基于OWASP和WASC的多维度Web应用安全体系  

Architecture of multi-dimension web application security based on OWASP and WASC

作　　者：吴震[1,2] 崔建[1,2] 周昌令[1,2] 张蓓[1,2] 

机构地区：[1]北京大学计算中心,北京10087 [2]网络与软件安全保障教育部重点实验室,北京100871

出　　处：《广西大学学报（自然科学版）》2011年第A01期148-154,共7页Journal of Guangxi University（Natural Science Edition）

摘　　要：本文分析比较了国内外安全机构与安全厂商公布的安全报告及统计数据,认为Web应用安全已成为校园网中首要的安全问题。从OWASP和WASC的安全标准,归纳设计出多维度的校园网Web应用安全体系,并对核心的统一安全策略中心进行阐述。然后根据该安全体系结构,采用目前较为成熟并广泛应用的防火墙、应用防火墙、入侵检测、入侵防御、漏洞扫描、堡垒机等技术进行部署、实现,在北京大学校园网上选取50个有代表性的网站进行监控、分析,从而验证本文所设计的Web应用安全体系的有效性。By means of researching and analyzing the reports of multiple security organizations, con- sortiums and corporations, we discover that web application security is becoming more vital in campus network. Based on the OWASP and the WASC, we designed a multidimension web application security architecture, and used the firewall, web application firewall, intrusion detection system, intrusion prevention system, vulnerability scan system, bastion host and auditing system to implement the architecture. We chose 50 representative web applications from Peking University campus net- work to study and analyze the logs from these web applications and security devices, and the results prove the validity of the muhidimension web application security architecture.

关 键 词：WEB应用安全 OWASP WASC 多维度安全体系 

分 类 号：TP393[自动化与计算机技术—计算机应用技术]