無論是基于Web的應(yīng)用系統(tǒng)還是Web網(wǎng)站，他們都面臨著各種各樣且來源不定的安全威脅。他們有些是已被發(fā)現(xiàn)，并具有可識別的固定特征的；則是因網(wǎng)站的設(shè)計和代碼，以及攻擊者的行為習(xí)慣而異的。而所有這些都是Web應(yīng)用系統(tǒng)和Web網(wǎng)站必須面對和解決的安全問題。

傳統(tǒng)的技術(shù)手段。如防火墻和IPS都是基于已知的安全特征的安全檢測和防護(hù)手段，而且它們只能做到網(wǎng)絡(luò)，有的可以處理協(xié)議層數(shù)據(jù)包（新的技術(shù)）。但是對于Web應(yīng)用中大量采用，而同時又是被攻擊的主要目標(biāo)的動態(tài)頁面是無能為力的。這是因為，動態(tài)頁面本身就是沒有固定模式的，所以針對它的攻擊也是沒有固定特征的。

同時，必須注意到，完全依賴特征庫的檢測和防護(hù)技術(shù)，不可避免的具有很高的誤報率和漏報率，并且在兩者之間很難達(dá)到平衡。

目前，大多數(shù)網(wǎng)站采用的都是這種技術(shù)，它們也了解其中的問題，只是沒有更好的技術(shù)來取代而已。而Imperva的SecureSphere Web應(yīng)用防火墻采用新型防護(hù)手段，既有效地彌補(bǔ)了傳統(tǒng)防護(hù)方式的不足，又具有很多新的特點。

作為新型的Web應(yīng)用防火墻，SecureSphere的特點是基于正向模型——即，為模型的安全檢測技術(shù)可以從根本上解決上述傳統(tǒng)Web防護(hù)的問題，尤其是當(dāng)兩者結(jié)合的時候。

但同時，對于基于為模型的檢測和防護(hù)，有幾個關(guān)鍵的技術(shù)問題必須解決：

a.模型的產(chǎn)生必須是自動和動態(tài)的?！捎跒槟Ｐ桶囊蛩胤浅V泛，且數(shù)量眾多，人工生成和維護(hù)的方式在實際使用中是完全不可行的；而且，會產(chǎn)生大量的誤報。

必須和基本的反向模型向結(jié)合。因為反向模型可以屏蔽大量的基本攻擊，而讓基于為的機(jī)制解決更高級的攻擊流量。

b.必須在防護(hù)的各個層次，以及時間上進(jìn)關(guān)聯(lián)分析。Ì

真正有危害的攻擊通常會在多個層次，包括時間軸上表現(xiàn)出相當(dāng)?shù)年P(guān)聯(lián)性，通過關(guān)聯(lián)分析可以極大的提高攻擊辨識的能力，降低誤報率。

另外，由于行為分析意味著大量的計算，產(chǎn)品在具體實現(xiàn)方面必須保證應(yīng)有的性能，特別是在處理能力(Session Per Second)和時延方面(ms)。Imperva的Web防火墻采用獨特的技術(shù)很好的解決了上述問題。

【編輯推薦】

1. WAF——最專業(yè)的網(wǎng)站安全防護(hù)
2. web應(yīng)用防火墻(WAF)的安全原理與技術(shù)分析
3. 看WEB應(yīng)用防火墻的網(wǎng)站整體防護(hù)解決方案

#p#

Imperva WAF的功能和特點

SecureSphere WEB安全防護(hù)網(wǎng)關(guān)是專為了對WEB網(wǎng)站和基于WEB的服務(wù)器提供全方位防護(hù)而設(shè)計的。它的防護(hù)對象不僅包括普通的端口掃描、TCP Sync Flood、已知的高級攻擊手段如SQL注入等，還包括未知的、新出現(xiàn)的高級的攻擊，如URL參數(shù)篡改、Cookie毒化等。同時還可以對管理核心數(shù)據(jù)的后臺數(shù)據(jù)庫進(jìn)行防護(hù), 如下圖所示：  

