網(wǎng)站系統(tǒng)安全防護(hù)體系建設(shè)方案

1、 AUTOTEXT 第 X 頁 共 Y 頁 * MERGEFORMAT 第 PAGE 30 頁 共 NUMPAGES 31 頁網(wǎng)站系統(tǒng)安安全防護(hù)體體系建設(shè)方方案 目錄TOC o 1-3 h z u HYPERLINK l _Toc253386518 一、需求說說明 PAGEREF _Toc253386518 h 2 HYPERLINK l _Toc253386519 二、網(wǎng)頁防防篡改解決決方案 PAGEREF _Toc253386519 h 4 HYPERLINK l _Toc253386520 2.1 技技術(shù)原理 PAGEREF _Toc253386520 h 4 HYPERLINK l _

2、Toc253386521 2.2 部部署結(jié)構(gòu) PAGEREF _Toc253386521 h 5 HYPERLINK l _Toc253386522 2.3 系系統(tǒng)組成 PAGEREF _Toc253386522 h 6 HYPERLINK l _Toc253386523 2.4 集集群與允余余部署 PAGEREF _Toc253386523 h 8 HYPERLINK l _Toc253386524 2.5 方方案特點 PAGEREF _Toc253386524 h 9 HYPERLINK l _Toc253386525 2.5.11 篡改檢檢測和恢復(fù)復(fù) PAGEREF _Toc253386

3、525 h 9 HYPERLINK l _Toc253386526 2.5.22 自動發(fā)發(fā)布和同步步 PAGEREF _Toc253386526 h 9 HYPERLINK l _Toc253386527 三、WEBB應(yīng)用防護(hù)護(hù)解決方案案 PAGEREF _Toc253386527 h 11 HYPERLINK l _Toc253386528 3.1 當(dāng)當(dāng)前安全風(fēng)風(fēng)險分析 PAGEREF _Toc253386528 h 11 HYPERLINK l _Toc253386529 3.2 防防護(hù)計劃 PAGEREF _Toc253386529 h 12 HYPERLINK l _Toc253386

4、530 3.2.11 開發(fā)流流程中加入入安全性驗驗證項目 PAGEREF _Toc253386530 h 12 HYPERLINK l _Toc253386531 3.2.22 對網(wǎng)站站程序的源源代碼進(jìn)行行弱點檢測測 PAGEREF _Toc253386531 h 13 HYPERLINK l _Toc253386532 3.2.33 導(dǎo)入網(wǎng)網(wǎng)頁應(yīng)用程程序漏洞列列表作為審審計項目 PAGEREF _Toc253386532 h 13 HYPERLINK l _Toc253386533 3.2.44 部署WWeb應(yīng)用用防火墻進(jìn)進(jìn)行防御 PAGEREF _Toc253386533 h 14 HYP

5、ERLINK l _Toc253386534 3.3WWEB應(yīng)用用防火墻功功能 PAGEREF _Toc253386534 h 15 HYPERLINK l _Toc253386535 3.3.11 集中管管控功能 PAGEREF _Toc253386535 h 15 HYPERLINK l _Toc253386536 3.3.22 防護(hù)功功能 PAGEREF _Toc253386536 h 15 HYPERLINK l _Toc253386537 3.4 預(yù)預(yù)期效益 PAGEREF _Toc253386537 h 16 HYPERLINK l _Toc253386538 四、內(nèi)容分分發(fā)網(wǎng)絡(luò)解

6、解決方案 PAGEREF _Toc253386538 h 18 HYPERLINK l _Toc253386539 4.1 內(nèi)內(nèi)容分發(fā)網(wǎng)網(wǎng)絡(luò)簡介 PAGEREF _Toc253386539 h 18 HYPERLINK l _Toc253386540 4.2 CDN服服務(wù)功能 PAGEREF _Toc253386540 h 18 HYPERLINK l _Toc253386541 4.3CCDN服務(wù)務(wù)特點 PAGEREF _Toc253386541 h 20 HYPERLINK l _Toc253386542 五、負(fù)載均均衡解決方方案 PAGEREF _Toc253386542 h 21 HY

7、PERLINK l _Toc253386543 5.2 廣廣域負(fù)載均均衡 PAGEREF _Toc253386543 h 23 HYPERLINK l _Toc253386544 5.3 關(guān)關(guān)鍵功能和和特點 PAGEREF _Toc253386544 h 24 HYPERLINK l _Toc253386545 六、應(yīng)急響響應(yīng)服務(wù)體體系 PAGEREF _Toc253386545 h 26 HYPERLINK l _Toc253386546 6.1 事事件分類與與分級 PAGEREF _Toc253386546 h 26 HYPERLINK l _Toc253386547 6.1.11 事件分

8、分類 PAGEREF _Toc253386547 h 26 HYPERLINK l _Toc253386548 6.1.22 事件分分級 PAGEREF _Toc253386548 h 26 HYPERLINK l _Toc253386549 6.1.33 預(yù)警服服務(wù)事件嚴(yán)嚴(yán)重等級 PAGEREF _Toc253386549 h 27 HYPERLINK l _Toc253386550 6.2 應(yīng)應(yīng)急響應(yīng)服服務(wù)體系 PAGEREF _Toc253386550 h 28一、需求說說明針對Webb應(yīng)用防護(hù)護(hù)安全需能能實現(xiàn)以下下功能：一、針對網(wǎng)網(wǎng)站主頁惡惡意篡改的的監(jiān)控，防防護(hù)和快速速恢復(fù)：（1）支

9、持持多種保護(hù)護(hù)模式，防防止靜態(tài)和和動態(tài)網(wǎng)頁頁內(nèi)容被非非法篡改。（2）能夠夠防止主頁頁防護(hù)功能能被惡意攻攻擊者非法法終止。（3）具備備核心內(nèi)嵌嵌技術(shù)，能能實現(xiàn)高效效快速實現(xiàn)現(xiàn)大規(guī)模的的網(wǎng)頁攻擊擊防護(hù)。（4）支持持實時檢測測和快速恢恢復(fù)功能。（5）支持持多服務(wù)器器、多站點的的主頁防護(hù)護(hù)（6）支持持對常見的的多種網(wǎng)頁頁文件類型型的保護(hù)。（7）支持持網(wǎng)頁快照照功能，根根據(jù)需要即即時提供快快照頁面，以以滿足客戶戶端的訪問問。二、 對WWeb網(wǎng)站進(jìn)進(jìn)行多層次次檢測分析析與應(yīng)用防防護(hù)：（1）有效效保護(hù)網(wǎng)站站靜動態(tài)網(wǎng)網(wǎng)頁以及后后臺DB信息，實實現(xiàn)多方位位攻擊防護(hù)護(hù)。（2）靈靈活的策略略設(shè)置，能能夠針對各各個W

10、EBB應(yīng)用的特特點，設(shè)置置個性化的的防護(hù)策略略。（3）不反反射保護(hù)網(wǎng)網(wǎng)站（或WWEB應(yīng)用用）程序代代碼防止受受到各種已已知攻擊（如SQL注入，跨站腳本，釣魚攻擊等）和未知攻擊；并能限制未授權(quán)用戶透過網(wǎng)站訪問數(shù)據(jù)中心，防止入侵者的通信流程。（4）能夠夠根據(jù)操作作系統(tǒng)、應(yīng)應(yīng)用平臺及及評估滲透透工具等特特征，形成成完備的特特征庫。綜綜合并發(fā)連連接、并發(fā)發(fā)請求及流流量限制，阻阻斷攻擊探探測或掃描描； 同時時能夠?qū)υL訪問數(shù)據(jù)流流進(jìn)行協(xié)議議檢查，防防止對WEEB應(yīng)用的的惡意信息息獲取和特特征收集。三、行為審審計：（1）能夠夠記錄和有有效統(tǒng)計用用戶對WEEB應(yīng)用資資源的訪問問，包括頁頁面點擊率率、 客戶戶對

