保護(hù)Web應(yīng)用 WAF助力
Web應(yīng)用日漸普及
如今，電子政務(wù)、電子商務(wù)、運(yùn)營(yíng)商的增值業(yè)務(wù)、社交網(wǎng)站等Web應(yīng)用已經(jīng)逐漸滲透到人們?nèi)粘５墓ぷ骱蜕钪校S之而來(lái)的Web安全問(wèn)題也逐漸彰顯。如果不保障Web應(yīng)用的安全，輕則名譽(yù)受損、客戶投訴，重則可能引起法律糾紛、商業(yè)損失等問(wèn)題。部署專業(yè)的針對(duì)Web應(yīng)用交互數(shù)據(jù)進(jìn)行檢測(cè)并提供防御的產(chǎn)品成為一種很有必要的選擇。
Web應(yīng)用日益普及的背景下，表現(xiàn)出以下幾大特點(diǎn)：
特點(diǎn)一，發(fā)展迅速。每秒鐘都有一個(gè)網(wǎng)頁(yè)相關(guān)的應(yīng)用產(chǎn)生，而且截止到11月，我國(guó)已經(jīng)有323萬(wàn)個(gè)網(wǎng)站。
特點(diǎn)二，交互性應(yīng)用。以前，Web應(yīng)用通常都是網(wǎng)頁(yè)瀏覽，但現(xiàn)在越來(lái)越多的應(yīng)用將Web作為自己的舞臺(tái)，例如聊天、網(wǎng)購(gòu)、炒股、社交網(wǎng)絡(luò)等。統(tǒng)計(jì)數(shù)據(jù)表明，網(wǎng)民中有1.42億人會(huì)進(jìn)行網(wǎng)絡(luò)購(gòu)物，占總?cè)藬?shù)的33.8%;1.28億會(huì)進(jìn)行網(wǎng)上支付，占總?cè)藬?shù)的30.5%;而1.22億人會(huì)用到網(wǎng)上銀行，占總?cè)藬?shù)的29.1%。
特點(diǎn)三，用戶創(chuàng)造內(nèi)容。例如現(xiàn)在的微博應(yīng)用，用戶不僅使用瀏覽器觀看網(wǎng)頁(yè)，自己也變成Web應(yīng)用的主角。
特點(diǎn)四，遠(yuǎn)程用戶接入。例如通過(guò)筆記本電腦進(jìn)行遠(yuǎn)程接入。
特點(diǎn)五，移動(dòng)終端。隨著3G普及，移動(dòng)接入互聯(lián)網(wǎng)的內(nèi)容越來(lái)越多，形式也越來(lái)越豐富。
Web攻擊事件頻發(fā)
2010年3月，谷歌公司高級(jí)副總裁公開(kāi)發(fā)表聲明，稱“一群黑客對(duì)使用Gmail服務(wù)的人權(quán)活動(dòng)分子的電子郵箱進(jìn)行了有組織的、高水平的攻擊”。2010年1月，搜索引擎“百度”遭到黑客攻擊，導(dǎo)致其網(wǎng)站長(zhǎng)時(shí)間無(wú)法正常訪問(wèn)。2009年11月，國(guó)防部網(wǎng)站上線3個(gè)月遭230萬(wàn)次攻擊……越來(lái)越多的Web攻擊開(kāi)始映入我們的眼簾。
CNCERT/CC國(guó)家互聯(lián)網(wǎng)應(yīng)急中心對(duì)網(wǎng)絡(luò)安全事件報(bào)告類型的統(tǒng)計(jì)表明，2010年1-6月，57.57%的安全事件是惡意代碼(含網(wǎng)頁(yè)掛馬)，漏洞事件占25.96%，而網(wǎng)頁(yè)仿冒事件占15.48%，拒絕服務(wù)攻擊占0.98%。來(lái)自Gartner的數(shù)據(jù)表明，當(dāng)前網(wǎng)絡(luò)上75%的攻擊是針對(duì)Web應(yīng)用的，這些攻擊可能導(dǎo)致網(wǎng)站遭受聲譽(yù)損失、經(jīng)濟(jì)損失甚至政治影響。這些數(shù)據(jù)清楚地告訴我們一個(gè)事實(shí)：Web安全事件正在變得越來(lái)越多。
應(yīng)用與安全的距離
為什么Web攻擊越來(lái)越多?在Web安全方面，我們還有哪些問(wèn)題需要面對(duì)?
問(wèn)題一，應(yīng)用和安全的鴻溝。安全專家不了解Web應(yīng)用的特點(diǎn)，而應(yīng)用開(kāi)發(fā)者和QA 不了解安全重點(diǎn)，這也是導(dǎo)致Web應(yīng)用安全的根本原因
問(wèn)題二，應(yīng)用安全的復(fù)雜性。Web應(yīng)用異常復(fù)雜，可能涉及不同的操作系統(tǒng)、不同的開(kāi)發(fā)工具、不同的應(yīng)用程序、不同的軟硬件供應(yīng)商、嚴(yán)重的兼容性問(wèn)題，如果對(duì)此沒(méi)有足夠的了解，是無(wú)法從根本上解決問(wèn)題的。
問(wèn)題三，對(duì)已知漏洞的防護(hù)延遲。由于采用一成不變的低效的“消防演習(xí)”模式，補(bǔ)丁總是不夠及時(shí)而且容易出錯(cuò)，對(duì)于“零日攻擊”毫無(wú)辦法。
問(wèn)題四，現(xiàn)有安全措施的局限性。現(xiàn)有攻擊特點(diǎn)是大部分攻擊在應(yīng)用層，針對(duì)Web網(wǎng)站的惡意攻擊絕大部分都將其封裝為HTTP請(qǐng)求，許多類型的攻擊并不篡改網(wǎng)頁(yè)，黑客往往會(huì)將攻擊隱藏在SSL內(nèi)，攻擊手段發(fā)展迅猛，對(duì)于這些，防火墻、IPS、網(wǎng)頁(yè)防篡改等安全產(chǎn)品經(jīng)常無(wú)能為力。
Web應(yīng)用防火墻助力Web安全
越來(lái)越多的應(yīng)用開(kāi)始基于Web應(yīng)用，越來(lái)越多的系統(tǒng)漏洞可以被利用，而傳統(tǒng)防火墻和IPS等安全設(shè)備對(duì)此卻無(wú)能為力。此時(shí)，我們應(yīng)該靠誰(shuí)來(lái)保護(hù)Web應(yīng)用的安全?Web應(yīng)用防火墻(Web Application Firewall，簡(jiǎn)稱WAF)應(yīng)運(yùn)而生。
Web應(yīng)用防火墻致力于為Web站點(diǎn)和Web服務(wù)器提供強(qiáng)大的應(yīng)用層安全防護(hù)。Web應(yīng)用防火墻，可以保護(hù)Web應(yīng)用安全漏洞，幫助企業(yè)合規(guī)達(dá)標(biāo)，如PCI DSS(支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn))，能夠防止在線信用卡交易的數(shù)據(jù)竊取及欺詐行為，防止因服務(wù)突然中斷而給用戶造成的經(jīng)濟(jì)損失，確保用戶業(yè)務(wù)在安全底線之上穩(wěn)定運(yùn)行。
【編輯推薦】
