一、什么是Waf？

Waf的全拼為：Web Application Firewall，顧名思義Waf是一款專針對Web應用攻擊的防護產(chǎn)品。當Web應用越來越豐富的同時，大部分交互都轉(zhuǎn)移到了Web上，與此同時Web也成為了主要的攻擊目標，此時Waf就成為了安全防護中的第一道防線，Waf在安全中的重要性不言而喻。

二、Waf形態(tài)分類

目前市面上的Waf的形態(tài)可以簡單分類為三種，分別為：

硬件Web防火墻

Web防護軟件

云Waf

硬件Waf通常的安裝方式是將Waf串行部署在Web服務器前端，用于檢測、阻斷異常流量。

常規(guī)硬件Waf的實現(xiàn)方式是通過代理技術(shù)代理來自外部的流量，并對請求包進行解析，通過安全規(guī)則庫的攻擊規(guī)則進行匹配，如成功匹配規(guī)則庫中的規(guī)則，則識別為異常并進行請求阻斷。

軟件Waf則是安裝在需要防護的服務器上，實現(xiàn)方式通常是Waf監(jiān)聽端口或以Web容器擴展方式進行請求檢測和阻斷。

云Waf是近年來隨著云計算的推動衍生出來的新產(chǎn)品，云WAF，也稱WEB應用防火墻的云模式，這種模式讓用戶不需要在自己的網(wǎng)絡中安裝軟件程序或部署硬件設備，就可以對網(wǎng)站實施安全防護，它的主要實現(xiàn)方式是利用DNS技術(shù)，通過移交域名解析權(quán)來實現(xiàn)安全防護。用戶的請求首先發(fā)送到云端節(jié)點進行檢測，如存在異常請求則進行攔截否則將請求轉(zhuǎn)發(fā)至真實服務器。

三、優(yōu)缺點總結(jié)

面對不同形態(tài)的Waf，那么作為網(wǎng)站運營方，該如何選擇適合自己的Waf呢？不同形態(tài)的Waf各有各的長處，但也有各自的缺點。

硬件Waf之利（一）：部署簡易，即插即用

硬件Waf只需串聯(lián)到交換機上，進行簡單的配置后即可實現(xiàn)Web安全防護

硬件Waf之利（二）：可承受較高的吞吐量

由于硬件防火墻基于硬件設備實現(xiàn)，一般情況下可承受較高的數(shù)據(jù)吞吐量

硬件Waf之利（三）：防護范圍大

由于硬件防火墻直接串聯(lián)到了交換機，所以在同一個交換機下的所有服務器，都處于防火墻的防護范圍之類

說完了優(yōu)點，我們來說說弊端。

硬件Waf之弊（一）：價格昂貴

目前安全行業(yè)中的硬件Waf，價格對于中小企業(yè)來說過于昂貴，動輒便是幾十萬甚至幾百萬

硬件Waf之弊（二）：存在一定誤殺

由于硬件Waf是通過攻擊規(guī)則庫對異常流量進行識別，所以在業(yè)務系統(tǒng)復雜的情況下，可能存在一定誤殺導致正常功能被防火墻攔截導致影響正常業(yè)務

硬件Waf之弊（三）：存在一定繞過幾率

硬件防火墻對HTTP協(xié)議進行自行解析，可能存在與Web服務器對HTTP請求的理解不一致從而導致被繞過

以上客觀描述了硬件防火墻有優(yōu)缺點，歡迎補充。

我們再來看看軟件Waf又有哪些優(yōu)缺點。

軟件Waf之利（一）：開箱即用，廉價甚至免費

目前國內(nèi)的軟件Waf，如安全狗、網(wǎng)站安全衛(wèi)士等皆有免費版，下載安裝后簡單配置即可使用。

軟件Waf之利（二）： 管理方便，界面友好

目前行業(yè)中的軟件Waf提供友好的查看、管理界面，使得即使是非技術(shù)人員也能通過軟件管理服務器的安安全狀態(tài)

軟件Waf之利（三）：功能豐富

使用軟件實現(xiàn)的Waf除了實現(xiàn)對Web應用的防護功能之外，還存在其他豐富的安全功能，如掃描惡意木馬文件、防篡改、服務器優(yōu)化、備份等等功能，這些功能對于不了解網(wǎng)站技術(shù)的人來說提供了便捷