11、端地址址、客戶端類類型、訪問流量量、訪問時間間及搜索引擎擎關(guān)鍵字信信息；并實現(xiàn)有有效的用戶戶行為訪問問統(tǒng)計分析析，如基于于區(qū)域的訪訪問統(tǒng)計，便便于識別WWEB應(yīng)用用的訪問群群體是否符符合預(yù)期，為為應(yīng)用優(yōu)化化提供依據(jù)據(jù)。（2）對攻攻擊來源和和攻擊行為為支持分類類記錄探測測，數(shù)據(jù)處理理結(jié)果形成成詳細(xì)的統(tǒng)統(tǒng)計及排序序，支持依依據(jù)威脅的的級別生成成防護(hù)策略略。（3）提供供多種審計計報表，為為系統(tǒng)的安安全審計提提供詳細(xì)的的數(shù)據(jù)并作作為可靠的的決策依據(jù)據(jù)。四、支持多多種WEBB 應(yīng)用加加速技術(shù)，減減輕服務(wù)器器負(fù)載：（1）支持持URL 級別的流流量管理和和負(fù)載均衡衡，提供對對頁面訪問問的并發(fā)連連接與速率進(jìn)行

12、行控制，提提高應(yīng)用系系統(tǒng)在資源源緊張時的的可用性。（2）具備備訪問過載載保護(hù)能力力，緩解WWEB 服服務(wù)因訪問問量過大而而造成的拒拒絕服務(wù)攻攻擊， 提提高系統(tǒng)承承受應(yīng)用層層DOS攻攻擊的服務(wù)務(wù)能力。（3）及時時發(fā)現(xiàn)WEEB 應(yīng)用用狀態(tài)異常常，迅速反反饋應(yīng)用服服務(wù)活動狀狀態(tài)，并選選擇最優(yōu)秀秀服務(wù)連接接。（4）支持持輪詢、最最小負(fù)載、請求URRL 及加加權(quán)等多種種均衡策略略，滿足各各種應(yīng)用環(huán)環(huán)境下的均均衡要求。（5）網(wǎng)站站主頁和WWEB應(yīng)用用防護(hù)系統(tǒng)統(tǒng)，需能分分別以獨立立方式及互互備方式部部署在不同同機房。二、網(wǎng)頁防防篡改解決方方案Web網(wǎng)站站和Webb應(yīng)用系統(tǒng)統(tǒng)除了采用用常見的網(wǎng)網(wǎng)絡(luò)安全設(shè)設(shè)備進(jìn)

13、行防防護(hù)外，需需要更有效的網(wǎng)網(wǎng)頁防篡改改系統(tǒng)來專專門對頁面面內(nèi)容進(jìn)行行保護(hù)，防防止來自外外部或內(nèi)部部的非授權(quán)權(quán)人員對頁頁面和內(nèi)容容進(jìn)行篡改改和非法添添加。2.1 技技術(shù)原理防篡改體系系除了Weeb服務(wù)器器外，另外外需部署發(fā)布服務(wù)務(wù)器：發(fā)布服務(wù)器器：位于內(nèi)內(nèi)網(wǎng)中，本本身處在相相對安全的的環(huán)境中，其其上部署發(fā)發(fā)布服務(wù)器器軟件。所所有網(wǎng)頁的的合法變更更（包括增增加、修改改、刪除、重命名）都都在發(fā)布服服務(wù)器上進(jìn)進(jìn)行。發(fā)布布服務(wù)器上上具有與WWeb服務(wù)務(wù)器上的網(wǎng)網(wǎng)頁文件完完全相同的的目錄結(jié)構(gòu)構(gòu)，發(fā)布服服務(wù)器上的的任何文件件/目錄的的變化都會會自動和立立即地反映映到Webb服務(wù)器的的相應(yīng)位置置上，文件件/

14、目錄變變更的方法法可以是任任意方式的的（例如：FTP、SFTPP、RCPP、NFSS、文件共共享等）。網(wǎng)頁變更更后，“發(fā)布服務(wù)務(wù)器軟件”將其同步步到Webb服務(wù)器上上。Web服務(wù)務(wù)器：位于于Inteernett/DMZZ中，本身身處在不安安全的環(huán)境境中，其上上部署Weeb服務(wù)器器端防篡改改模塊及內(nèi)內(nèi)容同步軟件模塊。防篡改系統(tǒng)統(tǒng)的運行原理：防篡改對所有網(wǎng)頁頁元素（包包括靜態(tài)頁頁面、動態(tài)態(tài)腳本、圖圖像文件、多媒體文文件以及所所有能以UURL形式式訪問的實實體）在發(fā)發(fā)布時進(jìn)行行128位位密鑰的HHMAC-MD5（RRFC21104）計計算，生成成唯一的、不可逆轉(zhuǎn)轉(zhuǎn)的和不可可偽造的數(shù)數(shù)字水印。瀏覽者請

15、求求訪問任一一網(wǎng)頁元素素時，篡改改檢測模塊塊（作為WWeb服務(wù)務(wù)器軟件的的一部分）讀讀出網(wǎng)頁元元素的內(nèi)容容重新計算算數(shù)字水印印，并與之之前存儲的的數(shù)字水印印進(jìn)行比對對，網(wǎng)頁元元素的任何何篡改都能能夠被可靠靠地計算出出來。防竊聽任何通信實實體（包括括發(fā)布服務(wù)務(wù)器和Weeb服務(wù)器器和控制臺）之之間采用工工業(yè)標(biāo)準(zhǔn)的的SSL33.0/TTLS1.0安全通通訊協(xié)議（RRFC22246），確確保網(wǎng)頁元元素文件和和數(shù)字水印印數(shù)據(jù)流在在通信過程程中不被黑黑客竊取和和分析。身份鑒別通信實體間間進(jìn)行強身身份鑒別。首先，WWeb服務(wù)務(wù)器要確保保上傳文件件的發(fā)布服服務(wù)器的身身份真實性性，不能接接受偽造的的發(fā)布服務(wù)務(wù)器

16、上傳的的文件；其其次，發(fā)布布服務(wù)器要要確保是在在與Webb服務(wù)器通通信，確保保發(fā)送的文文件能夠到到Web服服務(wù)器上。因此，雙雙方彼此都都進(jìn)了身份份鑒別。亦亦即：發(fā)布布服務(wù)器采采用客戶端端數(shù)字證書書與Webb服務(wù)器通通訊，同時時也驗證WWeb服務(wù)務(wù)器數(shù)字證證書的真實實性。2.2 部部署結(jié)構(gòu)目前，大部部分網(wǎng)站都都使用內(nèi)容容管理系統(tǒng)統(tǒng)（CMSS）來管理理網(wǎng)頁產(chǎn)生生的全過程程，包括網(wǎng)網(wǎng)頁的編輯輯、審核、簽發(fā)和合合成等。在在網(wǎng)站的網(wǎng)網(wǎng)絡(luò)拓?fù)渲兄?，發(fā)布服服務(wù)器部署署在原有的的內(nèi)容管理理系統(tǒng)和WWeb服務(wù)務(wù)器之間，下下圖表明三三者之間的的關(guān)系。發(fā)布服務(wù)器器上具有與與Web服服務(wù)器上的的網(wǎng)站文件件完全相同同的

17、目錄結(jié)結(jié)構(gòu)，任何何文件/目目錄的變化化都會自動動映射到WWeb服務(wù)務(wù)器的相應(yīng)應(yīng)位置上。網(wǎng)頁的合法法變更（包包括增加、修改、刪刪除、重命命名）都在在發(fā)布服務(wù)務(wù)器上進(jìn)行行，變更的的手段可以以是任意方方式的（例例如：FTTP、SFFTP、RRCP、NNFS、文文件共享等等）。網(wǎng)頁頁變更后，發(fā)發(fā)布服務(wù)器器將其同步步到Webb服務(wù)器上上。無論什什么情況下下，不允許許直接變更更Web服服務(wù)器上的的頁面文件件。下圖為防篡篡改系統(tǒng)的的邏輯部署署圖。若無無多余服務(wù)務(wù)器可供使使用，則發(fā)發(fā)布服務(wù)器器可與內(nèi)容容管理服務(wù)務(wù)器建構(gòu)在在同一服務(wù)務(wù)器上：2.3 系系統(tǒng)組成從邏輯上，防防篡改系統(tǒng)統(tǒng)由頁面保保護(hù)子系統(tǒng)統(tǒng)、自動發(fā)布

