关于web软件信息安全问题防护资料的整理（三）

了解了web系统的安全威胁，那么我们应该怎样防范这些安全威胁呢？

1.时刻准备应战

Web应用系统所面临的威胁是非常严峻的。不管攻击的一方是采用单一形式的攻击，还是采用混合多种手段的混合攻击，作为防护一 方，你需要考虑如下几个问题：

（1）在攻击发起前，能否先于攻击者发现系统存在的漏洞？

（2）在攻击过程中，能否快速地发现、响应和控制？

（3） 安全运维团队的能力和效率怎样？

　　决定上述问题的关键是——时间。攻防双方，哪一个占据了时间上的优势和主动，哪一方将获得最终的成功。

（4）.是否以更为主动式的防御来取代完全被动的防御？

如果你可以在攻击者发起攻击之前，采取主动式的防御机制，先于攻击者发现系统的漏洞并有效修复，那么无疑减小了系统的攻击面，降低了系统面临的风险，从而客观上延后了系统可能遭到攻击的时间。然而，如果你的防御仍旧是静态和被动的，不能实现事先的检查和防护，那么等于将战场的主动权交给了你的对手——攻击者，什么时候开始这场攻防战，你的对手说了算。

3.2 安全防护设备是否能够对攻击行为进行针对性的防护以及彼此配合？

如果对攻击的发现来自于Web服务器资源枯竭的告警，甚至是客户的投诉，那么就太晚了。特别对于一些提供在线交易的Web系统，业务的可获得性和连续性至关重要，攻击需要被尽早发现和处理。这些挑战最终需要安全设备来解决。

首先，不同类型的安全防护设备的检测和控制原理是不同的，这是由攻击者攻击手段的不同决定的，因此，不要指望在一个设备上同时实现对应用层攻击和网络层攻击的防护。

其次，是采用在线式还是旁路式来进行防护，对于不同的攻击，取得的效果可能就存在差别。在线式防御的响应速度快，对于应用层攻击的防护效果好。

最后，在面临诸如混合攻击的复杂攻击情况下，设备间的协同配合就显得非常重要。如何实现快速调度不同设备的防护能力，是

解决复杂攻击的关键。自动化程度越高，响应时间越短，效率越高。反之，如果设备间的协同和调度仍通过人工来进行，那么你的响应时间可能是几个小时。

3.3 安全运维团队是否处于24x7的工作状态以及是否足以应对最

严酷环境下的攻防对抗？

攻击者的时间表是24x7，不管是深夜，还是节假日，他们随时都可能发起进攻。这样一来，维护人员能否在攻击发生后的第一时间到现场进行对抗性操作直接影响到防护的成败。同时，你的维护团队是否真的可以熟练操作和调度安全设备来完成严酷攻防对抗场景下的工作也是一个决定成败的重要因子。坏消息是，不要指望一般的系统维护人员同时具备安全攻击的应对能力，事实上，专业的安全专家总是最稀缺的资源。如果你的运维团队不能在第一时间发现攻击并熟练操作和调度安全设备，直接的后果就是你对攻击的响应时间可能又是几个小时。因此，你需要的是一支专业化和全天候的安全应急团队。