軟件Waf之弊（一）：誤殺&漏報特性

軟件Waf對HTTP協(xié)議實現(xiàn)了自解析，無法和容器背后的Web應用保持對協(xié)議的理解一致，在誤殺和漏報之間不能很好的平衡，解析太過細化又存在Waf可輕易被欺騙導致繞過的特點，防御太過嚴謹又可能會導致影響正常業(yè)務運行

軟件Waf之弊（二）：占用內(nèi)存過多

由于軟件Waf要實現(xiàn)對每個請求的解析、識別，可能會存在占用服務器內(nèi)存過多的情況

軟件Waf之弊（三）：只適合中小型網(wǎng)站

由于軟件Waf需要單臺服務器部署，并且可能存在影響正常業(yè)務的風險和被繞過的風險，不適合大型的網(wǎng)絡的安全防護使用

那么今年來的新產(chǎn)品，云Waf又表現(xiàn)如何呢？

云Waf之利（一）：部署簡單，維護成本低

這也是云Waf最有價值和受用戶喜愛的一點，無需安裝任何軟件或者部署任何硬件設備，只需修改DNS即可將網(wǎng)站部署到云Waf的防護范圍之內(nèi)

云Waf之利（二）：用戶無需更新

云Waf的防護規(guī)則都處于云端，新漏洞爆發(fā)時，由云端負責規(guī)則的更新和維護，用戶無需擔心因為疏忽導致受到新型的漏洞攻擊

云Waf之利（三）：可充當CDN

云Waf在提供防護功能的同時，還同時具有CDN的功能，在進行防護的同時還可以提高網(wǎng)站訪問的速率，CDN通過跨運營商的多線智能解析調(diào)度將靜態(tài)資源動態(tài)負載到全國的云節(jié)點，用戶訪問某個資源時會被引導至最近的云端節(jié)點從而提高訪問速度

以上優(yōu)點，讓部分用戶對云Waf產(chǎn)生“鐘愛之情”但是從安全的專業(yè)角度，云Waf同樣存在一些嚴重的問題。

云Waf之弊（一）：存在輕易被繞過的風險

云Waf的主要實現(xiàn)原理是通過將用戶的DNS解析到云節(jié)點實現(xiàn)防護，這樣一來，如果黑客通過相關(guān)手段獲取了服務器的真實IP地址，然后強制解析域名，就可以輕松繞過云Waf對服務器發(fā)起攻擊

云Waf之弊（二）：可靠性低

云Waf處理一次請求，其中需要經(jīng)過DNS解析、請求調(diào)度、流量過濾等環(huán)節(jié)，其中涉及協(xié)同關(guān)聯(lián)工作，其中只要有一個環(huán)節(jié)出現(xiàn)問題，就會導致網(wǎng)站無法訪問。必要時，只能手動切換為原DNS來保證業(yè)務正常運行，而域名解析需要一定時間，則會導致網(wǎng)站短時間無法正常訪問

云Waf之弊（三）：保密性低

網(wǎng)站訪問數(shù)據(jù)對于一些企業(yè)、機構(gòu)來說為保密數(shù)據(jù)，里面可能包含用戶的隱私或者商業(yè)信息，這些數(shù)據(jù)自行管控會相對安全，但是如果使用Waf，所有的數(shù)據(jù)會記錄到云端，這相當于數(shù)據(jù)被別人保管，可能存在一定的泄露風險

分析利弊后，我們發(fā)現(xiàn)云Waf目前只適用于安全需求較低的中小型企業(yè)或者個人網(wǎng)站，對于安全需求較高的網(wǎng)站，如政府、金融、運營商等，云Waf無法滿足相關(guān)要求，所以廣大網(wǎng)站管理者，需要根據(jù)自身實際情況來選擇合適的安全產(chǎn)品和服務

四、Web防護之更好的選擇RASP

RASP 英文為 Runtime application self-protection，它將保護程序像疫苗一樣注入到應用程序和應用程序融為一體，能實時檢測和阻斷安全攻擊，使應用程序具備自我保護能力，當應用程序遇到特定漏洞和攻擊時不需要人工干預就可以進行自動重新配置應對新的攻擊。

