版本说明修订人修订内容修订时间版本号审阅人文档信息文档名称 WebSOC 知道网站立体文档编号 KSSC-2011-WebSOC-01 监控平台技术白皮书文档版本号 V1.0 保密级别公开扩散范围全体扩散批准人版权声明本文件中出现的任何文字叙述文档格式插图照片方法过程等

Size: px

Start display at page:

狷筒邓
5 years ago
Views:

1 密级公开 WebSOC 知道网站立体监控平台技术白皮书 [KSSC-2011-WebSOC-01 V1.0] 北京知道创宇信息技术有限公司 2011 年 10 月

2 版本说明修订人修订内容修订时间版本号审阅人文档信息文档名称 WebSOC 知道网站立体文档编号 KSSC-2011-WebSOC-01 监控平台技术白皮书文档版本号 V1.0 保密级别公开扩散范围全体扩散批准人版权声明本文件中出现的任何文字叙述文档格式插图照片方法过程等内容, 除另有特别注明, 版权均属北京知道创宇信息技术有限公司所有, 受到有关产权及版权法保护任何个人机构未经北京知道创宇信息技术有限公司的书面授权许可, 不得以任何方式复制或引用本文件的任何片断 2011 北京知道创宇信息技术有限公司 II

3 目录 1. 互联网现状与挑战互联网现状面临挑战规范要求应对之道产品介绍系统架构具体功能产品特色硬件规格典型部署客户收益关于我们北京知道创宇信息技术有限公司 III

4 表格索引表格 1 功能列表... 7 表格 2 产品特色表格 3 P500 硬件规格表格 4 P2000 硬件规格插图索引图 1 CNCERT 2010 年中国互联网挂马网站数量趋势图 ( 知道创宇 )... 2 图 2 CNCERT 2010 年境内挂马网站按地域分布图 ( 知道创宇 )... 2 图 3 WebSOC 统一监测界面... 6 图 4 WebSOC 系统架构... 6 图 5 系统功能... 7 图 6 WebSOC 部署示意北京知道创宇信息技术有限公司 IV

5 1. 互联网现状与挑战 1.1. 互联网现状近几年来, 因网站遭受攻击而导致的经济损失已非常巨大并且还有逐年增加的趋势网站安全问题已经成为危害中国互联网健康发展的罪魁祸首之一国家互联网应急中心 (CNCERT/CC)2011 年发布的中国互联网安全报告中显示, 目前我国互联网安全面临最严重的问题是网站被篡改和被挂马,2010 年中国大陆有近 3.5 万个网站被黑客篡改, 其中被篡改的政府网站高达 4635 个, 比 2009 年上升 67.6% 黑客通过利用网站漏洞挂载恶意代码( 通常是木马类程序, 即网页挂马 ), 使得大量访问该网站的用户主机被黑客控制或丢失敏感信息攻击者往往通过利用网站的安全漏洞实施攻击, 从而进行欺诈甚至直接获取信用卡账号等敏感数据例如 2010 年 12 月, 日本汽车巨头本田的美国官方网站遭到黑客攻击, 导致 490 万份客户资料信息外泄 ;2011 年 4 月, 索尼的在线网站 PSN(Play Station Network) 遭黑客入侵, 接近 1 亿用户的信息被窃取 ; 2011 年 5 月, 索尼 BMG 的希腊网站遭到黑客入侵, 数据库被攻破, 大量的用户信息遭窃取 ;2011 年 6 月, 美国花旗银行系统遭黑客入侵, 大批信用卡持有者的个人信息被非法窃取类似的事件不胜枚举, 一旦黑客利用网站漏洞攻击成功, 将会给企业带来巨大的损失, 甚至是毁灭性的 2011 北京知道创宇信息技术有限公司 1

