北京.4月28日，由北京市公安局与市委网信办联合承办的第六届“首都网络安全日”系列活动在北京展览馆盛大开幕，本届大会延续“网络安全同担 网络生活共享”宗旨，以“网络强国战略思想”为核心，倡导首都各界共同关注网络安全、维护网络生态环境。

椒图科技副总裁李栋受邀出席首都网络安全日，并发表主题演讲《新一代云基础设施安全方案》，他以近日爆出的weblogic反序列化漏洞（CNVD-C-2019-48814）为例，分析当前云基础设施（服务器、虚拟机、云）面临的安全风险以及应对措施。

目前针对主机的黑客攻击日益频繁，新型恶意代码、0day等未知攻击层出不穷，传统安全方案应对未知攻击的防护手段是“打补丁”，但这种方式不但会让系统变得愈发臃肿，还存在严重的滞后性。

李栋指出，真正的黑客攻防对抗都是按秒计算，而厂商发布修复方案少则几小时，多则数十天；即使厂商发布了补丁，客户也有可能没有及时修复，这都会给黑客留下attack free的时间窗，导致主机沦陷。

漏洞永远补不完，但黑客入侵服务器后的行为却有迹可循

无论黑客利用什么方式入侵服务器，到达服务器后的目标和行为是有规律可循的，在了解黑客入侵行为轨迹后，在系统和应用两个层面实施监控和拦截，用安全机制补充安全规则，即可以用有限的行为防御无限的漏洞。

云锁内核探针：安全加固操作系统、限制应用过高权限

李栋以椒图科技旗下领先的主机安全产品【云锁】为例，分析新一代云基础设施安全方案应具备的防护能力。

①云锁通过内核探针对端口扫描、反连shell、进程自我复制、监听原始套接字等黑客在入侵产生的多种异常行为进行监控及防护，同时会对系统中的二进制文件创建、进程创建、进程外连、linux shell操作命令等行为进行监控，用于事后调查取证。

②应用权限控制：限制web服务、数据库等过高权限应用，防止黑客通过应用漏洞执行代码、提权、创建可执行文件等操作。

主机WAF探针：有效过滤恶意web流量、防御已知攻击

云锁waf探针工作于IIS、Apache、Nginx等web中间件内部，让web服务在处理网络流量的同时，即可进行流量监控和过滤。waf探针具备硬件waf的所有防护能力及功能，可以有效过滤web流量，防御CC、xss、溢出攻击、SQL注入等常见网络攻击。

RASP探针：基于行为有效防御0day和新型恶意代码

RASP探针工作于ASP、PHP、Java等脚本语言解释器内部，区别于传统WAF基于流量规则的防护方式，RASP探针是基于脚本行为（无规则）的方式进行漏洞攻击识别及防护， RASP探针会对WEB流量、文件操作及数据库操作等行为进行监控。

RASP探针在脚本解析、命令执行等关键点上进行监控和拦截，能有效防御SQL注入、任意命令执行、文件上传、任意文件读写、Weblogic反序列化、Struts2漏洞等基于传统签名方式无法有效防护的未知安全漏洞，是对传统WAF的有效补充。

云锁RASP探针直接防御weblogic最新反序列化漏洞

最新的weblogic漏洞利用行为触发云锁安全机制，被RASP探针直接识别和拦截。

新一代云基础设施安全方案，赋予主机原生安全能力

李栋指出，基于云锁主机端轻量级agent，可以赋予主机操作系统和应用原生安全能力，让业务和安全同步进行，不再依赖外围安全设备的堆叠，让主机自身就具备事前预防、事中控制、事后追溯的一体化防御能力。

主机agent已经成为成熟的安全方案

目前基于主机的agent的安全方案已经非常成熟，云锁agent支持物理机、虚拟机、云、docker环境部署；不依赖iptables、selinux、syslog、weblog等系统机制，稳定性更强；具备自动降级机制，会自动检测系统当前的工作负载情况并调整。

agent兼容windows、linux（centos、Ubuntu、redhat、susue、中标麒麟、红旗）等主流操作系统以及IIS、apache、Nginx、java（weblogic、tomcat、WebSphere、TongWeb、Jboss、Glassfish、Jetty）等多种web中间件。

李栋还表示，椒图科技将进一步加强与阿里云、奇安信等云安全生态合作伙伴的联动，响应429首都网络安全日“网络安全同担 网络生活共享”的号召，共同对抗网络攻击、维护网络生态环境。

椒图科技展位：2号展位B06

椒图科技本次携新一代云基础设施安全方案参展，展位受到参会观众的高度关注，展会期间我们将安排资深信息安全专家，为您现场解答主机安全，欢迎关注。

展位号：2B06