分类： 安全

安全

互动·保护·成长——Web应用防火墙技术一瞥

　　从2008年开始，大量企业、政府的网站遭遇Web攻击，甚至有黑客通过攻击企业网站勒索钱财。众多的事例使企业逐渐认识到，由于很多攻击已经转向应用层，传统的防火墙、IPS、网页防篡改设备都无法彻底阻止此类攻击，必须要安装Web应用防火墙（以下简称WAF）来保护Web应用。

　　保护应用的“墙”

　　只要有网络的地方就会有防火墙，但传统的防火墙只是针对一些底层（网络层、传输层）的信息进行阻断，而WAF则深入到应用层，对所有应用信息进行过滤，这是二者的本质区别。

　　WAF的运行基础是应用层访问控制列表。整个应用层的访问控制列表所面对的对象是网站的地址、网站的参数、在整个网站互动过程中所提交的一些内容，包括HTTP协议报文内容，由于WAF对HTTP协议完全认知，通过内容分析就可知道报文是恶意攻击还是非恶意攻击。IPS只是做部分的扫描，而WAF会做完全、深层次的扫描。
...

网路游侠 5 分钟阅读 0
安全

全球信息安全领域的几大“真实”现象

　　该认清事实了！企业的信息安全十之八九做得一败涂地。

　　问问2008年8月因透过不安全的Wi-Fi入侵TJX等零售店而遭到起诉的11名黑客，便知─当时有4,000万笔信用卡与现金卡卡号被窃。问问EDS承包Medicaid理赔处理专员：今年2月她承认犯下盗卖客户社会安全号码与生日数据，以冒领退税金。问问犹他州大学医院聘雇来护送磁带到异地储存中心的快递人员。6月的某一天，他开了自己的车，而非公司的安保车来，结果这批包含2,200万名病患账单资料从前座被偷。

　　量化安全项目的报酬率并不容易，通常因为很难算出你从避免的危机中，可获得多少金钱报偿。今年低迷的经济，迫使决策者对任何预算提案都更加保守。即使如此，调查结果显示，企业还是继续购买、导入技术工具，包括入侵检测软件、加密和身份管理等。这倒是好消息。
...

网路游侠 5 分钟阅读 0
安全

国内OA安全现状初探_Cschii

　　文章作者：Cschii
　　[关键字]：OA，J2EE，Servlet，Tomcat应用，克隆
　　[技术要点]： 本文以华天、金和两款OA系统为例，为读者展示安全隐患给OA带来的创伤——不但系统本身被破解，而且殃及到服务器的安全。并对国内使用比较多的OA，如通达、华天、金和、泛微、致力协同、新思创等作了检测与分析，几乎都存在安全隐患，这使我们不能不为国内OA系统的安全感到担忧。
　　[

网路游侠 3 分钟阅读 0
安全

游侠原创：笑谈——关于UTM和IPS的“亮点”

有位做安全产品需求规划的朋友加我，说讨论下关于UTM和IPS的包装，即我们呈现在用户面前的“亮点”。游侠认为，目前市面上的UTM和IPS实际上同质化非常严重，只不过A产品a功能强、B产品b、c功能强、C产品c功能好点而已，在功能上不会有特别厉害的差距。

网路游侠 2 分钟阅读 0
安全

3Gweb自防御网站服务器简介

　　简介：3Gweb自防御网站服务器（Self-Defending Web Server）是一种整合了OS，自防御系统，HTTP服务器，数据库，Web开发环境，通信和其它软件，以及特殊架构计算机在内的新一代网站服务器装置。它提供一种前所未有的高可信和高安全的综合Web平台，并提供最大的便利性。3Gweb的主功能还是基于http协议的“得到访问者的请求，送回信息”的Web功能，但同时，在其内部植入了最先进的人体“自我防御”机制。因此3Gweb具有超强的抗攻击和抗入侵能力，无论是对“已知攻击”还是“未知攻击”，无论是来自“通信层”，还是“应用层”的攻击。
...

网路游侠 3 分钟阅读 0
安全

中外DLP品牌之战号角吹响

　　2010年1月以来，在中国数据泄露防护（DLP）市场上，国外DLP大举进攻中国市场，而国内DLP厂商奋力抗争，从产品、技术、营销、理念等多个领域正面交锋，战斗如火如荼，形成了一个全新的市场竞争格局。

　　一、国外数据泄露防护（DLP）产品概述

　　从2006年开始，基于防止外部入侵窃密和内部无意泄密的需求，关于数据泄露防护（DLP）的技术和产品，信息安全领域的重点。国际信息安全巨头包括趋势科技、赛门铁克、RSA（EMC）、Websense、麦咖啡等，陆续推出了DLP产品。

　　2008年6月，趋势科技收购Provilla 公司，推出数据外泄管理系统LeakProof 3.0。2008年10月，赛门铁克宣布推出数据丢失防护解决方案9.0版（DLP 9.0），旨在帮助企业和组织增强发现、监测和保护机密信息的能力，无论这些信息在何处存储和使用。2008年10月，EMC的信息安全事业部RSA发布DLP6.0版本。Websense自2007年1月收购PortAuthority公司进入DLP市场，推出了终端内容保护套件解决方案。后来通过与Lumension建立合作伙伴关系来解决移动存储所导致的终端数据丢失问题。2009年9月Websense发布新版数据外泄防护（DLP）产品Data Security Suite，新版Data Security Suite加入端点控管，也就是防止数据从USB等管道外泄。McAfee在2006年买下Onigma后，在2007年2月推出了数据遗失保护软件Data Loss Prevention（DLP）Host，并在2007年11月将其整合进安全管理控制台ePO 4.0。
...