SecureSphere的WAF G8包括以下方面的功能和特點：

Web應(yīng)用防火墻功能

SecureSphere 系統(tǒng)保護(hù)用戶的WEB應(yīng)用攻擊，例如SQL注入、Cookie毒化、參數(shù)篡改、路徑遍歷以及更多攻擊（詳見列表）。動態(tài)評估技術(shù)自動創(chuàng)建WEB應(yīng)用的使用和結(jié)構(gòu)的正向安全模型，包括URL、http形式、參數(shù)、隱藏的域、Cookie、事務(wù)ID以及應(yīng)答代碼等。當(dāng)用戶和網(wǎng)絡(luò)應(yīng)用進(jìn)行交互時，SecureSphere 系統(tǒng)密切監(jiān)視他們的活動，并與安全模型比較。任何攻擊的企圖都將被監(jiān)測到，并被阻止。 

Web服務(wù)防火墻功能

SecureSphere的互聯(lián)網(wǎng)服務(wù)網(wǎng)關(guān)主要針對XML、SOAP和WSDL等應(yīng)用進(jìn)行保護(hù)。如同SecureSphere系統(tǒng)的應(yīng)用防火墻功能一樣，服務(wù)網(wǎng)關(guān)采用Imperva公司的動態(tài)評估技術(shù)建立合法應(yīng)用行為的安全模型，包括XML URL、SOAP行為、XML元素和XML屬性。所有篡改網(wǎng)絡(luò)服務(wù)應(yīng)用模式或者變量的企圖都會被識別出來，并加以阻止和防范

動態(tài)建模和自動策略

SecureSphere的防護(hù)的一個創(chuàng)新是基于應(yīng)用層交互內(nèi)容的安全檢測。在這個層次建立了非常深入復(fù)雜的策略。即，對訪問的URL、動態(tài)頁面?zhèn)鬟f參數(shù)、Cookie傳遞的參數(shù)等進(jìn)行監(jiān)測，對比正常的訪問行為基線；如明顯偏離正常行為模式則可產(chǎn)生告警和即時阻斷。策略的產(chǎn)生主要由設(shè)備的自學(xué)習(xí)功能完成，無需人工干預(yù)，而且還可以根據(jù)Web應(yīng)用的變化進(jìn)行自適應(yīng)調(diào)整。同時，管理人員還可以進(jìn)行微調(diào)，以得到最優(yōu)的“充分必要”的策略。

Web入侵防護(hù)系統(tǒng)（IPS）

SecureSphere IPS對已知的攻擊和“第零日蠕蟲”的提供保護(hù)。這些攻擊通常針對WEB服務(wù)器、應(yīng)用服務(wù)器和操作系統(tǒng)軟件的弱點（例如，IIS、Apache和Windows 2000）。SecureSphere的“第零日蠕蟲”自動評估技術(shù)可自動識別尚未定義特征的攻擊。 SecureSphere系統(tǒng)同時提供多網(wǎng)絡(luò)協(xié)議的Snort兼容的特征庫，符合http協(xié)議和來自“應(yīng)用防御中心”– Imperva自己內(nèi)部的安全研究組織，的高級應(yīng)用保護(hù)特征。SecureSphere 系統(tǒng)提供定時更新服務(wù)，確保安全保護(hù)的時效性。

多層次的防護(hù)及關(guān)聯(lián)

◆SecureSphere不僅提供了創(chuàng)新的安全技術(shù)手段，如自動建模，防蠕蟲擴(kuò)散、高層協(xié)議檢測；同時也整合了各種成熟的技術(shù)，如：網(wǎng)絡(luò)防火墻、入侵檢測和防護(hù)。特別需要指出的是SecureSphere的入侵檢測技術(shù)是專門針對Web服務(wù)的，除了基本的Snort特征庫，還提供豐富的Web應(yīng)用和數(shù)據(jù)庫應(yīng)用的攻擊特征庫。  

◆SecureSphere整合多種安全手段的目的不僅提供了多層次的安全防護(hù)，而且通過各個防護(hù)層次間內(nèi)在的關(guān)聯(lián)，可以極大的提高攻擊識別的準(zhǔn)確性，降低誤報率。這對于時時處于廣泛攻擊環(huán)境下的WEB服務(wù)系統(tǒng)是至關(guān)重要的。

