摘要：WAF產(chǎn)品到底具備哪些功能才能滿足國內(nèi)客戶對Web服務(wù)器防護的需求？事實上，無論是國內(nèi)還是國外的WAF產(chǎn)品，功能的訴求點概括起來不外乎五個方面。

在互聯(lián)網(wǎng)應(yīng)用高速發(fā)展的同時，承載Web信息系統(tǒng)的Web服務(wù)器也面臨著巨大安全挑戰(zhàn)。因此，針對Web應(yīng)用層的防御產(chǎn)品——WAF（Web Application Firewall，Web應(yīng)用防火墻）產(chǎn)品已經(jīng)成為構(gòu)建客戶網(wǎng)站安全解決方案的首要選擇。

根據(jù)國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心（簡稱CNCERT/CC）的統(tǒng)計報告，2011年境內(nèi)被篡改網(wǎng)站數(shù)量多達 36612 個，其中有不少是.com和.com.cn的域名類網(wǎng)站，甚至有一些.gov.cn域名類網(wǎng)站，網(wǎng)站的安全形勢十分嚴峻。

WAF這一防御系統(tǒng)能夠保護各網(wǎng)站W(wǎng)eb服務(wù)器免受應(yīng)用級入侵，它彌補了防火墻、IPS這類安全設(shè)備對Web應(yīng)用攻擊防護能力不足的問題。但是，市場上的WAF產(chǎn)品很多，WAF產(chǎn)品到底具備哪些功能才能滿足國內(nèi)客戶對Web服務(wù)器防護的需求？客戶會陷入功能、性能、易用性的選擇性困惑中。事實上，無論是國內(nèi)還是國外的WAF產(chǎn)品，除了HTTP協(xié)議吞吐能力一般必須達到200M至8G之間的最基本的性能要求之外，功能的訴求點概括起來不外乎五個方面，如圖所示：

首先，WAF產(chǎn)品應(yīng)該具有Web非授權(quán)訪問的防護功能。這類攻擊會在客戶端毫不知情的情況下，竊取客戶端或者網(wǎng)站上含有敏感信息的文件，譬如Cookie文件，通過盜用這些文件，對一些網(wǎng)站進行未授權(quán)情況下的行為操作，譬如轉(zhuǎn)賬等行為，因此，針對這類的防護，需要特別留意。另外，WAF產(chǎn)品必須要具備針對跨站請求偽造（Cross-site request forgery，CSRF）攻擊的防護功能。

其次，WAF產(chǎn)品應(yīng)該具備對Web攻擊的防護功能。這類攻擊主要包含了SQL注入攻擊和XSS跨站攻擊。一般來說SQL注入攻擊利用Web應(yīng)用程序不對輸入數(shù)據(jù)進行檢查過濾的缺陷，將惡意的SQL語句注入到后臺數(shù)據(jù)庫，達到竊取（篡改）數(shù)據(jù)，控制服務(wù)器的目的。XSS攻擊指惡意攻擊者往Web頁面里插入惡意代碼，當(dāng)受害者瀏覽該Web頁面時，嵌入其中的代碼會被受害者的Web客戶端執(zhí)行，達到惡意攻擊的目的。另外，WAF產(chǎn)品還應(yīng)該具備對應(yīng)用層DoS攻擊的防護能力，譬如目前最常見就是HTTP Flood攻擊（如：CC攻擊），這是WAF產(chǎn)品較高的技術(shù)準(zhǔn)入門檻。

第三，WAF產(chǎn)品應(yīng)該具備Web惡意代碼的防護功能。譬如，WebShell就是一個ASP或PHP木馬后門，攻擊者在入侵網(wǎng)站后，常常將這些木馬后門文件放置在Web服務(wù)器的站點目錄中，與正常的頁面文件混在一起，這就要求WAF產(chǎn)品能準(zhǔn)確識別和防護。另外，還有對網(wǎng)頁掛馬的防護，一般這類攻擊的主要目的是讓用戶將木馬下載到本地，并進一步執(zhí)行，從而使用戶電腦遭到攻擊和控制，最終目的是盜取用戶的敏感信息，如各類賬號、密碼，因此這類功能也是WAF產(chǎn)品需要具備的基礎(chǔ)功能。

第四，WAF產(chǎn)品應(yīng)該具備基本的應(yīng)用交付能力。應(yīng)用交付是指應(yīng)用交付網(wǎng)絡(luò)（Application Delivery Networking，ADN），它借助WAF產(chǎn)品對網(wǎng)絡(luò)進行優(yōu)化，確保用戶的業(yè)務(wù)應(yīng)用能夠快速、安全、可靠地交付給內(nèi)部員工和外部服務(wù)群。通常情況下，多服務(wù)器負載均衡是WAF產(chǎn)品常見的應(yīng)用交付形態(tài)。

最后，WAF產(chǎn)品應(yīng)該具備Web應(yīng)用合規(guī)功能。應(yīng)用合規(guī)是指客戶端或者Web服務(wù)器所做的各類行為符合用戶設(shè)置的規(guī)定要求，譬如基于URL的應(yīng)用層訪問控制和HTTP請求的合規(guī)性檢查，都屬于Web應(yīng)用合規(guī)所強調(diào)的功能。在國際上PCI-DSS標(biāo)準(zhǔn)、國內(nèi)相關(guān)部門的合規(guī)規(guī)章制度要求下，尤其是，企業(yè)或政府機構(gòu)中遵從的公安部等級保護的要求下，WAF產(chǎn)品的應(yīng)用合規(guī)已經(jīng)成為客戶十分重視的基礎(chǔ)功能。