近日，国内权威安全媒体数说安全发布了“中国WEB安全市场全景图”，盛邦安全凭借突出的技术能力和丰富的行业实践，作为Web应用安全扫描典型应用场景厂商，入选此次全景图的Web应用防火墙、Web应用安全扫描、网站数据恢复&网页防篡改三大核心领域。
以下为原文内容，来源于数说安全公众号。
Web安全市场分析
从市场角度来看，过去几年Web安全市场经历了一段长时期的快速增长，其中驱动力主要来源于2个方面：一是进入web2.0时代后，基于Web环境的互联网应用越来越广泛，针对Web应用的攻击已成为企业面临的主要安全问题，客户基于业务/技术层面的刚性需求加大，二是从2015年国务院办公厅开展政府网站普查整改工作开始，针对web应用和网站安全的合规要求有所增强。另外，由于历史原因，大量早期开发的web应用，都存在不同程度的安全问题，对于这些已在线的web应用和网站，也亟待借助外部手段来降低web安全风险。
从技术角度来看，web安全领域其实是由多个产品组合而成的一套整体解决方案，其防护思路可划分为三个阶段，每个阶段对应了不同的安全产品，其中事前阶段以主动自查形式的安全评估为主，主要采用web安全扫描产品，事中阶段以检测和被动防御为主，主要采用Web应用防火墙产品，事后阶段以篡改数据恢复为主，主要采用网站数据恢复产品，而网站监测类产品可以全程对网站进行实时的安全监控和预警，这种以多种产品各司其职、动态联动的方式极大提高了web安全防护工作的扩展弹性和风险呈现能力，因此也成为了市场上主流的web安全解决方案。
随着云计算的广泛应用和SaaS生态逐渐成熟，web安全产品在原有硬件的基础上，又扩展了虚拟化和SaaS服务形态，许多厂商也相继推出了云WAF、云漏扫、网站云监测等云防御平台和SaaS类安全服务，从近一年内销售许可证类别和数量的变化来看，能够明显感觉到一种趋势，web安全市场正在由硬件产品向软性服务过渡，一体化的web安全防护平台比盒子类的组合方案更灵活，也更适用于客户的新场景，因此，未来随着企业网站和web应用的逐步云化，基于虚拟化和SaaS服务的web安全产品也势必会更受到客户青睐。
产品技术与标准
web安全领域包含了较多角色的产品，每种产品对应了不同的技术标准，在以下7类产品对应的8个标准中（其中Web应用防火墙对应国标/行标2个标准），申请web应用防火墙、web应用安全扫描、网站数据恢复产品的厂商较多，对应的产品形态为传统硬件盒式类，网站云安全防御标准对应的产品形态为虚拟化和SaaS服务类，网站内容安全检查和网页防篡改标准较新，每个标准只有2家厂商申请，而网站安全监测产品目前无厂商申请（2019年有1家）。下面请大家具体了解一下吧！
Web应用防火墙国家标准于2016年发布，目前与行标并行，国标除了在安全功能要求上有所升级以外，与行标最主要的不同是增加了性能要求，包括HTTP吞吐量、新建和并发指标，目前以该标准进行检测并获得销售许可证的厂商有29家，去年同期为10家（详情见下文中的厂商列表）。
Web应用防火墙（行标）是2014年发布的公安行业标准，在没有国标之前，各厂商均按照此标准申请销售许可证，目前持证厂商有50家，去年同期为98家（详情见下文中的厂商列表）。
网站云安全防御产品的技术标准较新，是2019年发布的国家标准，该标准是针对网站云安全防护平台的技术评价方法，主要面向以云服务模式提供网站安全防御的综合型平台产品，目前具备销售许可证的厂商有10家，去年同期为6家（详情见下文中的厂商列表）。
