天镜Web应用检测系统产品白皮书V1.1启明

./专业整理产品白皮书天镜Web应用检测系统用安全云实现云安全版权声明北京启明星辰信息安全技术有限公司版权所有,并保留对本文档及本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明外,其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。未经北京启明星辰信息安全技术有限公司书面同意,任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。免责条款本文档依据现有信息制作,其内容如有更改,恕不另行通知。北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠,但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。公司简介启明星辰公司成立于1996年,由留美博士严望佳女士创建,是国内最具实力的、拥有完全自主知识产权的网络安全产品、可信天阗入侵检测集中管理系统、安全服务与解决方案的综合提供商。2010年6月23日,启明星辰在深交所中小板正式挂牌上市。启明星辰拥有完善的专业安全产品线,横跨防火墙/UTM、入侵检测管理、网络审计、终端管理、加密认证等技术领域,共有百余个产品型号,并根据客户需求不断增加。启明星辰解决方案为客户的安全需求与信息安全产品、服务之间架起桥梁,将客户的安全保障体系与信息安全核心技术紧密相连,帮助其建立完善的安全保障体系。自2002年起,启明星辰就持续保持国内入侵检测、漏洞扫描市场占有率第一。近年来,发展成为国内统一威胁管理、天阗入侵检测集中管理系统国内市场第一位,安全性审计、安全专业服务市场领导者。目前,公司在全国各省市自治区设立三十多家分支机构,拥有覆盖全国的渠道和售后服务体系。长期以来,启明星辰公司得到了党和国家领导人的关怀与鼓励。2000年1月,江泽民、李岚清、曾庆红等党和国家领导人亲切视察启明星辰公司；2003年1月,胡锦涛总书记亲切接见了启明星辰公司CEO严望佳博士。凭借多年来的潜心研发,启明星辰获得国家规划布局内重点软件企业,国家火炬计划软件产业优秀企业,中国电子政务IT100强等荣誉,及拥有最高级别的涉及国家秘密的计算机信息系统集成资质证书。启明星辰目前是我国规模最大的国家级网络安全研究基地。完成包括国家发改委产业化示范工程,国家科技部863计划、国家科技支撑计划等国家级科研项目近百项。创造了百余项专利和软件著作权,参与制订国家及行业网络安全标准,填补了我国信息安全科研领域的多项空白。作为信息安全行业的领军企业,启明星辰以用户需求为根本动力,研究开发了完善的专业安全产品线。通过不断耕耘,已经成为在政府、电信、金融、能源、交通、军队、军工、制造等国内高端企业级客户的首选品牌：启明星辰在政府和军队拥有80%的市场占有率,为世界五百强中60%的中国企业客户提供安全产品及服务；在金融领域,启明星辰对政策性银行、国有控股商业银行、全国性股份制商业银行实现90%的覆盖率。在电信领域,启明星辰为中国移动、中国电信、中国联通三大运营商提供安全产品、安全服务和解决方案。作为北京奥组委独家中标的核心信息安全产品、服务及解决方案提供商,奥帆委唯一信息安全供应商,启明星辰受到独家官方授权,全面负责奥运会主体网络系统的安全保障,得到了国家主管部门的大力嘉奖。此外,启明星辰还为上海世博会、XX亚运会等多项世界级大型活动提供全方位信息安全保障。在公司快速稳定发展的同时,启明星辰公司坚持以爱心回馈社会,截止目前,已累计资助贫困学子、受灾、贫困群众近2000多万元人民币,并在XX、XX、新疆等地援建了5所希望小学。启明星辰公司将秉承诚信和创新精神,继续致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务,帮助客户全面提升其IT基础设施的安全性和生产效能,为打造和提升国际化的民族信息安全产业第一品牌而不懈努力。目录1.1版权声明21.2免责条款21.3公司简介31.4目录52背景63产品综述63.1产品客户价值63.2体系结构6硬件形态6软件架构63.3产品功能73.4产品特点83.5部署方式8单机部署8云模式部署84技术优势94.1私有云/云部署95典型应用96服务支持96.1产品升级周期96.2产品更新方式96.3联系方式10.专业整理随着Internet的普及和发展以及Web应用技术的发展和研究的深入,已经有越来越多的Web应用系统被部署在Internet上以提供各式各样的应用服务。Web应用系统己被广泛应用于商业,军事,医疗以及政府机构等各个领域。然而,随着Web应用系统的广泛应用,由于其自身的特点及开发模式,Web应用系统漏洞日益增加。权威的安全组织OWASP〔OpenWebApplicationSecurityProject从2010年开始发布"10大Web应用安全漏洞"。根据国家互联网应急中心CNCERT/CC发布的《2013年中国互联网网络安全报告》,Web应用漏洞占18.1%。国家计算机网络入侵防范中心2012年发现主流社交网站存在新型XAS安全漏洞,可以被利用进行蠕虫攻击、钓鱼攻击、窃取用户隐私等,严重威胁到社交网络及其用户的安全和隐私。2013年7月曝出的Struts2漏洞,2014年4月曝出的OpenSSL〔心脏出血,给全球网站,尤其是银行等金融机构网站带来重大影响。这些漏洞不只是会泄露用户账号密码信息,甚至会导致网站服务器被控制等等。