作为中国网络安全行业最大的年度盛会,2018 ISC大会涉及到Cyber Security的方方面面,业内的大咖分享和交流各自对某一领域的研究和实践,干货满满、受益匪浅。

不知大家是否发现,WEB安全完美避开所有分论坛议题,个人理解是:WEB安全并不过时、WEB安全是极大极大的一个范畴、也是极小极小的范畴、大会所涉及的各个分论坛议题几乎都在为WEB安全提供服务支持、技术趋势的演进会逐步在WEB安全范畴体现。笔者尝试从大会主题、分论坛主题的维度具象化到WEB安全领域,从这个角度来解读本次大会。

一.WEB安全之IPv6

《IPv6部署与安全论坛》中大咖分享了在IPv6网络、应用、4&6共存、6环境的安全风险等等问题。而WEB领域同样存在这些问题,对于政府、事业单位来说,最最急迫的应该是其WEB站点的IPv6支持,对于部委、省直机关等机构来说,今年年底就是提交考试答卷的时刻了,而对一些央企、部委客户的调研结果看,前期起码要支持WEB站点的v6的IP部署、域名解析,可见、可达、4&6共存、互转等等。

在这时间紧、任务急的时候,对数据中心的大改可能不太现实,里面涉及到大量的网络设备、安全设备的更新换代,这将是比较漫长的过程。而通过SaaS防护的方式,源站数据中心可仍然维持v4的结构,云端防护上进行6&4&6之间的转化,同时4、6并存,可满足当前需求,后续再通过网络改造、网站改造、防护改造的方式彻底解决v6部署、防护的问题。

二.WEB安全之漏洞挖掘与源代码安全

地球上网络中存在的漏洞大概分为以下几类:系统级、应用级、中间件级,而WEB安全对这几类都涉及到,最主要在应用层、中间件层,而且在各大漏洞分享平台中涉最多的还是WEB漏洞,甚至大部分的APT都会依托WEB漏洞进行渗透。漏洞的一切又来自于架构设计缺陷、代码BUG、逻辑错误等,无论从各类业务系统的上线前代码的审查、上线后对WEB系统的监测、防护都在为整个WEB安全体系建设做出努力。

BUG&漏洞可以被发现、被挖掘,但是不是所有客户或个人有能力去修复,所以防护必不可少,而衡量漏洞攻击防护效果强弱可以参考以下维度:

  • 漏洞库积累时间、量级(宽度、广度),纵深度强的自然防御能力更强;

  • 防护算法的先进性,是否融合自学习、机器学习、人工智能等方面;

  • 是否具备威胁情报的协同联动性:IP信誉、攻击者画像等等;

三.WEB安全之区块链安全

对于现在最火的技术/概念之一的区块链,也许每个从业者都会有自己的看法和认识,甚至通过数据分析会发现,现在的DDoS有略微降低的趋势,八卦一下原因就在于“肉鸡都用于去挖矿了”,反过来来说,其实各类区块链相关的WEB站点及其数据中心都是被D的重灾区,还是利益使然。

通过数据中心设备部署的方式来低于DDoS攻击,已经被证明越来越失效了,究其原因在于数据中心出口的带宽是固定的,甚至是很小的,当攻击流量达到或超过这个带宽时,边界设备的防护基本就失效了,所以还是需要SaaS的方式来做,360提出的“优先防御”理念即当请求/攻击流量还未到达数据中心前就完成DDoS清洗和WEB攻击防护。该理念的产品也从2008年开始广泛应用于个人何企业站点的安全防护,集WEB攻击防御、DDoS流量清洗、缓存加速、统一的管理/配置于一体的解决方案。从SaaS防护的安全能力强弱模型来看,以下几个维度是使用者不得不考虑的:

  • 防护节点的覆盖面:地域覆盖强度、链路多样性(电信、联通、移动、铁通等等),覆盖面的广则可提供多类型的近源防护,也能提供相应CDN加速能力;

  • 所有节点所储备的总防护带宽大小、单节点所储备的防护带宽大小;

  • 流量调度分发及负载系统的稳定性往往会制约网站的可访问性,现网环境的复杂度决定了需要有强有力的调度系统;

  • DNS的解析能力和防护能力强弱,这方面如果存在问题,会导致网站可访问性存在很大风险。

四.WEB安全之城市安全

从网络安全上升到国家安全高度之后,笔者一直在思考一个问题,就是个人社会价值的体现,终于觉得自己所从事的行业高大上了,为人类世界的和平在发挥热量了。试想一下如果各类民生系统因为攻击导致无法服务大众,又回到纸质时代,大家会不会跳起来。

对一个城市来说政府官网、各类民生官网…他们会碰到各类的安全问题,一个符合实际情况的WEB安全体系建设就很符合城市安全的主题:建立规范、实时监测、及时预警、实时防护、安全处置、响应支持。

五.WEB安全之应急响应

因为WEB系统的特殊性,导致80%左右的攻击会从WEB开始,每一个漏洞、每一次攻击对客户来说也许就是一次安全事件,处置/防护的手段高低和及时性与否往往会产生及不同的结果。

从处置/防护手段高低看:以本地设备防护为例,当发现一个重点安全漏洞时,供应商研究POC、编写防护规则、发布到官网、客户下载、更新防护设备,这个过程耗时其实是比较长的,有的时候可能会遗漏防护规则的下载;如果换个方式,采用优先防御的模式,因为防护在云端、运维在云端,当发现安全漏洞时,供应商会第一时间更新规则到各个防护节点,这样的速度和效率自然是本地设备防护方式无法比拟的,同时再结合大数据分析、威胁情报协同联动、自学习的方式,对抵御0day漏洞上,SaaS模式是有天然优势的。

当然,以上只是从笔者个人的角度尝试解读2018 ISC大会,偏颇之处较多,可随时交流改进,其他各个分论坛、主体演讲等大家都可以去解读、分享。网站安全作为当前网络的第一安全,这句话起码在现在是适用的,网络中的每一个环节的安全建设,最终都会体现的WEB站点中,任重道远、且行且提升、与君共勉!

(本文作者:360企业安全集团技术专家 张盼)

 

声明:本文来自安全内参,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如需转载,请联系原作者获取授权。