基本介紹
- 中文名：WEB套用防火牆
- 訪問控制設備：用來控制對Web套用的訪問
- 審計設備：截獲所有HTTP數據
- 功能：為Web套用提供保護
定義,審計設備,訪問控制設備,網路設計工具,套用加固工具,功能描述,特點,異常檢測協定,增強輸入驗證,及時補丁,狀態管理,其他防護技術,如何選擇,產品宣傳,產品功能介紹,產品評測報告,售後服務,常見產品,
定義
利用國際上公認的一種說法：
總體來說，Web套用防火牆的具有以下四大個方面的功能(參考WAF入門，對內容做了一些刪減及改編)。
審計設備
用來截獲所有HTTP數據或者僅僅滿足某些規則的會話。
訪問控制設備
用來控制對Web套用的訪問，既包括主動安全模式也包括被動安全模式。
網路設計工具
當運行在反向代理模式，他們被用來分配職能，集中控制，虛擬基礎結構等。
套用加固工具
這些功能增強被保護Web套用的安全性，它不僅能夠禁止WEB套用固有弱點，而且能夠保護WEB套用編程錯誤導致的安全隱患。
需要指出的是，並非每種被稱為Web套用防火牆的設備都同時具有以上四種功能。
功能描述
部署圖示2、事中智慧型回響，快速P2DR建模、模糊歸納和定位攻擊，阻止風險擴散，消除“安全事故”於萌芽之中。
3、事後行為審計，深度挖掘訪問行為、分析攻擊數據、提升套用價值，為評估安全狀況提供詳盡報表。
4、面向客戶的套用加速，提升系統性能，改善WEB訪問體驗。
5、面向過程的套用控制，細化訪問行為，強化套用服務能力。
6、面向服務的負載均衡，擴展服務能力，適應業務規模的快速壯大。
特點
Web套用防火牆的一些常見特點如下。
異常檢測協定
Web套用防火牆會對HTTP的請求進行異常檢測，拒絕不符合HTTP標準的請求。並且，它也可以只允許HTTP協定的部分選項通過，從而減少攻擊的影響範圍。甚至，一些Web套用防火牆還可以嚴格限定HTTP協定中那些過於鬆散或未被完全制定的選項。
增強輸入驗證
增強輸入驗證，可以有效防止網頁篡改、信息泄露、木馬植入等惡意網路入侵行為。從而減小Web伺服器被攻擊的可能性。
及時補丁
修補Web安全漏洞，是Web套用開發者最頭痛的問題，沒人會知道下一秒有什麼樣的漏洞出現，會為Web套用帶來什麼樣的危害。現在WAF可以為我們做這項工作了——只要有全面的漏洞信息WAF能在不到一個小時的時間內禁止掉這個漏洞。當然，這種禁止掉漏洞的方式不是非常完美的，並且沒有安裝對應的補丁本身就是一種安全威脅，但我們在沒有選擇的情況下，任何保護措施都比沒有保護措施更好。
(附註：及時補丁的原理可以更好的適用於基於XML的套用中，因為這些套用的通信協定都具規範性。)
基於規則的保護和基於異常的保護
基於規則的保護可以提供各種Web套用的安全規則，WAF生產商會維護這個規則庫，並時時為其更新。用戶可以按照這些規則對套用進行全方面檢測。還有的產品可以基於合法套用數據建立模型，並以此為依據判斷套用數據的異常。但這需要對用戶企業的套用具有十分透徹的了解才可能做到，可現實中這是十分困難的一件事情。
狀態管理
WAF能夠判斷用戶是否是第一次訪問並且將請求重定向到默認登錄頁面並且記錄事件。通過檢測用戶的整個操作行為我們可以更容易識別攻擊。狀態管理模式還能檢測出異常事件(比如登入失敗)，並且在達到極限值時進行處理。這對暴力攻擊的識別和回響是十分有利的。
其他防護技術
WAF還有一些安全增強的功能，可以用來解決WEB程式設計師過分信任輸入數據帶來的問題。比如：隱藏表單域保護、抗入侵規避技術、回響監視和信息泄露保護。
如何選擇
從Web套用防火牆功能對比表格中，我們可以看出，目前Web套用防火牆的功能性還不統一，幾個廠商Web套用防火牆的主要功能項還有較大出入。另外，功能描述也不相同，有些同種的功能各個廠商廠商的描述各不相同。為了對廠商真實體現廠商產品功能，這一部分資料按各廠商介紹在表格中予以重現。還有一些廠商存在明顯的技術資料發布不全現象，這方面以思傑(Citrix)最具代表性。如果不是其網站產品介紹中存在“利用集成式套用防火牆增強了安全性”這一句話，和其英文網站上的相關介紹，我們幾乎認定其Citrix NetScaler產品僅是一款Web套用加速產品!所幸的是，在本次活動截止前一天，思傑市場人員將Citrix NetScaler中文資料發給了我們，才使得思傑Citrix NetScaler產品功能對比的項目不至於留白!
