在未来的企业安全防护中，基于应用的安全防护产品已经成为企业的安全采购的重点，并且逐渐被多数企业所重视。
应用带来的困扰
一、应用带来的困扰
随着互联网的快速发展，企业的网络应用也从简单的文件传输转变为复杂多样的各种应用，比如邮件处理、数据存储与备份以及补丁分发管理等。这些技术应用在一定程度上提升了企业生产力，但同时也给企业带来诸多问题。
1、邮件问题
邮件处理是如今每个企业的不可或缺的应用，它不仅仅给企业的信息传递带来便利，也给企业增加了烦恼。知名企业TCL集团拥有员工3万余人，活跃邮箱2万6千个。据统计，公司每个邮箱每天收到百余封垃圾邮件，即是说整个集团每天收到的垃圾邮件将近200万封。这些垃圾邮件，多数都含有恶意木马程序或间谍软件，不仅影响了企业网络的正常运行，还大大降低了企业网络的安全性。
2、Web安全问题
如果说邮件问题尚可通过技术手段来解决，那因员工浏览网页而造成的恶意程序加载，泄露商业机密等损失，则是企业不可预控的且危害性也大的多。
在很多企业里，因忙于浏览各种新闻、体育、娱乐甚至成人网站而耽误正常工作的员工大有人在，还有部分员工喜欢用私人邮箱发信、用即时聊天工具聊天以及打开流媒体文件欣赏影片或是音乐，不仅干扰了正常业务运作还给企业网络带来了难以忽视的安全隐患。
面对上述行为，企业往往陷于无奈，这些由于Web安全给企业带来的问题不容小榷。
3、WEB服务器攻击
影响安全的因素还有很多，例如像是病毒、间谍软件、漏洞以及恶意软件等等。不过，相较于攻击者通过利用脆弱的应用程序服务器窃取大量的关键信息来说，上述问题的危险性还是相形见绌。 为什么WEB服务器会成为攻击者的靶子？原因很简单，因为它们是可以被公开访问的，并且与后端的数据库服务器紧密相连，后端数据库服务器存储着海量的令犯罪分子垂涎三尺的信息。常见的WEB服务器攻击方式主要有以下几种：
1）非法输入：在数据被输入程序前忽略对数据合法性的检验，是一个常见的编程漏洞。非法输入的问题已经成为了大多数Web应用程序安全漏洞的一个主要特点。
2）失效的访问控制：大部分企业都非常关注对已经建立的连接进行控制，但是，允许一个特定的字符串输入可以让攻击行为绕过企业的控制。
3）失效的账户和线程管理：良好的访问控制并不代表万事大吉了。企业还应该保护用户的密码，会话令牌，账户列表以及其它任何可以给攻击者提供有利信息帮助他们攻击企业网络的内容。
4）跨站点脚本攻击：XSS是一种常见的攻击。当攻击脚本被嵌入企业的Web页面或其它可以访问的Web资源中，当缺乏安全保护的PC台式机访问这个页面或资源时，脚本就会被启动。这种问题可以影响成百上千的员工以及企业客户的终端电脑。
5）缓存溢出：缓存溢出问题一般出现在较早的编程语言如C语言编写的程序中。这种编程错误其实也是由于没有很好的确定输入内容在内存中的位置所草成的。
6）注入式攻击：如果没有成功的阻止带有语法含义的输入内容，有可能导致对数据库信息的非法访问。
7）异常错误处理：当错误发生时，向用户提交错误提示是很正常的事情，但是如果提交的错误提示中包含了太多的内容，就有可能会被攻击者分析出网络环境的结构或配置。
8）不安全的存储：对于Web应用程序来说，妥善的保存密码，用户名，以及其它与身份验证有关的信息是非常重要的工作。对这些信息进行加密是非常有效的方式，但是一些企业会采用那些未经实践验证的加密解决方案，其中就可能存在漏洞。
9）程序拒绝服务：与拒绝服务攻击 (DoS)类似，应用程序的DoS攻击利用大量非法用户抢占应用程序资源，导致合法用户无法使用该Web应用程序。
10）不安全的配置管理：有效的配置管理过程可以为Web应用程序和企业的网络架构提供良好的保护。（下一页）
网友评论