6 1.2. 面临挑战图 1 CNCERT 2010 年中国互联网挂马网站数量趋势图 ( 知道创宇 ) 图 2 CNCERT 2010 年境内挂马网站按地域分布图 ( 知道创宇 ) CNCERT 在其官方网站上整理和发布的数据显示,2010 年, 信息系统安全漏洞和挂马仍是互联网企业和普通用户面临的主要安全威胁 2010 年,CNCERT 发起成立的国家信息安全漏洞共享平台 (CNVD) 共收集整理信息安全漏洞 3447 个, 其中高危漏洞 649 个 ( 占 18.8%), 其中包括论坛建站软件 Discuz! 高危 2011 北京知道创宇信息技术有限公司 2

7 漏洞 Microsoft IE 对象重用远程攻击漏洞等,CNVD 2010 年收集整理的漏洞中, 应用程序漏洞占 62%, 操作系统漏洞占 16%,Web 应用漏洞占 9%, 分列前 3 位信息系统安全漏洞特别是高危漏洞常被黑客利用来发动攻击, 导致挂马网站数量相应增加 1.3. 规范要求中华人民共和国工业和信息化部令 11 号文件通信网络安全防护管理办法要求 : 各省自治区直辖市通信管理局 ( 以下简称通信管理局 ) 依据本办法的规定, 对本行政区域内的通信网络安全防护工作进行指导协调和检查 2011 年 4 月, 国务院办公厅正式发文国办函号国务院办公厅关于进一步加强政府网站管理工作的通知, 要求各级政府主管部门对本地区政府网站的安全状况进行全面检查, 重点对网站挂马暗链篡改病毒等进行监测及防范在 40 号令中, 专门提出对政府网站的检查要求 : 各地区各部门要对本地区本部门政府网站进行全面检查, 重点检查以下内容 : 一是网站页面能否正常访问, 各栏目及其子栏目内容是否及时更新 ; 二是信息发布审核和保密审查机制是否健全 ; 三是网站提供的各项服务和互动功能是否正常 ; 四是网站链接是否经过管理单位审核把关, 是否存在错链和断链 ; 五是网站安全防范工作是否到位, 是否采取了防攻击防篡改防病毒等安全防护措施, 并制订了应急处置预案 ; 六是网站管理单位和运行维护单位职责是否明确要不断完善政府网站防攻击防篡改防病毒等安全防护措施, 做好日常巡检和监测, 发现问题或出现突发情况要及时妥善处理对于缺乏技术保障力量的政府网站, 上级政府部门和主管单位要主动协调有关方面提供技术支持, 帮助其做好网站的安全防范工作政府网站运行维护单位要按照信息安全等级保护的要求, 定期对网站进行安全检查, 及时消除隐患 2011 年 5 月 4 日, 经国务院同意, 国家互联网信息办公室正式挂牌成立, 专门针对互联网信息安全建设工作进行督促及监管 2011 北京知道创宇信息技术有限公司 3

8 此外, 工信部国信办公安部等多家上级指导部门也出台了大量的规范, 督导治理当前互联网泛滥的木马病毒僵尸网络 : 国办函号国务院办公厅关于进一步加强政府网站管理工作的通知工信部第 11 号令通信网络安全防护管理办法工信部木马和僵尸网络监测和处置管理办法 ( 试行 ) 国信办关于印发 < 信息安全风险评估指南 > 的通知 ( 国信办号 ) 关于印发政府信息系统安全检查办法的通知 ( 国办发号 ) ISO-17799/BS 7799/ISO27001 信息安全管理体系国际标准, 公安部颁布的信息安全等级保护管理办法 ( 试行 ) 及相关规定 CC ISO15408 和 GB/T18336 信息技术安全性评估准则 1.4. 应对之道面对大规模的网站监测工作, 仍然依靠传统的单机安全检测工具或者管理员手工检测几乎是不可想象的, 不仅消耗了大量人力物力, 而且检测的实效性和全面性都很低在目前网页篡改网页挂马和 SQL 注入攻击日益严重的现状下, 我们的安全管理工作面临着极大的挑战针对当前政府企业和其它机构组织缺乏对网站进行周期性自动化监测手段的现状, 知道创宇研发的 WebSOC 知道网站立体监控平台实现了自动化的网页挂马监测, 以及对 Web 漏洞网页被篡改网站服务器系统漏洞网页敏感信息等一体化的监测与预警, 主动地发现网站的风险点, 旨在帮助政府企业和关注 Web 安全的机构组织大规模周期性监测网站的安全漏洞和安全隐患, 使用户深入了解网站的安全状况, 掌握安全发展趋势, 帮助用户在网站系统被恶意入侵前有效地对薄弱环节进行针对性的修补, 降低风险发生的概率并增强安全防护能力 2011 北京知道创宇信息技术有限公司 4

