搜索

[10957] 2017-01-22_WAF产品经理眼中比较理想的WAF

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-01-22_WAF产品经理眼中比较理想的WAF W A F 产 品 经 理 眼 中 比 较 理 想 的 W A F 兜 哥   F r e e B u f   2 0 1 7 - 0 1 - 2 2 W A F 简 介 简 介 W A F （ W e b   A p p l i c a t i o n   F i r e w a l l ， 简 称 : W A F ） , 百 度 百 科 上 的 定 义 ， W e b 应 用 防 火 墙 是 通 过 执 行 一 系 列 针 对 H T T P / H T T P S 的 安 全 策 略 来 专 门 为 W e b 应 用 提 供 保 护 的 一 款 产 品 。 作 为 绝 大 多 数 互 联 网 公 司 W e b 防 御 体 系 最 重 要 的 一 环 ， 承 担 了 抵 御 常 见 的 S Q L 注 入 、 X S S 、 远 程 命 令 执 行 、 目 录 遍 历 等 攻 击 的 作 用 ， 就 像 大 厦 的 保 安 一 样 默 默 工 作 ， 作 为 第 一 道 防 线 守 护 业 务 的 安 全 。 传 统 传 统 W A F 的 不 足 的 不 足 传 统 传 统 W A F 的 不 足 的 不 足 W A F 在 不 少 安 全 公 司 都 是 重 要 产 品 线 ， 究 其 原 因 我 认 为 有 三 个 ： 第 一 ， 绝 大 多 数 互 联 网 公 司 没 有 足 够 的 专 职 安 全 人 员 负 责 安 全 ， 解 决 安 全 问 题 是 第 一 刚 需 ， W A F 作 为 入 门 级 产 品 帮 助 企 业 抵 御 了 常 见 的 攻 击 行 为 ， 需 求 量 大 。 第 二 ， 产 品 成 熟 ， 市 场 教 育 成 本 低 ， 不 像 不 少 酷 炫 的 新 产 品 需 要 开 发 布 会 才 能 让 同 行 知 道 你 干 啥 ， 和 用 户 要 拿 p p t 死 磕 办 小 时 才 能 让 用 户 知 道 你 卖 啥 ， 第 三 ， 研 发 W A F 的 起 点 不 高 ， 最 草 根 的 做 法 基 于 常 见 的 n g i n x + l u a 架 构 就 可 以 开 始 开 发 。 也 正 是 由 于 这 三 方 面 原 因 ， 市 场 上 W A F 种 类 繁 多 但 同 质 化 严 重 ， 缺 乏 创 新 。 个 人 总 结 传 统 W A F 在 安 全 方 面 存 在 下 面 几 个 问 题 ： 防 护 能 力 不 足 以 应 对 黑 产 防 护 能 力 不 足 以 应 对 黑 产 传 统 W A F 主 要 依 赖 规 则 ， 一 方 面 是 吃 一 堑 长 一 智 ， 针 对 已 知 攻 击 形 式 有 一 定 防 御 ， 针 对 未 知 攻 击 无 防 护 能 力 ， 另 外 一 方 面 即 使 是 已 知 攻 击 行 为 ， 由 于 正 则 表 达 式 天 生 的 局 限 性 以 及 s h e l l 、 p h p 等 语 言 的 极 其 灵 活 多 变 的 语 法 ， 理 论 上 就 是 可 以 绕 过 的 ， 事 实 上 也 是 比 较 容 易 绕 过 的 ， 主 流 安 全 咨 询 媒 体 没 几 篇 讲 如 何 绕 过 W A F 的 文 章 都 不 好 说 意 思 和 人 打 招 呼 。 我 就 列 举 一 个 例 子 ： h t t p : / / x i . b a i d u . c o m / r c e . p h p ? c m d = p w d 假 设 c m d 参 数 存 在 命 令 执 行 漏 洞 ， 输 入 参 数 p w d 会 当 做 s h e l l 命 令 执 行 ， 由 于 s h e l l 命 令 的 灵 活 性   p w d   p ' w ' d   p ' ' ' ' ' w ' ' ' ' ' d   ' ' ' ' p ' w ' d ' ' ' ' 都 是 可 以 执 行 的 ， 针 对 l s 、 i f c o n f i g 等 也 是 一 样 ， 如 果 谁 能 写 出 个 规 则 防 止 这 个 u r l 的 命 令 执 行 漏 洞 的 利 用 ， 可 以 告 诉 我 。 