搜索

[11024] 2017-02-13_阿里云云盾Web应用防火墙深度测评

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-02-13_阿里云云盾Web应用防火墙深度测评 阿 里 云 云 盾 W e b 应 用 防 火 墙 深 度 测 评 F r e e B u f 研 究 院   F r e e B u f   2 0 1 7 - 0 2 - 1 3 在 今 年 的 在 今 年 的 W i t A w a r d s   2 0 1 6 互 联 网 安 全 年 度 评 选 中 ， 阿 里 云 云 盾 互 联 网 安 全 年 度 评 选 中 ， 阿 里 云 云 盾 W e b 应 用 防 火 墙 （ 应 用 防 火 墙 （ W A F ） 以 其 技 术 和 服 务 赢 得 了 大 众 和 评 委 ） 以 其 技 术 和 服 务 赢 得 了 大 众 和 评 委 的 认 可 ， 斩 获 「 年 度 云 安 全 产 品 及 服 务 」 奖 项 。 实 际 上 ， 的 认 可 ， 斩 获 「 年 度 云 安 全 产 品 及 服 务 」 奖 项 。 实 际 上 ， W A F 已 经 成 为 企 业 守 护 已 经 成 为 企 业 守 护 w e b 应 用 的 常 规 安 全 产 品 ， 那 么 云 盾 应 用 的 常 规 安 全 产 品 ， 那 么 云 盾 W A F 在 竞 争 对 手 间 获 得 这 个 奖 项 的 原 因 在 哪 儿 呢 ？ 在 竞 争 对 手 间 获 得 这 个 奖 项 的 原 因 在 哪 儿 呢 ？ 1 .     从 防 火 墙 到 云 从 防 火 墙 到 云 W A F W e b 应 用 防 火 墙 简 称 W A F ， 这 是 目 前 绝 大 部 分 有 互 联 网 业 务 的 企 业 用 户 都 会 接 触 到 的 一 类 安 全 产 品 。 W A F 本 身 隶 属 于 应 用 防 火 墙 类 别 （ 基 于 网 络 的 应 用 防 火 墙 ） ， 和 状 态 防 火 墙 的 典 型 差 异 就 在 于 ， 后 者 是 无 法 控 制 特 定 应 用 的 网 络 流 量 的 — — 而 W A F 专 门 负 责 从 w e b 应 用 ， 或 者 是 去 往 w e b 应 用 的 H T T P 流 量 过 滤 、 监 控 和 拦 截 。 W A F 通 过 检 查 H T T P 流 量 ， 来 阻 止 w e b 应 用 安 全 漏 洞 攻 击 ， 比 如 说 S Q L 注 入 、 X S S 和 安 全 不 合 理 设 置 等 等 。 W A F 部 署 在 w e b 应 用 之 前 ， 分 析 双 向 基 于 w e b 的 流 量 ， 检 测 和 阻 止 所 有 恶 意 流 量 。 这 一 类 产 品 的 出 现 也 并 不 晚 。 专 门 针 对 W e b 应 用 的 防 火 墙 相 较 应 用 防 火 墙 的 出 现 晚 了 大 约 1 0 年 。 最 早 的 防 火 墙 由 P e r f e c t o   T e c h n o l o g i e s 制 造 ， 当 时 其 A p p S h i e l d 产 品 主 要 针 对 的 是 电 子 商 务 市 场 。 后 来 P e r f e c t o 更 名 S a n c t u m ， 他 们 列 出 了 相 关 W e b 应 用 前 T o p   1 0 入 侵 技 术 ， 实 际 上 也 为 W A F 市 场 打 下 了 基 础 。 2 0 0 2 年 ， 开 源 项 目 M o d S e c u r i t y 的 出 现 让 W A F 技 术 得 到 进 一 步 普 及 ， 解 决 了 不 少 行 业 内 的 问 题 ， 包 括 成 本 、 专 有 规 则 建 立 等 等 。 