安全路透社
当前位置:安全路透社 > 网络转载 > 正文

【WitAwards 2016“年度安全云及云服务”参评巡礼】云端“挑战者”:金山云安全服务评测

*本文原创作者: ArthurKiller,本文属WitAwards年度安全评选系列专题报道

云服务已经是一直不可抗拒的趋势,越来越多的用户从传统IT架构向云架构进行迁移。理所当然,云安全也是很多安全专家关注的焦点。云安全相比传统的安全防护有很多的优势,漏洞快速检测修复,强大的抗DDOS能力,完善的安全服务体系,精确的风控测策略等等。

金山云安全在前不久刚刚获得了C-STAR最高级别云安全国际认证。无论是“重灾区”游戏行业,还是金山云新推的医疗行业、视频行业,经历了四年之久的发展,金山云安全防护能力已经得到很多云上用户的好评——“挑战者”的身份,是金山云在此次WitAwards云安全领域诸多参评者中,尤其吸引FreeBuf的地方。

10.png

产品分析

背景

金山云安全主要分为了以下四大模块:

防攻击中心

服务器安全

漏洞扫描

高级安全服务

防攻击中心主要是基于DDOS攻击的预防。服务器安全更像是一个WAF,可以预防SQL注入,木马查杀,漏洞修补等。而漏洞扫描测试通过金山高效的漏洞扫描平台对整个web服务器做一个精确的安全体检。高级安全服务则有点类似于一个专业的“白帽子”对用户进行一个授权测试,以此来弥补机器无法扫描到的漏洞。

1.jpg

防攻击中心

金山云的防攻击中心主要是抗DDOS保护,部署简单,并且可以达到秒级别的流量清洗。这个服务有付费版和免费版。免费版本可以抵抗高达5Gbps的DDOS流量,而付费版本的可以抵抗高达300Gbps的DDOS流量。除此之外,金山云安全可以阻挡多种DDOS攻击,包含了全部的Layer 4和Layer 7的DDOS攻击。同时金山云安全也支持弹性购买服务,以此满足不同人群的需求。

1.png

2.png

服务器安全

金山云服务器安全是由安全狗与金山云联合开发,为用户提供服务器及网站防护,提供暴力破解、木马病毒、系统漏洞、网站漏洞防护及修复功能。通过官网描述,这个功能更像是一个高级版的WAF。

222.png

在主动防御方面,它可以实时检测SQL注入及XSS跨站脚本攻击,主动拦截Webshell上传,防盗链等。在风险把控上,它会避免数据库用户以系统权限启动带来的安全风险,同时也能抵抗CC攻击。与此同时,它的病毒库是处在云端的,可以在线更新,查杀最新的恶意脚本和代码。

3.png

漏洞扫描

金山云漏洞扫描(Kingsoft Security Inspector,简称KSI)提供包括服务器及web应用在内的全方位漏洞扫描。据官网介绍这个漏洞扫描器已经覆盖OWASP、CNVD的各种安全漏洞类型,数千种的检测策略,云端同步升级检测规则,而PoC检测数量达上千种,99%以上高危漏洞PoC。与其他的扫描有些区别,金山云漏洞扫描支持智能爬虫,全面支持web2.0完美解析动态页面。并且配置了网站指纹识别系统,快速识别网站所用的建站程序,对第三方的应用漏洞进行检测和预警。以多个方向展开一个精确的漏洞扫描体系。

4.png

金山云的漏洞扫描器已经可以达到百万级别的并发,并且还可以精确的控制扫描压力,发包速率可控范围在10-10000 QPS,可以说这个扫描效率还是很高的。针对指纹扫描,金山云扫描器主要可以扫描Webserver 指纹,Framework 指纹,Application 指纹和Language 指纹。

12.png

漏洞扫描的 Web 通用漏洞覆盖了 OWASP Top10 常见的漏洞以及其他各种高危漏洞,目前整体的误报率低于 3%。此外,所有漏洞的检测规则不断在持续增加更新中。 

13.png

漏洞扫描的服务器漏洞覆盖各种常见的低危到高危的网络漏洞,如信息泄露、匿名登录、越权访问和缓冲区溢出等,漏洞检测种类将达到万种以上。

14.png

同时,金山云安全扫描器还提供了第三方应用 PoC 检测,端口探测,弱口令检测等。可以说这个服务在安全扫描上是很全面的。

高级安全服务

除了机器自动化挖掘漏洞外,金山云安全也通过了专业的安全团队对用户进行授权安全检测,并且会用户整理一份详细的漏洞检测报告,并且有较强的保密措施,不会向任何第三方公开安全服务细节。