但是在產品功能項目差異大，內容不統一的情況下，用戶應該如何對產品進行選擇呢?下面我們就綜合分析一下，在選擇Web套用防火牆產品時，哪幾方面的信息是用戶最需要了解的。
產品宣傳
通過廠商的產品宣傳，可以了解廠商產品的市場定位，以及廠商對用戶套用需求的了解情況。從中可以初步分析廠商產品是否可以滿足用戶的實際套用需求。
產品功能介紹
在產品功能介紹中，可以粗略了解產品的各項功能，在經過對比後可以了解廠商產品的功能是否齊備，可否滿足用戶套用的需求。
產品評測報告
這是用戶容易忽略，某些廠商刻意忽略的重要信息。對於網路產品來講，市場定位容易描述，產品功能也可以相互借鑑，但具體的功能測試是很難仿造的。評測報告中的每個指標、每個數據都是廠商研發技術實力的最直觀體現，只有對產品技術具備最深入理解的廠商才可以在用戶面前交出一份令用戶滿意的評測報告!
售後服務
把售後服務放到產品銷售前面，就在於它的重要性。一般的網路產品往往會使用戶忽略售後服務的重要，質量過硬的網路產品有可能插電一次性設定後幾年都不需要變動。但是Web套用防火牆這類網路安全產品就全然不同了，層出不窮的網路威脅會時刻對其發出挑戰。沒有完善研發售後服務能力的廠商將無力面對這些威脅，這樣用戶的網路安全也就失去了相應的保障。
產品銷售
產品的銷售廠商在哪裡，從那裡可以得到什麼樣的服務，技術支持能力如何……這些同樣也需要用戶在選擇產品時事先進行了解。
常見產品
天融信WEB套用安全網關系統是公司WEB安全專家團針對“網站型”伺服器量身定製的產業化產品，匯聚了天融信公司長期對網站系統進行安全研究的成果。主要從網站系統可用性和信息可靠性的角度出發，滿足用戶對於WEB套用防護及加速、網頁防篡改、網站業務分析等功能的核心需求。提供事前預警、事中防護、事後分析的全周期安全防護解決方案。
龍盾IIS防火牆
“龍盾IIS防火牆”是一款經典的網站安全防護產品， 經過十餘年的技術沉澱， “龍盾IIS防火牆”對於各種流行的網站入侵，均具有顯著的防禦效果。 “龍盾IIS防火牆”採用高效、安全的技術為網站提供了如下保護：
產品功能
防木馬上傳
“龍盾IIS防火牆” 能及時準確的識別asp、php、aspx以及aspa等類型的木馬和後門檔案，從根本上杜絕了黑客利用網站漏洞，上傳木馬和後門程式；
支持對上傳檔案內容的過濾；
支持對加密、加殼木馬檔案的識別。
FTP目錄監控
“龍盾IIS防火牆” 實時監控通過FTP上傳到伺服器上的檔案，實時查殺上傳到WEB伺服器上的木馬和後門程式，實時查殺時間為毫秒。
支持對木馬檔案內容關鍵字的設定；
支持對加密、加殼木馬檔案的識別，即使是被加密的的木馬檔案，也可立即清除。
防掛馬
“龍盾IIS防火牆” 獨創LRCT專利技術，從根本上阻止了由於網站或系統漏洞導致的網頁或資料庫掛馬，有效防禦XSS跨站腳本攻擊。
支持掛馬攔截，從根本上阻止黑客對網站和資料庫掛馬；
支持掛馬內容自動清除，即使伺服器已經掛馬，“龍盾IIS防火牆”也會自動清除。
專業防SQL注入
十年來，“龍盾IIS防火牆” 致力於跟蹤SQL注入技術的最新動態，防SQL注入策略不斷更新，規則不斷完善；
支持對GET、POST、COOKIE所有數據提交方式的過濾；
過濾規則分離原則：不同方法（GET、POST、COOKIE）提交的數據，過濾的規則相互獨立，最大限度的加強了對SQL注入的防禦，同時，也從根本上杜絕了對正常訪問的誤攔；
支持“模式匹配”，“龍盾IIS防火牆”具有人工智慧特性，一條防SQL注入規則，即可以阻止一類的SQL注入。
系統帳戶保護