這意味著，RASP 運行在程序執(zhí)行期間，使程序能夠自我監(jiān)控和識別有害的輸入和行為。

其實，RASP 不同于傳統(tǒng)的安全技術(shù)僅在網(wǎng)絡周邊或者終端設備上進行保護，它能夠讓應用程序具備自我保護能力。而實時是 RASP 非常重要的特點，因為擁有應用程序的上下文，它不僅可以分析應用程序的行為也可以結(jié)合上下文對行為進行分析，而且這些能持續(xù)不斷的進行分析，一旦發(fā)現(xiàn)有攻擊行為能立刻進行響應和處理。

而WAF 無法檢查應用程序的漏洞，更無法解決已知漏洞。它不了解應用程序，不能深入到數(shù)據(jù)流里探測系統(tǒng)特有的問題，比如 SQL 注入。每個數(shù)據(jù)庫的 SQL 語言都有諸多不同，WAF 無法防范針對具體數(shù)據(jù)庫的 SQL 注入之攻擊行為。

實時應用程序自我保護（RASP）繼承了 WAF 的大部分功能，使應用程序很好地保護自己。RASP 會監(jiān)聽每一個與應用程序交換的節(jié)點，覆蓋所有應用程序的訪問節(jié)點，包括：用戶、數(shù)據(jù)庫、網(wǎng)絡和文件系統(tǒng)。

因為了解應用程序的上下文，RASP 完全清楚應用程序的輸入輸出，因此它可以根據(jù)具體的數(shù)據(jù)流定制合適的保護機制，從而可以達到非常精確的實時攻擊識別和攔截。

RASP 在可疑行為進入應用程序時并不攔截，而是先對其進行標記，在輸出時再檢查是否為危險行為，從而盡量減少誤報和漏報的概率。這對精確性要求極高的銀行、金融體系的應用程序保護尤其重要，因為這些應用程序?qū)π阅芎涂捎眯砸�求非常高�?/p>

RASP的優(yōu)點可總結(jié)為：

RASP之利（一）：誤報率低

不同于 WAF，RASP 不依賴于分析網(wǎng)絡流量去尋找問題，除了發(fā)現(xiàn)漏洞或發(fā)現(xiàn)攻擊行為，它通常不會發(fā)出任何聲音。這樣能極大地減少誤報率。RASP 能非常精確地區(qū)分攻擊和合法輸入，而 WAF 很多時候無法做到，這大大減少了專門請人分析結(jié)果的成本，也不需要掃描修復的過程。

RASP之利（二）：維護成本低

WAF 的安裝過程非常復雜，需要非常精確的配置以盡可能廣的覆蓋應用程序。為了獲得更好的效果，幾乎每次 Web 應用程序發(fā)布新版時都需要對管理員進行「培訓」并對 WAF 進行針對性的重新配置。但大多數(shù)企業(yè)都無法做得這么及時與完善，這就可能導致大量的誤報與性能問題。與之相對，RASP 幾乎可以做到開箱即用，只需要非常簡單的配置就可以使用。這得益于RASP 與應用程序融為一體的特性，在應用程序內(nèi)部監(jiān)控實時數(shù)據(jù)。

RASP之利（三）：極高的覆蓋度和兼容性

RASP 安全系統(tǒng)可以應用到任何可注入的應用程序，能處理絕大多數(shù)的網(wǎng)絡協(xié)議：HTTP、 HTTPS、AJAX、SQL 與 SOAP。而 WAF 通過監(jiān)控網(wǎng)絡流量提供保護，因此只支持 Web 應用程序（HTTP）。此外，WAF 需要特定的解析器、協(xié)議分析工具或其他組件來分析應用程序使用的其他網(wǎng)絡協(xié)議，這會導致一些兼容性與性能問題。

RASP之利（四）：更全面的保護

WAF 在分析與過濾用戶輸入并檢測有害行為方面還是比較有效的，但是對應用程序的輸出檢查則毫無辦法。RASP 不但能監(jiān)控用戶輸入，也能監(jiān)控應用程序組件的輸出，這就使 RASP 具備了全面防護的能力。RASP 解決方案能夠定位 WAF 通常無法檢測到的嚴重問題——未處理的異常、會話劫持、權(quán)限提升和敏感數(shù)據(jù)披露等等。Gartner 分析師 Joseph 很清楚地描述了這一點。

