Web应用程序威胁缓解方法详解及实用技巧指南

如今，绝大多数企业都选择在互联网上建立自己的网站——不仅用于信息展示，更通过Web应用、博客、论坛等与用户进行深度互动。从电商平台的互动式婴儿注册表，到金融网站的投资计算器，再到软件厂商的互动支持论坛，各种新型Web应用层出不穷，持续改变着人们获取信息的方式。

然而，这种以业务为核心的Web互动高速发展，也带来了全新的信息安全风险——这是传统静态页面从未面临过的挑战。这些威胁不仅针对Web应用本身，还涉及支撑它的Web服务器、数据库以及其他基础设施。

接下来，我们将探讨Web应用当前面临的最严峻威胁，以及安全团队如何有效保护这些应用。

Web应用面临的主要安全威胁

Cenzic、惠普、Imperva、Veracode、Whitehat Security、Verizon等多家安全厂商均对当前企业面临的Web应用威胁进行了评估。结论一致：最常见且最难根除的威胁依然是跨站脚本（XSS）和SQL注入攻击。尽管这两种攻击已存在多年，但时至今日，大量Web应用仍然容易受到此类攻击。

为什么这些攻击如此难以防范？因为它们影响范围广泛，且攻击工具已相当成熟。企业若想降低风险，就必须将加强Web应用安全提上日程。尽管新的威胁不断涌现，但大多数攻击仍然在利用这些最基础的薄弱环节——这是不容回避的现实。

提升Web应用安全性的有效方法

安全团队可从多个基本方向入手，以提升Web应用的安全性。一方面，优化Web应用的开发流程；另一方面，部署新工具来管理新出现的信息安全风险。这两条路径应协同使用，而非二选一，同时还需结合其他安全控制措施。

首先关注开发流程。将安全性融入软件开发生命周期（SDLC），是任何Web应用项目都应当遵循的原则。微软、美国国土安全部网络安全处等机构均提供了详尽的指南。开放Web应用程序安全项目（OWASP）也发布了开发指南，例如《Development Guide 2010》，专门阐述了安全Web应用的开发思路。作为SDLC的一部分，团队应定期审查最新、最普遍的威胁，并更新威胁列表。这些方法可用于培训开发人员，帮助他们在编码阶段即减少漏洞，更快发现并修复问题。

接下来讨论工具。部署新工具是缓解Web应用威胁的另一重要途径。尽管有些工具并不算“新”，但对许多企业而言，Web应用防火墙（WAF）和Web应用安全扫描仪往往被忽视——要么因为合规要求未强制使用，要么之前未将Web威胁列为重点。然而，这些技术以及新兴的Web防御方案，能够有效阻止应用层攻击，并主动扫描漏洞。安全扫描仪可嵌入SDLC的测试阶段，也可作为独立项目定期评估Web应用的安全状态。Web应用防火墙则能对流向Web应用的网络流量进行深度检查，阻断最常见的攻击。但需注意，它们并非万能——需要持续更新才能应对新威胁，不能指望一劳永逸。

这些工具能够扩展现有的安全控制，但前提是理解一个关键问题：许多传统安全控制面对Web应用攻击时几乎形同虚设。例如，如果你在防火墙上放行HTTP流量（端口80）到Web服务器，防火墙通常无法判断该流量是正常请求还是携带SQL注入的恶意代码。而Web应用防火墙能够检测HTTP流量，发现并（多数情况下）阻止大多数SQL注入攻击。请记住，没有任何单一工具或控制方法能保护所有Web应用。将WAF与Web安全扫描相结合，才能为最常见的XSS和SQL攻击提供坚实的防线。

结论

新型Web应用使企业与客户之间的互动更高效、关系更紧密，但同时也带来了新的信息安全风险。传统安全控制单独应对这些威胁往往力不从心。不过，通过扩展传统控制——将Web应用安全融入软件开发生命周期，并部署新的Web应用安全工具——完全可以有效降低风险。那些尚未采用这些技术、甚至没有计划的企业，需要认真思考：这些应用正在不断放大潜在的Web安全威胁。在当前的企业信息安全计划中，保护Web系统免受新型威胁，已成为一个既重要又紧迫的优先事项。