18、布子系統(tǒng)和和監(jiān)控管理理子系統(tǒng)組組成，三部部分的關(guān)系系如下圖所所示。發(fā)布服務(wù)器自動發(fā)布子系統(tǒng)（自動發(fā)布程序）管理和監(jiān)控子系統(tǒng)內(nèi)容管理系統(tǒng)（第三方軟件）Web服務(wù)器Web服務(wù)器軟件（第三方軟件）頁面保護(hù)子系統(tǒng)（應(yīng)用防護(hù)/篡改檢測）自動發(fā)布子系統(tǒng)（同步服務(wù)器）頁面保護(hù)子子系統(tǒng)頁面保護(hù)子子系統(tǒng)是系系統(tǒng)的核心心，內(nèi)嵌在在Web服服務(wù)器軟件件里（即前前述的核心心內(nèi)嵌模塊塊），包含含應(yīng)用防護(hù)護(hù)模塊和篡篡改檢測模模塊。應(yīng)用防護(hù)模模塊對每個個用戶的請請求進(jìn)行安安全性檢查查：如果正正常則發(fā)送送給Webb服務(wù)器軟軟件；如果果發(fā)現(xiàn)有攻攻擊特征碼碼，即刻中中止此次請請求并進(jìn)行行報警。篡改檢測模模塊對每個個發(fā)送的網(wǎng)網(wǎng)頁進(jìn)

19、行即即時的完整整性檢查：如果網(wǎng)頁頁正常則對對外發(fā)送；如果被篡篡改則阻斷斷對外發(fā)送送，并依照照一定策略略進(jìn)行報警警和恢復(fù)。對于Winndowss系統(tǒng)，頁頁面保護(hù)子子系統(tǒng)還包包括一個增增強型事件件觸發(fā)式檢檢測模塊，該該模塊駐留留于操作系系統(tǒng)內(nèi)核，阻阻止大部分分常規(guī)篡改改手段。自動發(fā)布子子系統(tǒng)自動發(fā)布子子系統(tǒng)負(fù)責(zé)責(zé)頁面的自自動發(fā)布，由由發(fā)送端和和接收端組組成：發(fā)送送端位于發(fā)發(fā)布服務(wù)器器上，稱之之為自動發(fā)發(fā)布程序，它它監(jiān)測到文文件系統(tǒng)變變化即進(jìn)行行計算該文文件水印，并并進(jìn)行SSSL發(fā)送；接收端位位于Webb服務(wù)器上上，稱之為為同步服務(wù)務(wù)器，它接接收到網(wǎng)頁頁和水印后后，將網(wǎng)頁頁存放在文文件系統(tǒng)中中，將水

20、印印存放在安安全數(shù)據(jù)庫庫里。所有有合法網(wǎng)頁頁的增加、修改和刪刪除都通過過自動發(fā)布布子系統(tǒng)進(jìn)進(jìn)行。監(jiān)控管理子子系統(tǒng)負(fù)責(zé)篡改后后自動恢復(fù)復(fù)，也提供供系統(tǒng)管理理員的使用用界面。其其功能包括括：手工上上傳、查看看警告、檢檢測系統(tǒng)運運行情況、修改配置置、查看和和處理日志志等。日志記錄所所有系統(tǒng)、發(fā)布、篡篡改檢測和和自動恢復(fù)復(fù)等信息，可可以分類分分日期查看看，并根據(jù)據(jù)管理員的的要求實現(xiàn)現(xiàn)轉(zhuǎn)儲。日日志記錄還還支持syyslogg，以實現(xiàn)現(xiàn)與安全管管理平臺的的接口。2.4 集集群與允余余部署Web站點點運行的穩(wěn)穩(wěn)定性是最最關(guān)鍵的，防防篡改系統(tǒng)統(tǒng)支持所有有部件的多多機工作和和熱備，可可以有多臺臺安裝了防防篡改模

21、塊塊和同步服服務(wù)軟件的的Web服服務(wù)器，也也可以有兩兩發(fā)布服務(wù)務(wù)器，避免免單點失效效問題，如如下圖所示。Web服務(wù)務(wù)器多機和和集群發(fā)布服務(wù)器器支持1對對多達(dá)644臺Webb服務(wù)器的的內(nèi)容同步步，這些WWeb服務(wù)務(wù)器的操作作系統(tǒng)、WWeb服務(wù)務(wù)器系統(tǒng)軟軟件、應(yīng)用用腳本及網(wǎng)網(wǎng)頁內(nèi)容既既可以相同同也可以不不同。本案案提供的解解決方案將將可實現(xiàn)異異種系統(tǒng)架架構(gòu)下對不不同內(nèi)容的的統(tǒng)一管理理。發(fā)布服務(wù)器器雙機支持發(fā)布服服務(wù)器雙機機協(xié)同工作作，即一臺臺主發(fā)布服服務(wù)器和一一臺熱備發(fā)發(fā)布服務(wù)器器。在這種種部署情形形下，內(nèi)容容管理系統(tǒng)統(tǒng)（CMSS）需要將將內(nèi)容同時時發(fā)布到兩兩臺發(fā)布服服務(wù)器上。正常狀態(tài)態(tài)下，主發(fā)發(fā)

22、布服務(wù)器器工作時，由它對對所有Weeb服務(wù)器器進(jìn)行內(nèi)容容同步。如如果熱備發(fā)發(fā)布服務(wù)器器運行失效（不影影響網(wǎng)站系系統(tǒng)運行），一旦在它修復(fù)后可以從主發(fā)布服務(wù)器恢復(fù)數(shù)據(jù)，進(jìn)入正常熱備狀態(tài)。主發(fā)布服務(wù)器如果失效（即不發(fā)心跳信號），熱備發(fā)布服務(wù)器會接管工作，由熱備服務(wù)器對所有Web服務(wù)器進(jìn)行內(nèi)容同步。當(dāng)主發(fā)布服務(wù)器修復(fù)后，兩機同時工作，經(jīng)過一段時間的數(shù)據(jù)交接時間，熱備發(fā)布服務(wù)器重新進(jìn)入熱備狀態(tài)。2.5 方方案特點2.5.11 篡改檢測測和恢復(fù)支持安全散散列檢測方方法；可檢測靜態(tài)態(tài)頁面/動動態(tài)腳本/二進(jìn)制實實體；支持對注入入式攻擊的的防護(hù)；網(wǎng)頁發(fā)布同同時自動更更新水印值值；網(wǎng)頁發(fā)送時時比較網(wǎng)頁頁和水印值值

23、；支持?jǐn)嗑€/連線狀態(tài)態(tài)下篡改檢檢測；支持連線狀狀態(tài)下網(wǎng)頁頁恢復(fù)；網(wǎng)頁篡改時時多種方式式報警；網(wǎng)頁篡改時時可執(zhí)行外外部程序或或命令；可以按不同同容器選擇擇待檢測的的網(wǎng)頁；支持增強型型事件觸發(fā)發(fā)檢測技術(shù)術(shù)；加密存放水水印值數(shù)據(jù)據(jù)庫；支持各種私私鑰的硬件件存儲；支持使用外外接安全密密碼算法。2.5.22 自動發(fā)布布和同步自動檢測發(fā)發(fā)布服務(wù)器器上文件系系統(tǒng)任何變變化；文件變化自自動同步到到多個Weeb服務(wù)器器；支持文件/目錄的增增加/刪除除/修改/更名；支持任何內(nèi)內(nèi)容管理系系統(tǒng)；支持虛擬目目錄/虛擬擬主機；支持頁面包包含文件；支持雙機方方式的冗余余部署；斷線后自動動重聯(lián)；上傳失敗后后自動重試試；使用S

24、SLL安全協(xié)議議進(jìn)行通信信；保證通信過過程不被篡篡改和不被被竊聽；通信實體使使用數(shù)字證證書進(jìn)行身身份鑒別；所有過程有有詳細(xì)的審審計。三、WEBB應(yīng)用防護(hù)護(hù)解決方案案從網(wǎng)頁應(yīng)用用程序?qū)用婷孢M(jìn)行安全全防護(hù)機制制：第一項計劃劃是，通過過網(wǎng)頁程序序代碼的安安全檢測，找找出潛在應(yīng)應(yīng)用程序的的編寫漏洞洞，提供開開發(fā)團(tuán)隊修修補建議，并并據(jù)以改寫寫修補。同同時為網(wǎng)頁頁應(yīng)用層防防火墻提供供防護(hù)規(guī)則則，做到內(nèi)內(nèi)外共同防防護(hù)；第二項計劃劃是，通過過網(wǎng)頁應(yīng)用用層防火墻墻軟件的部部署，與網(wǎng)網(wǎng)頁程序代代碼的安全全檢測互相聯(lián)動，為為在線運營營的網(wǎng)站立立即建立防防護(hù)，針對對各種應(yīng)用用層的攻擊擊進(jìn)行阻擋擋，建立起起網(wǎng)站從內(nèi)內(nèi)而

