WEB應用防火墻定義

利用國際上公認的一種說法:

總體來說，Web應用防火墻的具有以下四大個方面的功能(參考WAF入門，對內容做了一些刪減及改編)。

用來截獲所有HTTP數(shù)據(jù)或者僅僅滿足某些規(guī)則的會話。

用來控制對Web應用的訪問，既包括主動安全模式也包括被動安全模式。

當運行在反向代理模式，他們被用來分配職能，集中控制，虛擬基礎結構等。

這些功能增強被保護Web應用的安全性，它不僅能夠屏蔽WEB應用固有弱點，而且能夠保護WEB應用編程錯誤導致的安全隱患。

需要指出的是，并非每種被稱為Web應用防火墻的設備都同時具有以上四種功能。

1、事前主動防御，智能分析應用缺陷、屏蔽惡意請求、防范網頁篡改、阻斷應用攻擊，全方位保護WEB應用。

2、事中智能響應，快速P2DR建模、模糊歸納和定位攻擊，阻止風險擴散，消除"安全事故"于萌芽之中。

3、事后行為審計，深度挖掘訪問行為、分析攻擊數(shù)據(jù)、提升應用價值，為評估安全狀況提供詳盡報表。

4、面向客戶的應用加速，提升系統(tǒng)性能，改善WEB訪問體驗。

5、面向過程的應用控制，細化訪問行為，強化應用服務能力。

6、面向服務的負載均衡，擴展服務能力，適應業(yè)務規(guī)模的快速壯大。

Web應用防火墻的一些常見特點如下。

Web應用防火墻會對HTTP的請求進行異常檢測，拒絕不符合HTTP標準的請求。并且，它也可以只允許HTTP協(xié)議的部分選項通過，從而減少攻擊的影響范圍。甚至，一些Web應用防火墻還可以嚴格限定HTTP協(xié)議中那些過于松散或未被完全制定的選項。

增強輸入驗證，可以有效防止網頁篡改、信息泄露、木馬植入等惡意網絡入侵行為。從而減小Web服務器被攻擊的可能性。

修補Web安全漏洞，是Web應用開發(fā)者最頭痛的問題，沒人會知道下一秒有什么樣的漏洞出現(xiàn)，會為Web應用帶來什么樣的危害?，F(xiàn)在WAF可以為我們做這項工作了--只要有全面的漏洞信息WAF能在不到一個小時的時間內屏蔽掉這個漏洞。當然，這種屏蔽掉漏洞的方式不是非常完美的，并且沒有安裝對應的補丁本身就是一種安全威脅，但我們在沒有選擇的情況下，任何保護措施都比沒有保護措施更好。

(附注:及時補丁的原理可以更好的適用于基于XML的應用中，因為這些應用的通信協(xié)議都具規(guī)范性。)

基于規(guī)則的保護和基于異常的保護

基于規(guī)則的保護可以提供各種Web應用的安全規(guī)則，WAF生產商會維護這個規(guī)則庫，并時時為其更新。用戶可以按照這些規(guī)則對應用進行全方面檢測。還有的產品可以基于合法應用數(shù)據(jù)建立模型，并以此為依據(jù)判斷應用數(shù)據(jù)的異常。但這需要對用戶企業(yè)的應用具有十分透徹的了解才可能做到，可現(xiàn)實中這是十分困難的一件事情。

WAF能夠判斷用戶是否是第一次訪問并且將請求重定向到默認登錄頁面并且記錄事件。通過檢測用戶的整個操作行為我們可以更容易識別攻擊。狀態(tài)管理模式還能檢測出異常事件(比如登陸失敗)，并且在達到極限值時進行處理。這對暴力攻擊的識別和響應是十分有利的。

WAF還有一些安全增強的功能，可以用來解決WEB程序員過分信任輸入數(shù)據(jù)帶來的問題。比如:隱藏表單域保護、抗入侵規(guī)避技術、響應監(jiān)視和信息泄露保護。

從Web應用防火墻功能對比表格中，我們可以看出，目前Web應用防火墻的功能性還不統(tǒng)一，幾個廠商Web應用防火墻的主要功能項還有較大出入。另外，功能描述也不相同，有些同種的功能各個廠商廠商的描述各不相同。為了對廠商真實體現(xiàn)廠商產品功能，這一部分資料按各廠商介紹在表格中予以重現(xiàn)。還有一些廠商存在明顯的技術資料發(fā)布不全現(xiàn)象，這方面以思杰(Citrix)最具代表性。如果不是其網站產品介紹中存在"利用集成式應用防火墻增強了安全性"這一句話，和其英文網站上的相關介紹，我們幾乎認定其Citrix NetScaler產品僅是一款Web應用加速產品!所幸的是，在本次活動截止前一天，思杰市場人員將Citrix NetScaler中文資料發(fā)給了我們，才使得思杰Citrix NetScaler產品功能對比的項目不至于留白!

