建站
咨詢
售后
建站咨詢
新聞中心
一直以來，Web應(yīng)用防火墻（WAF）都是企業(yè)組織開展網(wǎng)絡(luò)安全建設(shè)的最基本要求之一，在企業(yè)數(shù)字化發(fā)展中扮演了重要角色。不過隨著網(wǎng)絡(luò)攻擊的演進，WAF技術(shù)的應(yīng)用也在發(fā)生變化，新一代WAF的產(chǎn)品理念開始被提出。相比傳統(tǒng)的WAF產(chǎn)品，新一代WAF不僅要對組織的網(wǎng)站系統(tǒng)進行保護，還要對逐漸普及的Kubernetes、微服務(wù)、API以及無服務(wù)器部署等新興業(yè)務(wù)應(yīng)用模式進行保障和支撐。
成都創(chuàng)新互聯(lián)公司堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：成都網(wǎng)站設(shè)計、成都做網(wǎng)站、外貿(mào)網(wǎng)站建設(shè)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的景東網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！
傳統(tǒng)WAF的挑戰(zhàn)
盡管WAF已經(jīng)是一種趨于成熟的網(wǎng)絡(luò)安全產(chǎn)品，但最新的調(diào)研數(shù)據(jù)顯示，用戶組織對WAF產(chǎn)品的應(yīng)用滿意度卻不容樂觀。在國際網(wǎng)絡(luò)安全委員會（Neustar）不久前開展的一次調(diào)研中，接近40%的受訪者表示曾遇到WAF被攻擊繞過的情況；有33%的受訪者表示其正在使用的WAF系統(tǒng)存在誤報的情況；此外，有超過30%的受訪者表示，目前的WAF系統(tǒng)存在配置復(fù)雜、策略修訂難等不足。
除傳統(tǒng)WAF產(chǎn)品本身的性能瓶頸及功能不足外，當前企業(yè)組織對WEB應(yīng)用模式的轉(zhuǎn)變也帶來了新的應(yīng)用風險，也對傳統(tǒng)WAF防護技術(shù)提出了新的要求：
- WEB應(yīng)用的訪問路徑已不局限在網(wǎng)頁中，小程序接入、APP接入、API調(diào)用方式已經(jīng)成為WEB應(yīng)用對外提供服務(wù)的主流，因此在做數(shù)據(jù)包分析時需要更加全面；
- 機器人攻擊、人工智能手段、商業(yè)化的高級攻擊軟件比例增加，以及攻擊者能力上升，都會對WAF的應(yīng)用性能帶來更大壓力，并導致繞過WAF的可能性不斷增加；
- 除SQL注入、一句話木馬等網(wǎng)絡(luò)攻擊行為外，基于業(yè)務(wù)邏輯的攻擊比例不斷增加，而傳統(tǒng)的WAF技術(shù)采用的獨立會話判斷模式無法識別出邏輯攻擊的內(nèi)容；
- 從需求側(cè)看，隨著攻擊種類的增加，需要為WAF提交的配置越來越復(fù)雜，學習成本越來越高，用戶對傳統(tǒng)WAF產(chǎn)品的運營使用難度也會不斷加大。
新一代WAF的理念
面對以上傳統(tǒng)WAF產(chǎn)品應(yīng)用中的不足，新一代的WAF產(chǎn)品需要通過更先進的設(shè)計理念和技術(shù)手段，進行能力完善和優(yōu)化，從而提升WAF的應(yīng)用價值?；诋斍捌髽I(yè)組織的WEB應(yīng)用風險特征，并結(jié)合分析師對甲方用戶和國內(nèi)代表性WAF產(chǎn)品服務(wù)商的實際調(diào)研訪談，安全牛對新一代WAF的理念進行了以下思考和定義：
新一代WAF是指針對WEB應(yīng)用系統(tǒng)執(zhí)行過程中遇到的各種運行安全問題、數(shù)據(jù)安全問題以及業(yè)務(wù)安全問題，通過更廣泛的原始數(shù)據(jù)采集和分析，提供多維度、智能化、可協(xié)同的系統(tǒng)性防護能力的產(chǎn)品或解決方案。在新一代WAF產(chǎn)品的設(shè)計中，應(yīng)該對WEB應(yīng)用執(zhí)行切面，覆蓋盡可能多的WEB應(yīng)用防護場景，在同一平臺、同一輸入、同一流程下，針對當前Web應(yīng)用安全需求，提供盡可能完備的防護能力覆蓋。
Web應(yīng)用風險模型
基于以上定義和思考，新一代WAF產(chǎn)品應(yīng)該具有以下典型應(yīng)用特征：