RASP弊端（一）：部署困難，需單個部署

RASP針對的是應用程序，每個應用都需要單獨部署安裝，不能像硬件防火墻只需要在入口部署即可，這個特性增加了部署的難度從而可能導致防范不全的風險

RASP弊端（二）：可能影響服務器性能

對系統(tǒng)性能的影響，RASP 實時攔截，深入檢測用戶數(shù)據(jù)流，這是對精確度和誤判率都有很大的幫助，但是對用戶性能有一些影響，這些性能消耗也必然影響到用戶的體驗，這也是影響企業(yè)客戶部署 RASP 的很大一方面原因�，F(xiàn)在 RASP 的提供商在優(yōu)化方面做了很大努力，大部分 RASP 對性能影響在5%左右

最后使用 RASP 并不是真正建立一個安全的應用，系統(tǒng)中存在的漏洞還是存在，應用了 RASP 后臨時提供一個虛擬補丁修補上已知漏洞，當不用 RASP 后這些漏洞還是存在。另外 RASP 也不能修復所有的漏洞，漏洞時刻在更新。企業(yè)應該將 RASP 和掃描工具結(jié)合起來將更有價值。RASP 軟件提供商也應該提供實時漏洞更新功能，實現(xiàn)真正零日攻擊防御。

五、Web防護之未來暢想

傳統(tǒng)的Waf目前大部分都是基于規(guī)則庫來實現(xiàn)識別惡意攻擊請求，即使是RASP技術(shù)，也利用了規(guī)則來實現(xiàn)，只不過RASP做了更多其他的嘗試，嘗試通過更多的維度來識別攻擊。

關(guān)于WAF防護，應該做更多的技術(shù)嘗試來實現(xiàn)防護。未來的防護應該可以研究以下幾個技術(shù)方向：

1.機器學習

利用SVM、HMM、貝葉斯分類、HMM等算法進行大量樣本訓練，實現(xiàn)正常請求與攻擊請求的識別，從而實現(xiàn)安全防護

2.詞法分析

通常用戶傳入一般為正常數(shù)據(jù)，而攻擊者為了實現(xiàn)攻擊的目的則會使用各類攻擊手法，此時請求語句中必定包含特定的攻擊荷載，通過對用戶請求的對應的解析編譯，如果用戶傳入的數(shù)據(jù)都被解析至對應的層，如數(shù)據(jù)庫層（SQL）、代碼層（PHP/JAVA/.NET）、瀏覽器層(Javascript)，則說明為惡意請求

3.行為識別

一般正常用戶的行為是收束、統(tǒng)一并且一成不變的，而攻擊者的行為則是一些稀有的行為，如執(zhí)行命令、大量請求數(shù)據(jù)、下載敏感文件，此時我們可以通過監(jiān)控一個請求進入容器到響應出去，中間都進行了哪些行為，然后根據(jù)白名單和黑名單的方式定義行為是否為惡意來識別攻擊行為

4.大數(shù)據(jù)關(guān)聯(lián)分析

在通常的防護體系中，一般都存在信息孤島，各個維度的數(shù)據(jù)沒有互相關(guān)聯(lián)，我們可以通過構(gòu)建一個關(guān)聯(lián)分析系統(tǒng)，將Web應用日志、Web容器日志、數(shù)據(jù)庫日志、代碼執(zhí)行鏈等各個層面的信息收集到一起進行關(guān)聯(lián)分析從而實現(xiàn)惡意行為識別

六、總結(jié)

在安全防護體系中，Waf作為安全前線的第一道防護，但是單一的安全產(chǎn)品并不能從實質(zhì)上解決安全問題，Waf只是起到了緩解的作用，在實際場景中，應該在體系中每一個流程都應該做相應的工作。

天下數(shù)據(jù)Web應用防火墻（云WAF），對網(wǎng)站或者APP的業(yè)務流量進行惡意特征識別及防護，將正常、安全的流量回源到服務器。避免網(wǎng)站服務器被惡意入侵，保障業(yè)務的核心數(shù)據(jù)安全，解決因惡意攻擊導致的服務器性能異常問題。詳詢天下數(shù)據(jù)客服400-6388-808。

本文鏈接：http://51huadong.com/cloundnews/11003340.html