25、外的安安全防護(hù)體體系。3.1 當(dāng)當(dāng)前安全風(fēng)風(fēng)險分析越來越多的的案例表明明，網(wǎng)站的的安全問題題隨著各類類網(wǎng)絡(luò)技術(shù)術(shù)手段的不不斷進(jìn)步而而顯現(xiàn)出來來。截止到到目前，以以跨站腳本本攻擊、SSQL注入入攻擊為代代表的攻擊擊方式對傳傳統(tǒng)的防火墻+入侵防護(hù)護(hù)所組成的的網(wǎng)站安全全防線帶來來了極大的的沖擊；同同時由于新新的攻擊方方式的出現(xiàn)現(xiàn)，一旦網(wǎng)網(wǎng)站被入侵侵，輕則網(wǎng)網(wǎng)站被植入入惡意連結(jié)結(jié)或?qū)ο?，?dǎo)導(dǎo)致訪問用用戶的個人人電腦中毒毒或被植入入木馬；嚴(yán)嚴(yán)重的話，通通過網(wǎng)頁的的接口導(dǎo)致致客戶的信信息或交易易紀(jì)錄被入入侵，從而而面對的是是漫長的調(diào)調(diào)查、賠償償、法律責(zé)責(zé)任、甚至至訴訟。如如果被媒體體披露的話話，更會嚴(yán)嚴(yán)重

26、影響企企事業(yè)單位位的聲譽。網(wǎng)站安全風(fēng)風(fēng)險分析：項次大綱說明1沒有適當(dāng)機機制確認(rèn)目目前的網(wǎng)頁頁程序存在在哪些漏洞洞目前已在線線執(zhí)行的網(wǎng)網(wǎng)頁系統(tǒng)，是是幾年來不不斷開發(fā)與與累積的結(jié)結(jié)果。然而而新興的以以網(wǎng)頁應(yīng)用用程序為攻攻擊目標(biāo)的的攻擊模式式不斷被發(fā)發(fā)現(xiàn)，因此此當(dāng)前面臨臨的困難在在于:現(xiàn)有的開發(fā)發(fā)團(tuán)隊并非非全職的安安全專家，難難以保證編編寫出來的的程序代碼碼絕對不會會存在漏洞洞。在線的程序序代碼為數(shù)數(shù)眾多，如如果要逐條條人工檢視視，絕對力力有未逮，且且現(xiàn)有的開開發(fā)能力用用于全力開開發(fā)新的服服務(wù)與流程程改善，無無法投入足足夠的資源源用于檢測測舊的系統(tǒng)統(tǒng)漏洞。經(jīng)常性的發(fā)發(fā)生信息安安全事件，會會讓團(tuán)隊疲疲

27、于奔命。也花費大大量的資源源來進(jìn)行調(diào)調(diào)查與修復(fù)復(fù)。更不用用說后續(xù)延延伸出來的的商譽損失失、法律責(zé)責(zé)任、甚至至訴訟與賠賠償事宜。2網(wǎng)站的運營營者往往都都在網(wǎng)站遭遭受入侵與與惡意攻擊擊后通過外界反反應(yīng)才知道道當(dāng)黑客利用用時下Weeb APP的攻擊手手法，如CCrosss Sitte Sccriptt或SQL Injeectioon等方式式攻擊網(wǎng)站站，而網(wǎng)站站又剛好有有未知的漏漏洞被利用用，那么不不僅缺乏適適當(dāng)?shù)臋C制制可以立即即發(fā)現(xiàn)攻擊擊，更無法法達(dá)到防御御的效果。3法律責(zé)任的的沖擊企事業(yè)單位位有責(zé)任妥妥善保管的的客戶個人人信息，若若因網(wǎng)站被被入侵而導(dǎo)導(dǎo)致客戶信信息外泄，則則有可能必必須面對法法律責(zé)

28、任的的問題。4敏感信息顯顯示于網(wǎng)頁頁接口時，需需進(jìn)行屏蔽蔽，避免會會員信息外外泄針對如信用用卡卡號或或身分證字字號等敏感感信息，如如果需要在在網(wǎng)頁中顯顯示響應(yīng)給給使用者，則則需要進(jìn)行行屏蔽，將將中間字符符內(nèi)容取代代為x或*等符號，避避免使用者者的計算機機存在木馬馬或傳輸過過程被竊聽聽，而造成成信息外泄泄。然而現(xiàn)有的的系統(tǒng)已經(jīng)經(jīng)運作多年年，需要逐逐一檢視并并且修改，需需花費大量量的資源與與時間。5傳統(tǒng)IDSS/IPSS與防火墻墻，擋不住住也看不懂懂 Webb攻擊原本期望通通過IDSS/IPSS與防火墻墻來抵御黑黑客的攻擊擊。然而現(xiàn)現(xiàn)在的黑客客，再硬碰硬的進(jìn)防防火墻、入入侵偵測系系統(tǒng)或者修修補程序

29、可可以阻擋的的網(wǎng)絡(luò)型型攻擊或或者作業(yè)業(yè)平臺的攻攻擊。目目前超過 70% 成功的黑黑客攻擊，是針對 Webb 應(yīng)用程程序的弱弱點而是是操作系統(tǒng)統(tǒng)的弱點，而而且循著合合法身份從從Web 應(yīng)用系統(tǒng)統(tǒng)管道進(jìn)入入，因此原原先的防火火墻與入侵侵偵測系統(tǒng)統(tǒng)也束手無無策。6SSL加密密后的流量量，無法從從網(wǎng)絡(luò)端實實施入侵檢檢查與過濾濾因為運營的的是電子商商務(wù)服務(wù)，因因此為避免免使用者進(jìn)進(jìn)行交易的的過程中信信息被從中中竊聽，而而實施HTTTPS/SSL加加密，保障障傳輸過程程的安全。然而，這也也造成部署署網(wǎng)頁防入入侵機制時時的限制與與困擾。因因為如果使使用的使網(wǎng)網(wǎng)絡(luò)型的WWeb AAppliicatiion F

30、Firewwall機機制，SSSL加密后后的流量就就會無法進(jìn)進(jìn)行檢查，或或者要改變變現(xiàn)有SSLL加密的處處理流程。3.2 防防護(hù)計劃3.2.11 開發(fā)流程程中加入安安全性驗證證項目在軟件開發(fā)發(fā)流程中，擬擬規(guī)劃一套套系統(tǒng)化的的安全設(shè)計計流程，確確保網(wǎng)絡(luò)應(yīng)應(yīng)用程序的的安全。系系統(tǒng)發(fā)展生生命周期(Systtems Deveelopmment Lifee Cyccle,簡簡稱SDLLC)是大大部分信息息應(yīng)用系統(tǒng)統(tǒng)設(shè)計的參參考模型，即即一套應(yīng)用用程序軟件件的發(fā)展需需要歷經(jīng)分析、設(shè)計、建構(gòu)構(gòu)、測測試、系統(tǒng)維護(hù)護(hù)至下一一次的需求求產(chǎn)生，這這一周期就就是系統(tǒng)發(fā)發(fā)展生命周周期。安全全系統(tǒng)發(fā)展展生命周期期(Sec

31、curitty Syystemms Deeveloopmennt Liife CCyclee )便是是泛指在軟軟件開發(fā)生生命周期中中，應(yīng)考慮慮的信息安安全措施及及注意事項項。3.2.22 對網(wǎng)站程程序的源代代碼進(jìn)行弱弱點檢測建議導(dǎo)入自自動化網(wǎng)頁頁應(yīng)用程序序源代碼安安全檢測體體系。不可否認(rèn)的的，早期所所開發(fā)的應(yīng)應(yīng)用程序，皆皆以功能能性著眼眼，欠缺安全性的安全認(rèn)認(rèn)識與危機機意識，因因此在程序序編寫中較較少考慮到到安全性性的問題題，因此不不小心便導(dǎo)導(dǎo)致所開發(fā)發(fā)的 Weeb 應(yīng)用用系統(tǒng)漏洞洞百出，導(dǎo)導(dǎo)致 SQQL Innjecttion、緩沖區(qū)溢溢出（Buufferr-Oveerfloow）、跨跨網(wǎng)站

