新一代Web安全治理體系讓“我的地盤我做主”不再只是夢

每個人都有自己的夢想，這個夢想或大或小，這個夢想或虛幻或真實。現實生活中，我們總會有想要改變現狀的小夢想。要麼是去風景秀麗的地方旅遊，要麼是期待自己能夠加薪，要麼是讓自己的工作更加的順心如意，要麼……

拿就職於某大型企業的安全管理員小張來說，他就一直有個非常實際的夢想。公司曾被攻擊者多次針對WEB發起攻擊，尤其是網站被篡改多次而不曾及時發現。公司網站多且分散，無法管理。作為公司的安全管理員，小張夢想著能夠：

◆我的地盤我做主；

◆什麼系統上線我說了算；

◆系統在哪裡我都知道；

◆系統幹了什麼我都瞭解；

◆系統有什麼弱點我都清楚；

◆出了任何問題立刻定位；

◆找得到人，斷得了網。

然而，現實卻是這樣的：

◆都說是我的地盤，可我做不了主

◆線上有哪些系統真是不知道

◆系統在哪裡，歸誰管我也不清楚

◆這系統有什麼漏洞，都幹了什麼我更不清楚

◆出了事了，都來找我，可我該找誰？

◆斷網？連繫統在哪都不知道，怎麼斷網？

小張只想說：“這夢想與現實的差距太大了，誰能救救我？”

如何才能讓他夢想成真？

近日，盛邦安全產品經理李春鵬參加了由51CTO舉辦的WOTA峰會，他表示，像小張遇到的這種情況很普遍，並非個例。隨著網際網路的發展，越來越多的業務依託於Web系統。雖然很多的企業都非常注重Web安全，但是大多把注意力放到了防護上，而忽視Web系統的安全管理。目前，使用權與管理權的分離導致了Web系統的治理問題尤為突出，例如：私搭亂建、網站無法及時退運、缺乏稽核手段等都可能給黑客攻擊以可乘之機。

李春鵬強調說：“安全是動態改變的，Web安全在朝兩個方向發展，一個是安全防護之前的風險控制，在攻擊到來之前儘可能降低系統受到攻擊的可能性。另一個是安全防護之後的感知，通過檢測及時發現網路受到的攻擊，及時告警和溯源，形成完善的安全體系。三分技術，七分管理。在做好安全防護的同時，也要做好管理。”

因此，Web安全不能僅做針對外部的防護，也應注重內部的治理，Web安全=治理+防護。

盛邦安全產品經理李春鵬

目前，企業通用的方式是通過IP，或者DNS解析來控制網站能否對外提供服務。但是以IP形式進行網站控制，安全管理人員無法統計到這個IP上執行著多少網站，開通了多少服務。此外，很多網站管理者在解析伺服器上配置的是泛解析，這樣導致通過二級或者三級域名建立的網站無法統計到。這就最終導致了企業無法“摸清家底”，留下了安全隱患。

針對Web安全治理問題，雖然運維人員很重視，但是往往缺少一種有效的手段。安全管理人員要想全面的瞭解公司系統安全情況，實現對Web系統的可知、可感、可查和可控，需要對整個Web系統的全生命週期進行管理，建立新一代Web安全治理體系。依託於多年在Web安全領域所積累的豐富經驗，盛邦安全總結出了以下Web安全治理思路：

第一步，自動學習所有在運站點。這是Web安全治理第一步，要“摸清家底”。通過技術手段分析映象流量進行Web資產自學習，識別包括IP、域名、埠、網站名稱等資訊。從而及時瞭解網路中有哪些網站及業務系統在提供服務，自動識別疑似不合規Web系統。

第二步，建立線上得網站安全准入機制，對所有Web系統備案、評估後再允許對外服務。備案管理：提供公安備案管理以及組織自用備案管理系統，明確各Web系統的所有人、用途等各類資訊。並提供備案申請、備案稽核等流程。

第三步，建立網站運營日常監控機制，對運營系統持續進行安全巡檢，包括流量被動檢測。對網站進行安全檢測的主要內容包含：網站篡改監控，暗鏈/黑鏈檢測，敏感詞的監控，Web漏洞檢測、系統漏洞檢測、後門掃描、網路釣魚檢測、網站木馬和弱口令檢測等。

第四步，一鍵斷網+安全裝置聯動，實行有效地應急和處理機制，對發現的不合規或不安全的Web站點進行阻斷。並可配合微信進行智慧阻斷。

最終，結合流量分析、指紋分析、報表功能和漏洞管理等其他安全能力，從網站誕生到結束形成一個閉環，實現Web系統的全生命安全週期管理。

基於以上Web安全治理思路，盛邦安全研發了RayGateWeb安全治理平臺。該平臺是以符合四部委聯合釋出的《黨政機關、事業單位和國有企業網際網路網站安全專項整治行動方案》（簡稱2562號檔案）為出發點，針對園區網、雲端計算中心、行業垂直網路及政府橫向網路等場景，解決網站及業務系統使用權和管理權分離導致運維過程之中的問題而精心研發的一款治理型平臺類產品。

“RayGate具有對內部網站的自學習能力，免去人工新增的煩惱，並可有效發現私建網站及殭屍網站。其採用旁路部署，而且上線簡單，不影響網路拓撲，可實現三級部署及管理。而且，每四個月，我們就會對RayGate進行快速的迭代升級。從而保證該產品滿足使用者的需求，並最大化的幫助他們提升工作效率。” 李春鵬說。

本文出處：暢享網
本文來自雲棲社群合作伙伴暢享網，瞭解相關資訊可以關注vsharing.com網站。