在金融科技(FinTech)全面推动下，新型技术与数字业务扩展延伸出了很多新的安全问题，同时也受到了更加严格的监管合规要求。在此背景下，国内某银行用户部署亚信安全的信舷Web应用防火墙(AISWAF)，进一步夯实了防范个人信息泄露以及账户资金窃取的网络安全风控能力，树立了金融数据中心安全合规管理的最佳实践案例。
传统防御体系正被打破Web安全进入全新阶段
金融行业一直是IT高度发展的一个领域，同时也是数据资产高度集中的一个行业。在这种背景下，金融行业对于安全的重视程度普遍较高，安全技术和管理能力也都更胜一筹。
作为全国12家股份制银行中排名前列的银行，用户一直采用某品牌的传统WAF产品保障核心业务的安全运行，如信用卡商城，信用卡App等关键业务。然而，传统WAF技术存在较大的局限性，已不再适应当下复杂的网络攻击形势，因此WAF技术的革新升级成为必然。为此，用户决定在灾备数据中心部署能力更强的新一代WAF产品，并邀请了国内多家WAF厂商，从以下几个方面进行测试评估：
能够自动精准的学习访问流量，构建业务访问行为的基准模型，并且可以随着业务的变化动态的调整所学习到的基线模型，既可以让安全人员准确了解到业务访问的实际情况，又降低人工调整配置的复杂度，提升运维效率；
准确的攻击识别，降低误报率和漏报率，进一步降低安全风险；
可以按需基于不同的判断条件灵活配置自定义策略，满足业务防护更细粒度的防护要求；
在金融科技背景下，产品对于新型的攻击行为做到有效识别和精准防护，如基于API相关的攻击；
安全攻击事件的排查需要完善的可视化视图来追踪溯源；
产品的部署不要改动整网架构，需要支持安全部门和网络部门跨部门合作，实现无缝对接，降低沟通成本；
实现Web应用安全一体化防御守住用户的“钱袋子”
保住用户的钱袋子、严防个人身份信息泄露是金融企业的天职。经过前期论证以及后续的PoC验证，亚信安全WAF在防护功能的完整性上以及运维成本方面都满足了用户需求，并最终被部署在用户的灾备数据中心，实现了Web应用安全防护的一体化。
与传统的WAF产品“手工打理”不同，亚信安全通过动态构建客户Web应用的合法访问特征，采用动态建模技术创建合法用户对Web和Web服务应用的行为的安全模型，克服了其它应用防火墙运维难题，全面提升了用户数据中心的安全能力：
采用了动态建模技术，通过自动检测分析实时数据通信，然后应用复杂的学习算法来创建包含访问站点的所有合法HTTP请求的“业务模型”，无需人工干预，还可根据Web应用的变化进行自适应调整，有效侦测零日漏洞、梳理应用、API资产；
对灰色流量进行协议校验、特征签名、应用模型、威胁情报等多维度并行分析，精准识别恶意攻击，降低误报和漏报率；
亚信安全WAF提供开箱即用的安全策略，特征码项目近万个，默认策略近五百条，定期的特征库及其安全策略更新，通过一键更新，保障系统有效识别并阻挡最新的Web攻击；
亚信安全WAF允许安全管理员根据企业业务及安全策略需求灵活的定制策略，提供了超过40+匹配条件，实现强大的自定义安全能力，满足用户的业务场景防护需求；
强大而详细的告警、事件、日志记录，能够对相应的攻击及扫描进行实时的跟踪和分析，提供安全审核依据采用透明桥接方式部署，能够实时阻断非法流量，具有很小的处理时延，及时保护了Web应用系统；
采用透明桥接方式部署，无需改变现有架构即可保护Web应用系统安全。
形成动态防护机制全面提升运维效率
对于用户而言，通过亚信安全的信舷Web应用防火墙(AISWAF)既可以应对已知攻击威胁，同时也有多种防护手段应对未知威胁攻击，以极低的资源消耗就能防止人机攻击行为、保障多类型的应用安全，让企业的安全运维成本大幅降低。
该银行的网络安全工程师表示：“项目的成功部署，全面提升了Web安全及防数据泄露能力，满足安全合规的监管要求。同时，利用亚信安全WAF的动态应用建模，时刻感知应用的变化以及安全基线，将安全管理可视化，全面提升了跨部门协作和沟通效率。”
本文属于原创文章，如若转载，请注明来源：亚信安全信舷WAF助力金融科技安全能力提升http://safe.zol.com.cn/790/7902357.html