2. 产品介绍 WebSOC 知道网站立体监控平台, 简称 WebSOC, 是北京知道创宇信息技术有限公司安全团队在多年安全研究基础上自主开发的基于 B/S 架构的网站集中安全监测平台, 该平台以 Dell 高性能服务器为硬件载体, 在具备极高检测性能的同时, 可负责对大规模网站 / 网站群的安全状态进行全方位实时监测, 包括脆弱性 ( 如 SQL 注入 XSS 漏洞 CSRF 漏洞 CGI

9 2. 产品介绍 WebSOC 知道网站立体监控平台, 简称 WebSOC, 是北京知道创宇信息技术有限公司安全团队在多年安全研究基础上自主开发的基于 B/S 架构的网站集中安全监测平台, 该平台以 Dell 高性能服务器为硬件载体, 在具备极高检测性能的同时, 可负责对大规模网站 / 网站群的安全状态进行全方位实时监测, 包括脆弱性 ( 如 SQL 注入 XSS 漏洞 CSRF 漏洞 CGI 漏洞 Web 漏洞等 ) 内容安全 ( 如敏感词网页木马暗链网页变更敏感文件隐藏表单等 ) 可用性 ( 网站应用状态网站访问速度域名劫持检测 ) 及网站信息 (Web 应用探测网站链接类型统计网站坏链统计服务端指纹识别服务器端口检测 ICP 备案情况 Alexa 排名 Whois 信息 IP 及定位等 ) 等, 并且能够提供周期性的任务调度功能, 用户无需干预即可实现周期性全自动化监测系统同时提供详细的监测报告和图形化的网站安全状态集中展示, 让您对所监测网站的安全状况一目了然 2011 北京知道创宇信息技术有限公司 5

10 图 3 WebSOC 统一监测界面 2.1. 系统架构图 4 WebSOC 系统架构 WebSOC 系统架构中各个层次功能如下 : Web UI 接口 : 负责集中展现管理界面, 和管理员进行交互 2011 北京知道创宇信息技术有限公司 6

任务调度系统 : 负责根据策略周期性地调度监测任务模块层 : 提供具体的目标监测功能, 例如挂马检测跨站脚本检测注入检测漏洞检测篡改检测等网络通讯接口层 : 负责为功能模块提供统一访问接口, 如爬虫功能等数据统一接口 : 内部数据通过应用统一的数据总线接口进行通讯基础组件 : 提供系统核心支撑部件升级模块和升级服务器通讯, 保证系统随时处于最佳状态 2.

11 任务调度系统 : 负责根据策略周期性地调度监测任务模块层 : 提供具体的目标监测功能, 例如挂马检测跨站脚本检测注入检测漏洞检测篡改检测等网络通讯接口层 : 负责为功能模块提供统一访问接口, 如爬虫功能等数据统一接口 : 内部数据通过应用统一的数据总线接口进行通讯基础组件 : 提供系统核心支撑部件升级模块和升级服务器通讯, 保证系统随时处于最佳状态 2.2. 具体功能 WebSOC 可从网站的内容安全脆弱分析信息收集及可用性四个维度对网站进行监测, 具体如下 : 图 5 系统功能 WebSOC 知道网站立体监控平台具备多个功能模块, 各个模块之间采取松耦合的方式进行交互, 可以根据用户的实际情况及需求进行灵活的合理配置具体的功能模块列表如下 : 表格 1 功能列表功能模块说明 2011 北京知道创宇信息技术有限公司 7