但是在產品功能項目差異大，內容不統(tǒng)一的情況下，用戶應該如何對產品進行選擇呢?下面我們就綜合分析一下，在選擇Web應用防火墻產品時，哪幾方面的信息是用戶最需要了解的。

通過廠商的產品宣傳，可以了解廠商產品的市場定位，以及廠商對用戶應用需求的了解情況。從中可以初步分析廠商產品是否可以滿足用戶的實際應用需求。

在產品功能介紹中，可以粗略了解產品的各項功能，在經過對比后可以了解廠商產品的功能是否齊備，可否滿足用戶應用的需求。

這是用戶容易忽略，某些廠商刻意忽略的重要信息。對于網絡產品來講，市場定位容易描述，產品功能也可以相互借鑒，但具體的功能測試是很難仿造的。評測報告中的每個指標、每個數(shù)據(jù)都是廠商研發(fā)技術實力的最直觀體現(xiàn)，只有對產品技術具備最深入理解的廠商才可以在用戶面前交出一份令用戶滿意的評測報告!

天融信WEB應用安全網關系統(tǒng)是公司WEB安全專家團針對"網站型"服務器量身定制的產業(yè)化產品，匯聚了天融信公司長期對網站系統(tǒng)進行安全研究的成果。主要從網站系統(tǒng)可用性和信息可靠性的角度出發(fā)，滿足用戶對于WEB應用防護及加速、網頁防篡改、網站業(yè)務分析等功能的核心需求。提供事前預警、事中防護、事后分析的全周期安全防護解決方案。

龍盾IIS防火墻

"龍盾IIS防火墻"是一款經典的網站安全防護產品， 經過十余年的技術沉淀， "龍盾IIS防火墻"對于各種流行的網站入侵，均具有顯著的防御效果。 "龍盾IIS防火墻"采用高效、安全的技術為網站提供了如下保護:

防木馬上傳 "龍盾IIS防火墻" 能及時準確的識別asp、php、aspx以及aspa等類型的木馬和后門文件，從根本上杜絕了黑客利用網站漏洞，上傳木馬和后門程序;

支持對上傳文件內容的過濾;

支持對加密、加殼木馬文件的識別。

FTP目錄監(jiān)控 "龍盾IIS防火墻" 實時監(jiān)控通過FTP上傳到服務器上的文件，實時查殺上傳到WEB服務器上的木馬和后門程序，實時查殺時間為毫秒。

支持對木馬文件內容關鍵字的設置;

支持對加密、加殼木馬文件的識別，即使是被加密的的木馬文件，也可立即清除。

防掛馬 "龍盾IIS防火墻" 獨創(chuàng)LRCT專利技術，從根本上阻止了由于網站或系統(tǒng)漏洞導致的網頁或數(shù)據(jù)庫掛馬，有效防御XSS跨站腳本攻擊。

支持掛馬攔截，從根本上阻止黑客對網站和數(shù)據(jù)庫掛馬;

支持掛馬內容自動清除，即使服務器已經掛馬，"龍盾IIS防火墻"也會自動清除。

專業(yè)防SQL注入 十年來，"龍盾IIS防火墻" 致力于跟蹤SQL注入技術的最新動態(tài)，防SQL注入策略不斷更新，規(guī)則不斷完善;

支持對GET、POST、COOKIE所有數(shù)據(jù)提交方式的過濾;

過濾規(guī)則分離原則:不同方法(GET、POST、COOKIE)提交的數(shù)據(jù)，過濾的規(guī)則相互獨立，最大限度的加強了對SQL注入的防御，同時，也從根本上杜絕了對正常訪問的誤攔;

