瑞数信息：构建安全可信动态云端web应用平台

随着云计算时代的到来，越来越多的企业用户将业务系统迁移至云平台，利用云平台提供各种Web应用和服务。然而，这些云端Web应用和服务也因此成为黑客或各种恶意组织和个人为某种利益而攻击的目标。

组成“云平台”的各种系统和应用除了要面对传统网络环境中所面临的病毒、木马和恶意软件等威胁之外，还要应对薅羊毛、刷单、黄牛党、虚假账号等业务欺诈，以及针对存放在“云中”用户信息发起的恶意撞库、拖库、恶意爬虫等攻击，这些新型威胁手段繁多，特别是模拟合法业务逻辑操作的攻击更是防不胜防，让现有防护措施难以甄别。

动态变幻隐藏技术

如何解决云端Web应用所临的安全问题？有没有一种方案能够轻量便捷、灵活高效地将Web业务和应用安全地交付到云架构中呢？答案是肯定的。瑞数颠覆性的创新动态安全技术可以与各类公有云、私有云和混合云充分整合，帮助企业安全地将各类Web业务和应用交付在云架构中，防范黑客利用 Web 应用天然缺陷对业务进行恶意攻击，弥补传统安全产品的技术短板。

围绕保护云端Web业务，瑞数“先发制人，掌握先机”的防护哲学彻底颠覆攻防态势，通过动态封装、动态验证、动态混淆、动态令牌等变幻技术，隐藏攻击入口，提升黑客攻击难度，加快防护响应速度，降低企业管理负担，全程保护Web应用安全，主动识别和阻挡传统防护手段乏力的自动化攻击，同时将安全数据与海量威胁情报分析相结合，为用户提供全景的安全威胁可视、攻击溯源定位等功能。利用并结合云平台的计算资源和应用资源，为企业客户的业务提供从客户端到云端服务侧的全方位安全保护。

动态云端Web应用安全防护

具体来说，瑞数动态云端Web应用安全防护方案可以实现业务反欺诈、数据防泄漏、威胁可视化和协同防护。

动态云端Web应用安全防护

业务反欺诈：拦阻盗刷、套现、薅羊毛、违反业务逻辑操作等业务欺诈行为。

数据防泄漏：防护零日漏洞、撞库、网页后门、恶意代码注入等自动化攻击。

威胁可视：高效的可视化报表系统，丰富的多维度分析参数和实时图表单元。

协同防护：即时捕获各类攻击，精确定位攻击来源，与各类安全手段形成协同防护体系。

通过动态云端Web应用安全防护方案，用户可以实现：

• 应用漏洞不再依赖补丁 - 通过隐藏web网页路径及可能的攻击入口，令漏洞扫描、漏洞利用的工具完全失效。
• 直击未知攻击及自动化攻击 - 有效阻止撞库、恶意注册、恶意爬虫、拖库、应用DDoS等攻击行为。
• 弥补应用安全防御空白 - 识别与阻挡多源低频、模拟业务逻辑、网页零日漏洞等新兴攻击，让企业不再…..
• 统一安全管理 - 整合公有云和私有云，提供可视性和报告管理；
• 自动化流程 - 最大限度的减少配置失误；
• 消除业务中断或停止带来的成本及名誉损失；
• 最大的灵活性 - 将工作负载、应用程序及数据中心安全迁移到公有云。

动态云端Web应用安全防护场景

绝大部分网站、电商、网上银行等都需要进行Web安全设防。在长期的实践当中，瑞数的安全专家梳理出三种典型的动态云端Web应用安全防护场景，如下：

业务欺诈

• 刷单 - 防止商家通过工具刷单，虚假提升自己的排名或评价。
• 薅羊毛 - 防止“羊毛党”通过恶意注册等方式绕过平台验证，批量套取活动优惠和促销，赚取利润。
• 短信轰炸 - 防止黑客滥用短信发送接口，批量或向指定手机号发送垃圾短信，影响正常手机使用。
• 黄牛党 - 防止通过自动化工具大量从多点多账号登录并参与抢购活动，进而倒卖获利。
• 套现 - 防止恶意用户通过技术手段绕过安全限制，进行虚假交易，换取积分，兑换礼品后套现获利。
• 虚假账号 - 防止通过虚假手机或临时邮箱，通过自动脚本注册大量垃圾账号。

数据泄露

• 撞库 - 防止黑客通过黑产数据库，利用自动化程序实施登录尝试，盗取合法账号，进而获取用户信息或让用户资金蒙受巨额损失。
• 拖库?利用合法身份或盗用身份，通过脚本或者编制程序，模拟合法业务逻辑进行的批量信息导出
• 恶意爬虫 - 有效拦阻攻击者利用自动化程序爬取网站企业信息、商品信息、评论信息等内容，还原关键敏感数据。

威胁可视

• 内置可视化报表子系统，提供丰富的多维度分析参数和实时图表单元，能够将诸如攻击类型、攻击方式、攻击路径、源IP地址、异常流量占比等关键信息一目了然地展示出来。
• 发现隐藏IP和攻击以及网页针对性攻击的企图

Web应用安全是一个如何强调都不为过的事情，千里之行始于足下，瑞数动态云端Web应用防护实现在线安全第一步，其低成本、轻量级、快速响应的优势特点，让更多企业用户在享受云服务便捷和成本优势的同时，不再担忧云的安全性，全力拥抱云计算。

关于瑞数
瑞数信息( River Security )，成立于2012年，专注于提供业界最前沿的互联网动态业务应用安全防护解决方案。总部位于上海，在北京和深圳分别设有分支机构，并在成都设立了研发中心。首创的“动态安全”主动防护技术完全颠覆了延续20多年的传统安全技术基础，可以有效抵御各类自动化攻击或模拟合法操作的交易欺诈行为，阻挡能力更高效、更及时，同时大幅度降低部署及使用成本。

本文转自d1net（转载）