“龍盾IIS防火牆”可阻止黑客創建Windows系統帳戶。
可阻止黑客通過各種方式創建Windows系統管理員帳戶。
遠程桌面保護
“龍盾IIS防火牆”可阻止非法IP位址訪問3389 遠程桌面。
可設定IP位址白名單，只有白名單內的IP位址才可以連線伺服器的遠程桌面，非IP白名單內的IP位址連線遠程桌面時將被阻止。
信息監控
“龍盾IIS防火牆”實時監控流入、流出網站的信息，實時禁止和過濾敏感信息；
用戶提交的敏感信息被立即阻止；
即使網站上已經存在敏感信息，龍盾IIS防火牆也可進行過濾，確保訪問者看到的內容均合法，從而不必擔心伺服器被查封；
支持“模式匹配”。
資源防盜鏈
“龍盾IIS防火牆”可有效保護網站資源不被其它網站盜鏈。
支持友好域名設定；
支持自由下載資料夾設定；
支持防迅雷下載功能。
線上播放防下載
對於只希望線上播放的音頻、視頻網站，“龍盾IIS防火牆”可有效防止網站的音頻或視頻檔案被非法下載。
支持對AVI, MPG, RMVB, FLV, MP3, WMA等各類線上音頻和視頻的保護；
支持對嗅探瀏覽器的防禦。
下載流量控制
“龍盾IIS防火牆”可任意設定檔案下載的執行緒個數和下載速度，從而保障您的頻寬不被非法吞噬，有效控制下載流量 ，降低伺服器資源的消耗。
適用於各種下載工具，不論是網際快車還是迅雷，均可限制其下載速度和下載執行緒個數；
不同網站可設定不同的下載速度和下載執行緒數。
抗CC攻擊
“龍盾IIS防火牆”可有效抵禦CC、DDOS軟體的攻擊，有效抵禦流量攻擊，防止非法用戶高頻率刷新資料庫。
支持“最大並發連線數控制”功能；
支持對變種CC的有效防禦；
支持檔案類型的設定。
代理伺服器訪問控制
“龍盾IIS防火牆”可阻止代理伺服器的訪問，有效抵禦殭屍攻擊，流量攻擊。
防PHP UDP攻擊
“龍盾IIS防火牆”從根本上清除UDP發包程式，迅速解決頻寬被占滿的問題。
即使加密的UDP發包木馬程式，也可立即清除；
即使伺服器已經存在UDP發包程式，也可阻止其傳送大量UDP包。
IP位址黑名單
一方面, “龍盾IIS防火牆”的智慧型分析系統，會將參與惡意攻擊的IP位址自動加入黑名單, 另一方面, 用戶也可以手工任意阻止非法IP位址的訪問。
支持IP位址段設定；
支持自定義黑名單IP位址解封時間。
IP位址白名單
“龍盾IIS防火牆”可指定不受防火牆限制的客戶端IP位址。
支持IP位址段設定；
滿足使用“網路加速器”用戶的需要；
保證不會對“搜尋引擎蜘蛛”的爬行記錄造成影響。
廣告植入
您可以通過“龍盾IIS防火牆”向頁面內植入廣告信息。
支持廣告與域名分離，不同的網站和域名可以設定不同的廣告內容。
抗緩衝區溢出攻擊
“龍盾IIS防火牆”允許您自定義HTTP頭、URL地址 、COOKIE以及查詢串長度， 防止緩衝區溢出攻擊。
支持對WebDAV，RPC服務遠程溢出漏洞的防禦；
支持對IDQ溢出漏洞的防禦。
禁止運行惡意腳本
禁止ASP、PHP、JSP木馬程式伺服器上運行。
URL訪問許可權控制
“龍盾IIS防火牆”可根據不同訪問者的IP位址，設定不同的URL訪問許可權。
自由域名
可設定不受防火牆保護的域名，自由域名列表內的站點完全不受防火牆的保護，滿足特殊情況下的需要。
KS-WAF知道網站統一防護系統
KS-WAF知道網站統一防護系統是知道創宇旗下的一款WEB套用防火牆。WAF被設計用於處理所有常見的Web套用安全威脅，即保護以HTTP/HTTPS相關套用協定為基礎，運行在OSI第七層（套用層）的Web套用線上業務。WAF真正實現了對網路套用的保護，是傳統安全技術的有效補充。傳統安全設備阻擋攻擊者從正面入侵，著重進行網路層的攻擊防護；而WAF著重進行套用層的內容檢查和安全防禦，與傳統安全設備共同構成全面、有效的安全防護體系。