所 以 面 对 怀 有 经 济 利 益 驱 动 的 黑 产 或 则 有 足 够 赖 心 的 白 帽 子 ， 绕 过 W A F 只 是 时 间 问 题 。 另 外 一 个 要 提 的 ， 多 数 W A F 处 于 性 能 的 考 虑 ， 检 测 策 略 主 要 是 基 于 请 求 或 者 应 答 内 容 ， 缺 乏 上 下 文 以 及 请 求 应 答 关 联 分 析 的 能 力 ， 势 必 看 问 题 就 很 片 面 和 局 限 ， 大 家 可 以 试 下 在 有 输 入 框 的 地 方 输 入 a l e r t ( / 1 / ) 有 多 少 W A F 会 拦 截 。 缺 乏 有 效 的 基 础 业 务 安 全 防 护 能 力 缺 乏 有 效 的 基 础 业 务 安 全 防 护 能 力 W A F 是 否 需 要 承 担 业 务 安 全 或 者 说 业 务 风 控 的 职 责 ， 其 实 厂 商 和 用 户 直 接 一 直 没 有 达 成 一 致 ， 多 数 厂 商 认 为 整 个 不 是 W A F 的 事 ， 从 撞 库 、 刷 短 信 接 口 到 薅 羊 毛 等 ， 确 实 是 专 业 风 控 产 品 的 菜 ； 从 用 户 角 度 讲 ， 我 以 前 被 人 撞 库 、 刷 短 信 接 口 到 薅 羊 毛 等 我 分 析 日 志 加 n g i n x 封 I P 能 搞 定 一 部 分 的 ， 结 果 上 W A F 却 搞 不 定 了 ， 还 非 要 忽 悠 我 买 贼 贵 的 风 控 。 我 认 为 W A F 还 是 要 有 基 础 的 业 务 安 全 防 护 能
力 ， 无 论 是 自 动 还 是 用 户 可 以 配 置 。 审 计 能 力 不 足 审 计 能 力 不 足 闲 时 看 P V ， 出 事 能 取 证 ， 出 现 安 全 事 件 时 可 以 很 方 便 的 查 询 原 始 流 量 ， 这 个 对 于 应 急 响 应 的 同 学 很 重 要 。 令 人 遗 憾 的 事 ， 多 数 W A F 即 使 可 以 保 存 访 问 日 志 ， 也 只 能 保 存 请 求 头 、 基 础 的 u r l ， 对 于 攻 击 定 位 很 重 要 的 p o s t   b o d y ， 应 答 内 容 记 录 的 很 少 ， 当 然 我 们 也 理 解 ， 存 储 空 间 问 题 、 性 能 问 题 。 不 少 厂 商 也 认 为 这 个 应 该 是 n g i n x 自 己 、 s i e m 或 者 流 量 审 计 类 设 备 的 功 能 ， 我 说 下 我 认 为 W A F 应 该 做 这 个 的 原 因 ： W A F 记 录 黑 客 很 难 删 除 ， n g i n x 上 记 录 很 容 易 毁 尸 灭 迹 ， 还 没 见 过 有 自 我 修 养 的 黑 客 不 删 除 日 志 的 h t t p s 普 及 后 ， 流 量 审 计 想 记 录 也 记 录 不 了 了 ， 只 能 表 示 遗 憾 我 理 想 中 的 我 理 想 中 的 W A F 我 理 想 中 的 我 理 想 中 的 W A F 首 先 声 明 ， 我 理 想 中 的 W A F 部 分 功 能 有 的 厂 商 在 做 了 ， 完 全 实 现 的 还 没 有 ， 如 果 另 外 一 个 W A F 产 品 经 理 说 他 们 都 实 现 了 挑 战 我 ， 我 还 是 直 接 认 怂 算 了 ， 反 正 不 知 道 又 不 遭 雷 劈 。 上 下 文 理 解 能 力 上 下 文 理 解 能 力 这 个 不 是 功 能 ， 而 是 处 理 能 力 ， 传 统 W A F 对 于 h t t p 协 议 的 理 解 主 要 是 单 向 处 理 请 求 或 者 应 答 ， 缺 乏 对 应 h t t p 整 个 s e s s i o n 行 为 的 分 析 ， 缺 乏 结 合 上 下 文 综 合 理 解 请 求 应 答 内 容 的 能 力 ， 这 好 比 盲 人 摸 象 ， 对 于 问 题 分 析 很 片 面 。 