WAF将成为治理Web安全“杀手锏”[1]

【网界网 - 网络安全】
随着市场需求以及产业的发展，互联网已全面迈进Web应用时代。如今，Web业务平台已经在电子商务、企业信息化中得到广泛应用，很多企业都将应用架设在Web平台上，在通过浏览器方式实现展现与交互的同时，用户的业务系统所受到的威胁也随之而来，并且随着业务系统的复杂化及互联网环境的变化，所受威胁也在飞速增长。Web业务的迅速发展同时引起了黑客们的强烈关注，他们将注意力从以往对传统网络服务器的攻击逐步转移到了对 Web 业务的攻击上。

　　Web应用安全刻不容缓

　　目前很多业务都依赖于互联网，例如说网上银行、网上购物等，很多恶意攻击者出于不良的目的对Web 服务器进行攻击，想方设法通过各种手段获取他人的个人账户信息谋取利益。正是因为这样，Web业务平台最容易遭受攻击。同时，对Web服务器的攻击也可以说是形形色色、种类繁多，常见的有挂马、SQL注入、缓冲区溢出、嗅探、利用IIS等针对Webserver漏洞进行攻击。RSA大会研究显示，Web应用安全已超过所有以前网络层安全(如：DDoS)，逐渐成为最严重、最广泛、危害性最大的安全问题。

　　近几年，国内因为Web安全漏洞引发的安全事件常有发生，上到政府网站、下到互动社区，都受到来自黑客的攻击，攻击事件造成的经济损失及影响极大。安恒信息北方区技术总监李麒告诉记者，企业在向客户提供通过浏览器访问企业信息功能的同时，企业所面临的风险在不断增加。主要表现在两个层面：一是随着Web应用程序的增多，这些Web应用程序所带来的安全漏洞越来越多;二是随着互联网技术的发展，被用来进行攻击的黑客工具越来越多、黑客活动越来越猖獗,组织性和经济利益驱动非常明显。

　　遭受过攻击的企业表示，该有的安全设备都已经部署好了，为什么还会遭受黑客攻击呢？企业自身还存在那些弊端及漏洞？李麒表示，现阶段的安全解决方案无一例外的把重点放在网络安全层面，致使面临应用层攻击(如：针对WEB应用的SQL注入攻击、跨站脚本攻击等)发生时，传统的网络防火墙、IDS/IPS等安全产品对网站攻击几乎不起作用，许多政府和企业门户网站成为黑客组织成批传播木马的最有效途径。

　　据统计75%的网络攻击和互联网安全侵害源于应用软件，网页上的漏洞的根源还是来自程序开发者对网页程序编制和检测。未经过安全训练的程序员缺乏相关的网页安全知识;应用部门缺乏良好的编程规范和代码检测机制等等。解决此类问题必须在WEB应用软件开发程序上整治，仅仅靠打补丁和安装防火墙是远远不够的。

　　针对现阶段越来越频繁的Web攻击，李麒为广大用户总结了面向应用层新型攻击的特点：

　　1. 隐蔽性强：利用Web漏洞发起对WEB应用的攻击纷繁复杂，包括SQL注入，跨站脚本攻击等等，一个共同特点是隐蔽性强，不易发觉。

　　2. 攻击时间短：可在短短几秒到几分钟内完成一次数据窃取、一次木马种植、完成对整个数据库或Web服务器的控制，以至于非常困难做出人为反应。

　　3. 危害性大：目前几乎所有银行，证券，电信，移动，政府以及电子商务企业都提供在线交易，查询和交互服务。用户的机密信息包括账户，个人私密信息(如身份证)，交易信息等等，都是通过Web存储于后台数据库中，这样，在线服务器一旦瘫痪，或虽在正常运行，但后台数据已被篡改或者窃取， 都将造成企业或个人巨大的损失。据权威部门统计，目前身份失窃(identity theft)已成为全球最严重的问题之一。

　　4. 造成非常严重的有形和无形损失：目前，很多大型企业都是在国内外上市的企业，一旦发生这类安全事件，必将造成人心惶惶，名誉扫地，以致于造成经济和声誉上的巨大损失，即便不上市，其影响和损失也是不可估量的。

　　WAF成为治理应用安全“杀手锏”

　　针对Web应用安全，过去有网页恢复系统，能够将被篡改的页面恢复原状，但此类产品无法从根本解决Web应用被入侵的问题。随着市场需求逐渐显露，专业应对WEB应用安全的设备——WAF诞生。

　　WAF是否成为应对Web安全威胁的“杀手锏”？——就该问题安恒信息产品经理杨勃回答了记者的疑问，Web价值重点体现在门户网站的时代时，我们所面临的安全威胁主要源自网站被黑或者网站被篡改，因此网页防篡改技术得到成长并大量使用。应用推运系统架构革新，而系统架构的和革新推动安全技术的发展。WEB应用防火墙也不例外，也是在现有Web防护技术力日益无法满足业务的新需求时诞生的。

　　杨勃还指出，如果说防篡改软件是一种基于文件管理的被动办法，那么WAF则是从安全的本质出发，对威胁进行主动防御，并对Web应用进行性能优化的最佳方案。网络安全