eb應(yīng)用防火墻技術(shù)
對(duì)于網(wǎng)站安全，最理想的做法是：在軟件開(kāi)發(fā)生命周期的4個(gè)階段分別采取相應(yīng)的安全措施（如下圖）。然而，大多數(shù)網(wǎng)站的實(shí)際情況是：網(wǎng)站已經(jīng)在線(xiàn)運(yùn)行，但存在不同級(jí)別的安全漏洞，沒(méi)有通用補(bǔ)丁可用，而“改代碼”需要付出的代價(jià)（成本）過(guò)大。
網(wǎng)站安全生命周期
針對(duì)這種現(xiàn)狀，在網(wǎng)站前端部署專(zhuān)業(yè)的Web安全設(shè)備是一種合理的選擇。傳統(tǒng)的安全設(shè)備，如防火墻、IPS，雖然是網(wǎng)絡(luò)安全策略中不可缺少的重要模塊，但受限于自身的產(chǎn)品架構(gòu)和功能，無(wú)法對(duì)千變?nèi)f化的Web應(yīng)用攻擊提供周密的解決方案，只有采用專(zhuān)門(mén)設(shè)計(jì)的產(chǎn)品，才能對(duì)攻擊進(jìn)行有效檢測(cè)和阻斷。
Web應(yīng)用防火墻（以下簡(jiǎn)稱(chēng)WAF）正是這類(lèi)專(zhuān)業(yè)產(chǎn)品，它提供了網(wǎng)站安全運(yùn)維過(guò)程中的一系列控制手段，基于對(duì)HTTP/HTTPS流量的雙向檢測(cè)，為Web應(yīng)用提供實(shí)時(shí)的防護(hù)。與傳統(tǒng)防火墻、IPS設(shè)備相比，WAF最顯著的技術(shù)差異性體現(xiàn)在：
1. 對(duì)HTTP有深入的理解：能完整地解析HTTP，包括報(bào)文頭部、參數(shù)及載荷。支持各種HTTP 編碼（如chunked encoding）；提供嚴(yán)格的HTTP協(xié)議驗(yàn)證；提供HTML限制；支持各類(lèi)字符集編碼；具備response過(guò)濾能力。
2. 提供應(yīng)用層規(guī)則：Web應(yīng)用通常是定制化的，傳統(tǒng)的針對(duì)已知漏洞的規(guī)則往往不夠有效。WAF提供專(zhuān)用的應(yīng)用層規(guī)則，且具備檢測(cè)變形攻擊的能力，如檢測(cè)SSL加密流量中混雜的攻擊。
3. 提供正向安全模型（白名單模型）：僅允許已知有效的輸入通過(guò)，為Web應(yīng)用提供了一個(gè)外部的輸入驗(yàn)證機(jī)制，安全性更有保障。
4. 提供會(huì)話(huà)防護(hù)機(jī)制：HTTP協(xié)議最大的弊端在于缺乏一個(gè)可靠的會(huì)話(huà)管理機(jī)制。WAF為此進(jìn)行有效補(bǔ)充，防護(hù)基于會(huì)話(huà)的攻擊類(lèi)型，如cookie篡改及會(huì)話(huà)劫持攻擊。
綠盟Web應(yīng)用防火墻
概述
綠盟Web應(yīng)用防火墻（又稱(chēng)綠盟Web應(yīng)用防護(hù)系統(tǒng)，簡(jiǎn)稱(chēng)WAF）是綠盟科技面向企業(yè)、政府等各類(lèi)機(jī)構(gòu)推出的專(zhuān)注于保護(hù)Web應(yīng)用和Web服務(wù)的安全產(chǎn)品。
創(chuàng)新的安全模型