支持"模式匹配"，"龍盾IIS防火墻"具有人工智能特性，一條防SQL注入規(guī)則，即可以阻止一類的SQL注入。

系統(tǒng)帳戶保護 "龍盾IIS防火墻"可阻止黑客創(chuàng)建Windows系統(tǒng)帳戶。

可阻止黑客通過各種方式創(chuàng)建Windows系統(tǒng)管理員帳戶。

遠程桌面保護 "龍盾IIS防火墻"可阻止非法IP地址訪問3389 遠程桌面。

可設置IP地址白名單，只有白名單內的IP地址才可以連接服務器的遠程桌面，非IP白名單內的IP地址連接遠程桌面時將被阻止。

信息監(jiān)控 "龍盾IIS防火墻"實時監(jiān)控流入、流出網站的信息，實時屏蔽和過濾敏感信息;

用戶提交的敏感信息被立即阻止;

即使網站上已經存在敏感信息，龍盾IIS防火墻也可進行過濾，確保訪問者看到的內容均合法，從而不必擔心服務器被查封;

支持"模式匹配"。

資源防盜鏈 "龍盾IIS防火墻"可有效保護網站資源不被其它網站盜鏈。

支持友好域名設置;

支持自由下載文件夾設置;

支持防迅雷下載功能。

在線播放防下載 對于只希望在線播放的音頻、視頻網站，"龍盾IIS防火墻"可有效防止網站的音頻或視頻文件被非法下載。

支持對AVI, MPG, RMVB, FLV, MP3, WMA等各類在線音頻和視頻的保護;

支持對嗅探瀏覽器的防御。

下載流量控制 "龍盾IIS防火墻"可任意設置文件下載的線程個數(shù)和下載速度，從而保障您的帶寬不被非法吞噬，有效控制下載流量 ，降低服務器資源的消耗。

適用于各種下載工具，不論是網際快車還是迅雷，均可限制其下載速度和下載線程個數(shù);

不同網站可設置不同的下載速度和下載線程數(shù)。

抗CC攻擊 "龍盾IIS防火墻"可有效抵御CC、DDOS軟件的攻擊，有效抵御流量攻擊，防止非法用戶高頻率刷新數(shù)據(jù)庫。

支持"最大并發(fā)連接數(shù)控制"功能;

支持對變種CC的有效防御;

支持文件類型的設置。

代理服務器訪問控制 "龍盾IIS防火墻"可阻止代理服務器的訪問，有效抵御僵尸攻擊，流量攻擊。

防PHP UDP攻擊 "龍盾IIS防火墻"從根本上清除UDP發(fā)包程序，迅速解決帶寬被占滿的問題。

即使加密的UDP發(fā)包木馬程序，也可立即清除;

即使服務器已經存在UDP發(fā)包程序，也可阻止其發(fā)送大量UDP包。

IP地址黑名單 一方面, "龍盾IIS防火墻"的智能分析系統(tǒng)，會將參與惡意攻擊的IP地址自動加入黑名單, 另一方面, 用戶也可以手工任意阻止非法IP地址的訪問。

支持IP地址段設置;

支持自定義黑名單IP地址解封時間。

IP地址白名單 "龍盾IIS防火墻"可指定不受防火墻限制的客戶端IP地址。

支持IP地址段設置;

滿足使用"網絡加速器"用戶的需要;

保證不會對"搜索引擎蜘蛛"的爬行記錄造成影響。

廣告植入 您可以通過"龍盾IIS防火墻"向頁面內植入廣告信息。

支持廣告與域名分離，不同的網站和域名可以設置不同的廣告內容。

抗緩沖區(qū)溢出攻擊 "龍盾IIS防火墻"允許您自定義HTTP頭、URL地址 、COOKIE以及查詢串長度， 防止緩沖區(qū)溢出攻擊。

支持對WebDAV，RPC服務遠程溢出漏洞的防御;

支持對IDQ溢出漏洞的防御。

禁止運行惡意腳本 禁止ASP、PHP、JSP木馬程序服務器上運行。

URL訪問權限控制 "龍盾IIS防火墻"可根據(jù)不同訪問者的IP地址，設置不同的URL訪問權限。

自由域名 可設置不受防火墻保護的域名，自由域名列表內的站點完全不受防火墻的保護，滿足特殊情況下的需要。

KS-WAF知道網站統(tǒng)一防護系統(tǒng)是知道創(chuàng)宇旗下的一款WEB應用防火墻。WAF被設計用于處理所有常見的Web應用安全威脅，即保護以HTTP/HTTPS相關應用協(xié)議為基礎，運行在OSI第七層(應用層)的Web應用在線業(yè)務。WAF真正實現(xiàn)了對網絡應用的保護，是傳統(tǒng)安全技術的有效補充。傳統(tǒng)安全設備阻擋攻擊者從正面入侵，著重進行網絡層的攻擊防護;而WAF著重進行應用層的內容檢查和安全防御，與傳統(tǒng)安全設備共同構成全面、有效的安全防護體系。