比 如 盲 注 这 类 没 有 明 显 回 显 特 征 的 ， 仅 依 赖 请 求 包 特 征 ， 不 去 分 析 整 个 s e s s i o n 多 个 应 答 包 的 时 间 特 征 就 很 难 准 确 发 现 。 语 义 分 析 能 力 语 义 分 析 能 力 语 义 分 析 ， 部 分 厂 商 叫 沙 箱 ， 名 字 叫 啥 不 太 重 要 ， 本 质 上 是 W A F 具 备 语 义 识 别 常 见 的 S Q L 、 P H P 、 s h e l l 语 言 的 能 力 ， 传 统 W A F 的 规 则 多 是 基 于 正 则 ， 说 白 了 就 是 用 文 本 的 角 度 去 理 解 h t t p 协 议 ， 走 简 单 的 正 则 匹 配 ， 好 比 用 鸟 的 大 脑 去 尝 试 理 解 人 类 的 语 言 ， 结 果 肯 定 是 误 报 率 和 漏 报 率 无 法 平 衡 。 有 了 语 义 理 解 能 力 以 后 ， 就 可 以 从 h t t p 载 荷 中 提 取 的 疑 似 可 执 行 代 码 端 ， 用 语 义 去 理 解 看 是 否 可 以 执 行 。 还 是 以 刚 才 的 c a s e 来 说 。 h t t p : / / x i . b a i d u . c o m / r c e . p h p ? c m d = p w d 对 于 参 数 c m d 的 内 容 ， 如 果 用 s h e l l 的 语 法 去 理 解 ， p w d   p ' w ' d   p ' ' ' ' ' w ' ' ' ' ' d   ' ' ' ' p ' w ' d ' ' ' ' 都 是 一 回 事 ， 都 是 p w d 。 原 理 上 来 说 ， 对 于 语 法 公 开 的 语 言 都 可 以 实 现 语 义 分 析 。 解 决 问 题 解 决 问 题 备 注 备 注 S Q L 语 义 S Q L 注 入 / 拖 库 m y s q l 、 m s s q l 、 o r a c l e 都 不 太 一 样 ， 需 要 分 别 实 现 j s 语 义 x s s 反 射 、 存 储 应 该 都 可 以 搞 定 ， d o m 的 够 呛 语 义 理 解 ， 理 论 上 可 以 解 决 基 于 正 则 的 规 则 的 搂 抱 和 误 报 的 问 题 ， 不 过 也 不 是 万 能 的 ， 比 如 h t t p 协 议 中 究 竟 哪 部 分 是 疑 似 可 执 行 的 代 码 段 ， 这 个 就 是 个 不 好 解 决 的 问 题 。 另 外 h t t p 协 议 中 ， 对 于 S Q L 注 入 攻 击 存 在 的 都 是 代 码 段 ， 或 者 说 是 S Q L 片 段 ， 如 何 拼 接 保 证 可 以 正 常 解 析 也 是 麻 烦 事 ， 市 面 上 已 经 出 现 了 一 些 基 于 语 义 的 W A F ， 究 竟 这 些 问 题 解 决 到 什 么 程 度 还 有 待 于 实 战 考 验 。 机 器 学 习 能 力 机 器 学 习 能 力
机 器 学 习 、 人 工 智 能 、 深 度 学 习 ， 这 三 个 词 已 经 被 用 滥 了 ， 各 类 会 议 p p t 不 提 下 都 不 好 意 思 和 人 打 招 呼 。 这 类 文 章 很 多 很 多 很 多 ， 我 就 不 多 说 了 ， 就 期 待 吧 。 审 计 取 证 能 力 审 计 取 证 能 力 能 够 以 h t t p 会 话 作 为 存 储 单 位 ， 保 存 至 少 一 个 月 的 存 储 日 志 ， 完 整 记 录 请 求 应 答 内 容 ， 至 少 包 括 请 求 和 应 答 的 前 4 兆 内 容 ， 支 持 基 于 常 见 h t t p 字 段 的 正 则 查 询 ， 支 持 E L K 那 种 基 础 的 聚 合 、 T O P 、 大 于 、 小 于 操 作 等 操 作 。 