為了有效防護(hù)網(wǎng)站，綠盟WAF采用了一種創(chuàng)新的安全模型。這個(gè)安全模型針對(duì)“攻擊事件”，提供事前預(yù)防、事中防護(hù)、事后補(bǔ)償?shù)恼w解決方案。事前，WAF能發(fā)現(xiàn)網(wǎng)站漏洞，提醒管理者修補(bǔ)；事中，WAF能提供基于規(guī)則的靜態(tài)防護(hù)，以及基于應(yīng)用交互邏輯的動(dòng)態(tài)防護(hù)；事后，WAF能檢測(cè)出網(wǎng)頁(yè)篡改，提醒管理者修復(fù)，并遮蓋被篡改頁(yè)面。
綠盟WAF創(chuàng)新的安全模型
雙向數(shù)據(jù)檢測(cè)
綠盟WAF支持透明代理的部署方式，作為Web客戶(hù)端和服務(wù)器端的中間人，避免Web服務(wù)器直接暴露于互聯(lián)網(wǎng)上，監(jiān)控HTTP/HTTPS雙向流量，對(duì)網(wǎng)絡(luò)層、Web Server/Application層雙向數(shù)據(jù)實(shí)施檢測(cè)和保護(hù)，可以降低Web站點(diǎn)安全風(fēng)險(xiǎn)。
綠盟WAF雙向數(shù)據(jù)檢測(cè)
應(yīng)對(duì)OWASP Top 10
超越傳統(tǒng)產(chǎn)品只基于靜態(tài)規(guī)則的防護(hù)機(jī)制，綠盟WAF有效結(jié)合了靜態(tài)規(guī)則與基于用戶(hù)行為識(shí)別的動(dòng)態(tài)防御機(jī)制，能夠有效降低OWASP Top10 中的Web應(yīng)用安全風(fēng)險(xiǎn)。
OWASP Top 10 | 綠盟WAF解決方案 |
注入缺陷 | 內(nèi)置一百多條從實(shí)際攻擊行為中提煉的防護(hù)規(guī)則，并允許自定義規(guī)則。 |
跨站腳本（XSS） | 內(nèi)置數(shù)十條從實(shí)際攻擊行為中提煉的防護(hù)規(guī)則，并允許自定義規(guī)則。 |
失效的驗(yàn)證和會(huì)話(huà)管理 | 提供cookie安全機(jī)制（加密、簽名、啟用HTTP Only、啟用源IP校驗(yàn)），降低會(huì)話(huà)劫持、篡改等會(huì)話(huà)管理風(fēng)險(xiǎn)。 |
不安全的直接對(duì)象引用 | 通過(guò)各類(lèi)內(nèi)置規(guī)則和自定義規(guī)則可以降低該風(fēng)險(xiǎn)。 |
跨站請(qǐng)求偽造（CSRF） | 提供CSRF防護(hù)策略，在授權(quán)客戶(hù)端與服務(wù)器的交互過(guò)程中主動(dòng)插入標(biāo)記，并檢查標(biāo)記，來(lái)識(shí)別惡意構(gòu)造的請(qǐng)求。 |
安全配置錯(cuò)誤 | 云服務(wù)平臺(tái)可以?huà)呙璩鲥e(cuò)誤的安全配置，給WAF提供虛擬補(bǔ)丁，以降低錯(cuò)誤的安全配置所帶來(lái)的風(fēng)險(xiǎn)。 |
不安全加密存儲(chǔ) | 支持出方向數(shù)據(jù)檢測(cè)，可以針對(duì)重要的敏感信息，部署自定義過(guò)濾規(guī)則，降低未加密重要數(shù)據(jù)泄露的風(fēng)險(xiǎn)。 |
未能限制URL訪(fǎng)問(wèn) | 提供細(xì)粒度的URL訪(fǎng)問(wèn)控制策略。 |
