近年来，网络已成为信息传播活动不可须臾离弃的手段和方式。以网站为代表的各种Web应用作为一种企业营销的重要辅助手段，在扩大企业影响，提升知名度的同时，还为社会公众提供丰富的资讯和服务。因此，Web应用极易受到黑客的关注，被黑事件层出不穷。

目前，Web应用安全的解决方案主要是通过部署各种防护设备来实现。然而，近年来，层层防护的思路逐渐遭到诟病，很多Web应用尽管部署了各种各样的安全设备，但仍然遭到黑客的攻击，花了钱却还是没有解决安全问题让很多用户难以释怀。

究其原因，处于层层防护之下的Web应用仍然存在着一些潜在威胁：

> 如果网站在部署防护产品之前就已经被黑客攻陷(例如已经感染了网页木马)，或者网站本身的安全管理存在致命缺陷(例如存在严重的配置漏洞)。那么在此种情况下，防护产品有可能会失去部分或全部的防护能力，甚至其自身安全性都无法得到保障。

> 在Web2.0技术的带动下，Web应用程序与客户端浏览器之间的数据交换越来越频繁，然而，由于很难保证来自客户端浏览器的文件和数据的安全性，因此很多Web应用程序的这种交互功能往往成为黑客攻击的"要害"，要设法保障这些来自客户端的数据不会对网站安全造成破坏和影响单单只依靠安全防护产品是远远不够的，还需要对这样的高危部分进行有效的加固甚至隔离。

> 防护设备的有效性很大程度上依赖于它和Web应用程序之间的紧密结合，有时候由于配置不当等问题，本来很好的防护设备却不能完全发挥它的作用。

上述这些因素都使Web应用尽管处在层层防护之下，仍然不安全。

上海天存信息技术有限公司是一家专注于Web应用安全领域的软件产品提供商，自2002年成立至今已经为1500多家客户提供了专业化的产品及服务，成为国内Web应用安全领域主导厂商之一。

2010年，上海天存信息技术有限公司陆续对数十家企事业单位的门户网站和Web应用系统实施了"整体交付"Web应用安全解决方案。

所谓"整体交付"Web应用解决方案，是上海天存根据近年来Web应用安全领域的技术发展情况，结合天存在该领域10年的经验积累，提出的一套全面消解Web应用安全威胁，大幅提升防护体系可靠性的解决方案。

简单来说，天存整体交付的概念类似于医生看病的原理：

首先需要结合各种"症状"对"病人"进行诊断，找到病因：天存在Web应用安全加固项目的实施过程中，对项目所涉及的Web服务器都进行细致的漏洞检查。

天存漏洞检查分为脆弱性检查(内在)和威胁检查(外来)：脆弱性检查包括对操作系统漏洞、网络服务漏洞、WEB软件/中间件/数据库漏洞的检查以及应用程序安全性的检查;威胁检查则主要指对整个WEB应用及其运行平台所进行的攻击性检查(渗透测试)。

在完成"诊断"后，天存安全服务专家结合诊断结果进行"治疗"，这一过程主要是针对诊断过程中发现的各种安全漏洞，进行加固或清理，直接消除安全隐患，具体包括：清除系统关键目录、网站目录中存在的非法可疑文件，如rootkit程序，网页木马;调整系统、应用服务器及应用程序的重要配置文件、目录的权限，确保权限配置不存在安全漏洞等等;

在完成了"治疗"过程后，天存安全服务专家通过部署由天存公司自主研发的iGuard网页防篡改系统和iWall应用防火墙来巩固治疗效果，提升"免疫力"。

iGuard网页防篡改系统使用密码技术为网页对象计算出唯一性的数字水印。公众每次访问网页时，都将网页内容与数字水印进行对比;一旦发现网页被非法修改，即进行自动恢复，完全实时地杜绝篡改后的网页被访问的可能性，彻底解决网页防篡改问题。

iWall应用防火墙通过全面分析应用层的用户http请求数据(如URL、参数、链接、Cookie、请求行、头部信息、载荷等)，区分正常用户访问Web应用和攻击者的恶意行为，对攻击行为进行实时阻断和报警。

在整体交付解决方案中，对于一些Web应用的关键节点，用户可以在天存工程师的协助下，为其量身定制了一套安全规则，真正实现了对Web应用的贴身防护。

通过整体交付解决方案的实施，Web应用系统的安全性能够得到大幅提升，消解了现存的安全隐患，保证系统健康可靠运行。同时，在iGuard网页防篡改系统和iWall应用防护墙稳定高效的防护下， Web应用系统能够有效抵御黑客花样百出的攻击手段，从内到外地打造成了Web应用安全的铜墙铁壁。