腾讯云安全产品介绍第四章-网站安全产品-网站管家

Web安全运维挑战

• Web业务应用安全
  • 业务漏洞暴露
    • 0Day漏洞层出不穷，一旦修复不及时，将直接将业务暴露给互联网黑客攻击威胁
    • 网安网信监管单位通报，法律风险
  • 黑客入侵及数据窃取
    • 商业数据泄露，业务竞争力受损
    • 恶劣社会影响，严重时遭到政府主管单位罚款甚至被要求关闭整改
  • 网站被篡改或植入
    • 网站站被篡改或植入色情，赌博,枪支，私服等涉黄涉政内容,损害企业形象
    • 被网安网信等监管/主管单位通报，触犯《网络安全法》
• Web业务运营安全
  • Bot恶意数据爬取
    • 航空票务、在线购物、招聘简历、网络社交等网站信息被网络机器人及爬虫工具恶意爬取与并利用，造成数据泄露风险或业务策略及营销活动效果大打折扣
  • 域名非法劫持
    • 用户访问被劫持指向到伪造网页，一方面可能造成用户无法正常浏览业务网页,另一方面用户可能被诱骗到冒牌网站进行登录等操作导致大量用户隐私数据泄露。
  • 拒绝服务攻击
    • DDoS/CC拒绝服务攻击直接导致关键门户网站及业务系统不能正常访问，组织业务无法开展,用户流失及业务经济损失。

Gartner insights :

• 信息安全攻击有75%发生在Web应用层面;
• 2/3Web站点都相当脆弱，易受攻击。

网站管家功能

WAF (Web Application Firewall)是最常用最有效的Web应用保护方案。
— Gartner WAF 魔力象限2017

• 腾讯云网站管家为WAF为智能一站式网站安全防护平台∶
  • AI+ Web应用防火墙
  • ODay漏洞补丁
  • 网页防篡改
  • 数据防泄漏
  • 爬虫Bot行为管理
  • DNS非法劫持检测

WAF技术原理

• 攻击前:7x24h实时监测分析安全隐患;
• 攻击中:识别与拦截恶意攻击、垃圾访问;
• 攻击后:通过云备份保障网页内容的正常显示。
• 反向代理＋检测云∶
  • 腾讯云提供技术支持NS记录后，将流量转发给反向代理;
  • 反向代理的安全模块接收到用户请求，封装后发送到检测云。
  • 检测云收到请求并进行检测处理
• WAF常用策略
  • 特征识别
    • 识别攻击行为特征;
    • 如识别病毒、蠕虫。
  • 算法识别
    • 基于语义理解识别;
    • 如SQL注入、DDoS等。
  • 模式匹配
    • 攻击行为归纳成一定模式，匹配后能确定是入侵行为。

WAF优势与应用

• 优势：
  • 久经考验的Web业务安全防护实践体系
  • Al＋规则双引擎检测
• 应用：
  • 政务网站防护
    • 保障政务网站内容不被黑篡改，民生数据不被入侵窃取。
    • 保障民生服务正常可用，民众访问满意畅通。
  • 电商网站防护
    • 智能过滤恶意攻击及垃圾访问，保障正常访问业务流畅
    • 防止恶意爬虫竞争比价，库存查询，数据抓取分析，黑产SEO
  • 金融网站防护
    • 监测DNS链路劫持，防止网站流量被恶意指向。
    • 有效检测撞库等异常访问，数据不篡改、窃取或泄露。

WAF计费方案

• WAF费用：基础防护套餐＋扩展包
• 付费方式：按月预付费
  基础套餐：高级版/企业版/旗舰版+扩展包：域名包/带宽包/QPS包

Web漏洞扫描

• 腾讯云 Web漏洞扫描是用于监测网站漏洞的安全服务，为企业提供7*24小时全面准确的漏洞监测和专业的修复建议。
  • SAAS 服务：客户无需安装任何硬件或软件
  • 多种漏洞扫描：通用漏洞，特种漏洞
  • 多种扫描方式：标准扫描、深度扫描
• Web漏洞扫描按域名的扫描次数进行收费，预付费。