杨勃：在线业务系统Web防御技术探索.pptVIP

* WEB应用安全和数据库安全的领航者 在线业务系统 Web防御技术探索 产品经理 杨勃 以流量分析为核心的安全防御技术 WEB应用安全和数据库安全的领航者 题纲 Web DDOS防御 Web渗透防御 Web业务攻击防御 2 WEB应用安全和数据库安全的领航者 典型Web DDOS 表现 ? 网络流量突增、单IP流量无异常 ? 通常单URL 有较为明显异常 ? 服务器CPU 满负荷工作 ? TCP连接池数量突增、但个体并无异 常 耗流量型DDos 耗连接数型DDos 3 完整的TCP 请求，因此网络层DDOS 难以分析，尤其采用https协议的请 求无法分析和处理。极小流量大杀伤力，通常50M左右流量即可导致系 统崩溃。 WEB应用安全和数据库安全的领航者 4 流量 分析 WEB DDOS 定位 URL 分析 UserAgent 分布 IP 地理信息 分布 单 IP 事务分 析 单 IP 连接占 比分析 单 IP 流量占 比分析 以流量分析为基础， 生成流量基线、连 接数基线、典型事 务基线等实现 DDOS 定位。 流量分布 流量 占比 流 流量 占比, js,… 流量 占比, css,… WEB应用安全和数据库安全的领航者 jpg Html , Htm… css量 js占比, jpg,… 5 流量基线 异常流量 正常流量 WEB应用安全和数据库安全的领航者 6 UserAgent 指纹识别 80%以上的应用层DDOS 攻击采用了专用工具发起 UA特征 Referer特征 Js解析特征 WEB应用安全和数据库安全的领航者 Transaction 分析 7 HTTP 无状态特性 访问资源无状态 商业爬虫，cc攻 击难跟踪 HTTP 状态跟踪 基于TCP session跟踪 基于Referer跟踪 基于时间跟踪 基于http session跟踪 关键路径跟踪与异常识别 WEB应用安全和数据库安全的领航者 WEB DDos防御 WEB DDOS 防御 WEB应用安全和数据库安全的领航者 题纲 Web DDOS防御 Web渗透防御 Web业务攻击防御 9 WEB应用安全和数据库安全的领航者 0-day 检测与webshell 检测 10 ? 响应状态码 ? 正常行为过滤 滤扫描噪音 滤攻击噪音 ? 黑名单匹配 ? 攻击者请求留 存 ? 参数模式匹配 ? 攻击者数据细 分 高离散数据 WEB应用安全和数据库安全的领航者 白名单规则生成 11 IP分布 ? IP访 问关 联 ? Url频 率与 流程 请求方法 ? Url ? Get ? Post 请求参数 ? 参数 数量 ? 参数 类型 ? 参数 长度 响应状态 ? 状态 码 ? 响应 长度 ? 响应 内容 特征 WEB应用安全和数据库安全的领航者 12 自学习建模使检测既快又准 攻击的特征有数万种 正常请求的规律相对 唯一 自 学 习 建 模 请求的URL /login.jsp 提交方式为:POST 用户名为：8位字母和数字组合 密码为：6位数字组合 身份证为：19位数字字母组合 WEB应用安全和数据库安全的领航者 13 自学习建模生成白名单规则 对网站访问流量进行学习，滤出安全噪音后自动形成安全规则。 基亍学习的规则在防御参数型攻击如（注入攻击、跨站攻击）方面更 高效、安全级别更高 自学习生成的白名单高性能低误判而广泛应用亍 WEB应用系统防护中 基亍白名单的安全检测技术实现对0day 攻击的主动防御 服务器漏洞 攻击 敏感言论 提交 SQL注入 CC攻击 WEB应用安全和数据库安全的领航者 正常 访问 白名单高性能防御架构 14 网络安 全检查 WEB服 务安全 检查 WEB应 用安全 检查 内容安 全检查 正常访问 SQL注入CC攻击 服务器漏洞攻击 敏感言论提交 动态生成安全规则阻断经常