企業(yè)選購web應用防火墻服務器三部曲
WAF也與入侵檢測系統(tǒng)不同。它是一種非常不同的技術——它不是基于特征，它是基于行為的，它防止那些用戶無意中制造的漏洞被利用。
盡管一些傳統(tǒng)的防火墻提供某種程度的應用意識，但它不具有WAF提供的顆粒度和專一性。例如，WAF可以檢測應用程序的行為是否像它設計的那樣，WAF使用戶能夠編寫特殊的規(guī)則來防止這些攻擊再次發(fā)生。
當前，推動WAF發(fā)展的主要因素之一是支付卡行業(yè)數據安全標準(PCI DSS)。這項標準規(guī)定了兩種取得遵從性的途徑：WAF和代碼審查。但是，另一個推動因素是人們越來越意識到攻擊目標由網絡轉向應用。WhiteHat Security進行的一項研究發(fā)現，82%的網站至少存在一個程度為高風險、危急或嚴重的問題。這項研究從2006年1月到2008年12月對877個網絡進行了調查。
WAF的主要屬性
Web 應用防火墻市場仍沒有得到明確的定義，許多不同的產品都歸在了WAF的名下。Burton Group分析師Ramon Krikken說：“許多產品提供的功能超出了人們對防火墻的原有認識。此外，新廠商通過將已有的非WAF擴展為WAF集成產品，開始進入這個市場細分。”
根據研究咨詢機構Xiom創(chuàng)建人Ofer Shezaf提供的清單，我們給出了以下WAF應當具備的屬性：
1.深入了解HTTP。WAF若要有效就必須完全解析和分析HTTP。
2.提供正面的安全模型。正面的安全政策只允許被認為合法的傳輸流通過。這種有時叫做“白名單”的特性為應用提供外部輸入確認保護。
3.應用層規(guī)則。由于高性能成本，正面安全模型應當利用基于特征的系統(tǒng)來加強。但是由于Web應用是定制編碼的，針對已知安全漏洞的傳統(tǒng)特征不再有效。WAF規(guī)則應當普遍適用，能夠檢測攻擊(如SQL注入)的變種。
4.基于會話的保護。HTTP最大的缺點之一就是缺少內建的可靠會話機制。WAF必須彌補應用會話管理的不足，保護它免受基于會話的和長時間的攻擊。
5.提供細粒度的政策管理。例外應當只適用于應用的很小部分。否則，假報警將造成巨大的安全縫隙。
WAF的選購原則希望大家通過以上的敘述已經了解，還請大家多多關注這方面的知識。本站的相關資源是很多的，請大家閱讀：http://netsecurity.51cto.com/col/564/
【編輯推薦】