网路游侠 5 分钟阅读 0
安全

赛博电脑城祭文——兼论信息安全的发展[转]

　　23日下午，我和重庆联想网御、华夏创新的哥哥弟弟们还在赛博楼下转悠，摆重庆IT武器装备行业的事。唐总指点江山，就差没激扬文字了。

　　回成都睡了一觉，小陈QQ上给我说：赛博烧了，你知道么？我说昨天不还好好的么？怎么就烧了？上网一看，果然！ 赛博大火

　　赛博是重庆IT的标志性建筑之一，被烧之后据说损失惨重，某商家报损失1个亿左右，我姑且不说这个损失大与小，关键这个数目是如何统计出来的，商家的账目恐怕都在大火中付之一炬了吧。

　　当然这只是我的猜测，但是我估计大部分的商家，会将自己的库存、财务数据、合同、客户资料存在电脑上放在办公室，这火一烧，损失的恐怕完全不仅仅是那一堆货。货是有形的损失，数据呢？财务、客户这些损失又如何统计？
...

网路游侠 2 分钟阅读 0
安全

河北移动借力VCLMS提高日志管理水平

随着中国移动河北有限公司通信网、业务网及各支撑系统的不断发展，由于内控措施不力造成的安全问题时有发生。依赖各通信网、业务网和各支撑系统中设备自身的日志功能进行审计的做法已经无法满足河北移动目前和未来业务发展的要求。

网路游侠 3 分钟阅读 0
安全

看《密战》解读十大信息泄密方式

　　央视一套30集热播电视连续剧《密战》推出之后，获得了较高的收视率。《密战》中运用了当前主流的技术和设备。不论是服务器、笔记本电脑、移动硬盘等大众所常见的设备，还是相当专业的微波发射中继器、手机窃听器、安防监控系统解读器，都是泄密和窃密的重要途径。

　　为了让广大观众更为了解《密战》剧集中所涉及到的种种窃密与反窃密途径，本文将剧情中种种窃密途径进行解析，并提出相应的技术、产品或者是防范手段

网路游侠 5 分钟阅读 0
安全

CSRF攻击的原理解析与对策研究[转载]

　　1、引言

　　跨站点请求伪造（Cross—Site Request Forgery）。以下简称CSRF。是一种广泛存在的网站漏洞。Gmail、YouTube等着名网站都有过CSRF漏洞。甚至包括“ING DIRECT”这样的荚国第四大储蓄银行的金融机构网站。2009年3月着名网络安全机构SANS与MITRE结合来自全球超过30个软件工作者及安全专家，将CSRF列为最危险的25个编程错误之一。

　　2、现有的Web安全缺陷

　　2.1 Web安全策略

　　与CSRF有关的主要有三个Web安全策略：同源策略、Cookie安全策略和Flash安全策略。
...

网路游侠 6 分钟阅读 0
安全

游侠原创：网站漏洞扫描工具--Safe3 Web Vul Scanner功能展示

　　好几个朋友和我说过Safe3 Web Vul Scanner了，前一段时间作者也加了游侠的QQ，聊了下，并给我注册了个Safe3 WVS，看了下功能不错。
　　为了说明其功能，我在这里扫描个不大不小的站吧，设置参数，点菜单“Setting”：

　　·Scanning Threads：默认值是10。扫描的线程，值越大扫描速度越快，当然占用主机资源越多。不过以游侠自己的测试，即使是改成30，对资源的占用也完全可以接受

网路游侠 3 分钟阅读 0
安全

思博易Vulcan综合日志审计系统VCLMS

VCLMS针对目前主流信息系统基础平台的特点，通过采集各种网络设备、安全设备、操作系统及应用软件平台的安全事件日志及各种消息、主动探测运行状态等手段，为系统管理人员提供了一个监测面广、响应及时、具有强大分析能力的综合日志管理平台。

网路游侠 4 分钟阅读 0
安全

航天蓝西电子信息深度取证工具

　　“航天蓝西电子信息深度取证工具”是针对国家保密单位进行安全保密检查、公检法针对电子信息司法取证、各级涉密单位进行安全保密自查与防范工作的计算机安全产品。使用“航天蓝西电子信息深度取证工具”对涉密信息系统进行例行或日常检查，可及时发现、解决违规问题，真正促进保密工作制度化、规范化、常态化管理作用。
　　
　　航天蓝西电子信息深度取证工具功能

网路游侠 2 分钟阅读 0
安全

游侠原创：最受欢迎的十大WEB应用安全评估系统

在国内一些网站上经常看到文章说某某WEB应用安全评估工具排名，但是很可惜，绝大多数都是国外人搞的，界面是英文，操作也不方便，那游侠就在这里综合下，列举下国内WEB安全评估人员常用的一些工具。

网路游侠 8 分钟阅读 0
安全

XSS攻击防御技术白皮书

　　1 背景知识
　　
　　1.1 什么是XSS攻击
　　
　　XSS攻击：跨站脚本攻击（Cross Site Scripting），为不和层叠样式表（Cascading Style Sheets, CSS）的缩写混淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略（same origin policy）。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击”，而JavaScript是新型的“ShellCode”。
...

网路游侠 6 分钟阅读 0