XSS攻击防御技术白皮书

2.2 天清入侵检测产品的XSS防御

正是由于传统检测方法存在诸多缺陷，天清入侵防御系统并未采用这一方法，而是采用了基于攻击手法的行为检测方法，其分析流程如下图所示。

图2

首先对各种场景下的XSS攻击样本库进行整理和分类，并建立起XSS攻击行为特征库，在实时攻击检测阶段，对所有可能实现XSS攻击的数据来源，如HTTP-Refere、URL、COOKIE、表单数据等，进行数据收集和初步分析，存在注入脚本的用户提交信息才进入下一步的XSS攻击判断。

这种分析方法有以下几点优势：

A：采用行为特征库而非数据特征库方式，可以避免由于检测固定特征导致的误报可能。

B：内置数据预处理过程，可以对所有可能包含XSS攻击的数据进行预处理，放行大部分正常HTTP请求，仅对少量疑似事件进行深入分析，提升分析速度，降低资源开销。

C：XSS攻击行为特征库维护由启明星辰公司AD-LAB（积极防御实验室）和博士后工作站负责，AD-LAB拥有大批漏洞发掘和分析人员，2007年发现并获得CVE编号的漏洞数量多达26个，是国内独立发掘CVE漏洞数量最多的团队。启明星辰博士后工作站是业内第一家驻企业的信息安全博士后工作站，为产品算法实现、研究技术转化提供有力保障。

3 综论

XSS攻击作为Web业务的最大威胁之一，不仅危害Web业务本身，对访问Web业务的用户也会带来直接的影响，如何防范和阻止XSS攻击，保障Web站点的业务安全，是定位于业务威胁防御的入侵防御产品的本职工作。

天清入侵防御产品依托多年以来对业务威胁的深入研究，结合对XSS攻击的分析，能准确的发现和防御各类XSS攻击行为，保障Web业务的正常运营。