M o d S e c u r i t y 敲 定 了 一 些 核 心 规 则 用 于 防 护 W e b 应 用 。 2 0 0 3 年 ， W A F 工 作 借 由 O W A S P 的 T o p   1 0 列 表 再 度 做 了 扩 展 和 标 准 化 ， 这 个 列 表 针 对 W e b 安 全 漏 洞 做 了 年 度 总 结 — — 很 快 也 就 成 为 行 业 内 的 基 准 。 到 2 0 1 0 年 ， 来 自 F o r r e s t e r 的 数 据 ， W A F 市 场 规 模 突 破 了 2 亿 美 元 。 随 着 云 计 算 技 术 的 普 及 ， 云 化 的 W A F 也 不 再 是 新 概 念 ， 许 多 云 服 务 提 供 商 也 有 相 应 基 于 云 的 W A F 推 出 ， 国 际 上 有 A W S ， 而 国 内 则 由 阿 里 云 领 先 ， 腾 讯 、 U c l o u d 也 有 相 应 云 W A F 产 品 。 那 么 云 上 的 W A F 和 传 统 部 署 到 企 业 机 房 中 的 W A F 有 何 差 别 呢 ？ 对 用 户 而 言 ， 如 云 盾 W A F 这 类 产 品 不 需 要 做 软 件 和 硬 件 方 便 的 变 更 。 通 过 D N S 变 更 令 所 有 w e b 流 量 通 过 W A F ， 再 做 流 量 检 查 。 其 次 ， 基 于 云 的 W A F 一 般 都 是 中 心 化 部 署 的 ， 这 样 一 来 所 有 的 云 端 用 户 可 以 做 到 威 胁 检 测 信 息 的 共 享 ， 这 是 云 计 算 原 本 就 有 的 优 势 。 对 于 提 升 检 出 率 、 降 低 误 报 率 很 有 帮 助 。 另 外 和 其 它 基 于 云 的 解 决 方 案 类 似 ， 基 于 云 的 W A F 也 具 有 弹 性 特 点 ， 随 用 户 所 需 做
规 模 变 更 。 所 以 这 类 产 品 对 于 基 于 云 的 w e b 应 用 ， 以 及 需 要 W e b 应 用 安 全 但 又 不 打 算 或 者 没 有 能 力 在 系 统 中 做 软 件 或 硬 件 变 更 的 中 小 型 企 业 来 说 ， 是 相 当 理 想 的 产 品 。 综 合 来 说 ： 基 于 云 的 W A F 理 应 有 下 面 这 些 特 点 ： -   有 弹 性 ， 可 扩 展 ； -   快 速 ； -   易 于 设 置 ； -   提 供 所 谓 的 p a y - a s - y o u - g r o w 服 务 ； -   可 共 享 威 胁 检 测 信 息 。 其 中 的 易 于 设 置 ， 对 很 多 中 小 型 企 业 而 言 的 确 非 常 重 要 。 用 户 并 不 需 要 针 对 系 统 做 出 任 何 软 件 和 硬 件 上 的 变 化 ， 就 能 起 到 对 W e b 应 用 的 防 护 ， 应 用 定 制 化 的 规 则 。 2 .   阿 里 云 云 盾 阿 里 云 云 盾 W A F 产 品 试 用 体 验 产 品 试 用 体 验 F r e e B u f 在 大 会 现 场 也 简 短 采 访 了 阿 里 云 高 级 产 品 专 家 祝 建 跃 ， 他 提 到 云 盾 提 供 的 是 各 个 行 业 都 需 要 的 通 用 安 全 服 务 。 他 认 为 ， 云 计 算 就 类 似 企 业 的 操 作 系 统 ， 所 以 作 为 操 作 系 统 厂 商 应 该 做 的 就 是 提 供 基 础 的 安 全 服 务 。 企 业 不 用 研 究 安 全 ， 不 用 担 心 基 本 运 维 ， 只 需 在 云 计 算 平 台 上 按 自 己 需 求 组 建 业 务 架 构 ， 这 和 我 们 在 采 访 肖 力 的 时 候 所 说 一 致 。
