什么是 WAF?| Web Application Firewall 解读

WAF 在 Web 应用程序与 Internet 之间创建防火墙;此类防火墙有助于缓解很多常见攻击。

Share facebook icon linkedin icon twitter icon email icon

WAF

学习目标

阅读本文后,您将能够:

  • 定义 web application firewall
  • 解释黑名单与白名单 waf 之间的区别
  • 了解基于网络、基于主机和基于云的 waf 的优缺点

什么是 Web Application Firewall (WAF)?

WAF 或 Web Application Firewall 通过过滤和监控 Web 应用程序与 Internet 之间的 HTTP 流量来帮助保护 Web 应用程序。通常可以保护 Web 应用程序,使其免受跨站点伪造跨站点脚本 (XSS)、文件包含、SQL 注入及其他一些攻击的影响。WAF 属于协议 第 7 层防御策略(OSI 模型),并不能抵御所有类型的攻击。此攻击缓解方法通常隶属于一套工具,整套工具共同针对一系列攻击手段建立整体防御措施。


通过在 Web 应用程序前面部署 WAF,可以在 Web 应用程序和互联网之间置入一个屏障。代理服务器通过使用中介来保护客户端计算机的身份,而 WAF 则是一种反向代理,通过让客户端在到达服务器之前先经过 WAF 来保护服务器免遭暴露。


WAF 通过一组规则(通常称为策略)运行。这些策略旨在过滤恶意流量,防止受到应用程序漏洞的侵害。WAF 的部分价值在于策略修改实施过程快速简便,因而可以更迅速地应对不同的攻击手段;在 DDoS 攻击期间,可通过修改 WAF 策略快速实施速率限制。

DDOS How A WAF Works

黑名单与白名单 WAF 之间有什么区别?

基于黑名单(消极安全模型)运行的 WAF 可防范已知攻击。您可以将黑名单 WAF 想象为俱乐部保镖按指示拒绝接待不符合着装要求的客人。相反,基于白名单(积极安全模型)的 WAF 仅允许接受预先批准的流量。类似于奢华派对保镖,只接待出席名单列出的客人。黑名单和白名单各有优缺点,因此很多 WAF 提供综合实施这两者的混合安全模型。

什么是基于网络、基于主机和基于云的 WAF?

WAF 可以通过三种不同的方式来实施,每种方式都有各自的优缺点:

  • 基于网络的 WAF 通常以硬件为基础。由于采用本地安装模式,因而可以最大限度地缩短延迟,但基于网络的 WAF 成本最高昂,而且还要安装和维护物理设备。
  • 基于主机的 WAF 可完全集成至应用程序软件。这种解决方案的成本低于基于网络的 WAF,而且还能提供更多定制功能。基于主机的 WAF 的缺点在于,占用本地服务器资源,实施起来复杂,而且还会产生维护成本。这些组件通常需要预留维护时间,可能成本较高。
  • 基于的 WAF 是一种极易实施的经济型方案;通常提供一站式安装服务,就像更改 DNS 来重定向流量一样简单。另外,基于云的 WAF 的前期成本最低,因为用户可以按月或按年支付安全即服务费用。基于云的 WAF 还可以提供持续更新解决方案以抵御最新威胁,用户无需额外开展工作或投入成本。基于云的 WAF 的缺点在于,用户将责任转嫁给第三方,因此对他们而言,WAF 的某些功能可能成为黑箱。了解 Cloudflare 基于云的 WAF 解决方案。