waf日志分析报告.pdfVIP

WEB应用安全分析报告 衡固WEB 应用安全网关 日志分析报告 10月1日-10月31日 XXXXX 科技发展有限公司 2012 年11 月 一、 WAF 部署方式 WAF 的部署方式有3 种：串接，并接和双机热备。串接主要部署在快速部署的系统中， 工作于透明模式，具有bypass 的功能；并接主要针对不能中断的系统；双机热备则具有更高 的安全性和可靠性，当一台waf 出现故障，另一台会自动开启防护功能。 二、 资源占用情况统计和分析 图2-1 waf 的CPU 和内存使用率 从上图中可以看出，10 月1 日到10 月31 日，waf 的CPU 应用率平均14.34%，内存使用 的平均利用率为20.73%，总体资源耗费不大，但在不断的流量监控的过程中CPU 的使用会出 现较高的峰值。 三、 网站的访问请求、应用流量和响应时间统计 图3-1 访问请求统计 图3-2 应用流量统计 图3-3 响应时间统计 网站的平均总访问量为1119000 个，平均总应用流量为106154KBytes，网站的平均响应 时间为11 毫秒。 四、 WEB 服务受攻击与WAF 网站防护对比分析 图4-1 攻击防护 图4-2 攻击源统计 从以上的攻击防护与攻击源的图可以看出，绝大多数防护的是网络爬虫，而网络爬虫的 作用是使网站在各大有哪些信誉好的足球投注网站引擎中更容易被找到，因此正常的网络爬虫没有危害，若某些IP 大 量使用一种爬虫而造成网站的访问很缓慢的情况，则需要阻断这些IP 的访问使得网站访问正 常。 另外，waf 防护的攻击还有SQL 注入，所谓的 SQL 注入，就是攻击者通过欺骗数据库服 务器执行非授权的任意查询过程。攻击者通过SQL 注入可获取管理员权限，进而操作后台数 据，篡改网页内容。 五、 历史同期的比较 4.1 攻击类型 较上月分析，CC 攻击、目录遍历、远程文件包含攻击在 10 月份均没有出现，而且 SQL 注入攻击也较上月的52 次降到38 次。 4.2 访问流量 下图为10 月份用户访问请求的流量图。 WEB应用安全分析报告 访问流量的对比将在下个月的分析报告中体现 4.3 攻击源地址 攻击的IP 地址对应的地区绝大多数来自北京，和上月相同。造成这种情况形成的原因可 能是由于使用扫描器对网站进行扫描，使用不同的攻击代码对网站访问时，waf 都会记录攻 击信息，生成攻击防护日志。 六、 跟其他单位waf 的比较 人口信息中心 商委 教委 质监局 攻击类型与次数 SQL 注入 38 次 SQL 注入 814 次 SQL 注入 38 次 SQL 注入 25 次 跨站脚本 3 次 跨站脚本 15 次 目录遍历 8 次 目录遍历 43 次 命令注入 1 次 远程文件包含 24 次 平均访问请求（个） 1119 792 平均应用流量 106154 66299 （KBytes） 攻击次数最多来源 辽宁大连 北京 电信 北京 电信 七、 改进措施 1）开启