需求分析

 

 

随着互联网技术的迅猛发展，许多用户的关键业务越来越多地基于WEB应用，在通过浏览器方式实现展现与交互的同时，用户的业务系统所受到的威胁也随之而来。因此，如何有效保护WEB服务器安全已经成为了重大挑战。相比于传统的系统攻击，WEB应用攻击的技术门槛不高，并且在互联网上有越来越多的自动化攻击工具和攻击教程，进一步降低应用攻击的难度；再加上网站开发人员大多缺乏网络安全意识，在网站发布前又没有有效的安全测试机制，使得WEB网站应用漏洞比较普遍存在；近年来，包括乌云，360补天等漏洞平台也公布了大量网站的WEB应用漏洞，其中不乏电商、金融类等安全要求和安全控制水平比较高的网站。

从安全发展的趋势来看

 

近些年安全对抗的主战场已经从网络层转向应用层。据统计，目前大部分的攻击都是基于应用层的攻击，有超过75%的攻击方式是基于WEB安全漏洞，因此，如何有效解决应用安全问题，是亟待解决的重要问题。

从安全防护层面来说

 

目前大部分的安全防护措施还是在网络层，传统的防火墙、IPS、IDS等安全设备主要是针对网络层攻击进行检测，或者做常规的访问权限控制。虽然这几年业界对应用安全的认识有了明显提升，但从应用防护的资源和设备投入上，还是比较欠缺，安全防护体系建设明显存在滞后性。

从攻击特点来说

 

传统的系统、网络层防护具有通用性，系统层面的漏洞利用不是很灵活，容易总结出攻击特征，从而基于特征进行快速检测，这种方式是比较传统并且是比较有效的方式。但是在应用层，每种应用的漏洞都具有自身的特殊性，无法简单的通过某个或者某些特征就能准确检测出来，因此，应用攻击检测更复杂，需要结合自学习或者行为分析等建模技术，在安全防护的难度上更高，挑战更大。