国家发展和改革委员会

WebGuard 应 用 保 护 系 统 技 术 白 皮 书 I

目 录 1 市 场 概 述... 3 1.1 需 求 分 析... 3 1.1.1 Web 应 用 现 状... 3 1.1.2 产 业 发 展 趋 势... 4 1.2 市 场 竞 争 情 况... 6 1.3 客 户 需 求 分 析... 6 2 技 术 方 案... 10 2.1 RG-WG 系 列 产 品 部 署... 10 2.1.1 政 府 行 业... 10 2.1.2 金 融 行 业... 12 2.1.3 高 校 行 业... 13 2.2 技 术 架 构... 14 2.2.1 总 体 架 构... 14 2.2.2 产 品 创 新 性... 15 2.2.3 产 品 特 色... 22 II

1 市 场 概 述 1.1 需 求 分 析 1.1.1 Web 应 用 现 状 随 着 互 联 网 的 飞 速 发 展,Web 应 用 也 日 益 增 多 现 在 各 种 商 业 交 易 政 务 办 公 金 融 理 财 的 都 正 在 向 Web 上 转 移, 但 每 增 加 一 种 新 的 基 于 Web 的 应 用 方 式, 都 会 导 致 之 前 处 于 保 护 状 态 下 的 后 端 系 统 直 接 连 接 到 互 联 网 上, 最 后 的 结 果 就 是 将 公 司 的 关 键 数 据 置 于 外 界 攻 击 之 下 事 实 上, 根 据 Gartner 的 调 查, 信 息 安 全 攻 击 有 75% 都 是 发 生 在 Web 应 用 层 而 非 网 络 层 面 上,60% 的 Web 站 点 都 相 当 脆 弱, 易 受 攻 击 在 08 年 网 络 安 全 全 国 巡 展 中, 众 多 安 全 专 家 纷 纷 表 示, 网 络 仿 冒 网 页 恶 意 代 码 网 站 篡 改 等 增 长 速 度 接 近 200% 而 随 着 Web2.0 应 用 的 推 广, 相 关 安 全 问 题 暴 露 得 越 发 明 显 尤 其 是 金 融 服 务 业 政 府 门 户 经 常 成 为 了 众 矢 之 的, 而 攻 击 者 的 主 要 目 的 就 是 直 接 获 取 经 济 利 益 或 政 治 影 响 如 今 的 信 息 系 统 的 攻 防 搏 弈 已 完 全 转 移 到 使 用 最 广 泛 最 易 用 的 WEB 应 用 上, 越 来 越 多 的 安 全 专 家 看 好 以 HTTP 过 滤 为 主 的 Web 安 全 产 品 2009 年 是 国 内 WEB 安 全 防 护 网 关 由 概 念 到 产 品 的 一 个 转 变 期, 众 多 网 络 厂 商 安 全 厂 商 及 传 统 WEB 防 篡 改 厂 商 都 陆 续 将 推 出 了 WEB 安 全 防 护 产 品 根 据 IDC 公 布 的 报 告, 全 球 Web 安 全 市 场 将 会 在 2012 年 前 达 到 65 亿 美 元 的 规 模 事 实 上, 这 一 市 场 容 量 已 经 超 过 了 UTM 所 预 期 的 40 亿 美 元 的 规 模 但 根 据 Gartner 的 统 计 数 字, 全 球 Web 安 全 产 品 的 使 用 程 度 相 当 低, 仅 有 10% 的 企 业 部 署 了 真 正 意 义 上 的 Web 安 全 网 关 也 就 是 说, 整 个 市 场 随 时 处 于 井 喷 的 边 缘 据 统 计 中 国 的 内 容 安 全 设 备 基 本 上 从 2003 年 发 展 起 来,2005 年 市 场 就 达 到 2.7 亿 元 中 国 内 容 安 全 设 备 市 场 有 巨 大 发 展 空 间, 将 会 迅 速 达 到 全 球 3% 的 市 场 份 额,Web 安 全 网 关 迅 速 占 据 市 场 份 额, 是 安 全 内 容 管 理 增 长 最 快 市 场, 复 合 增 长 率 超 过 50%, 基 本 上 是 病 毒 产 品 的 2-3 倍 是 最 有 潜 力 的 市 场 3

1.1.2 产 业 发 展 趋 势 随 着 金 融 政 府 的 计 算 及 业 务 资 源 逐 渐 向 其 数 据 中 心 高 度 集 中,WEB 成 为 普 适 平 台, 其 上 越 来 越 多 地 承 载 了 各 类 客 户 的 核 心 业 务 金 融 机 构 应 用 服 务 提 供 商 电 子 商 务 及 政 府 单 位 对 WEB 应 用 性 能 的 增 强 WEB 应 用 系 统 敏 捷 性 的 提 高 及 成 本 控 制 等 需 求 日 益 凸 显 对 于 各 种 机 构 的 IT 决 策 者 来 说, 面 临 的 最 大 挑 战 在 于 如 何 缓 解 针 对 WEB 业 务 的 各 类 安 全 威 胁, 优 化 业 务 资 源, 以 及 高 效 保 障 Web 应 用 的 可 用 性 和 可 靠 性, 同 时 还 需 应 对 合 规 要 求, 于 是, 解 决 web 应 用 安 全 问 题 成 为 当 今 全 球 必 须 考 虑 的 头 等 大 事 无 论 是 美 国 还 是 中 国, 随 着 社 会 网 络 Web2.0 SaaS 的 兴 起, 网 络 本 身 已 经 成 为 社 会 生 活 的 一 部 分 在 这 种 环 境 下, 与 传 统 的 病 毒 制 造 不 同, 当 前 各 种 木 马 程 序 间 谍 软 件 恶 意 软 件 等 以 利 益 驱 动 的 攻 击 手 段 越 来 越 难 以 防 御, 而 且 变 化 与 推 陈 出 新 的 速 度 也 更 快 攻 击 者 可 以 很 容 易 地 通 过 各 种 漏 洞 实 施 诸 如 : 注 入 攻 击 跨 站 脚 本 攻 击 以 及 不 安 全 的 直 接 对 象 关 联 攻 击, 从 而 进 一 步 通 过 各 种 隐 蔽 的 技 术 手 段 盗 窃 企 业 机 密 用 户 隐 私 信 用 卡 账 号 游 戏 账 号 密 码 等 能 够 轻 易 转 化 成 利 益 所 得 的 信 息 另 外, 通 过 木 马 漏 洞 控 制 海 量 的 普 通 用 户 主 机 组 成 僵 尸 网 络, 利 用 这 些 肉 鸡, 控 制 者 可 以 通 过 多 种 方 式 获 取 利 益, 比 如 发 起 攻 击 点 击 广 告 增 加 流 量 等 行 为 由 于 病 毒 的 互 联 网 化, 网 页 浏 览 已 经 成 为 病 毒 传 播 的 最 主 要 渠 道, 网 页 挂 马 占 到 病 毒 传 播 总 量 90% 以 上 而 且, 由 于 应 用 软 件 漏 洞 浏 览 器 插 件 漏 洞 等 频 发, 仅 仅 依 靠 用 户 自 身 的 安 全 意 识 很 难 应 对 复 杂 多 变 环 境, 各 种 基 于 网 络 的 新 型 安 全 威 胁 : 病 毒 木 马 间 谍 软 件 恶 意 程 序 等, 一 时 间 各 种 攻 击 此 起 彼 伏, 推 陈 出 新 的 速 度 也 令 用 户 应 接 不 暇 在 这 种 情 况 下, 传 统 的 安 全 防 预 手 段 已 经 不 足 以 应 对 Web 威 胁 的 挑 战 市 场 迫 切 需 要 一 种 能 够 针 对 Web 应 用 提 供 保 护 的 技 术 手 段 Web 安 全 孕 育 而 生 传 统 的 Web 安 全 防 护 网 关 诞 生 于 2006 年 初, 经 过 近 三 年 的 市 场 磨 合, 存 在 四 方 面 的 不 足, 无 法 达 到 用 户 实 际 使 用 的 要 求, 从 而 始 终 影 响 着 WEB 安 全 防 护 网 关 市 场 的 发 展, 尤 其 在 是 以 WEB 为 业 务 的 用 户 环 境 中, 最 为 突 出, 如 网 银 电 子 商 务 等 : 第 一, 性 能 跟 不 上 ; 4

