通过更动态、更主动的防御措施与已有的防护措施一起应对企业面临的安全威胁。动态防御才能真正为业务安全提供保障，尤其是能针对各种形式的新兴自动化攻击的防护，而不仅仅只是对信息技术系统提供安全防护。主动、动态防御在攻击者面前呈现一个不确定性、欺骗性及迷惑性等特征的应用环境，极大地增加攻击者的攻击难度，提升网络自身的抵抗能力。
经过前期的需求调研，动态防御系统需满足以下核心技术需求：防护节点双节点部署、IPv6支持、平台本身满足数据安全合规性评估要求、API管控（定制化开发需要支持SGIP、SIP、MM7等大网协议）、账号和行为异常分析、APP和微信公众号动态防护。
XXXX政企自有平台、IT支撑部门平台、物联网平台、网厅等多个业务系统区域，为满足国家网络安全法管理要求，提升整体业务安全防御能力。具体的业务统计信息如下：
动态防御
某运营商政企网络安全解决方案
系统部署方案
动态防御产品支持部署在云环境下，使用脚本方式安装，脚本安装方式只需提供redhat7或centos7系统即可完成安装，并使用反向代理模式。
动态防御设备部署在负载均衡设备的后面，与被保护的服务器位于同一DMZ区,跟需要被防护的应用服务器路由可达即可。（动态防御设备上需配置网络及路由设置）
本次主要是对XXX政企自有平台、IT支撑部门平台、物联网平台、网厅等多个应用进行全面的防护，其中包含web应用、小程序、微信公众号及手机app。
网络拓扑图：
（以www业务举例说明）
前端负载均衡设备上的变更：
负载均衡设备在原有的www 资源池中添加动态防御设备的IP及相应的端口作为新的资源池成员。
01
将www资源池的负载均衡算法调整为优先级算法，将动态防护设备的成员的优先级调高，原有的web服务器成员的优先级降低。这样配置可以让用户流量经过动态防护设备进行防护，一旦动态防护设备出现问题，负载均衡设备的健康检查会自动屏蔽动态防御设备，将用户访问流量切到原来的web服务器成员上，以保障业务的快速切换和正常服务。
02
负载均衡设备上的健康检查算法建议为 应用层健康检查，以提高检查的精确性。
经过保护之后的用户请求，动态防御可以通过自身的负载均衡功能对后台业务进行负载。
由于动态防御设备是一个反向代理的工作模式，因此在后台服务器上看到的用户的源iP为动态防御设备的IP地址，如业务有需要记录真实的用户源IP的情况，需要在后台应用上设置从http header （x-forward-for）中读取真实用户的源IP。
03
部署方案的优点：
1. 整个部署架构简单灵活，一旦出现异常状况，可以迅速切换保障业务不受影响，同时可借助原有的负载均衡进行横向扩展，也可使用动态防御平台的HA功能进行扩展。
2. 不改变用户现有业务，不影响最终用户体验。
3. 同时支持IPV4和IPV6的双栈部署。
该解决方案支持多种业务场景，包括：
WEB应用
01
移动APP
02
小程序
03
公众号
04
方案具备良好的扩展性和扩展能力。影盾产品通过与负载均衡设备协助，通过负载均衡设备来提供高可用的功能，单一设备出现故障，可用自动的被绕过；同时通过横向扩展来提升整体的性能，不像传统的硬件设备厂商，一旦性能需要扩容时，需要更换更高性能的硬件。同时影盾动态防御平台具备良好的功能扩展能力，可以根据不同业务场景的需求进行相应的二次开发，满足不同场景下的功能需求。
基于大数据的行为分析实现对API的分析和防护以及恶意行为的数据分析。以大数据作为基础，在过滤绝大部分机器流量的基础上，再结合业务模型和浏览器指纹技术，过滤出隐藏的恶意用户（AI or Human），并将其放入黑名单。同时也可以对恶意行为进行分析，对正常的API请求进行统计和分析及防护功能
其中小程序和移动APP的场景需要提供SDK与小程序和APP进行集成。其SDK具备良好的兼容性。SDK基于C语言开发，轻量级，是可以支持跨版本使用的。（也就是IOS或安卓的系统版本无论怎么升级，我们的SDK不会因为IOS版本升级而要做适配，不会因为SDK的适配影响业务发布和上线速度）.SDK以.so库的方式引入APP中，可以快速的兼容不同的移动开发框架。（例如阿里的mpass平台，google的flutter开发框架等）
SDK具备良好的合规性。APP端的敏感接口的权限问题以及个人隐私保护法对敏感信息获取的规定，导致SDK如果在客户端调用敏感接口或者隐私信息的话会带来大量的合规性问题。目前，有大量企业的APP都因为个人隐私过度获取或者隐私获取用途不明被监管机构处罚。
SDK不获取任何客户端敏感信息，也不调用任何敏感系统接口，从而完全满足SDK合规性的要求。
防御效果
对应用的登录接口使用参数验证，访问的url地址必须带上动态防御动态化的参数才能通过访问，且验证其次数和有效性。
对应用的登录接口进行动态化混淆，访问的url地址必须为动态防御系统动态生成的地址才能通过访问，且验证其次数和有效性。
同样小程序的所有接口使用参数验证，访问的url地址必须带上动态防御动态化的参数才能通过访问，且验证其次数和有效性。
手机app选择的防护方案则是对所有请求的接口进行动态化混淆，无法查看原来的明文地址，并同时对源明文地址进行拦截，对动态化地址验证其次数和有效性。
