张 恬

(无锡城市职业技术学院,江苏 无锡 214153)

0 引言

Web 技术具有标准化的特征,高校的很多应用都采用Web 应用形式,比如:网站群系统、教务系统、办公系统等。 随着智慧校园的建设,对高校网络安全的重视,Web 应用的快速发展,暴露出较多网络安全方面的问题,网络安全等级保护2.0 的实施对Web 应用安全提出了一定要求。 HTTP 协议的安全机制缺乏和Web应用系统本身的安全漏洞,导致Web 应用层面的安全风险逐日增大。 传统的网络安全设备工作在网络层居多,导致应用层的防护与其不匹配,网络安全设备(IDS和IPS)可以通过包检测技术来探知流经应用层的流量,并匹配携带的攻击特征库,从而辨识网络攻击,对应用层进行防护,但IDS 和IPS 对灵活编码和报文分割实现的应用层攻击无法防御。 Web 应用防火墙(Web application firewall,WAF)工作在应用层[1-2],对HTTP协议的请求和应答进行重组解析,并与攻击特征库进行匹配,根据判断出的攻击行为做出报警或者阻断等不同处理。 本文首先介绍Web 应用相关的技术,HTTP协议机制与基于已知攻击方式的不足,接着分析WAF的特异性配置的优点和日常管理注意事项等,在此基础上建立WAF 实际应用模型,经检测可以有效阻断Web 应用层的攻击。

1 Web 应用相关技术分析

1.1 HTTP 协议

Web 应用服务具备很强的交互性,客户端与服务器端的交互是通过HTTP 协议进行的[3],典型的Web应用即为客户端向Web 服务器发送HTTP 或HTTPS请求,服务器收到请求后进行应答。 超文本传输协议(Hyper Text Transfer Protocol,HTTP)是一个基于请求与响应模式的、无状态的、应用层的协议,基于TCP 的连接方式,给出一种持续连接的机制,大多数的Web 开发都是构建在HTTP 协议之上的 Web 应用[4-5]。……