张永斌：各位专家、各位领导、各位来宾上午好。今天我可能跟前几位同行沟通的角度不一样，他们沟通的都是面的问题，而我选择的是一个点的问题。我今天的主题是服务器与安全防护。

我沟通的内容主要包括4个方面。第一，应用安全边界；第二，WEB应用系统安全防护的必要性；第三，WEB应用攻击分类；最后一点我想介绍一下捷普的解决方案。

在进入正式主题之前我们先回顾一下网络安全边界的发展历程。过去从我们部署防火墙，到我们现在部署IPS UTM。那么我们现在在思考一个问题，我们建设这些的目标是什么？我想是两个层次，第一是保证我们的网络应用正常的运行；但更重要的是保护我们企业核心数据的安全。那么对于这个问题我们首先看两个安全事件。2007年8月世界最大的职业中介网站Monste.com为遭到了黑客攻击，黑客通过WEB服务器窃取了数据库中的注册的数百万求职者个人信息，并用恶意程序攻击其中160多万求职者的电脑，向他们勒索钱财。同年9月份网络股票交易商TD-AMER itrade公司遭到黑客攻击，有超过630万名客户的联络资料从数据库中被窃取走，造成的损失高达2200万美元。

我在这里面只写了两个典型案例，在07年也发现了很多类似的安全事件。那么我们会忽略我们的安全网络建设呢？我想这是我们在安全理念上的问题，就是我们往往认为网络的安全边界就等于应用的安全边界。这两年随着网络的快速发展和WEB应用不断成熟，越来越多的企业利用各种各样的数据系统，包括MIS系统、CRM系统以及我们的门户网站，根据调查我们目前大概有70%的攻击是基于WEB攻击进行的，而跟为严重的是，我们信息被窃取了，而我们丝毫没有察觉。

这是我们一个典型内部网络建设的拓扑示意图，在网络出口处可能部署了一个防火墙对外部的攻击进行防御，在内部网络我们会有一个数据中心联合这些应用系统，这些应用系统一方面提供业务服务，另外也为我们的互联网用户提供服务。大家知道WEB访问我们的用户是通过浏览器访问WEB服务器，通过WEB服务器获取相关的后台信息，通过WEB服务器来实现信息录入。那么我们的WEB服务器安全防护被突破之后我们会出现什么问题？也就是我们各种各样的内部信息会曝光在攻击者面前。也就是说WEB服务器已成为应用系统的安全边界，如果这条安全边界被突破，那么我们的信息强会暴露在攻击者面前。

下面看一下WEB防护的必要性与自身的缺点。早期大家知道一些黑客攻击者的攻击目的并不是为了盈利，只是来炫耀自己的能力，而这两年越来越多的都存在着商业的目的。那么我们从WEB应用程序的安全性来看，它总体比较脆弱。在这一块应用程序领域缺少安全性，开发者往往忽视了最关键的一点就是对应用系统安全性考虑，攻击者可以利用他的一些漏洞获取系统明显的信息，对系统进行攻击。我们说WEB开发这个门槛相对比较低，进入这个领域的开发人员要求并不是很高。