佳品+名厨 企业Web安全大餐推荐

　　去年的8月17日，史上最大的信用卡信息泄露事件在美国出现，现年28岁的冈萨雷斯日前遭指控，涉嫌利用黑客技术入侵多家企业数据中心，盗窃身份信息，共盗取大约1.3亿张信用卡和借计卡的账户信息。这个案件有两点最值得我们关注，其一，这是美国乃至世界历史上最大的此类案件，其二，主犯阿尔贝特·冈萨雷斯，曾是美国特工处线人，负责帮助特工处追踪黑客。美联社援引来自政府部门的消息报道，特工处后来发现冈萨雷斯“脚踏两只船”，认定他在帮助特工处的同时，也与犯罪分子合作，向犯罪分子提供调查信息。

　　案件虽在美国发生，但仍然给我们造成了很大震撼。企业网络数据中心在大中型企业中的地位无人可以替代，尤其是交易型的企业数据中心，面临着各种各样的困扰，在安全方面的问题尤为突出。

　　并不安全的数据中心

　　事实上，企业的数据中心有可能面临很多问题，除了安全性，还包括了稳定性、效率性和可控性，然而，相比于这些，对于数据中心的安全管理则显得更加困难和难以把握。

　　Gartner的分析报告指出，在调查的企业数据中心中，92%的Web应用有安全缺陷，80%存在跨站攻击，高达62%存在SQL注入风险，而参数篡改和Cookies毒化也分别达到60%和37%。并且，随着针对数据中心攻击手段的不断增加，特别是正对应用层攻击的手段成为主流，因此，Gartner在报告中也着重强调了今后数据中心在安全上将面临的十大挑战，分别为：越权滥用、合法权限滥用、权限盗用、数据库平台漏洞、SQL注入、缺乏详尽审计、拒绝攻击、数据库通信协议漏洞、弱鉴权机制、备份数据的缺乏保护。

　　通过解读Gartner的报告，我们要不由的惊呼：我们的IPS、IDS并不能解决这些所有的问题，安全防护上最忌讳的“木桶效应”难道已经将我们的数据中心推到了悬崖边上了吗?

　　不需要惊惶，这时候我们需要更好的来规划，确保数据中心的安全。

　　Web安全是我们保护的重点

　　接下来我们重点讨论的当然是IPS、IDS不能够解决的那些问题，我们可以发现，这些问题的实质，其实都是Web应用安全。

　　上面我们提到，超过9成的攻击未来来自于Web应用存在安全漏洞，在防御这个威胁上，我们发现了几个很棘手的问题，撇开通过Web安全漏洞引发的攻击造成的企业损失不提，首先，企业的Web应用程序各不相同，对数据库的访问更是途径繁多，如何用一套方案去解决问题则成为关键，其次，绝大多数的企业需要更新与升级他们的Web应用以及数据库程序，方案能否适应变化的需求同样也是大家关心的一个焦点。除此之外，是否能够防御已知以及未知的攻击，部署是否方便，管理是否简洁等等，这些都是我们的关注对象。

　　最能满足我们需求的方案是什么?这也就是我们下面要为大家推荐的方案，事实上，它是由两家企业来为我们提供的，一个是佳品，一个是名厨，它们共同为企业准备了丰盛的数据中心安全管理解决方案。

　　佳品：Imperva

　　Imperva，一个稍显陌生的名字，不过，它的创始人 大家并不陌生，便是原来CheckPoint创始人Shlomo Kramer。

Imperva Logo

　　Imperva成立于2002年，是全球领先的新型数据应用安全的技术领导者和知名公司，提供的数据库安全和审计解决方案，可为用户解决这一重要问题。公司总部位于美国硅谷,公司的产品(SecureSphere系列数据应用安全产品)在对用户本身应用系统无影响的情况下，提供对数据应用的准确全面，高性能审计和安全防护功能，Imperva的客户遍布财富500强。因此，它的方案的品质我们相信是可靠的。

　　接下来，我们就要了解一下，Imperva到底是怎么来帮助我们的。

　　应用防护中心Application defense center

　　应用防护中心Application defense center(ADC)是一个国际知名的安全研究机构，由Imperva的优秀专家，每天持续的调查全球各地报告的新漏洞，分析来自各种真实Web站点的滥用流量，并进行初步漏洞研究来识别最新威胁。它能够判断和识别出PHP、Perl、OWA等的应用缺陷，跨站攻击、SQL注入等的威胁，HTTP协议违反以及零日漏洞等。除此之外，它还提供了ADC知识服务，提供深入的商业应用程序知识和预购建的复合型报表以及来自符合型与安全专家的最佳做法。

　　作为一个后台核心，ADC聘用了大量原以色列的军方安全工作人员参与这项工作，这样一个团队相信任何网络犯罪集团都为之胆寒。

　　SecureSphere：动态建模

　　光有信息显然不够，技术是实现设想，融合信息的重要渠道，SecureSphere就是Imperva引以为傲的核心技术。

　　SecureSphere实际上是一个动态建模程序，我们可以把他理解成为一种智能自动学习手段。SecureSphere能够自动学习被保护Web应用的结构、要素和预期使用模式。并且可以持续自动检测有效的应用修改并将这些修改纳入规则文件中。这些包括了真实流量的学习、Web应用的学习(比如URLs、cookies、参数/表元素、sessions等等)、Web服务的学习(包括XML URLs、SOAP动作、XML元素等)。

