建站
咨詢
售后
建站咨詢
新聞中心
一直以來，Web應用防火墻（WAF）都是企業(yè)組織開展網絡安全建設的最基本要求之一，在企業(yè)數字化發(fā)展中扮演了重要角色。不過隨著網絡攻擊的演進，WAF技術的應用也在發(fā)生變化，新一代WAF的產品理念開始被提出。相比傳統(tǒng)的WAF產品，新一代WAF不僅要對組織的網站系統(tǒng)進行保護，還要對逐漸普及的Kubernetes、微服務、API以及無服務器部署等新興業(yè)務應用模式進行保障和支撐。
成都創(chuàng)新互聯(lián)公司堅持“要么做到，要么別承諾”的工作理念，服務領域包括：成都網站設計、成都做網站、外貿網站建設、企業(yè)官網、英文網站、手機端網站、網站推廣等服務，滿足客戶于互聯(lián)網時代的景東網站設計、移動媒體設計的需求，幫助企業(yè)找到有效的互聯(lián)網解決方案。努力成為您成熟可靠的網絡建設合作伙伴！
傳統(tǒng)WAF的挑戰(zhàn)
盡管WAF已經是一種趨于成熟的網絡安全產品，但最新的調研數據顯示，用戶組織對WAF產品的應用滿意度卻不容樂觀。在國際網絡安全委員會（Neustar）不久前開展的一次調研中，接近40%的受訪者表示曾遇到WAF被攻擊繞過的情況；有33%的受訪者表示其正在使用的WAF系統(tǒng)存在誤報的情況；此外，有超過30%的受訪者表示，目前的WAF系統(tǒng)存在配置復雜、策略修訂難等不足。
除傳統(tǒng)WAF產品本身的性能瓶頸及功能不足外，當前企業(yè)組織對WEB應用模式的轉變也帶來了新的應用風險，也對傳統(tǒng)WAF防護技術提出了新的要求：
- WEB應用的訪問路徑已不局限在網頁中，小程序接入、APP接入、API調用方式已經成為WEB應用對外提供服務的主流，因此在做數據包分析時需要更加全面；
- 機器人攻擊、人工智能手段、商業(yè)化的高級攻擊軟件比例增加，以及攻擊者能力上升，都會對WAF的應用性能帶來更大壓力，并導致繞過WAF的可能性不斷增加；
- 除SQL注入、一句話木馬等網絡攻擊行為外，基于業(yè)務邏輯的攻擊比例不斷增加，而傳統(tǒng)的WAF技術采用的獨立會話判斷模式無法識別出邏輯攻擊的內容；
- 從需求側看，隨著攻擊種類的增加，需要為WAF提交的配置越來越復雜，學習成本越來越高，用戶對傳統(tǒng)WAF產品的運營使用難度也會不斷加大。
新一代WAF的理念
面對以上傳統(tǒng)WAF產品應用中的不足，新一代的WAF產品需要通過更先進的設計理念和技術手段，進行能力完善和優(yōu)化，從而提升WAF的應用價值?；诋斍捌髽I(yè)組織的WEB應用風險特征，并結合分析師對甲方用戶和國內代表性WAF產品服務商的實際調研訪談，安全牛對新一代WAF的理念進行了以下思考和定義：
新一代WAF是指針對WEB應用系統(tǒng)執(zhí)行過程中遇到的各種運行安全問題、數據安全問題以及業(yè)務安全問題，通過更廣泛的原始數據采集和分析，提供多維度、智能化、可協(xié)同的系統(tǒng)性防護能力的產品或解決方案。在新一代WAF產品的設計中，應該對WEB應用執(zhí)行切面，覆蓋盡可能多的WEB應用防護場景，在同一平臺、同一輸入、同一流程下，針對當前Web應用安全需求，提供盡可能完備的防護能力覆蓋。
Web應用風險模型
基于以上定義和思考，新一代WAF產品應該具有以下典型應用特征：
- 平臺化：新一代WAF不只是對單一數據包進行過濾匹配，因此需要在統(tǒng)一的平臺進行威脅分析和檢測，或者以云化的方式交付；
