天鏡Web應用檢測系統(tǒng)產品白皮書V1.1啟明

./專業(yè)整理產品白皮書天鏡Web應用檢測系統(tǒng)用安全云實現(xiàn)云安全版權聲明北京啟明星辰信息安全技術有限公司版權所有,并保留對本文檔及本聲明的最終解釋權和修改權。本文檔中出現(xiàn)的任何文字敘述、文檔格式、插圖、照片、方法、過程等內容,除另有特別注明外,其著作權或其他相關權利均屬于北京啟明星辰信息安全技術有限公司。未經(jīng)北京啟明星辰信息安全技術有限公司書面同意,任何人不得以任何方式或形式對本手冊內的任何部分進行復制、摘錄、備份、修改、傳播、翻譯成其它語言、將其全部或部分用于商業(yè)用途。免責條款本文檔依據(jù)現(xiàn)有信息制作,其內容如有更改,恕不另行通知。北京啟明星辰信息安全技術有限公司在編寫該文檔的時候已盡最大努力保證其內容準確可靠,但北京啟明星辰信息安全技術有限公司不對本文檔中的遺漏、不準確、或錯誤導致的損失和損害承擔責任。公司簡介啟明星辰公司成立于1996年,由留美博士嚴望佳女士創(chuàng)建,是國內最具實力的、擁有完全自主知識產權的網(wǎng)絡安全產品、可信天闐入侵檢測集中管理系統(tǒng)、安全服務與解決方案的綜合提供商。2010年6月23日,啟明星辰在深交所中小板正式掛牌上市。啟明星辰擁有完善的專業(yè)安全產品線,橫跨防火墻/UTM、入侵檢測管理、網(wǎng)絡審計、終端管理、加密認證等技術領域,共有百余個產品型號,并根據(jù)客戶需求不斷增加。啟明星辰解決方案為客戶的安全需求與信息安全產品、服務之間架起橋梁,將客戶的安全保障體系與信息安全核心技術緊密相連,幫助其建立完善的安全保障體系。自2002年起,啟明星辰就持續(xù)保持國內入侵檢測、漏洞掃描市場占有率第一。近年來,發(fā)展成為國內統(tǒng)一威脅管理、天闐入侵檢測集中管理系統(tǒng)國內市場第一位,安全性審計、安全專業(yè)服務市場領導者。目前,公司在全國各省市自治區(qū)設立三十多家分支機構,擁有覆蓋全國的渠道和售后服務體系。長期以來,啟明星辰公司得到了黨和國家領導人的關懷與鼓勵。2000年1月,江澤民、李嵐清、曾慶紅等黨和國家領導人親切視察啟明星辰公司；2003年1月,胡錦濤總書記親切接見了啟明星辰公司CEO嚴望佳博士。憑借多年來的潛心研發(fā),啟明星辰獲得國家規(guī)劃布局內重點軟件企業(yè),國家火炬計劃軟件產業(yè)優(yōu)秀企業(yè),中國電子政務IT100強等榮譽,及擁有最高級別的涉及國家秘密的計算機信息系統(tǒng)集成資質證書。啟明星辰目前是我國規(guī)模最大的國家級網(wǎng)絡安全研究基地。完成包括國家發(fā)改委產業(yè)化示范工程,國家科技部863計劃、國家科技支撐計劃等國家級科研項目近百項。創(chuàng)造了百余項專利和軟件著作權,參與制訂國家及行業(yè)網(wǎng)絡安全標準,填補了我國信息安全科研領域的多項空白。作為信息安全行業(yè)的領軍企業(yè),啟明星辰以用戶需求為根本動力,研究開發(fā)了完善的專業(yè)安全產品線。通過不斷耕耘,已經(jīng)成為在政府、電信、金融、能源、交通、軍隊、軍工、制造等國內高端企業(yè)級客戶的首選品牌：啟明星辰在政府和軍隊擁有80%的市場占有率,為世界五百強中60%的中國企業(yè)客戶提供安全產品及服務；在金融領域,啟明星辰對政策性銀行、國有控股商業(yè)銀行、全國性股份制商業(yè)銀行實現(xiàn)90%的覆蓋率。在電信領域,啟明星辰為中國移動、中國電信、中國聯(lián)通三大運營商提供安全產品、安全服務和解決方案。作為北京奧組委獨家中標的核心信息安全產品、服務及解決方案提供商,奧帆委唯一信息安全供應商,啟明星辰受到獨家官方授權,全面負責奧運會主體網(wǎng)絡系統(tǒng)的安全保障,得到了國家主管部門的大力嘉獎。此外,啟明星辰還為上海世博會、XX亞運會等多項世界級大型活動提供全方位信息安全保障。在公司快速穩(wěn)定發(fā)展的同時,啟明星辰公司堅持以愛心回饋社會,截止目前,已累計資助貧困學子、受災、貧困群眾近2000多萬元人民幣,并在XX、XX、新疆等地援建了5所希望小學。啟明星辰公司將秉承誠信和創(chuàng)新精神,繼續(xù)致力于提供具有國際競爭力的自主創(chuàng)新的安全產品和最佳實踐服務,幫助客戶全面提升其IT基礎設施的安全性和生產效能,為打造和提升國際化的民族信息安全產業(yè)第一品牌而不懈努力。