基 于 此 框 架 ， 阿 里 云 云 盾 有 着 自 己 的 安 全 防 护 机 制 ， 分 为 情 报 、 感 知 、 防 御 三 个 维 度 ， 通 过 威 胁 情 报 共 享 和 产 品 联 动 ， 来 控 制 风 险 。 云 盾 W A F 就 属 于 其 中 的 “ 防 御 ” 关 卡 。 阿 里 云 高 级 产 品 专 家   祝 建 跃         F r e e B u f 小 编 对 阿 里 云 云 盾 W A F 产 品 进 行 了 试 用 。 如 前 文 所 述 ， 基 于 云 的 W A F 产 品 本 身 有 着 便 捷 的 特 点 ， 并 不 需 要 由 用 户 对 软 件 和 硬 件 做 出 变 更 ， 部 署 W A F 防 火 墙 就 只 是 一 键 操 作 的 过 程 ， 这 一 点 在 云 盾 W A F 使 用 中 也 能 明 显 感 觉 出 来 。 在 阿 里 云 的 管 理 控 制 台 上 ， 左 侧 边 栏 就 有 云 盾 的 各 类 产 品 可 选 ， 其 中 就 包 括 了 W A F （ 实 际 上 在 我 的 产 品 中 也 能 找 到 这 个 选 项 ） 。 2 . 1   基 础 功 能 介 绍 基 础 功 能 介 绍 我 们 这 次 获 得 试 用 的 是 企 业 版 。 除 了 企 业 版 之 外 ， 用 户 也 可 以 选 择 “ 旗 舰 版 ” ， 其 差 异 主 要 在 于 支 持 Q P S 流 量 达 到 1 0 0 0 0 （ 企 业 版 为 5 0
0 0 ） ； C C 防 护 Q P S   5 0 0 0 0 0 （ 企 业 版 为 1 0 0 0 0 0 ） ； 访 问 控 制 规 则 支 持 2 0 0 条 （ 企 业 版 为 5 0 条 ） ； 带 宽 更 大 ； 另 外 旗 舰 版 的 安 全 防 护 可 做 参 数 规 格 定 制 。 其 他 包 括 支 持 的 业 务 、 域 名 等 都 是 一 致 的 。 在 产 品 界 面 上 ， 只 需 要 在 域 名 管 理 商 处 添 加 C N A M E 记 录 ， 即 可 将 W e b 流 量 转 发 至 W A F — — 使 用 C N A M E 的 好 处 在 于 网 站 不 对 攻 击 者 暴 露 地 址 、 避 免 绕 过 W e b 应 用 防 火 墙 做 攻 击 。
域 名 配 置 界 面 可 以 管 理 所 有 域 名 （ 至 多 1 0 个 ） ， 每 个 域 名 对 应 栏 目 都 能 看 到 是 否 已 经 接 入 W A F ， 最 后 一 次 遭 遇 攻 击 的 时 间 ； 以 及 各 种 安 全 开 关 的 快 速 预 览 — — 防 护 配 置 中 有 各 类 防 护 开 关 ， 包 括 W e b 应 用 攻 击 防 护 、 恶 意 I P 惩 罚 （ 某 个 I P 在 短 时 间 内 多 次 W e b 攻 击 ， 则 可 设 置 封 禁 该 I P 一 段 时 间 ） 、 封 禁 地 区 、 C C 安 全 防 护 、 “ 精 准 访 问 控 制 ” 、 数 据 风 控 和 “ 新 智 能 防 护 引 擎 ” 。 当 然 其 中 具 体 的 规 则 需 要 用 户 自 行 设 定 ， 但 相 比 传 统 的 W A F ， 云 W A F 操 作 简 单 快 捷 的 特 点 也 在 此 体 现 。 其 中 值 得 一 提 的 是 W A F 的 友 好 观 察 模 式 ， 它 可 以 针 对 网 站 新 上 线 的 业 务 开 启 观 察 模 式 、 对 于 匹 配 中 防 护 规 则 的 疑 似 攻 击 只 告 警 不 阻 断 、 方 便 统 计 业 务 误 报 状 况 ； 云 盾 W A F 的 另 外 一 个 值 得 一 提 的 功 能 是 C C 攻 击 防 御 ： W A F 对 单 一 源 I P 的 访 问 频 率 进 行 控 制 、 重 定 向 跳 转 验 证 、 人 机 识 别 等 。 而 针