KS-WAF被設計用于幫助管理員抵御黑客攻擊和進行網站用戶的行為審計。防御方面主要進行深度的黑客攻擊防護，在保障安全的前提下，KS-WAF還可以識別這些黑客攻擊的手法和源頭。而對網站用戶的行為審計功能，則表示KS-WAF能告訴網站管理員，用戶一般在什么時間段訪問、用戶最關心哪些頁面或內容、網站一天的訪問量有多少、這些訪問都來自哪些地方。通過這幾方面功能的結合，網站管理員不僅可以對黑客攻擊高枕無憂，同時還可以更好地了解用戶行為和喜好，可謂一舉多得。

防護理念:

安全防護管控體系:提供區(qū)分攻擊行為類別的多種防御引擎、對攻擊行為進行針對性的事件處理策略配置、定義具體攻擊行為的匹配規(guī)則定制，對已知和未知的Web攻擊進行全面防護，將攻擊行為的細節(jié)直觀、詳盡地展示給用戶，達到防護、管控Web應用業(yè)務安全的目的。

方便有效網管運維:在安全防護能力給Web應用的安全性帶來保障的同時，也為Web應用復雜的網絡管理、日常運維帶來快捷和便利，能夠實時了解網站可用性狀態(tài)、安全性狀態(tài)、客戶端訪問流量、客戶類型和地域分析、服務器承載壓力;能夠對網站提供負載均衡加速、緩存頁面加速、數(shù)據(jù)壓縮加速，使Web應用完全發(fā)揮其最大性能。

滿足行業(yè)/國家標準、通過安全審計:隨著安全問題的不斷浮現(xiàn)和社會影響的深化，Web應用的安全性越來越受到人們的重視和關注，由此促進了部分行業(yè)的安全標準制定，如PCI-DSS標準要求;國家公安部、國務院下發(fā)的指示。

WAF可協(xié)助Web應用程序滿足相關的安全性要求，確保在線業(yè)務安全、合規(guī)地運作，幫助客戶通過安全審計。

產品功能:

①防攻擊:功能主要關注黑客攻擊Web應用并試圖入侵網絡服務器的攻擊事件過程?？梢愿采wOWASP TOP 10、WASC、PCI DSS等標準，包括SQL注入攻擊、XSS跨站攻擊、CSRF跨站請求偽造攻擊等。

②防漏洞:KS-WAF可對網站中的敏感信息、服務器信息進行屏蔽或偽裝，達到避免數(shù)據(jù)泄露的隱患。成功的攻擊往往需要利用服務器的IP、操作系統(tǒng)信息、應用信息、服務器出錯信息、數(shù)據(jù)庫出錯信息，KS-WAF接管所有返回給客戶端的信息，并可中止會話，避免黑客利用敏感信息及服務器信息發(fā)動社會工程學攻擊、各類黑客入侵攻擊。

③防暗鏈:隨著監(jiān)管部門的打擊力度逐漸加強，掛馬攻擊的數(shù)量越來越少，與此同時，地下黑色產業(yè)鏈逐漸轉向了暗鏈攻擊。為了應對這個情況，KS-WAF系統(tǒng)內置了針對當前流行的暗鏈攻擊建立的惡意指紋庫，在服務器端已被植入暗鏈的情況下可準確識別并進行報警，協(xié)助管理員清除暗鏈代碼。

④防盜鏈:KS-WAF通過實現(xiàn)URL級別的訪問控制，對客戶端請求進行檢測，如果發(fā)現(xiàn)圖片、文件等資源信息的HTTP請求來自于其它網站，則阻止盜鏈請求，節(jié)省因盜用資源鏈接而消耗的帶寬和性能。

⑤防爬蟲:KS-WAF將爬蟲行為分為搜索引擎爬蟲及掃描程序爬蟲，可屏蔽特定的搜索引擎爬蟲節(jié)省帶寬和性能，也可屏蔽掃描程序爬蟲，避免網站被惡意抓取頁面。

⑥防掛馬:通過檢查HTML頁面中特征、用戶提交數(shù)據(jù)，查看是否出現(xiàn)IFrame、Javascript引用掛馬源URL及其他掛馬特征以決定是否攔截請求。