目錄1.1版權聲明21.2免責條款21.3公司簡介31.4目錄52背景63產品綜述63.1產品客戶價值63.2體系結構6硬件形態(tài)6軟件架構63.3產品功能73.4產品特點83.5部署方式8單機部署8云模式部署84技術優(yōu)勢94.1私有云/云部署95典型應用96服務支持96.1產品升級周期96.2產品更新方式96.3聯(lián)系方式10.專業(yè)整理隨著Internet的普及和發(fā)展以及Web應用技術的發(fā)展和研究的深入,已經(jīng)有越來越多的Web應用系統(tǒng)被部署在Internet上以提供各式各樣的應用服務。Web應用系統(tǒng)己被廣泛應用于商業(yè),軍事,醫(yī)療以及政府機構等各個領域。然而,隨著Web應用系統(tǒng)的廣泛應用,由于其自身的特點及開發(fā)模式,Web應用系統(tǒng)漏洞日益增加。權威的安全組織OWASP〔OpenWebApplicationSecurityProject從2010年開始發(fā)布"10大Web應用安全漏洞"。根據(jù)國家互聯(lián)網(wǎng)應急中心CNCERT/CC發(fā)布的《2013年中國互聯(lián)網(wǎng)網(wǎng)絡安全報告》,Web應用漏洞占18.1%。國家計算機網(wǎng)絡入侵防范中心2012年發(fā)現(xiàn)主流社交網(wǎng)站存在新型XAS安全漏洞,可以被利用進行蠕蟲攻擊、釣魚攻擊、竊取用戶隱私等,嚴重威脅到社交網(wǎng)絡及其用戶的安全和隱私。2013年7月曝出的Struts2漏洞,2014年4月曝出的OpenSSL〔心臟出血,給全球網(wǎng)站,尤其是銀行等金融機構網(wǎng)站帶來重大影響。這些漏洞不只是會泄露用戶賬號密碼信息,甚至會導致網(wǎng)站服務器被控制等等。與此同時,針對Web應用程序安全漏洞的SQL注入、網(wǎng)頁掛馬、跨站腳本攻擊頻頻發(fā)生,大量知名網(wǎng)站用戶信息被黑客在網(wǎng)上曝光,新浪微博遭受XSS跨站腳本攻擊,美國第二大團購網(wǎng)站LivingSocial遭遇黑客攻擊,致使5000萬用戶資料外泄。面對Web應用系統(tǒng)的安全現(xiàn)狀,迫切需要專門針對Web應用安全漏洞的檢測系統(tǒng),用于主動發(fā)現(xiàn)Web應用系統(tǒng)潛在的安全缺陷或漏洞,并及時采取修補措施,將安全問題防患于未然。為了有效應對Web應用系統(tǒng)的安全風險,啟明星辰推出了天鏡Web應用檢測系統(tǒng)產品,全面、有效地檢測Web應用系統(tǒng)潛在的各種漏洞。產品客戶價值為了改善用戶Web應用的安全狀況,提高應用系統(tǒng)的安全性,啟明星辰公司推出了天鏡Web應用檢測系統(tǒng),幫助用戶檢查Web應用系統(tǒng)的安全性。天鏡Web應用檢測系統(tǒng)擁有強大的Web漏洞掃描能力,支持基于CWE〔CommonWeaknessEnumeration的安全弱點庫和基于CVE〔CommonVulnerabilitiesandExposures的安全漏洞庫,通過詳細分析網(wǎng)站的結構和鏈接,探測網(wǎng)站對異常行為的反應,指出可能存在的漏洞,并提供實時的可用性監(jiān)控、網(wǎng)頁變更監(jiān)控,對異常活動發(fā)出報警；對于外網(wǎng)用戶,提供DNS解析監(jiān)控,當DNS服務器被污染時發(fā)出報警。體系結構硬件形態(tài)天鏡Web應用檢測系統(tǒng)的硬件平臺是1U上架設備,標配1個10/100/1000M管理口〔可做掃描口、5個100/1000M掃描電口、1個USB口、1個CONSOLE口、單交流電源。軟件架構天鏡Web應用檢測系統(tǒng)是基于Web的管理方式,用戶使用瀏覽器通過SSL加密通道和系統(tǒng)進行交互,方便用戶管理。整個系統(tǒng)架構如下圖所示。產品功能提供對Web應用的SQL注入漏洞、命令注入、CRLF注入、LDAP注入、XSS跨站腳本漏洞、路徑遍歷漏洞、信息泄漏漏洞、URL跳轉漏洞、文件包含漏洞、應用程序漏洞、文件上傳漏洞等進行檢測。對網(wǎng)站進行掛馬檢測。提供網(wǎng)頁內暗鏈的檢測。提供針對已發(fā)現(xiàn)的Web應用的漏洞進行驗證。提供網(wǎng)站掛馬檢測、敏感詞監(jiān)控、應用漏洞監(jiān)控等網(wǎng)站安全監(jiān)控功能。提供用戶管理、升級管理、授權管理、系統(tǒng)配置等管理功能。