前后臺關(guān)聯(lián)。  

當(dāng)今，Web服務(wù)系統(tǒng)發(fā)展的趨勢是，除了提供靜態(tài)信息的提供外，還提供與多種應(yīng)用和服務(wù)的交互接口。網(wǎng)頁交互和動態(tài)頁面技術(shù)越來越多的扮演了核心的角色。同時由于動態(tài)頁面技術(shù)的靈活性，它也成為了Web攻擊的熱點，包括通過動態(tài)頁面與后臺數(shù)據(jù)庫的連接關(guān)系，獲取和篡改應(yīng)用系統(tǒng)的核心信息，如賬號密碼、用戶信息、交易信息等。SecureSphere為Web網(wǎng)站和基于Web的應(yīng)用提供全面安全防護(hù)，包括前臺Web服務(wù)器和后臺數(shù)據(jù)庫；而且可以進(jìn)行實時的前后臺關(guān)聯(lián)。因此SecureSphere可以幫助發(fā)現(xiàn)攻擊的真正發(fā)起源，可以防護(hù)通過后門對數(shù)據(jù)庫發(fā)起的攻擊，提高攻擊發(fā)現(xiàn)的能力，以及精確的從大量訪問流量中阻斷攻擊流量。#p#

Imperv WAF的部署：

配置原則

在為xxx用戶配置Imperva公司的Web安全防護(hù)產(chǎn)品的時候，遵循一下的配置的基本原則： 

◆功能性滿足本項目的實際需要 

◆可以支持現(xiàn)有應(yīng)用系統(tǒng)，如數(shù)據(jù)庫類型、本版等 

◆處理性能滿足系統(tǒng)的需要 

◆對現(xiàn)有系統(tǒng)的無影響，包括；IP地址空間、路由規(guī)劃、無需調(diào)整應(yīng)用系統(tǒng)（如設(shè)置Proxy，安裝軟件等）

配置說明

鑒于以上的配置原則，針對xxx web保護(hù)項目的Web應(yīng)用保護(hù)，采用Imperva 的SecureSphere系列中G4作為Web應(yīng)用監(jiān)控和防護(hù)網(wǎng)關(guān)。同時，為了提供統(tǒng)一的管理和配置平臺，配置MX作為集中網(wǎng)管平臺，對數(shù)據(jù)庫應(yīng)用監(jiān)控和防護(hù)網(wǎng)關(guān)進(jìn)行統(tǒng)一的管理。

G4有500Mbps的吞吐量，同時支持的交易數(shù)是16,000每秒，同時為了保證系統(tǒng)的可靠性，配備兩臺，用來監(jiān)控和保護(hù)核心的Web應(yīng)用，如果一臺出來問題，系統(tǒng)可以自動切換到另外一臺。另外配備一臺網(wǎng)管服務(wù)器MX，對兩臺數(shù)據(jù)庫安全網(wǎng)關(guān)做統(tǒng)一的管理和配置。拓?fù)鋱D如下所示：  

#p#

系統(tǒng)的管理

SecureSphere提供全分布式的三級網(wǎng)管架構(gòu)，包括： 第一層—業(yè)務(wù)探測和實施引擎，第二層—MX網(wǎng)管服務(wù)器，第三層—操作控制臺。這種結(jié)構(gòu)對于在xxx這樣的大型網(wǎng)絡(luò)系統(tǒng)中部署統(tǒng)一的安全策略具有至關(guān)重要的意義。  

圖 SecureSphere的完整部署的示例

SecureSphere 的管理服務(wù)器的主要特點包括：

◆圖形報告 - 完整的 Crystal Reports™ 包和與 攻擊摘要訪問支持預(yù)配置報告和自定義報告。預(yù)配置報告使性能、合規(guī)性、安全警報及使用情況的異常情況一目了然。

圖 SecureSphere 在整個企業(yè)內(nèi)提供統(tǒng)一的報告。

◆統(tǒng)一的實時警報監(jiān)視 – 來自多個 SecureSphere 安全層（動態(tài)”業(yè)務(wù)模型”、IPS 等）的實時警報將被收集、按優(yōu)先級排序并在一個統(tǒng)一的視圖中顯示給管理員。警報通知可通過電子郵件、電話、呼機(jī)和 SNMP 消息發(fā)送。不需要連接到分布在數(shù)據(jù)中心的各個設(shè)備。來自多個網(wǎng)關(guān)的日志數(shù)據(jù)也將顯示在單個視圖中，并存儲在單個 MX 管理服務(wù)器數(shù)據(jù)庫中。