32、腳本本攻擊（CCrosss-Sitte Sccriptting）等等等 Weeb攻擊。信息安全全的相關(guān)領(lǐng)領(lǐng)域知識包包含操作作系統(tǒng)、開發(fā)工工具、網(wǎng)站平臺臺、程程序邏輯、程序序編譯、程序執(zhí)執(zhí)行以及及種種通訊訊協(xié)議原理理，并非程程序開發(fā)人人員的專業(yè)業(yè)領(lǐng)域，因因此如何快快速有效地地針對單位位內(nèi)現(xiàn)有與與未來開發(fā)發(fā)建設(shè)的 Web 應(yīng)用系統(tǒng)統(tǒng)進(jìn)行定期期或者不定定期檢驗其其可能的源源代碼弱點點與漏洞，需需要一套有有系統(tǒng)有效效率的WWeb 應(yīng)應(yīng)用系統(tǒng)原原代碼自動動檢測系統(tǒng)統(tǒng)，有助助于提早發(fā)發(fā)現(xiàn)并評估估風(fēng)險，提提早進(jìn)行源源代碼改寫寫與修補動動作。Web 應(yīng)應(yīng)用系統(tǒng)原原代碼自動動檢測系統(tǒng)統(tǒng)所提供的的服務(wù)特色色為：針

33、對程序源源代碼檢測測結(jié)果與報報告，提供供程序源代代碼弱點點深度分析析與弱弱點嚴(yán)重性性分析等等風(fēng)險高低低評估計分分與圖表，協(xié)協(xié)助程序開開發(fā)人員規(guī)規(guī)劃安排程程序源代碼碼弱點安全全問題修復(fù)復(fù)的優(yōu)先級級。清楚標(biāo)明程程序源代碼碼弱點安全全問題的結(jié)結(jié)果與源頭頭，協(xié)助開開發(fā)與項目目管理人員員了解程序序源代碼弱弱點安全問問題之發(fā)生生程序行數(shù)數(shù)與弱點來來源，必須須包含下列列信息：可與本案Web 應(yīng)用系統(tǒng)統(tǒng)安全防火火墻的安安全訪問策策略聯(lián)動，解解決復(fù)雜的的應(yīng)用防火火墻配置問問題。3.2.33 導(dǎo)入網(wǎng)頁頁應(yīng)用程序序漏洞列表表作為審計計項目開放網(wǎng)頁應(yīng)應(yīng)用程序安安全計劃(Openn Webb Appplicaation

34、n Seccuritty Prrojecct, 以以下簡稱OOWASPP)致力協(xié)協(xié)助企業(yè)和和政府機關(guān)關(guān)(構(gòu))能夠理解解和提高網(wǎng)網(wǎng)頁應(yīng)用程程序的安全全性，并關(guān)關(guān)注最嚴(yán)重重的漏洞。OWASSP于2010年年最新公布布的十大信信息安全漏漏洞(OWWASP Top 10)是一個個需要立刻刻處理的應(yīng)應(yīng)用程序安安全漏洞。這些安全全漏洞包括括：Crosss-Sitte Sccriptting（跨跨站腳本攻攻擊）。網(wǎng)網(wǎng)頁應(yīng)用程程序直接將將來自使用用者的執(zhí)行行請求送回回瀏覽器執(zhí)執(zhí)行，使得得攻擊者可可擷取使用用者的Coookiee或Sesssion數(shù)數(shù)據(jù)而能直直接登入成成使用者。Injecctionn Flaaw

35、：網(wǎng)頁頁應(yīng)用程序序執(zhí)行來自自外部包括括數(shù)據(jù)庫在在內(nèi)的惡意意指令，SSQL注入入,命令注入入等攻擊包包括在內(nèi)。Malicciouss Fille Exxecuttion：網(wǎng)頁應(yīng)用用程序引入入來自外部部的惡意檔檔案并執(zhí)行行檔案內(nèi)容容。Inseccure Direect OObjecct Reefereence：攻擊者利利用網(wǎng)頁應(yīng)應(yīng)用程序本本身的檔案案讀取功能能任意存取取檔案或重重要數(shù)據(jù)，案案例包括hhttp:/exxamplle/reead.pphp?ffile=./././././././c:boott.iniiCrosss-Sitte Reequesst Foorgerry (CCSRF):

36、已登登入網(wǎng)頁應(yīng)應(yīng)用程序的的合法使用用者執(zhí)行到到惡意的HHTTP指指令，但網(wǎng)網(wǎng)頁應(yīng)用程程序卻當(dāng)成成合法需求求處理，使使得惡意指指令被正常常執(zhí)行，案案例包括社社交網(wǎng)站分分享的 QQuickkTimee、Flassh影片中中藏有惡意意的HTTTP請求。Inforrmatiion LLeakaage aand IImprooper Erroor Haandliing：網(wǎng)網(wǎng)頁應(yīng)用程程序的執(zhí)行行錯誤訊息息包含敏感感數(shù)據(jù)，案案例包括:系統(tǒng)檔案案路徑Brokeen Auuthennticaationn andd Sesssionn Mannagemment：網(wǎng)頁應(yīng)用用程序中自自行編寫的的身份驗證證相關(guān)功能能有

37、缺陷。Inseccure Crypptogrraphiic Sttoragge：網(wǎng)頁頁應(yīng)用程序序沒有對敏敏感性數(shù)據(jù)據(jù)使用加密密、使用較較弱的加密密算法或?qū)⒚荑€儲存存在容易被被取得之處處。Inseccure Commmuniccatioon：沒有有在傳送敏敏感性數(shù)據(jù)據(jù)時使用HHTTPSS或其它加加密方式。Failuure tto Reestriict UURL AAccesss：某些些網(wǎng)頁因為為沒有權(quán)限限控制，使使得攻擊者者可通過網(wǎng)網(wǎng)址直接存存取，案例例包括允許許直接修改改Wikii或Blogg網(wǎng)頁內(nèi)容容。歸咎這些安安全漏洞的的根本原因因，乃在于于網(wǎng)頁應(yīng)用用程序本身身存在安全全漏洞，忽忽略應(yīng)該

38、注注意的函數(shù)數(shù)處理與防防范來自使使用者的惡惡意攻擊。倘若這些些安全漏洞洞在開發(fā)與與部署過程程沒有被檢檢測出來，則則日后就會會發(fā)生信息息安全事件件。利用Web 應(yīng)用系統(tǒng)統(tǒng)原代碼自自動檢測系系統(tǒng)所提供的的檢測服務(wù)務(wù)可事先發(fā)發(fā)現(xiàn)網(wǎng)站所所潛藏的上上述安全漏漏洞。3.2.44 部署Weeb應(yīng)用防防火墻進(jìn)行行防御導(dǎo)入網(wǎng)頁應(yīng)應(yīng)用程序防防火墻系統(tǒng)統(tǒng)的好處在在于：網(wǎng)站源代碼碼檢測階段段：在修補源代代碼中存在在的安全隱隱患之前（可可能因為開開發(fā)團(tuán)隊變變更、服務(wù)務(wù)無法暫停停等原因暫暫時無法對對安全隱患患進(jìn)行修補補），則依依靠網(wǎng)頁應(yīng)應(yīng)用程序防防火墻系統(tǒng)統(tǒng)提供Weeb應(yīng)用安安全防護(hù)，從從而保證網(wǎng)網(wǎng)站應(yīng)用的的安全性；網(wǎng)站