与此同时,针对Web应用程序安全漏洞的SQL注入、网页挂马、跨站脚本攻击频频发生,大量知名网站用户信息被黑客在网上曝光,新浪微博遭受XSS跨站脚本攻击,美国第二大团购网站LivingSocial遭遇黑客攻击,致使5000万用户资料外泄。面对Web应用系统的安全现状,迫切需要专门针对Web应用安全漏洞的检测系统,用于主动发现Web应用系统潜在的安全缺陷或漏洞,并及时采取修补措施,将安全问题防患于未然。为了有效应对Web应用系统的安全风险,启明星辰推出了天镜Web应用检测系统产品,全面、有效地检测Web应用系统潜在的各种漏洞。产品客户价值为了改善用户Web应用的安全状况,提高应用系统的安全性,启明星辰公司推出了天镜Web应用检测系统,帮助用户检查Web应用系统的安全性。天镜Web应用检测系统拥有强大的Web漏洞扫描能力,支持基于CWE〔CommonWeaknessEnumeration的安全弱点库和基于CVE〔CommonVulnerabilitiesandExposures的安全漏洞库,通过详细分析网站的结构和链接,探测网站对异常行为的反应,指出可能存在的漏洞,并提供实时的可用性监控、网页变更监控,对异常活动发出报警；对于外网用户,提供DNS解析监控,当DNS服务器被污染时发出报警。体系结构硬件形态天镜Web应用检测系统的硬件平台是1U上架设备,标配1个10/100/1000M管理口〔可做扫描口、5个100/1000M扫描电口、1个USB口、1个CONSOLE口、单交流电源。软件架构天镜Web应用检测系统是基于Web的管理方式,用户使用浏览器通过SSL加密通道和系统进行交互,方便用户管理。整个系统架构如下图所示。产品功能提供对Web应用的SQL注入漏洞、命令注入、CRLF注入、LDAP注入、XSS跨站脚本漏洞、路径遍历漏洞、信息泄漏漏洞、URL跳转漏洞、文件包含漏洞、应用程序漏洞、文件上传漏洞等进行检测。对网站进行挂马检测。提供网页内暗链的检测。提供针对已发现的Web应用的漏洞进行验证。提供网站挂马检测、敏感词监控、应用漏洞监控等网站安全监控功能。提供用户管理、升级管理、授权管理、系统配置等管理功能。产品特点以安全弱点为中心的网站漏洞检测系统相对与传统扫描器,天镜Web应用扫描系统更关注造成安全漏洞的原因,天镜Web应用扫描系统支持CWE〔CommonWeaknessEnumeration中所列举的与WEB安全相关的安全弱点,安全弱点是程序员在软件开发中的错误类型,CVE〔CommonVulnerabilitiesandExposures中的所列举的漏洞是指经过分析验证可被利用的问题,可以说发现安全弱点意味着发现未知的安全漏洞,可以说,通过对WEB应用系统的探测及反馈,天镜Web应用扫描系统能够发现未知的安全漏洞,具有一定的漏洞挖掘能力。同时天镜Web应用扫描系统也支持各种主流WEB应用的已知安全漏洞。功能完善的web应用安全服务平台天镜Web应用扫描系统不仅是一套漏洞扫描系统,同时也是一个功能完善强大的WEB应用安全服务平台,支持WEB漏洞扫描、WEB可用性监控、网页变更监控、DNS解析监控、关键字监控、暗链挂马监控等诸多功能,支持24小时不停的安全监控。天镜Web应用扫描系统支持多用户多账号管理,每个账号都能得到一个完善的监控平台,后台管理员可以看到所有用户的运行状况,前后台均可以独立初具安全报表。拥有了天镜Web应用扫描系统就等于获得了一个完整的安全服务平台。云模式的云安全监控解决方案天镜Web应用扫描系统支持云模式部署,可以根据安全监控任务的需要不断扩展,进行伸缩部署,为更多的WEB应用系统提供安全服务。部署方式天镜Web应用检测系统部署灵活简单,应用灵活,适用于各种规模、各种类型的网站进行Web漏洞检测。单机部署中小网站可以通过部署单个天镜Web应用检测系统实现扫描,部署如下图示。云模式部署大型网站可以通过云模式部署多个天镜Web应用检测系统实现多个域名同时扫描,部署如下图示。强大的浏览器爬虫天镜Web应用检测系统采用基于Webkit浏览器引擎的爬虫,最大限度的模拟浏览器的行为,通过内置的javascript解析器解析js脚本,能够实现对网页上动态链接的实时生成,模拟数据输入和鼠标点击效果,完美再现网页的正常活动。分布式扫描引擎天镜Web应用检测系统支持分布式部署,多个扫描器可以注册到一个主扫描上,主扫描器统一管理其它扫描器的扫描活动,为用户提供透明的扫描扩展能力。CWE弱点库天镜Web应用检测系统支持基于CWE〔CommonWeaknessEnumeration中所列举的与WEB安全相关的安全弱点,安全弱点是程序员在软件开发中的错误类型,通过验证发现安全弱点发现未知的安全漏洞。CVE漏洞库天镜Web应用检测系统支持基于CVE〔CommonVulnerabilitiesandExposures的安全漏洞库,除支持主流WEB应用的安全漏洞以外,特别纳入国产常见WEB应用系统的安全漏洞,如织梦CMS〔DeDeCMS、PHPCMS、KesionCMS、aspcms\SiteServerCMS、Discuz!论坛、ECSHOP建店系统、Shopex网店系统、LxBlog博客系统、ExtMail邮件等国产WEB软件的应用漏洞。可用性云检测天镜Web应用检测系统支持基于云的可用性检测,用户可以自行部署或租用可用性探测节点,根据自己的需要,探测在不同地理位置、不同网络运营商中对目标网站访问的可用性。私有云/云部署天镜Web应用检测系统支持可伸缩性的云部署模式,可以根据安全监控任务的需要不断扩展,进行伸缩部署,为更多的WEB应用系统提供安全服务。联系方式北京市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦邮编：100193北京总部售后统一支持热线：800－810－6038Web网址：电话/p>

