安全

Web应用防火墙(WAF,Web Application Firewall)入门

Web应用防火墙正日趋流行，过去这些工具被很少数的大型项目垄断，但是，随着大量的低成本产品的面市以及可供选择的开源试用产品的出现，它们最终能被大多数人所使用。在这篇文章中，先向大家介绍Web应用防火墙能干什么，然后快速的概览一下Web应用防火墙最有用的一些特征。通过这篇文章的阅读，大家能清楚地了解web应用防火墙这个主题，掌握相关知识。

什么是web应用防火墙？

    有趣的是，还没有人能真正知道web应用防火墙究竟是什么，或者确切的说，还没有一个大家认可的精确定义。从广义上来说，Web应用防火墙就是一些增强 Web应用安全性的工具。然而，如果我们要深究它精确的定义，就可能会得到更多的疑问。因为一些Web应用防火墙是硬件设备，一些则是应用软件；一些是基于网络的，另一些则是嵌入WEB服务器的。

...

网路游侠 6 分钟阅读 0
文摘

Web Application Firewall Evaluation Criteria

IntroductionWeb Application Firewalls (WAF) represent a new breed of information security technology that is designed to protect web sites (web applications) from attack. WAF solutions are capable of

网路游侠 65 分钟阅读 0
安全

网路游侠：网上应用安全扫描平台试用

X-Scan、流光偏重于主机系统扫描，但现在WEB服务器、数据库服务器、业务服务器前一般都部署了防火墙、入侵检测等系统，因此并不容易扫描出有效的漏洞。因此，网上应用安全扫描平台应运而生。

网路游侠 2 分钟阅读 0
安全

WinManager内网安全管理和文档加密管理系统

WinManager内网安全管理，文档安全加密专业研发厂商，三大功能模块：

1、网络行为管理：
A、上网行为管理：例如：禁止上班上无关的网站。如ebay、游戏网等；
B、应用程序管理： 例如：上班不能用QQ、MSN；
对于所有的上网、程序应用都有记录，可以做出柱状图统计；
C、邮件记录备份；
D、QQ、MSN 、Skype、淘宝旺旺聊天记录取
E、 屏幕记录：对每一台电脑屏幕进行录像。
例如：可以落实公司上班不能上网、聊天的管理制度

2、文档安全管理：
A、通过阻断存储设备： U盘、软盘、光驱刻录机等防止信息外泄；
...

网路游侠 2 分钟阅读 0
随笔

中国人民共和国外交部网站的一个跨站漏洞

　　中华人民共和国外交部网站 http://www.fmprc.gov.cn
　　这个XSS漏洞不难利用，问题在 search.jsp 文件过滤不严格，且没有过滤post提交的数据，我们看看攻击的截图：

　　或者这个：

　　当然，用来做点别的也行……
　　测试链接：

http://www.fmprc.gov.cn/wjb/search.jsp?searchword=<script>alert('youxia')</script>

　　或在：
　　http://www.fmprc.gov.cn/wjb/search.jsp
　　搜索框中输入：

<script>alert('youxia')</script>

网路游侠 1 分钟阅读 0
安全

使用数据库扫描系统评估数据库的安全性

　　本文使用的是从某数据库安全厂家获取的数据库扫描系统，版本不是最新的，不过应该可以代表产品的设计思路和其在相关领域的技术实力。
　　数据库扫描的初期，一般都是确认评估范围，本产品也不例外。添加任务有两种方法：一是直接输入数据库的详细信息，二是对网络进行扫描，确认网内数据库的总量。

　　相对于网上Nessus、NMAP等评估工具，本款数据库扫描产品更像是一款安全测试工具，因为在对数据库进行安全评估的时候，不但要输入通用的IP、端口，更要输入数据库系统的账号，甚至操作系统的账号（这样就可以审核用系统账号登录数据库系统情况下的安全性）。
　　扫描速度理所当然的相当快，因为就技术而言，数据库的漏洞并不像主机那么多，检测项目也没有那么多，因此速度较快。下面是评估报告，当然这仅仅是主要描述部分，并不是细节描写。