◆警報審計 – 來自多網(wǎng)關(guān)的警報將被收集并存儲于單個 MX 管理服務(wù)器數(shù)據(jù)庫中。若要支持審計功能，只需點擊幾下鼠標(biāo)就可以根據(jù)多種參數(shù)來排序和搜索警報條目。即使是來自不同 SecureSphere 安全服務(wù)（IPS、動態(tài)”業(yè)務(wù)模型”等）的特定用戶違規(guī)行為（由會話 ID 或 IP 地址標(biāo)識），也可以被立即跟蹤。

◆智能攻擊摘要 – 智能攻擊摘要通過智能地將多個攻擊導(dǎo)致的一系列事件聚合為一個需采取措施的警報，從而提高管理員的工作效率。例如，相關(guān)掃描警報可聚合為一個攻擊警報，而不是成千上萬個攻擊警報。如今，快速有效的響應(yīng)變得極為重要，而這種高度集中的信息能夠使管理員快速準(zhǔn)確地了解威脅聚合警報保留了形成警報的基本事件，以便進(jìn)行詳細(xì)分析。

◆集中式策略分布 – 多網(wǎng)關(guān)的動態(tài)”業(yè)務(wù)模型”、IPS 策略和系統(tǒng)參數(shù)集中存儲于 MX 管理服務(wù)器。更改在服務(wù)器上進(jìn)行，通過單擊可將這些更改自動發(fā)布到多個網(wǎng)關(guān)。#p#

Imperva的WAF帶來的價值

采用Imperva的新型Web應(yīng)用防火墻，在提供一流防護(hù)的同時，還可以很大程度上減少安全管理人員的工作量，因為它具有動態(tài)建模等很多自動化的工具，可以大量簡化防火墻的配置工作。

Imperva公司的動態(tài)建模技術(shù)能夠建立合法應(yīng)用行為的模型，隨時間變化而逐漸適應(yīng)網(wǎng)絡(luò)應(yīng)用變化，始終保持SecureSphere系統(tǒng)應(yīng)用保護(hù)能力的時效性和準(zhǔn)確性。在很短時間內(nèi)，無須改變其原有數(shù)據(jù)中心結(jié)構(gòu)，SecureSphere系統(tǒng)的部署就能夠?qū)崿F(xiàn)的對攻擊行為的防護(hù)，也無須手工配置和調(diào)整。

除了動態(tài)評估技術(shù)中提到的自動化的規(guī)則定義，SecureSphere系統(tǒng)允許安全管理員根據(jù)網(wǎng)絡(luò)流量的具體特征定義規(guī)則。定制的規(guī)則需要手工配置，以實現(xiàn)模型或基于協(xié)議的規(guī)則不能或不方便實現(xiàn)的規(guī)則。

動態(tài)評估是多層次安全保護(hù)機(jī)制的基礎(chǔ)，對所有應(yīng)用層面提供了完整的保護(hù)，包括網(wǎng)絡(luò)、服務(wù)器和應(yīng)用系統(tǒng)。Imperva公司的透明檢測技術(shù)具有一個G的分析能力，百萬分之一秒級的延遲和高可用性滿足了大多數(shù)數(shù)據(jù)中心的安全需求。對于大規(guī)模部署，SecureSphere MX管理服務(wù)器采用集中式部署，提供流水線式配置、綜合管理、監(jiān)控和報表功能。由于SecureSphere系統(tǒng)提供廣泛的部署形式選項，它可以部署到任何環(huán)境，而無需更改其原有網(wǎng)絡(luò)結(jié)構(gòu)。

