7.刘志乐-安恒信息安全服务部总监
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2010年境内挂马网站数量趋势如图所示：
2010年互联网应用安全问题
2010年CNCERT共接到网页钓鱼事件报告1566件 ，经归类合并后CNCERT成功处理了631件。在
CNCERT接收到的这些网页钓鱼事件中，被仿冒 的大都是电子商务网站、金融机构网站、第三
方在线支付站点、社区交友网站。
2010年互联网应用安全问题
无线公共网络或成为泄密源头
只要一台Win7系统电脑、一套无线网络及一个网络包分析软 件，设置一个无线热点AP，就能搭建出一个假冒公共网络
2012年互联网应用安全形势
敏感信息泄露，大型企业商业机密堪忧 电子商务网站频遭攻击，用户经济利益遭受严重威胁 企业级、国家级信息对抗已升级至“核战”等级
超级病毒Win32.Virut持续在企业内活跃 APT攻击来临，网络“核战”爆发
移动应用安全：手机操作系统、移动网络及手机应用
安全 APT攻击
钓鱼攻击
1
近期安全热点
互联网应用系统安全现状 互联网应用安全防护措施
2
3
信息的安全现状
IT系统生命周期与信息安全
看得不够远，是因为站得不够高
做得不够好，是因为做得不够早
需求
设计
开发
上线
运维
消亡
看起来做的很多 却始终逃不出这么个小 小的圈子 其实我们可以做的更多
产品实现——WEB和DB审计
4、以审计发现业务违规
通过审计可以发现敏感数据批量泄漏、网站盗链、一些违反 业务逻辑的冒用、盗用等行为；
5、以审计达到合规检查 通过审计可以非常方便的满足等级保护、SOX法案等法规标 准，更可定期出具报表，满足合规检查；
产品实现-防篡改
部署防篡改软件
当WEB服务器页面发生改变
2011年互联网应用安全问题
2011年发生多起信息泄露事件，其中为代表的是
CSDN、天涯等网站用户信息泄露事件。
2011年底， CSDN、天涯等网站发生用户信息泄露事件引起
社会广泛关注，被公开的疑似泄露数据库26个，涉及帐号、
密码信息2.78亿条，严重威胁了互联网用户的合法权益和 互联网安全。根据调查和研判发现，我国部分网站的用户 信息仍采用明文的方式存储，相关漏洞修补不及时，安全 防护水平较低。
2011年互联网应用安全问题
应用软件漏洞呈现迅猛增长趋势
2011年，CNVD共收集整理并公开发布信息安全漏洞5547个，较2010年 大幅增加60.9%。其中，高危漏洞有2164个，较2010年增加约2.3倍。 在所有漏洞中，涉及各种应用程序的最多，占62.6%，涉及各类网站系 统的漏洞位居第二，占22.7%，而涉及各种操作系统的漏洞则排到第三 位，占8.8%。 2011年，在CNCERT接收的网络安全事件(不含漏洞)中，网站安全类事 件占到61.7%；境内被篡改网站数量为36612个，较2010年增加5.1%；4 月-12月被植入网站后门的境内网站为12513个。CNVD接收的漏洞中， 涉及网站相关的漏洞占22.7%，较2010年大幅上升，排名由第三位上升 至第二位。 网站安全问题进一步引发网站用户信息和数据的安全问题。
产品实现——WEB和DB审计
1、审计已知数据库现状： 了解数据库已有帐号、开放端口、权限分配情况等信息； 2、以审计促进信息化管理： 通过审计发现帐号违规使用情况、越权操作、密码违规修改、 无效帐号等行为，起到监督作用，推动整改效果； 3、以审计促进数据库优化： 可以反聩数据库的负载和并发情况、超长执行时间语句、死 锁等问题，提供数据库优化依据；
Wap站点安全
手机网银
– 手机客户端安全 – 通信协议安全 – 协议安全
互联网应用安全形势
根据上述现状和2012年网络安全面临的形势，我们应采取 以下措施：
应加大网络犯罪立法、惩治和量刑力度，形成有效震慑。 加大网络安全行政监管力度，增强对互联网信息和增值业务服务商的 管理。
加强对产品安全性的管理和规范，及时发布漏洞补丁和更新版本。
各类安全事件
花旗银行系统遭黑客入侵 大量客户信息被盗取
各类安全事件
