waf应用阦火墙相关

《waf应用阦火墙相关》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、WAF相关知识简介web应用防护系统（waf）Web应用防护系统（也称：网站应用级入侵防御系统。英文：WebApplicationFirewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品,是应用层安全产品。Web应用防火墙的功能1）审计设备：　　用来截获所有HTTP数据或者仅仅满足某些规则的会话。2）访问控制设备：　　用来控制对Web应用的访问，既包括主动安全模式也包括被动安全模式。3）架构/网络设计工

2、具：　　当运行在反向代理模式，他们被用来分配职能，集中控制，虚拟基础结构等。4）WEB应用加固工具：　　这些功能增强被保护Web应用的安全性，它不仅能够屏蔽WEB应用固有弱点，而且能够保护WEB应用编程错误导致的安全隐患。　　需要指出的是，并非每种被称为Web应用防火墙的设备都同时具有以上四种功能。同时WEB应用防火墙还具有多面性的特点。比如从网络入侵检测的角度来看可以把WAF看成运行在HTTP层上的IDS设备;从防火墙角度来看，WAF是一种防火墙的功能模块;还有人把WAF看作“深度检测防火墙”的增强。（深

3、度检测防火墙通常工作在的网络的第三层以及更高的层次，而Web应用防火墙则在第七层处理HTTP服务并且更好地支持它。）Web应用防火墙的特点1、异常检测协议　　Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。2、增强的输入验证　　增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。从而减小Web服务器

4、被攻击的可能性。3、及时补丁　　修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来什么样的危害。现在WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间内屏蔽掉这个漏洞。当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。　　（附注：及时补丁的原理可以更好的适用于基于XML的应用中，因为这些应用的通信协议都具规范性。）4、基于规则的

5、保护和基于异常的保护　　基于规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则库，并时时为其更新。用户可以按照这些规则对应用进行全方面检测。还有的产品可以基于合法应用数据建立模型，并以此为依据判断应用数据的异常。但这需要对用户企业的应用具有十分透彻的了解才可能做到，可现实中这是十分困难的一件事情。5、状态管理　　WAF能够判断用户是否是第一次访问并且将请求重定向到默认登录页面并且记录事件。通过检测用户的整个操作行为我们可以更容易识别攻击。状态管理模式还能检测出异常事件（比如登陆失败），并

6、且在达到极限值时进行处理。这对暴力攻击的识别和响应是十分有利的。6、其他防护技术WAF还有一些安全增强的功能，可以用来解决WEB程序员过分信任输入数据带来的问题。比如：隐藏表单域保护、抗入侵规避技术、响应监视和信息泄露保护。铱迅WAF一．产品介绍　　铱迅Web应用防火墙（简称：WAF）是在铱迅结合多年在应用安全理论与应急响应实践经验积累的基础上自主研发完成的，在提供Web应用实时深度防御的同时实现Web应用加速与敏感信息泄露防护，为Web应用提供全方位的防护解决方案。该产品致力于解决应用及业务逻辑层面的安全

7、问题，广泛适用于“政府、金融、运营商、公安、能源、税务、工商、社保、交通、卫生、教育、电子商务”等所有涉及Web应用的各个行业。部署铱迅的WAF产品，可以帮助用户解决目前所面临的各类网站安全问题，如：注入攻击、跨站脚本攻击(钓鱼攻击)、恶意编码(网页木马)、缓冲区溢出、信息泄露、应用层DOS/DDOS攻击等等。二．产品功能　　铱迅Web应用防火墙——作为我国自主研发的第三代Web应用防火墙,帮助服务器抵御大量的来自于应用层的攻击，包括：网络上75%的攻击是针对Web应用的[1]　lSQL注入/SQLInje

8、ction　　lSession劫持/SessionHijacking　　l跨站脚本攻击(XSS)/CrossSiteScripting(XSS)　　l表单篡改/FormFieldTampering　　l已知蠕虫/KnownWorms　　l0day的Web蠕虫/ZeroDayWebWorms　　l缓冲区溢出攻击/BufferOverflow　　lCookie下毒/CookiePoisoning　　l恶意机器人/Ma