Imperva WAF实现SSL Labs A+级安全防护

通过web服务器与客户端之间的相互认证并加密信息交互,是网络安全保护的一项基本功能。据最新数据显示,截止2017年上半年,已有超过一多半的网络流量获得了加密保护。

尽管如此,HTTPS安全性的等级仍参差不齐。流量加密强度是否足够?企业的HTTPS配置是否足够缜密?单凭SSL部署能够确保数据安全?种种有待解决的问题催生出大量网络安全诊断工具,对网络安全性进行评估定级与配置建议。部分工具可以提供基础信息并对增强HTTPS配置提供建议。另外一些则具有幕后优化功能,为企业的HTTPS配置提供更为深入的分析,包括SSL漏洞状态报告等。其中,SSL Labs by Qalys以其综合性和深入性脱颖而出,成为SSL部署行业标准的工具。

SSL Labs如何为web服务器进行安全性测试和评级?

SSL Labs根据其SSL服务器评级准则对企业用户的网站进行评级,从最高级A到最低级F,安全性依次降低。SSL Labs评级主要关注证书和配置两方面,在验证其有效性与受信性的同时,检查服务器配置,并将其分为三类:协议支持、密钥交换支持和加密算法支持。

协议支持:检查可用的SSL协议版本,即:下列五个版本中都支持哪些:SSL 2.0、SSL 3.0、TLS 1.0、TLS 1.1以及TLS 1.2;

密钥交换支持:检查密钥交换参数优势 ;

加密算法支持:检查所支持的加密算法套组,同时按优先服务器顺序从强到弱地列出加密算法。

SSL Labs将以上各分类进行评分,综合得出总分,并将其转换为对应的等级,最后检查无法通过数值评估来表现的其它服务器配置项,确定其是否有其它特征,如是否支持TLS_FALLBACK_SCSV、OCSP stapling或HSTS。根据补充检查调整确定最终评分等级。在最后的调整过程中,即使评分不降,也不可能拿到A+的分数。分数与等级的对应关系如下所示:

Imperva WAF实现SSL Labs A+级安全防护

企业用户害怕拿到SSL Labs F评级

如何通过部署WAF获得SSL Labs A+评级?

只有部署WAF,才能帮助企业尽快实现SSL Labs A+评级。而部署WAF的步骤非常简单,不需要更改后台服务器,同时借助SSL配置管理工具,使SSL配置也得到了极大的简化。

以SecureSphere WAF新发布的13.0版产品为例。该产品配有默认配置模板,方便用户轻松配置,可直接帮助用户取得完美的SSL Labs A+评级。用户只需要部署反向代理模式即可,按照下面两个简单的步骤即可完成:

1) 查看缺省SSL设置

在“Main”工作页面下,选择Setup > Global Object。然后在Scope Selection条下,选择SSL Settings并选择“SSL Labs A+ RP Server Side SSL Settings”模板,然后查看配置,并确保可接受此类设置。

在Imperva SecureSphere WAF中,设置自定义SSL设置或使用缺省设置,实现SSL Labs A+评级。

2) 将设置应用到企业的各应用中

在Main工作页面下,选择Setup > Sites。在Sites Tree栏中,选择需要保护的各项服务。在Reverse Proxy标签下,选择反向代理规则(KRP 或 TRP)下的“SSL Labs A+ RP Server Side SSL Settings”,然后点击Save按钮。

默认实现A+级安全部署的前提,是需要安装有效的SSL证书及所有中级CA证书,并在Web服务器或SecureSphere上启用HSTS。

Imperva WAF实现SSL Labs A+级安全防护

SecureSphere WAF 环境下的SSL Labs A+级部署

只要做到以上步骤,企业即可在Imperva的帮助下获得A+安全评级。

另外,SSL Labs根据技术发展趋势定期调整其评级标准与方法,而SecureSphere WAF也会持续监控与追踪SSL Labs的各类变化,随时调整与更新Imperva的产品目标,保证A+安全评级。

不止于A+级的安全保障

所有的安全专家都承认,仅仅依赖作为网络安全保护一个方面SSL部署是远远不够的。SSL/TLS仅用于确保安全连接,并不能保护应用免受任何类型的攻击。现在的攻击多种多样,如SQL injections和cross-site scripting等技术攻击或site scraping和account takeover等商业逻辑攻击。面对攻击方式的多样性,部署SSL之外,还需要更灵活、更有层次的保障。

部署Imperva SecureSphere Web Application Firewall在达成SSL Labs A+级防护的同时,还能解决多样化攻击的问题,能够保护企业用户部署在云或预置方案中Web应用的安全,同时还帮助防止因企业用户违规而造成的连带损失、成本或品牌损害,为企业提供不止于A+级的网络安全保护。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至253000106@qq.com举报,一经查实,本站将立刻删除。

发布者:SEO优化专员,转转请注明出处:https://www.chuangxiangniao.com/p/923267.html

(0)
上一篇 2025年1月4日 15:30:01
下一篇 2025年1月4日 15:30:23

AD推荐 黄金广告位招租... 更多推荐

相关推荐

发表回复

登录后才能评论

联系我们

156-6553-5169

在线咨询: QQ交谈

邮件:253000106@qq.com

工作时间:周一至周五,9:30-18:30,节假日休息

联系微信