⑦抗DDos:支持TCP Flood和HTTP Flood類型的拒絕服務攻擊，通過簡單有效的方式緩解拒絕服務攻擊。

⑧防護中級階段能力的功能:

識別黑客工具:利用網上隨處可見的攻擊軟件，攻擊者不需要對網絡協(xié)議有深厚的理解，即可完成更換Web網站主頁、盜取管理員密碼、破壞整個網站數(shù)據(jù)等攻擊。

識別Web掃描器:Web漏洞掃描器已經成為了攻擊者的必備工具之一，黑客通過掃描器強大的自動檢測能力，發(fā)現(xiàn)網站漏洞點、信息泄露等各種敏感信息，為進一步的深入攻擊做充分準備。

⑨攻擊源定位:KS-WAF通過記錄攻擊者的源IP，進行分析和定位后，通過在線地圖進行定位展現(xiàn)，幫助運維人員分析攻擊來源。

2產品介紹銥迅WEB應用防火墻(簡稱:WAF)是銥迅信息結合多年應用安全的攻防理論和應急響應實踐經驗積累的基礎上自主研發(fā)完成，滿足各類法律法規(guī)如PCI、等級保護、企業(yè)內部控制規(guī)范等要求，以國內首創(chuàng)的全透明直連部署模式，全面支持HTTPS，在提供WEB應用實時深度防御的同時實現(xiàn)WEB應用加速、敏感信息泄露防護及網頁防篡改，為Web應用提供全方位的防護解決方案。該產品致力于解決應用及業(yè)務邏輯層面的安全問題，廣泛適用于"金融、運營商、政府、公安、教育、能源、稅務、工商、社保、衛(wèi)生、電子商務"等所有涉及WEB應用的各個行業(yè)。部署銥迅的WAF產品，可以幫助用戶解決目前所面臨的各類網站安全問題，如:注入攻擊、跨站腳本攻擊(釣魚攻擊)、惡意編碼(網頁木馬)、緩沖區(qū)溢出、信息泄露、應用層DOS/DDOS攻擊等等。產品功能深度防御銥迅WEB應用防火墻基于銥迅專利級WEB入侵異常檢測技術，對WEB應用實施全面、深度防御，能夠有效識別、阻止日益盛行的WEB應用黑客攻擊(如SQL注入、釣魚攻擊、表單繞過、緩沖區(qū)溢出、CGI掃描、目錄遍歷等):黑客攻擊防護| SQL注入攻擊(包括URL、POST、Cookie等方式的注入)| SQL注入攻擊(包括URL、POST、Cookie等方式的注入)| XSS攻擊| Web常規(guī)攻擊(包括遠程包含、數(shù)據(jù)截斷、遠程數(shù)據(jù)寫入等)| 命令執(zhí)行(執(zhí)行Windows、Linux、Unix關鍵系統(tǒng)命令)| 危險存儲過程執(zhí)行|緩沖區(qū)溢出攻擊|惡意代碼| "零日"攻擊---oday違反策略防護| 非法HTTP協(xié)議| URL-ACL匹配BOT防護| 攻擊性爬蟲(蜘蛛)行為| Web漏洞掃描器行為如Acunetix Web Vulnerability Scanner掃描。|黑客工具行為，如pangolin。應用層洪水攻擊| UDP Flood| ICMP Flood網頁防篡改本設備的網頁防篡改功能，對網站數(shù)據(jù)進行監(jiān)控，發(fā)現(xiàn)對網頁進行任何形式的非法添加、修改、刪除等操作時，立即進行保護，恢復數(shù)據(jù)并進行告警，同時記錄防篡改日志。支持的操作系統(tǒng):| Windows 2000、Windows 2003、windows 7、windows 2008 32bit/64bit| Linux(CentOS、Debian、Ubuntu)| Solaris、AIX、IRIX、HP、Sun ONE、iPanet| FreeBSD、MacOS| WebSphere| Tomcat、Resin| WebLogic| Apache| JRUN2| Borand AppServer數(shù)據(jù)庫防篡改本設備的數(shù)據(jù)庫防篡改功能，對數(shù)據(jù)庫數(shù)據(jù)進行監(jiān)控，發(fā)現(xiàn)對數(shù)據(jù)庫進行任何形式的非法添加、修改、刪除等操作時，立即進行保護，恢復數(shù)據(jù)并進行告警，同時記錄防篡改日志。支持的數(shù)據(jù)庫系統(tǒng)| SQL Server 2000| SQL Server 2005| My SqlHTTP SSL安全加密、攻擊過濾HTTP SSL安全加密:提供硬件的SSL加密功能，Web服務器只需要開啟80端口，然后在本設備的代理中添加SSL證書，并指定Web服務器的80端口。用戶只要訪問本設備的443端口，就可以達到對HTTP數(shù)據(jù)流的加密。