12 内容安全检测脆弱性检测可用性检测网页木马检测网页变更检测敏感词检测暗链检测内容泄露检测文件泄露检测 SQL 注入检测 XSS 漏洞检测 CSRF 漏洞检测 Web 应用漏洞检测 CGI 漏洞检测表单绕过检测域名解析速度检测域名劫持检测对网站使用基于传统静态匹配特征云特征等多种检测手段, 判别网站页面是否存在挂马, 准确率 >95% 变更检测功能用来远程监控目标网站是否发生变更, 是否被黑通过分词算法贝叶斯算法, 精确检测网站中包含的敏感关键词, 包括政治敏感色情低俗等检测网站是否被嵌入暗链地址, 一般为在浏览器中隐藏不可见的广告链接, 如网游博彩, 色情等广告链接检测网站是否存在以下内容泄露 : 内网 IP 地址信息泄露数据库信息泄露网站调试信息泄露网站目录浏览 Web 服务器路径信息泄露电子邮件地址信息泄露不安全的 Flash 参数配置检测网站是否存在以下文件泄露 : 网站敏感目录泄露网站备份文件泄露数据库备份文件泄露 svn 信息泄露 phpinfo 文件信息泄露服务器探针文件信息泄露 webshell 检测编辑器临时文件信息泄露 Shell 历史文件信息泄漏检测网站是否存在 SQL 注入漏洞, 支持如下类型的注入检测 : Get 参数 /Post 参数 /Cookie 中变量 /HTTP 头部变量的注入检测优化的 SQL 注入检测算法, 能够智能归类属于同一模板文件的所有页面, 提高检测速度检测网站是否存在 XSS 漏洞, 支持反射型 XSS 存储型 XSS 和 DOM 型 XSS 的检测检测网站是否存在 CSRF 漏洞, 支持 Get Post Ajax 型的 CSRF 检测基于 Web 漏洞库的 Web 漏洞检测, 支持准确的 Web 应用 Web 容器 Web 服务端语言操作系统识别技术, 包含 500 条以上的第三方软件漏洞覆盖全面的 CGI 漏洞检测, 能够支持 1000 条以上检测规则准确识别出后台地址与登录的表单地址, 支持检测基于弱口令的表单绕过, 基于 SQL 注入的表单绕过 DNS 请求解析目标网站域名成功解析 IP 的速度能检测到类似 GFW 的 DNS 污染, 即篡改 DNS 响应数据包 2011 北京知道创宇信息技术有限公司 8

13 内容的行为 ; 能检测到大部分 ISP 域名劫持站点信息检测功能扩展 PING 探测 HTTP 探测 Web 应用探测服务端指纹识别网站服务器端口检测网站备案检测网站 whois 信息检测网站 Google PR 值检测网站 Alexa 排名检测综合报表分析安全增值服务系统扩展接口技术服务支持 Ping 目标网站得到响应的速度 HTTP 请求目标网站得到响应的速度支持 Web 应用及版本的识别, 涵盖包括国内外最常见的 CMS,BBS,Blog,eShop,web 框架等类型的 Web 应用精准识别目标网站的操作系统类型 Web 容器类型服务端语言及相关的版本信息检测网站服务器的端口开放情况, 比如数据库端口, 额外的 Web 服务端口,FTP 服务端口等检测网站是否备案检测网站域名的 whois 信息, 域名是否到期等检测网站的 Google 影响力,PR 值最高为 10, 越高影响力越大检测网站的 Alexa 排名基于系统的周期性监测特性, 对历史数据进行综合统计, 能够以天为单位展示监测网站危险分布, 按模块统计 TOP10 排名, 进行趋势分析, 并且通过在线地图实时定位发现的危险网站地理坐标系统支持用户及用户组设置, 通过设置不同的用户组可以配置不同的权限集合, 每个用户可指定管辖网站, 可远程登录查看自身网站监测日志和报表, 可基于此系统为网站提供安全增值服务平台能够提供基于 Web Service 的访问接口, 能够通过 API 接口增加监测主机配置策略获取历史监测数据服务内容包含 :1) 软件组件小版本升级 2)1 次上门服务 3) 远程技术支持 4) 产品标配赠送一年服务, 可购买服务至三年, 每年服务费为成交价 15% 2.3. 产品特色 WebSOC 作为平台型网站在线监测系统, 在专用硬件平台基础之上搭建, 支持大规模的集群方式及虚拟化部署, 同时在传统应用扫描工具的基础上做了大量 2011 北京知道创宇信息技术有限公司 9