比 较 理 想 情 况 可 以 类 似 去 年 R S A 会 议 上 说 的 基 于 流 量 的 时 光 机 器 ， 按 照 一 定 条 件 可 以 回 放 整 个 访 问 过 程 。 情 报 能 力 情 报 能 力 威 胁 情 报 这 两 年 一 直 比 较 火 ， 逐 渐 也 从 概 念 层 面 过 渡 到 实 战 ， 从 I P 地 址 库 、 h t t p 代 理 库 、 v p n 库 进 步 到 真 正 是 肉 鸡 库 等 ， 这 一 进 步 也 给 W A F 带 来 了 新 的 武 器 ， 对 于 大 面 积 机 器 攻 击 行 为 ， 比 如 C C / D D o S 肉 鸡 等 可 以 做 到 直 接 封 禁 。 业 务 安 全 防 护 能 力 业 务 安 全 防 护 能 力 业 务 安 全 的 方 范 围 非 常 广 ， 我 认 为 至 少 包 括 方 面 希 望 W A F 是 可 以 解 决 的 ： 网 站 内 容 保 护 — — 反 恶 意 抓 取 、 垃 圾 信 息 注 入 、 黄 赌 毒 信 息 注 入 等 、 主 页 篡 改 （ 这 个 对 党 政 军 用 户 非 常 非 常 非 常 重 要 ） 等 高 级 业 务 逻 辑 C C 攻 击 — — 对 A P I 接 口 的 海 量 调 用 、 例 如 短 信 接 口 、 验 证 码 接 口 、 登 录 接 口 、 数 据 查 询 接 口 等 ， 撞 库 也 可 以 算 这 类 轻 量 级 防 薅 羊 毛 – 暴 力 注 册 、 刷 红 包 、 刷 代 金 券 、 各 种 刷 市 场 上 也 出 现 了 号 称 可 以 业 务 安 全 W A F ， 这 是 一 大 进 步 ， 本 质 上 提 供 能 够 根 据 用 户 自 定 义 的 U R I 、 参 数 名 、 源 I P / 目 的 I P 、 目 的 U R L 等 条 件 ， 拦 截 超 出 正 常 频 率 的 机 器 访 问 行 为 的 能 力 ， 就 可 以 一 定 程 度 解 决 不 少 业 务 安 全 的 问 题 了 。 我 一 直 有 个 观 点 ， 黑 产 、 羊 毛 党 （ 按 照 法 律 貌 似 不 算 违 法 ， 暂 且 叫 灰 产 吧 ） 也 是 讲 究 攻 击 成 本 的 ， 只 要 攻 击 你 的 成 本 高 于 其 他 P 2 P 、 电 商 等 网 站 ， 他 们 多 会 转 向 攻 击 攻 击 成 本 低 的 ， 人 家 也 是 讲 究 性 价 比 的 ， 能 够 提 供 基 础 业 务 防 护 能 力 就 是 进 步 。 协 同 能 力 协 同 能 力 协 同 能 力 协 同 能 力 这 个 我 很 看 中 ， 因 为 W A F 不 是 万 金 油 ， 也 不 可 能 包 打 天 下 ， 再 牛 逼 也 可 能 被 绕 过 ， 但 是 W A F 的 卡 位 很 好 ， 位 于 网 路 边 界 ， 特 别 适 合 做 隔 离 操 作 ， 比 如 h i d s 发 现 w e b s h e l l ， 协 同 W A F 阻 断 访 问 ； 数 据 库 审 计 发 现 拖 库 或 者 敏 感 操 作 协 同 W A F 阻 断 （ 这 个 还 依 赖 W A F 和 数 据 库 联 动 分 析 ， 将 h t t p 会 话 和 S Q L 操 作 关 联 ） 等 。 总 结 总 结
安 全 厂 商 可 能 都 清 楚 很 多 时 候 排 名 或 者 说 甲 方 采 购 不 完 全 是 取 决 于 安 全 能 力 ， 合 规 、 渠 道 、 价 格 每 个 环 节 都 可 以 左 右 最 后 结 论 ， 不 过 从 一 个 产 品 经 理 角 度 ， 还 是 很 想 做 出 一 款 有 在 安 全 能 力 上 有 差 异 化 ， 在 市 场 上 能 被 广 泛 接 受 的 W A F ， 这 个 是 一 个 W A F 产 品 经 理 的 自 我 修 养 。 * 本 文 投 稿 作 者 ： 兜 哥 ， 转 载 须 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理