攻擊過濾，可以過濾在HTTPS會話中的攻擊行為，為Web服務器與數(shù)據(jù)庫服務器提供安全保障。防CC攻擊| 來源IP防CC| Referer防CC| 特定URL防CC| 設定阻止訪問的時間產品特點專利級WEB入侵異常檢測引擎銥迅獨有WEB入侵異常檢測引擎，能夠有效分析和識別各類已知和變形的應用攻擊，為防御的準確性和高效性提供了基礎。支持全透明直連部署銥迅獨有WEB入侵異常檢測引擎，能夠有效分析和識別各類已知和變形的應用攻擊，為防御的準確性和高效性提供了基礎。HTTPS支持全面支持HTTPS/SSL加密協(xié)議,實現(xiàn)對高安全要求WEB應用系統(tǒng)的檢測和防護，提供了針對性的安全檢測及深度防御的解決方案。支持多保護對象支持多臺主機對象的保護，包括不同域名不同IP，不同域名相同IP的情況。支持用戶自定義規(guī)則庫用戶可以根據(jù)數(shù)據(jù)包的特征關鍵字等自定義安全策略規(guī)則，來實現(xiàn)安全檢測及過濾。統(tǒng)一日志平臺接口支持監(jiān)控、阻斷、軟硬件物理直通等多種應用模式。支持多種部署模式支持直連透明部署、旁路牽引防護部署、HA等部署模式。部署方式"銥迅Web應用防護系統(tǒng)"(下文稱:"Yxlink WAF")支持多種靈活的部署方式，如透明網線模式、旁路反向代理模式、路由模式、混合部署模式、虛擬化部署模式。其中，"銥迅Web應用防護系統(tǒng)"的透明網線模式尤為出色，管理員在不需要修改原網絡拓撲結構的情況下，"銥迅Web應用防護系統(tǒng)"相當于一根網線串入網絡中，對Web攻擊進行防御。而混合部署模式更是對較為復雜的網絡應用環(huán)境提供了更加人性化的均衡部署能力"銥迅Web應用防火墻"的透明網橋模式，與其他同類產品相比，有著先天的優(yōu)勢:透明網線模式采用"銥迅Web應用防護系統(tǒng)"透明網線模式部署模式主要應用于如下五種場景:1 單一混合型服務器(Web應用、DB在同一臺服務器上)2 單一分離式服務器(Web應用、DB采用不同的服務器部署，但Web服務器只有一臺)3 集群式Web服務器(多臺集群型Web服務器)4 半分散式Web服務(Web服務器分布在局域網的部分子網中)5 全分散式Web服務(Web服務器幾乎分布在局域網的任何子網中)混合部署模式機模式混合部署模式是透明網線模式和旁路反向代理模式混合的部署方式，這種方式具有部署簡便，配置較為容易等特點，特別適用于具有中心機房，但同時在不同的地點分散著個別Web服務器的情況，設備部署位置一般同"集群式/集中式Web服務"，是半分散和全分散服務部署模式的替代部署模式，為管理員提供了更加人性化的管理方式。具體部署如圖:旁路反向代理模式旁路反向代理模式，可以將銥迅Web應用防護系統(tǒng)與Web服務器置于內網的交換機下，訪問Web服務器的所有請求都通過"Yxlink WAF"流入流出。然而，這種模式下，Web服務器無法獲取訪問者的真實IP地址，需要借助HTTP報文中設置相應的字段來表示訪問者IP地址，這樣需要修改原有的HTTP報文。同時這種模式下將無法開啟Bypass功能，因此除非在迫不得已的情況下，請謹慎使用旁路反向代理模式部署，推薦使用透明網線的部署方式。但為了同一些老式Web應用防護系統(tǒng)相兼容，可采用旁路方向代理模式進行部署，具體部署圖如下:路由模式通過配置策略路由，只將HTTP流量發(fā)送到"Yxlink WAF"?；旌霞用懿渴鹉Ｊ交旌霞用懿渴鹉Ｊ?混合部署模式的增強形式，支持HTTP/HTTPS。這種部署方式的特點與混合部署模式基本相同。它的工作原理是將原來由Web服務器完成的SSL加密、解密工作，現(xiàn)在交給"Yxlink WAF"來完成，即"Yxlink WAF"執(zhí)行SSL加密、解密工作，因此需要將原來Web服務器上的SSL證書導入到"Yxlink WAF"中，同時將Web服務器上的HTTP服務端口開啟，比如80端口。具體部署如圖:單IP虛擬化部署模式為了網站安全考慮，需要在一臺真實主機內安裝多臺虛擬機，每個虛擬機里面會有1臺Web服務器。但是一般情況下，很難給每個虛擬機提供一個公網IP地址。"銥迅Web應用防護系統(tǒng)"可以在監(jiān)聽80端口請求時，根據(jù)不同的主機頭名，將請求分配到不同的虛擬機的80端口上，從而解決了單公網IP對應多個虛擬機的問題。產品技術具有自主知識產權的"千萬級攻擊檢測引擎"具有自主知識產權的"攻擊混淆解碼引擎"具有自主知識產權的"電信級高并發(fā)數(shù)、新建連接數(shù)處理技術"

