国际知名Web应用安全组织OWASP在11月8日-9日在中国北京国际会议中心召开OWASP 2011亚洲峰会，各行业的CIO/CTO/CSO代表和国内外知名的应用安全专家、厂商代表均有参与。
大会上有多家安全公司在展示自己的网站安全解决方案，在经过一个展台时，我们突然发现有一家Web应用防火墙厂商推出了免部署的线上解决方案——SafeHTTP“网站卫士”。
以往的网站安全方案，都是将安全设备或安全软件部署到企业内部或企业自己的Web服务器上，通过漏洞扫描器、WAF、IPS一类的产品检测和防护Web站点。作为买卖双方，完全可以一锤子买卖，即“购买——安装——用户自己维护”模式。当然，比较靠谱的厂商基本都会提供售后支持。
SafeHTTP“网站卫士”此时推出的这个解决方案却是“租赁——用户免维护”模式。所有的漏洞升级、防攻击特征、恶意代码过滤都由SafeHTTP“网站卫士”的云平台搞定。采用PaaS平台即服务的模式，无缝即时。用户只需将DNS地址解析到SafeHTTP“网站卫士”，然后递交域名和网站信息待其生效，即可安枕无忧的享受自来水式的网站安全服务。而且在SLA协议的保护下，任何网站安全风险都将由服务提供商承担。
基本上采用这类解决方案后，就不用整天盯着防火墙和漏洞扫描器了。
这类PaaS模式的安全方案有什么好处？
实时的web恶意流量过滤，
降低服务器负载，降低宕机风险
加速访问响应
减少数据被盗
丰富的报告
5分钟搞定实施
无硬件投资，节约开支
无代码变动专业的服务团队
额外的好处：网站加速
SafeHTTP“网站卫士”原理
在问到SafeHTTP“网站卫士”背后的技术储备时，SafeHTTP李松表示：“安信华本身就是WAF设备厂商，一直向客户提供高性能的WEB安全设备，目前，有超过一万多个站点正在得到保护。现在做这个‘云WAF’，技术上没有问题。而且这对中小型客户来说是一种极具吸引力的解决方案。”
OWASP 2011会场上的 SafeHTTP总经理 李松
谁比较适合用这种服务？
“云WAF”的客户群，像门户网站那种有技术和人员储备的公司肯定不需要。主要的客户对象还是网站带宽在100M以内的。带宽100M以上的客户完全可以购买WAF硬件设备或者自己搞一套防护方案。
说细一点，不同类型，不同规模的网站都在面临各类威胁的挑战，大型网站通常都有专门的团队解决各类安全问题，如果您的网站不是这种大型网站，都在SafeHTTP服务范围。
SafeHTTP“网站卫士”根据网站的位置将客户分为三类：
1、网站在公司内部，通过简单的DNS调整就可以得到SafeHTTP的服务。
2、虚拟主机有两个不同选择，可以简单改变DNS得到SafeHTTP的服务，另外SafeHTTP也在同主流虚拟主机服务商展开合作，在他们的IDC里面部署服务。
3、网站的IDC机房，SafeHTTP正在同主流IDC合作，把SafeHTTP的服务在他们机房里面开展，现在只需要注册，我们就会优先同您的IDC合作。
SafeHTTP李松表示：“我们的目标是小网站，大安全；而且不只是安全，我们还会为企业的网站提供增值服务，借此网站客户的高层以及管理员可以更了解自己的网站。在中国主流的IDC机房，我们的设备会分布部署，‘网站卫士’是你身边的网站安全服务。”
PaaS网站安全业务被业内看好
据悉，这类新型的PaaS网站安全业务出现后，多家安全公司已开始筹备“云WAF”租赁业务，对此李松表示，已经做好了“持久战”的准备。在问起对PaaS安全这个行业的发展预估时，李松果断的说道：“用户对Web安全的需求日益迫切，企业的发展前景清晰可见。”
后记：
在本届OWASP 2011亚洲峰会上，我们发现以往没有推出过专门Web安全产品的传统安全公司也都纷纷推出了各具特色的Web应用安全产品。应对目前越来越狡猾，越来越具破坏力的黑客攻击手段，人们势必需要更快响应时间和更专业的安全服务。有位OWASP演讲嘉宾的话说的好——“不要再拿着刀去对付持枪的人”。