Web应用安全扫描产品评价方法采用公安标准，2013年推出，至今没有版本更新，由于年代久远，证书分级机制还是以一级/二级/三级划分（申请过早期防火墙证书的小伙伴应该很熟悉），目前该类产品持证厂商有42家，去年同期为54家（详情见下文中的厂商列表）。
网站内容安全检查产品评价方法采用公安标准，2017年推出，从产品定义上看，属于自检型的合规类产品，主要对自身网站内容（包括网页中的文字、图片、文档、音视频等对象中包含的信息）进行监测，以及时发现违规内容，产品为盒式形态，旁路挂接在网站服务器前端的核心交换机一侧，目前该类产品持证厂商只有2家，去年同期无厂商，因为覆盖面较小，不过多介绍，感兴趣的小伙伴可自行翻阅标准学习。
网站远程监测产品目前无厂商，去年同期有1家，不做详细解说。
网站数据恢复产品的评价方法于2013年推出，国家标准，该类产品即为业内俗称的网页防篡改产品，目前持证厂商有21家，去年同期也为21家（详情见下文中的厂商列表）。
网页防篡改类产品标准属于公安标准，目前市面上只有2家厂商申请，覆盖面较小，不过多赘述，感兴趣的小伙伴可以自行翻阅标准学习。
典型应用场景
Web应用防火墙
长亭科技提供
客户关注点
1．网络架构体系庞杂，代理模式的WAF部署需要修改DNS或变更业务服务器的IP地址，WAF的变更与扩容致使网络拓扑变化较大。
2．企业内网络运维工作与安全工作分属不同部门，WAF变更需跨部门协调网络配置问题，流程繁琐、难度大。
3．由于WAF策略配置不当产生大量误报漏报，防护策略变更严重影响业务连续性。
4．企业应用系统繁多，每天疲于应对大量未知威胁，0day漏洞爆发时，安全产品难以实现有效防护和及时的响应。
5．企业运维成本高，WAF缺少智能化的运维能力，人工操作特征库和规则库规则、事件、网络、站点等关联配置工作，逻辑复杂，步骤繁琐。
产品关键特性
1．精准流量检测——基于语义分析、AI学习等多种技术，不依靠规则匹配，有效发现和阻断攻击行为。
2．未知威胁发现——对攻击Payload进行语义分析，识别攻击真正意图，有效防护0day。
3．领先系统架构——容器化架构设计，具备灵活的分布式扩展能力。
4．多种场景融合——完美支持集群架构、云计算、容器化等多种应用场景。
5．业务连续保障——采用bypass、熔断、双机热备、集群多活、全冗余等多种业务连续性保障技术。
客户关注的主要功能
1．池化代理模式部署，WAF的上下线和扩容不影响业务网络拓扑。
2．与业务松耦合，可以轻易的完成资源调度和扩容部署。
3．能够有效识别和防护0day，减少应急处置工作量。
4．高度适应云环境，在复杂云化部署场景中实现良好的适配和使用。
5．毫秒级的检测速度配合弹性扩容部署模式，有效应对大流量业务场景。
6．上线和配置简单，调优和运营速度快、耗时短。
网站云安全防御
安恒信息提供
客户关注点
1、 ddos、cc攻击威胁规模越来越大，发生频率更高，而且越来越复杂。
2、 页面被攻击、被篡改影响业务运行、甚至影响公众形象。
3、 重保时期，应急响应对策差，响应能力较弱。
4、 单位运维人数紧张，安全技术能力薄弱，运维成本投入大。
5、 信息零碎、分散，无法将数据集中展示并态势研判。
产品关键特性
1、 可通过一键关停和永久在线功能，保障业务系统的安全性和实时在线性。
2、 安全策略来个多个组织以及安恒研究院的深入研究成果，专业防护web应用。
3、 提供最大2.5T的抗DDoS云端清洗能力，保障业务系统和其他网络设施不受影响。
4、 提供7*24小时专家远程服务，实时运维，专业运维，提供可视化实时掌握安全态势。
5、 0DAY漏洞爆发后，会在24小时内下发虚拟补丁，提升应急响应能力。
客户关注的主要功能
1、web应用防护能力。
