我公司提供之服务的具体内容。读者可以是如下相关人员： IT 管理部门 IT 安全部门 软件开发部门 产品测试部门
2.5 翰海源 Web 安全测试方法
为发现 Web 系统的安全漏洞，传统的方法是采用自动化的漏洞扫描器的方 式进行扫描。这种方式虽然可以发现一部分安全隐患，但存在如下不足： 自动化扫描工具采用基于特征匹配的方式判定漏洞，而现在的 Web 系 统千差万别，只要系统对返回信息稍加处理，扫描器便往往失效。 现有的爬虫技术还无法很好地处理基于 Web 2.0 技术的系统，这就造成 自动化扫描工具的覆盖性无法保证。 对于如文件上传、存储型 XSS 等漏洞形态，由于表现特征各异，目前扫 描器还无法进行识别。
翰海源安全服务
通用 WEB 系统和网站安全测试服务白皮书
文档编号： HHY-SSP-03 文档版本：1.2 2012 年 5 月
南京翰海源信息技术有限公司
目录
文档管理 ......................................................................................................... III 第 1 章 文档概述 ........................................................................................ 1
2.2 网站安全威胁的主要种类
客户端脚本执行 服务器端越权 欺骗 信息或隐私窃取 身份冒用/窃取 数据篡改 拒绝服务
2.3 什么是 Web 安全测试
Web 安全测试是在 Web 系统的生命周期中， 特别是在 Web 系统开发基本完 成到发布阶段， 对系统进行安全检测以验证其符合安全要求的过程。 翰海源 Web 安全测试以提高系统的安全质量为目标，以防护者的角度思考问题，以攻击者所 具备的技术分析系统。 我们的安全测试不是通常软件开发过程中的功能性测试，主要有以下几 点区别。
II
文档管理
文档信息 文档名称： 通用 Web 系统和网站安全测试服务白皮书 文档维护： 王伟光 文档审核： 方兴 文档编号： HHY-SSP-03 敏感级别： 公开发布
版本记录 编号 1 2 3 4 5 6 7 8 9 10 版本 1.0 1.1 1.2 初稿 完善测试服务细节 重新组织文档结构 描述 作者 方兴 王伟光 王伟光 日期 2011-01-05 2011-05-02 2012-05-28
HHY-SSP-03
©2012 Vulnhunt, Inc. All rights reserved.
2 / 14
南京翰海源信息技术有限公司
2012-05-28
目标不同。功能测试以发现 BUG 为目标，安全测试以发现安全隐患 为目标。
假设条件不同。 功能测试假设导致问题的数据是用户不小心造成的， 接口一般只考虑用户界面。安全测试假设导致问题的数据是攻击者 处心积虑构造的，需要考虑所有可能的攻击途径。
HHY-SSP-03
©2012 Vulnhunt, Inc. All rights reserved.
1 / 14南京翰海源信息技术有来自公司2012-05-28
第2章
通用 Web 系统和网站安全测试概述
2.1 通用 Web 系统和网站安全测试服务背景
通用 Web 系统和网站的安全问题越来越得到重视，但目前针对网站的安全 测试大多采用自动化的工具进行简单的渗透测试， 难以保障对安全要求较高的网 站的安全。 并且我们认为， 最好的处理安全问题的方式是改进企业自己的安全开 发过程， 因此只从攻击者视角发起的渗透测试虽然能发现问题，但是想高覆盖和 完备的覆盖问题， 以及最后帮助客户从安全开发过程的角度来解决问题还难以满 足高端用户的需求。 在此背景下，南京翰海源作为国内首家专注于安全测试与安 全开发过程改进的安全厂商，推出了针对通用网站的安全测试服务。
HHY-SSP-03 ©2012 Vulnhunt, Inc. All rights reserved. 3 / 14
南京翰海源信息技术有限公司
2012-05-28
2.4 常见网站安全测试技术
2.4.1 主机/网络扫描 通过自动化的工具， 可以扫描主机和网络配置上的安全问题，如操作系统未 打最新的补丁等。 2.4.2 WEB 安全漏洞应用扫描 通过自动化的工具，可以扫描 WEB 应用常见的一些页面级安全问题如 SQL 注射等。 2.4.3 WEB 安全漏洞增强扫描 当前主要的 WEB 应用扫描都无法检测 AJAX， JSON 封装，错误封装返回的安 全漏洞，我们开发了一些增强性工具可以实施这些增强的安全测试。 2.4.4 源码审计 通过使用源代码审计工具，对源代码中一些容易触发安全问题的语句进行查 找，然后再实施详细的分析。 2.4.5 手工测试 还是有大量的安全测试难以用自动化的工具来实施， 需要有丰富安全经验的研究 人员来手动测试。
2.1 通用 Web 系统和网站安全测试服务背景 .......................................... 2 2.2 网站安全威胁的主要种类 .................................................................. 2 2.3 什么是 Web 安全测试 ....................................................................... 2 2.4 常见网站安全测试技术 ..................................................................... 4 2.4.1 主机/网络扫描 ......................................................................... 4 2.4.2 WEB 安全漏洞应用扫描 .......................................................... 4 2.4.3 WEB 安全漏洞增强扫描 .......................................................... 4 2.4.4 源码审计 ................................................................................. 4 2.4.5 手工测试 ................................................................................. 4 2.5 翰海源 Web 安全测试方法 ................................................................ 4 2.6 Web 安全测试价值 ........................................................................... 5 第 3 章 通用 Web 系统和网站安全测试服务 .............................................. 6