【51CTO.com 綜合消息】安全是與信息系統的業務價值密不可分的，Web應用安全問題自互聯網誕生以來就已存在，但Web應用的價值是近幾年來越來越走進人們的生活成為業務系統中不可分割的一部分之后才變得尤為重要。如今的Web已經不僅僅是指大的門戶網站，而是遍及每個單位企業，如官方網站、電子商務、電子政務、ERP等均是以Web為基礎的重要應用，其承載的業務價值越高所面臨的安全威脅也就越大。

信息安全在中國經歷了近十年的發展，從傳統的老三樣網絡防火墻、入侵檢測、防病毒已經發展到了信息系統的各個方面。當前的Web應用安全現狀主要存在以下幾個方面：

1、安全意識需要轉變：目前大部分還停留在網絡安全，防病毒

2、Web安全還停留在防篡改層面

3、Web應用安全防御技術有待完善，技術、制度和法律方面都有待改進和健全。

4、入侵者形成的地下黑色產業鏈嚴重危害Web應用安全。

Web應用防護依據業務價值的不同，有著不同的安全基線，政府、金融、電子商務、社交網絡等不同的領域有著明顯的差異。從安全防護的角度來看，針對于Web應用層的防御是非常必要的，當前的安全形勢也一再表明，75%以上的威脅來自應用層，而傳統安全防護措施的功能，如網絡防火墻、入侵檢測和防病毒，這些防護措施當然也是必須的。

從Web應用防護技術上講應該提供有效的防御工具和長效的防御措施，結合我們的實踐經驗推薦建立定期安全檢測的制度，采用專業的安全防御產品，以及建立應急恢復機制。

Web應用防火墻的防護重點

Web應用防火墻即專注于Web應用防御的安全產品，用于防御應用層的如SQL注入攻擊、跨站腳本攻擊等傳統安全設備無法防御的安全威脅，除了針對已知的應用攻擊，安恒的Web應用防火墻還提供積極模式的安全防護功能，可以防護大量的未知攻擊，最大程度的保護應用系統的安全。從產品形態上講有硬件Web應用防火墻和軟件Web應用防火墻。其產品的定位是專用于對原有信息安全架構下如網絡防火墻，入侵防御系統等的一個有效補充。從而提高信息安全體系的安全保障。

Web應用防火墻的優勢

Web應用防火墻與傳統防火墻的主要區別在于防護的主體不同，傳統網絡防火墻主要用于網絡協助的第三層、第四層的訪問控制和攻擊防御，另外一個重要功能就是做網絡地址轉換（NAT），而Web應用防火墻是專用于Web應用防護的產品，可以體現代碼級的安全。另一方面從安全事件上也可以看出其區別，安恒信息在處理大量的應急響應的事件中絕大多數的用戶都部署了網絡防火墻，但是Web應用系統還是經常被入侵，而部署Web應用防火墻后幾乎所有的攻擊事件就再也沒有發生過，都被應用防火墻有效的攔截掉了。

Web防火墻是對傳統安全設備對應用層防護的一個有效補充，足可以看出與網絡防火墻的差異，所以說Web應用防火墻與網絡防火墻是有機統一的，而不是對立的。

Web應用防火墻國內外情況及未來發展趨勢

Web應用防火墻在國外出現的時間比國內早，國外也有Web應用防火墻，市場的認知度相對比國內要早3年左右，像美國的幾家專業的Web應用防火墻廠商相繼被大的安全公司并購，一線的大安全公司均在Web應用防火墻大力投入。從目前市場發展情況來看，Web應用防火墻的發展還是很被看好的，從2008年開始國內陸續有不少公司開發Web應用防火墻，如傳統的網絡安全廠商，以及新興的專業開發Web應用防火墻的公司在不斷的增加。另一方面從用戶的認知度也可以看出有了明顯的改變，在2007年的時候用戶都不知道什么是Web應用防火墻，都要問和網絡防火墻的區別，而到了今年大多數用戶都聽說過或試用過Web應用防火墻了。

杭州安恒公司是國內最早從事Web應用防火墻研究的公司之一。安恒2006年時就對Web應用防火墻進行了研發，2007年以Web深度防御系統的方式在國內首家發布了Web應用防火墻。

Web應用防火墻的發展目前有兩個方向，其一向高性能專業設備的方面發展，其二是朝Web應用綜合網關的方面發展。從兩年來的Web應用防火墻開發和營銷的經歷上看，安恒公司認為Web應用防火墻市場即將進入井噴時期。

防護Web安全注意事項

首先Web應用安全是一個整體，所以我們談安全時最好從信息安全風險分析的角度來考慮，如基本的網絡層安全、操作系統安全是否到位？在這些基礎安全的情況下，Web應用安全則應作為防護的重心來考慮。而一套Web應用系統的安全最好從程序安全的設計、應用定期安全檢測、即時安全防護等多個方面來提高安全防護的水平。