RayWAF支招敏感信息泄露的“查”与“防”

随着互联网的兴起，人们的衣食住行都离不开网络，信息与数据的价值及其安全的重要性越来越凸显。人们对于在网络中留存私密信息，从原来的无所畏惧变得如履薄冰，一个“不小心”就可能让这些敏感信息处于裸奔状态，如被不法分子获取、利用，造成的后果将不堪设想。

为了营造健康和谐的社会风气，打造清朗的网络空间环境，如何有效防护、安全存储私密及敏感信息，成为备受关注的热门话题，也是网络安全工作中必不可少的重要环节。

敏感信息泄露的主要途径

敏感信息泄露的主要途径包括信息传输、敏感信息显示、客户端代码注释、错误处理测试等。

信息传输。通常需要对流量信息响应头和响应体出现的系统登录用户名密码、邮件账户密码、认证的令牌等明文信息进行脱敏，系统网站、邮件服务器等用户名密码信息一旦泄露，会造成账户隐私安全危机。

敏感信息显示。一般存在于网页比如phpinfo信息、框架版本号、开发语言信息、中间件类型版本信息、操作系统版本信息、编辑器备份文件信息、版本管理工具文件信息、管理后台地址信息、探针文件信息、源码备份文件信息、网站一些测试页面信息、网络拓扑信息等；这些敏感信息可能会被攻击者利用进而获取更多敏感信息，甚至作为攻击网站服务器获取数据库权限的突破口。

客户端代码注释。由于开发者对客户端代码进行注释，网络上的爬虫工具获取到注释内容从而泄露敏感信息，比如某智能门禁系统客户端核心代码包含注释可导致大量用户信息泄露。

错误处理测试。网站系统等默认报错页面应重新设计自定义报错页面，以免暴露系统敏感信息。如某SQL server没有对错误进行正确的处理，直接展示详细的错误信息，导致数据库列名等敏感信息泄露。

基于上述问题，盛邦安全Web应用防护系统（RayWAF），利用敏感信息泄露规则检测功能和敏感词防护功能，可帮助客户全面处理敏感信息泄露检测及防护问题。

“查”——敏感信息泄露检测功能

可针对流量中响应头和响应体检测敏感信息。其中，敏感信息根据业务特点定义，由于不同的业务领域所包含的敏感信息不同，RayWAF支持自定义正则表达式和字符串形式敏感信息，一经检测到指定的敏感信息，RayWAF支持全部隐藏或部分隐藏、替换或擦除等处置动作，实现一经发现、立刻防护的高效率模式。

如下图1所示，敏感信息检测规则配置选项，敏感信息检测规则一旦被触发，RayWAF便可按规则配置告警级别，并以邮件、短信等方式及时通知相关人员，并快速同步处置结果，记入攻击日志，方便后续溯源分析等闭环工作。

图1-RayWAF敏感信息检测规则配置界面

“防”——敏感词防护功能

可根据用户业务特点增加不同的敏感词，实现对网站页面的全面检测。如图2敏感词防护规则配置所示，RayWAF支持对HTTP请求体、HTTP请求参数、HTTP响应体、HTTP请求URL位置双向检测，并可触发继续、通过、阻断、封禁、重定向等及时响应动作，对敏感信息进行多选择性、高灵活性的有效防护。

图2-RayWAF敏感词防护规则配置界面