KS—WAF被設計用於幫助管理員抵禦黑客攻擊和進行網站用戶的行為審計。防禦方面主要進行深度的黑客攻擊防護，在保障安全的前提下，KS-WAF還可以識別這些黑客攻擊的手法和源頭。而對網站用戶的行為審計功能，則表示KS-WAF能告訴網站管理員，用戶一般在什麼時間段訪問、用戶最關心哪些頁面或內容、網站一天的訪問量有多少、這些訪問都來自哪些地方。通過這幾方面功能的結合，網站管理員不僅可以對黑客攻擊高枕無憂，同時還可以更好地了解用戶行為和喜好，可謂一舉多得。
防護理念：
安全防護管控體系：提供區分攻擊行為類別的多種防禦引擎、對攻擊行為進行針對性的事件處理策略配置、定義具體攻擊行為的匹配規則定製，對已知和未知的Web攻擊進行全面防護，將攻擊行為的細節直觀、詳盡地展示給用戶，達到防護、管控Web套用業務安全的目的。
方便有效網管運維：在安全防護能力給Web套用的安全性帶來保障的同時，也為Web套用複雜的網路管理、日常運維帶來快捷和便利，能夠實時了解網站可用性狀態、安全性狀態、客戶端訪問流量、客戶類型和地域分析、伺服器承載壓力；能夠對網站提供負載均衡加速、快取頁面加速、數據壓縮加速，使Web套用完全發揮其最大性能。
滿足行業/國家標準、通過安全審計：隨著安全問題的不斷浮現和社會影響的深化，Web套用的安全性越來越受到人們的重視和關注，由此促進了部分行業的安全標準制定，如PCI-DSS標準要求；國家公安部、國務院下發的指示。
WAF可協助Web應用程式滿足相關的安全性要求，確保線上業務安全、合規地運作，幫助客戶通過安全審計。
產品功能：
①防攻擊：功能主要關注黑客攻擊Web套用並試圖入侵網路伺服器的攻擊事件過程。可以覆蓋OWASP TOP 10、WASC、PCI DSS等標準，包括SQL注入攻擊、XSS跨站攻擊、CSRF跨站請求偽造攻擊等。
②防漏洞：KS-WAF可對網站中的敏感信息、伺服器信息進行禁止或偽裝，達到避免數據泄露的隱患。成功的攻擊往往需要利用伺服器的IP、作業系統信息、套用信息、伺服器出錯信息、資料庫出錯信息，KS-WAF接管所有返回給客戶端的信息，並可中止會話，避免黑客利用敏感信息及伺服器信息發動社會工程學攻擊、各類黑客入侵攻擊。
⑤防爬蟲：KS-WAF將爬蟲行為分為搜尋引擎爬蟲及掃描程式爬蟲，可禁止特定的搜尋引擎爬蟲節省頻寬和性能，也可禁止掃描程式爬蟲，避免網站被惡意抓取頁面。
⑥防掛馬：通過檢查HTML頁面中特徵、用戶提交數據，查看是否出現IFrame、Javascript引用掛馬源URL及其他掛馬特徵以決定是否攔截請求。
⑦抗DDos：支持TCP Flood和HTTP Flood類型的拒絕服務攻擊，通過簡單有效的方式緩解拒絕服務攻擊。
⑧防護中級階段能力的功能：
識別黑客工具：利用網上隨處可見的攻擊軟體，攻擊者不需要對網路協定有深厚的理解，即可完成更換Web網站主頁、盜取管理員密碼、破壞整個網站數據等攻擊。
