Web防火墻如何對網(wǎng)站進行防護

李匯

Web應(yīng)用程序防火墻（WAF）可以通過監(jiān)視和過濾Internet與網(wǎng)站之間的HTTP通信來保護網(wǎng)站。

WAF可以防止網(wǎng)站受跨站請求偽造的攻擊，包括SQL注入和跨站點腳本（XSS）等，70 % ～ 80 %的應(yīng)用程序中有可被利用的嚴重漏洞，消除這些漏洞至關(guān)重要。

企業(yè)必須使用一系列專門針對OSI每個級別的工具（主要是第3層網(wǎng)絡(luò)級別的過濾和第7層應(yīng)用程序級別的過濾），來針對多種不同的攻擊媒介提供整體防御。

應(yīng)用程序和密碼設(shè)置永遠不會完美，因此確保數(shù)據(jù)免受分布式拒絕服務(wù)（DDoS）攻擊、不良僵尸程序和垃圾郵件的侵害很重要，最重要的是在應(yīng)用程序中建立針對業(yè)務(wù)邏輯漏洞的防御機制。

Web應(yīng)用防火墻位于客戶機和他們想連接到互聯(lián)網(wǎng)服務(wù)之間，由WAF檢查這些連接?？缯军c腳本是最常見的應(yīng)用程序攻擊媒介之一，攻擊者向客戶端的瀏覽器中注入惡意代碼、修改用戶設(shè)置、盜取或污染cookie、竊取機密數(shù)據(jù)甚至更改內(nèi)容顯示虛假信息。

Web應(yīng)用防火墻還具有多面性的特點。比如從網(wǎng)絡(luò)入侵檢測的角度來看可以把WAF看成運行在HTTP層上的IDS設(shè)備；從防火墻角度來看，WAF是一種防火墻的功能模塊；還有人把WAF看作是深度檢測防火墻的增強。

WAF可以防御的另一種威脅是服務(wù)器配置錯誤。來賓帳戶和默認密碼等不安全設(shè)置通常容易成為攻擊者的目標，這是因為管理員沒有遵循最佳安全性做法，導(dǎo)致出現(xiàn)這些漏洞。

輸入驗證效果不佳的網(wǎng)站可能容易受到代碼注入漏洞的攻擊，攻擊者試圖讓SQL語句潛行以訪問未經(jīng)授權(quán)的數(shù)據(jù)庫，WAF可以檢測并阻止這些嘗試。

過時的庫和軟件也是易受攻擊的領(lǐng)域，Web應(yīng)用程序防火墻可以用作臨時解決方案，阻止這些漏洞，并對其進行修補。

監(jiān)視和日志記錄不足也可能導(dǎo)致惡意活動的早期跡象被忽略，但是WAF可以充當(dāng)集中式日志記錄點，并將任何正在進行的威脅通知管理員。

攻擊者還可能試圖通過掃描網(wǎng)站的結(jié)構(gòu)，然后利用不安全的框架訪問敏感信息。Web應(yīng)用程序防火墻可以鎖定網(wǎng)站的某些區(qū)域，以便只通過受信任的訪問。

WAF還會通過單一入口點實施地理、IP和基于身份的驗證政策。增強輸入驗證，可有效防止網(wǎng)頁篡改、信息泄露和木馬植入等惡意行為，從而減小Web服務(wù)器被攻擊的可能性。

現(xiàn)實情況是，每一天都有黑客對網(wǎng)站進行攻擊，一項研究表明，網(wǎng)站遭受攻擊的平均頻率是每39 s一次。當(dāng)然，攻擊不一定每次都會成功，Web應(yīng)用程序防火墻的工作就是確保攻擊不會成功。

最常見的應(yīng)用程序攻擊類型包括SQL注入、DDoS、污損、惡意軟件和帳戶劫持，其中SQ注入占所有Web攻擊的2/3。

Web應(yīng)用的CC攻擊，是網(wǎng)絡(luò)安全領(lǐng)域的難題之一，如何做到智能高效地防護CC，是行業(yè)內(nèi)重點關(guān)注的話題。