web應(yīng)用防火墻（waf）
web應(yīng)用防火墻(waf)是什么來的呢?跟我們一般的系統(tǒng)防火墻一樣嗎?下面就讓學(xué)習(xí)啦小編給大家說一下web應(yīng)用防火墻是什么來的。
WEB應(yīng)用防火墻(waf)
Web應(yīng)用防火墻是通過執(zhí)行一系列針對HTTP/HTTPS的安全策略來專門為Web應(yīng)用提供保護(hù)的一款產(chǎn)品。
利用國際上公認(rèn)的一種說法：Web應(yīng)用防火墻是通過執(zhí)行一系列針對HTTP/HTTPS的安全策略來專門為Web應(yīng)用提供保護(hù)的一款產(chǎn)品。
總體來說，Web應(yīng)用防火墻的具有以下四大個(gè)方面的功能(參考WAF入門，對內(nèi)容做了一些刪減及改編)：
1、審計(jì)設(shè)備：用來截獲所有HTTP數(shù)據(jù)或者僅僅滿足某些規(guī)則的會(huì)話。
2、訪問控制設(shè)備：用來控制對Web應(yīng)用的訪問，既包括主動(dòng)安全模式也包括被動(dòng)安全模式。
3、架構(gòu)/網(wǎng)絡(luò)設(shè)計(jì)工具：當(dāng)運(yùn)行在反向代理模式，他們被用來分配職能，集中控制，虛擬基礎(chǔ)結(jié)構(gòu)等。
4、WEB應(yīng)用加固工具：這些功能增強(qiáng)被保護(hù)Web應(yīng)用的安全性，它不僅能夠屏蔽WEB應(yīng)用固有弱點(diǎn)，而且能夠保護(hù)WEB應(yīng)用編程錯(cuò)誤導(dǎo)致的安全隱患。
需要指出的是，并非每種被稱為Web應(yīng)用防火墻的設(shè)備都同時(shí)具有以上四種功能。
同時(shí)WEB應(yīng)用防火墻還具有多面性的特點(diǎn)。比如從網(wǎng)絡(luò)入侵檢測的角度來看可以把WAF看成運(yùn)行在HTTP層上的IDS設(shè)備;從防火墻角度來看，WAF是一種防火墻的功能模塊;還有人把WAF看作“深度檢測防火墻”的增強(qiáng)。(深度檢測防火墻通常工作在的網(wǎng)絡(luò)的第三層以及更高的層次，而Web應(yīng)用防火墻則在第七層處理HTTP服務(wù)并且更好地支持它。)
功能描述
WEB應(yīng)用防火墻是集WEB防護(hù)、網(wǎng)頁保護(hù)、負(fù)載均衡、應(yīng)用交付于一體的WEB整體安全防護(hù)設(shè)備。它集成全新的安全理念與先進(jìn)的創(chuàng)新架構(gòu)，保障用戶核心應(yīng)用與業(yè)務(wù)持續(xù)穩(wěn)定的運(yùn)行。
1、事前主動(dòng)防御，智能分析應(yīng)用缺陷、屏蔽惡意請求、防范網(wǎng)頁篡改、阻斷應(yīng)用攻擊，全方位保護(hù)WEB應(yīng)用。
2、事中智能響應(yīng)，快速P2DR建模、模糊歸納和定位攻擊，阻止風(fēng)險(xiǎn)擴(kuò)散，消除“安全事故”于萌芽之中。
3、事后行為審計(jì)，深度挖掘訪問行為、分析攻擊數(shù)據(jù)、提升應(yīng)用價(jià)值，為評估安全狀況提供詳盡報(bào)表。
4、面向客戶的應(yīng)用加速，提升系統(tǒng)性能，改善WEB訪問體驗(yàn)。
5、面向過程的應(yīng)用控制，細(xì)化訪問行為，強(qiáng)化應(yīng)用服務(wù)能力。
6、面向服務(wù)的負(fù)載均衡，擴(kuò)展服務(wù)能力，適應(yīng)業(yè)務(wù)規(guī)模的快速壯大。
特點(diǎn)
異常檢測協(xié)議
Web應(yīng)用防火墻會(huì)對HTTP的請求進(jìn)行異常檢測，拒絕不符合HTTP標(biāo)準(zhǔn)的請求。并且，它也可以只允許HTTP協(xié)議的部分選項(xiàng)通過，從而減少攻擊的影響范圍。甚至，一些Web應(yīng)用防火墻還可以嚴(yán)格限定HTTP協(xié)議中那些過于松散或未被完全制定的選項(xiàng)。
增強(qiáng)的輸入驗(yàn)證
增強(qiáng)輸入驗(yàn)證，可以有效防止網(wǎng)頁篡改、信息泄露、木馬植入等惡意網(wǎng)絡(luò)入侵行為。從而減小Web服務(wù)器被攻擊的可能性。
及時(shí)補(bǔ)丁
修補(bǔ)Web安全漏洞，是Web應(yīng)用開發(fā)者最頭痛的問題，沒人會(huì)知道下一秒有什么樣的漏洞出現(xiàn)，會(huì)為Web應(yīng)用帶來什么樣的危害?，F(xiàn)在WAF可以為我們做這項(xiàng)工作了——只要有全面的漏洞信息WAF能在不到一個(gè)小時(shí)的時(shí)間內(nèi)屏蔽掉這個(gè)漏洞。當(dāng)然，這種屏蔽掉漏洞的方式不是非常完美的，并且沒有安裝對應(yīng)的補(bǔ)丁本身就是一種安全威脅，但我們在沒有選擇的情況下，任何保護(hù)措施都比沒有保護(hù)措施更好。
(附注：及時(shí)補(bǔ)丁的原理可以更好的適用于基于XML的應(yīng)用中，因?yàn)檫@些應(yīng)用的通信協(xié)議都具規(guī)范性。)
基于規(guī)則的保護(hù)和基于異常的保護(hù)
基于規(guī)則的保護(hù)可以提供各種Web應(yīng)用的安全規(guī)則，WAF生產(chǎn)商會(huì)維護(hù)這個(gè)規(guī)則庫，并時(shí)時(shí)為其更新。用戶可以按照這些規(guī)則對應(yīng)用進(jìn)行全方面檢測。還有的產(chǎn)品可以基于合法應(yīng)用數(shù)據(jù)建立模型，并以此為依據(jù)判斷應(yīng)用數(shù)據(jù)的異常。但這需要對用戶企業(yè)的應(yīng)用具有十分透徹的了解才可能做到，可現(xiàn)實(shí)中這是十分困難的一件事情。
狀態(tài)管理
WAF能夠判斷用戶是否是第一次訪問并且將請求重定向到默認(rèn)登錄頁面并且記錄事件。通過檢測用戶的整個(gè)操作行為我們可以更容易識別攻擊。狀態(tài)管理模式還能檢測出異常事件(比如登陸失敗)，并且在達(dá)到極限值時(shí)進(jìn)行處理。這對暴力攻擊的識別和響應(yīng)是十分有利的。
其他防護(hù)技術(shù)
WAF還有一些安全增強(qiáng)的功能，可以用來解決WEB程序員過分信任輸入數(shù)據(jù)帶來的問題。比如：隱藏表單域保護(hù)、抗入侵規(guī)避技術(shù)、響應(yīng)監(jiān)視和信息泄露保護(hù)。
web應(yīng)用防火墻（waf）相關(guān)文章：
web應(yīng)用防火墻（waf）