iPhone存短信服务漏洞问题 苹果官方提示慎防受骗
1
近期安全热点
互联网应用系统安全现状 互联网应用安全防护措施
2
3
互联网应用安全问题
2010年互联网应用安全问题 2011年互联网应用安全问题 2012年互联网应用安全形势
2010年互联网应用安全问题
信息安全趋势及走向
安全运维重要性更加凸显
安全运维与IT系统生命周期
需求
设计
开发
上线
运维
消亡
规范+ 培训 规范+ 培训 + 顾问 规范+ 培训 + 日常服务 + 应急 + 专家顾问
规范 + 专家 顾问
保障互联网信息安全
我们需要什么？ 我们应该怎么做？
整个开发生命周期
整个开发生命周期内我们需要做什么：
代码安全跟踪 代码安全测试
体系化的安全培训 协助实施安全建模分析
安全产品的部署 风险评估与威胁识别
需求安全分析 安全意识培训
合规性检查 定期巡检 策略修补 规范及流程完善
威胁管理 脆弱性管理 事件管理 变更管理 日常巡检 告警与预警 安全教育
评价与改进
重点
介入生命周期的前段 更偏重于业务流程机制 渗透测试工作标准化机制 设计针对应用安全的预警机制 强化针对应用安全的应急体系机制
各类安全事件
当当网泄露事件
各类安全事件
世界500强企业中铁二局网站被黑客篡改
各类安全事件
中国国防承包商电子进出口总公司文件疑遭黑客泄密
各类安全事件
涉毒胶囊事件：通化金马药业网站被黑
各类安全事件
窗口网页“被黑”为成人社区打广告
抚州交警“很受伤”
各类安全事件
A.Plus Design被黑，导致利君国际停牌至今
时会被防篡改监控端底层驱 动触发阻断。
当黑客成功攻击服务器后在进行篡改时，防篡改系统会实时将操作阻断。
即使在防篡改软件被关闭的情况下，系统也会在1分钟内从发布端推送正 常页面推送到服务器上）这样就起到了阻断篡改的效果，WEB服务器只信
强化网站和信息系统的安全防护，提高网络安全监测和应急处理能力， 并加强相关人员队伍的建设。
各行各业完善自身网络安全监测和应急体系建设，提高网络攻击发现 和溯源处置能力。
广大网民应提高自身网络安全意识，做好漏洞修补和恶意程序查杀等 防护措施。
目前安全现状
2012年BlackHat回顾
新一代WEB安全：HTML5,RIA
– 安全意识基础 – 流行攻击及防御手段介绍 – OWASP-WEB安全认证专家培训
设计
设计
针对开发人员
的专项培训
WEB安全建模 分析
标准化安全培训 卸载实施安全建 模分析
设计
标准化的客户培训
初级培训（安全教育类培训）
– 安全意识基础 – 流行攻击及防御手段介绍
中级培训
– 软件开发安全培训
高级培训（认证培训）
极光行动（2009-2010）
极光行动（Operation Aurora）是2009年12月中旬可 能源自中国的一场网络攻击，其名称“Aurora”（意为 极光、欧若拉）来自攻击者电脑上恶意文件所在路径的
一部分。
2010年1月12日，Google在它的官方博客上披露了遭到 该攻击的时间。此外还有20多家公司也遭受了类似的攻 击（部分来源显示超过34家）
2011年WEB应用安全现状
据CNCERT/CC研究显示，2011年我国互联网网络安全状 况继续保持平稳状态，未发生造成大范围影响的重大网 络安全事件，基础信息网络防护水平明显提升，政府网 站安全事件显著减少，网络安全事件处臵速度明显加快， 但以用户信息泄露为代表的与网民利益密切相关的事件， 引起了公众对网络安全的广泛关注。
2012年互联网应用安全形势
瑞星2012上半年发布中国信息安全报告
2012年互联网应用安全形势
瑞星2012上半年木马数据
2012年互联网应用安全形势
瑞星2012上半年钓鱼网站数据
2012年互联网应用安全形势
Android病毒已成为用户的最大威胁
上半年Android中枪无数 安全软件遭病毒“劫持”
2010年WEB应用安全现状
据Gartner的最新调查，75%wk.baidu.com上的攻击行为基于WEB应用层面；同 时数据显示，三分之二的WEB站点都相当脆弱，易受攻击。 2010年，CNCERT监测到境内被篡改网站月度统计情况如图所示。其 中，每月被篡改网站数量平均为2904个。
