應(yīng)用層防火墻中的地址空間映射技術(shù)研究和實現(xiàn).pdf

1、Web服務(wù)是當(dāng)前最為廣泛和重要的Internet應(yīng)用，針對web服務(wù)的攻擊方法和手段層出不窮。目前大量的攻擊集中在更高的應(yīng)用層，以繞過網(wǎng)絡(luò)層檢測設(shè)備。檢測和阻止來自應(yīng)用層的攻擊具有非常重要的實際意義和使用價值。 應(yīng)用級Web安全的內(nèi)容涉及Web應(yīng)用程序代碼本身固有的缺陷。一種解決方案是在現(xiàn)有的企業(yè)內(nèi)部網(wǎng)前放置一個應(yīng)用層防火墻。 目前大部分應(yīng)用層防火墻方案都是基于反向代理的，它是應(yīng)用層防火墻的實現(xiàn)框架和基礎(chǔ)。反向代理提供企

2、業(yè)內(nèi)部網(wǎng)的單一訪問點，客戶請求必須使用全球范圍有效的URL地址才能到達反向代理。企業(yè)內(nèi)部網(wǎng)的結(jié)構(gòu)非常復(fù)雜，其網(wǎng)頁或服務(wù)之間通常使用內(nèi)嵌的URL來建立相互的聯(lián)系。這些鏈接一般是相對的。目前的反向代理技術(shù)并沒有考慮內(nèi)嵌的URL問題。但是現(xiàn)在很多內(nèi)嵌URL使用了絕對地址，它們基于內(nèi)部服務(wù)器的地址空間，無法直接訪問。 地址空間映射技術(shù)是一項在反向代理中的新技術(shù)，它位于反向代理的前端，在網(wǎng)頁被轉(zhuǎn)發(fā)給客戶之前，獨立而集中地使用一定的策略（規(guī)

3、則）來轉(zhuǎn)換網(wǎng)頁中內(nèi)嵌的URL，將其映射到反向代理的地址空間，客戶請求才能通過反向代理到達內(nèi)部服務(wù)器，同時避免攻擊者繞過應(yīng)用層防火墻的檢測。 基于Apache平臺的反向代理配置，以Apache的模塊形式實現(xiàn)了應(yīng)用層防火墻中的地址空間映射方案，其中涉及到幾個關(guān)鍵技術(shù)：利用有限狀態(tài)機原理實現(xiàn)HTML解析技術(shù)，檢測內(nèi)嵌的URL以進行必要的修改；針對動態(tài)網(wǎng)頁中復(fù)雜的腳本代碼提出了“異地代理”的解決辦法；配置了VPN訪問方式解決URL和CO