第 二, 功 能 与 检 测 准 确 度 不 够 ; 第 三, 部 署 比 较 复 杂 ; 第 四, 维 护 难 度 较 高 政 府 行 业 的 电 子 政 务 政 府 门 户 网 站 在 平 时 用 户 访 问 数 量 是 一 定 的, 更 多 的 要 求 是 在 高 可 靠 的 检 测 准 确 度 和 网 站 的 保 护 方 面, 必 须 保 证 在 各 种 不 法 份 子 的 最 新 攻 击 手 段 下, 保 持 网 站 的 基 本 正 常 业 务 运 行 但 在 特 殊 时 期, 如 两 会 国 庆 奥 运 会 等 大 型 活 动 过 程 中, 政 府 门 户 的 访 问 量 将 会 大 幅 上 升, 在 网 站 带 宽 扩 充 的 同 时, 现 在 的 WEB 安 全 防 护 网 关 的 最 高 800M 吞 吐 量 最 大 40 万 并 发 连 接 远 远 达 不 到 高 访 问 增 长 带 来 的 性 能 压 力, 无 法 胜 任 政 府 行 业 的 WEB 防 护 需 求 高 校 行 业 是 天 然 的 高 并 连 接 和 高 新 建 连 接 的 WEB 环 境,09 年 中 国 高 校 在 校 生 人 数 就 已 超 2700 万, 校 间 的 关 联 越 来 越 强 相 互 之 间 存 在 着 大 量 的 WEB 访 问 随 着 CNGI 项 目 的 展 开, 高 校 的 门 户 带 宽 也 已 达 到 了 几 G 的 容 量 近 年, 高 校 的 招 生 考 试 录 取 特 招 等 各 种 通 告 均 是 通 过 校 园 网 的 门 户 进 行 发 布, 也 成 为 了 社 会 关 注 的 焦 点 现 在 的 WEB 安 全 防 护 网 关 远 远 达 不 到 高 校 这 种 用 户 环 境 的 部 署 要 求 金 融 行 业 是 WEB 安 全 防 护 的 高 可 靠 高 性 能 要 求 最 苛 刻 的 环 境, 网 银 业 务 直 接 面 临 着 越 来 越 多 用 户 使 用 的 高 性 能 压 力, 网 银 的 带 宽 也 是 一 扩 再 扩 由 于 网 银 对 不 法 份 子 有 直 接 吸 引 力 在 WEB 安 全 防 护 的 可 靠 性 方 面 也 有 很 多 的 特 殊 要 求 但 反 到 是 现 在 网 银 环 境 中 很 少 有 部 署 WEB 安 全 防 护 网 关 类 的 产 品, 再 次 说 明 了 现 有 WEB 安 全 防 护 网 关 的 性 能 可 靠 性 方 面 都 无 法 满 足 用 户 的 使 用 要 求 未 来 整 体 产 业 发 展 趋 势 必 将 围 绕 着 以 上 问 题 逐 渐 的 完 善 和 发 展 行 业 内 的 厂 商 也 看 到 了 国 内 WEB 安 全 防 护 网 关 市 场 巨 大 潜 力 和 产 品 的 不 足, 不 断 的 采 用 了 大 量 应 用 新 技 术, 针 对 WEB 应 用 环 境 进 行 性 能 功 能 维 护 方 面 的 升 级 在 市 场 起 步 阶 段, 谁 先 满 足 了 不 同 用 户 的 高 性 能 高 可 靠 性 需 求, 就 可 在 新 一 轮 的 关 市 场 抢 位 战 中 占 据 主 导 厂 商 只 有 不 断 提 高 产 品 质 量, 充 分 把 握 用 户 需 求, 完 善 产 品 和 服 务, 从 而 解 决 用 户 业 务 中 的 问 题, 才 能 在 竞 争 日 益 激 烈 的 市 场 中 取 得 竞 争 优 势 5