14 的功能扩充, 在功能覆盖检测性能监测规模扩充方式等多个方面都具有非常显著的特点表格 2 产品特色特色极大规模网站监测能力说明高性能的硬件产品, 支持集群方式部署, 能够提供大规模和高效率的监测能力, 最大可满足对数千网站的监测需求能够准确地监测出网站存在的 SQL 注入漏洞 XPath 注入全面的脆弱性评估能力高于 95% 的挂马识别率高精确关键字识别技术一站式 ICP 合规性检测即插即用, 简单高效漏洞 LDAP 注入漏洞 XSS 漏洞 CSRF 漏洞表单绕过漏洞 CGI 漏洞等脆弱性信息, 并能提供详细的监测数据和测试样例 ; 能够监测常见的 Web 服务器漏洞系统提供基于云特征的挂马监测模块, 能够带来 95% 以上的挂马识别能力基于先进的中文分词和语义识别技术, 精确的检测网页内容中是否包含政治低俗关键字系统能自动判别域名是否备案, 满足法律法规要求基于 HTTPS 的 B/S 架构, 远程通过浏览器使用, 客户端无需安装任何插件, 产品简单易用基于系统的周期性监测特性, 对历史数据进行综合统计, 能数据统计, 趋势分析够以天为单位展示监测网站危险分布, 按模块统计 TOP10 排名, 进行趋势分析平台采用模块化设计, 不同的功能封装为单独的实现模块, 灵活高效, 方便扩充可以根据用户实际需求的具体情况的不同进行组合, 方便将来的应用扩充 ; 支持分布式和集群式部署, 可以根据被检测目标规模进行扩展系统支持用户及用户组设置, 通过设置不同的用户组可以配置不同的权限集合, 每个用户可指定管辖网站, 可远程登录 SaaS 服务, 安全增值查看自身网站监测日志和报表 ; 网站监测配置由管理员根据网站情况进行设置可基于此系统为网站提供 SaaS 服务, 实现安全增值 2.4. 硬件规格 WebSOC 知道网站立体监控平台配备中高端两款基础产品, 充分满足不同 2011 北京知道创宇信息技术有限公司 10

规模用户的需要表格 3 P500 硬件规格硬件型号技术参数补充说明 P500 内存 :4G CPU:1 颗, 双核, 主频 >2.4GHz 硬盘 :250G 监测 1-500 网站硬件规格 :1U 表格 4 P2000 硬件规格硬件型号技术参数补充说明 P2000 内存 :8G CPU:2 颗, 共 8 核, 主频 >2.

15 规模用户的需要表格 3 P500 硬件规格硬件型号技术参数补充说明 P500 内存 :4G CPU:1 颗, 双核, 主频 >2.4GHz 硬盘 :250G 监测网站硬件规格 :1U 表格 4 P2000 硬件规格硬件型号技术参数补充说明 P2000 内存 :8G CPU:2 颗, 共 8 核, 主频 >2.4GHz 硬盘 :500G 监测网站硬件规格 :2U 考虑到传统基于传统工控机平台的硬件产品, 普遍做工粗糙性能低下故障率偏高, 因此知道创宇特别选择 Dell 作为 WebSOC 知道网站立体监控平台硬件平台供货商, 使用其高价值的服务器作为 WebSOC 的硬件平台, 使 WebSOC 具备更强的性能和更高的可靠性产品底层使用 Linux 系统, 并针对选定的服务器型号进行专门的内核优化, 达到性能最大化通过这些努力, 使 WebSOC 在保证稳定性的同时拥有极大规模的网站监测能力 2011 北京知道创宇信息技术有限公司 11