不足的傳輸層保護(hù) | 支持SSL加密和解密，可以緩解。 |
未經(jīng)驗(yàn)證的重定向和轉(zhuǎn)發(fā) | 內(nèi)置的防護(hù)規(guī)則，并允許自定義規(guī)則，可以緩解。 |
領(lǐng)先的DDoS防護(hù)能力綠盟WAF應(yīng)用了自主研發(fā)的抗拒絕服務(wù)攻擊算法，可防護(hù)各類(lèi)帶寬及資源耗盡型拒絕服務(wù)攻擊，如對(duì)SYN Flood這種常見(jiàn)攻擊行為能夠有效識(shí)別，并實(shí)時(shí)對(duì)攻擊流量進(jìn)行阻斷，確保了Web業(yè)務(wù)的可用性及連續(xù)性。
在動(dòng)態(tài)防護(hù)機(jī)制中，綠盟WAF可有效識(shí)別用戶(hù)行為模式，如對(duì)HTTP Flood攻擊進(jìn)行實(shí)時(shí)檢測(cè)、防護(hù)。基于綠盟多年抗拒絕服務(wù)的技術(shù)積累，WAF產(chǎn)品中集成了多種應(yīng)用層抗DDoS技術(shù)，當(dāng)發(fā)生未知攻擊時(shí)，無(wú)需專(zhuān)門(mén)撰寫(xiě)規(guī)則即可對(duì)這些攻擊進(jìn)行防護(hù)。
綠盟安全研究中心
安全攻防是一個(gè)動(dòng)態(tài)過(guò)程，安全產(chǎn)品面對(duì)的是充滿(mǎn)“智慧”的對(duì)手。綠盟科技擁有專(zhuān)門(mén)的安全研究機(jī)構(gòu)，能夠及時(shí)跟蹤、發(fā)現(xiàn)互聯(lián)網(wǎng)上新出現(xiàn)的Web應(yīng)用攻擊類(lèi)型，并將研究成果具體應(yīng)用于WAF產(chǎn)品規(guī)則庫(kù)和防護(hù)算法的更新，幫助客戶(hù)對(duì)抗最新攻擊。
匯聚云端智慧
為了增加功能，網(wǎng)站經(jīng)常會(huì)調(diào)整，調(diào)整就可能引入新的漏洞，要防護(hù)這些新漏洞，要求WAF具有動(dòng)態(tài)調(diào)整能力。如何做到呢？答案來(lái)自云端，如今，綠盟WAF建立了與“云服務(wù)”的深度聯(lián)系，匯聚（安全專(zhuān)家）智慧的“云服務(wù)”可以為WAF提供“漏洞視角”和“虛擬補(bǔ)丁”，使WAF能夠定期“真切地看到”網(wǎng)站漏洞的變化，并通過(guò)應(yīng)用“虛擬補(bǔ)丁”做出動(dòng)態(tài)調(diào)整。這為WAF防護(hù)網(wǎng)站安全提供了關(guān)鍵的補(bǔ)充。
綠盟WAF匯聚云端智慧
典型部署
通常情況，綠盟WAF工作在DMZ區(qū)或數(shù)據(jù)中心，可以無(wú)需修改網(wǎng)絡(luò)及服務(wù)器配置，透明部署在防火墻和Web服務(wù)器群之間，對(duì)Web服務(wù)器群的出入流量進(jìn)行有效監(jiān)控，從而確保Web應(yīng)用的安全，如下圖所示。
綠盟WAF典型部署
在部署了多業(yè)務(wù)網(wǎng)段服務(wù)器的網(wǎng)絡(luò)環(huán)境中，WAF設(shè)備也可以采用旁路方式部署，提供一種邏輯在線(xiàn)防護(hù)機(jī)制。該種部署靈活性較好，可以實(shí)現(xiàn)業(yè)務(wù)分流，對(duì)核心系統(tǒng)影響較小。旁路方式部署的技術(shù)原理如下：
