188宝金博页面版

颜学雄， 王清贤： Web 服务防火墙的设计与实现2009,30 (7)15830引言Web 服务技术[1-2]为解决 “烟囱” 式信息系统间的互操作提供了支持， 促进了信息系统间的协同、 协作和更大范围的信息共享。 Web 服务使用 SOAP 协议传输数据， 而 SOAP 协议数据一般使用 HTTP协议封装，这给传统的防火墙系统带来了挑战。传统防火墙一般是依据IP层或TCP层的一些特性过滤数据包，没有对应用数据内容进行检查， 因此， 无法实现 SOAP 协议数据过滤。 同时为方便通信，很多防火墙系统的缺省配置允许部分的应用(如 SMTP 和 HTTP)通过。 这样， 传统防火墙就无法有效检测拦截一些针对 Web 服务的攻击[3-4]。 同时，Web 服务实现平台一般没有针对Web服务的访问控制机制， 不能满足Web服务访问控制需要， 如在 Windows 系统下， Web 服务的访问控制主要依赖于 Web 服务器实现。为了解决 Web 服务攻击给传统防火墙带来的挑战， 并为Web服务提供更好的访问控制机制， 需要针对Web服务的防火墙， 称为 Web 服务防火墙， 由于 Web 服务使用 XML 组织数据格式，因此也称 XML 防火墙。1现有工作分析Web 服务防火墙主要包括检测拦截 Web服务攻击和 Web服务访问控制两部分功能。目 前， Web 服务攻击检测主要是依据静态规则进行常规[5]设计的 Web 服务防火墙——Nedgty， 主要功检查。 Bebawy 等能是检测拦截 Web 服务攻击。 Nedgty 主要通过 3 种方法实现攻击检测， 一是通过统计主体的服务请求量来发现拒绝服务攻击； 二是通过检查服务请求中的参数类型和参数长度来防止缓冲区溢出攻击； 三是通过检查XML文档的有效性来防止XML 拒绝攻击等。Ayachit 等[6]设计了一种基于 Petri 网的 XML 防火墙， 主要是为了解决 Web 服务的访问控制问题。 该 XML 防火墙使用Petri 网来描述用户 请求服务的基本过程， 从而保证系统状态的安全， 同时， 该防火墙使用基于角色的访问控制 (role-basedaccess control，RBAC)模型思想实现有关的授权判决。本文设计的 Web 服务防火墙 WS-Firewall 除了常规的服务请求有效性检查、 参数检查之外， 还使用了 XML 模式匹配的方式来检测攻击。 即对已知 Web 服务攻击， 抽取其 XML 数据格式特征， 建立XML模式， 当有Web服务请求到达时， 通过XML 模式匹配的方式判断是否是攻击。Web 服务主要应用于信息系统之间的互操作， 其访问控制主要是分布式的， 也就是跨域的访问控制。 分布式的访问控制中， 基于属性的访问控制 (attribute based access control，收稿日期： 2008-04-09； 修订日期： 2009-01-19。基金项目： 国家 863 高技术研究发展计划基金项目 (2007AA01Z471)。作者简介： 颜学雄 (1975－)， 男， 湖南耒阳人， 博士研究生， 讲师， 研究方向为访问控制；导师， 研究方向为网络信息安全。 E-mail： yanxuexiong@sina.com王清贤 (1960－)， 男， 河南卫辉人， 教授， 博士生Web 服务防火墙的设计与实现颜学雄，王清贤(解放军 信息工程大学 信息工程学院， 河南 郑州 450002)摘要： 为 弥补传统防火墙对 Web 服务防护 能力 的 不足， 设计了 Web服务防火墙—WS-Firewall， 其主要功能是Web服务攻击检测拦截和提供 Web 服务的 访问 控制机制。 通过应 用 XML 模式匹 配方法， 提高 了 Web 服务攻击检测的 能力 ， 实 现了 基于属性的 访问 控制 机制 ， 更适合 Web 服务的 跨域应 用 场合。关键词： Web 服务; 防火墙; Web 服务攻击; XML 模式匹 配; 访问 控制中图 法分类号： TP393文献标识码： A文章编号： 1000-7024 (2009) 07-1583-03Architecture and implemention of web services firewallYAN Xue-xiong,WANG Qing-xian(Institute ofInformation Engineering, PLA Information Engineering University, Zhengzhou 450002, China)Abstract： Web services firewall, namely XML firewall, is used specially to protect the security of web services, and thus supplementthe function of traditional firewall. The main functions ofweb services firewall are to detect and block attacks ofweb services and offeraccess control mechanism. Compared with other web services firewalls, the WS-firewall, which is described, have two advantages.One is XML pattern-matching, which improves its ability to detect attacks ofweb services, and the other is attribute based access controlmechanism, which is more applicable to the cross-domain situation.Key words： web services; firewall; web services attack; XML pattern-matching; access control信息安全技术计算机工程与设计 Computer Engineering and Design