对 海 量 慢 速 请 求 攻 击 、 识 别 异 常 r e f e r e r 、 U s e r - a g e n t 等 信 息 的 请 求 ， 可 结 合 精 确 访 问 控 制 过 滤 。 C C 防 御 是 很 多 网 站 关 心 的 内 容 ， 作 为 一 款 线 上 W A F ， 阿 里 云 云 盾 可 以 利 用 云 上 的 资 源 弹 性 伸 缩 的 特 点 ， 更 好 地 防 御 攻 击 。 简 单 来 说 就 是 同 样 的 攻 击 ， 在 本 地 可 以 采 用 跟 云 上 一 样 的 技 术 手 段 来 进 行 防 御 。 但 本 地 的 带 宽 和 服 务 器 资 源 都 有 限 ， 当 攻 击 大 到 一 定 程 度 的 时 候 ， 本 地 资 源 就 会 出 现 瓶 颈 ， 这 时 候 各 种 技 术 手 段 都 没 有 意 义 了 。         因 此 ， 拥 有 大 量 云 资 源 对 于 大 规 模 攻 击 而 言 ， 是 个 重 要 优 势 。 这 也 是 云 W A F 的 优 势 之 一 。       再 次 是 精 准 访 问 控 制 ： 阿 里 云 W A F 支 持 I P 、 U R L 、 R e f e r e r 、 U s e r - A g e n t 等 H T T P 常 见 字 段 的 条 件 组 合 ， 构 造 精 准 访 问 控 制 策 略 ， 这 个 功 能 可 以 用 来 作 为 盗 链 防 护 、 网 站 后 台 保 护 等 防 护 场 景 。 在 这 些 设 置 搞 定 之 后 ， 了 解 W e b 应 用 安 全 自 然 也 是 产 品 需 要 做 的 ， 包 括 告 警 等 内 容 。 在 产 品 总 览 界 面 ， 可 见 针 对 中 国 大 陆 、 中 国 香 港 和 新 加 坡 ， 不 同 地 域 所 推 的 服 务 是 有 边 界 之 分 的 。 主 界 面 主 要 给 出 了 W e b 攻 击 、 C C 攻 击 和 访 问 控 制 事 件 的 3 0 天 曲 线 图 ， 让 用 户 了 解 攻 击 频 率 和 趋 势 。 消 息 列 表 则 给 定 了 公 告 和 规 则 更 新 事 件 。
界 面 顶 部 有 个 铃 铛 模 样 的 告 警 查 看 按 钮 ， 点 击 即 可 W e b 应 用 防 火 墙 攻 击 总 览 。 我 们 自 己 尝 试 对 站 点 进 行 注 入 攻 击 ， 亦 实 时 从 这 个 下 拉 菜 单 中 看 到 攻 击 次 数 ， 点 击 进 去 就 可 以 了 解 攻 击 详 情 。 进 入 安 全 总 览 中 的 详 细 安 全 报 表 ， 这 部 分 依 旧 与 总 览 界 面 的 曲 线 图 对 应 ， 分 成 了 W e b 应 用 攻 击 、 C C 攻 击 和 访 问 控 制 事 件 。 主 体 显 示 昨 天 、 今 天 、 7 天 内 和 3 0 天 内 的 攻 击 概 览 ； 攻 击 类 型 占 比 ； 还 有 攻 击 来 源 I P   T o p 5 与 区 域 T o p   5 。
当 然 如 果 要 查 看 某 个 攻 击 来 源 I P 的 攻 击 详 情 ， 也 可 以 在 下 面 的 每 一 条 日 志 中 点 开 了 解 。 而 在 “ 业 务 分 析 ” 界 面 ， 周 期 同 样 是 昨 天 、 今 天 、 7 天 和 3 0 天 内 的 。 实 际 上 这 是 个 比 较 简 单 的 业 务 数 据 呈 现 ， 比 如 请 求 来 源 区 域 T o p   5 、 访 问 I P 次 数 T o p   5 和 访 问 浏 览 器 饼 图 等 。 