流量牽引：通過(guò)路由方式，將原來(lái)去往目標(biāo)網(wǎng)站IP的流量牽引至WAF設(shè)備。被牽引的流量為攻擊流量與正常流量混雜的HTTP流量；
流量檢測(cè)和過(guò)濾：WAF設(shè)備通過(guò)多層的攻擊流量識(shí)別與凈化功能，將Web攻擊流量從混合流量中過(guò)濾；
流量注入：經(jīng)過(guò)WAF過(guò)濾之后的合法流量被重新注入回網(wǎng)絡(luò)，最終到達(dá)目的網(wǎng)站。
對(duì)返回流量檢測(cè)：網(wǎng)站響應(yīng)的HTTP流量在返回給客戶(hù)端之前，仍然需要流經(jīng)WAF設(shè)備，WAF可提供安全檢測(cè)，經(jīng)WAF檢測(cè)后的流量最終返回給客戶(hù)端。
典型應(yīng)用
網(wǎng)頁(yè)篡改在線(xiàn)防護(hù)
按照網(wǎng)頁(yè)篡改事件發(fā)生的時(shí)序，綠盟WAF提供事中防護(hù)以及事后補(bǔ)償?shù)脑诰€(xiàn)防護(hù)解決方案。事中，實(shí)時(shí)過(guò)濾HTTP請(qǐng)求中混雜的網(wǎng)頁(yè)篡改攻擊流量（如SQL注入、XSS等）。事后，自動(dòng)監(jiān)控網(wǎng)站所有需保護(hù)頁(yè)面的完整性，檢測(cè)到網(wǎng)頁(yè)被篡改，第一時(shí)間對(duì)管理員進(jìn)行短信告警，對(duì)外仍顯示篡改前的正常頁(yè)面，用戶(hù)可正常訪(fǎng)問(wèn)網(wǎng)站。 <
網(wǎng)頁(yè)掛馬在線(xiàn)防護(hù)
網(wǎng)頁(yè)掛馬為一種相對(duì)比較隱蔽的網(wǎng)頁(yè)篡改方式，本質(zhì)上這種方式也破壞了網(wǎng)頁(yè)的完整性。網(wǎng)頁(yè)掛馬攻擊目標(biāo)為各類(lèi)網(wǎng)站的最終用戶(hù)，網(wǎng)站作為傳播網(wǎng)頁(yè)木馬的“傀儡幫兇”，嚴(yán)重影響網(wǎng)站的公信度。
當(dāng)用戶(hù)請(qǐng)求訪(fǎng)問(wèn)某一個(gè)頁(yè)面時(shí)，綠盟WAF會(huì)對(duì)服務(wù)器側(cè)響應(yīng)的網(wǎng)頁(yè)內(nèi)容進(jìn)行在線(xiàn)檢測(cè)，判斷是否被植入惡意代碼，并對(duì)惡意代碼進(jìn)行自動(dòng)過(guò)濾。
敏感信息泄漏防護(hù)
綠盟WAF可以識(shí)別并更正Web應(yīng)用錯(cuò)誤的業(yè)務(wù)流程，識(shí)別并防護(hù)敏感數(shù)據(jù)泄漏，滿(mǎn)足合規(guī)與審計(jì)要求，具體如下：
可自定義非法敏感關(guān)鍵字，對(duì)其進(jìn)行自動(dòng)過(guò)濾，防止非法內(nèi)容發(fā)布為公眾瀏覽。
Web站點(diǎn)可能包含一些不在正常網(wǎng)站數(shù)據(jù)目錄樹(shù)內(nèi)的URL鏈接，比如一些網(wǎng)站擁有者不想被公開(kāi)訪(fǎng)問(wèn)的目錄、網(wǎng)站的WEB管理界面入口及以前曾經(jīng)公開(kāi)過(guò)但后來(lái)被隱藏的鏈接。WAF提供細(xì)粒度的URL ACL，防止對(duì)這些鏈接的非授權(quán)訪(fǎng)問(wèn)。
