國際知名Web應用安全組織OWASP在11月8日-9日在中國北京國際會議中心召開OWASP 2011亞洲峰會，各行業(yè)的CIO/CTO/CSO代表和國內外知名的應用安全專家、廠商代表均有參與。

大會上有多家安全公司在展示自己的網(wǎng)站安全解決方案，在經(jīng)過一個展臺時，我們突然發(fā)現(xiàn)有一家Web應用防火墻廠商推出了免部署的線上解決方案——SafeHTTP“網(wǎng)站衛(wèi)士”。

以往的網(wǎng)站安全方案，都是將安全設備或安全軟件部署到企業(yè)內部或企業(yè)自己的Web服務器上，通過漏洞掃描器、WAF、IPS一類的產(chǎn)品檢測和防護Web站點。作為買賣雙方，完全可以一錘子買賣，即“購買——安裝——用戶自己維護”模式。當然，比較靠譜的廠商基本都會提供售后支持。

SafeHTTP“網(wǎng)站衛(wèi)士”此時推出的這個解決方案卻是“租賃——用戶免維護”模式。所有的漏洞升級、防攻擊特征、惡意代碼過濾都由SafeHTTP“網(wǎng)站衛(wèi)士”的云平臺搞定。采用PaaS平臺即服務的模式，無縫即時。用戶只需將DNS地址解析到SafeHTTP“網(wǎng)站衛(wèi)士”，然后遞交域名和網(wǎng)站信息待其生效，即可安枕無憂的享受自來水式的網(wǎng)站安全服務。而且在SLA協(xié)議的保護下，任何網(wǎng)站安全風險都將由服務提供商承擔。

基本上采用這類解決方案后，就不用整天盯著防火墻和漏洞掃描器了。

這類PaaS模式的安全方案有什么好處？

實時的web惡意流量過濾，

降低服務器負載，降低宕機風險

加速訪問響應

減少數(shù)據(jù)被盜

豐富的報告

5分鐘搞定實施

無硬件投資，節(jié)約開支

無代碼變動專業(yè)的服務團隊

額外的好處：網(wǎng)站加速
 

SafeHTTP“網(wǎng)站衛(wèi)士”原理

 
在問到SafeHTTP“網(wǎng)站衛(wèi)士”背后的技術儲備時，SafeHTTP李松表示：“安信華本身就是WAF設備廠商，一直向客戶提供高性能的WEB安全設備，目前，有超過一萬多個站點正在得到保護。現(xiàn)在做這個‘云WAF’，技術上沒有問題。而且這對中小型客戶來說是一種極具吸引力的解決方案?！?/P>

[[51412]]

OWASP 2011會場上的 SafeHTTP總經(jīng)理 李松

誰比較適合用這種服務？

“云WAF”的客戶群，像門戶網(wǎng)站那種有技術和人員儲備的公司肯定不需要。主要的客戶對象還是網(wǎng)站帶寬在100M以內的。帶寬100M以上的客戶完全可以購買WAF硬件設備或者自己搞一套防護方案。

說細一點，不同類型，不同規(guī)模的網(wǎng)站都在面臨各類威脅的挑戰(zhàn)，大型網(wǎng)站通常都有專門的團隊解決各類安全問題，如果您的網(wǎng)站不是這種大型網(wǎng)站，都在SafeHTTP服務范圍。

SafeHTTP“網(wǎng)站衛(wèi)士”根據(jù)網(wǎng)站的位置將客戶分為三類：

1、網(wǎng)站在公司內部，通過簡單的DNS調整就可以得到SafeHTTP的服務。

2、虛擬主機有兩個不同選擇，可以簡單改變DNS得到SafeHTTP的服務，另外SafeHTTP也在同主流虛擬主機服務商展開合作，在他們的IDC里面部署服務。

3、網(wǎng)站的IDC機房，SafeHTTP正在同主流IDC合作，把SafeHTTP的服務在他們機房里面開展，現(xiàn)在只需要注冊，我們就會優(yōu)先同您的IDC合作。

SafeHTTP李松表示：“我們的目標是小網(wǎng)站，大安全；而且不只是安全，我們還會為企業(yè)的網(wǎng)站提供增值服務，借此網(wǎng)站客戶的高層以及管理員可以更了解自己的網(wǎng)站。在中國主流的IDC機房，我們的設備會分布部署，‘網(wǎng)站衛(wèi)士’是你身邊的網(wǎng)站安全服務?！?/P>

PaaS網(wǎng)站安全業(yè)務被業(yè)內看好

據(jù)悉，這類新型的PaaS網(wǎng)站安全業(yè)務出現(xiàn)后，多家安全公司已開始籌備“云WAF”租賃業(yè)務，對此李松表示，已經(jīng)做好了“持久戰(zhàn)”的準備。在問起對PaaS安全這個行業(yè)的發(fā)展預估時，李松果斷的說道：“用戶對Web安全的需求日益迫切，企業(yè)的發(fā)展前景清晰可見?！?/P>

后記：

在本屆OWASP 2011亞洲峰會上，我們發(fā)現(xiàn)以往沒有推出過專門Web安全產(chǎn)品的傳統(tǒng)安全公司也都紛紛推出了各具特色的Web應用安全產(chǎn)品。應對目前越來越狡猾，越來越具破壞力的黑客攻擊手段，人們勢必需要更快響應時間和更專業(yè)的安全服務。有位OWASP演講嘉賓的話說的好——“不要再拿著刀去對付持槍的人”。