方案背景
隨著信息化發(fā)展和我們生活的密切連接，越來越多的業(yè)務(wù)系統(tǒng)采用線上運營的服務(wù)模式，因此當(dāng)前互聯(lián)網(wǎng)當(dāng)中的網(wǎng)站或站點，除了傳統(tǒng)的門戶網(wǎng)站之外，還包含大量的業(yè)務(wù)系統(tǒng)、在線平臺以及通過Web方式可訪問的各類聯(lián)網(wǎng)設(shè)備，如郵件網(wǎng)關(guān)、VPN網(wǎng)關(guān)，甚至網(wǎng)絡(luò)打印機、攝像頭等IoT設(shè)備，網(wǎng)站類信息資產(chǎn)的邊界越發(fā)模糊，因此安全防護也面臨著日漸嚴峻的考驗。
根據(jù)國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心CNCERT 2019年上半年針對我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全監(jiān)測的數(shù)據(jù)統(tǒng)計可以看到，網(wǎng)站安全的類型主要集中在網(wǎng)頁仿冒、網(wǎng)站后門和網(wǎng)頁篡改方面。
2019 年上半年承載仿冒頁面 IP 地址和仿冒頁面數(shù)量分布（來源：CNCERT/CC）
2019 年上半年向我國境內(nèi)網(wǎng)站植入后門 IP 地址所屬國家或地區(qū) TOP10（來源：CNCERT/CC）
2019 年上半年我國境內(nèi)被篡改網(wǎng)站數(shù)量按類型分布（來源：CNCERT/CC）
從數(shù)據(jù)可以看出，基于漏洞的利用攻擊、后門植入攻擊、釣魚攻擊、權(quán)限破解和網(wǎng)頁篡改攻擊仍然是網(wǎng)站安全的主要威脅，如何進一步加強網(wǎng)站安全的立體化、縱深化安全防護建設(shè)是當(dāng)前較關(guān)鍵的環(huán)節(jié)之一。
方案概述
盛邦安全充分分析了網(wǎng)站訪問的各個階段與路徑，通過云端清洗與本地防護的聯(lián)動，將外層防護邊界由傳統(tǒng)互聯(lián)網(wǎng)出口延伸至云端，進一步擴展防護面，形成了覆蓋“云端——出口邊界——業(yè)務(wù)發(fā)布區(qū)域邊界——服務(wù)器終端”的縱深防護方案，做到關(guān)口前移，防患于未然。同時配套網(wǎng)站綜合監(jiān)控預(yù)警服務(wù)，對網(wǎng)站的可用性、安全性及合規(guī)性進行持續(xù)監(jiān)控，針對發(fā)現(xiàn)的安全事件及時通告預(yù)警，并在必要時通過與WAF等防護設(shè)備聯(lián)動實現(xiàn)對高危風(fēng)險網(wǎng)站的一鍵快速處置。從而實現(xiàn)完整的網(wǎng)站立體化防護方案。
網(wǎng)站立體防護部署示意圖
1、 云端：采用云監(jiān)控預(yù)警平臺對網(wǎng)站進行綜合監(jiān)控，針對嚴重緊急事件聯(lián)動WAF實現(xiàn)一鍵處置；利用云防護平臺進行云端清洗，配合本地防護體系實現(xiàn)協(xié)同防護；
2、互聯(lián)網(wǎng)出口邊界：在互聯(lián)網(wǎng)出口外圍部署異常流量檢測與清洗系統(tǒng)，對DDoS攻擊進行識別與攔截；在出口網(wǎng)關(guān)之后部署入侵檢測與防御系統(tǒng)，對應(yīng)用層入侵威脅進行初步攔截；
3、 服務(wù)器出口邊界：在服務(wù)器區(qū)域邊界部署Web應(yīng)用防護系統(tǒng)，針對Web流量進行深度解析與細粒度防護，與云監(jiān)測及云防護體系進行聯(lián)動工作，同時對終端網(wǎng)頁防篡改進行集中管理；
4、服務(wù)器終端：在服務(wù)器終端安裝網(wǎng)頁防篡改客戶端，針對網(wǎng)站文件系統(tǒng)進行內(nèi)核級防護，守住最后一道關(guān)卡。
方案特點
1、 覆蓋面廣：方案整體建設(shè)涵蓋了云端、邊界、終端各個層面的安全要求，并為不同的層面設(shè)定了相應(yīng)的安全策略和防護強度，形成縱深防護、逐層強化的效果；
2、關(guān)口前移：防護“圍墻”由互聯(lián)網(wǎng)出口外延至云端，防護線路得到延伸，針對部分明顯或粗暴的壓力型攻擊，可以通過協(xié)同聯(lián)動的方式先行在外網(wǎng)進行清洗，減輕本地處理壓力，實現(xiàn)關(guān)口前移的目標(biāo)；
方案價值
1、幫助客戶兼顧到網(wǎng)站防護的各個環(huán)節(jié)，合理劃分防護等級，減少防護死角的產(chǎn)生；
2、幫助客戶建立了應(yīng)急處置的閉環(huán)機制，降低了從發(fā)現(xiàn)到處置的時間延遲和信息缺失風(fēng)險。