搜索

[20811] 2017-07-04_浅谈云WAF带来的利与弊

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-07-04_浅谈云WAF带来的利与弊 浅 谈 云 W A F 带 来 的 利 与 弊 L e m o n S e c   2 0 1 7 - 0 7 - 0 4 云 时 代 让 云 时 代 让 W A F 多 了 一 种 形 态 多 了 一 种 形 态 　 　 近 年 来 ， 云 计 算 的 热 潮 推 动 着 I T 行 业 的 发 展 。 很 多 企 业 的 产 品 或 服 务 都 在 尽 力 与 云 “ 挂 钩 ” 。 其 中 ， 在 国 内 外 信 息 安 全 市 场 中 ， 也 多 了 一 个 新 的 概 念 ， 就 是 “ 云 W A F ” 。 云 W A F ， 也 称 W E B 应 用 防 火 墙 的 云 模 式 。 它 是 一 种 全 新 的 信 息 安 全 产 品 模 式 。 这 种 模 式 让 用 户 不 需 要 在 自 己 的 网 络 中 安 装 软 件 程 序 或 部 署 硬 件 设 备 ， 就 可 以 对 网 站 实 施 安 全 防 护 。 防 S Q L 注 入 、 防 X S S 、 防 D D O S 等 ， 这 些 传 统 W A F 上 存 在 的 功 能 ， 云 W A F 同 样 具 备 。 从 用 户 的 角 度 来 看 ， 云 W A F 更 像 是 一 种 安 全 服 务 ， 只 不 过 这 种 服 务 并 非 是 通 过 人 工 来 实 施 的 。 云 云 W A F 的 技 术 实 现 的 技 术 实 现 　 　 之 所 以 称 之 为 云 W A F ， 就 是 因 为 它 所 有 的 W A F 功 能 都 是 通 过 云 端 提 供 的 ， 而 不 需 要 在 本 地 部 署 产 品 。 实 现 这 点 主 要 利 用 的 就 是 D N S 技 术 。 　 　 众 所 周 知 ， 每 个 网 站 都 有 自 己 的 域 名 ， 域 名 与 W E B 服 务 器 的 I P 地 址 相 对 应 。 当 客 户 端 浏 览 器 通 过 域 名 访 问 网 站 时 ， 首 先 会 由 网 站 指 定 的 D N S 服 务 器 解 析 出 域 名 所 对 应 的 W E B 服 务 器 的 I P 地 址 ， 这 样 客 户 端 才 能 向 服 务 器 发 起 正 常 的 访 问 请 求 ， 进 而 完 成 一 次 完 整 的 H T T P 会 话 。 　 　 云 W A F 正 是 利 用 这 项 机 制 。 通 过 让 网 站 移 交 域 名 解 析 权 的 方 式 ， 实 现 对 网 站 的 安 全 防 护 。 通 常 情 况 下 ， 云 W A F 系 统 由 控 制 中 心 及 端 节 点 两 大 部 分 组 成 。 控 制 中 心 部 署 有 D N S 服 务 器 、 调 度 系 统 等 ， 用 来 解 析 并 调 度 客 户 端 对 网 站 的 访 问 请 求 。 端 节 点 采 用 多 台 分 布 式 部 署 ， 每 一 个 端 节 点 都 是 一 台 独 立 的 硬 件 W A F 设 备 ， 用 来 过 滤 非 法 的 网 站 请 求 。 具 体 实 现 过 程 为 ： 用 户 首 先 需 要 将 被 保 护 的 网 站 域 名 解 析 权 移 交 给 云 W A F 系 统 （ 采 用 修 改 域 名 N S 记 录 或 C N A M E 记 录 的 方 式 ） 。 域 名 解 析 权 移 交 完 成 后 ， 所 有 对 被 保 护 网 站 的 请 求 ， 将 会 被 控 制 中 心 解 析 并 调 度 到 指 定 的 端 节 点 上 。 由 端 节 点 进 行 流 量 过 滤 后 ， 再 递 交 给 原 始 的 W E B 服 务 器 。 云 W A F 系 统 实 现 原 理 云 云 W A F 带 来 的 利 与 弊 带 来 的 利 与 弊 　 　 百 变 不 离 其 宗 。 分 析 了 云 W A F 的 实 现 原 理 后 ， 我 们 发 现 。 云 W A F 的 出 现 ， 虽 然 给 网 站 防 护 带 来 了 一 种 新 的 模 式 。 但 是 从 安 全 防 护 的 手 段 及 能 力 上 来 看 ， 云 W A F 仍 然 是 依 赖 于 端 节 点 的 硬 件 设 备 ， 并 没 有 本 质 性 的 改 变 。 那 么 ， 与 部 署 传 统 的 硬 件 设 备 相 比 ， 使 用 云 W A F 究 竟 带 来 的 是 利 还 是 弊 ？ 下 面 就 来 分 析 一 二 ， 仅 供 广 大 网 站 管 理 者 们 参 考 。 　 　 云 云 W A F 之 利 （ 一 ） ： 零 部 署 ， 零 维 护 之 利 （ 一 ） ： 零 部 署 ， 零 维 护 　 　 这 也 是 云 W A F 最 有 价 值 ， 最 为 吸 引 用 户 的 一 点 。 不 需 要 安 装 任 何 软 件 程 序 或 部 署 硬 件 设 备 ， 只 需 切 换 D N S 就 可 以 将 网 站 加 入 到 云 W A F 系 统 的 防 护 中 。 而 且 ， 云 W A F 提 供 商 会 负 责 系 统 维 护 及 防 护 规 则 库 的 更 新 ， 管 理 员 不 必 担 心 可 能 会 因 为 疏 忽 或 者 黑 客 使 用 最 新 的 攻 击 手 段 而 使 网 站 受 到 威 胁 。 　 　 云 云 W A F 之 利 （ 二 ） ： 提 供 之 利 （ 二 ） ： 提 供 C D N 功 能 功 能