2010年互联网应用安全问题
终端机安全
USBKEY绕过
输入法漏洞 未限制其他非授权网站 非法调用系统程序 逻辑BUG 调试出管理界面 外网跨段监控 错误提示处理BUG 绝招：物理攻击
终端安全
客户端安全
更加注重客户端安全
控件安全
防护钓鱼网站
防护木马病毒 键盘记录
防护屏幕录像
移动终端安全
随着移动终端的发展，越来越多的行业在移动 终端上开发了移动互联网的功能
Who am I
刘志乐（Tony）
OWASP中国区委员 OWASP中国杭州分会区域负责人 安恒安全服务部总监 2011年中国计算机网络安全年会演讲嘉宾 2011年OWASP亚洲峰会演讲嘉宾 ISF2011上海演讲嘉宾 2012年OWASP AppSec Asia悉尼峰会演讲嘉宾 2012年第四届中国云计算大会演讲嘉宾 2012年计算机网络安全年会演讲嘉宾
A.超级火焰病毒爆发 B. 计算机病毒或成为国家武器
大型攻击针对银行、支付领域
APT攻击
什么是APT
Advanced Persistent Threat
APT是指高级的持续性的渗透攻击，是针对特定组织的 多方位的攻击；
APT不是一种新的攻击手法，因此也无法通过阻止一次
攻击就让问题消失
APT攻击
基于云平台的监控与预警机制
规划
规划
基于OWASP的安
全需求设计规范
基于SDL的软件 开发规范 OWASP 认证培训
安全寻求分析 安全意识培训
规划
规划
SDL与OWASP的结合
SDL有的
– 生命周期的管理机制
OWASP有的
– 生命周期中部分技术节点的安全（测试）指南
规划
标准化的客户培训
安全教育类培训
1
近期安全热点
互联网应用系统安全现状 互联网应用安全防护措施
2
3
2012中国互联网数据
互联网普及率越来越高
2012中国互联网数据
使用各类终端上网的用户不断壮大
2012中国互联网数据
移动终端使用比例逐年增加
近期热点
各类安全事件
葫芦岛市建昌县政府网疑遭黑客入侵
《致管团队的一封信》一文出现了以下内容：亲爱的管理团队们，你们的网站存 在严重的BUG(漏洞、缺陷的意思)，希望你们看到此条公告后速联系„„以便得知漏 洞的位置，此条公告已经足以证明漏洞。 另外，为了防止密码泄漏，我修改了你们 最高权限的管理用户密码，请你们速联系取回„„”
– OWASP-WEB安全认证专家培训
设计
安全建模分析
参与设计及评估构架安全，评估应用构架的安全性
开发测试
开发测试
白盒测试 黑盒测试
代码安全跟踪 代码安全测试
开发测试
白盒测试
白盒测试是通过工具扫描+人工确认+人工抽取代码检 查，依照OWASP 2007 TOP 10所披露的脆弱性，根据业 务流信息检查目标系统的脆弱性和缺陷以及结构上的问 题，发现代码层的安全漏洞。
2012年互联网应用安全形势
2012年网络安全形势
2012年网络安全形势应关注以下几方面问题：
– 网站安全面临的形势可能更加严峻，网站中集中存储的用户信息将成 为黑客窃取的重点。 – 随着移动互联网应用的丰富和3G、wifi网络的快速发展，针对移动互 联网智能终端的恶意程序也将继续增加，智能终端将成为黑客攻击的 重点目标。 – 随着我国电子商务的普及，网民的理财习惯正逐步向网上交易转移， 针对网上银行、证券机构和第三方支付的攻击将急剧增加。
WEB应用防火墙提供高效的Web应用安全边界检查功能，
通过对所有Web流量（包括客户端请求流量和服务器返回
的数据流量）进行深度检测，提供了实时有效的入侵防
护功能。通过WEB应用防火墙帮助用户解决目前所面临的 各类网站安全问题，如：注入攻击、跨站脚本攻击(钓鱼 攻击)、恶意编码(网页木马)、缓冲区溢出、信息泄露、 应用层DOS/DDOS攻击等等。
开发测试
黑盒测试
测试人员在进行常规测试时使用黑盒测试工具，可直 接对应用系统的安全性进行测试； 使用半自动化安全测试工具。
实施
实施
安全产品部署
基于web的安全评估
安全产品部署 风险评估与危险 识别
实施