1.2 市 场 竞 争 情 况 目 前, 国 内 WEB 安 全 防 护 网 关 主 要 提 供 商 包 括 国 内 外 的 安 全 厂 商 国 外 的 产 品 已 大 规 模 的 进 入 国 内 市 场, 如 思 科 Imperva Juniper Blue Coat SurfControl Websense 等, 但 国 外 的 产 品 都 是 基 于 萨 班 斯 法 案 金 融 服 务 法 PCI 标 准 研 制 的 产 品, 很 大 程 度 上 是 对 国 外 合 规 要 求 的 响 应, 无 法 满 足 国 内 用 户 的 真 实 WEB 的 安 全 需 求, 如 国 内 蠕 虫 攻 击 木 马 盗 号 及 DDOS 攻 击 等, 而 且 产 品 价 格 昂 贵, 无 法 达 到 客 户 最 佳 投 资 收 益 的 要 求 国 内 安 全 厂 商 一 般 是 在 原 有 的 防 病 毒 IPS UTM 产 品 基 础 上 进 行 升 级 改 造, 产 品 的 研 发 生 产 速 度 快, 产 品 的 特 色 鲜 明 但 不 全 面, 由 于 架 构 的 原 因 无 法 摆 脱 性 能 的 瓶 颈, 产 品 的 稳 定 性 也 达 不 到 高 端 用 户 的 认 可 锐 捷 网 络 在 高 性 能 高 可 靠 的 交 换 机 路 由 器 高 端 防 火 墙 等 市 场 都 有 非 常 成 熟 的 平 台 和 市 场 环 境, 在 产 品 定 位 上 始 终 本 着 技 术 创 新 的 战 略 RG-WG 就 是 锐 捷 网 络 专 门 为 政 府 高 校 金 融 商 业 市 场 提 供 的 一 款 高 性 能 高 可 靠 性 的 WEB 安 全 防 护 网 关 产 品, 它 是 业 界 目 前 唯 一 的 功 能 全 面 WEB 应 用 安 全 防 护 网 关, 创 新 的 将 防 蠕 虫 病 毒 引 擎 网 页 防 篡 改 关 键 字 过 滤 Web 服 务 器 内 容 保 护 等 功 能 集 中 到 统 一 平 台 上, 过 滤 阻 止 或 管 理 控 制 网 络 中 恶 意 的 或 不 重 要 的 应 用 程 序 和 内 容 ; 并 且 通 过 集 中 管 理 平 台, 提 供 统 一 的 设 备 状 态 监 控 统 一 的 策 略 配 置 统 一 的 报 表 和 升 级 服 务 因 此 客 户 可 享 受 到 高 性 比 易 用 且 高 度 集 成 的 WEB 应 用 安 全 防 护 网 关, 让 网 络 变 得 安 全 透 明 可 控 1.3 客 户 需 求 分 析 高 性 能 高 可 靠 WEB 安 全 防 护 网 关 的 主 要 目 标 市 场 主 要 集 中 在 : 政 府 高 校 金 融 商 业, 这 几 个 市 场 也 是 WEB 攻 击 最 频 发 的 环 境, 一 定 出 现 攻 击 事 件 将 会 对 社 会 经 济 带 来 非 常 大 的 影 响 各 细 分 市 场 WEB 安 全 防 护 要 求 各 有 不 同, 锐 捷 网 络 针 对 主 要 目 标 市 场 的 用 户 需 求 进 行 了 详 细 的 场 景 分 析, 有 针 对 性 的 为 每 个 目 标 市 场 开 发 出 了 特 色 解 决 方 案 下 面 对 前 三 大 目 标 市 场 进 行 需 求 分 析, 商 业 市 场 的 客 户 需 要 与 前 三 者 具 有 一 定 的 共 性 政 府 行 业 6

伴 随 着 我 国 政 府 信 息 化 的 发 展 和 12 金 工 程 的 推 进, 各 省 纷 纷 构 建 了 纵 向 到 底 横 向 到 边 的 政 府 信 息 化 网 络 平 台 政 府 门 户 网 站 是 政 务 公 开 和 服 务 型 政 府 两 大 主 导 思 想, 在 落 实 过 程 中 所 必 须 凭 借 的 重 要 平 台, 在 未 来 的 电 子 政 务 规 划 中, 政 府 门 户 网 站 必 将 占 有 非 常 重 要 的 地 位 2008 年 各 地 市 也 分 别 下 达 了 政 府 网 站 绩 效 评 估 指 标, 其 中 对 网 站 速 度 安 全 防 护 提 出 了 明 确 的 要 求 与 此 同 时, 政 府 网 站 也 因 其 政 治 形 象 和 社 会 影 响 受 到 了 互 联 网 黑 客 的 广 泛 关 注, 像 利 用 SQL 注 入 攻 击 而 对 网 站 进 行 网 页 篡 改 窃 取 数 据 等 安 全 事 件 频 频 发 生 因 此 政 府 在 加 大 政 务 网 建 设 的 同 时, 需 要 对 其 开 放 的 web 业 务 进 行 有 效 的 防 御, 避 免 网 页 篡 改 等 事 件 的 发 生 2010 年 是 木 马 感 染 量 上 升 的 高 峰 期, 从 CNCERT 的 数 据 来 看,2010 年 政 府 网 站 被 篡 改 和 挂 马 数 量 一 直 高 居 不 下, 最 新 数 据 只 是 3 月 8 日 -3 月 14 日 这 一 周 境 内 被 篡 改 政 府 网 站 数 量 为 185 个, 环 比 增 长 180% 相 比 其 他 网 站, 政 府 网 站 的 可 信 度 更 高, 网 民 访 问 时 一 般 不 会 特 别 注 意 安 全 防 护 如 果 个 别 安 全 性 薄 弱 的 政 府 网 站 被 黑 客 入 侵 挂 马, 危 害 也 会 比 较 严 重 政 府 网 站 迫 切 需 要 一 款 带 有 以 下 特 性 的 WEB 安 全 防 护 网 关 : 1 对 现 在 主 流 攻 击 的 蠕 虫 木 马 和 挂 马 行 为 进 行 实 时 保 护, 避 免 被 网 络 恶 意 软 件 入 侵 ; 2 实 时 防 护 对 网 站 危 害 最 大 的 SQL 注 入 跨 站 脚 本 等 攻 击 行 为 ; 3 对 网 站 的 漏 洞 进 行 修 补, 避 免 攻 击 者 借 助 最 新 漏 洞 篡 改 主 页 ; 4 对 多 个 安 全 域 的 WEB 服 务 器 进 行 同 时 保 护, 保 证 服 务 器 的 可 靠 运 行 ; 5 当 有 重 大 活 动 时, 如 两 会 奥 运 会 世 博 等, 可 以 保 证 在 大 流 量 高 访 问 量 的 环 境 下 稳 定 运 营, 并 保 持 网 页 打 开 的 低 延 迟 高 校 行 业 2009 年 高 考 临 近 时, 高 校 在 成 为 考 生 和 家 长 关 注 的 同 时, 高 校 网 站 也 因 此 吸 引 了 黑 客 的 注 意 仅 一 日 之 间, 就 有 北 京 大 学 西 安 交 通 大 学 中 国 政 法 大 学 天 津 财 经 大 学 华 中 农 业 大 学 北 京 林 业 大 学 中 国 地 质 大 学 东 华 大 学 华 中 科 技 大 学 西 南 石 油 大 学 苏 州 大 学 等 11 所 国 内 知 名 高 校 网 站 遭 遇 挂 马 浏 览 这 些 网 站 的 用 户 如 果 电 脑 中 存 在 漏 洞, 就 很 可 能 会 被 植 入 恶 意 木 马, 从 而 面 临 信 息 数 据 虚 拟 财 产 被 盗 的 威 胁 7

