入侵檢測系統(Intrusion Detection System)俗稱IDS，是近十多年發展起來的新一代安全防范技術，它通過對計算機網絡或系統中的若干關鍵點收集信息并對其進行分析，從中發現是否有違反安全策略的行為和被攻擊的跡象。IDS產品被認為是在防火墻之后的第二道安全防線在攻擊檢測、安全審計和監控等方面都發揮了重要的作用。

　　但在入侵檢測產品的使用過程中，暴露出了諸多的問題。特別是誤報、漏報和對攻擊行為缺乏實時響應等問題比較突出，并且嚴重影響了產品發揮實際的作用。Gartner在2003年一份研究報告中稱入侵檢測系統已經“死”了。Gartner認為IDS不能給網絡帶來附加的安全，反而會增加管理員的困擾，建議用戶使用入侵防御系統(Intrusion Prevention System)即IPS來代替IDS。Gartner公司認為只有在線的或基于主機的攻擊阻止(實時攔截)才是最有效的入侵防御系統。

　　不過，根據Gartner的分析，目前對網絡的攻擊有70%以上是集中在應用層，并且這一數字呈上升趨勢。應用層的攻擊有可能會造成非常嚴重的后果，比如用戶帳號丟失和公司機密泄漏等。因此，對具體應用的有效保護就顯得越發重要。從檢測方法上看，IPS與IDS都是基于模式匹配、協議分析以及異常流量統計等技術。這些檢測技術的特點是主要針對已知的攻擊類型，進行基于攻擊特征串的匹配。但對于應用層的攻擊，通常是利用特定的應用程序的漏洞，無論是IDS還是IPS都無法通過現有的檢測技術進行防范。

　　WEB應用防火墻的出現解決了這方面的難題，應用防火墻通過執行應用會話內部的請求來處理應用層，它專門保護Web應用通信流和所有相關的應用資源免受利用Web協議或應用程序漏洞發動的攻擊。應用防火墻可以阻止將應用行為用于惡意目的的瀏覽器和HTTP攻擊，一些強大的應用防火墻甚至能夠模擬代理成為網站服務器接受應用交付，形象的來說相當于給原網站加上了一個安全的絕緣外殼。

　　下面我們就用一款現在業內比較普遍的Barracuda-NC應用防火墻來舉例，來看看應用防火墻是如何對WEB應用層進行防護的了。

　　能對下列一般方法無法檢測的Web應用層攻擊手段進行有效的防護：

　　植入惡意腳本

　　Cookie / Session投毒

　　Form表單 / 隱藏域修改

　　緩存溢出

　　參數篡改

　　跨站式腳本攻擊

　　強制瀏覽 / 目錄探測

　　Sql注入 / 命令注入

　　數據竊取 / 身份竊取

　　已知漏洞攻擊 / Zero Day漏洞攻擊

　　應用程序Dos

　　工作特點：基于應用層的檢測，同時又擁有基于狀態的網絡防火墻的優勢

　　•對應用數據錄入完整檢查、HTTP包頭重寫、強制HTTP協議合規化，杜絕各種利用協議漏洞的攻擊和權限提升

　　•預期數據的完整知識(Complete Knowledge of expected values)，防止各種形式的SQL/命令注入，跨站式腳本攻擊

　　•實時策略生成及執行，根據您的應用程序定義相應的保護策略，而不是千篇一律的廠家預定義防攻擊策略，無縫的砌合您的應用程序，不會造成任何應用失真

　　網站全面隱身：黑客再神奇也無法攻擊看不見的東西

　　Barracuda-NC應用防火墻對外部訪問網站進行隱身，可以隱藏真實的Web服務器類型、應用服務器類型、操作系統、版本號、版本更新程度、已知安全漏洞、真實IP地址、內部工作站信息，讓黑客看不見，摸不著，探測不到，自然也無從猜測分析和攻擊。以下便是一款常用掃描工具掃描經過Barracuda-NC應用防火墻隱藏的網站的結果。

　　同時，它還能識別各種爬行探測程序，只允許正常的搜索引擎爬蟲進入，抵御黑客爬行程序于門外，讓想通過探測確定攻擊目標的黑客徹底無門。

　　除此之外，做為一款強大的應用防火墻，Barracuda-NC應用防火墻還有許多應用交付功能：應用數據緩存，數據壓縮，TCP連接池，SSL Offloading，7層內容交換負載均衡等等，完全可以替代其他設備，做為應用層數據交換的中流砥柱。