前面我們介紹過(guò)一個(gè)優(yōu)秀的安全方案應(yīng)該具備以下特點(diǎn):能夠有效解決問(wèn)題、用戶(hù)體驗(yàn)好、高性能、低耦合、易于擴(kuò)展與升級(jí),若有沒(méi)有看過(guò)該文章的可以點(diǎn)《如何做好互聯(lián)網(wǎng)產(chǎn)品安全方案》訪(fǎng)問(wèn)，關(guān)于縱深防御包含兩層含義：首先，要在各個(gè)不同層面、不同方面實(shí)施安全方案，避免出現(xiàn)疏 漏，不同安全方案之間需要相互配合，構(gòu)成一個(gè)整體;其次，要在正確的地方做正確的事情， 即：在解決根本問(wèn)題的地方實(shí)施針對(duì)性的安全方案。

某礦泉水品牌曾經(jīng)在廣告中展示了一滴水的生產(chǎn)過(guò)程：經(jīng)過(guò)十多層的安全過(guò)濾，去除有害物質(zhì)， 最終得到一滴飲用水。這種多層過(guò)濾的體系，就是一種縱深防御，是有立體層次感的安全方案。

縱深防御并不是同一個(gè)安全方案要做兩遍或多遍，而是要從不同的層面、不同的角度對(duì)系 統(tǒng)做出整體的解決方案。我們常常聽(tīng)到“木桶理論”這個(gè)詞，說(shuō)的是一個(gè)桶能裝多少水，不是 取決于最長(zhǎng)的那塊板，而是取決于最短的那塊板，也就是短板。設(shè)計(jì)安全方案時(shí)最怕出現(xiàn)短板，木桶的一塊塊板子，就是各種具有不同作用的安全方案，這些板子要緊密地結(jié)合在一起，才能 組成一個(gè)不漏水的木桶。

在常見(jiàn)的入侵案例中，大多數(shù)是利用 Web 應(yīng)用的漏洞，攻擊者先獲得一個(gè)低權(quán)限的 webshell， 然后通過(guò)低權(quán)限的 webshell 上傳更多的文件，并嘗試執(zhí)行更高權(quán)限的系統(tǒng)命令，嘗試在服務(wù)器上 提升權(quán)限為root;接下來(lái)攻擊者再進(jìn)一步嘗試滲透內(nèi)網(wǎng)，比如數(shù)據(jù)庫(kù)服務(wù)器所在的網(wǎng)段。

在這類(lèi)入侵案例中，如果在攻擊過(guò)程中的任何一個(gè)環(huán)節(jié)設(shè)置有效的防御措施，都有可能導(dǎo) 致入侵過(guò)程功虧一簣。但是世上沒(méi)有萬(wàn)能靈藥，也沒(méi)有哪種解決方案能解決所有問(wèn)題，因此南昌網(wǎng)站設(shè)計(jì)公司百恒網(wǎng)絡(luò)網(wǎng)絡(luò)安全工程師提示大家非常有必要將風(fēng)險(xiǎn)分散到系統(tǒng)的各個(gè)層面。就入侵的防御來(lái)說(shuō)，我們需要考慮的可能有 Web 應(yīng)用 安全、OS 系統(tǒng)安全、數(shù)據(jù)庫(kù)安全、網(wǎng)絡(luò)環(huán)境安全等。在這些不同層面設(shè)計(jì)的安全方案，將共 同組成整個(gè)防御體系，這也就是縱深防御的思想。

縱深防御的第二層含義，是要在正確的地方做正確的事情。如何理解呢?它要求我們深入 理解威脅的本質(zhì)，從而做出正確的應(yīng)對(duì)措施。

在 XSS 防御技術(shù)的發(fā)展過(guò)程中，曾經(jīng)出現(xiàn)過(guò)幾種不同的解決思路，直到最近幾年 XSS 的 防御思路才逐漸成熟和統(tǒng)一。

在一開(kāi)始的方案中，主要是過(guò)濾一些特殊字符，比如：

<<笑傲江湖>> 會(huì)變成 笑傲江湖

尖括號(hào)被過(guò)濾掉了。

但是這種粗暴的做法常常會(huì)改變用戶(hù)原本想表達(dá)的意思，比如：

1<2 可能會(huì)變成 1 2

造成這種“烏龍”的結(jié)果就是因?yàn)闆](méi)有“在正確的地方做正確的事情”。對(duì)于 XSS 防御， 對(duì)系統(tǒng)取得的用戶(hù)輸入進(jìn)行過(guò)濾其實(shí)是不太合適的，因?yàn)?XSS 真正產(chǎn)生危害的場(chǎng)景是在用戶(hù) 的瀏覽器上，或者說(shuō)服務(wù)器端輸出的 HTML 頁(yè)面，被注入了惡意代碼。只有在拼裝 HTML 時(shí) 輸出，系統(tǒng)才能獲得 HTML 上下文的語(yǔ)義，才能判斷出是否存在誤殺等情況。所以“在正確

的地方做正確的事情”，也是縱深防御的一種含義——必須把防御方案放到最合適的地方去解 決。( XSS 防御的更多細(xì)節(jié)請(qǐng)參考“跨站腳本攻擊”一章。)

近幾年安全廠商為了迎合市場(chǎng)的需要，推出了一種產(chǎn)品叫 UTM，全稱(chēng)是“統(tǒng)一威脅管理” (Unified Threat Management)。 UTM 幾乎集成了所有主流安全產(chǎn)品的功能，比如防火墻、VPN、 反垃圾郵件、IDS、反病毒等。UTM 的定位是當(dāng)中小企業(yè)沒(méi)有精力自己做安全方案時(shí)，可以在 一定程度上提高安全門(mén)檻。但是 UTM 并不是萬(wàn)能藥，很多問(wèn)題并不應(yīng)該在網(wǎng)絡(luò)層、網(wǎng)關(guān)處解 決，所以實(shí)際使用時(shí)效果未必好，它更多的是給用戶(hù)買(mǎi)個(gè)安心。

對(duì)于一個(gè)復(fù)雜的系統(tǒng)來(lái)說(shuō)，縱深防御是構(gòu)建安全體系的必要選擇。

本文僅限內(nèi)部技術(shù)人員學(xué)習(xí)交流,不得作于其他商業(yè)用途.希望此文對(duì)廣技人員有所幫助。原創(chuàng)文章出自:南昌網(wǎng)站建設(shè)公司-百恒網(wǎng)絡(luò)http://www.51yjwy.com/如轉(zhuǎn)載請(qǐng)注明出處!