- 生態(tài)化：從內部看，為了提升新一代WAF的能力，需要與威脅情報能力結合，提升威脅識別能力；從外部看，新一代WAF還可以與RASP產品、身份安全等產品等形成聯(lián)動，對WEB應用全生命周期進行防護；
- 能力泛化：新一代WAF不僅針對應用的運行進行防護，還支撐了應用系統(tǒng)的數據安全防護、業(yè)務安全防護，其能力由點向面泛化；
- 服務化：WEB應用隨時接入互聯(lián)網的特性讓WAF的SaaS化交付成為可能，因此服務化交付是新一代WAF 的重要發(fā)展趨勢，用戶僅需要獲得WAF的能力即可，不需要考慮WAF的實現(xiàn)方式、配置方式。服務化交付一方面可以提供更高的性能，另一方面也可以提升用戶的部署效率；
- 自動化：新一代WAF作為具備處置能力的設備，未來將擁有更強的自動化執(zhí)行能力，隨著WAF產品生態(tài)的落地，越來越多的具備分析能力的設備可將分析結果、處置策略傳遞給新一代WAF，提升網絡邊界側的實時處置能力。
新一代WAF的能力架構
安全牛始終認為：安全不是一個口號，也不是一款產品，而是一種能力。為了實現(xiàn)“多維度、智能化、可協(xié)同”的Web應用安全防護能力，新一代WAF產品在研發(fā)設計時可以參考以下能力架構：
新一代WAF能力架構
新一代WAF能力的建設并不是要對傳統(tǒng)WAF功能的摒棄，而是一種繼承和完善，同時針對新的應用場景進行創(chuàng)新優(yōu)化。圍繞新一代WAF的核心能力建設，可以從核心技術、支撐技術、聯(lián)動技術等視角去賦能或形成能力提升。
從核心能力角度看，新一代WAF的核心能力可分為延續(xù)能力和創(chuàng)新能力。能力延續(xù)即為傳統(tǒng)WAF的能力，而新能力則是指基于傳統(tǒng)WAF能力解決的新問題或通過聯(lián)動其他技術形成的能力。需要指出的是，傳統(tǒng)WAF所提供的數據包解析、語義識別等能力仍然是新一代WAF能力構建的基礎。
從核心技術角度看，新一代WAF的核心技術是對傳統(tǒng)WAF技術的疊加，傳統(tǒng)的WAF通過拆解應用層數據包，對包中內容進行語義分析和規(guī)則匹配的方式進行風險識別。同時WAF具備網頁緩存、虛擬補丁、反向代理的能力，提升WAF應用能力和應用效果。新一代WAF中，增加了UEBA、動態(tài)防御的能力，以提升對數據包的利用效果，增加對多包協(xié)同分析能力。
從應用場景角度看，新一代WAF的典型應用場景既包括漏洞風險防護、數據防泄漏、防CC的傳統(tǒng)WAF應用場景，也包括內容風控、業(yè)務風控、RBI場景等新應用場景?？梢哉J為，新一代WAF的新應用場景在同時向左、向右推進，向左即對用戶內網安全的支持，向右即對用于WEB應用執(zhí)行中的業(yè)務安全場景進行支撐。
需要特別說明的是，新一代WAF并不是一個產品孤島，而是未來WEB應用防護生態(tài)體系中的一部分。因此，從支撐技術看，新一代WAF需要威脅情報提升威脅識別能力、需要SSL解密技術對加密流量進行解析、需要人工智能技術提升風險識別準確率。新一代WAF還可以作為WEB應用防護設備，聯(lián)動更多的對網絡環(huán)境、代碼安全相關的產品，形成WEB應用全生命周期防護。
當前文章：由“點”向“面”！簡析新一代WAF的理念與應用
轉載注明：http://www.5511xx.com/article/cdcdjgc.html
