隨著互聯(lián)網(wǎng)的興起，人們的衣食住行都離不開網(wǎng)絡，信息與數(shù)據(jù)的價值及其安全的重要性越來越凸顯。人們對于在網(wǎng)絡中留存私密信息，從原來的無所畏懼變得如履薄冰，一個“不小心”就可能讓這些敏感信息處于裸奔狀態(tài)，如被不法分子獲取、利用，造成的后果將不堪設想。

為了營造健康和諧的社會風氣，打造清朗的網(wǎng)絡空間環(huán)境，如何有效防護、安全存儲私密及敏感信息，成為備受關注的熱門話題，也是網(wǎng)絡安全工作中必不可少的重要環(huán)節(jié)。

敏感信息泄露的主要途徑

敏感信息泄露的主要途徑包括信息傳輸、敏感信息顯示、客戶端代碼注釋、錯誤處理測試等。

1)信息傳輸。通常需要對流量信息響應頭和響應體出現(xiàn)的系統(tǒng)登錄用戶名密碼、郵件賬戶密碼、認證的令牌等明文信息進行脫敏，系統(tǒng)網(wǎng)站、郵件服務器等用戶名密碼信息一旦泄露，會造成賬戶隱私安全危機。

2)敏感信息顯示。一般存在于網(wǎng)頁比如phpinfo()信息、框架版本號、開發(fā)語言信息、中間件類型版本信息、操作系統(tǒng)版本信息、編輯器備份文件信息、版本管理工具文件信息、管理后臺地址信息、探針文件信息、源碼備份文件信息、網(wǎng)站一些測試頁面信息、網(wǎng)絡拓撲信息等；這些敏感信息可能會被攻擊者利用進而獲取更多敏感信息，甚至作為攻擊網(wǎng)站服務器獲取數(shù)據(jù)庫權限的突破口。

3)客戶端代碼注釋。由于開發(fā)者對客戶端代碼進行注釋，網(wǎng)絡上的爬蟲工具獲取到注釋內(nèi)容從而泄露敏感信息，比如某智能門禁系統(tǒng)客戶端核心代碼包含注釋可導致大量用戶信息泄露。

4)錯誤處理測試。網(wǎng)站系統(tǒng)等默認報錯頁面應重新設計自定義報錯頁面，以免暴露系統(tǒng)敏感信息。如某SQL server沒有對錯誤進行正確的處理，直接展示詳細的錯誤信息，導致數(shù)據(jù)庫列名等敏感信息泄露。

基于上述問題，盛邦安全Web應用防護系統(tǒng)（RayWAF），利用敏感信息泄露規(guī)則檢測功能和敏感詞防護功能，可幫助客戶全面處理敏感信息泄露檢測及防護問題。

“查”——敏感信息泄露檢測功能

可針對流量中響應頭和響應體檢測敏感信息。其中，敏感信息根據(jù)業(yè)務特點定義，由于不同的業(yè)務領域所包含的敏感信息不同，RayWAF支持自定義正則表達式和字符串形式敏感信息，一經(jīng)檢測到指定的敏感信息，RayWAF支持全部隱藏或部分隱藏、替換或擦除等處置動作，實現(xiàn)一經(jīng)發(fā)現(xiàn)、立刻防護的高效率模式。

如下圖1所示，敏感信息檢測規(guī)則配置選項，敏感信息檢測規(guī)則一旦被觸發(fā)，RayWAF便可按規(guī)則配置告警級別，并以郵件、短信等方式及時通知相關人員，并快速同步處置結果，記入攻擊日志，方便后續(xù)溯源分析等閉環(huán)工作。

圖1-RayWAF敏感信息檢測規(guī)則配置界面

“防”——敏感詞防護功能

可根據(jù)用戶業(yè)務特點增加不同的敏感詞，實現(xiàn)對網(wǎng)站頁面的全面檢測。如圖2敏感詞防護規(guī)則配置所示，RayWAF支持對HTTP請求體、HTTP請求參數(shù)、HTTP響應體、HTTP請求URL位置雙向檢測，并可觸發(fā)繼續(xù)、通過、阻斷、封禁、重定向等及時響應動作，對敏感信息進行多選擇性、高靈活性的有效防護。

圖2-RayWAF敏感詞防護規(guī)則配置界面