　　下图是数据库扫描系统的一些检测项，应该说基本覆盖了数据库安全检查项的绝大多数。

　　下面是一个细节的描述，描述名称为“审计级别设置”：

漏洞描述：
    检查审计级别是否符合安全策略。你可以设置Microsoft SQL Server提供登录成功或失败的审计跟踪记录。审计日志提供哪个登录ID尝试登录，成功还是失败，连接是标准的还是信任的，时间和日期等信息。正确设置审计级别可以用来严格检测过期登录，登录攻击，违反登录时间。
漏洞来源：
    审计是数据库管理系统安全性重要的一部分，通过审计，凡是与数据库安全性相关的操作可被记录下来，只要检测审计记录，系统安全员就可以掌握数据库被使用状况。如何设置审计的级别：不审计、成功审计、失败审计、全部审计。
修复建议：
    更改审计级别。 对于SQL Server 6.x（使用企业管理器）： 1.右击服务 2.从弹出菜单中选择设置 3.选择安全选项页 对于SQL Server7.0和2000（使用企业管理器）： 1.右击服务 2.选择属性选项 3.选择安全页更改审计级别 对于SQL Server 2005（使用SQL Server Management Studio）： 1.右击服务 2.选择属性选项 3.选择安全页更改审计级别

　　漏洞描述、漏洞来源、修复建议，都比较的详细，可以指导数据库管理员对数据库进行有效的检查、审核数据库系统的安全性。
　　当然，相对于某些数据库扫描系统不支持MySQL（为什么不支持MySQL？因为多数人用的是免费版？），本软件支持Microsoft SQL Server、Oracle、MySQL、Sybase数据库，我手头的这版本没有DB/2和Infomix的支持，不知道新版本是否支持？
　　总的来说，产品是不错的，特别是在市场上数据库漏洞扫描产品很少，等级保护和分级保护又明确了数据库安全的情况下，本产品应该很有市场。

作者：网路游侠 https://www.youxia.org
　　　转载请注明来源！谢谢合作。

网路游侠 3 分钟阅读 0
业界

AceNet公司中国区技术总监官宇演讲


图为：下一代网络融合与发展中国峰会现场，AceNet公司中国区技术总监官宇演讲。（胡秀岩/摄 新浪网）

　　2009年8月23-24日，下一代网络融合与发展中国峰会(CNCS)在北京京都信苑宾馆召开，会议由国家广播电视电影总局指导，中

网路游侠 11 分钟阅读 0
程序

“安鼎数据库安全访问中间件”简介

　　概述
　　安鼎数据库安全访问中间件是为增强普通关系数据库管理系统的安全性而设计开发的，旨在提供一个安全适用的数据库加密平台，对通信和数据库存储的内容实施有效保护。
　　该系统中通过通信加密、数据库存储加密等安全方法实现了数据库数据存储和通信的保密和完整性要求。具有自主知识产权的加密算法和密文查询算法在保证安全性的同时兼顾了系统的效率，使数据库的加密达到实用化水平。
　　系统采用开放的体系结构，支持标准SQL语句，提供了ODBC、OLEDB和JDBC支持，也提供调用级接口（CLI）。
　　系统已经运行的平台有AIX、Solaris、Sco Open Server、Linux、Windows NT/2000/XP，支持的数据库管理系统有DB2、Oracle、Sybase、Microsoft SQL Server。
...

网路游侠 3 分钟阅读 0
业界

联想控股正式成为网康科技的战略投资者

　　2009年8月14日，中国互联网管理领导厂商网康科技与联想控股联合宣布：联想控股正式成为网康科技的战略投资者。同时，高原资本作为网康科技A轮融资的领投者此次又追加投资，成为B轮的共同投资者。而在2008年3月，网康科技刚刚完成A轮融资，获得由高原资本与住友商事亚洲资本联手注资的600万美元。
　　作为联想集团、神州数码等着名IT公司的母公司，联想控股此次成为了领投者。据网康科技CEO袁沈钢介绍：“联想控股成为网康科技的战略投资人，不仅带来了资本，还会在品牌、渠道、管理、人才等多个方面帮助网康科技迅速成长”。
...

网路游侠 4 分钟阅读 0
业界

信息与网络安全从业者社区 WWW.CNCISO.COM

　　很长一段时间以来就想做一个安全类的网站了，虽然自己的博客也算其中一员，不过依然不大气，感觉总是我自己在自言自语，没什么意思，还是人多了热闹一些！
　　今天没去见客户，也没什么很要紧的事情，就抓紧把这件事情办了……注册了个新域名：www.cnciso.com 分为两部分：CN+CISO，CN=中国，CISO=首席信息安全官。当作一个信息与网络安全的娱乐场所吧，当然，就目前来说是个“玩玩”的网站，将来必然是一个以技术为主的网站。
　　网站是用UCenter Home架设的，当然同时安装了Discuz BBS，可能还会增加SupeSite。这样，有社会化网络、有论坛、有内容管理系统，比较完整，不过做的太大了，自己未必有时间照管，还是得靠兄弟们捧场了。
　　在UCenter Home的后台，还看到了这个东东还能直接调用sina、sohu、163等信箱的联系人列表，然后群发邮件，不错的东东……嘿嘿。