利 用 网 络 热 点 事 件 传 播 木 马 病 毒 是 商 业 黑 客 惯 用 的 伎 俩 由 于 09 年 高 考 招 生 再 次 成 为 许 多 考 生 和 家 长 关 注 的 焦 点, 很 多 考 生 都 通 过 网 络 查 询 报 考 学 校 及 报 考 专 业 信 息, 通 过 其 官 方 网 站 了 解 该 校 的 招 生 计 划, 这 让 众 多 高 校 网 站 的 访 问 流 量 也 持 续 攀 升 因 而 高 校 网 站 的 挂 马 威 胁 也 在 最 近 一 周 内 剧 增, 挂 马 网 页 数 量 相 对 上 一 周 提 升 了 近 35% 这 些 挂 马 网 站 不 仅 仅 给 浏 览 用 户 带 来 安 全 隐 患 更 为 严 重 的 是, 黑 客 可 以 利 用 跨 站 攻 击 模 式, 获 取 这 些 大 学 网 站 服 务 器 更 高 级 的 管 理 权 限, 进 而 可 以 非 法 进 入 含 有 学 生 信 息 的 数 据 库, 去 窃 取 或 者 破 坏 高 考 招 生 的 相 关 数 据 连 国 内 名 校 网 站 也 暴 露 出 安 全 隐 患, 可 见 高 校 类 网 站 的 整 体 安 全 状 况 令 人 堪 忧 高 校 行 业 迫 切 需 要 一 款 带 有 以 下 特 性 的 WEB 安 全 防 护 网 关 : 1 高 校 一 般 都 在 2 万 人 以 上, 上 网 速 度 要 求 也 很 高,CNGI 项 目 后 出 口 带 宽 最 大 可 以 2G, 因 此, 校 园 网 首 先 需 要 一 款 高 性 能 WEB 安 全 防 护 网 关 ; 2 学 生 对 网 站 的 访 问 质 量 要 求 非 常 苛 刻,WEB 安 全 防 护 网 关 不 能 大 于 5ms; 3 校 园 网 是 安 全 事 件 高 发 环 境, 对 产 品 的 可 靠 性 要 求 更 高 必 需 对 现 在 主 流 攻 击 的 蠕 虫 木 马 和 挂 马 行 为 进 行 实 时 保 护, 避 免 被 网 络 恶 意 软 件 入 侵 ; 实 时 防 护 对 网 站 危 害 最 大 的 SQL 注 入 跨 站 脚 本 等 攻 击 行 为 ; 4 对 网 站 的 漏 洞 进 行 修 补, 避 免 攻 击 者 借 助 最 新 漏 洞 篡 改 主 页 ; 5 防 病 毒 防 WEB 攻 击 防 挂 马 防 恶 意 文 件 提 交 内 容 监 控 都 需 要 同 时 有 保 护 措 施, 保 证 服 务 器 的 可 靠 运 行 ; 6 对 设 备 自 身 的 稳 定 性 有 很 高 要 求, 需 要 支 持 HA 部 署 方 式 金 融 行 业 当 前, 网 上 银 行 证 券 在 线 大 型 电 子 交 易 网 站 发 展 迅 猛, 目 前 已 经 成 为 金 融 服 务 的 重 要 渠 道, 去 年 网 上 银 行 的 交 易 总 额 已 经 达 到 三 百 万 亿, 占 整 个 银 行 业 务 总 额 的 30%, 大 有 替 代 柜 台 服 务 之 势 自 从 央 视 3 15 晚 会 曝 光 网 上 支 付 和 网 银 盗 窃 案 之 后, 我 国 金 融 WEB 业 务 市 场 受 到 了 一 定 冲 击 但 随 着 安 全 技 术 的 不 断 提 高, 客 户 金 融 在 线 业 务 安 全 知 识 的 更 多 了 解, 网 上 银 行 证 券 在 线 将 为 客 户 8

提 供 更 加 安 全 便 捷 和 个 性 化 的 服 务, 满 足 更 多 客 户 的 需 求, 从 而 实 现 客 户 和 银 行 的 双 赢 基 本 上 大 部 份 的 网 上 银 行 证 券 在 线 都 是 基 于 B/S( 浏 览 器 / 服 务 器 ) 系 统 虽 然 网 络 前 端 虽 然 已 经 部 署 了 防 火 墙, 但 针 对 于 B/S 的 应 用 型 攻 击, 防 火 墙 基 本 上 无 效 在 国 外 PCI 法 案 通 过 之 后, 要 求 提 供 信 用 卡 网 上 支 付 超 过 一 定 营 业 额 的 企 业, 都 需 要 配 置 Web 应 用 防 火 墙, 在 金 融 国 际 化 接 轨 的 今 天, 符 合 规 范 也 是 网 银 建 设 的 考 虑 方 面 之 一 因 此 网 上 银 行 必 须 要 部 署 高 性 能 高 可 靠 的 WEB 安 全 防 护 网 关 网 银 电 子 商 务 证 券 在 线 迫 切 需 要 一 款 带 有 以 下 特 性 的 WEB 安 全 防 护 网 关 : 金 融 在 线 业 务 电 子 商 务 在 线 支 付 业 务 以 下 几 个 安 全 要 求 : 1 支 持 HTTP/HTTPS 网 银 基 于 上 是 使 用 SSL, 必 须 要 求 支 持 HTTPS; 2 对 网 银 电 子 商 务 在 线 证 券 的 编 码 方 式 进 行 自 定 义 过 滤, 必 需 能 不 影 响 正 常 业 务 的 使 用, 不 能 有 误 报 发 生 ; 3 策 略 的 可 定 制 化 WEB 应 用 变 化 多, 需 要 有 针 对 性 的 根 据 网 银 系 统 进 行 安 全 策 略 调 整 ; 4 防 WEB 应 用 攻 击 尤 其 是 现 在 国 内 特 别 多 的 SQL 注 入 攻 击 和 XSS 攻 击 ; 5 详 尽 的 报 告 功 能 需 要 支 持 查 询 和 导 出 功 能 9

2 技 术 方 案 2.1 RG-WG 系 列 产 品 部 署 2.1.1 政 府 行 业 国 内 各 级 政 府 网 站 正 在 向 服 务 平 台 化 站 点 集 群 化 的 政 府 门 户 网 站 的 特 点 发 展 通 过, 在 各 级 政 府 网 站 中 的 在 线 服 务 引 导 和 电 子 政 务 服 务 结 果 查 询, 将 政 府 各 局 各 部 门 联 系 在 一 起, 共 同 组 成 一 座 庞 大 且 实 用 的 一 站 式 一 体 化 的 政 府 电 子 政 务 服 务 平 台 主 要 采 用 三 层 架 构 设 计, 从 下 至 上 分 别 为 : 数 据 访 问 层 业 务 逻 辑 层 表 示 层, 如 图 所 示 : 图 3-1 系 统 视 图 各 省 级 和 中 央 的 政 府 门 户 网 站 一 般 都 是 在 电 子 政 务 外 网 的 数 据 中 心, 服 务 器 数 量 众 多, 不 单 是 为 市 民 企 业 提 供 政 务 业 务, 还 需 要 为 各 级 地 市 提 供 政 府 办 公 业 务,RG-WG 部 署 在 电 子 政 务 外 网 数 据 中 心 的 前 端, 可 根 据 不 同 的 安 全 域, 不 同 的 web 服 务 特 点 和 不 同 的 代 码 特 点, 分 别 制 定 不 同 的 个 性 化 的 安 全 访 问 策 略, 从 而 为 众 多 安 全 域 提 供 集 中 式 个 性 化 的 安 全 防 护 RG-WG 的 处 理 性 能 可 以 达 到 10G, 不 但 可 以 满 足 省 级 和 中 央 的 政 府 门 户 网 站 高 可 靠 的 要 求, 在 重 要 的 活 动 期 间 也 可 以 根 据 策 略 的 调 整, 适 应 大 流 量 大 访 问 量, 多 攻 击 事 件 的 高 性 能 要 求 如 下 图 所 示 : 10

