你的网站安全吗？Web安全交给谁？
每天，我们通过越来越丰富的Web应用与资源连接在一起，研究表明，绝大多数用户是不愿意用“放弃互联网”来换取“防止个人信息泄露”的。因此，Web服务器以其强大的计算能力、处理性能及掌握着这些蕴含高价值的信息成为了被攻击的主要目标。据统计，64%的公司曾遭受过来自Web的攻击。62%的公司曾被钓鱼或是社会工程学攻击。另外，59%的公司曾被恶意代码和僵尸网络攻击过。
对于企业来说，保护蕴含高价值的企业网站和所存储的数据的安全是重中之重。但是在建站后，我们会发现，无论配置多么齐全，网站也会遭遇各种攻击、扫描，服务器仿佛成了裸奔的香饽饽。如果之前你没遇到过有恶意攻击者或者信息被偷窃的先例，那你肯定不会明白这种事情的后果有多么严重，风险离我们是如此地近。怎么办？
惯性思维会告诉我们，应该安装一个防火墙，但哪个选择更好呢？硬件防火墙？软件防火墙？Web应用防火墙？如果你不是专业人士，你一定会被市场上繁多的产品弄得晕头转向。要想弄清楚该选择何种防火墙，从需求入手是最好的办法，我们希望防火墙帮我们解决哪些问题？
先捋一下需求：
1、要能防御来自网络的恶意攻击：防止竞争对手恶意攻击或黑客敲诈勒索，导致的请求超时，瞬断，不稳定等问题。
2、要能防止数据的泄露：防止黑客通过SQL注入、网页木马等攻击手段入侵网站数据库，获取核心业务数据。
3、要能防止企业网站被篡改：防止黑客通过扫描系统漏洞，植入木马后修改页面内容或发布不良信息，影响网站形象。
4、要做到政府要求的安全合规要求：符合相关法律法规要求，满足信息系统安全等级保护（等保测评）需求。
接下来再来了解一下防火墙。
一、传统意义上的防火墙（FireWall）
当我们接入互联网时，采用的防火墙是一种用于安全管理与筛选的软件和硬件设备，它将内网和公网（如Internet）分开，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的技术。
硬件型防火墙好理解，通常是个长方型的扁盒子，它把防火墙程序固化到芯片中，由硬件执行这些功能，从而能降低CPU的负担，使服务更稳定。硬件防火墙中可能还有除软件防火墙以外的其他功能，例如CF（内容过滤）IDS（入侵侦测）IPS（入侵防护）以及VPN等等的功能，这导致硬件防火墙的价格都很高。
软件型防火墙是将软件部署在系统主机上来完成防火墙功能，其安全性较硬件防火墙差，同时占用系统资源，在一定程度上影响系统性能。其一般用于单机系统或是*少数的个人计算机，很少用于计算机网络中。
防火墙的关键技术主要有过滤技术、加密技术、防病毒技术、代理服务器。主要功能有网络安全的屏障、强化网络安全策略、监控审计、防止内部信息的外泄、日志记录与事件通知。
二、Web应用防火墙（Web Application Firewall）
较低的网络层（Web应用防火墙被安置在第七层）被许多设备所覆盖，每一种设备都有它们独特的功能，比如路由器，交换机，防火墙，入侵检测系统，入侵防御系统等等。然而，在HTTP的**里，所有这些功能都被融入在一个设备里：Web应用防火墙。Web应用防火墙主要是对Web特有的入侵方式具备防护能力，例如常见的DDOS防护、SQL注入、跨站脚本攻击、参数篡改、应用平台漏洞攻击、拒绝服务攻击等等。由于都是属于应用层而不是网络层的入侵，从技术上来看都是属于Web IPS（Web入侵防御系统），而不是传统的防火墙。