基 于 云 的 W A F 上 手 过 程 本 身 就 是 无 痛 的 ， 用 户 也 不 需 要 关 心 W A F 具 体 是 如 何 布 局 的 ， 点 几 个 按 钮 即 可 完 成 操 作 。 如 果 要 归 结 这 种 便 捷 的 使 用 体 验 ， 大 概 主 体 上 就 是 云 计 算 技 术 带 来 的 吧 。 云 盾 W A F 本 身 在 管 理 控 制 台 的 设 计 上 也 比 较 简 单 合 理 ， 用 户 几 乎 不 需 要 什 么 学 习 成 本 。 2 . 2   特 色 功 能 介 绍 特 色 功 能 介 绍 如 果 只 谈 云 端 配 置 W A F 的 使 用 体 验 和 相 关 W A F 的 这 些 功 能 ， 那 显 得 相 当 常 规 。 获 得 W i t A w a r d s   2 0 1 6 还 是 需 要 一 些 杀 手 锏 才 行 的 。 前 文 在 防 护 配 置 中 就 提 到 ， 云 盾 W A F 这 款 产 品 有 “ 新 智 能 防 护 引 擎 ” 和 “ 数 据 风 控 ” 特 性 可 选 。 这 两 者 实 际 上 也 是 云 盾 W A F 得 以 脱 颖 而 出 的 根 本 所 在 。 所 以 我 们 也 有 必 要 重 点 谈 一 谈 这 两 项 特 性 。 智 能 语 义 检 测 智 能 语 义 检 测 云 盾 W A F 使 用 了 智 能 语 义 检 测 来 识 别 风 险 。 这 与 传 统 的 “ 规 则 检 测 ” 不 同 ， 传 统 的 规 则 检 测 原 理 是 每 个 会 话 都 要 经 过 一 系 列 的 安 全 检 测 ， 每 项 检 测 都 由 一 个 或 多 个 检 测 规 则 组 成 — — 如 果 匹 配 检 测 规 则 ， 请 求 就 会 被 认 为 非 法 。 这 实 际 上 是 很 常 规 ， 所 有 人 都 认 为 理 所 当 然 的 一 个 思 路 。 这 种 方 案 的 弱 点 在 于 不 够 变 通 ， 在 识 别 风 险 时 往 往 走 向 两 个 极 端 ， 要 么 规 则 不 够 全 面 ， 造 成 漏 报 ； 要 么 规 则 过 于 严 格 ， 造 成 误 报 。
并 且 基 于 规 则 的 W A F 需 要 一 个 强 大 的 规 则 库 支 撑 ， 并 且 规 则 库 需 要 及 时 更 新 来 应 对 最 新 的 攻 击 。 对 运 维 人 员 来 说 ， 规 则 条 目 变 得 很 复 杂 ， 规 则 库 维 护 困 难 。 一 旦 这 种 问 题 变 得 比 较 严 重 ， 某 些 规 则 含 义 到 后 来 都 会 遗 忘 。 这 是 阿 里 云 云 盾 W A F 期 望 解 决 的 问 题 。 另 外 基 于 规 则 的 检 测 当 然 也 是 不 能 有 效 防 御 未 知 威 胁 的 。         而 智 能 语 义 检 测 则 是 类 似 对 请 求 的 “ 语 义 ” 进 行 分 析 。 首 先 把 同 类 行 为 特 征 归 并 起 来 ， 再 根 据 合 法 应 用 数 据 检 测 建 立 统 计 模 型 ， 以 此 模 型 为 依 据 判 别 实 际 通 信 数 据 是 否 是 攻 击 。 简 单 来 说 就 是 用 自 然 语 言 的 语 义 来 理 解 并 且 描 述 同 一 类 攻 击 。 攻 击 特 征 的 排 列 组 合 就 是 攻 击 的 语 义 化 。 这 样 就 能 拨 开 各 种 变 形 看 到 真 相 ， 把 攻 击 行 为 “ 语 义 化 ” 。 这 样 “ 高 逻 辑 性 ” “ 高 条 理 性 ” 的 方 法 能 够 减 少 规 则 库 数 量 ， 也 能 降 低 维 护 成 本 。 按 照 阿 里 云 的 说 法 ， “ 对 于 防 御 位 置 威 胁 、 0 d a y 攻 击 尤 其 有 效 ” 。 