图 3-2 多 个 虚 拟 域 集 中 式 个 性 化 防 护 各 级 地 市 区 县 的 政 府 门 户 网 站 架 构 相 对 比 较 简 单 依 据 2008 年 政 府 网 站 绩 效 考 核 各 项 指 标, 各 级 地 市 区 县 政 府 以 实 现 集 安 全 资 源 整 合 在 线 服 务 信 息 公 开 民 主 参 与 于 一 身 的 政 府 网 站 平 台 为 建 设 目 标 RG-WG 部 署 在 政 府 网 站 Web 服 务 器 的 前 端, 做 为 客 户 端 与 WEB 服 务 器 端 请 求 与 响 应 的 中 间 人, 实 时 过 滤 阻 断 或 屏 蔽 跨 站 脚 本 SQL 注 入 及 恶 意 攻 击, 从 而 保 障 政 府 网 站 面 向 居 民 企 业 外 籍 人 士 及 同 级 政 府 提 供 各 种 稳 定 可 靠 安 全 在 线 政 务 服 务 如 下 图 所 示 图 3-3 各 级 地 市 政 府 专 业 单 独 防 护 11

2.1.2 金 融 行 业 网 上 银 行 证 券 在 线 大 型 电 子 交 易 网 站 不 同 的 业 务 系 统, 运 营 流 程 网 络 架 构 WEB 服 务 器 的 数 量 带 宽 要 求 也 各 有 不 同, 即 使 同 是 网 上 银 行, 根 据 银 行 自 身 的 规 模 大 小 业 务 特 点 的 不 同, 也 千 差 万 别 RG-WG 专 门 对 金 融 行 业 的 网 络 架 构 进 行 了 深 入 分 析, 提 供 了 多 种 场 景 的 部 署 方 式 根 据 用 户 不 同 的 业 务 特 点, 满 足 用 户 不 同 环 境 的 部 署 用 网 银 中 心 的 部 署 环 境 举 例 说 明 网 银 中 心 在 接 入 路 由 器 后, 部 署 防 火 墙 和 负 载 均 衡 设 备 将 两 台 RG-WG 部 署 在 防 火 墙 后 面, 根 据 可 用 性 需 要 也 做 双 机 热 备 处 理 RG-WG 可 以 导 入 网 银 的 SSL 证 书, 直 接 对 网 银 中 的 Https 数 据 包 进 行 风 险 检 测 如 下 图 所 示 : 图 3-4 网 银 中 心 服 务 群 前, 全 面 防 护 网 银 中 心 在 接 入 路 由 器 后, 部 署 防 火 墙 和 负 载 均 衡 设 备 将 两 台 RG-WG 分 别 单 臂 部 署 在 WEB 服 务 器 的 交 换 机 上 RG-WG 属 于 监 听 状 态, 可 以 对 网 银 中 的 Https 数 据 包 进 行 攻 击 事 件 进 行 及 时 的 报 警 如 下 图 所 示 : 12

图 3-5 单 臂 部 署, 对 WEB 威 胁 报 警 2.1.3 高 校 行 业 高 校 具 有 多 个 专 业 学 院, 学 生 众 多, 校 园 网 的 使 用 流 动 性 非 常 大, 学 生 换 届, 访 问 学 者, 交 流 学 术 都 经 常 引 起 使 用 者 群 体 的 流 动 和 改 变, 需 要 更 加 全 面 的 web 安 全 防 御 通 过 在 高 校 网 络 中 心 服 务 群 前 部 署 一 台 RG-WG 产 品, 不 仅 能 防 御 高 校 外 来 自 Internet 的 web 攻 击, 还 能 够 防 御 来 自 学 校 内 部 人 员 的 web 攻 击 RG-WG 部 署 在 网 络 中 心 核 心 服 务 器 前, 做 到 对 内 外 攻 击 的 全 面 同 时 防 护 RG-WG 开 启 病 毒 防 火 墙 的 功 能, 实 现 应 用 层 的 全 面 防 御 同 时 为 了 避 免 单 点 故 障 将 使 用 双 机 热 备 份, 并 启 动 服 务 器 负 载 均 衡, 确 保 应 用 交 互 的 业 务 服 务 质 量 控 制 保 障 RG-WG 是 一 款 可 以 在 大 用 户 数 环 境 中, 保 证 用 户 所 有 业 务 高 可 靠 使 用 的 网 关 设 备 对 内 网 用 户 启 动 防 毒 墙 ; 对 数 据 中 心 的 WEB 服 务 器 开 启 攻 击 防 御 WEB 内 容 保 护 等, 同 时 设 备 的 负 载 均 衡 状 态 同 步 双 机 热 备 日 志 记 录 等 多 项 功 能 都 同 时 打 开 的 情 况 下, 可 以 保 证 高 校 用 户 访 问 点 击 即 所 得 如 下 图 所 示 : 13

图 3-6 分 布 部 署, 集 中 一 站 式 防 护 2.2 技 术 架 构 2.2.1 总 体 架 构 RG-WG 总 体 架 构 : 图 3-7 总 体 架 构 如 上 图 所 示 RG-WG 各 个 功 能 模 块 并 不 是 简 单 的 功 能 堆 叠, 更 不 是 穿 糖 葫 芦 ; 而 是 经 过 锐 捷 网 络 研 发 团 队 在 系 统 周 密 设 计 的 基 础 上 开 发 出 来 的, 使 得 各 个 应 用 引 擎 之 间 的 数 据 处 理 相 互 调 用 配 合 工 作 协 调 有 序 因 此 数 据 并 不 是 串 行 穿 14

越 RG-WG 的 各 个 功 能 模 块 2.2.2 产 品 创 新 性 2.2.2.1 国 际 领 先 的 高 性 能 硬 件 平 台 支 持 多 核 ASIC 硬 件 加 速 多 引 擎 并 行 处 理, 且 优 化 重 写 TCP 协 议 栈 的 RGOS 模 块 化 操 作 系 统 让 RG-WG 处 理 Internet 应 用 威 胁 的 效 率 大 大 提 升, 并 且 随 着 功 能 的 增 加, 处 理 性 能 不 受 影 响 ;RGOS 模 块 化 操 作 系 统 智 能 的 会 话 跟 踪 引 擎 和 策 略 引 擎, 使 RG-WG 能 够 适 应 各 种 网 络 环 境 ; 从 而 缔 造 了 业 界 功 能 全 面 高 性 能 且 具 有 良 好 网 络 适 用 性 的 Web 安 全 网 关 图 3-8 硬 件 平 台 自 研 的 并 行 多 核 控 制 器 具 有 专 利 技 术 优 化 重 写 TCP 协 议 栈 且 支 持 多 核 的 RGOS 模 块 化 操 作 系 统, 是 RG-WG 高 性 能 的 技 术 保 障, 为 客 户 提 供 高 性 能 的 产 品 平 台 奠 定 了 基 础, 并 且 随 着 硬 件 配 置 的 升 级, 性 能 呈 近 似 线 性 增 长 多 核 并 不 是 简 单 的 CPU 叠 加, 需 要 Web 安 全 网 关 从 硬 件 到 软 件, 从 操 作 系 统 底 层 到 上 层 应 用 进 程 去 全 方 位 支 持 多 核 CPU, 为 此 锐 捷 网 络 专 门 研 发 了 自 己 的 并 行 多 核 控 制 器, 充 分 处 理 核 内 核 间 任 务 的 分 工 与 调 度 如 下 图 所 示, 来 自 网 络 层 的 数 据 包 进 入 并 行 多 核 控 制 器 后, 并 行 多 核 控 制 器 将 流 量 数 据 均 衡 分 配 到 各 个 不 同 的 CPU, 以 便 完 成 后 续 多 颗 CPU 的 并 行 事 务 处 理 15

