成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

如何保護 .NET 應用的安全？

silenceboy / 1169人閱讀

摘要：高效的應用安全以三個強大的應用安全引擎，分別是模式識別會話保護和簽名庫。同時，探針采用的模式識別應用安全引擎能有效防護前文提到的攻擊，以及許多其他攻擊。

自從 Web 應用能給訪問者提供豐富的內(nèi)容之后，黑客們就把目光轉(zhuǎn)向任何他們能夠破壞，損毀，欺騙的漏洞。通過網(wǎng)絡瀏覽器提供的應用越來越多，網(wǎng)絡罪犯們可以利用的漏洞數(shù)量也呈指數(shù)增長起來。

大多數(shù)企業(yè)都依賴于網(wǎng)站向客戶提供內(nèi)容，與客戶進行互動，銷售產(chǎn)品。因此，企業(yè)會部署一些常用的技術(shù)來處理網(wǎng)站的不同請求。Joomla！或 Drupal 這樣的內(nèi)容管理系統(tǒng)或許能夠建立包含產(chǎn)品、服務以及相關(guān)內(nèi)容的健壯網(wǎng)站。此外，企業(yè)往往會使用 Wordpress 博客或基于 phpBB 的論壇這類依靠用戶產(chǎn)出內(nèi)容的社區(qū)，給客戶提供評論和討論的反饋平臺。無論規(guī)模大小，對于直接在網(wǎng)上銷售的電商企業(yè)，ZenCart 和 Magento 都能滿足他們的需求。但再加上數(shù)千個網(wǎng)站依賴的專有應用程序，確保網(wǎng)絡應用程序的安全應該是任何規(guī)模的網(wǎng)站管理者的首要問題。

與網(wǎng)絡應用相關(guān)的風險

網(wǎng)絡應用程序允許訪問者訪問網(wǎng)站最重要的資源——網(wǎng)絡服務器和數(shù)據(jù)庫服務器。和任何一款軟件一樣，網(wǎng)絡應用程序的開發(fā)人員在產(chǎn)品和功能上花費了大量時間，卻很少把時間用在安全上。當然，這并不是說開發(fā)人員不關(guān)心安全問題，實際情況絕非如此。真正的原因是，一方面，開發(fā)者對安全缺乏理解。另一方面，項目經(jīng)理考慮安全問題的時間太少。

不管是什么原因，應用程序往往充滿了漏洞。利用這些漏洞，攻擊者可以訪問 Web 服務器或數(shù)據(jù)庫服務器。到那時候，他們可以做的事情就多了，比如：

損壞網(wǎng)站

插入指向其他站點的垃圾鏈接

插入能在訪客電腦里運行的惡意代碼

插入惡意代碼，竊取會話 ID（cookies）

盜取訪問者信息和瀏覽習慣

盜取賬戶信息

盜取數(shù)據(jù)庫里存儲的信息

訪問受限內(nèi)容

還有更多

阻止網(wǎng)絡應用遭受攻擊

使用 OneRASP .NET 探針,可以避免許多 Web 應用威脅，因為 OneRASP .NET 探針 會監(jiān)視 HTTP 流量，根據(jù)規(guī)則檢查網(wǎng)絡數(shù)據(jù)包，從而決定是允許還是拒絕協(xié)議、端口、IP地址等的訪問，以此來阻止 Web 應用程序受到侵害。

作為即插即用的軟件，OneRASP.NET 探針提供了最佳的開箱即用保護，能防御 DOS 攻擊、跨站腳本注入、SQL 注入攻擊，路徑遍歷和許多其他網(wǎng)絡攻擊技術(shù)。