16 3. 典型部署 WebSOC 知道网站立体监控平台采用 B/S 架构, 支持集群方式的集中部署统一管理, 部署非常灵活, 对网络无特殊要求, 只要能够通过网络, 对监测目标网站进行访问即可接入点可以在任意地方, 包括但不限于 : IDC 机房部署单位内网部署,ADSL 接入互联网公司内网部署, 宽带专线接入互联网管理员既可以在内网管理, 也可以通过公网管理, 只需通过浏览器连接上 WebSOC 即可非常方便直观地进行管理部署的示意图如下 : 图 6 WebSOC 部署示意 2011 北京知道创宇信息技术有限公司 12

17 4. 客户收益随着互联网安全情况日益复杂, 网站管理者很难实时掌握网站的安全现状, 通过单机检测工具检测网站安全性, 不论是实效性还是检测覆盖面都难以保证归根结底, 其原因是用户缺乏一套完整的安全监测体系, 未能落实定期评估与及时发现安全隐患的工作, 忽视了对网站历史安全状况的统计与趋势分析, 最终导致网站被恶意入侵造成财产和信誉上的损失依托国内权威的 Web 安全研究团队, 知道创宇 WebSOC 知道网站立体监控平台已经是国际领先的互联网安全监测产品之一, 能够周期性持续性地给用户提供精准可靠的安全监测服务, 同时能够提供完整的综合统计报告和趋势分析报告, 能够有效地降低网站运营风险, 更大限度地保证用户网站的安全性和稳定性通过知道创宇 WebSOC 知道网站立体监控平台, 可以帮助用户实现如下收益 : 帮助最终用户第一时间了解到所监测网站的安全状况和潜在风险, 将网站运营风险降到最低, 使网站得到最大限度的保护帮助安全服务机构构建 SaaS 模式的网站监测增值服务, 使服务机构立即拥有不间断的网站风险监测能力帮助网络监管机构快速获得辖区内网站的安全现状及安全态势, 能够快速分析网站安全宏观信息, 及时获得监测范围的网站的详细报告通过系统灵活的可扩展性为服务提供商打造增值服务模式, 提高核心竞争力和客户满意度 2011 北京知道创宇信息技术有限公司 13

依托于多年的技术积累和服务理念, 知道创宇成为中国唯一一家微软全球安全服务提供商, 同时,

18 5. 关于我们知道创宇成立于 2007 年, 是一家国家高新技术企业, 专注于提供 Web 安全相关产品和服务其核心技术成员拥有十多年的信息安全行业背景, 曾先后在国际知名安全公司从事研发及管理工作依托于多年的技术积累和服务理念, 知道创宇成为中国唯一一家微软全球安全服务提供商, 同时, 知道创宇也是国家互联网应急响应中心 CNCERT 技术支持单位部分客户媒体报道资质证书如下 : 2011 北京知道创宇信息技术有限公司 14

19 公司地址 : 北京市海淀区蓝靛厂南路 55 号金威大厦 803 室邮编 : 电话 : 传真 : 网站 : 邮箱 :sec@knownsec.com 2011 北京知道创宇信息技术有限公司 15

册子0906

册子0906 IBM SelectStack ( PMC v2.0 ) 模块化私有云管理平台是跨主流虚拟化技术的统一资源云管理平台 01 亮点 : 快速可靠地实现集成化私有云管理平台 02/03 丰富的功能支持企业数据中心云计算扩展性强 : 简单易用 : 04/05 功能丰富 : 06/07 为什么选择 IBM SelectStack (PMC v2.0)? 快速实现价值提高创新能力降低 IT 成本降低复杂度和风险