梭子鱼WEB应用访问安全案例剖析：没有安全何来应用！

　　2009年系统架构师大会，无疑是今年最重头的技术研讨会之一。不仅参会人员大多是公司IT运维的精英，演讲人也是各大公司高级系统架构设计者。不过谈架构必然要谈及整体架构的安全策略实施，如何才能确保网络运维在一个安全高效的环境中，也是各位系统管理员所要面对的问题。梭子鱼网络有限公司华北区销售总监郑爽就为我们带来了精彩的演讲。

　　梭子鱼网络有限公司华北区销售总监郑爽

　　WEB应用究竟面临哪些威胁?

　　“众所周知，Web应用已经成为大家所关注的重点。很多企业已经把传统业务流程放到网上进行应用，这不光是节省成本的考虑，更多是为了业务流程的透明和时效性。但是，随之而来的确是网络风险的加剧，企业网络被攻击案例时有发生，这背后既有企业不注重防范网络管理的因素在内，也有攻击者被背后的利益所驱动。”

　　郑爽随后举出实际例子让人心惊。“2008-04 CNCERT/CC国家互联网应急中心监测到中国大陆被篡改网站总数达61,228个，比去年增加了1.5倍。(数据来源：CNCERT)”

　　据最近的美国计算机安全协会(CSI)/美国联邦调查局(FBI)的研究表明：

　　接受调查的公司中有 52% 的公司的系统遭受过外部入侵，但事实上他们中有 98% 的公司都装有防火墙。

　　这些攻击为269家受访公司带来的经济损失——包括系统入侵、滥用 web 应用系统、网页置换、盗取私人信息及拒绝服务共计超过 1.41 亿美元。

　　美国总统奥巴马曾公开在电视媒体上讲话，每年由于黑客的恶意攻击，美国每年因此导致损失1000亿美金。

　　Web应用攻击特点

　　和传统底层攻击方式不同的是，如今Web应用攻击通常是以七层的形式进行，对这种攻击，传统防火墙显得力不从心。

　　全面的WEB站点防护，降低商业风险

　　在谈到Web攻击防护，商业上可取的的利益，郑爽解释道：“非法访问、WEB站点伪装、WEB站点篡改、Outbound 数据窃取防护、应用传输加速、缓存 、压缩、TCP连接复用、SSL卸载和加速、负载均衡等等一系列的攻击都可以被抵御。同时，在审计及合规方面，更可以帮助企业通过安全审计，达到PCI (支付卡) 应用安全规范要求，美国萨班法案(Sarbanes Oxley)及其他合规性要求。从商业角度衡量，都是有百利而无一害的事情。”