OneRASP .NET 探針能為網(wǎng)絡應用安全提供全面的解決方案，其原因是：

易于安裝在 Apache 和 IIS 服務器

針對已知和新興的黑客攻擊有強壯的安全防護

最佳的預定義安全規(guī)則，用于快速防護

簡單的接口和 API ，用于管理多臺服務器

無需額外硬件，輕松適用不同企業(yè)規(guī)模

攻擊者如何對網(wǎng)絡應用程序發(fā)動攻擊？

惡意黑客攻擊網(wǎng)絡應用程序的方法多種多樣。稍微谷歌一下，就能發(fā)現(xiàn)常見 Web 應用程序，像 WordPress、zencart、Joomla！、Drupal 和 MediaWiki 中的大量漏洞。當然，不僅是這些應用程序中存在漏洞，很多其他網(wǎng)站也存在容易找到的漏洞。攻擊者只要使用自動化的搜索根據(jù)，就可以準切找到哪些網(wǎng)站沒有修復這些漏洞。

下面是最常見的攻擊應用程序的方法：

SQL 注入

XSS（跨站腳本）

遠程指令執(zhí)行

路徑遍歷

SQL 注入

SQL 注入要想起作用，攻擊者必須找到網(wǎng)站中允許用戶輸入而且不會過濾轉(zhuǎn)義字符的區(qū)域。用戶登錄區(qū)域是常見的攻擊目標，因為為了檢查用戶表中的證書，需要與數(shù)據(jù)庫直接相連。通過注入 SQL 語句，如 `）或1 = 1--，攻擊者就可以訪問存儲在網(wǎng)站數(shù)據(jù)庫中的信息。當然，上面的例子只是一個相對簡單的 SQL 語句。如果攻擊者知道數(shù)據(jù)庫中的表格結(jié)構(gòu)，往往使用更加復雜的查詢語句，從而得到更好的查詢結(jié)果。

跨站腳本

攻擊者在防護較薄弱的網(wǎng)頁注入惡意的客戶端腳本，即為跨站腳本（ XSS ）攻擊。當這些腳本運行時，會在訪問者的計算機上安裝惡意軟件，竊取訪問者的 cookie ，或劫持訪問者的會話。

遠程指令執(zhí)行

遠程指令執(zhí)行漏洞允許攻擊者向應用程序傳入任意指令。在嚴重情況下，攻擊者會獲得系統(tǒng)級的權(quán)限，從而實現(xiàn)遠程攻擊服務器，并執(zhí)行任何必要的指令以達到目的。

路徑遍歷

路徑遍歷漏洞給攻擊者訪問受限文件、目錄和指令的機會。因為存在于正常的網(wǎng)頁文件根目錄之外的，這些路徑通常是無法訪問的。不像前文討論過的其他漏洞，路徑遍歷漏洞之所以存在是因為安全設計錯誤而不是編碼錯誤。

避免攻擊的需求

有了這么多在網(wǎng)站運行的應用程序，攻擊者已經(jīng)創(chuàng)建了自動化的工具，可以對多個安全防護不足的網(wǎng)站同時發(fā)動攻擊。因此，惡意黑客的攻擊目標不再局限于大型公司網(wǎng)站，較小的網(wǎng)站也很容易被這些自動攻擊所捕獲。

無論什么行業(yè)，企業(yè)規(guī)模大小，網(wǎng)站受到攻擊之后引發(fā)的反響對任何業(yè)務來說都是毀滅性的。攻擊的后續(xù)影響還包括：

數(shù)據(jù)被盜

用戶賬戶受損

客戶和/或訪客的信任缺失

品牌聲譽受損

銷售收入受損

網(wǎng)站被標記為惡意站點

搜索引擎排名下滑

保護網(wǎng)站免受攻擊

OneRASP .NET 探針獨特的安全方法無需了解每個 Web 應用潛在的具體威脅。運行 OneRASP .NET 探針的軟件會重點分析請求及其對應用產(chǎn)生的影響。高效的 Web 應用安全以三個強大的 Web 應用安全引擎，分別是：模式識別、會話保護和簽名庫。

同時，OneRASP .NET 探針采用的模式識別 Web 應用安全引擎能有效防護前文提到的攻擊，以及許多其他攻擊。該模式基于正則表達式，能有效且準確地識別多種應用層攻擊方法。所以， OneRASP.NET 探針的誤報率極低。