InforCube Web 應用防火墻采用多層檢查和多重安全防護來提供最高級別的保護。

HTTP 協(xié)議驗證可以防止包括緩沖區(qū)溢出、惡意編碼、HTTP 偽裝以及非法服務器操作在內的協(xié)議濫用。靈活的規(guī)則使用戶可以嚴格遵守RFC 標準，同時支持各種靈活多變的應用程序。

InforCube Web 應用防火墻檢查服務器回應信息以識別潛在的敏感數(shù)據(jù)(如持卡人數(shù)據(jù)和社會保險號)泄漏。除了報告在應用程序中何處發(fā)現(xiàn)了敏感數(shù)據(jù)外，還可以選擇讓InforCube Web 應用防火墻阻止這些信息從企業(yè)站點泄露。

nforCube Web 應用防火墻對針對Web 服務器漏洞、中間件漏洞和平臺漏洞的已知攻擊提供廣泛的保護，這些已知攻擊的信息來源是InforCube安全中心提供的超過6,500 個特征碼。ADC 特征碼不僅包括Bugtraq、CVE 和Snort 等來源發(fā)現(xiàn)的攻擊，而且包括通過InforCube研究發(fā)現(xiàn)的威脅。InforCube Web 應用防火墻還可通過檢測和識別Web 蠕蟲獨特的特性組合來抵御剛出現(xiàn)的新Web 蠕蟲攻擊。

InforCube Web 應用防火墻的集成狀態(tài)防火墻對來自外部和內部的非法用戶、協(xié)議和網絡的攻擊提供保護，同時遵循強制性安全規(guī)定的最佳做法，阻止非必要協(xié)議觸及敏感Web 應用。

InforCube Web 應用防火墻獨有的關聯(lián)攻擊確認技術持續(xù)關聯(lián)跨安全層的違規(guī)行為，從而準確識別最復雜的攻擊。個別違規(guī)可能無法確切地指明攻擊，但是，通過關聯(lián)獨特的違規(guī)組合就可以毫無疑問地確認攻擊。

InforCube Web 應用防火墻通過學習動態(tài)Web 2.0 和Web 服務的行為來保護這些應用。學習的內容包括XML 文件、要素、屬性、架構、變量和SOAP 操作。InforCube Web 應用防火墻將會識別并阻止任何嘗試篡改正常Web 服務的行為。它還會抵御Web 2.0 應用中常見的威脅，包括SQL 注入、XSS、CSRF 和許多其他威脅。

Web應用防火墻的一些常見特點如下。

1、異常檢測協(xié)議

Web應用防火墻會對HTTP的請求進行異常檢測，拒絕不符合HTTP標準的請求。并且，它也可以只允許HTTP協(xié)議的部分選項通過，從而減少攻擊的影響范圍。甚至，一些Web應用防火墻還可以嚴格限定HTTP協(xié)議中那些過于松散或未被完全制定的選項。

2、增強的輸入驗證

增強輸入驗證，可以有效防止網頁篡改、信息泄露、木馬植入等惡意網絡入侵行為。從而減小Web服務器被攻擊的可能性。

3、及時補丁

修補Web安全漏洞，是Web應用開發(fā)者最頭痛的問題，沒人會知道下一秒有什么樣的漏洞出現(xiàn)，會為Web應用帶來什么樣的危害。現(xiàn)在WAF可以為我們做這項工作了--只要有全面的漏洞信息WAF能在不到一個小時的時間內屏蔽掉這個漏洞。當然，這種屏蔽掉漏洞的方式不是非常完美的，并且沒有安裝對應的補丁本身就是一種安全威脅，但我們在沒有選擇的情況下，任何保護措施都比沒有保護措施更好。