39、安全加加固階段：可以將網(wǎng)頁頁應(yīng)用程序序源代碼安安全檢測系系統(tǒng)檢測出出的安全問問題自動直直接生成網(wǎng)網(wǎng)頁應(yīng)用程程序防火墻墻系統(tǒng)所需需使用的安安全防護(hù)規(guī)規(guī)則（Acccesss Pollicy），使使得網(wǎng)頁應(yīng)應(yīng)用程序源源代碼安全全檢測系統(tǒng)統(tǒng)與網(wǎng)頁應(yīng)應(yīng)用程序防防火墻系統(tǒng)統(tǒng)產(chǎn)生互相相聯(lián)動，從從而做到網(wǎng)網(wǎng)站應(yīng)用安安全的自動動化防護(hù)。通過網(wǎng)頁應(yīng)應(yīng)用程序防防火墻的部部署，讓訪訪問者對網(wǎng)網(wǎng)站的請求求，以及網(wǎng)網(wǎng)站預(yù)計響響應(yīng)給訪問問者的顯示示網(wǎng)頁，都都經(jīng)過WWeb 應(yīng)應(yīng)用系統(tǒng)安安全防火墻墻全程檢檢查與檢視視其安全全性、合法性與正確確性，如如有任何非法行為為，自動動阻斷非非法行為或者重重置合法與與合適的響響應(yīng)，讓讓使用

40、者者與系系統(tǒng)管理者者都可以以繼續(xù)安安心的運運作。Web 應(yīng)用系統(tǒng)統(tǒng)安全防火火墻部署署架構(gòu)如下下圖：3.3WWEB應(yīng)用用防火墻功功能3.3.11 集中管控控功能同一解決方方案除了提提供硬件式式應(yīng)用防護(hù)護(hù)設(shè)備外，可可依實際需需求選擇將將軟件式應(yīng)應(yīng)用防火墻墻系統(tǒng)安裝裝于Webb服務(wù)器主主機上，不不需要調(diào)整整網(wǎng)絡(luò)與系系統(tǒng)架構(gòu)。支持【集中中叢集控管管(Cluusterr Mannagemment)】方式，通通過統(tǒng)一集集中管理接接口，同時時管理與安安全防護(hù)規(guī)規(guī)則部署多多臺Weeb 應(yīng)用用系統(tǒng)軟件件式防火墻墻系統(tǒng)。支持集群內(nèi)內(nèi)各臺WWeb 應(yīng)應(yīng)用系統(tǒng)軟軟件式防火火墻系統(tǒng)運行狀態(tài)態(tài)，如有異異常，立即即顯示。具

41、備多管理理者、多網(wǎng)網(wǎng)站群組的的權(quán)限管理理能力，提提供讓特定定管理者管管理特定網(wǎng)網(wǎng)站群組安安全防護(hù)規(guī)規(guī)則的能力力內(nèi)建Weeb 應(yīng)用用系統(tǒng)軟件件式防火墻墻系統(tǒng)紀(jì)紀(jì)錄查詢與與查看工具具，方便實實時分析，提提供多重條條件過濾查查詢功能，無無須額外購購置審計報報表分析工工具。提供符合法法規(guī)遵循角角度需求的的審計紀(jì)錄錄，詳細(xì)紀(jì)紀(jì)錄系統(tǒng)的的操作與變變更，方便便審計人員員查驗。提供統(tǒng)計報報表能力，提提供多種預(yù)預(yù)設(shè)統(tǒng)計圖圖表，支持持自定義設(shè)設(shè)定分析范范圍與時間間區(qū)段，產(chǎn)產(chǎn)生滿足單單位需求與與法規(guī)遵循循要求的報報表。提供直接過過濾防護(hù) SSL加加密網(wǎng)頁的的機制，安安裝部署時時，不需要要更改 SSSL 密密鑰存放位

42、位置，避免免密鑰管理理的額外問問題。3.3.22 防護(hù)功能可防御下列列19大類(含)以上網(wǎng)頁頁攻擊型態(tài)態(tài)，超過110,0000種(含)以上網(wǎng)頁頁攻擊方法法。支持下列OOWASPP Topp 10十十大網(wǎng)頁應(yīng)應(yīng)用程序弱弱點的攻擊擊模式。提供輸入入驗證(IInputt Vallidattion)處理機機制，提供供黑名單或或者白名單單方式驗證證使用者輸輸入內(nèi)容數(shù)數(shù)據(jù)的類型型、范圍、格式與長長度。提供客戶戶端瀏覽器器存取權(quán)限限的管理理能力，可可以限制存存取網(wǎng)站的的客戶端IIP地址、使用的瀏瀏覽器版本本、網(wǎng)頁開開放存取的的時間范圍圍 以及SSLL加密的強強度等等存存取條件。提供網(wǎng)頁頁存取身份份驗證(AA

43、utheenticcatioon)處處理機制，讓讓缺乏賬號號密碼等權(quán)權(quán)限管理的的網(wǎng)頁具備備身份驗證證能力。提供網(wǎng)頁頁存取安全全會話(SSecurre Seessioon)處處理機制，保保護(hù)客戶端端瀏覽器CCookiie的安全全使用，降降低 Coookiee 外泄的的機率。提供網(wǎng)頁頁上傳下載載雙向過濾濾保護(hù)功功能，通過過關(guān)鍵詞過過濾網(wǎng)站惡惡意內(nèi)容或或不當(dāng)文字字，或是防防止機敏數(shù)數(shù)據(jù)外泄。針對網(wǎng)頁敏敏感信息，例例如：信用用卡信息、身份證號號等隱私數(shù)數(shù)據(jù)，提供供自動屏屏蔽(Auuto MMask/XXX)功能機機制，避免免單位機密密數(shù)據(jù)或者者個人隱私私外泄。提供反釣釣魚(Annti-PPhishhi

44、ng)功能，可可通過黑、白或灰名名單方式限限制釣魚網(wǎng)網(wǎng)站引用主主網(wǎng)站的內(nèi)內(nèi)容。通過 Reefereence Checckingg 強制網(wǎng)網(wǎng)站的使用用方式，防防止網(wǎng)站內(nèi)內(nèi)容遭受未未經(jīng)合法授授權(quán)的強強迫瀏覽或者盜盜連。內(nèi)建安全全防護(hù)規(guī)則則設(shè)定向向?qū)?，根?jù)據(jù)實際需求求與環(huán)境提提供彈性與與自定義安安全防護(hù)規(guī)規(guī)則的設(shè)定定功能。提供安全防防護(hù)規(guī)則集集的版本本管理機機制，并且且支持版版本回溯(Rolllbackk)功能能。支持人工智智能安全防防護(hù)規(guī)則學(xué)習(xí)模式式，提供供網(wǎng)站系統(tǒng)統(tǒng)安全防護(hù)護(hù)規(guī)則設(shè)定定的建議。支持下列操操作系統(tǒng)：Winddows、Linuux 與 Uniix-Liike 作作業(yè)系統(tǒng)可與Weeb

45、應(yīng)用用系統(tǒng)源代代碼自動檢檢測系統(tǒng)所生成的的安全防護(hù)規(guī)規(guī)則聯(lián)動。3.4 預(yù)預(yù)期效益通過Weeb應(yīng)用系系統(tǒng)安全防防火墻與與網(wǎng)站源源代碼弱點點檢測的的部署與導(dǎo)導(dǎo)入，預(yù)期期達(dá)到的效效益與目標(biāo)標(biāo)：。對在線運作作的網(wǎng)站應(yīng)應(yīng)用程序進(jìn)進(jìn)行防護(hù)，降降低被黑風(fēng)風(fēng)險：通過網(wǎng)頁應(yīng)應(yīng)用程序防防火墻的部部署，讓使使用者對網(wǎng)網(wǎng)站的請求求，以及網(wǎng)網(wǎng)站預(yù)計響響應(yīng)給使用用者的顯示示網(wǎng)頁，都都經(jīng)過WWeb 應(yīng)應(yīng)用系統(tǒng)安安全防火墻墻全程檢檢查與檢視視其安全全性、合法性與正確確性，如如有任何非法行為為，自動動阻斷非非法行為或者重重置合法與與合適的響響應(yīng)，讓讓使用者者與系系統(tǒng)管理者者都可以以繼續(xù)安安心的運運作。在網(wǎng)站程序序漏洞被黑黑客利

