科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道应用安全WEB应用防火墙之前世今生第一章:缘起

WEB应用防火墙之前世今生第一章:缘起

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

WAF检查每一个传入的数据包的内容来检测SQL注入、跨站点脚本、会话劫持、篡改参数或URL等类型的攻击。例如,WAF会扫描SQL查询字符串,来检测和删除那些导致返回的数据多于应用程序要求的字符串。

作者:边歆 来源:赛迪网 2010年11月17日

关键字: Web安全 Web应用防火墙 安全

  • 评论
  • 分享微博
  • 分享邮件

  早在2004年,国外一些安全厂商就提出了WEB应用防火墙(Web Application Firewall,简称WAF)的概念,并开始了逐步的尝试(例如梭子鱼网络有限公司将Netcontinuum公司纳入旗下,当时的Netcontinuum就是这一领域的先行者,其解决方案包含网站的网络应用安全、通信管理和SSL加速等),但当时很多企业用户对此的认识还比较模糊。随着互联网的普及,企业的Web应用越来越多,而来自于Web的信息安全风险也越发突出。

  由于美国的各种企业都有自己的Web应用系统来为客户提供在线支付,而这些Web应用系统中具有较高商业价值的数据引起了黑客的高度关注,出现了许多安全事件,包括信用卡信息被窃取。不但给企业造成了直接损失,还威胁到了整个银行卡在线支付业务模式的推广。

  于是,支付卡行业安全标准委员会发布了支付卡行业数据安全标准(Payment Card Industry Data Security Standard,PCI DSS)。PCI DSS法规6.6要求机构检查自身Web应用程序的所有代码,或者安装一个WAF来防范已知的攻击方式。该法规对WAF产品的发展产生了持续、强大的驱动力。国外的所有WAF厂商都把符合PCI DSS法规看作是产品最重要的技术指标。

  现在,在权威测试机构的WAF产品通用测试标准(并不针对某个行业)中,也把PCI DSS作为参照。凭借PCI DSS法规的大力支持,在2008年,国外WAF应用进入了成熟化与普及化时代。目前最新的PCI DSS是2009年8月发布的1.2.1版本。

  由于WEB应用防火墙的名字中有“防火墙”三个字,所以有很多用户总是把WAF看作是一种新的防火墙。实际上,WEB应用防火墙、传统防火墙、Web安全网关这三者之间有很大的差别,它们在不同的层面保护企业安全。我们上文提到的梭子鱼网络有限公司,其中国区技术总监谷新先生就曾对此做过详细解释,传统防火墙专注在网络层面,提供IP、端口防护。Web安全网关保护企业的上网行为免受侵害。而WAF是专门为保护基于Web的应用程序而设计的,它不像传统的防火墙基于互联网地址和端口号来监控和阻止数据包。企业将WAF部署在Web服务器之前,就是从网站应用的角度去考虑安全问题。

  WAF检查每一个传入的数据包的内容来检测SQL注入、跨站点脚本、会话劫持、篡改参数或URL等类型的攻击。例如,WAF会扫描SQL查询字符串,来检测和删除那些导致返回的数据多于应用程序要求的字符串。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章