產品特點以安全弱點為中心的網(wǎng)站漏洞檢測系統(tǒng)相對與傳統(tǒng)掃描器,天鏡Web應用掃描系統(tǒng)更關注造成安全漏洞的原因,天鏡Web應用掃描系統(tǒng)支持CWE〔CommonWeaknessEnumeration中所列舉的與WEB安全相關的安全弱點,安全弱點是程序員在軟件開發(fā)中的錯誤類型,CVE〔CommonVulnerabilitiesandExposures中的所列舉的漏洞是指經(jīng)過分析驗證可被利用的問題,可以說發(fā)現(xiàn)安全弱點意味著發(fā)現(xiàn)未知的安全漏洞,可以說,通過對WEB應用系統(tǒng)的探測及反饋,天鏡Web應用掃描系統(tǒng)能夠發(fā)現(xiàn)未知的安全漏洞,具有一定的漏洞挖掘能力。同時天鏡Web應用掃描系統(tǒng)也支持各種主流WEB應用的已知安全漏洞。功能完善的web應用安全服務平臺天鏡Web應用掃描系統(tǒng)不僅是一套漏洞掃描系統(tǒng),同時也是一個功能完善強大的WEB應用安全服務平臺,支持WEB漏洞掃描、WEB可用性監(jiān)控、網(wǎng)頁變更監(jiān)控、DNS解析監(jiān)控、關鍵字監(jiān)控、暗鏈掛馬監(jiān)控等諸多功能,支持24小時不停的安全監(jiān)控。天鏡Web應用掃描系統(tǒng)支持多用戶多賬號管理,每個賬號都能得到一個完善的監(jiān)控平臺,后臺管理員可以看到所有用戶的運行狀況,前后臺均可以獨立初具安全報表。擁有了天鏡Web應用掃描系統(tǒng)就等于獲得了一個完整的安全服務平臺。云模式的云安全監(jiān)控解決方案天鏡Web應用掃描系統(tǒng)支持云模式部署,可以根據(jù)安全監(jiān)控任務的需要不斷擴展,進行伸縮部署,為更多的WEB應用系統(tǒng)提供安全服務。部署方式天鏡Web應用檢測系統(tǒng)部署靈活簡單,應用靈活,適用于各種規(guī)模、各種類型的網(wǎng)站進行Web漏洞檢測。單機部署中小網(wǎng)站可以通過部署單個天鏡Web應用檢測系統(tǒng)實現(xiàn)掃描,部署如下圖示。云模式部署大型網(wǎng)站可以通過云模式部署多個天鏡Web應用檢測系統(tǒng)實現(xiàn)多個域名同時掃描,部署如下圖示。強大的瀏覽器爬蟲天鏡Web應用檢測系統(tǒng)采用基于Webkit瀏覽器引擎的爬蟲,最大限度的模擬瀏覽器的行為,通過內置的javascript解析器解析js腳本,能夠實現(xiàn)對網(wǎng)頁上動態(tài)鏈接的實時生成,模擬數(shù)據(jù)輸入和鼠標點擊效果,完美再現(xiàn)網(wǎng)頁的正?；顒?。分布式掃描引擎天鏡Web應用檢測系統(tǒng)支持分布式部署,多個掃描器可以注冊到一個主掃描上,主掃描器統(tǒng)一管理其它掃描器的掃描活動,為用戶提供透明的掃描擴展能力。CWE弱點庫天鏡Web應用檢測系統(tǒng)支持基于CWE〔CommonWeaknessEnumeration中所列舉的與WEB安全相關的安全弱點,安全弱點是程序員在軟件開發(fā)中的錯誤類型,通過驗證發(fā)現(xiàn)安全弱點發(fā)現(xiàn)未知的安全漏洞。CVE漏洞庫天鏡Web應用檢測系統(tǒng)支持基于CVE〔CommonVulnerabilitiesandExposures的安全漏洞庫,除支持主流WEB應用的安全漏洞以外,特別納入國產常見WEB應用系統(tǒng)的安全漏洞,如織夢CMS〔DeDeCMS、PHPCMS、KesionCMS、aspcms\SiteServerCMS、Discuz!論壇、ECSHOP建店系統(tǒng)、Shopex網(wǎng)店系統(tǒng)、LxBlog博客系統(tǒng)、ExtMail郵件等國產WEB軟件的應用漏洞?？捎眯栽茩z測天鏡Web應用檢測系統(tǒng)支持基于云的可用性檢測,用戶可以自行部署或租用可用性探測節(jié)點,根據(jù)自己的需要,探測在不同地理位置、不同網(wǎng)絡運營商中對目標網(wǎng)站訪問的可用性。私有云/云部署天鏡Web應用檢測系統(tǒng)支持可伸縮性的云部署模式,可以根據(jù)安全監(jiān)控任務的需要不斷擴展,進行伸縮部署,為更多的WEB應用系統(tǒng)提供安全服務。聯(lián)系方式北京市海淀區(qū)東北旺西路8號中關村軟件園21號樓啟明星辰大廈郵編：100193北京總部售后統(tǒng)一支持熱線：800－810－6038Web網(wǎng)址：電話/p>