安全产品部署
WEB应用防火墙
WEB和DB审计工具
防篡改系统
产品实现——WEB应用防火墙
2010年互联网应用安全问题
2010年CNCERT共接到网页钓鱼事件报告1566件 ，经归类合并后CNCERT成功处理了631件。在
CNCERT接收到的这些网页钓鱼事件中，被仿冒 的大都是电子商务网站、金融机构网站、第三
方在线支付站点、社区交友网站。
2010年互联网应用安全问题
无线公共网络或成为泄密源头
只要一台Win7系统电脑、一套无线网络及一个网络包分析软 件，设置一个无线热点AP，就能搭建出一个假冒公共网络
2012年互联网应用安全形势
敏感信息泄露，大型企业商业机密堪忧 电子商务网站频遭攻击，用户经济利益遭受严重威胁 企业级、国家级信息对抗已升级至“核战”等级
超级病毒Win32.Virut持续在企业内活跃 APT攻击来临，网络“核战”爆发
移动应用安全：手机操作系统、移动网络及手机应用
安全 APT攻击
钓鱼攻击
1
近期安全热点
互联网应用系统安全现状 互联网应用安全防护措施
2
3
信息的安全现状
IT系统生命周期与信息安全
看得不够远，是因为站得不够高
做得不够好，是因为做得不够早
需求
设计
开发
上线
运维
消亡
看起来做的很多 却始终逃不出这么个小 小的圈子 其实我们可以做的更多
产品实现——WEB和DB审计
4、以审计发现业务违规
通过审计可以发现敏感数据批量泄漏、网站盗链、一些违反 业务逻辑的冒用、盗用等行为；
5、以审计达到合规检查 通过审计可以非常方便的满足等级保护、SOX法案等法规标 准，更可定期出具报表，满足合规检查；
产品实现-防篡改
部署防篡改软件
当WEB服务器页面发生改变
2011年互联网应用安全问题
2011年发生多起信息泄露事件，其中为代表的是
CSDN、天涯等网站用户信息泄露事件。
2011年底， CSDN、天涯等网站发生用户信息泄露事件引起
社会广泛关注，被公开的疑似泄露数据库26个，涉及帐号、
密码信息2.78亿条，严重威胁了互联网用户的合法权益和 互联网安全。根据调查和研判发现，我国部分网站的用户 信息仍采用明文的方式存储，相关漏洞修补不及时，安全 防护水平较低。
2011年互联网应用安全问题
应用软件漏洞呈现迅猛增长趋势
2011年，CNVD共收集整理并公开发布信息安全漏洞5547个，较2010年 大幅增加60.9%。其中，高危漏洞有2164个，较2010年增加约2.3倍。 在所有漏洞中，涉及各种应用程序的最多，占62.6%，涉及各类网站系 统的漏洞位居第二，占22.7%，而涉及各种操作系统的漏洞则排到第三 位，占8.8%。 2011年，在CNCERT接收的网络安全事件(不含漏洞)中，网站安全类事 件占到61.7%；境内被篡改网站数量为36612个，较2010年增加5.1%；4 月-12月被植入网站后门的境内网站为12513个。CNVD接收的漏洞中， 涉及网站相关的漏洞占22.7%，较2010年大幅上升，排名由第三位上升 至第二位。 网站安全问题进一步引发网站用户信息和数据的安全问题。
产品实现——WEB和DB审计
1、审计已知数据库现状： 了解数据库已有帐号、开放端口、权限分配情况等信息； 2、以审计促进信息化管理： 通过审计发现帐号违规使用情况、越权操作、密码违规修改、 无效帐号等行为，起到监督作用，推动整改效果； 3、以审计促进数据库优化： 可以反聩数据库的负载和并发情况、超长执行时间语句、死 锁等问题，提供数据库优化依据；
Wap站点安全
手机网银
– 手机客户端安全 – 通信协议安全 – 协议安全
互联网应用安全形势
根据上述现状和2012年网络安全面临的形势，我们应采取 以下措施：
应加大网络犯罪立法、惩治和量刑力度，形成有效震慑。 加大网络安全行政监管力度，增强对互联网信息和增值业务服务商的 管理。
加强对产品安全性的管理和规范，及时发布漏洞补丁和更新版本。
各类安全事件
花旗银行系统遭黑客入侵 大量客户信息被盗取
各类安全事件
iPhone存短信服务漏洞问题 苹果官方提示慎防受骗
1
近期安全热点