網(wǎng)站隱身：過(guò)濾服務(wù)器側(cè)出錯(cuò)信息，如錯(cuò)誤類(lèi)型、出現(xiàn)錯(cuò)誤腳本的絕對(duì)路徑、網(wǎng)頁(yè)主目錄的絕對(duì)路徑、出現(xiàn)錯(cuò)誤的SQL語(yǔ)句及參數(shù)、軟件的版本、系統(tǒng)的配置信息等，避免這些敏感信息為攻擊者利用、提升入侵的概率。
對(duì)數(shù)據(jù)泄密具備監(jiān)管能力。能過(guò)濾服務(wù)器側(cè)響應(yīng)內(nèi)容中含有的敏感信息，如身份證號(hào)、信用卡號(hào)等。
合規(guī)
如前文所述，多數(shù)網(wǎng)站面臨的實(shí)際情況為：大量早期開(kāi)發(fā)的Web應(yīng)用，由于歷史原因，都存在不同程度的安全問(wèn)題。對(duì)于這些已上線(xiàn)、正提供生產(chǎn)的Web應(yīng)用，由于其定制化特點(diǎn)決定了沒(méi)有通用補(bǔ)丁可用，而整改代碼因代價(jià)過(guò)大變得較難施行或者需要較長(zhǎng)的整改周期。多數(shù)關(guān)系國(guó)計(jì)民生的重要網(wǎng)站，同時(shí)還面臨監(jiān)管機(jī)構(gòu)的合規(guī)要求。
綠盟WAF提供的Web應(yīng)用安全解決方案切實(shí)可行，在客戶(hù)修補(bǔ)補(bǔ)丁或整改代碼較為困難時(shí)，提供虛擬補(bǔ)丁功能，應(yīng)對(duì)各類(lèi)Web應(yīng)用安全挑戰(zhàn)，協(xié)助客戶(hù)滿(mǎn)足安全合規(guī)要求。
總結(jié)
隨著Web應(yīng)用的豐富，各類(lèi)攻擊工具不斷的普遍和強(qiáng)大，互聯(lián)網(wǎng)上的安全隱患越來(lái)越多。隨著客戶(hù)核心業(yè)務(wù)系統(tǒng)對(duì)網(wǎng)絡(luò)依賴(lài)程度的增加，Web應(yīng)用攻擊事件數(shù)量將會(huì)持續(xù)增長(zhǎng)，損失嚴(yán)重程度也會(huì)劇增。因此，政府、企業(yè)等各類(lèi)組織都必須有所對(duì)策以保護(hù)其投資、利潤(rùn)和核心業(yè)務(wù)。
為了彌補(bǔ)目前安全設(shè)備，如防火墻、IPS對(duì)Web應(yīng)用攻擊防護(hù)能力的不足，我們需要一種新的安全工具用于保護(hù)重要信息系統(tǒng)不受Web應(yīng)用攻擊的影響。這種工具不僅僅能夠檢測(cè)目前復(fù)雜的Web應(yīng)用攻擊，而且必須在不影響正常業(yè)務(wù)流量的前提下對(duì)攻擊流量進(jìn)行實(shí)時(shí)阻斷。這類(lèi)工具相對(duì)于目前常見(jiàn)的安全產(chǎn)品，必須具備更細(xì)粒度的攻擊檢測(cè)和分析機(jī)制。
綠盟WAF提供了業(yè)界領(lǐng)先的Web應(yīng)用攻擊防護(hù)能力，保證Web應(yīng)用的連續(xù)性和高可用性。同時(shí)，針對(duì)當(dāng)前的熱點(diǎn)問(wèn)題，如SQL注入攻擊、網(wǎng)頁(yè)篡改、網(wǎng)頁(yè)掛馬、敏感信息泄漏等，綠盟WAF提供最佳安全-成本平衡點(diǎn)，有效降低安全風(fēng)險(xiǎn)。
聯(lián)系客服