2、0DAY漏洞出现时，应急响应速度和能力。
3、威胁情报的使用情况，作为云防护平台防护能力的有力补充。
4、部署和运维的方式，7*24小时专家服务项。
5、重保期间的安全措施和对策。
Web应用安全扫描
盛邦安全提供
客户关注点
1、安全漏洞增长快速，尤其是当重大漏洞发生时，急需有效的风险排查手段和应急响应措施；
2、面对大量扫描结果，缺少化繁为简的精确检测和分析工具，以便有效避免误报漏报的情况；
3、对于扫描出来的漏洞，缺少可验证漏洞信息，无法及时了解业务和系统存在的深层次安全风险；
4、缺少专职安全人员，容易因操作不当、人员安全意识不足等造成安全隐患和引发安全漏洞；
产品关键特性
1、五合一全面扫描能力，涵盖系统扫描、Web扫描、数据库扫描、基线扫描和弱口令扫描；
2、全面的漏洞库支撑能力，涵盖操作系统、网络设备、安全设备、IOT、工控、虚拟化、移动设备、国产化，多漏洞标准兼容；
3、从“资产识别->漏洞检测->漏洞验证”的扫描链条出发，通过每一个环节的能力的提升，实现扫描能力的整体升级和有效降低误报、漏报率。
4、统一集中管理与分布式部署，便于对网络安全风险的整体把控；
客户关注的主要功能
1、扫描器的规则更新频率，尤其是重大安全漏洞的更新周期；
2、扫描器扫描结果的准确性，包括误报率和漏报率；
3、漏洞的可验证性，可见存在漏洞的证明信息；
4、功能的全面性，能支持如漏洞、基线、数据库、弱口令等各类风险威胁扫描。
网站数据恢复
安全狗提供
客户关注点
网站被篡改，将会给企业或政府带来巨大损失，尤其是政府有可能造成政治影响。
操作系统复杂性：一个漏洞从发现到被利用平均时间是5天，而相应补丁的发布平均时间是47天。
应用系统漏洞：各种注入式攻击漏洞，多个应用系统不同的开发者。
密码管理：合格密码需要8位以上复杂字符并定期改变。
漏洞补丁：操作系统、中间件、应用系统的定期更新。
上网控制：钓鱼、木马、间谍软件。
产品关键特性
云固网页防篡改系统采用第二代水印技术+第三代系统驱动级文件保护技术双结合，对网站安全进行双重防护，具有相应速度快、判断准确、资源占用少及部署灵活等特点，保护Web网站不发送被篡改内容并进行自动恢复的Web页面保护软件
1、第二代水印技术+第三代内核驱动防篡改技术双结合。基于内核驱动防护技术，支持单独文件、文件夹及多级文件夹目录内容篡改保护；水印技术阻止被篡改网页流出，并自动恢复被篡改文件；
2、传输安全。通信采取FTPS协议完全加密传输，确保通信的保密性。
3、部署灵活运维简单。不影响原有架构模式，只需添加发布服务器即可；支持多站点、跨平台分布式部署；支持发布端、web服务端一对多，多对多的网站架构；
4、完善的平台统一管理。平台Web集群的统一管理，日志查询和审计。
5、对云环境的支持。支持各种云环境中的篡改能力兼容，无需用户做任何架构上的修改。
客户关注的主要功能
1、对所有网页元素（包括静态页面、动态脚本、图像文件、多媒体文件以及所有能以URL形式访问的实体）进行防护，防止被恶意篡改。
2、网页篡改时基于驱动层对篡改行为进行拦截，支持禁止文件/文件夹创建、删除、执行、读取、写入。
3、在断线状态下阻止篡改内容流出，返回篡改提示页面。
4、统一安全管理平台用于用户管理，策略下发，日志监控，告警设置。
5、各种云环境的兼容支持。
市场厂商列表
原文链接：https://www.163.com/dy/article/FD8JR97F05381HBB.html
原创文章，作者：优速盾-小U，如若转载，请注明出处：https://www.cdnb.net/bbs/archives/6964