　　实际上想法很多的，但是自己能力实在有限，并且时间抽不出来……一天要是240个小时就好了。呵呵

网路游侠 1 分钟阅读 0
业界

方正M580双网隔离机打造双网安全

　　进入网络时代，保密工作难度大大提高。面对信息安全所面临的严峻形势，国家保密局、中保委相继出台信息安全要求，明确规定涉密计算机信息系统必须与国际互联网或其他公共信息网实行物理隔离。传统的双网隔离技术，是通过插入硬件隔离卡来实现的。但是这种硬件隔离卡只实现了硬盘的物理隔离，给双网间信息安全留下了漏洞。同时，其繁琐的切换程序和缓慢的切换速度也备受诟病。
　　针对用户的安全需求，方正科技推出了新一代的双网隔离计算机——君逸M580双网隔离机，它采用最近的整机隔离技术研发而成，具有“双网快速切换”、“实时在线”、“安全易用”和“高兼容性”等特色，能够达到“网内网外，安全畅享”的效果。君逸M580双网隔离机，实现了内外网的整机物理隔离，将业内最先进的安全技术带给高端商用PC用户，能帮助政府、企业、军工、金融客户等行业的用户构建高效、安全、可靠的信息化平台。
...

网路游侠 3 分钟阅读 0
安全

Symantec Endpoint Protection的IPS功能简单测试

　　其实Symantec的SEP已经出来很久了，看上去不错，但是一直没看。前几天出差，在长途车上的功夫，装了下。说说感受吧！
　　1、安装简便！这个最重要。Manager程序10分钟就搞定，因为最近也在测试McAfee的VirusScan和AntiSpyware等，所以感觉Symantec的SEP部署相当的简洁易懂。
　　2、轻量。相对于McAfee ePo的庞大身躯，并且安装完还要无休止的升级，Symantec SEP明显要轻松很多，不知道和我用的是试用版有关系没，只有400M。
　　3、界面简单。想要找什么，一眼就看到了，无需翻来覆去的找菜单。这一点比Kaspersky、McAfee做的好，不过还不如瑞星、江民、金山的网络版，但是作为SEP功能要强悍很多，也情有可原！
　　今天我其实主要是想说下SEP的IPS功能的。前几天在评估某个网站安全性的时候，总是扫描一点就断掉，以为是Cisco的PIX阻断掉了，后来直接拿了条网线插到和服务器一起的傻瓜交换机上，发现依然如此！Windows的ICF是不会过一段断掉的，所以……看了下，服务器装了SEP，于是今天我也说说SEP的IPS功能。
　　我在VMware安装了Windows Server 2003，Host OS是Windows XP，Guest OS上安装了SEP，在XP上开X-Scan扫描2003，发现一会儿就断掉了。同时看到虚拟机的右下角：

　　Symantec SEP已经禁止了扫描计算机的通信。
　　网络威胁防护日志→通信日志里面，记录了本次扫描行为的相关信息，包括：日期、时间、操作、方向、协议、远程主机等。

　　看我那个老威胁防护设置，启用了入侵防护，启用了端口扫描检测，同时如果攻击，则自动禁止攻击者IP地址60秒钟（默认是600秒钟，我为了测试改成了60秒）

　　总的来说，感觉Symantec SEP还是不错的产品，中文化也做的不错，当然，左边菜单的汉字有点小了，不过瑕不掩瑜，并不影响这款产品的成功。
　　不过本文一直在说McAfee的不好了，改天有时间了，写个McAfee的靓点出来。当然最后和评书上一样，做下广告：预知游侠如何评价McAfee，请上https://www.youxia.org！ 🙂

网路游侠 2 分钟阅读 0
业界

关于明确信息安全等级保护测评机构管理有关事项的通知

　　关于明确信息安全等级保护测评机构管理有关事项的通知（广公（网监）[2009]421号）
　　广公（网监）[2009]421号

各地级以上市公安局网警支队（网监科）、信息安全等级保护测评机构：
　　6月18日，公安部十一局在上海召开会议，对等级测评机构管理相关问题进行了明确，要求开展等级测评的单位不得从事下列活动：一是承担信息系统安全建设整改工作；二是将等级测评任务分包、外包；三是信息安全产品开发、营销和信息系统集成活动；四是限定被测评单位购买、试用其指定的信息安全产品；五是未经许可占有、使用被测评单位有关信息、资料及数据文件。为贯彻落实会议精神，进一步规范我省等级测评单位管理，现将有关事项明确如下：
...

网路游侠 3 分钟阅读 0