阿 里 云 W A F 的 宣 传 中 提 到 ， 通 过 技 术 创 新 使 得 规 则 条 数 下 降 7 0 % ， 运 营 成 本 降 低 5 0 % 。 不 过 我 们 在 体 验 云 盾 W A F 的 过 程 中 注 意 到 ， 该 功 能 默 认 并 没 有 打 开 ， 需 要 手 动 开 启 。 这 招 听 起 来 似 乎 很 高 深 ， 不 过 就 像 前 文 所 述 ， 云 服 务 提 供 商 本 身 的 优 势 之 一 就 是 在 整 个 平 台 上 威 胁 数 据 的 共 享 。 所 以 针 对 大 量 威 胁 ， 云 服 务 提 供 商 都 收 集 有 足 够 多 的 数 据 可 供 分 析 ， 利 用 大 数 据 机 器 学 习 的 方 案 ， 自 然 可 以 让 安 全 做 得 更 到 位 。 在 我 们 看 来 ， 这 里 的 智 能 引 擎 本 质 就 是 大 数 据 在 安 全 方 面 的 典 型 应 用 。 这 些 数 据 是 惠 及 云 平 台 的 所 有 用 户 的 ， 从 本 质 上 来 说 ， 这 就 是 云 计 算 技 术 带 来 的 便 利 。 业 务 风 控 防 护 业 务 风 控 防 护 业 务 安 全 和 W e b 安 全 实 际 上 一 直 都 具 有 很 强 的 关 联 性 ， 所 以 阿 里 云 云 盾 W A F 团 队 的 看 法 是 ， 如 果 只 防 业 务 安 全 ， 没 有 W e b 防 护 打 地 基 则 产 品 会 显 得 很 单 薄 。 要 推 令 人 满 意 的 产 品 ， 减 缓 业 务 层 干 扰 ， 就 需 要 这 款 产 品 的 接 入 、 上 心 、 更 新 速 度 都 加 快 ， 对 透 明 度 要 求 也 比 较 高 。 能 够 做 到 透 明 接 入 、 快 速 上 线 的 安 全 产 品 ， W A F 就 是 其 中 一 个 ， 其 接 入 简 单 、 对 业 务 又 几 乎 没 有 什 么 干 扰 。 不 过 一 般 W A F 的 确 也 智 能 对 S Q L 注 入 、 X S S 这 类 常 见 攻 击 做 防 护 ， 业 务 数 据 风 控 是 个 比 较 精 细 化 的 活 。 所 以 W A F 团 队 期 望 将 数 据 风 控 和 W A F 放 到 一 起 。 这 是 我 们 在 云 盾 W A F 产 品 中 见 到 “ 业 务 风 控 防 护 ” 这 个 选 项 的 原 因 。 这 项 功 能 解 决 的 是 企 业 的 暴 力 登 录 、 撞 库 、 垃 圾 注 册 、 羊 毛 党 等
一 系 列 贴 近 业 务 层 的 安 全 问 题 。 阿 里 云 W A F 的 数 据 业 务 风 控 原 理 是 利 用 了 W A F 作 为 代 理 介 入 客 户 端 浏 览 器 与 服 务 器 之 间 的 角 色 ： 1 .   通 过 利 用 W A F 上 经 过 的 返 回 页 面 流 量 ， 在 页 面 注 入 相 应 的 J s 脚 本 ； 2 .   J s 脚 本 采 集 数 据 并 h o o k 用 户 所 有 触 发 提 交 操 作 的 事 件 ， 将 数 据 注 入 请 求 中 ； 3 .   请 求 再 次 经 过 W A F 时 ， 能 由 W A F 解 析 请 求 并 提 取 相 应 风 险 识 别 数 据 提 交 风 控 大 脑 进 行 综 合 决 策 判 断 是 阻 断 用 户 请 求 还 是 发 起 二 次 校 验 挑 战 。 如 果 检 测 到 访 客 存 在 可 疑 ， W A F 就 可 能 发 起 安 全 验 证 ， 用 户 需 要 经 过 验 证 后 方 可 继 续 。 而 即 便 存 在 误 报 现 象 由 于 验 证 操 作 体 验 较 好 ， 也 不 会 给 用 户 带 来 糟 糕 的 体 验 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理