图 3-9 并 行 多 模 控 制 器 将 处 理 数 据 均 衡 分 配 各 个 不 同 的 CPU 国 际 领 先 的 ASIC 加 速 架 构 ASIC 硬 件 加 速 卡 并 不 是 孤 立 的 运 行 器 件, 同 时 也 需 要 操 作 系 统 的 支 持, 锐 捷 网 络 通 过 自 主 设 计 开 发 的 ASIC 驱 动 技 术, 如 下 图 所 示, 应 用 层 数 据 扫 描 启 动 器 将 扫 描 数 据 传 入 工 作 描 述 转 换 器, 工 作 描 述 转 换 器 将 扫 描 数 据 转 换 为 工 作 描 述 列 表 写 入 工 作 任 务 存 储 控 制 器, 工 作 任 务 存 储 控 制 器 下 达 工 作 任 务 指 令 到 ASIC 硬 件 扫 描 引 擎,ASIC 扫 描 引 擎 进 行 数 据 的 扫 描 与 特 征 匹 配, 完 成 后 将 扫 描 结 果 返 回 给 系 统 应 用 层 的 扫 描 结 果 接 收 器 图 3-10 ASIC 加 速 架 构 16

可 线 速 增 长 式 性 能 设 计 传 统 的 经 过 优 化 的 透 明 传 输 OS 架 构, 如 下 图 所 示, 在 操 作 系 统 应 用 层 可 以 进 行 多 线 程 的 并 行 处 理, 但 是 基 于 操 作 系 统 内 核 层 的 TCP 协 议 栈 存 在 共 享 锁,CPU 在 进 行 事 务 处 理 时, 要 等 待 TCP 共 享 锁 的 释 放, 因 此 并 行 度 受 限 于 TCP 协 议 栈 共 享 锁, 并 不 能 达 到 完 全 的 并 行 事 务 处 理 RG-WG 在 研 发 之 初 就 决 定 优 化 重 写 TCP 协 议 栈, 在 兼 顾 安 全 性 的 基 础 上, 开 发 了 横 跨 操 作 系 统 内 核 层 和 操 作 系 统 应 用 层 的 TCP 协 议 栈, 同 时 将 TCP 协 议 栈 与 应 用 代 理 进 程 并 行 结 合, 如 下 图 所 示, 打 破 了 通 用 操 作 系 统 基 于 kernel 的 TCP 协 议 栈 共 享 锁 的 限 制, 从 而 开 发 出 了 业 界 首 个 真 正 意 义 上 的 多 核 完 全 并 行 处 理 操 作 系 统 RGOS 模 块 化 操 作 系 统, 在 转 发 层 面 和 应 用 层 面 都 做 到 完 全 的 并 行 处 理, 突 破 Web 安 全 网 关 性 能 瓶 颈, 并 且 随 着 硬 件 配 置 的 升 高,RG-WG 的 性 能 近 似 线 性 增 长, 也 为 更 高 的 产 品 性 能 提 供 了 可 能, 使 RG-WG 的 最 高 处 理 能 力 可 达 到 10G 得 到 了 保 障 图 3-11 多 核 处 理 示 意 图 17

图 3-12 可 线 速 增 长 对 比 2.2.2.2 全 面 的 WEB 适 用 性 针 对 WEB 应 用 的 精 确 识 别 对 HTTP/HTTPS 协 议 进 行 深 入 的 解 析, 精 确 的 识 别 出 协 议 中 的 各 种 要 素, 比 如 Cookie Get 参 数 Post 表 单 等, 并 对 这 些 数 据 进 行 必 要 的 解 码, 以 还 原 原 始 信 息, 根 据 这 些 解 码 后 的 原 始 信 息, 可 以 准 确 的 检 测 其 是 否 包 含 攻 击 内 容, 其 检 测 流 程 如 下 图 所 示 传 统 产 品 正 是 因 为 做 不 到 基 于 HTTPS 协 议 的 应 用 数 据 内 容 的 分 析, 现 在 金 融 行 业 全 面 采 用 HTTPS 协 议,RG-WG 可 以 全 面 适 用 于 金 融 行 业 的 业 务 环 境 RG-WG 通 过 对 进 出 的 web 请 求 进 行 实 时 的 安 全 监 测 过 滤, 阻 断 对 web 服 务 器 的 恶 意 访 问, 从 而 做 到 对 web 服 务 器 的 内 容 保 护, 防 止 网 页 内 容 被 篡 改, 防 止 网 站 数 据 库 内 容 泄 露, 防 止 口 令 被 突 破, 防 止 系 统 管 理 员 权 限 被 窃 取, 防 止 网 站 被 挂 马 和 植 入 病 毒 恶 意 代 码 间 谍 软 件 等, 防 止 用 户 输 入 信 息 的 泄 露, 防 止 账 号 失 窃, 防 SQL 注 入, 防 XSS 攻 击 等 18

图 3-13 RG-WG web 应 用 威 胁 检 测 流 程 图 透 明 部 署, 全 面 的 网 络 适 用 性 RGOS 模 块 化 操 作 系 统 专 用 的 会 话 跟 踪 引 擎 和 策 略 引 擎, 智 能 的 跟 踪 和 确 认 每 个 会 话 的 源 和 目 的 及 其 路 由 信 息, 为 RG-WG 的 网 络 适 用 性 奠 定 了 良 好 的 基 础, 从 而 使 RG-WG 很 轻 松 的 实 现 对 VLAN 非 对 称 路 由 单 臂 路 由 HA 等 网 络 环 境 的 支 持, 并 且 是 业 界 真 正 透 明 的 Web 安 全 网 关, 安 装 部 署 简 单, 无 需 改 造 应 用, 无 需 改 变 网 络 图 3-14 部 署 适 用 性 RG-WG 良 好 的 网 络 适 应 性 的 表 现 之 一 就 是 : 它 是 真 正 的 纯 透 明 Web 安 全 19

