Web應(yīng)用程序防火墻(有時(shí)也簡(jiǎn)稱(chēng)為WAF )可以通過(guò)監(jiān)視和過(guò)濾Internet與網(wǎng)站之間的HTTP通信來(lái)保護(hù)網(wǎng)站。

一個(gè)WAF 可以防止網(wǎng)站受跨站請(qǐng)求偽造的喜歡(被攻擊CSRF)，本地文件包含(LFI)，SQL注入，跨站點(diǎn)腳本(XSS)，等等。

70%—80%的應(yīng)用程序中有待利用的嚴(yán)重漏洞，消除這些漏洞至關(guān)重要。

[[327960]]

企業(yè)必須使用一系列專(zhuān)門(mén)針對(duì)OSI的每個(gè)級(jí)別的工具(第3層網(wǎng)絡(luò)級(jí)別的過(guò)濾和第7層應(yīng)用程序級(jí)別的過(guò)濾)來(lái)針對(duì)多種不同的攻擊媒介提供整體防御。

應(yīng)用程序和密碼設(shè)置永遠(yuǎn)不會(huì)完全完美，因此確保保護(hù)數(shù)據(jù)免受分布式拒絕服務(wù)(DDoS)攻擊，不良僵尸程序和垃圾郵件的侵害很重要，最重要的在應(yīng)用程序中建立針對(duì)業(yè)務(wù)邏輯漏洞的防御機(jī)制。

攻擊or防護(hù)是如何進(jìn)行的?

一個(gè)Web應(yīng)用防火墻位于客戶(hù)機(jī)和他們想連接到互聯(lián)網(wǎng)服務(wù)之間，由WAF檢查這些連接，因?yàn)樗鼈兪紫缺宦酚傻剿?/p>

跨站點(diǎn)腳本是最常見(jiàn)的流行應(yīng)用程序攻擊媒介之一，它涉及攻擊者向客戶(hù)端的瀏覽器中注入惡意代碼，修改用戶(hù)設(shè)置，盜取/污染cookie，竊取機(jī)密數(shù)據(jù)，甚至更改內(nèi)容顯示虛假信息。

WEB應(yīng)用防火墻還具有多面性的特點(diǎn)。比如從網(wǎng)絡(luò)入侵檢測(cè)的角度來(lái)看可以把WAF看成運(yùn)行在HTTP層上的IDS設(shè)備;從防火墻角度來(lái)看，WAF是一種防火墻的功能模塊;還有人把WAF看作“深度檢測(cè)防火墻”的增強(qiáng)。

WAF可以防御的另一種威脅是服務(wù)器配置錯(cuò)誤。來(lái)賓帳戶(hù)和默認(rèn)密碼之類(lèi)的不安全設(shè)置通常容易成為攻擊者的目標(biāo)，因?yàn)楣芾韱T沒(méi)有遵循最佳安全性做法，因此創(chuàng)建了這些漏洞。

[[327961]]

輸入驗(yàn)證效果不佳的網(wǎng)站可能容易受到代碼注入漏洞的攻擊，這使攻擊者試圖讓SQL語(yǔ)句潛行以訪(fǎng)問(wèn)未經(jīng)授權(quán)的數(shù)據(jù)庫(kù)。WAF 可以檢測(cè)并阻止這些嘗試。

過(guò)時(shí)的庫(kù)和軟件也是易受攻擊的領(lǐng)域，但Web應(yīng)用程序防火墻可以用作臨時(shí)解決方案，并阻止這些漏洞，并對(duì)其進(jìn)行修補(bǔ)。

監(jiān)視和日志記錄不足也可能導(dǎo)致惡意活動(dòng)的早期跡象被忽略，但是WAF可以充當(dāng)集中式日志記錄點(diǎn)，并通知管理員任何正在進(jìn)行的威脅。并且在達(dá)到極限值時(shí)進(jìn)行處理。這對(duì)暴力攻擊的識(shí)別和響應(yīng)是十分有利的。

攻擊者還可能試圖通過(guò)掃描網(wǎng)站的結(jié)構(gòu)后利用不安全的框架獲取敏感信息的訪(fǎng)問(wèn)。Web應(yīng)用程序防火墻可以鎖定網(wǎng)站的某些區(qū)域，以便只有受信任方才能訪(fǎng)問(wèn)它們。 

WAF 還會(huì)通過(guò)單一入口點(diǎn)實(shí)施地理，IP和基于身份的驗(yàn)證政策。增強(qiáng)輸入驗(yàn)證，可以有效防止網(wǎng)頁(yè)篡改、信息泄露、木馬植入等惡意網(wǎng)絡(luò)入侵行為。從而減小Web服務(wù)器被攻擊的可能性。

現(xiàn)實(shí)情況是，一周中的每一天都在對(duì)網(wǎng)站進(jìn)行黑客攻擊，一項(xiàng)研究表明，網(wǎng)站遭受攻擊的平均頻率是每39秒一次。當(dāng)然，攻擊不一定等同于成功的黑客攻擊，Web應(yīng)用程序防火墻的工作就是確保不會(huì)成功。

最常見(jiàn)的應(yīng)用程序攻擊類(lèi)型包括SQL注入，分布式拒絕服務(wù)(DDoS)，污損，惡意軟件和帳戶(hù)劫持。SQ注入占所有Web攻擊的三分之二。

Web應(yīng)用的CC攻擊，是網(wǎng)絡(luò)安全領(lǐng)域的難題之一，如何做到智能高效地防護(hù)CC，是行業(yè)內(nèi)的重點(diǎn)關(guān)注話(huà)題。