互联网应用系统安全现状 互联网应用安全防护措施
2
3
互联网应用安全问题
2010年互联网应用安全问题 2011年互联网应用安全问题 2012年互联网应用安全形势
2010年互联网应用安全问题
信息安全趋势及走向
安全运维重要性更加凸显
安全运维与IT系统生命周期
需求
设计
开发
上线
运维
消亡
规范+ 培训 规范+ 培训 + 顾问 规范+ 培训 + 日常服务 + 应急 + 专家顾问
规范 + 专家 顾问
保障互联网信息安全
我们需要什么？ 我们应该怎么做？
整个开发生命周期
整个开发生命周期内我们需要做什么：
代码安全跟踪 代码安全测试
体系化的安全培训 协助实施安全建模分析
安全产品的部署 风险评估与威胁识别
需求安全分析 安全意识培训
合规性检查 定期巡检 策略修补 规范及流程完善
威胁管理 脆弱性管理 事件管理 变更管理 日常巡检 告警与预警 安全教育
评价与改进
重点
介入生命周期的前段 更偏重于业务流程机制 渗透测试工作标准化机制 设计针对应用安全的预警机制 强化针对应用安全的应急体系机制
各类安全事件
当当网泄露事件
各类安全事件
世界500强企业中铁二局网站被黑客篡改
各类安全事件
中国国防承包商电子进出口总公司文件疑遭黑客泄密
各类安全事件
涉毒胶囊事件：通化金马药业网站被黑
各类安全事件
窗口网页“被黑”为成人社区打广告
抚州交警“很受伤”
各类安全事件
A.Plus Design被黑，导致利君国际停牌至今
时会被防篡改监控端底层驱 动触发阻断。
当黑客成功攻击服务器后在进行篡改时，防篡改系统会实时将操作阻断。
即使在防篡改软件被关闭的情况下，系统也会在1分钟内从发布端推送正 常页面推送到服务器上）这样就起到了阻断篡改的效果，WEB服务器只信
强化网站和信息系统的安全防护，提高网络安全监测和应急处理能力， 并加强相关人员队伍的建设。
各行各业完善自身网络安全监测和应急体系建设，提高网络攻击发现 和溯源处置能力。
广大网民应提高自身网络安全意识，做好漏洞修补和恶意程序查杀等 防护措施。
目前安全现状
2012年BlackHat回顾
新一代WEB安全：HTML5,RIA
– 安全意识基础 – 流行攻击及防御手段介绍 – OWASP-WEB安全认证专家培训
设计
设计
针对开发人员
的专项培训
WEB安全建模 分析
标准化安全培训 卸载实施安全建 模分析
设计
标准化的客户培训
初级培训（安全教育类培训）
– 安全意识基础 – 流行攻击及防御手段介绍
中级培训
– 软件开发安全培训
高级培训（认证培训）
极光行动（2009-2010）
极光行动（Operation Aurora）是2009年12月中旬可 能源自中国的一场网络攻击，其名称“Aurora”（意为 极光、欧若拉）来自攻击者电脑上恶意文件所在路径的
一部分。
2010年1月12日，Google在它的官方博客上披露了遭到 该攻击的时间。此外还有20多家公司也遭受了类似的攻 击（部分来源显示超过34家）
2011年WEB应用安全现状
据CNCERT/CC研究显示，2011年我国互联网网络安全状 况继续保持平稳状态，未发生造成大范围影响的重大网 络安全事件，基础信息网络防护水平明显提升，政府网 站安全事件显著减少，网络安全事件处臵速度明显加快， 但以用户信息泄露为代表的与网民利益密切相关的事件， 引起了公众对网络安全的广泛关注。
2012年互联网应用安全形势
瑞星2012上半年发布中国信息安全报告
2012年互联网应用安全形势
瑞星2012上半年木马数据
2012年互联网应用安全形势
瑞星2012上半年钓鱼网站数据
2012年互联网应用安全形势
Android病毒已成为用户的最大威胁
上半年Android中枪无数 安全软件遭病毒“劫持”
2010年WEB应用安全现状
据Gartner的最新调查，75%wk.baidu.com上的攻击行为基于WEB应用层面；同 时数据显示，三分之二的WEB站点都相当脆弱，易受攻击。 2010年，CNCERT监测到境内被篡改网站月度统计情况如图所示。其 中，每月被篡改网站数量平均为2904个。