网 关 对 用 户 的 现 有 网 络 没 有 任 何 影 响, 如 下 图 对 比 所 示 : 图 3-15 对 比 处 理 由 上 图 可 以 看 出, 与 传 统 的 透 明 代 理 Web 安 全 网 关 相 比,RG-WG 没 有 中 断 客 户 机 和 服 务 器 之 间 的 三 次 握 手, 最 大 程 度 的 保 留 了 数 据 的 原 有 信 息, 实 现 了 真 正 意 义 上 的 透 明 因 此 一 些 传 统 透 明 Web 网 关 很 难 解 决 的 问 题, 比 如 OSPF 路 由 协 议 的 透 传 问 题 等, 在 RG-WG 上 就 可 以 轻 松 实 现 2.2.2.3 高 可 靠 性 WEB 深 度 检 测 技 术 深 度 内 容 检 测 (DCI) 与 特 征 匹 配 引 擎, 保 证 WEB 更 可 靠 的 运 行 RG-WG 防 网 络 病 毒 蠕 虫 木 马 功 能 中 主 要 利 用 恶 意 事 件 过 滤 引 擎 深 度 内 容 检 测 (DCI) 与 特 征 匹 配 引 擎 和 启 发 式 引 擎 三 大 过 滤 引 擎 对 进 出 网 络 的 HTTP HTTPS FTP SMTP POP3 等 5 种 协 议 流 量 进 行 依 次 的 扫 描 过 滤, 最 大 程 度 的 确 保 检 测 的 准 确 性, 减 少 漏 查 和 误 报 具 体 功 能 点 如 下 : 分 析 检 测 并 阻 止 HTTP HTTPS FTP SMTP POP3 双 向 流 量 中 的 病 毒 木 马 间 谍 软 件 蠕 虫 后 门 等 网 络 威 胁 间 谍 软 件 回 传 阻 止 过 滤 阻 断 恶 意 软 件 发 布 源 防 钓 鱼 过 滤 分 块 下 载 中 的 恶 意 软 件 应 对 零 日 攻 击 快 速 定 位 内 部 威 胁 终 端 20

深 度 内 容 检 测 (DCI) 与 特 征 匹 配 引 擎 首 先 会 识 别 出 需 要 深 度 内 容 过 滤 的 文 件 类 型, 比 如 PE 文 件 TXT 文 件 Bin 文 件 等, 然 后 会 对 相 关 文 件 进 行 每 一 个 字 节 的 逐 一 扫 描 与 恶 意 软 件 特 征 匹 配, 对 匹 配 到 的 文 件 会 根 据 设 置 的 策 略 进 行 相 应 的 阻 止 隔 离 等 处 理, 对 于 通 过 的 流 量 会 继 续 发 送 到 启 发 式 引 擎 进 行 进 一 步 的 检 测 启 发 式 引 擎 启 发 式 检 测 引 擎 将 可 疑 文 件 通 过 启 发 式 检 测 规 则 根 据 可 疑 程 度 划 分 风 险 级 别, 分 为 高 度 可 疑 文 件 中 度 可 疑 文 件 低 度 可 疑 文 件, 同 时 根 据 用 户 自 己 设 定 的 控 制 动 作 将 可 疑 文 件 反 馈 到 威 胁 处 理 中 心 进 行 进 一 步 的 监 测 分 析, 为 客 户 提 供 联 网 式 整 合 式 的 防 御 服 务 Web 程 序 源 代 码 泄 露 检 查 正 常 情 况 下, 用 户 向 web 服 务 器 请 求 一 个 脚 本 文 件, 例 如.asp 或.jsp 时,web 应 用 服 务 器 (ISS Apache 等 ) 会 先 编 译 执 行 这 些 脚 本 程 序, 然 后 将 执 行 的 结 果 返 回 给 用 户 的 浏 览 器 但 是 某 些 存 在 漏 洞 的 web 服 务 器, 攻 击 者 通 过 在 脚 本 中 输 入 特 殊 字 符 后, 这 些 脚 本 将 不 在 web 服 务 器 上 执 行, 而 是 原 样 发 送 显 示 在 攻 击 者 的 浏 览 器 上, 如 此 一 来, 攻 击 者 对 web 服 务 程 序 就 会 了 如 指 掌, 从 而 可 以 轻 松 的 进 行 下 一 步 的 攻 击 活 动 RG-WG 可 以 对 WEB 程 序 进 行 源 代 码 检 查, 将 程 序 中 存 在 的 漏 洞 上 报 给 管 理 人 员 基 于 云 的 安 全 特 征 收 集 系 统, 更 快 的 保 障 WEB 安 全 锐 捷 网 络 的 安 全 实 验 室, 具 有 全 球 化 样 本 采 集 网 络 处 理 中 心 和 分 发 网 络 每 天 处 理 恶 意 软 件 样 本 数 万 条, 每 日 常 规 恶 意 软 件 特 征 更 新 6 次, 最 新 爆 发 恶 意 软 件,2 小 时 之 内 响 应, 为 客 户 提 供 365 天 不 间 断 的 Internet 应 用 安 全 防 护 更 新 服 务 ; 同 时 领 先 的 数 据 云 URL 过 滤 技 术 和 专 业 及 时 的 Internet 应 用 识 别 技 术, 为 客 户 提 供 高 效 的 Internet 应 用 管 理 服 务 ASIC 的 大 特 征 库, 提 供 更 全 的 WEB 防 护 通 过 恶 意 软 件 特 征 转 换 技 术 将 常 规 的 恶 意 软 件 特 征 转 换 为 ASIC 加 速 卡 识 别 的 恶 意 软 件 特 征 格 式, 并 将 其 写 入 ASIC 高 速 存 储 单 元, 实 现 了 动 态 刷 新 ASIC 硬 件 加 速 卡 内 的 特 征, 从 而 突 破 了 ASIC 难 以 升 级 的 业 界 难 题, 做 到 板 载 特 征 库 能 够 随 时 升 级 ; 目 前 RG-WG 的 板 载 特 征 能 够 查 杀 的 恶 意 软 件 样 本 超 过 800 万 可 有 效 应 对 零 日 未 知 攻 击 RG-WG 能 实 时 对 HTTP/HTTPS 的 请 求 进 行 异 常 检 测, 目 的 是 为 了 检 测 是 否 21

