WEB应用防火墙的相关介绍

2017-03-19

WEB应用防火墙的相关介绍

Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。定义利用国际上公认的一种说法：总体来说，Web应用防火墙的具有以下四大个方面的功能(参考WAF入门，对内容做了一些删减及改编)。

审计设备

用来截获所有HTTP数据或者仅仅满足某些规则的会话。

访问控制设备

用来控制对Web应用的访问，既包括主动安全模式也包括被动安全模式。

架构/网络设计工具

当运行在反向代理模式，他们被用来分配职能，集中控制，虚拟基础结构等。

WEB应用加固工具

这些功能增强被保护Web应用的安全性，它不仅能够屏蔽WEB应用固有弱点，而且能够保护WEB应用编程错误导致的安全隐患。

需要指出的是，并非每种被称为Web应用防火墙的设备都同时具有以上四种功能。

同时WEB应用防火墙还具有多面性的特点。比如从网络入侵检测的角度来看可以把WAF看成运行在HTTP层上的IDS设备;从防火墙角度来看，WAF是一种防火墙的功能模块;还有人把WAF看作“深度检测防火墙”的增强。(深度检测防火墙通常工作在的网络的第三层以及更高的层次，而Web应用防火墙则在第七层处理HTTP服务并且更好地支持它。)

功能描述

WEB应用防火墙是集WEB防护、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。它集成全新的安全理念与先进的创新架构，保障用户核心应用与业务持续稳定的运行。

1、事前主动防御，智能分析应用缺陷、屏蔽恶意请求、防范网页篡改、阻断应用攻击，全方位保护WEB应用。

2、事中智能响应，快速P2DR建模、模糊归纳和定位攻击，阻止风险扩散，消除“安全事故”于萌芽之中。

3、事后行为审计，深度挖掘访问行为、分析攻击数据、提升应用价值，为评估安全状况提供详尽报表。

4、面向客户的应用加速，提升系统性能，改善WEB访问体验。

5、面向过程的应用控制，细化访问行为，强化应用服务能力。

6、面向服务的负载均衡，扩展服务能力，适应业务规模的快速壮大。[1]

特点

Web应用防火墙的一些常见特点如下。

异常检测协议

Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。

增强的输入验证

增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。从而减小Web服务器被攻击的可能性。

及时补丁

修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来什么样的危害。现在WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间内屏蔽掉这个漏洞。当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。

(附注：及时补丁的原理可以更好的适用于基于XML的应用中，因为这些应用的通信协议都具规范性。)

基于规则的保护和基于异常的保护

基于规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则库，并时时为其更新。用户可以按照这些规则对应用进行全方面检测。还有的产品可以基于合法应用数据建立模型，并以此为依据判断应用数据的异常。但这需要对用户企业的应用具有十分透彻的了解才可能做到，可现实中这是十分困难的一件事情。

状态管理

WAF能够判断用户是否是第一次访问并且将请求重定向到默认登录页面并且记录事件。通过检测用户的整个操作行为我们可以更容易识别攻击。状态管理模式还能检测出异常事件(比如登陆失败)，并且在达到极限值时进行处理。这对暴力攻击的识别和响应是十分有利的。

其他防护技术

WAF还有一些安全增强的功能，可以用来解决WEB程序员过分信任输入数据带来的问题。比如：隐藏表单域保护、抗入侵规避技术、响应监视和信息泄露保护。

防护理念：

安全防护管控体系：提供区分攻击行为类别的多种防御引擎、对攻击行为进行针对性的事件处理策略配置、定义具体攻击行为的匹配规则定制，对已知和未知的Web攻击进行全面防护，将攻击行为的细节直观、详尽地展示给用户，达到防护、管控Web应用业务安全的目的。

方便有效网管运维：在安全防护能力给Web应用的安全性带来保障的同时，也为Web应用复杂的网络管理、日常运维带来快捷和便利，能够实时了解网站可用性状态、安全性状态、客户端访问流量、客户类型和地域分析、服务器承载压力;能够对网站提供负载均衡加速、缓存页面加速、数据压缩加速，使Web应用完全发挥其最大性能。

满足行业/国家标准、通过安全审计：随着安全问题的不断浮现和社会影响的深化，Web应用的安全性越来越受到人们的重视和关注，由此促进了部分行业的安全标准制定，如PCI-DSS标准要求;国家公安部、国务院下发的指示。

WAF可协助Web应用程序满足相关的安全性要求，确保在线业务安全、合规地运作，帮助客户通过安全审计。

常见产品

龙盾IIS防火墙

“龙盾IIS防火墙”是一款经典的网站安全防护产品，经过十余年的技术沉淀， “龙盾IIS防火墙”对于各种流行的网站入侵，均具有显著的防御效果。 “龙盾IIS防火墙”采用高效、安全的技术为网站提供了如下保护：

产品功能

防木马上传

“龙盾IIS防火墙” 能及时准确的识别asp、php、aspx以及aspa等类型的木马和后门文件，从根本上杜绝了黑客利用网站漏洞，上传木马和后门程序;

支持对上传文件内容的过滤;