46、用前前，即可進(jìn)進(jìn)行修補，以以治本方式式根除漏洞洞：利用網(wǎng)站站程序的源源代碼弱點點檢測系統(tǒng)統(tǒng)，可例例行對在線線運作的網(wǎng)網(wǎng)站程序源源代碼進(jìn)行行掃描與檢檢測，以清清楚存在哪哪些已知的的弱點與漏漏洞，并計計劃性的依依據(jù)嚴(yán)重度度進(jìn)行修補補改寫，以以根除這些些漏洞，提提高網(wǎng)站的的安全性。培養(yǎng)開發(fā)團(tuán)團(tuán)隊編寫高高安全性的的網(wǎng)頁程序序代碼與安安全網(wǎng)站能能力：藉由網(wǎng)站源源代碼的掃掃描報告解解讀與程序序代碼修正正程序。讓讓開發(fā)團(tuán)隊隊的程序開開發(fā)人員，熟熟悉高安全全性的網(wǎng)頁頁程序的編編寫方法，進(jìn)進(jìn)而養(yǎng)成良良好的編寫寫與測試習(xí)習(xí)慣。四、內(nèi)容分分發(fā)網(wǎng)絡(luò)解解決方案4.1 內(nèi)內(nèi)容分發(fā)網(wǎng)網(wǎng)絡(luò)簡介內(nèi)容分發(fā)網(wǎng)網(wǎng)絡(luò)（CDDN, CC

47、onteent DDistrributtion Netwwork）服務(wù)=智能的網(wǎng)站鏡像+頁面緩存+流量導(dǎo)流。CDN所做做的，就是是為互聯(lián)網(wǎng)網(wǎng)上的內(nèi)容容提供EMMS 服務(wù)務(wù)，在最正正確的時間間用最正確確的手段，把把最正確的的內(nèi)容，推推送到最正正確的地點點（訪問客戶），能能夠幫助用用戶解決分分布式存儲儲、負(fù)載均均衡、網(wǎng)絡(luò)絡(luò)請求的重重定向和網(wǎng)網(wǎng)站內(nèi)容管管理等問題題。其目的是是通過在現(xiàn)現(xiàn)有的Innternnet 中中增加一層層新的網(wǎng)絡(luò)絡(luò)架構(gòu)，將將網(wǎng)站的內(nèi)內(nèi)容發(fā)布到到最接近用用戶的網(wǎng)絡(luò)絡(luò)“邊緣”，使網(wǎng)站訪訪問用戶可可以就近取取得所需的的網(wǎng)頁內(nèi)容，解解決 Innternnet網(wǎng)絡(luò)絡(luò)擁塞狀況況、提高用用戶訪

48、問網(wǎng)網(wǎng)站的響應(yīng)應(yīng)速度。從從技術(shù)全面面解決由于于網(wǎng)絡(luò)帶寬寬小、用戶戶訪問量大大、網(wǎng)點分分布不均而而產(chǎn)生的用用戶訪問網(wǎng)網(wǎng)站響應(yīng)速速度慢的根根本原因。CDN 網(wǎng)網(wǎng)絡(luò)營造了了一個網(wǎng)絡(luò)絡(luò)運營環(huán)境境，不僅能能夠提供以以網(wǎng)絡(luò)加速速為基礎(chǔ)的的系列服務(wù)務(wù)，包括針針對網(wǎng)頁、流媒體、文件傳輸輸、文件播播放等內(nèi)容容提供加速速，還能提提供一些相相關(guān)的增值值服務(wù)以更更有效地滿滿足客戶在在這些應(yīng)用用方面的需需求。4.2 CDN服服務(wù)功能眾所周知，互互聯(lián)網(wǎng)的訪訪問速度取取決于眾多多的因素，包包括Intterneet網(wǎng)絡(luò)傳傳輸質(zhì)量、國內(nèi)南北北互聯(lián)互通問題題、網(wǎng)站服服務(wù)器性能能、網(wǎng)站出出口帶寬、網(wǎng)頁程架架構(gòu)和網(wǎng)頁頁內(nèi)容類型型等等

49、。CCDN網(wǎng)頁頁加速產(chǎn)品品采用全球球智能域名名解析系統(tǒng)統(tǒng)和高速緩緩存等專業(yè)業(yè)技術(shù)，通通過遍布全全球的CDDN 網(wǎng)絡(luò)絡(luò)把網(wǎng)頁內(nèi)內(nèi)容分發(fā)到到離網(wǎng)民最最近的邊緣緣節(jié)點上，繞繞過國內(nèi)以以及跨國的的傳輸擁塞塞影響，突突破源站出出口帶寬和和性能屏障障，訪問用用戶可以從從最適合的的節(jié)點上獲獲得所需的的內(nèi)容，從從而提高網(wǎng)網(wǎng)站的訪問問速度和質(zhì)質(zhì)量。CDN 網(wǎng)頁加速速產(chǎn)品支持持SSL 加密，網(wǎng)網(wǎng)頁壓縮，防防盜鏈等功功能：網(wǎng)頁壓縮功功能：支持網(wǎng)站本本身的壓縮縮功能，同同時能夠幫幫助未實現(xiàn)現(xiàn)壓縮功能能的網(wǎng)站提提供壓縮服服務(wù)，通過過壓縮數(shù)據(jù)據(jù)大小的改改變，減少少數(shù)據(jù)傳輸輸?shù)臅r間，節(jié)節(jié)省傳輸?shù)牡膸挘故鬼撁骘@示示速度自

50、然然提高。防盜鏈功能能：基于時間或或者用戶IIP 對URL 進(jìn)行加密密和驗證，幫幫助網(wǎng)站防防止盜鏈現(xiàn)現(xiàn)象。地域化內(nèi)容容服務(wù)功能能：根據(jù)訪問用用戶的地域域不同，將將用戶的訪訪問請求分分配到相應(yīng)應(yīng)的CDNN 節(jié)點上上進(jìn)行響應(yīng)應(yīng)，從而為為來自不同同地域用戶戶提供針對對該地域投投放的特色色內(nèi)容，使使得網(wǎng)站內(nèi)內(nèi)容更加有有針對性，實實現(xiàn)個性化化服務(wù)。4.3CCDN服務(wù)務(wù)特點安全的分發(fā)發(fā)內(nèi)容CDN 節(jié)節(jié)點前端都都有可以抵抵御幾十萬萬級別DDDoS 攻擊的的設(shè)備，智智能的全域域負(fù)載均衡衡系統(tǒng)會根根據(jù)攻擊路路線改變用用戶訪問目目的地，保保障用戶訪訪問不受攻攻擊影響。在整個分分發(fā)網(wǎng)絡(luò)中中除了網(wǎng)絡(luò)絡(luò)層有加密密校驗機

51、制制，分發(fā)的的文件會攜攜帶特定的的加密碼，在在傳送到最最終目的地地后進(jìn)行校校驗完畢后后確認(rèn)文件件在傳輸過過程中沒有有缺失和修修改，返回回給中央分分發(fā)服務(wù)系系統(tǒng)安全到到達(dá)的信息息，且服務(wù)務(wù)器采用專專有OS 架構(gòu)，即即使遭到攻攻擊黑客也也無法篡改改用戶內(nèi)容容，保證分分發(fā)內(nèi)容的的安全性和和完整性。完善的日志志分析完善的日志志分析功能能，可以根根據(jù)用戶個個性需求，制制定多重樣樣式的日志志分析報告告，包括用用戶訪問行行為分析、用戶來源源地分析、網(wǎng)站點擊擊率分析等等。并可以以提供自動動報表生成成。網(wǎng)站流量及及時報告提供在線的的瀏覽訪問問量接口，使使用戶隨時時了解網(wǎng)站站運轉(zhuǎn)狀況況。網(wǎng)站異常告告警當(dāng)網(wǎng)站發(fā)生生

52、非正常訪訪問量激增增或網(wǎng)站源源不可達(dá)時時，會及時時發(fā)送EMMAIL到到用戶信箱箱告知狀況況并及時電電話通知，使使得網(wǎng)站安安全可靠。網(wǎng)站鏡像可以提供用用戶網(wǎng)站異異地鏡像功功能，保證證源站發(fā)生生狀況后，可可以借用CCDN節(jié)點點上的網(wǎng)站站為用戶提提供暫時的的頁面訪問問服務(wù)。網(wǎng)站頁面訪訪問性能優(yōu)優(yōu)化降低源站對對高帶寬的的需求，并并減低源站站服務(wù)器的的訪問壓力力。五、負(fù)載均均衡解決方方案CDN服務(wù)務(wù)為訪問用用戶提供更更快的網(wǎng)站站訪問速度度，并降低低源站的訪訪問壓力。而源站本本地則可以以采用服務(wù)務(wù)器負(fù)載均均衡（SLLB, SServeer Looad BBalannce）技技術(shù)方案進(jìn)進(jìn)一步降低低源站的訪訪