2010年互联网应用安全问题
终端机安全
USBKEY绕过
输入法漏洞 未限制其他非授权网站 非法调用系统程序 逻辑BUG 调试出管理界面 外网跨段监控 错误提示处理BUG 绝招：物理攻击
终端安全
客户端安全
更加注重客户端安全
控件安全
防护钓鱼网站
防护木马病毒 键盘记录
防护屏幕录像
移动终端安全
随着移动终端的发展，越来越多的行业在移动 终端上开发了移动互联网的功能
Who am I
刘志乐（Tony）
OWASP中国区委员 OWASP中国杭州分会区域负责人 安恒安全服务部总监 2011年中国计算机网络安全年会演讲嘉宾 2011年OWASP亚洲峰会演讲嘉宾 ISF2011上海演讲嘉宾 2012年OWASP AppSec Asia悉尼峰会演讲嘉宾 2012年第四届中国云计算大会演讲嘉宾 2012年计算机网络安全年会演讲嘉宾
A.超级火焰病毒爆发 B. 计算机病毒或成为国家武器
大型攻击针对银行、支付领域
APT攻击
什么是APT
Advanced Persistent Threat
APT是指高级的持续性的渗透攻击，是针对特定组织的 多方位的攻击；
APT不是一种新的攻击手法，因此也无法通过阻止一次
攻击就让问题消失
APT攻击
基于云平台的监控与预警机制
规划
规划
基于OWASP的安
全需求设计规范
基于SDL的软件 开发规范 OWASP 认证培训
安全寻求分析 安全意识培训
规划
规划
SDL与OWASP的结合
SDL有的
– 生命周期的管理机制
OWASP有的
– 生命周期中部分技术节点的安全（测试）指南
规划
标准化的客户培训
安全教育类培训
1
近期安全热点
互联网应用系统安全现状 互联网应用安全防护措施
2
3
2012中国互联网数据
互联网普及率越来越高
2012中国互联网数据
使用各类终端上网的用户不断壮大
2012中国互联网数据
移动终端使用比例逐年增加
近期热点
各类安全事件
葫芦岛市建昌县政府网疑遭黑客入侵
《致管团队的一封信》一文出现了以下内容：亲爱的管理团队们，你们的网站存 在严重的BUG(漏洞、缺陷的意思)，希望你们看到此条公告后速联系„„以便得知漏 洞的位置，此条公告已经足以证明漏洞。 另外，为了防止密码泄漏，我修改了你们 最高权限的管理用户密码，请你们速联系取回„„”
– OWASP-WEB安全认证专家培训
设计
安全建模分析
参与设计及评估构架安全，评估应用构架的安全性
开发测试
开发测试
白盒测试 黑盒测试
代码安全跟踪 代码安全测试
开发测试
白盒测试
白盒测试是通过工具扫描+人工确认+人工抽取代码检 查，依照OWASP 2007 TOP 10所披露的脆弱性，根据业 务流信息检查目标系统的脆弱性和缺陷以及结构上的问 题，发现代码层的安全漏洞。
2012年互联网应用安全形势
2012年网络安全形势
2012年网络安全形势应关注以下几方面问题：
– 网站安全面临的形势可能更加严峻，网站中集中存储的用户信息将成 为黑客窃取的重点。 – 随着移动互联网应用的丰富和3G、wifi网络的快速发展，针对移动互 联网智能终端的恶意程序也将继续增加，智能终端将成为黑客攻击的 重点目标。 – 随着我国电子商务的普及，网民的理财习惯正逐步向网上交易转移， 针对网上银行、证券机构和第三方支付的攻击将急剧增加。
WEB应用防火墙提供高效的Web应用安全边界检查功能，
通过对所有Web流量（包括客户端请求流量和服务器返回
的数据流量）进行深度检测，提供了实时有效的入侵防
护功能。通过WEB应用防火墙帮助用户解决目前所面临的 各类网站安全问题，如：注入攻击、跨站脚本攻击(钓鱼 攻击)、恶意编码(网页木马)、缓冲区溢出、信息泄露、 应用层DOS/DDOS攻击等等。
开发测试
黑盒测试
测试人员在进行常规测试时使用黑盒测试工具，可直 接对应用系统的安全性进行测试； 使用半自动化安全测试工具。
实施
实施
安全产品部署
基于web的安全评估
安全产品部署 风险评估与危险 识别
实施
安全产品部署
WEB应用防火墙
WEB和DB审计工具
防篡改系统
产品实现——WEB应用防火墙