傳真：大廈前臺：82779000

市場：82779205

財務：82779250

電信：82779104

客服：82779151

商務：82779262

IT支持部：82779003

銷售：82779004

上海市浦東新區(qū)張江高科技園區(qū)碧波路177號A區(qū)1層101室郵編：201203電話/p>

傳真：XX自治區(qū)XX市金珠西路格桑林卡小區(qū)B9-9棟郵編：850000電話：XX省XX市玄武大道699號徐莊軟件產業(yè)園1號門行政中心7樓726室郵編：210008電話：025-8453045084530460

傳真999XX省XX市萬塘路317號華星世紀大樓10樓1003室郵編：310013電話/p>

85874060

傳真X省XX市長江中路177號花樣年華1502室郵編：230000電話/p>

傳真：XX市福田區(qū)上梅林中康南路8號雕塑家園905室郵編：5180490755-25951188

傳真X省XX市天河區(qū)XX大道西華景路1號南方通信大廈9樓郵編：510640電話/p>

傳真：廣西XX市民族大道115-1號現(xiàn)代國際1124房郵編：530022電話/p>

傳真：XX省XX市鼓樓區(qū)軟件大道89號XX軟件園A區(qū)22幢樓三層郵編：350003電話/p>

傳真X市高新區(qū)科園一街73號科技發(fā)展大廈F座5-7郵編：400039電話1007

傳真：XX省XX市高新區(qū)天府大道南延線高新孵化園1號樓A座4樓D-5號附1、2號郵編：610041電話85336982/85336983/85336225/85336227

傳真8058XX省XX市都司路62號鴻靈紐約商務大廈16樓71附一號郵編：550000電話：XX省XX市北京路廣場金色年華A座2502室郵編：650021電話/p>

傳真：XX省XX市和平區(qū)三好街87號三好SOHO505室郵編：110004電話/p>

傳真：XX省XX市紅旗街1768號長影商務景都12樓1205室郵編：130012電話/p>

傳真X市高新區(qū)禮賢街32號XX海外學子創(chuàng)業(yè)園B座108室郵編：116025電話/p>

傳真X省XX市南崗區(qū)學府路56號理工大廈712室郵編：150086電話：0451－55583991/55583992

傳真：0451－55583993XX呼和浩特市新城區(qū)興安南路6號5單元102郵編：01