传真：大厦前台：82779000

市场：82779205

财务：82779250

电信：82779104

客服：82779151

商务：82779262

IT支持部：82779003

销售：82779004

上海市浦东新区张江高科技园区碧波路177号A区1层101室邮编：201203电话/p>

传真：XX自治区XX市金珠西路格桑林卡小区B9-9栋邮编：850000电话：XX省XX市玄武大道699号徐庄软件产业园1号门行政中心7楼726室邮编：210008电话：025-8453045084530460

传真999XX省XX市万塘路317号华星世纪大楼10楼1003室邮编：310013电话/p>

85874060

传真X省XX市长江中路177号花样年华1502室邮编：230000电话/p>

传真：XX市福田区上梅林中康南路8号雕塑家园905室邮编：5180490755-25951188

传真X省XX市天河区XX大道西华景路1号南方通信大厦9楼邮编：510640电话/p>

传真：广西XX市民族大道115-1号现代国际1124房邮编：530022电话/p>

传真：XX省XX市鼓楼区软件大道89号XX软件园A区22幢楼三层邮编：350003电话/p>

传真X市高新区科园一街73号科技发展大厦F座5-7邮编：400039电话1007

传真：XX省XX市高新区天府大道南延线高新孵化园1号楼A座4楼D-5号附1、2号邮编：610041电话85336982/85336983/85336225/85336227

传真8058XX省XX市都司路62号鸿灵纽约商务大厦16楼71附一号邮编：550000电话：XX省XX市北京路广场金色年华A座2502室邮编：650021电话/p>

传真：XX省XX市和平区三好街87号三好SOHO505室邮编：110004电话/p>

传真：XX省XX市红旗街1768号长影商务景都12楼1205室邮编：130012电话/p>

传真X市高新区礼贤街32号XX海外学子创业园B座108室邮编：116025电话/p>

传真X省XX市南岗区学府路56号理工大厦712室邮编：150086电话：0451－55583991/55583992

传真：0451－55583993XX呼和浩特市新城区兴安南路6号5单元102邮编：01