53、問中斷風(fēng)風(fēng)險。更完完善的負(fù)載載均衡方案案是采用廣廣域負(fù)載均均衡（GLLSB, Globbal SServeer Looad BBalannce）技技術(shù)為應(yīng)用用網(wǎng)站提供供不同地域域的主用/備用用站點架構(gòu)，5.1 服服務(wù)器負(fù)載載均衡如上圖示，假假設(shè)在Innternnet 上上提供兩個個服務(wù)，分分別為Woorld Widee Webb 服務(wù)(1992.1668.100.1)與與E-coommerrce 服服務(wù)(1992.1668.100.2)，而而今我們在在防火墻與與交換機之之間加入了了SLB，此此設(shè)備在OOSI/IISO 七七層架構(gòu)中中屬于三到到七層的設(shè)設(shè)備，因此此可以整合合不同平臺臺、新舊不不同

54、的服務(wù)務(wù)器，另外外、服務(wù)器器也由一臺臺增加至三三臺，我們們稱為服務(wù)務(wù)器農(nóng)場(Servver FFarm), 并且且將原本屬屬于服務(wù)器器的IP 地址移到到SLB 設(shè)備上，對對使用者而而言依然是是存取此IIP 上的的服務(wù)，沒沒有改變。因此，必必須指定另另外一個網(wǎng)網(wǎng)段的IPP 給原來來的服務(wù)器器使用。此此時，SLLB 設(shè)備備除對外提提供服務(wù)，對對內(nèi)做到下下列的功能能： 網(wǎng)絡(luò)地址轉(zhuǎn)轉(zhuǎn)換(Neetworrk Adddresss Trransllatioon, NNAT)：利用此技術(shù)術(shù)將內(nèi)部的的虛擬IPP 對應(yīng)到到外部的真真實IP(視提供的的服務(wù)而定定，在此例例中有二個個IP 需做做NAT)，如此一一來便

55、可以以解決用一一個IP 來代替許許多不同的的IP 的問問題。有效分配負(fù)負(fù)載流量：如何將由IInterrnet 上的流量量分配到后后端的服務(wù)務(wù)器上，其其中包含了了那一臺服服務(wù)器該負(fù)負(fù)責(zé)較多的的工作，或或是一視同同仁的照次次序分配而而不考慮效效能等因素素，我們稱稱為負(fù)載平平衡模式(Loadd Ballancee Modde)。Healtth chheck 機制：為了使SLLB 設(shè)備備可以有效效掌控后端端服務(wù)器的的狀況，必必須定期自自動檢查服服務(wù)器的運運作情形，以以免發(fā)生將將使用者數(shù)數(shù)據(jù)請求引引導(dǎo)至發(fā)生生故障或是是過于忙碌碌的服務(wù)器器上的情形形。Fail-Overr 機制：一旦SLBB 架構(gòu)建建置完

56、成，SLB 設(shè)備便成為非常重要的一個網(wǎng)絡(luò)節(jié)點。一旦發(fā)生故障，整個服務(wù)便會中斷，因此備援是非常重要的課題，理想的備援機制是在完全不影響使用者的前提下完成取代故障設(shè)備并提供服務(wù)的工作，一般我們也稱之為高可靠度(High Availability)。5.2 廣廣域負(fù)載均均衡廣域負(fù)載均均衡（GSSLB，GGlobaal Seerverr Loaad Baalancce）是一一種將SLLB的概念念擴展到廣廣域范圍的的技術(shù)，與與SLB在在一個單獨獨的節(jié)點上上為一組服服務(wù)器提供供負(fù)載均衡衡服務(wù)不同同，GSLLB提供了了一種對多多個不同地域的的服務(wù)器群群(多個節(jié)節(jié)點)提供供負(fù)載均衡衡的服務(wù)，在在實現(xiàn)上可可以分

57、為兩兩個方面，一一方面是如如何實現(xiàn)將將用戶的請請求指向到到選定的節(jié)節(jié)點上，一一方面是研研究如何確確定最佳的的站點。GGSLB服服務(wù)可以對對分布在不不同地域的的多個源站站服務(wù)器群群提供廣域域負(fù)載均衡衡服務(wù)，采采用DNSS解析的方方式來實現(xiàn)現(xiàn)用戶訪問問重定向，同同時采用智智能策略確確定最佳源源站點，提提高了服務(wù)務(wù)的可用性性和系統(tǒng)性性能。原理說明：廣域負(fù)載載均衡在DDNS解析析階段實現(xiàn)現(xiàn)：1）客戶端端針對一個個域名（DDomaiin）發(fā)送送一個DNNS請求。2）廣域負(fù)負(fù)載均衡由由一系列算算法返回一一個最優(yōu)ssite的的IP（延延時最小、距離最近近等）。3）客戶端端向此IPP發(fā)起連接接請求。4）當(dāng)客戶

58、戶端向某IIP發(fā)起訪訪問連接請請求時，執(zhí)執(zhí)行（本地地）服務(wù)器器負(fù)載均衡衡（SLBB），負(fù)載均衡衡設(shè)備根據(jù)據(jù)最優(yōu)算法法選擇服務(wù)務(wù)器和相應(yīng)應(yīng)的服務(wù)轉(zhuǎn)轉(zhuǎn)發(fā)請求，如如上圖所示。5.3 關(guān)關(guān)鍵功能和和特點Web交換換完全支持UURL交換換，根據(jù)UURL和HHTTP信信息分配流流量。每個個 URLL 都可以以重定向到到某服務(wù)器器，或在多多個服務(wù)器器之間進(jìn)行行負(fù)載均衡衡，從而提提供優(yōu)化的的Web交換換性能。根根據(jù)URLL文本中包包含的信息息，可以保保持客戶持持續(xù)性，從從而保證內(nèi)內(nèi)容的個性性化。通過負(fù)載均均衡優(yōu)化服服務(wù)器資源源支持的負(fù)載載均衡演算算法至少包包含，輪詢 (CCycliic)最少用戶數(shù)數(shù) (Lee

59、ast userrs)最少數(shù)據(jù)包包數(shù) (LLeastt paccketss)最少字節(jié)數(shù)數(shù) (Leeast bytees)最快回應(yīng)時時間 (FFasteed Reesponnse TTime) SNMP定定制 (SSNMP custtomizzed)健康狀況檢檢查可以監(jiān)視服服務(wù)器在IIP、TCCP、UDDP、應(yīng)用用和內(nèi)容等等所有協(xié)議議層上的工工作狀態(tài)。如果發(fā)現(xiàn)現(xiàn)故障，訪訪問用戶即即被透明地地重定向到到正常工作作的服務(wù)器器上。完全的容錯錯與冗余雙機備援架架構(gòu)方式提提供設(shè)備間間的完全容容錯，以確確保網(wǎng)絡(luò)最最大的可用用性。兩個個設(shè)備通過過網(wǎng)絡(luò)相互互檢查各自自的工作狀狀態(tài)，為其其所管理的的應(yīng)用保障障完全

60、的網(wǎng)網(wǎng)絡(luò)可用性性。它們可可工作于主用-備備用模式或主用-主主用模式，在在主用-主主用模式下，因因為兩個設(shè)設(shè)備都處于于工作狀態(tài)態(tài)，從而最最大限度地地保護(hù)了投投資。并且且所有的訪訪問會話信信息都可在在設(shè)備間進(jìn)進(jìn)行鏡像，從從而提供透透明的冗余余和完全的的容錯，確確保在任何何時候用戶戶都可以獲獲得網(wǎng)站訪訪問的最佳佳服務(wù)。通過正常退退出服務(wù)保保證穩(wěn)定運運行當(dāng)需要進(jìn)行行服務(wù)器升升級或系統(tǒng)統(tǒng)維護(hù)時，負(fù)載均衡設(shè)備可保證穩(wěn)定的服務(wù)器退出服務(wù)以避免網(wǎng)站訪問中斷。當(dāng)選定某臺服務(wù)器要退出負(fù)載均衡服務(wù)后，新的訪問連接將不會被指向該服務(wù)器。應(yīng)用安全DDoS保保護(hù)：識別和保保護(hù)應(yīng)用基基礎(chǔ)架構(gòu)不不受DoSS/DDooS攻擊。