如今，越来越多的应用开始基于Web应用，它在为我们带来便利的同时，也意味着越来越多的系统漏洞可以被利用，而更加可怕的是，传统的防火墙和IPS等安全设备对此却无能为力。此时，我们要靠谁来保护Web应用的安全？答案当然是Web应用防火墙——它是一种专业的Web安全防护工具，基于对HTTP/HTTPS流量的双向解码和分析，可应对HTTP/HTTPS应用中的各类安全威胁，如SQL注入、XSS、跨站请求伪造攻击（CSRF）、Cookie篡改以及应用层DDoS等，可有效解决网页篡改、网页挂马、敏感信息泄露等安全问题，充分保障Web应用的高可用性和可靠性。
今天我们为大家介绍的是梭子鱼最新推出的WEB应用防火墙（WebApplicationFirewall，简称WAF）产品，它们可以有效防止系统漏洞被恶意利用，帮助企业合规达标，满足行业标准，如PCI DSS （支付卡行业数据安全标准）；防止在线信用卡交易的数据窃取及欺诈行为；防止因服务突然中断而给用户造成的经济损失，确保用户业务在安全底线之上稳定运行，为企业带来真正强大的应用层安全防护。
梭子鱼WEB应用防火墙
而根据支持后端服务器数量、接入Web流量、硬件配置和特性的不同，梭子鱼WEB应用防火墙又分为BWF360、BWF460、BWF660、BWF860和BWF960五个型号。
梭子鱼WEB应用防火墙
梭子鱼WEB应用防火墙的核心技术
梭子鱼WEB应用防火墙提供强大的双向扫描机制。对于HTTP请求，梭子鱼WEB应用防火墙提供URL、表单参数、报头及cookie等各种安全扫描；此外，它还提供强大的应用层DDoS防护以及强制浏览和跨站请求伪造攻击防护；而对于HTTP响应，其可通过对响应报头、HTML内容进行过滤，确保敏感信息不被泄露。
梭子鱼WEB应用防火墙提供XML防火墙功能，利用WSDL和XML schema的合规性检查，提供各种XML的安全防护机制，包括对XML DoS的攻击防护。
梭子鱼WEB应用防火墙还能够与用户的LDAP和RADIUS服务器整合，为网站提供用户的身份认证及访问授权，并通过内容路由、负载均衡、缓存和压缩机制对整个交互过程进行加速处理。此外，凭借灵活的部署模式，如桥（透明）模式、路由模式及旁路（单臂）模式，梭子鱼WEB应用防火墙可轻松适应不同用户的不同网络环境。
全面的WEB站点防护
许多Web应用由于开发者无法持续保持编码的安全性，致使这些Web应用通常存在严重的安全漏洞及隐患。与传统网络防火墙的三层处理机制以及与IDS／IPS对HTTP、HTTPS和FTP等流量的简单操作不同，梭子鱼WEB应用防火墙可以对HTTP／HTTPS／FTP等业务进行代理，并全面扫描7层数据，确保在攻击到达Web服务器之前就将其阻断。
梭子鱼WEB应用防火墙能够阻断所有常见的Web攻击，它采用完全反向代理机制，在阻断攻击的同时，也能够对HTTP响应进行全面的监控，确保诸如信用卡卡号、社保卡卡号等敏感信息不被泄露。而结合动态学习功能，它还能学习Web服务器的内在结构并自动生成策略，确保网站的高安全性。
业界领先的流量管理及加速技术
为了将网站安全的管理成本降到最低，梭子鱼WEB应用防火墙使用动态更新机制，实时更新最新的安全策略库和攻击规则库。同时，梭子鱼WEB应用防火墙还提供强大的SSL卸载、SSL加速以及负载均衡功能。即使是对于要求最为苛刻的数据中心，梭子鱼的流量优化与加速功能也能够保证整个网络的性能与效率得到大大改善，而且便于网络的扩容与管理。
2真正的WAF 如何选购好的WEB防火墙
真正的WAF：安全与性能的统一
随着WEB应用安全市场的火爆，各大安全厂商纷纷推出了自己的WEB应用防火墙（WAF），然而不同品牌的WAF和WAF之间其实是有差别的，因为它们有些是IPS转变而来的，有些则是将WAF功能软件集成到Web服务器上，所以这些设备并不能算是真正的WAF。
而一款真正的WEB应用防火墙，应该是为了Web应用安全而专门开发的产品，应该是安全和性能的真正统一，就像梭子鱼WEB应用防火墙一样。它与传统网络防火墙的低层处理机制以及与IPS对于HTTP、HTTPS和FTP流量的简单操作相比，不仅可以对HTTP流量进行代理，还可全面扫描7层数据，确保攻击在到达Web服务器之前就将其阻断。
