阻斷Web攻擊，遠離信息泄露

數據之所以讓眾多黑客趨之若鶩，是因為數據的價值已經被廣泛認可，數據交易的市場利益鏈也已生成。但與此同時存在的卻是眾多企業對數據安全問題缺乏危機感，一旦泄露發生才開始亡羊補牢，卻已經付出企業形象、用戶信任和經濟損失等重要代價。在所有的泄露事件中，黑客輕易盜取用戶數據庫信息，很多企業數據庫中的用戶賬戶和密碼居然是以明文形式存在，薄弱的信息安全防護意識讓黑客輕易得手。由此甚至引發了全國網名大量更換密碼的恐慌，更有網友發出了中國互聯網無隱私，有“裸奔”的感慨。

然而，防護意識薄弱只是一個方面，黑客之所以能夠如此順利地攻破眾多企業的信息安全防線，還有一個主要原因是在現代Web應用環境中，傳統的防火墻、抗DDoS、流量控制等安全系統其實就如同一道馬其諾防線。回顧近年來國內重大的安全事件，我們會看見企業面臨的不再是過去操作系統漏洞或網絡攻擊威脅，黑客逐漸將視線轉向企業網絡對外的Web站點，例如：網絡在線交易網站、企業的電子商務網站與企業內部的ERP、CRM系統等，針對Web服務器網頁的應用層入侵大量出現，例如：SQL注入、跨站攻擊、Cookie篡改等等，在這攻擊面前基于靜態特征檢測的安全設備已然形同虛設。

回顧近年出現的數據泄露案，我們不難發現Web正是黑客實現數據竊取的攻擊的主要目標，這是因為企業基于業務發展需求，不斷將越來越多的應用和關鍵業務集中于web平臺，使其成為了大量數據的所在地。

Web應用面臨的安全挑戰

數據庫注入和數據泄露：攻擊者可以利用web數據查詢功能，將精心構造的數據庫攻擊命令隱藏在正常的查詢功能之中，能夠輕易穿透靜態防護的防火墻等安全設備，并繞過身份認證，從而獲取數據庫權限。而后攻擊者可以對數據庫進行任意操作，達到竊取數據、破壞數據庫的目的，主要的攻擊方式是SQL注入和跨站腳本。

客戶端安全：如果用戶瀏覽器端開啟Cookie的功能，任何站點都可以修改 cookie。如果Web將某些用戶ID存放在cookie中，并直接以此ID進行權限限制，那么攻擊者可以修改客戶端的cookie值，以仿冒其他用戶權限，最終竊取web應用信息和數據，此種方式主要是cookie注入，信息竊聽等。

未授權的訪問：正常使用者可能會有非授權的行為進行存取。例如：醫療系統的處理人員有權限可以登入醫療數據庫存取，卻可能會逾越自己的權限，進行非法下載相關數據庫的數據供自己或別人使用。此種未經授權的訪問方式是導致web應用系統的信息泄露和受攻擊的主要手段之一。

傳統安全手段防護風險

所有針對Web 應用系統的攻擊，有些是已被發現，并具有可識別的固定特征的；有些則是因網站的設計和代碼，以及攻擊者的行為習慣導致的攻擊，沒有固定的特征可循。傳統的那些安全手段基本無能為力，沒有辦法通過靜態的特征、策略等方式防范動態的、不斷調整變化的web攻擊手段。必須能夠通過主動的安全防護措施，從根本上避免對web網站的惡意篡改、信息竊取，外部人員對web服務器的入侵、刪除或是上傳木馬文件等類型的攻擊行為。

對于企業而言，如何實現數據泄露防護呢？ Radware安全專家表示，現代企業只有實施恰當的Web安全機制才能遠離數據庫被撬開的風險。比如用戶可以通過部署AppWall將主動防御和被動防御有機結合地組合在一起，有效防范各類Web攻擊。總之，信息資產是企業的重要的資產，采用正確的方法對信息系統安全風險應加以管理，可以幫助企業防范入侵與攻擊，進而確保信息系統的安全。