國際知名Web應(yīng)用安全組織OWASP在11月8日-9日在中國北京國際會(huì)議中心召開OWASP 2011亞洲峰會(huì)，各行業(yè)的CIO/CTO/CSO代表和國內(nèi)外知名的應(yīng)用安全專家、廠商代表均有參與。

大會(huì)上有多家安全公司在展示自己的網(wǎng)站安全解決方案，在經(jīng)過一個(gè)展臺(tái)時(shí)，我們突然發(fā)現(xiàn)有一家Web應(yīng)用防火墻廠商推出了免部署的線上解決方案——SafeHTTP“網(wǎng)站衛(wèi)士”。

以往的網(wǎng)站安全方案，都是將安全設(shè)備或安全軟件部署到企業(yè)內(nèi)部或企業(yè)自己的Web服務(wù)器上，通過漏洞掃描器、WAF、IPS一類的產(chǎn)品檢測和防護(hù)Web站點(diǎn)。作為買賣雙方，完全可以一錘子買賣，即“購買——安裝——用戶自己維護(hù)”模式。當(dāng)然，比較靠譜的廠商基本都會(huì)提供售后支持。

SafeHTTP“網(wǎng)站衛(wèi)士”此時(shí)推出的這個(gè)解決方案卻是“租賃——用戶免維護(hù)”模式。所有的漏洞升級(jí)、防攻擊特征、惡意代碼過濾都由SafeHTTP“網(wǎng)站衛(wèi)士”的云平臺(tái)搞定。采用PaaS平臺(tái)即服務(wù)的模式，無縫即時(shí)。用戶只需將DNS地址解析到SafeHTTP“網(wǎng)站衛(wèi)士”，然后遞交域名和網(wǎng)站信息待其生效，即可安枕無憂的享受自來水式的網(wǎng)站安全服務(wù)。而且在SLA協(xié)議的保護(hù)下，任何網(wǎng)站安全風(fēng)險(xiǎn)都將由服務(wù)提供商承擔(dān)。

基本上采用這類解決方案后，就不用整天盯著防火墻和漏洞掃描器了。

這類PaaS模式的安全方案有什么好處？

實(shí)時(shí)的web惡意流量過濾，

降低服務(wù)器負(fù)載，降低宕機(jī)風(fēng)險(xiǎn)

加速訪問響應(yīng)

減少數(shù)據(jù)被盜

豐富的報(bào)告

5分鐘搞定實(shí)施

無硬件投資，節(jié)約開支

無代碼變動(dòng)專業(yè)的服務(wù)團(tuán)隊(duì)

額外的好處：網(wǎng)站加速
 

SafeHTTP“網(wǎng)站衛(wèi)士”原理

 
在問到SafeHTTP“網(wǎng)站衛(wèi)士”背后的技術(shù)儲(chǔ)備時(shí)，SafeHTTP李松表示：“安信華本身就是WAF設(shè)備廠商，一直向客戶提供高性能的WEB安全設(shè)備，目前，有超過一萬多個(gè)站點(diǎn)正在得到保護(hù)?，F(xiàn)在做這個(gè)‘云WAF’，技術(shù)上沒有問題。而且這對(duì)中小型客戶來說是一種極具吸引力的解決方案。”

[[51412]]

OWASP 2011會(huì)場上的 SafeHTTP總經(jīng)理 李松

誰比較適合用這種服務(wù)？

“云WAF”的客戶群，像門戶網(wǎng)站那種有技術(shù)和人員儲(chǔ)備的公司肯定不需要。主要的客戶對(duì)象還是網(wǎng)站帶寬在100M以內(nèi)的。帶寬100M以上的客戶完全可以購買WAF硬件設(shè)備或者自己搞一套防護(hù)方案。

說細(xì)一點(diǎn)，不同類型，不同規(guī)模的網(wǎng)站都在面臨各類威脅的挑戰(zhàn)，大型網(wǎng)站通常都有專門的團(tuán)隊(duì)解決各類安全問題，如果您的網(wǎng)站不是這種大型網(wǎng)站，都在SafeHTTP服務(wù)范圍。

SafeHTTP“網(wǎng)站衛(wèi)士”根據(jù)網(wǎng)站的位置將客戶分為三類：

1、網(wǎng)站在公司內(nèi)部，通過簡單的DNS調(diào)整就可以得到SafeHTTP的服務(wù)。

2、虛擬主機(jī)有兩個(gè)不同選擇，可以簡單改變DNS得到SafeHTTP的服務(wù)，另外SafeHTTP也在同主流虛擬主機(jī)服務(wù)商展開合作，在他們的IDC里面部署服務(wù)。

3、網(wǎng)站的IDC機(jī)房，SafeHTTP正在同主流IDC合作，把SafeHTTP的服務(wù)在他們機(jī)房里面開展，現(xiàn)在只需要注冊(cè)，我們就會(huì)優(yōu)先同您的IDC合作。

SafeHTTP李松表示：“我們的目標(biāo)是小網(wǎng)站，大安全；而且不只是安全，我們還會(huì)為企業(yè)的網(wǎng)站提供增值服務(wù)，借此網(wǎng)站客戶的高層以及管理員可以更了解自己的網(wǎng)站。在中國主流的IDC機(jī)房，我們的設(shè)備會(huì)分布部署，‘網(wǎng)站衛(wèi)士’是你身邊的網(wǎng)站安全服務(wù)。”

PaaS網(wǎng)站安全業(yè)務(wù)被業(yè)內(nèi)看好

據(jù)悉，這類新型的PaaS網(wǎng)站安全業(yè)務(wù)出現(xiàn)后，多家安全公司已開始籌備“云WAF”租賃業(yè)務(wù)，對(duì)此李松表示，已經(jīng)做好了“持久戰(zhàn)”的準(zhǔn)備。在問起對(duì)PaaS安全這個(gè)行業(yè)的發(fā)展預(yù)估時(shí)，李松果斷的說道：“用戶對(duì)Web安全的需求日益迫切，企業(yè)的發(fā)展前景清晰可見。”

后記：

在本屆OWASP 2011亞洲峰會(huì)上，我們發(fā)現(xiàn)以往沒有推出過專門Web安全產(chǎn)品的傳統(tǒng)安全公司也都紛紛推出了各具特色的Web應(yīng)用安全產(chǎn)品。應(yīng)對(duì)目前越來越狡猾，越來越具破壞力的黑客攻擊手段，人們勢必需要更快響應(yīng)時(shí)間和更專業(yè)的安全服務(wù)。有位OWASP演講嘉賓的話說的好——“不要再拿著刀去對(duì)付持槍的人”。