waf-web防御系统

《waf-web防御系统》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、蓝盾信息安全技术股份有限公司WEB应用防护系统　　　　　　　　　　　　　　　　　蓝盾信息安全技术股份有限责任公司2014年7月3日第19/20蓝盾信息安全技术股份有限公司目录1.第一章WAF21.1产生背景21.2应用功能2审计设备2访问控制设备3架构/网络设计工具3WEB应用加固工具31.3特点3异常检测协议3增强的输入验证4及时补丁5基于规则的保护和基于异常的保护5状态管理5其他防护技术52.第二章BD-WAF62.1蓝盾WEB应用防火墙简介62.2BD-WAF系统具备以下功能特性62.3BD-

2、WAF的详细参数73.第三章绿盟WAF103.1绿盟WAF简介103.2产品特点：103.2详细招标参数114.附录14附录1.WAF（WEB应用防火墙）技术比较表14附录2.在选择WAF产品时，建议参考以下步骤：15第19/20蓝盾信息安全技术股份有限公司第一章WAFWeb应用防护系统（也称：网站应用级入侵防御系统。英文：WebApplicationFirewall，简称：WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保

3、护的一款产品。1.1产生背景当WEB应用越来越为丰富的同时，WEB服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标。SQL注入、网页篡改、网页挂马等安全事件，频繁发生。2007年，国家计算机网络应急技术处理协调中心（简称CNCERT/CC）监测到中国大陆被篡改网站总数累积达61228个，比2006年增加了1.5倍。其中，中国大陆政府网站被篡改各月累计达4234个。企业等用户一般采用防火墙作为安全保障体系的第一道防线。但是，在现实中，他们存在这样那样的问题，由此产生了WAF（We

4、b应用防护系统）。Web应用防护系统（WebApplicationFirewall,简称：WAF）代表了一类新兴的信息安全技术，用以解决诸如防火墙一类传统设备束手无策的Web应用安全问题。与传统防火墙不同，WAF工作在应用层，因此对Web应用防护具有先天的技术优势。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站站点进行有效防护。1.2应用功能审计设备　　对与系统自身安全相关的下列事件产

5、生审计记录：（1）管理员登陆后进行的操作行为；（2）对安全策略进行添加、修改、删除等操作行为；第19/20蓝盾信息安全技术股份有限公司（3）对管理角色进行增加、删除和属性修改等操作行为；（4）对其他安全功能配置参数的设置或更新等行为。访问控制设备用来控制对Web应用的访问，既包括主动安全模式也包括被动安全模式。架构/网络设计工具当运行在反向代理模式，他们被用来分配职能，集中控制，虚拟基础结构等。WEB应用加固工具这些功能增强被保护Web应用的安全性，它不仅能够屏蔽WEB应用固有弱点，而且能够保护WE

6、B应用编程错误导致的安全隐患。需要指出的是，并非每种被称为Web应用防火墙的设备都同时具有以上四种功能。同时WEB应用防火墙还具有多面性的特点。比如从网络入侵检测的角度来看可以把WAF看成运行在HTTP层上的IDS设备;从防火墙角度来看，WAF是一种防火墙的功能模块;还有人把WAF看作“深度检测防火墙”的增强。（深度检测防火墙通常工作在的网络的第三层以及更高的层次，而Web应用防火墙则在第七层处理HTTP服务并且更好地支持它。）1.3特点异常检测协议Web应用防火墙会对HTTP的请求进行异常检测，拒

7、绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项第19/20蓝盾信息安全技术股份有限公司增强的输入验证增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。从而减小Web服务器被攻击的可能性。第19/20蓝盾信息安全技术股份有限公司及时补丁修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来

8、什么样的危害。WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间内屏蔽掉这个漏洞。当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。（附注：及时补丁的原理可以更好的适用于基于XML的应用中，因为这些应用的通信协议都具规范性。）基于规则的保护和基于异常的保护第19/20蓝盾信息安全技术股份有限公司基于规则的保护可以提供各种Web应用的安全规则，W