Web应用防火墙被部署在Web应用程序前面，在用户请求到达Web服务器前对用户请求进行扫描和过滤，Web应用防火墙分析并校验每个用户请求的网络包，会记录黑客攻击样本库及漏洞情况，使用数千台防御设备和骨干网络以及安全替身、攻击溯源等前沿技术，确保每个用户请求有效且安全，构建网站应用级入侵防御系统，对无效或有攻击行为的请求进行阻断或隔离，解决网页篡改、数据泄露和访问不稳定等异常问题，保障网站数据安全性和应用程序可用性。Web防火墙的出现解决了传统防火墙无法解决的针对应用层的攻击问题。
选择什么样的防火墙？
我们从上面的分析和叙述中可以看出，传统防火墙只是针对一些底层（网络层、传输层）的信息进行阻断，而Web应用防火墙则深入到应用层，对所有应用信息进行过滤，解决了传统防火墙无法解决的应用层防护问题，并提供了以下功能：
攻击防护：智能识别Web系统服务状态，实时在线优化防御规则库、分发虚拟补丁程序，提供持续的安全防御支持。数千台防御设备，数百GB海量带宽和内部高速传输网络，实时有效抵御各类DDoS攻击、CC攻击。
安全替身：通过前沿的安全替身技术，虚拟补丁服务，采用主动发现、协同防御的方式将Web安全问题化于无形。即使在*端情况下，Web系统被入侵，甚至被完全破坏，也能重新构造安全内容，以保障系统正常服务。
攻击溯源：现有全球30万黑客档案库及漏洞情况服务中心，对攻击进行实时拦截、联动动态分析。通过百亿日志的大数据分析追溯攻击人员和事件，并利用“反向APT”技术完善黑客档案库，为攻击取证提供详尽依据。
登录安全：通过对登录过程中失败的用户名、密码、登录频率和登录后地域变化等多因素进行关联判断，从而实现Web系统登录安全。
不断迭代的Web应用防火墙将具备更强大的能力，比如：网页源码加密、防扫描、防自动化攻击、防暴力破解、防撞库、防嗅探等等。
Web安全需求的复杂性
从广义上来说，Web应用防火墙就是应用级的网站安全综合解决方案，但难以界定，因为是这个名称包含的东西太多了，如果我们要深究它精确的定义，就可能会得到更多的疑问。因为一些Web应用防火墙是硬件设备，一些则是应用软件；一些是基于网络的，另一些则是嵌入WEB服务器的。而拥有不同知识背景的人往往会关注它不同方面的特点。比如具有网络入侵检测背景的人更倾向于把它看作是运行在HTTP层上的IDS设备；具有防火墙从业背景的人更趋向于把它看作一种防火墙的功能模块。还有一种理解来自于“深度检测防火墙”这个术语。他们认为深度检测防火墙是一种和Web应用防火墙功能相当的设备。然而，尽管两种设备有些相似之处，但是差异还是很大的。深度检测防火墙通常工作在网络的第三层以及更高的层次，而Web应用防火墙则在第七层处理HTTP服务并且很好地支持它。
从技术角度看，直接更改Web代码解决安全问题更好，这是毋庸置疑的，但也没那么容易（实现）。因为，通过更改WEB应用代码是否一定就能增强系统安全性能，这本身就存在争论。而且现实也更加复杂：
1、不可能确保100%的安全。人的能力有限，会不可避免地犯错误。
2、绝大多数情况下，很少有人力求100%的安全。如今的现实生活中那些引领应用发展的人更多注重功能而不是安全。这种观念正在改变，只是有点缓慢。
3、一个复杂的系统通常包含第三方产品（组件，函数库），它们的安全性能是不为人知的。如果这个产品的源代码是保密的，那么你必须依赖商品的厂商提供补丁。即使有些情况下源代码是公开的，你也不可能有精力去修正它们。
4、我们不得不使用存在安全隐患的业务系统，尽管这些旧系统根本无法改进。
因此，如果企业想获得最好的效果，我们需要双管齐下：一方面，必须提高管理者和开发者的安全意识；另一方面，尽可能提高应用系统的安全性。
免责声明：本站所有内容及图片均采集来源于网络，并无商业使用，如若侵权请联系删除。
上一篇：SSL证书如何保障网站安全?
