WEB应用防火墙网站防篡改解决方案

　　下图是国家计算机网络应急技术处理协调中心(CNCERT/CC)统计的2008年7月份对于我国大陆政府网站被黑被篡改的统计图，本月内大陆地区被篡改的.org.cn网站多达347个，占到大陆网站总体被篡改量的6.25%，这个数字是远远大于.org.cn网站在大陆网站总数内占的比例，可见，黑客对政府类网站的破坏是明显有针对性地。

　　2008年1月-7月半年内各月度被篡改历史统计如下图所示：

　　从中我们看出，大陆政府.org.cn网站被篡改的数量累计达到到2589个，其中不重复的竟有2180个，占到中国大陆各级政府网站总数1.2万个的18%左右。也就是说，仅这半年来，五个政府网站中就有一个被黑，这个数字实在令人堪忧。而且，近年来，网站被篡改的数目仍以每年2-3倍的速度在不断递增。

　　在政府信息化工程围绕党的“十五”期间目标“两网一站十二金” 建设这宏伟的工程中，政府信息网站做为其中一个至关重要的组成部分，保障其安全稳定的运行和建设，已经是迫在眉急的重大任务。

　　而现阶段各级政府网站系统的安全措施还多数仅限于购置防火墙防毒墙等对病毒和常规入侵的防护，但是网页非法篡改行为是利用操作系统和应用程序的漏洞和管理的缺陷进行攻击，而政府机构原有的安全措施(如安装防火墙、入侵检测)则主要集中在网络层上，无法对网页篡改事件形成有效的监控和防护。

　　WEB应用防火墙的出现解决了这方面的难题，应用防火墙通过执行应用会话内部的请求来处理应用层，它专门保护Web应用通信流和所有相关的应用资源免受利用Web协议或应用程序漏洞发动的攻击。应用防火墙可以阻止将应用行为用于恶意目的的浏览器和HTTP攻击，一些强大的应用防火墙甚至能够模拟代理成为网站服务器接受应用交付，形象的来说相当于给原网站加上了一个安全的绝缘外壳。

　　下面我们就用一款现在业内比较普遍的Barracuda-NC应用防火墙来举例，来看看应用防火墙是如何保护网站防止被恶意注入和篡改的了。

　　网络架构和部署：双臂代理模式

　　双臂代理模式是Web应用防火墙部署种的最佳模式。这个模式也是拓扑过程中推荐的模式，能够提供最佳的安全性能。

　　在此模式中，所有的数据端口都将被开启;端口eth1是对外的，直接面向因特网的端口;端口eth2将会和内部的设备(交换机等)进行连接，是面向内部的。管理端口可以被分配到另一个网段，我们推荐将管理数据和实际的流量分离，避免因为实际流量和管理数据的冲突。

　　以下为示例拓扑图：

　　网络实现：

　　1.前端端口和后端端口位于不同的网段，所有外部客户将会和应用虚拟IP地址进行连接，此虚拟ip将会和前端端口(eth1)进行绑定

　　2.客户的连接将会在设备上终止，进行安全检查和过滤

　　3.合法的流量将会由后端端口(eth2)建立新的连接到负载均衡设备

　　4.负载均衡进行流量的负载

　　5.双臂代理模式可以开启所有的安全功能

　　工作特点：基于应用层的检测，同时又拥有基于状态的网络防火墙的优势

　　?对应用数据录入完整检查、HTTP包头重写、强制HTTP协议合规化，杜绝各种利用协议漏洞的攻击和权限提升

　　?预期数据的完整知识(Complete Knowledge of expected values)，防止各种形式的SQL/命令注入，跨站式脚本攻击

　　?实时策略生成及执行，根据应用程序定义相应的保护策略，而不是一般的厂家预定义防攻击策略，无缝嵌合政府网站的直接应用程序，不造成任何应用失真

　　网站全面隐身：黑客再神奇也无法攻击看不见的东西

　　Barracuda-NC应用防火墙对外部访问网站进行隐身，可以隐藏真实的Web服务器类型、应用服务器类型、操作系统、版本号、版本更新程度、已知安全漏洞、真实IP地址、内部工作站信息，让黑客看不见，摸不着，探测不到，自然也无从猜测分析和攻击。以下便是一款常用扫描工具扫描经过Barracuda-NC应用防火墙隐藏的网站的结果。

　　同时，它还能识别各种爬行探测程序，只允许正常的搜索引擎爬虫进入，抵御黑客爬行程序于门外，让想通过探测确定攻击目标的黑客彻底无门。

　　除此之外，作为一款强大的应用防火墙，Barracuda-NC应用防火墙还有许多应用交付功能：应用数据缓存，数据压缩，TCP连接池，SSL Offloading，7层内容交换负载均衡等等，完全可以替代其他应用层交换设备，作为政府信息网络的中流砥柱。