SecureSphere 系統(tǒng)保護(hù)用戶的WEB應(yīng)用攻擊，例如SQL注入、Cookie毒化、參數(shù)篡改、路徑遍歷以及更多攻擊（詳見列表）。動態(tài)評估技術(shù)自動創(chuàng)建WEB應(yīng)用的使用和結(jié)構(gòu)的正向安全模型，包括URL、http形式、參數(shù)、隱藏的域、Cookie、事務(wù)ID以及應(yīng)答代碼等。當(dāng)用戶和網(wǎng)絡(luò)應(yīng)用進(jìn)行交互時，SecureSphere 系統(tǒng)密切監(jiān)視他們的活動，并與安全模型比較。任何攻擊的企圖都將被監(jiān)測到，并被阻止。  

SecureSphere Web應(yīng)用防火墻可保護(hù)攻擊列表：

WEB服務(wù)防火墻

SecureSphere的互聯(lián)網(wǎng)服務(wù)網(wǎng)關(guān)主要針對XML、SOAP和WSDL等應(yīng)用進(jìn)行保護(hù)。如同SecureSphere系統(tǒng)的應(yīng)用防火墻功能一樣，服務(wù)網(wǎng)關(guān)采用Imperva公司的動態(tài)評估技術(shù)建立合法應(yīng)用行為的安全模型，包括XML URL、SOAP行為、XML元素和XML屬性。所有篡改網(wǎng)絡(luò)服務(wù)應(yīng)用模式或者變量的企圖都會被識別出來，并加以阻止和防范。

入侵防護(hù)系統(tǒng)（IPS）

SecureSphere IPS對已知的攻擊和“第零日蠕蟲”的提供保護(hù)。這些攻擊通常針對WEB服務(wù)器、應(yīng)用服務(wù)器和操作系統(tǒng)軟件的弱點（例如，IIS、Apache和Windows 2000）。SecureSphere的“第零日蠕蟲”自動評估技術(shù)可自動識別尚未定義特征的攻擊。 SecureSphere系統(tǒng)同時提供多網(wǎng)絡(luò)協(xié)議的Snort兼容的特征庫，符合http協(xié)議和來自“應(yīng)用防御中心”– Imperva自己內(nèi)部的安全研究組織，的高級應(yīng)用保護(hù)特征。SecureSphere 系統(tǒng)提供定時更新服務(wù)，確保安全保護(hù)的時效性。

網(wǎng)絡(luò)防火墻

SecureSphere集成的網(wǎng)絡(luò)防火墻用于防范未授權(quán)用戶、危險的協(xié)議、通常的網(wǎng)絡(luò)層攻擊以及蠕蟲感染。訪問控制策略支持協(xié)議/IP地址組合的控制列表，以避免數(shù)據(jù)中心暴露給不必要的用戶，或者限制危險的協(xié)議，例如Telnet、pcAnywhere或者是SQL。

SecureSphere擴(kuò)展至數(shù)據(jù)庫

SecureSphere系統(tǒng)可以擴(kuò)展到應(yīng)用數(shù)據(jù)庫的保護(hù)，包括對Oracle、MS-SQL Server，DB2（包括主框架）和Sybase數(shù)據(jù)庫進(jìn)行保護(hù)。SecureSphere 數(shù)據(jù)庫安全防護(hù)功能能夠同時防范外部攻擊和內(nèi)部人員的濫用，提供了數(shù)據(jù)中心的端到端防御。

無與倫比的準(zhǔn)確性

SecureSphere包括了動態(tài)的正向（白名單）和反向（黑名單）安全模式。即時攻擊有效驗證(IAV)立刻根據(jù)兩種模式中的一種驗證和阻止所有已知的違規(guī)行為。對于不明顯的復(fù)雜攻擊，Imperva專利的關(guān)聯(lián)攻擊驗證(CAV)技術(shù)把多層次的違規(guī)記錄關(guān)聯(lián)起來，事后從合法用戶訪問行為中分離出來。CAV技術(shù)能夠把來自SecureSphere系統(tǒng)中所有安全記錄的相關(guān)信息關(guān)聯(lián)起來，得到獨立安全產(chǎn)品無法達(dá)到的準(zhǔn)確程度。#p#

Imperva的WAF的性能及其他參數(shù)  

【編輯推薦】

1. WAF——最專業(yè)的網(wǎng)站安全防護(hù)
2. web應(yīng)用防火墻(WAF)的安全原理與技術(shù)分析
3. 看WEB應(yīng)用防火墻的網(wǎng)站整體防護(hù)解決方案