讓 OneRASP .NET 探針與眾不同的是，它不僅提供了針對 Web 應用威脅的全面保護，還是最簡單易用的解決方案。

只需數(shù)十次點擊，沒有接受過安全培訓的網(wǎng)站管理員也可以將 OneRASP .NET 探針運行起來。其預定義的規(guī)則集提供了開箱即用的防護，且基于瀏覽器的管理界面簡單易用，幾乎不會影響服務器或網(wǎng)站性能。

如今，多樣化的攻擊手段層出不窮，傳統(tǒng)安全解決方案越來越難以應對網(wǎng)絡安全攻擊。OneRASP 實時應用自我保護技術(shù),可以為軟件產(chǎn)品提供精準的實時保護，使其免受漏洞所累。想閱讀更多技術(shù)文章，請訪問 OneAPM 官方技術(shù)博客。
本文轉(zhuǎn)自 OneAPM 官方博客

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/11167.html

相關(guān)文章

  • 如何保證MongoDB的安全性？

    摘要：另外，保證數(shù)據(jù)庫的訪問安全非常重要，同時也需要保證數(shù)據(jù)的安全性，做好必要的數(shù)據(jù)備份。關(guān)于如何保護數(shù)據(jù)的安全性，可以參考我們的博客是這樣備份數(shù)據(jù)的。 上周寫了個簡短的新聞《MongoDB裸奔，2億國人求職簡歷泄漏！》： 根據(jù)安全站點HackenProof的報告，由于MongoDB數(shù)據(jù)庫沒有采取任何安全保護措施，導致共計202,730,434份國人求職簡歷泄漏。 然后很多人評論說Mongo...

    Steve_Wang_ 評論0 收藏0

  • 企業(yè)云計算指南：在安全前提下獲得利益

    摘要：企業(yè)如何在保持安全的同時從云計算中獲得最大收益如今，在某些情況下，云計算被認為比內(nèi)部部署的解決方案更安全。作為其中的一部分，員工的支持是關(guān)鍵企業(yè)可以培訓員工使用已批準的版本，而不是阻止云計算應用或服務。 云計算可以提供多種好處，其中包括快速擴展和縮小以滿足用戶需求。但由于對云計算安全性的擔憂，金融服務等高度監(jiān)管的行業(yè)領(lǐng)域中的組織在采用云計算技術(shù)方面的進展很慢。企業(yè)如何在保持安全的同時從...

    shiina 評論0 收藏0

  • 多層秘鑰體系在POS刷卡支付領(lǐng)域中的應用

    摘要：前言刷卡交易屬于傳統(tǒng)的支付領(lǐng)域。本文以刷卡信息上送到支付平臺為例，介紹多層秘鑰體系的應用。是加密機最頂層秘鑰，保密級別最高，稱之為本地主密鑰。下圖體現(xiàn)的是一套四層的秘鑰體系，加密機可以使用加密產(chǎn)生，使用加密產(chǎn)生，使用可以加密產(chǎn)生。 前言 POS刷卡交易屬于傳統(tǒng)的支付領(lǐng)域。在移動支付微信/支付寶的沖擊下，刷卡支付的市場份額在逐漸萎縮，畢竟手機掃一掃比拿個銀行卡刷卡輸密方便多了。雖然移動支...

    URLOS 評論0 收藏0

  • 如何使用密碼保護以太坊JSON-RPC的API？

    摘要：本文面向以太坊智能合約應用程序開發(fā)人員，并討論如何在密碼保護后，安全地運行你的以太坊節(jié)點，以便通過進行安全輸出。以太坊，主要是針對工程師使用進行區(qū)塊鏈以太坊開發(fā)的詳解。 本文面向以太坊智能合約應用程序開發(fā)人員，并討論如何在密碼保護后，安全地運行你的以太坊節(jié)點，以便通過Internet進行安全輸出。 Go Ethereum（geth）是以太坊節(jié)點最受歡迎的軟件。其他流行的以太坊實現(xiàn)是Pa...

    Zachary 評論0 收藏0

發(fā)表評論

0條評論

最新活動
閱讀需要支付1元查看
<