近幾年，Web應用日益普及，有關Web方面的安全問題也在與日俱增。伴隨基于Web應用和數據庫架構的應用系統逐漸成為主流，廣泛應用在企業內部和外部的業務系統中，企業借助Web應用使得業務快速發展，與此同時黑客也在關注Web應用所帶來的財富，目前常見的網絡攻擊大多數都是針對應用自身的弱點，其中最常用的攻擊技術就是針對Web應用的SQL注入和跨站攻擊。而且黑客通過相應的攻擊工具可以輕松實現入侵，并可直接實現篡改頁面內容，甚至進入數據庫修改內容等等。隨著Web應用的攻擊增多同時大范圍刺激了Web應用防火墻市場的增長。

Web應用防火墻根源追溯

國外市場上具有Web應用防火墻功能的產品名稱就有不同的幾十種，更不用說是產品的形式和描述了。它難以界定的原因是這個名稱包含的東西太多了。較低的網絡層(Web應用防火墻被安置在第七層)被許多設備所覆蓋，每一種設備都有它們獨特的功能，比如路由器，交換機，防火墻，入侵檢測系統，入侵防御系統等等。然而，在HTTP的世界里，所有這些功能都被融入在一個設備里：Web應用防火墻。

Web應用防火墻位于Web客戶端和Web服務器之間，分析應用程序層的通信，從而發現違反預先定義好的安全策略的行為。安恒信息Web應用安全綜合解決方案就是基于Web應用防火墻的基礎上，從而實現事前預防監測、事中防護及事后追溯的完整防御方案。Web應用防火墻作為一種專業的Web安全防護工具，基于對HTTP/HTTPS流量的雙向解碼和分析，可應對HTTP/HTTPS應用中的各類安全威脅，如SQL注入、文件注入、命令注入、配置注入、LDAP注入、跨站腳本攻擊等，能有效解決網頁篡改、網頁掛馬、敏感信息泄露等安全問題，充分保障Web應用的高可用性和可靠性。

Web應用防火墻的價值

Web價值重點體現在Web 2.0的時代時，我們所面臨的安全威脅主要源自網站被黑或者網站被篡改，因此網頁防篡改技術得到成長并大量使用。應用推運系統架構革新，而系統架構的和革新推動安全技術的發展。Web應用防火墻也不例外，也是在現有Web防護技術力日益無法滿足業務的新需求時誕生的。

安恒信息產品經理楊勃表示，如果說防篡改軟件是一種基于文件管理的被動辦法，那么Web應用防火墻則是從安全的本質出發，對威脅進行主動防御，并對Web應用進行性能優化的最佳方案。簡單將防篡改軟件理解為是文件恢復管理，而Web應用防火墻則是分析處理不安全的訪問行為，這些不安全的行為包括網頁篡改事件、信息泄漏事件、信息竊取事件、信息失效事件等。在中國Web應用環境下的Web應用防火墻通常也會具有網頁防篡改的客戶端，功能和市面的網頁防篡改軟件幾乎相同。

Web應用防火墻以獨立的硬件網關存在，其部署和使用過程中不需要對原有的Web服務器作任何的調整，并且Web應用防火墻本身支持多種部署方式，例如透明網橋模式的部署不需對網絡進行任何調整。

Web應用防火墻與傳統防火墻及IPS的區別

傳統的網絡防火墻作為訪問控制設備，工作在OSI1-4層，基于IP報文進行狀態檢測、地址轉換、網絡層訪問控制等，對報文中的具體內容不具備檢測能力。因此，對Web應用而言，傳統的網絡防火墻僅提供IP及端口防護，對各類WEB應用攻擊及變形缺乏深度防御能力。Web應用防火墻主要致力于提供應用層保護，通過對HTTP/HTTPS及應用層數據的深度檢測分析，識別及阻斷各類傳統防火墻無法識別的Web應用攻擊。

與IPS相比Web應用防火墻可謂是專注于Web應用的IPS，與傳統的IPS不同，Web應用防火墻在特征匹配方面的粒度更細，至少可以精確到如下幾個節點：

·對協議的全面理解以及協議規范性檢查

·請求頭關鍵字段的識別和特征匹配，從而降低誤判

·響應頭敏感信息的處理防止服務器指紋泄露

·響應體特征匹配，屏蔽敏感信息泄露

·針對單個請求，基于單個URL的匹配最大程度確認業務系統的可用性

標準的Web應用防火墻應該具備哪些功能

楊勃介紹到，一個標準的Web應用防火墻應該具備以下四個方面的功能：

深度安全防護——對Web應用實施全面、深度防御，能夠有效識別、阻止日益盛行的Web應用黑客攻擊，還要對數據泄密具備監管能力，可以進行IP審計。

協議規范性檢查——通過HTTP協議規范性檢查可以實現Web主動防御功能，如請求頭長度限制、請求編碼類型限制等從而障蔽了大部分非法的未知攻擊行為。

WEB應用加速——對防護的網站進行加速，通過對靜態文件的緩存技術，動態請求的TCP連接復用技術實現了網站訪問速度的提升。

站點訪問審計——對網站的訪問情況進行統計分析呈現即時訪問量趨勢圖、用戶最關注的網頁、訪問者最集中的地市區域等信息，便于分析網站的業務模塊的訪問情況，并為業務功能的價值提供評價參考。

安恒信息Web應用防火墻發展歷程

Web應用防火墻技術架構上最佳方案是采用代理技術實現，然而標準的代理技術應用到Web應用防火墻時卻存在一個先天的不足。代理技術會中斷業務請求，因此部署Web應用防火墻需要調整現有業務架構或網絡數據走向。另一方面代理技術存在性能瓶頸，難在勝任大型的業務系統。

安恒信息采用內核級代理技術解決了部署全透明和性能兩個技術瓶頸，是國內首創的全透明Web應用防火墻，并成功應用于諸多網上銀行、運營商BOSS系統、電子政務等核心業務系統。

Web應用防火墻采用基于特征庫的防御技術進行防護，而特征庫技術只能解決通用的，已知的攻擊行為。而Web應用系統千差萬別，僅采用通用特征庫不僅防護效果不佳，而且可能會因為代碼的原因導致誤判，從而影響業務系統的可用性。因此安恒信息Web應用防火墻中加入了異常檢測引擎用于提高防護能力，降低誤判率。異常檢測技術可以用一個下面這個例子進行說明：

安全檢測好比閉路電視監控系統，基于特征的檢測技術即通過行人的身高、體重、外貌進行檢測，然后通過X光機檢測身上是否帶了已知的不安全裝備。而異常檢測則是通過對人的行為特征進行分析，例如一個人進門時身帶了一個手擰包，而走到大廳后將手擰包放下，人離開。針對這種特為將為觸發報警動作。