2產品介紹銥迅WEB套用防火牆（簡稱：WAF）是銥迅信息結合多年套用安全的攻防理論和應急回響實踐經驗積累的基礎上自主研發完成，滿足各類法律法規如PCI、等級保護、企業內部控制規範等要求，以國內首創的全透明直連部署模式，全面支持HTTPS，在提供WEB套用實時深度防禦的同時實現WEB套用加速、敏感信息泄露防護及網頁防篡改，為Web套用提供全方位的防護解決方案。該產品致力於解決套用及業務邏輯層面的安全問題，廣泛適用於“金融、運營商、政府、公安、教育、能源、稅務、工商、社保、衛生、電子商務”等所有涉及WEB套用的各個行業。部署銥迅的WAF產品，可以幫助用戶解決目前所面臨的各類網站安全問題，如：注入攻擊、跨站腳本攻擊(釣魚攻擊)、惡意編碼(網頁木馬)、緩衝區溢出、信息泄露、套用層DOS/DDOS攻擊等等。產品功能深度防禦銥迅WEB套用防火牆基於銥迅專利級WEB入侵異常檢測技術，對WEB套用實施全面、深度防禦，能夠有效識別、阻止日益盛行的WEB套用黑客攻擊（如SQL注入、釣魚攻擊、表單繞過、緩衝區溢出、CGI掃描、目錄遍歷等）：黑客攻擊防護| SQL注入攻擊（包括URL、POST、Cookie等方式的注入)| SQL注入攻擊（包括URL、POST、Cookie等方式的注入）| XSS攻擊| Web常規攻擊（包括遠程包含、數據截斷、遠程數據寫入等）| 命令執行（執行Windows、Linux、Unix關鍵系統命令)| 危險存儲過程執行|緩衝區溢出攻擊|惡意代碼| “零日”攻擊---oday違反策略防護| 非法HTTP協定| URL-ACL匹配BOT防護| 攻擊性爬蟲（蜘蛛）行為| Web漏洞掃描器行為如Acunetix Web Vulnerability Scanner掃描。|黑客工具行為，如pangolin。套用層洪水攻擊| UDP Flood| ICMP Flood網頁防篡改本設備的網頁防篡改功能，對網站數據進行監控，發現對網頁進行任何形式的非法添加、修改、刪除等操作時，立即進行保護，恢複數據並進行告警，同時記錄防篡改日誌。支持的作業系統:| Windows 2000、Windows 2003、windows 7、windows 2008 32bit/64bit| Linux(CentOS、Debian、Ubuntu)| Solaris、AIX、IRIX、HP、Sun ONE、iPanet| FreeBSD、MacOS| WebSphere| Tomcat、Resin| WebLogic| Apache| JRUN2| Borand AppServer資料庫防篡改本設備的資料庫防篡改功能，對資料庫數據進行監控，發現對資料庫進行任何形式的非法添加、修改、刪除等操作時，立即進行保護，恢複數據並進行告警，同時記錄防篡改日誌。支持的資料庫系統| SQL Server 2000| SQL Server 2005| My SqlHTTP SSL安全加密、攻擊過濾HTTP SSL安全加密：提供硬體的SSL加密功能，Web伺服器只需要開啟80連線埠，然後在本設備的代理中添加SSL證書，並指定Web伺服器的80連線埠。用戶只要訪問本設備的443連線埠，就可以達到對HTTP數據流的加密。攻擊過濾，可以過濾在HTTPS會話中的攻擊行為，為Web伺服器與資料庫伺服器提供安全保障。防CC攻擊| 來源IP防CC| Referer防CC| 特定URL防CC| 設定阻止訪問的時間產品特點專利級WEB入侵異常檢測引擎銥迅獨有WEB入侵異常檢測引擎，能夠有效分析和識別各類已知和變形的套用攻擊，為防禦的準確性和高效性提供了基礎。支持全透明直連部署銥迅獨有WEB入侵異常檢測引擎，能夠有效分析和識別各類已知和變形的套用攻擊，為防禦的準確性和高效性提供了基礎。HTTPS支持全面支持HTTPS/SSL加密協定,實現對高安全要求WEB套用系統的檢測和防護，提供了針對性的安全檢測及深度防禦的解決方案。支持多保護對象支持多台主機對象的保護，包括不同域名不同IP，不同域名相同IP的情況。