- 平臺化：新一代WAF不只是對單一數(shù)據(jù)包進行過濾匹配，因此需要在統(tǒng)一的平臺進行威脅分析和檢測，或者以云化的方式交付；
- 生態(tài)化：從內(nèi)部看，為了提升新一代WAF的能力，需要與威脅情報能力結(jié)合，提升威脅識別能力；從外部看，新一代WAF還可以與RASP產(chǎn)品、身份安全等產(chǎn)品等形成聯(lián)動，對WEB應(yīng)用全生命周期進行防護；
- 能力泛化：新一代WAF不僅針對應(yīng)用的運行進行防護，還支撐了應(yīng)用系統(tǒng)的數(shù)據(jù)安全防護、業(yè)務(wù)安全防護，其能力由點向面泛化；
- 服務(wù)化：WEB應(yīng)用隨時接入互聯(lián)網(wǎng)的特性讓WAF的SaaS化交付成為可能，因此服務(wù)化交付是新一代WAF 的重要發(fā)展趨勢，用戶僅需要獲得WAF的能力即可，不需要考慮WAF的實現(xiàn)方式、配置方式。服務(wù)化交付一方面可以提供更高的性能，另一方面也可以提升用戶的部署效率；
- 自動化：新一代WAF作為具備處置能力的設(shè)備，未來將擁有更強的自動化執(zhí)行能力，隨著WAF產(chǎn)品生態(tài)的落地，越來越多的具備分析能力的設(shè)備可將分析結(jié)果、處置策略傳遞給新一代WAF，提升網(wǎng)絡(luò)邊界側(cè)的實時處置能力。
新一代WAF的能力架構(gòu)
安全牛始終認為：安全不是一個口號，也不是一款產(chǎn)品，而是一種能力。為了實現(xiàn)“多維度、智能化、可協(xié)同”的Web應(yīng)用安全防護能力，新一代WAF產(chǎn)品在研發(fā)設(shè)計時可以參考以下能力架構(gòu)：
新一代WAF能力架構(gòu)
新一代WAF能力的建設(shè)并不是要對傳統(tǒng)WAF功能的摒棄，而是一種繼承和完善，同時針對新的應(yīng)用場景進行創(chuàng)新優(yōu)化。圍繞新一代WAF的核心能力建設(shè)，可以從核心技術(shù)、支撐技術(shù)、聯(lián)動技術(shù)等視角去賦能或形成能力提升。
從核心能力角度看，新一代WAF的核心能力可分為延續(xù)能力和創(chuàng)新能力。能力延續(xù)即為傳統(tǒng)WAF的能力，而新能力則是指基于傳統(tǒng)WAF能力解決的新問題或通過聯(lián)動其他技術(shù)形成的能力。需要指出的是，傳統(tǒng)WAF所提供的數(shù)據(jù)包解析、語義識別等能力仍然是新一代WAF能力構(gòu)建的基礎(chǔ)。
從核心技術(shù)角度看，新一代WAF的核心技術(shù)是對傳統(tǒng)WAF技術(shù)的疊加，傳統(tǒng)的WAF通過拆解應(yīng)用層數(shù)據(jù)包，對包中內(nèi)容進行語義分析和規(guī)則匹配的方式進行風險識別。同時WAF具備網(wǎng)頁緩存、虛擬補丁、反向代理的能力，提升WAF應(yīng)用能力和應(yīng)用效果。新一代WAF中，增加了UEBA、動態(tài)防御的能力，以提升對數(shù)據(jù)包的利用效果，增加對多包協(xié)同分析能力。
從應(yīng)用場景角度看，新一代WAF的典型應(yīng)用場景既包括漏洞風險防護、數(shù)據(jù)防泄漏、防CC的傳統(tǒng)WAF應(yīng)用場景，也包括內(nèi)容風控、業(yè)務(wù)風控、RBI場景等新應(yīng)用場景?？梢哉J為，新一代WAF的新應(yīng)用場景在同時向左、向右推進，向左即對用戶內(nèi)網(wǎng)安全的支持，向右即對用于WEB應(yīng)用執(zhí)行中的業(yè)務(wù)安全場景進行支撐。
需要特別說明的是，新一代WAF并不是一個產(chǎn)品孤島，而是未來WEB應(yīng)用防護生態(tài)體系中的一部分。因此，從支撐技術(shù)看，新一代WAF需要威脅情報提升威脅識別能力、需要SSL解密技術(shù)對加密流量進行解析、需要人工智能技術(shù)提升風險識別準確率。新一代WAF還可以作為WEB應(yīng)用防護設(shè)備，聯(lián)動更多的對網(wǎng)絡(luò)環(huán)境、代碼安全相關(guān)的產(chǎn)品，形成WEB應(yīng)用全生命周期防護。
網(wǎng)頁名稱：由“點”向“面”！簡析新一代WAF的理念與應(yīng)用
URL分享：http://m.5511xx.com/article/cdcdjgc.html
