1、Web應(yīng)用安全現(xiàn)柳暗花明勢(shì)頭2010年，在所有與黑客攻擊有關(guān)的活動(dòng)中，92%的涉及數(shù)據(jù)泄露的事件均是利用了網(wǎng)絡(luò)應(yīng)用層的漏洞。在今年的OWASP中國(guó)峰會(huì)上，F(xiàn)orresterResearch首席分析師王晨曦所發(fā)布的關(guān)于互聯(lián)網(wǎng)安全現(xiàn)狀的數(shù)據(jù)中，出現(xiàn)了這個(gè)驚人的數(shù)字。它似乎在告訴我們，Web應(yīng)用安全已經(jīng)不再是信息安全界的“小語(yǔ)種”，它正勢(shì)不可擋的成為全球信息安全行業(yè)急需探討的課題。Web安全事件已無(wú)處不在今天，國(guó)內(nèi)因Web應(yīng)用漏洞而引發(fā)的安全事件，正在如雨后春筍般在我們身邊爆發(fā)，更重要的是，這類安全事件的影響力也開(kāi)始不斷擴(kuò)大。梭子魚(yú)網(wǎng)絡(luò)有限公司中國(guó)區(qū)總經(jīng)理何平告訴記者，針對(duì)web應(yīng)用漏洞的攻擊技術(shù)，

2、今天在互聯(lián)網(wǎng)上幾乎唾手可得。校園網(wǎng)上的BBS、黑客網(wǎng)站、博客上，到處都可以找到發(fā)動(dòng)這類攻擊的工具軟件，甚至完全不懂任何網(wǎng)絡(luò)攻擊技術(shù)的人，都可以做到黑客可以做的事，外加上“黑色產(chǎn)業(yè)鏈”對(duì)各種網(wǎng)絡(luò)攻擊事件的刻意操縱，F(xiàn)orresterResearch所發(fā)布的數(shù)據(jù)已經(jīng)相當(dāng)客觀，前段時(shí)間伊朗網(wǎng)站被攻擊的事件，正是黑客組織利用web應(yīng)用漏洞發(fā)起的政治性質(zhì)的攻擊。所以，保證Web應(yīng)用的安全，也是保障國(guó)家信息安全的核心任務(wù)。與這一現(xiàn)實(shí)相悖的是，盡管我們的互聯(lián)網(wǎng)生活已經(jīng)陷入了web應(yīng)用漏洞造成的安全陰影中，但當(dāng)前大多用戶卻幾乎對(duì)Web應(yīng)用的安全風(fēng)險(xiǎn)完全沒(méi)有概念。造成這種落差的原因又是什么呢？何平告訴記者，這主

3、要是因?yàn)樵诨ヂ?lián)網(wǎng)應(yīng)用快速變化的過(guò)程中，信息安全問(wèn)題也出現(xiàn)了顛覆性的變化。比如瀏覽器的交互性應(yīng)用，讓過(guò)去的瀏覽器和現(xiàn)在的瀏覽器在本質(zhì)上出現(xiàn)了巨大的區(qū)別，瀏覽器已經(jīng)變成了眾多應(yīng)用的承載者。另外，各種移動(dòng)終端也開(kāi)始成為互聯(lián)網(wǎng)應(yīng)用的“訪客”，數(shù)據(jù)傳輸?shù)逆溌纷兊酶訌?fù)雜了。大多數(shù)人關(guān)注的是互聯(lián)網(wǎng)應(yīng)用如何越來(lái)越豐富，如何越來(lái)越便捷，而這種快速的變化與以往的安全體系架構(gòu)自然不匹配，而在“黑客”眼中，這種差距正是盜取有價(jià)信息的大好機(jī)會(huì)。既然是應(yīng)用系統(tǒng)安全漏洞引發(fā)的問(wèn)題，在系統(tǒng)研發(fā)階段，這些安全風(fēng)險(xiǎn)是否可以被最大化的規(guī)避呢？何平認(rèn)為，應(yīng)用系統(tǒng)的安全漏洞永遠(yuǎn)都無(wú)法避免。因?yàn)椋趹?yīng)用系統(tǒng)的研發(fā)過(guò)程中，如果過(guò)多的考慮

4、未來(lái)的安危，必然會(huì)影響系統(tǒng)的交付周期，強(qiáng)調(diào)安全的做法沒(méi)有商業(yè)驅(qū)動(dòng)力，所以應(yīng)用程序的漏洞必然會(huì)長(zhǎng)期存在。WAF標(biāo)準(zhǔn)有望盡快落地前，Web應(yīng)用安全需求的增長(zhǎng)，已經(jīng)使WEB應(yīng)用防火墻（WebApplicationFirewall，簡(jiǎn)稱WAF）成為越來(lái)越關(guān)鍵的安全產(chǎn)品。何平在參加OWASP箏會(huì)時(shí)也指出，當(dāng)前企業(yè)快速的發(fā)展正在對(duì)應(yīng)用系統(tǒng)提出更高的要求，web應(yīng)用安全市場(chǎng)雖然不會(huì)迎來(lái)爆發(fā)式增長(zhǎng)，但是也已經(jīng)進(jìn)入了一個(gè)快速成長(zhǎng)期。而且，由于近年來(lái)國(guó)際市場(chǎng)日趨成熟，WAF市場(chǎng)的國(guó)際標(biāo)準(zhǔn)也在逐步形成，并對(duì)傳統(tǒng)的美國(guó)信息安全協(xié)會(huì)和信用卡支付標(biāo)準(zhǔn)PCIDSSf形成的一些標(biāo)準(zhǔn)作出了不少更實(shí)用的修正。同時(shí)，他也表示，從國(guó)內(nèi)市場(chǎng)當(dāng)前的情況來(lái)看，國(guó)際標(biāo)準(zhǔn)還并不是用戶所看重的，大多廠商的WAF產(chǎn)品多以用戶需求為標(biāo)準(zhǔn)，所以相對(duì)國(guó)際市場(chǎng)缺乏對(duì)Web應(yīng)用安全產(chǎn)品的價(jià)值評(píng)估體系，也在某種程度上阻礙了市場(chǎng)認(rèn)知度的提升。但從市場(chǎng)整體的發(fā)展趨勢(shì)來(lái)看，不管是OWASP這樣的專業(yè)技術(shù)組織，還是行業(yè)用戶都在對(duì)具有實(shí)用價(jià)值的標(biāo)準(zhǔn)的落地起到推動(dòng)作用。關(guān)于標(biāo)準(zhǔn)化，在今年的OWASP箏會(huì)上，也出現(xiàn)了不少有益的信息。比如大會(huì)所提出的WAF所要具備的功能、對(duì)某些攻擊的防護(hù)能力標(biāo)準(zhǔn)，以及在易用性和安全部署方面的建議性要求等。以往，OWASP組織進(jìn)行的很多項(xiàng)目都成為了產(chǎn)品市場(chǎng)化時(shí)的國(guó)際標(biāo)準(zhǔn)，但對(duì)致力