web應用防火墻（waf）
web應用防火墻(waf)是什么來的呢?跟我們一般的系統防火墻一樣嗎?下面就讓學習啦小編給大家說一下web應用防火墻是什么來的。
WEB應用防火墻(waf)
Web應用防火墻是通過執行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一款產品。
利用國際上公認的一種說法：Web應用防火墻是通過執行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一款產品。
總體來說，Web應用防火墻的具有以下四大個方面的功能(參考WAF入門，對內容做了一些刪減及改編)：
1、審計設備：用來截獲所有HTTP數據或者僅僅滿足某些規則的會話。
2、訪問控制設備：用來控制對Web應用的訪問，既包括主動安全模式也包括被動安全模式。
3、架構/網絡設計工具：當運行在反向代理模式，他們被用來分配職能，集中控制，虛擬基礎結構等。
4、WEB應用加固工具：這些功能增強被保護Web應用的安全性，它不僅能夠屏蔽WEB應用固有弱點，而且能夠保護WEB應用編程錯誤導致的安全隱患。
需要指出的是，并非每種被稱為Web應用防火墻的設備都同時具有以上四種功能。
同時WEB應用防火墻還具有多面性的特點。比如從網絡入侵檢測的角度來看可以把WAF看成運行在HTTP層上的IDS設備;從防火墻角度來看，WAF是一種防火墻的功能模塊;還有人把WAF看作“深度檢測防火墻”的增強。(深度檢測防火墻通常工作在的網絡的第三層以及更高的層次，而Web應用防火墻則在第七層處理HTTP服務并且更好地支持它。)
功能描述
WEB應用防火墻是集WEB防護、網頁保護、負載均衡、應用交付于一體的WEB整體安全防護設備。它集成全新的安全理念與先進的創新架構，保障用戶核心應用與業務持續穩定的運行。
1、事前主動防御，智能分析應用缺陷、屏蔽惡意請求、防范網頁篡改、阻斷應用攻擊，全方位保護WEB應用。
2、事中智能響應，快速P2DR建模、模糊歸納和定位攻擊，阻止風險擴散，消除“安全事故”于萌芽之中。
3、事后行為審計，深度挖掘訪問行為、分析攻擊數據、提升應用價值，為評估安全狀況提供詳盡報表。
4、面向客戶的應用加速，提升系統性能，改善WEB訪問體驗。
5、面向過程的應用控制，細化訪問行為，強化應用服務能力。
6、面向服務的負載均衡，擴展服務能力，適應業務規模的快速壯大。
特點
異常檢測協議
Web應用防火墻會對HTTP的請求進行異常檢測，拒絕不符合HTTP標準的請求。并且，它也可以只允許HTTP協議的部分選項通過，從而減少攻擊的影響范圍。甚至，一些Web應用防火墻還可以嚴格限定HTTP協議中那些過于松散或未被完全制定的選項。
增強的輸入驗證
增強輸入驗證，可以有效防止網頁篡改、信息泄露、木馬植入等惡意網絡入侵行為。從而減小Web服務器被攻擊的可能性。
及時補丁
修補Web安全漏洞，是Web應用開發者最頭痛的問題，沒人會知道下一秒有什么樣的漏洞出現，會為Web應用帶來什么樣的危害。現在WAF可以為我們做這項工作了——只要有全面的漏洞信息WAF能在不到一個小時的時間內屏蔽掉這個漏洞。當然，這種屏蔽掉漏洞的方式不是非常完美的，并且沒有安裝對應的補丁本身就是一種安全威脅，但我們在沒有選擇的情況下，任何保護措施都比沒有保護措施更好。
(附注：及時補丁的原理可以更好的適用于基于XML的應用中，因為這些應用的通信協議都具規范性。)
基于規則的保護和基于異常的保護
基于規則的保護可以提供各種Web應用的安全規則，WAF生產商會維護這個規則庫，并時時為其更新。用戶可以按照這些規則對應用進行全方面檢測。還有的產品可以基于合法應用數據建立模型，并以此為依據判斷應用數據的異常。但這需要對用戶企業的應用具有十分透徹的了解才可能做到，可現實中這是十分困難的一件事情。
狀態管理
WAF能夠判斷用戶是否是第一次訪問并且將請求重定向到默認登錄頁面并且記錄事件。通過檢測用戶的整個操作行為我們可以更容易識別攻擊。狀態管理模式還能檢測出異常事件(比如登陸失敗)，并且在達到極限值時進行處理。這對暴力攻擊的識別和響應是十分有利的。
其他防護技術
WAF還有一些安全增強的功能，可以用來解決WEB程序員過分信任輸入數據帶來的問題。比如：隱藏表單域保護、抗入侵規避技術、響應監視和信息泄露保護。
web應用防火墻（waf）相關文章：
web應用防火墻（waf）