　　我们通俗一点的说，动态建模就是一个自动学习的过程，它可以学习用户平常对数据库的应用操作，并且将正常的操作记录下来，形成一个白名单库，同时智能的排除恶意的活动。

　　结合我们上面提到的网管员的困惑，它的优点不言而喻：不在需要手动创建和更新一个可能包含成千上万个URL、表单字段、参数和cookies的巨大白名单，并且，利用这种技术，我们解决了用一套方案来适应不同的数据库应用操作以及对Web应用和数据库应用升级后的安全维护方便性。

　　Imperva的部署与产品

　　好的原理显然不够，一款好的产品和方便的部署也是我们应该考虑的，在这上面，我们推荐Imperva的另一个重要理由就要出现了，它就是Imperva的解决方案能够在无需改变应用，无需改变网络的前提下无缝接入企业数据库前端，这一方面方便升级，另一方面大大降低了升级过程中的风险。

　　接下来，我们简单了解一下Imperva的几个相关产品。

　　SecureSphere Web应用防火墙

　　SecureSphere Web应用程序防火墙是唯一可向Web和Web服务应用程序提供自动攻击防护的解决方案。Imperva的Dynamic Profiling技术可建立合法应用程序行为的模型，并随着应用程序的更改而逐步更改，这样就保证了SecureSpher的应用程序保护是最新的和准确的。SecureSphere 部署只需几分钟，且无需对数据中心体系结构进行更改，从而可在不进行手动配置或优化的前提下进行准确的攻击防护。Dynamic Profiling是多层Imperva透明检查技术的基础，可提供千兆位性能、亚毫 秒延迟以及满足最苛刻的数据中心要求的高可用性选项。对于大范围部署，SecureSphere MX管理服务器可集中处理并简化配置、管理、监视和报告。由于SecureSphere支持大量网络部署选项，因此它可以部署到任何环境中，而无需进行网络更改。

　　SecureSphere 数据库安全网关

　　SecureSphere 数据库安全网关可为 Oracle、MS-SQL 、DB2(包括大型机)、和 Sybase、Informix 数据库提供自动化评估、审计和保护功能。动态配置文件技术可自动创建数据库使用配置文件，和细化到访问数据库的每个用户和应用程序的查询级别的安全策略。详细的数据库活动审计和报告功能使得满足审计规定要求更方便，且不会对数据库性能产生任何影响。独特的业务活动分析和相关性技术可将真正的攻击与无害的用户行为变化分离开来，从而提供实时保护。

　　名厨：信诺瑞德SinoGrid

　　信诺瑞德是Imperva在国内的金牌代理，他们致力于应用流量的监测、分析、优化、控制和管理，为企业智能、安全、快速地交付在线应用提供最强保障，始终专注于为企业客户的数据中心和互联网前端提供高效,安全,稳固,可控的企业内容,应用与服务交付解决方案。通过采用业界一流的技术与信诺瑞得的专业化服务,我们确保企业客户从容面对互联网时代!于应用的优化与安全，多年的专著积累了丰富的经验和雄厚的技术实力，整合了多个厂商的优势技术，并开发了相应的分析和管理工具，能够为客户提供完整的解决方案，以保证用户的关键业务软件获得卓越性能，全国支持与服务团队可提供实时的服务，从而保证用户的应用随时可用并得到全面优化。

信诺瑞德Logo

　　2009年8月19日，信诺瑞德也在北京召开了“Imperva数据中心安全研讨会”，讨论Imperva的解决方案。

　　作为一家专门从事网络应用系统的优化与安全和服务的供应商，信诺瑞得在2008年这样一个全球经济疲软的大环境下，仍保持超过1.8亿的销售额和50%年增长率的傲人成绩。此次通过与Imperva的合作，必将进一步完善信诺瑞得在企业信息系统安全、高效、稳固和可控等领域的技术及服务支持能力。这也是我们为大家推荐信诺瑞德的首要原因。

　　其次，通过信诺瑞德接入Imperva的解决方案，企业能够获得更加优质和快速的服务。对于Web应用安全以及数据库应用安全这种需要大量后期服务介入的解决方案而言，企业应该认知到，产品不是全部，服务更加关键，由于信诺瑞德的专业，因此，企业用户有理由相信他们能够在这里得到更多更快的帮助。

　　佳品+名厨 企业Web安全大餐推荐

　　在8月19日的研讨会上，信诺瑞得总经理吴若松以及Imperva中国区总经理王曦瀚为我们分享了一个精彩的概念，Imperva+SinoGrid=佳品+名厨，一个绝妙的搭配，这同时也是企业数据中心安全的精美大餐。

　　本文的下一页，我们将为您带来研讨会上的现场图片。