Web應(yīng)用防火墻(Web application firewall，WAF)主要用來(lái)保護(hù)Web應(yīng)用免遭跨站腳本和SQL注入等常見(jiàn)攻擊。WAF位于Web客戶端和Web服務(wù)器之間，分析應(yīng)用程序?qū)拥耐ㄐ�，從而發(fā)現(xiàn)違反預(yù)先定義好安全策略的行為。

隨著web2.0時(shí)代的到來(lái)，Web應(yīng)用也逐漸被人廣泛的接受和使用。當(dāng)然，每個(gè)新技術(shù)的到來(lái)對(duì)應(yīng)著其安全問(wèn)題也接踵而來(lái)。面對(duì)Web安全問(wèn)題，不同于IDS與IPS的新技術(shù)，Web應(yīng)用防火墻也逐漸映入人們的眼中。

Web應(yīng)用防火墻(WAF)主要用來(lái)保護(hù)Web應(yīng)用免遭跨站腳本和SQL注入等常見(jiàn)攻擊。WAF位于Web客戶端和Web服務(wù)器之間，分析應(yīng)用程序?qū)拥耐ㄐ�，從而發(fā)現(xiàn)違反預(yù)先定義好安全策略的行為。

盡管某些傳統(tǒng)防火墻也能提供一定程度的應(yīng)用認(rèn)知功能，但是它不具備WAF的精度和準(zhǔn)度。舉例來(lái)說(shuō)，WAF可以檢測(cè)一個(gè)應(yīng)用程序是否按照其規(guī)定的方式運(yùn)行，而且它能讓你編寫(xiě)特定的規(guī)則來(lái)防止特定攻擊行為的再次發(fā)生。

Web應(yīng)用防火墻（WAF）也不同于入侵防御系統(tǒng)(IPS)，兩者是完全不同的兩種技術(shù)，后者是基于簽名，而前者是從行為來(lái)分析，它能夠防護(hù)用戶自己無(wú)意中制造的漏洞。

目前Web應(yīng)用防火墻的主要推動(dòng)因素之一是支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)(PCI DSS)，該標(biāo)準(zhǔn)主要通過(guò)兩個(gè)辦法來(lái)驗(yàn)證是否合規(guī)：WAF和代碼審查。另外一個(gè)推動(dòng)因素是，人們?cè)絹?lái)越多的認(rèn)識(shí)到攻擊已經(jīng)開(kāi)始由網(wǎng)絡(luò)轉(zhuǎn)移到應(yīng)用程序。根據(jù)WhiteHat Security公布的一份研究報(bào)告，從2006年1月到2008年12月間對(duì)877個(gè)網(wǎng)站進(jìn)行了評(píng)估，結(jié)果發(fā)現(xiàn)82%的網(wǎng)站至少存在一個(gè)高�；蚓o急安全漏洞。

Web應(yīng)用防火墻的主要特性

Web應(yīng)用防火墻市場(chǎng)仍然不確定，有很多不同的產(chǎn)品被歸類到WAF范疇。研究機(jī)構(gòu)Burton Group的分析師Ramon Krikken表示，“很多產(chǎn)品提供的功能遠(yuǎn)遠(yuǎn)超出了我們通常認(rèn)為防火墻應(yīng)該具有的功能，這使得產(chǎn)品的評(píng)價(jià)和比較難以進(jìn)行。”此外，通過(guò)將已有的非WAF產(chǎn)品整合到綜合產(chǎn)品中的方式，新廠商開(kāi)始進(jìn)入市場(chǎng)。

根據(jù)研究和咨詢公司Xiom創(chuàng)始人Ofer Shezaf提供的清單，下面列出Web應(yīng)用防火墻應(yīng)該具備的功能特點(diǎn)：

·深入理解HTTP。Web應(yīng)用防火墻必須全面深入分析和解析HTTP的有效性。

·提供明確的安全模型。明確的安全模型只允許已知流量通過(guò)，這就給應(yīng)用程序提供了外部驗(yàn)證保護(hù)。

·應(yīng)用層規(guī)則。由于高昂的維護(hù)費(fèi)用，明確的安全模型應(yīng)該配合基于簽名的系統(tǒng)來(lái)運(yùn)作。不過(guò)由于web應(yīng)用程序是自定義編碼，傳統(tǒng)的針對(duì)已知漏洞的簽名是無(wú)效的。Web應(yīng)用防火墻規(guī)則應(yīng)該是通用的，并且能夠發(fā)現(xiàn)像SQL注入這樣的攻擊變種。

·基于會(huì)話的保護(hù)：HTTP的最大弱勢(shì)之一在于缺乏嵌入式的可靠的會(huì)話機(jī)制。Web應(yīng)用防火墻必須實(shí)現(xiàn)應(yīng)用程序會(huì)話管理，并保護(hù)應(yīng)用程序免受基于會(huì)話的攻擊和超時(shí)攻擊。

·允許細(xì)粒度政策管理。例外政策應(yīng)該只對(duì)極少部分的應(yīng)用程序執(zhí)行，否則，可能會(huì)造成重大安全漏洞。

天下數(shù)據(jù)Web應(yīng)用防火墻（云WAF）是基于 AI 引擎的一站式 Web 業(yè)務(wù)運(yùn)營(yíng)風(fēng)險(xiǎn)防護(hù)方案，幫助用戶應(yīng)對(duì)網(wǎng)站入侵，漏洞利用，掛馬，篡改，后門(mén)，爬蟲(chóng)Bot，域名劫持等安全問(wèn)題，為組織網(wǎng)站及Web業(yè)務(wù)安全運(yùn)營(yíng)保駕護(hù)航。詳詢天下數(shù)據(jù)客服400-6388-808。

本文鏈接：http://m.51huadong.com/cloundnews/11003365.html