　 　 网 站 访 问 速 率 是 评 估 一 个 网 站 业 务 能 力 的 重 要 指 标 。 一 些 大 型 的 网 站 为 了 提 升 访 问 速 率 ， 往 往 会 使 用 C D N 服 务 。 规 模 较 大 的 云 W A F 系 统 都 是 以 分 布 式 计 算 为 基 础 架 构 ， 采 用 跨 运 营 商 的 多 线 智 能 解 析 调 度 ， 将 单 点 网 站 资 源 动 态 负 载 至 全 国 的 云 端 节 点 ， 用 户 访 问 流 量 被 引 导 至 最 近 的 云 端 节 点 。 并 且 通 过 对 请 求 的 动 态 内 容 优 化 压 缩 ， 静 态 内 容 分 布 缓 存 ， 为 用 户 提 供 C D N 服 务 ， 提 升 网 站 的 访 问 速 度 。                   以 上 两 点 ， 让 部 分 用 户 对 云 W A F “ 一 见 钟 情 ” 。 但 是 从 更 专 业 的 角 度 考 量 ， 在 这 些 特 性 背 后 ， 云 W A F 同 样 存 在 着 严 重 的 问 题 。 云 云 W A F 之 弊 （ 一 ） ： 系 统 存 在 被 轻 易 绕 过 的 风 险 之 弊 （ 一 ） ： 系 统 存 在 被 轻 易 绕 过 的 风 险 　 　 众 所 周 知 ， 本 地 W A F 对 网 站 实 施 保 护 ， 主 要 采 用 的 是 反 向 代 理 技 术 。 通 过 配 置 代 理 端 口 并 设 定 地 址 映 射 规 则 ， 达 到 隐 藏 真 实 服 务 器 的 目 的 。 然 而 不 同 的 是 ， 云 W A F 系 统 需 要 依 赖 于 D N S 进 行 访 问 调 度 。 网 站 的 所 有 访 问 流 量 只 有 经 过 指 定 的 D N S 服 务 器 解 析 后 才 会 被 牵 引 到 云 W A F 系 统 的 防 护 节 点 进 行 过 滤 。 这 样 一 来 ， 如 果 黑 客 利 用 相 关 手 段 （ 具 体 手 段 在 这 里 不 做 具 体 介 绍 ） 获 取 到 原 始 W E B 服 务 器 的 I P 地 址 ， 然 后 通 过 强 制 解 析 域 名 的 方 式 ， 就 可 以 轻 松 的 绕 过 云 W A F 系 统 对 原 始 服 务 器 实 施 攻 击 。 云 云 W A F 之 弊 （ 二 ） ： 系 统 的 可 靠 性 欠 缺 保 障 之 弊 （ 二 ） ： 系 统 的 可 靠 性 欠 缺 保 障 　 　 云 W A F 系 统 处 理 一 次 网 站 访 问 请 求 ， 至 少 需 要 经 过 D N S 解 析 、 请 求 调 度 、 流 量 过 滤 等 环 节 。 其 中 涉 及 多 个 系 统 的 协 同 关 联 作 业 。 只 要 有 一 个 环 节 出 现 问 题 ， 就 会 导 致 网 站 无 法 正 常 访 问 。 目 前 云 W A F 系 统 还 没 有 相 对 完 善 的 机 制 解 决 此 类 问 题 ， 必 要 时 只 能 手 动 将 域 名 解 析 权 切 换 回 原 D N S 服 务 器 ， 使 得 网 站 流 量 不 经 过 云 W A F 系 统 。 但 是 域 名 解 析 权 切 换 生 效 是 需 要 一 定 的 时 间 。 这 种 方 式 与 硬 件 设 备 的 B y p a s s 功 能 相 比 ， 显 然 效 率 会 低 很 多 。 云 云 W A F 之 弊 （ 三 ） ： 网 站 访 问 数 据 的 保 密 性 较 低 之 弊 （ 三 ） ： 网 站 访 问 数 据 的 保 密 性 较 低 　 　 网 站 访 问 数 据 对 于 一 些 企 业 机 构 来 说 是 保 密 且 重 要 的 数 据 。 因 为 里 面 可 能 包 含 了 用 户 的 隐 私 以 及 市 场 信 息 。 把 这 些 数 据 存 储 在 本 地 自 己 管 控 相 对 会 比 较 安 全 。 但 是 ， 如 果 网 站 使 用 了 云 W A F 系 统 ， 网 站 的 所 有 访 问 数 据 都 会 被 记 录 在 端 节 点 并 上 传 到 控 制 中 心 ， 相 当 于 把 数 据 交 给 了 别 人 保 管 ， 会 存 在 严 重 的 泄 密 风 险 。 　 　 分 析 利 弊 后 ， 我 们 发 现 ， 云 W A F 目 前 还 只 适 用 于 一 些 安 全 需 求 较 低 的 中 小 企 业 网 站 或 个 人 网 站 。 对 于 一 些 安 全 需 求 较 高 的 网 站 ， 像 政 府 、 金 融 、 运 营 商 等 ， 无 论 从 政 策 法 规 上 还 是 业 务 特 性 上 看 ， 云 W A F 都 无 法 满 足 要 求 。 所 以 建 议 广 大 网 站 管 理 者 ， 需 要 根 据 网 站 的 实 际 情 况 ， 明 确 需 求 ， 选 择 最 为 合 适 的 安 全 产 品 和 服 务 。                                                                                                                                                                  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理