是 一 个 正 常 的 HTTP 请 求, 检 测 请 求 中 是 否 包 含 不 合 理 内 容 非 法 字 符 未 知 请 求 畸 形 构 造 等, 这 些 都 有 可 能 造 成 攻 击 或 危 害, 甚 至 是 零 日 未 知 的 攻 击 自 身 的 高 可 靠 性, 保 障 产 品 的 稳 定 集 成 了 多 层 次 的 高 可 用 性 设 计, 包 括 硬 件 端 口 Bypass 和 设 备 HA 功 能, 可 以 在 断 电 主 机 故 障 等 问 题 下 自 动 切 通 网 络 或 自 动 切 换 到 备 机, 保 证 网 络 畅 通 并 提 供 持 续 有 效 的 网 络 应 用 防 护 2.2.3 产 品 特 色 2.2.3.1 双 向 网 站 实 时 检 测 过 滤 RG-WG 作 为 web 客 户 端 与 服 务 器 端 请 求 与 响 应 的 中 间 人, 避 免 web 服 务 器 直 接 暴 露 在 互 联 网 上, 检 测 过 滤 HTTP/HTTPS 双 向 交 互 流 量 数 据, 对 其 中 的 恶 意 成 分 进 行 实 时 在 线 清 洗 过 滤 2.2.3.2 内 置 防 病 毒 网 关 内 置 多 种 Malware 检 测 规 则, 实 时 拦 截 ASP 或 PHP 后 门 病 毒 : 阻 止 进 而 获 取 Web 管 理 权 限 的 行 为 防 止 网 站 被 挂 马, 防 止 Web 站 点 成 为 Malware 发 布 源 头 : 避 免 遭 受 名 誉 损 失 和 客 户 商 业 失 防 御 包 含 病 毒 木 马 的 自 动 化 攻 击 减 轻 管 理 员 服 务 器 例 行 杀 毒 工 作 量, 有 效 防 御 网 站 攻 击 2.2.3.3 Webshell 检 测 过 滤 与 侦 测 报 警 日 前 webshell 由 于 其 攻 击 的 隐 藏 性, 以 及 攻 击 危 害 的 有 效 性 等 特 点 在 web 攻 击 中 盛 行,RG-WG 能 有 效 进 行 webshell 的 检 测 过 滤 与 侦 测 监 控, 目 前 能 有 效 防 御 4000 多 种 webshell, 即 使 在 网 站 已 经 被 植 入 webshell 的 情 况 下 也 能 通 过 侦 测 过 滤 webshell 请 求 操 作 特 征 和 攻 击 特 征 来 阻 断 黑 客 的 各 种 非 法 操 作 和 攻 击 行 为, 达 到 保 护 web 服 务 器 的 目 的 22

2.2.3.4 虚 拟 WAF 和 分 级 管 理 单 一 WAF 设 备 支 持 多 个 网 站 管 理 员 分 别 配 置 管 理 防 护 策 略, 并 提 供 独 立 的 攻 击 事 件 报 警 分 析 日 志 与 报 表 此 功 能 非 常 适 合 IDC 和 具 有 一 定 数 目 web 服 务 器 群 的 企 业 使 用, 方 便 网 络 运 营 管 理, 减 轻 设 备 管 理 员 的 工 作 量, 解 决 IDC 或 大 型 企 业 众 多 网 站 所 带 来 的 策 略 维 护 与 管 理 的 问 题 2.2.3.5 独 有 的 提 交 页 恶 意 文 件 上 传 过 滤 功 能 RG-WG 会 对 HTTP/HTTPS 应 用 交 互 中 上 传 附 件 进 行 病 毒 检 测 匹 配, 并 内 置 强 大 的 病 毒 特 征 库, 防 止 感 染 病 毒 的 文 件 上 传 到 web 服 务 器 后 造 成 大 范 围 的 病 毒 扩 散, 致 使 服 务 器 瘫 痪, 甚 至 网 络 中 断 等 问 题 2.2.3.6 防 止 Cookie 篡 改 假 冒 与 内 容 泄 漏 许 多 站 点 中 使 用 Cookie 来 保 存 用 户 信 息, 比 如 用 户 名 和 密 码 等 信 息 攻 击 者 能 够 通 过 非 法 执 行 脚 本 或 跨 站 攻 击 等 手 段, 通 过 在 表 单 提 交 或 URL 参 数 中 插 入 JavaScript 语 句, 这 样 可 实 现 自 动 发 送 Cookie 到 攻 击 者 的 服 务 器 上, 从 而 使 攻 击 者 有 机 会 获 得 Cookie 内 容 篡 改 Cookie 内 容, 而 且 还 可 能 利 用 获 得 的 Cookie 进 行 劫 持 假 冒, 从 而 达 到 金 融 欺 诈 身 份 和 数 据 盗 窃 等 目 的 RG-WG 能 够 对 web 应 用 交 互 中 的 Cookie 内 容 进 行 加 密 和 校 验, 还 能 够 针 对 客 户 端 IP 进 行 Cookie 内 容 的 校 验, 从 而 做 到 有 效 预 防 Cookie 篡 改 假 冒 和 内 容 泄 露 2.2.3.7 敏 感 信 息 泄 露 屏 蔽 RG-WG 能 够 识 别 屏 蔽 web 应 用 报 错 信 息, 识 别 并 防 止 敏 感 数 据 的 泄 露, 防 止 非 法 内 容 的 上 传 发 布, 满 足 合 规 运 营 的 要 求, 具 体 功 能 如 下 : 自 定 义 禁 用 词 过 滤, 防 止 非 法 内 容 发 布 在 web 站 点 上 隐 藏 屏 蔽 web 管 理 页 面 的 入 口 URL 连 接, 针 对 特 定 的 URL 连 接 提 供 访 问 控 制 列 表 网 站 隐 身, 过 滤 服 务 器 端 出 错 信 息, 如 数 据 库 或 服 务 器 错 误 类 型 出 现 错 误 23

脚 本 的 绝 对 路 径 网 页 主 目 录 绝 对 路 径 出 现 错 误 的 SQL 语 句 及 参 数 web 服 务 软 件 的 版 本 系 统 配 置 信 息 等, 从 而 避 免 这 些 敏 感 信 息 为 攻 击 者 利 用, 达 到 下 一 轮 攻 击 的 目 的 2.2.3.8 用 户 可 自 定 义 安 全 访 问 规 则 用 户 还 可 以 根 据 Web 站 点 的 自 身 编 码 情 况 与 应 用 服 务 特 点, 选 择 制 定 自 己 独 特 的 安 全 访 问 规 则, 并 且 还 能 够 对 web 应 用 交 互 中 的 各 种 元 素 进 行 灵 活 定 制, 有 效 防 御 各 类 变 形 应 用 攻 击 2.2.3.9 灵 活 的 例 外 安 全 规 则 为 了 对 web 服 务 中 个 别 的 URL 或 者 服 务 目 录 提 供 更 严 格 的 安 全 规 则, 比 如 管 理 员 访 问 URL 或 目 录,RG-WG 提 供 了 灵 活 的 例 外 配 置 规 则, 用 户 不 仅 可 以 单 独 启 用 更 严 格 的 安 全 检 测 规 则, 还 可 以 单 独 配 置 访 问 的 IP 黑 白 名 单 等 2.2.3.10 自 动 生 成 动 态 攻 击 黑 名 单 RG-WG 能 将 确 认 为 攻 击 的 源 IP 自 动 加 入 黑 名 单, 并 且 提 供 自 动 解 禁 时 间, 不 需 要 任 何 人 工 的 操 作, 大 大 方 便 了 管 理 员 的 维 护 与 管 理 2.2.3.11 丰 富 的 报 表 日 志 RG-WG 提 供 丰 富 的 web 服 务 器 访 问 日 志 与 报 表, 提 供 病 毒 检 测 日 志 与 报 表, web 攻 击 检 测 防 御 日 志 与 报 表, 还 提 供 设 备 运 行 情 况 和 负 载 的 统 计 图 表, 不 仅 方 便 管 理 员 对 web 服 务 器 的 运 用 维 护, 还 方 便 管 理 员 对 WAF 本 身 的 运 维 24