7.png

总结

针对DDOS攻击,金山云主要是采用防攻击中心(Layer 7 + 4 DDOS攻击)和服务器安全(CC攻击)。而实时监控WEB威胁行为则是完全依靠服务器安全这个功能。针对漏洞的检测金山这方面做的很完善,除了采用漏洞扫描器自动挖掘以外,还提供了安全服务让安全专家团队对其进行黑盒测试。

6.png

由于金山云的服务种类特别多,金山云接下来可以考虑继续完善相关的安全服务,比如APP检测,IoT检测,威胁情报收集等等,以此来满足更多的用户群体。

市场分析

金山云安全属于北京金山云网络技术有限公司旗下的一款子产品,该产品主要是依托于金山云的一系列服务进行使用。北京金山云网络技术有限公司注册资本为2000万人民币,法定代表人为王育林,注册时间为2011年,属于非常老牌的一家安全公司了。

11.png

2014年年底,金山软件、世纪互联以及小米在北京召开媒体沟通会,详细解释金山软件和小米公司向世纪互联投资约2.3亿美元事件,雷军、金山软件兼金山云CEO张宏江、世纪互联董事长兼CEO陈升均到场。 张宏江表示,金山软件未来3–5年内将会向云业务进行规模超过10亿美元的投资。

如今,金山云针对云市场已经有了一套完整的云服务体系,除了云安全以外,还有云服务器,云数据库,开放型云存贮,虚拟专有网络等。同时金山云扫描器已经扩展到了各行各业,包括但不限于游戏,医疗,视频。

9.png

金山云安全主要还是针对2B产业上,已经积累了大量用户,同时在针对云端安全上有自己的丰富的经验。金山云安全的发展前景还是很广阔的——金山系(游戏、小米生态链……)丰富的云安全经验和足够的用户量,加之雷军等领军人物对云计算方面重金的投入。

金山云未来甚至可能考虑将金山云安全这个附件服务独立出来,服务于更多的用户群,比如安全众测,独立WAF服务,抗DDOS策略等等。这样用户群体不在局限于金山云的用户,而是整个互联网2B产业的用户群。正如文章开头提到,在日趋激烈甚至残酷的公有云竞争环境下,用“强有力的挑战者”来形容对当下的金山云安全而言,是再合适不过了。

9.png

WitAwards年度安全评选火热报名中(最后一周)

由FreeBuf主办的FIT 2017(2017 FreeBuf互联网安全创新大会)将于2016年12月28日-29日在上海陆家嘴上海国际会议中心召开。与FIT 2017大会并行的WitAwards 2016,作为一年一度的互联网创新安全评选盛典和FIT 大会的重头戏之一,自然备受业界关注

14742702081199.png

WitAwards 2016互联网安全年度评选,旨在发掘全年卓越的安全产品和杰出人物;给予在2016年为安全行业做出贡献的个人、团队及产品以掌声和肯定;为超过100款安全产品的创新和努力,及行业的专业精神全情投入喝彩。

参选奖项报名(最后一周)

14744291099704.png

不同奖项的参与报名通道现已开启,9月15日-10月31日,针对以上四大奖项,任何人都可以进行线上报名,或以为他人及其产品提名的形式参与WitAwards 2016评选。FIT官方会对报名和提名的项目进行初步审核。

WitAwards2016参选奖项报名入口:http://wit.freebuf.com

行业评委申请

自古高手出民间,尤其在安全领域更是藏龙卧虎。

本届WitAwards年度互联网安全评选,特邀“懂安全”的你担当我们的行业评委,也相信你能够代表业界同行评选出最专业最优秀的奖项。

入选行业评委,将获得FIT 2017大会门票。

WitAwards 2016行业评委申请入口:http://form.mikecrm.com/liMYUT

*本文原创作者: ArthurKiller,本文属WitAwards年度安全评选系列专题报道

未经允许不得转载:安全路透社 » 【WitAwards 2016“年度安全云及云服务”参评巡礼】云端“挑战者”:金山云安全服务评测

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册