Web 已成為備受矚目的攻擊媒介，而 Web 安全對于確保企業的業務安全至關重要。
如今黑客行為是一個公認的行業，而犯罪企業比以往任何時候都更加復雜且聯系更加緊密。攻擊一直在不斷變化，其破壞力正變得越來越大，而且更加難以檢測。
一、當今一些最危險的基于 Web 的威脅包括：
1.“水坑”攻擊，可利用惡意軟件感染受信任的網站來危害最終用戶。
2.魚叉式網絡釣魚，不法分子誘騙一個特定的用戶，并引誘 他們點擊有害鏈接。
3.下載的惡意程序攻擊，可轉發帶有鬼鬼祟祟自刪除程序的惡意軟件。
二、一個全面的 web安全解決方案，其中必須包含這五項必備要素
1.在攻擊前、中、后提供全程保護
在今天的威脅的情況下，安全邊界已經擴展到云中，數據已經成為主要的攻擊目標，網絡勢必會受到威脅。因此，組織必須使用可被用來在可能的解決方案，以各種各樣的攻擊源的威脅的任何地方運行的解決方案：網絡、終端設備、移動設備、和虛擬環境。
2.靈活的部署選項
為了真正有效，值得信賴的安全解決方案必須與現有基礎架構集成，并減少了對“一鍵切換到”基礎設施和技術。它也有必要適應公司的發展和變化，并擴大，從而提供保護的匹配級別。
3.保護敏感數據，并防止其脫離組織的控制
研究表明，該組織可能無法阻止所有的惡意軟件進入其網絡。然而，現代的內容安全解決方案有助于降低關鍵數據意外事故的概率，或故意在網絡之外。公司需要能夠掃描所有入站和出站網絡流量的新的和現有的惡意軟件，并能夠使用基于信譽和行為動態分析來分析每個網站內容的訪問。
4.通過可靠的控制來降低風險
今天的組織需要以先進的動態Web內容和應用為所有用戶，無論用戶所在。
在今天的Web 2.0的世界里，以防止該網站是既不實際也不現實 - 但它可以阻止功能。提供應用可視性和可控的內容安全解決方案可以幫助管理員創建和實現包含嵌入式應用站點內的詳細戰略，并不會影響到員工的工作效率或增加IT資源的負擔。
復雜的內容安全解決方案，不僅識別該應用程序，但也確定微應用及其分類，管理員可以容易地允許或拒絕訪問應用程序的相關部分。
5.快速識別零日攻擊并進行補救
威脅比以往任何時候都更加動態和高級了。惡意軟件變得越來越復雜，難以捉摸。和有針對性的攻擊，他們執行任務的日益猖獗，固執地藏身之地。
要確定就需要大量的數據分析，零日攻擊，可以檢查用戶和流量的數據隨著時間的推移和識別可疑行為。
如果威脅防御的第一道防線被識別，該組織需要有追溯，從而扭轉時間并消除惡意軟件在所有受感染的設備的能力。
三、應用web安全網頁防篡改軟件
網頁篡改是指不法攻擊者在用戶訪問網頁時通過網絡中間人攻擊、惡意代碼注入等方式，對服務器上的網站程序或者文件進行了非法修改，從而改變原始網頁的內容的一種攻擊。此外，他還可以劫持客戶端的HTTP或者HTTPS網絡請求，并將受攻擊客戶端用戶重定向到篡改網頁上去。
網頁篡改可以分為兩大類：一是客戶端攻擊，即請求違規鏈接或執行惡意JAVAscript腳本；二是服務端攻擊，也就是說，黑客可以通過在網站服務器上執行惡意代碼，來獲取服務器上的網頁文件，并進行篡改。
客戶端攻擊：當一個不良用戶實施網頁篡改時，通常會要求客戶端訪問者在瀏覽的網頁上打開特定的鏈接。此外，他還可以利用計算機病毒或惡意軟件，注入惡意的漏洞腳本，從而篡改客戶端的網頁內容。
服務端攻擊：服務端攻擊通常使黑客在服務器端執行惡意指令，修改網站文件，更改網站功能或插入新的網頁內容。服務端攻擊還可以用來獲取服務器上敏感信息，包括服務器密碼、數據庫信息、賬戶憑證和機密文件等。
針對網頁篡改的防御：
1、應用安全測試。因為網頁篡改多是由惡意代碼帶來的，而惡意代碼的進入最常用的方式就是通過漏洞的攻擊，所以應該在應用開發完成后，用專業的安全測試技術來檢測應用是否含有任何漏洞。
2、專業建站。在使用網站時，應使用專業的建站工具，如用JSP、ASP等服務器端腳本語言建站時，要使用框架（如struts、lucene等），同時應鎖定框架的安全隱患。
3、使用可信的網關。可信的網關如firewall等，可以在數據進入服務器前，篩選其中的非法數據，阻止來自不安全源的數據攻擊。
4、充分保護日志。這是因為網頁篡改的診斷和分析最重要的步驟之一就是通過網站日志分析，所以必須加強網站日志的安全，充分保護日志把控系統，避免網頁篡改所造成的損失。
四、市場上網頁防篡改產品的技術分析
防篡改產品 最早期的技術為外掛輪詢技術，即通過一個程序不斷逐個去檢查文件是否有變化。會大量持續占用系統資源。技術已經被淘汰，不建議中型以上網站使用。
事件觸發技術作為防篡改的一種技術方式，是對文件狀態的一種監控技術。相對來說事件觸發技術在監控進程存在的情況下能阻止篡改行為。
核心內嵌技術作為防篡改的另一種技術方式是對于文件出口的檢測。對一些小眾化的web應用中間件可能存在兼容問題。
內核驅動技術 作為目前防篡改的新興技術 其技術核心就是模擬驅動程序監測文件系統的變化 把文件操作事件獨立出來進行限制和阻斷。針對的目標為文件入口，優點是獨立于系統之外，更難以繞過。
目前通過國家GB/T 29766 產品還在使用的技術大部分為事件觸發 II、III、核心內嵌和內核驅動 技術 部分基礎級產品有使用外掛輪詢技術的。