支持对加密、加壳木马文件的识别。

FTP目录监控

“龙盾IIS防火墙” 实时监控通过FTP上传到服务器上的文件，实时查杀上传到WEB服务器上的木马和后门程序，实时查杀时间为毫秒。

支持对木马文件内容关键字的设置;

支持对加密、加壳木马文件的识别，即使是被加密的的木马文件，也可立即清除。

防挂马

“龙盾IIS防火墙” 独创LRCT专利技术，从根本上阻止了由于网站或系统漏洞导致的网页或数据库挂马，有效防御XSS跨站脚本攻击。

支持挂马拦截，从根本上阻止黑客对网站和数据库挂马;

支持挂马内容自动清除，即使服务器已经挂马，“龙盾IIS防火墙”也会自动清除。

专业防SQL注入

十年来，“龙盾IIS防火墙” 致力于跟踪SQL注入技术的最新动态，防SQL注入策略不断更新，规则不断完善;

支持对GET、POST、COOKIE所有数据提交方式的过滤;

过滤规则分离原则：不同方法(GET、POST、COOKIE)提交的数据，过滤的规则相互独立，最大限度的加强了对SQL注入的防御，同时，也从根本上杜绝了对正常访问的误拦;

支持“模式匹配”，“龙盾IIS防火墙”具有人工智能特性，一条防SQL注入规则，即可以阻止一类的SQL注入。

系统帐户保护

“龙盾IIS防火墙”可阻止黑客创建Windows系统帐户。

可阻止黑客通过各种方式创建Windows系统管理员帐户。

远程桌面保护

“龙盾IIS防火墙”可阻止非法IP地址访问3389 远程桌面。

可设置IP地址白名单，只有白名单内的IP地址才可以连接服务器的远程桌面，非IP白名单内的IP地址连接远程桌面时将被阻止。

信息监控

“龙盾IIS防火墙”实时监控流入、流出网站的信息，实时屏蔽和过滤敏感信息;

用户提交的敏感信息被立即阻止;

即使网站上已经存在敏感信息，龙盾IIS防火墙也可进行过滤，确保访问者看到的内容均合法，从而不必担心服务器被查封;

支持“模式匹配”。

资源防盗链

“龙盾IIS防火墙”可有效保护网站资源不被其它网站盗链。

支持友好域名设置;

支持自由下载文件夹设置;

支持防迅雷下载功能。

在线播放防下载

对于只希望在线播放的音频、视频网站，“龙盾IIS防火墙”可有效防止网站的音频或视频文件被非法下载。

支持对AVI, MPG, RMVB, FLV, MP3, WMA等各类在线音频和视频的保护;

支持对嗅探浏览器的防御。

下载流量控制

“龙盾IIS防火墙”可任意设置文件下载的线程个数和下载速度，从而保障您的带宽不被非法吞噬，有效控制下载流量，降低服务器资源的消耗。

适用于各种下载工具，不论是网际快车还是迅雷，均可限制其下载速度和下载线程个数;

不同网站可设置不同的下载速度和下载线程数。

抗CC攻击

“龙盾IIS防火墙”可有效抵御CC、DDOS软件的攻击，有效抵御流量攻击，防止非法用户高频率刷新数据库。

支持“最大并发连接数控制”功能;

支持对变种CC的有效防御;

支持文件类型的设置。

代理服务器访问控制

“龙盾IIS防火墙”可阻止代理服务器的访问，有效抵御僵尸攻击，流量攻击。

防PHP UDP攻击

“龙盾IIS防火墙”从根本上清除UDP发包程序，迅速解决带宽被占满的问题。

即使加密的UDP发包木马程序，也可立即清除;

即使服务器已经存在UDP发包程序，也可阻止其发送大量UDP包。

IP地址黑名单

一方面, “龙盾IIS防火墙”的智能分析系统，会将参与恶意攻击的IP地址自动加入黑名单, 另一方面, 用户也可以手工任意阻止非法IP地址的访问。

支持IP地址段设置;

支持自定义黑名单IP地址解封时间。

IP地址白名单

“龙盾IIS防火墙”可指定不受防火墙限制的客户端IP地址。

支持IP地址段设置;

满足使用“网络加速器”用户的需要;

保证不会对“搜索引擎蜘蛛”的爬行记录造成影响。

广告植入

您可以通过“龙盾IIS防火墙”向页面内植入广告信息。

支持广告与域名分离，不同的网站和域名可以设置不同的广告内容。

抗缓冲区溢出攻击

“龙盾IIS防火墙”允许您自定义HTTP头、URL地址、COOKIE以及查询串长度，防止缓冲区溢出攻击。

支持对WebDAV，RPC服务远程溢出漏洞的防御;

支持对IDQ溢出漏洞的防御。

禁止运行恶意脚本

禁止ASP、PHP、JSP木马程序服务器上运行。

URL访问权限控制

“龙盾IIS防火墙”可根据不同访问者的IP地址，设置不同的URL访问权限。

自由域名

可设置不受防火墙保护的域名，自由域名列表内的站点完全不受防火墙的保护，满足特殊情况下的需要。

WEB应用防火墙相关文章：

1.实例讲解如何建立安全防火墙

2.用组策略部署Windows防火墙

3.防火墙知识

WEB应用防火墙的相关介绍

相关话题