网络安全产品技术回顾：Web应用篇

　　Web安全——新形势下的安全挑战

　　在Web应用时代，内容逐渐开始趋于动态化，最终用户持续不断的更新现有内容、共享应用程序，并通过多种渠道进行即时通讯。即使采用最佳的策略制定方法，某些不良内容或恶意软件也会随时弹出，使公司的重要信息和网络暴露于极为危险的环境之下。

　　根据 Gartner 的调查，信息安全攻击有 75% 都是发生在 Web 应用层而非网络层面上。同时，数据也显示，2/3的Web站点都相当脆弱，易受攻击。可以说，绝大多数企业将大量的投资花费在网络和服务器的安全上，没有从真正意义上保证 Web 业务本身的安全，才给了黑客可乘之机。

　　Web攻击可导致的后果极为严重，完全可以使用多种攻击手段将一个合法正常网站攻陷，利用获取到的相应权限在网页中嵌入恶意代码，将恶意程序下载到存在客户端漏洞的主机上，从而实现攻击目的。由此可见，Web安全已经成为信息时代最大的“杀手”!

   Web威胁的最终目的——窃取信息获取利益

　　面对来势汹汹的Web威胁，绝大多数企业并没有真正意识到其中的危机。一方面，恶意网站以600%的年增长速度在迅速增加;另一方面，77%带有恶意代码的Web网站是被植入恶意攻击代码的合法网站

　　Web攻击是目前数据窃取的主要途径。相关数据显示当前57%的数据窃取攻击是经由Web而实现。Web威胁可以在用户完全没有察觉的情况下进入企业网络，从而对公司数据资产、行业信誉和关键业务构成极大威胁。即便是一些看上去并不重要的信息片段，一旦被偷窃者汇集并归纳，其后果可能导致公司内部机构设置、战略合作伙伴关系、核心客户等重要信息被泄露。

　　Ponemon研究机构的一项研究也在证明这一点：数据泄露、丢失等破坏行为的平均开销正在逐年增加。并直接给企业带来业务损失，损失占到企业总花费的69%。

　　如何才可以降低Web威胁给企业带来的威胁呢？业内专家给出很好的解决办法：“Web安全+防信息泄露”， Web安全方案可以有效过滤来自互联网的风险，将数据窃取的企图消灭在萌芽阶段，而防信息泄露方案可以对企业的信息资源进行针对性的保护。

    社交网络——Web2.0时代企业致命杀手

　　社交网络作为Web2.0技术的代表正在逐渐深入人们的生活、工作，无形中也连通了商业世界。当下很多年轻人都认为电子邮件已经过时了，他们更热衷使用即时的信息交流和更加开放的空间来与朋友们共享图片、音乐、视频等任何可以以数字化形式操作的东西。

　　伴随着社交网络的普及，企业员工开始群体化成为它的用户，这无疑为企业的管理带来了新的课题和挑战。尤其IT经理意识到基Web安全威胁正在日渐严峻，社交网络的大规模的应用为企业带来更多Web安全隐患，57%的数据窃取攻击皆是经由Web而实现。

　　社交网站中的内容是动态的，用户可以自己创建内容并迅速与数千人分享，而犯罪分子也在利用这一优势传播病毒、恶意软件和钓鱼信息等，并具有定向性、隐蔽性和区域性爆发等特点，这种情况下传统的安全系统已经无法控制并抵御该类潜在的Web 威胁。进一步恶化的是，社交网站己日益受到黑客们的“青睐”，黑客们在网站中植入各种恶意软件，用以感染用户的电脑，最终窃取用户信息。当员工在使用和浏览社交网站时将无形中为企业带来巨大的危险，并有可能造成企业关键信息的流失而为企业带来不可估量的损失。

　　Websense公司中东地区安全研究经理Carl Leonard表示：“阻止使用Web 2.0和其协作工具，将有可能限制员工的交流和知识共享能力。只要有了正确的支持，Web 2.0能够带来新的机会和真正的商业利益。”

　　在面对Web2.0的两面性的时候，企业的管理者往往出现很大的困扰，不知该如何是好，最终还是以确保企业的安全为最终目的。其实确保员工认识到和明白社交网络上潜在的恶意威胁只是第一道防线，公司更有责任确保其员工和企业都受到有效的保护，并制定各种应急计划，仅仅是草拟社交网络使用规则然后放下不管是远远不够的。