互联网支付企业WEB应用安全防护系统测试

论文摘要

近年来,随着电子商务的蓬勃发展,安全问题日益显得重要。虽然传统的防火墙、抗DDoS、流量控制等系统实现了大部分的安全功能,但是随着黑客和攻击方式的变化,针对Web服务器网页的应用层入侵大量出现,例如:SQL注入、跨站攻击、Cookie篡改等等。互联网支付企业的Web站点不同程度的具有这方面被攻击的弱点,因此,对Web安全的防护也是刻不容缓的。随着互联网安全技术的不断发展,Web应用安全防护技术引起了人们的广泛关注。Web应用安全防护系统具备对HTTP协议进行完整解析的功能,能有效防止WEB应用漏洞所引起的安全攻击行为,极大地提高了WEB应用的安全性,同时满足用户对信息实时防护、方便使用的需要,所以受互联网支付企业用户的欢迎。本文以上海某互联网支付企业为案例,在调研了企业的现有网络和安全架构的基础上,分析了企业对WEB应用安全的具体需求,包括WEB内容安全防护、实时性、兼容性、扩展性等方面需求,给出了WEB应用安全防护方面的测试方案,选取了不同的WEB应用安全防护系统进行了具体的测试,并对其进行了比对分析研究,为企业选取了合适的WEB应用安全防护系统产品。同时,根据互联网支付企业的实际生产环境特点,设计了WEB应用安全防护系统实施规划,并针对验证性测试中发现的具体的现有生产环境兼容性问题,重新设计了部署方案。经验证测试通过后,根据制定的上线实施步骤,将WEB应用安全防护系统成功部署到了生产环境中,并对整体方案改造前后做了实施效果的分析。本文的主要研究成果及创新内容如下:1、分析了WEB应用安全防护技术,说明了新型WEB应用安全防火墙技术与传统安全防御产品技术的不同点及其优势所在,得出新型WEB应用安全防火墙技术符合今后用户发展需要,将会得到越来越广泛的应用;2、研究了WEB应用安全漏洞,对WEB漏洞进行了分类,并对WEB漏洞的影响进行了分析;3、以上海某互联网支付企业为研究对象,在调研了企业的现有网络和安全架构的基础上,分析了企业对WEB应用安全的具体需求,设计了整体测试方案,方案充分利用公司现有的软件和硬件资源,充分发挥了WEB应用安全防护系统的技术优势;4、根据测试方案,组织了WEB应用安全防护系统的测试工作。测试内容充分反映了WEB应用安全防护系统在功能、性能上的真实情况及存在的差异。根据测试结果,从部署方式、WEB应用安全防护能力、设备性能与自身安全等多个角度,对WEB应用安全防护系统进行了比对研究,为企业选取了合适WEB应用安全防护系统产品。5、根据互联网支付企业的实际生产环境特点,设计了WEB应用安全防护系统实施规划,并针对验证性测试中发现的具体的现有生产环境兼容性问题,重新设计了部署方案。经验证测试通过后,根据制定的上线实施步骤,将WEB应用安全防护系统成功部署到了生产环境中,并对整体方案改造前后做了实施效果的分析。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 研究背景和意义
• 1.2 国内外研究现状
• 1.2.1 WEB 应用/技术发展
• 1.2.2 WEB 应用发展所带来的问题
• 1.2.3 WEB 安全“矛”与“盾”的较量
• 1.2.4 早期的网页篡改防护技术
• 1.2.5 传统安全防御产品的不足
• 1.2.6 WAF（Web 应用防火墙）
• 1.2.7 网络安全设备的发展趋势
• 1.3 本文的研究内容和主要成果
• 1.4 本文的结构安排
• 2 WEB 应用漏洞原理及分析
• 2.1 Web 应用漏洞原理
• 2.2 典型WEB 漏洞分类
• 2.3 典型WEB 漏洞影响
• 2.3.1 跨站漏洞
• 2.3.2 SQL 注入漏洞
• 2.3.3 XPATH 注入漏洞
• 2.3.4 应用程序错误引起的信息泄露
• 2.3.5 管理后台登陆入口
• 2.3.6 备份文件造成的源代码泄漏
• 2.3.7 默认测试用例文件
• 2.3.8 Web 应用默认目录
• 2.3.9 无效链接
• 2.3.10 存在电子邮件地址
• 2.4 本章小结
• 3 互联网支付企业的应用安全需求及测试方案设计
• 3.1 概述
• 3.1.1 项目简介
• 3.1.2 安全需求背景
• 3.2 网络应用现状
• 3.2.1 应用现状简述
• 3.2.2 网络中存在的缺陷
• 3.3 网络安全需求分析
• 3.4 WEB 应用防护系统选择思路
• 3.5 测试方案设计
• 3.5.1 测试环境
• 3.5.2 测试功能点
• 3.6 本章小结
• 4 AppWall 应用安全防护系统方案测试
• 4.1 测试简介
• 4.2 测试环境
• 4.3 测试结果
• 4.3.1 AppWall 部署与管理
• 4.3.2 系统可靠性
• 4.3.3 系统兼容性
• 4.3.4 系统自学习
• 4.3.5 误报处理
• 4.3.6 攻击防范与分析
• 4.3.7 日志和报表
• 4.4 测试分析
• 4.5 本章小结
• 5 WebWall 应用安全防护系统方案测试
• 5.1 测试简介
• 5.2 测试环境
• 5.3 测试结果
• 5.3.1 系统整体测评结果
• 5.3.2 应用防火墙功能测评
• 5.3.3 防篡改功能测评
• 5.4 测试分析
• 5.5 本章小结
• 6 WEB 应用安全防护系统比对研究
• 6.1 测试结果概述
• 6.2 过程描述
• 6.3 功能覆盖性测试
• 6.4 测试比较
• 6.5 本章小结
• 7 WEB 应用安全防护系统设计实施及效果分析
• 7.1 系统实施方案规划设计
• 7.1.1 现状描述
• 7.1.2 设计目标
• 7.1.3 设计思路
• 7.1.4 实施规划
• 7.2 系统实施前准生产环境验证测试
• 7.2.1 验证测试分析
• 7.2.2 设计方案调整
• 7.2.3 调整后的设计方案验证测试
• 7.3 系统实施
• 7.4 方案实施效果分析
• 7.5 本章小结
• 8 结论与展望
• 参考文献
• 致谢
• 攻读学位期间发表的学术论文目录