支持用戶自定義規則庫用戶可以根據數據包的特徵關鍵字等自定義安全策略規則，來實現安全檢測及過濾。統一日誌平台接口支持監控、阻斷、軟硬體物理直通等多種套用模式。支持多種部署模式支持直連透明部署、旁路牽引防護部署、HA等部署模式。部署方式“銥迅Web套用防護系統”（下文稱：“Yxlink WAF”）支持多種靈活的部署方式，如透明網線模式、旁路反向代理模式、路由模式、混合部署模式、虛擬化部署模式。其中，“銥迅Web套用防護系統”的透明網線模式尤為出色，管理員在不需要修改原網路拓撲結構的情況下，“銥迅Web套用防護系統”相當於一根網線串入網路中，對Web攻擊進行防禦。而混合部署模式更是對較為複雜的網路套用環境提供了更加人性化的均衡部署能力“銥迅Web套用防火牆”的透明網橋模式，與其他同類產品相比，有著先天的優勢：透明網線模式採用“銥迅Web套用防護系統”透明網線模式部署模式主要套用於如下五種場景：1 單一混合型伺服器（Web套用、DB在同一台伺服器上）2 單一分離式伺服器（Web套用、DB採用不同的伺服器部署，但Web伺服器只有一台）3 集群式Web伺服器（多台集群型Web伺服器）4 半分散式Web服務（Web伺服器分布在區域網路的部分子網中）5 全分散式Web服務（Web伺服器幾乎分布在區域網路的任何子網中）混合部署模式機模式混合部署模式是透明網線模式和旁路反向代理模式混合的部署方式，這種方式具有部署簡便，配置較為容易等特點，特別適用於具有中心機房，但同時在不同的地點分散著個別Web伺服器的情況，設備部署位置一般同“集群式/集中式Web服務”，是半分散和全分散服務部署模式的替代部署模式，為管理員提供了更加人性化的管理方式。具體部署如圖：旁路反向代理模式旁路反向代理模式，可以將銥迅Web套用防護系統與Web伺服器置於區域網路的交換機下，訪問Web伺服器的所有請求都通過“Yxlink WAF”流入流出。然而，這種模式下，Web伺服器無法獲取訪問者的真實IP位址，需要藉助HTTP報文中設定相應的欄位來表示訪問者IP位址，這樣需要修改原有的HTTP報文。同時這種模式下將無法開啟Bypass功能，因此除非在迫不得已的情況下，請謹慎使用旁路反向代理模式部署，推薦使用透明網線的部署方式。但為了同一些老式Web套用防護系統相兼容，可採用旁路方向代理模式進行部署，具體部署圖如下：路由模式通過配置策略路由，只將HTTP流量傳送到“Yxlink WAF”。混合加密部署模式混合加密部署模式：混合部署模式的增強形式，支持HTTP/HTTPS。這種部署方式的特點與混合部署模式基本相同。它的工作原理是將原來由Web伺服器完成的SSL加密、解密工作，現在交給“Yxlink WAF”來完成，即“Yxlink WAF”執行SSL加密、解密工作，因此需要將原來Web伺服器上的SSL證書導入到“Yxlink WAF”中，同時將Web伺服器上的HTTP服務連線埠開啟，比如80連線埠。具體部署如圖：單IP虛擬化部署模式為了網站安全考慮，需要在一台真實主機內安裝多台虛擬機，每個虛擬機裡面會有1台Web伺服器。但是一般情況下，很難給每個虛擬機提供一個公網IP位址。“銥迅Web套用防護系統”可以在監聽80連線埠請求時，根據不同的主機頭名，將請求分配到不同的虛擬機的80連線埠上，從而解決了單公網IP對應多個虛擬機的問題。產品技術具有自主智慧財產權的“千萬級攻擊檢測引擎”具有自主智慧財產權的“攻擊混淆解碼引擎”具有自主智慧財產權的“電信級高並發數、新建連線數處理技術”