梭子鱼WEB应用防火墙还能够完全获取和管理Web应用过程中进与出的每一个事务，同时也是一款高性能，双向HTTP代理设备，允许系统管理员针对每一个应用的每一个会话指定精确的安全，内容和流量的规则。
而且，梭子鱼WEB应用防火墙的主动防御功能做的非常好，通过对Web应用机理的分析，可以对HTTP流量进行完整的安全扫描，及时发现异常的使用模式并阻止目前未知的攻击方法。例如，通常Web应用程序与Web客户端的信息交流数量是有限的，如果检测到Web服务器正在返回一个比预期大很多的数据量，它就会及时切断传输，以防止更多的数据泄露。
与此同时，梭子鱼WEB应用防火墙也提供了基于特征库的防御能力。这是因为梭子鱼追求的是让用户获得真正的安全，而不是概念本身：既然已经知道它就是攻击，可以通过特征库更快地发现并拦截攻击，就没有必要再通过主动防御功能，在消耗大量资源的基础上，再给它下“这就是攻击”的结论。
如何选购一款好的WEB应用防火墙？
要想选购一款好的WEB应用防火墙，可以主要从以下几个方面考虑：
1、攻击拦截能力
WAF最主要的功能就是防范Web攻击，因此，攻击拦截能力至关重要。一款好的WAF产品，对于针对Web服务器的各种流行攻击都要具备强大的防御能力，还应该对数据泄密具备一定的监管能力，应该可以进行IP审计。而且，还应该可以及时、准确地发现异常的使用模式，并阻止目前未知的攻击方法。
以梭子鱼WEB应用防火墙为例，它提供了强大的双向扫描机制，对于HTTP请求提供URL、表单参数、报头及Cookie等各种安全扫描，还提供强大的应用层DDoS防护以及强制浏览和跨站请求伪造攻击防护。
2、服务配套能力
安全是需要不断对抗的，安全产品提供者本身的技术实力也是非常关键。因此，产品毕竟只是一个工具，发生安全事件的时候厂商是否能够提供应急服务、第一时间解决问题这也是需要考虑的。最后一步还需要考虑产品的易用性，如果一个产品带来较高管理成本的话，这也是企业不太希望发生的。
以梭子鱼为例，梭子鱼的服务团队会7×24小时监控互联网的发展，不断更新遍布全球的产品的规则库，包括病毒库、攻击特征库等。而且，专业的技术团队、扎实的技术功底，使得梭子鱼的售后服务也很到位，可以7×24小时快速响应用户的问题和需求。主动防御功能，对流行功能能够做好最好的防御。安全则不然，会有一直不停对抗的过程，这样是需要特别关注的一点。产品是否能够及时更新是很重要的。
3、可扩展性
WEB应用防火墙在后台连接的时候和Web服务器相关，但不能仅仅防护一台服务器。很多企业的Web服务器数量庞大，WEB应用防火墙还应该可以对应用交付和负载均衡提供支持。
像梭子鱼WEB应用防火墙，其简单高效的负载均衡功能就可以确保组织机构的网站近乎100%的持续运行能力，并大大缩短响应时间，提升其客户体验。
4、合规性
有些行业都要面临合规性需求，会要求组织机构提供相关的统计报表，WAF应该可以帮助组织机构轻松实现这方面的要求。像梭子鱼WEB应用防火墙就是CPI推荐的解决方案，完全能够满足塞班斯法案的各项要求。
5、参考WAFEC标准
WASC（Web应用安全协会）是一家非赢利的国际性专家社团，该组织推出了WAFEC（WEB应用防火墙评价标准），以便研究出一套合理的测试方法，对大家可以Web应用防火墙产品的优劣进行测试和评价。目前，WAFEC已经被越来越多的厂家和用户用来评测Web应用防火墙，该评价标准主要包括部署模式、HTTP协议支持、检测技术、防御技术、审计、报告、管理、性能、XML、主动学习、认证等方面，可以在一定程度上帮助我们准确地比较和评价Web应用防火墙产品。
像梭子鱼WEB应用防火墙就完全符合WAFEC的评估标准，而且梭子鱼还在密切跟踪WASC的研究成果，时刻保持产品的技术领先性。
相信通过我们的介绍，大家已经对梭子鱼WEB应用防火墙有了一个全面的了解，它能够有效防护诸如数据窃取、DDoS、网页篡改等各种高危害性的网站攻击，为企业提供强大的应用层安全防护；同时通过梭子鱼直观、实时的管理界面，还可对Web应用进行统一的安全管理。作为真正的WAF，梭子鱼WEB应用防火墙将为企业的快速发展保驾护航！