(附注:及時補丁的原理可以更好的適用于基于XML的應用中，因為這些應用的通信協(xié)議都具規(guī)范性。)

4、基于規(guī)則的保護和基于異常的保護

基于規(guī)則的保護可以提供各種Web應用的安全規(guī)則，WAF生產商會維護這個規(guī)則庫，并時時為其更新。用戶可以按照這些規(guī)則對應用進行全方面檢測。還有的產品可以基于合法應用數(shù)據(jù)建立模型，并以此為依據(jù)判斷應用數(shù)據(jù)的異常。但這需要對用戶企業(yè)的應用具有十分透徹的了解才可能做到，可現(xiàn)實中這是十分困難的一件事情。

5、狀態(tài)管理

WAF能夠判斷用戶是否是第一次訪問并且將請求重定向到默認登錄頁面并且記錄事件。通過檢測用戶的整個操作行為我們可以更容易識別攻擊。狀態(tài)管理模式還能檢測出異常事件(比如登陸失敗)，并且在達到極限值時進行處理。這對暴力攻擊的識別和響應是十分有利的。

6、其他防護技術

WAF還有一些安全增強的功能，可以用來解決WEB程序員過分信任輸入數(shù)據(jù)帶來的問題。比如:隱藏表單域保護、抗入侵規(guī)避技術、響應監(jiān)視和信息泄露保護。

從Web應用防火墻功能對比表格中，我們可以看出，目前Web應用防火墻的功能性還不統(tǒng)一，幾個廠商Web應用防火墻的主要功能項還有較大出入。另外，功能描述也不相同，有些同種的功能各個廠商廠商的描述各不相同。為了對廠商真實體現(xiàn)廠商產品功能，這一部分資料按各廠商介紹在表格中予以重現(xiàn)。還有一些廠商存在明顯的技術資料發(fā)布不全現(xiàn)象，這方面以思杰(Citrix)最具代表性。如果不是其網站產品介紹中存在"利用集成式應用防火墻增強了安全性"這一句話，和其英文網站上的相關介紹，我們幾乎認定其Citrix NetScaler產品僅是一款Web應用加速產品!所幸的是，在本次活動截止前一天，思杰市場人員將Citrix NetScaler中文資料發(fā)給了我們，才使得思杰Citrix NetScaler產品功能對比的項目不至于留白!

但是在產品功能項目差異大，內容不統(tǒng)一的情況下，用戶應該如何對產品進行選擇呢?下面我們就綜合分析一下，在選擇Web應用防火墻產品時，哪幾方面的信息是用戶最需要了解的。

1、產品宣傳

通過廠商的產品宣傳，可以了解廠商產品的市場定位，以及廠商對用戶應用需求的了解情況。從中可以初步分析廠商產品是否可以滿足用戶的實際應用需求。

2、產品功能介紹

在產品功能介紹中，可以粗略了解產品的各項功能，在經過對比后可以了解廠商產品的功能是否齊備，可否滿足用戶應用的需求。

3、產品評測報告

這是用戶容易忽略，某些廠商刻意忽略的重要信息。對于網絡產品來講，市場定位容易描述，產品功能也可以相互借鑒，但具體的功能測試是很難仿造的。評測報告中的每個指標、每個數(shù)據(jù)都是廠商研發(fā)技術實力的最直觀體現(xiàn)，只有對產品技術具備最深入理解的廠商才可以在用戶面前交出一份令用戶滿意的評測報告!

4、售后服務

把售后服務放到產品銷售前面，就在于它的重要性。一般的網絡產品往往會使用戶忽略售后服務的重要，質量過硬的網絡產品有可能插電一次性設置后幾年都不需要變動。但是Web應用防火墻這類網絡安全產品就全然不同了，層出不窮的網絡威脅會時刻對其發(fā)出挑戰(zhàn)。沒有完善研發(fā)售后服務能力的廠商將無力面對這些威脅，這樣用戶的網絡安全也就失去了相應的保障。

5、產品銷售

產品的銷售廠商在哪里，從那里可以得到什么樣的服務，技術支持能力如何……這些同樣也需要用戶在選擇產品時事先進行了解。