搜索

[2688] 2016-03-14_WAF：必要的安全控制手段抑或过时的技术方案

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-16
2016-03-14_WAF：必要的安全控制手段抑或过时的技术方案 W A F ： 必 要 的 安 全 控 制 手 段 抑 或 过 时 的 技 术 方 案 原 创   E 安 全   E 安 全   2 0 1 6 - 0 3 - 1 4 G a r t n e r 公 司 的 魔 力 象 限 2 0 1 5 年 W e b 应 用 程 序 防 火 墙 （ 简 称 W A F ） 报 告 指 出 ， 目 前 全 球 W e b 应 用 防 火 墙 市 场 总 值 高 达 4 . 2 亿 美 元 ， 年 增 长 幅 度 为 2 4 % ， 这 也 使 得 W e b 应 用 防 火 墙 成 为 当 下 最 具 人 气 且 / 或 检 测 当 前 W e b 应 用 安 全 控 制 水 平 的 理 想 方 案 。 P C I   D S S   3 . 1 要 求 6 . 6 建 议 将 W e b 应 用 防 火 墙 作 为 安 全 漏 洞 扫 描 的 备 用 方 案 ， 而 I A C A 的 《 D e v O p s 从 业 者 注 意 事 项 》 中 则 将 W e b 应 用 防 火 墙 纳 入 企 业 需 要 在 践 行 D e v O p s 以 降 低 成 本 并 提 升 敏 捷 性 时 必 须 具 备 的 十 大 关 键 性 安 全 控 制 手 段 之 一 。 如 今 已 经 有 众 多 大 型 及 中 型 企 业 提 供 各 类 W e b 应 用 防 火 墙 解 决 方 案 ， 其 中 普 遍 包 含 有 D D o S 保 护 、 C D N 、 A D C 以 及 其 它 相 关 机 制 。 A m a z o n   W e b   S e r v i c e s （ 简 称 A W S ） 最 近 也 发 布 了 自 己 的 W e b 应 用 防 火 墙 服 务 。 G a r t n e r 公 司 预 测 到 2 0 2 0 年 ， 将 有 超 过 六 成 公 共 W e b 应 用 受 到 W e b 应 用 防 火 墙 的 保 护 。 然 而 在 2 0 1 5 年 的 魔 力 象 限 报 告 中 ， G a r t n e r 公 司 只 列 出 了 一 家 位 于 领 导 者 象 限 的 厂 商 （ I m p e r v a ） 以 及 两 家 前 瞻 者 厂 商 （ D e n y A l l 与 P o s i t i v e   T e c h n o l o g i e s ） 。 全 部 其 它 厂 商 皆 属 于 利 基 厂 商 （ 指 面 向 特 定 利 基 客 户 的 方 案 供 应 商 ， 一 般 其 产 品 在 市 场 上 不 具 有 通 用 性 ） 或 者 挑 战 者 厂 商 。 另 外 ， 由 于 未 能 满 足 纳 入 标 准 ， 还 有 多 家 厂 商 干 脆 未 能 入 选 当 次 魔 力 象 限 。 在 2 0 1 5 年 的 魔 力 象 限 报 告 中 ， 安 恒 信 息 和 绿 盟 科 技 是 唯 一 入 选 的 中 国 安 全 厂 商 ， 其 中 安 恒 信 息 W A F 的 技 术 优 势 在 于 能 够 进 行 自 动 策 略 学 习 和 W e b 应 用 缓 存 ， 并 且 可 以 在 反 向 代 理 、 透 明 代 理 或 监 控 模 式 中 操 作 。 同 时 ， 安 恒 信 息 W A F 还 可 以 与 安 恒 信 息 漏 洞 扫 描 器 、 数 据 库 安 全 产 品 进 行 集 成 。 E 安 全 百 科 ： 这 四 种 划 分 是 G a r t n e r 魔 力 象 限 的 经 典 定 位 ， 领 导 者 、 前 瞻 者 、 利 基 厂 商 与 挑 战 者 ， 是 按 照 各 企 业 的 技 术 发 展 路 线 与 执 行 能 力 两 项 指 标 评 估 得 出 的 。 去 年 ， 安 全 研 究 人 员 M a z i n   A h m e d 发 布 了 一 份 白 皮 书 ， 其 中 证 明 了 大 多 数 主 流 W e b 应 用 防 火 墙 厂 商 采 用 的 X S S 保 护 机 制 可 被 绕 过 。 X X S P o s e d （ 即 开 放 B u g   B o u n t y 项 目 ） 此 前 曾 发 布 过 其 私 有 与 开 放 B u g   B o u n t y 程 序 ， 每 天 在 各 大 型 网 站 当 中 发 布 新 的
X S S 安 全 漏 洞 ， 这 使 得 安 全 研 究 人 员 完 全 可 以 借 此 绕 开 魔 力 象 限 报 告 中 提 到 的 几 乎 每 一 款 W e b 应 用 防 火 墙 。 R A S P （ 即 运 行 时 应 用 自 我 保 护 ） 趋 势 带 来 的 相 关 解 决 方 案 亦 可 通 过 同 样 的 技 术 手 段 实 现 绕 过 。 H i g h - T e c h   B r i d g e 最 近 发 布 了 一 项 针 对 M o d S e c u r i t y 白 标 W e b 应 用 防 火 墙 的 研 究 报 告 （ 在 E 安 全 微 信 公 众 号 内 回 复 “ H T B W A F ” 查 看 全 文 报 告 ） ， 其 中 显 示 W e b 应 用 防 火 墙 完 全 能 够 用 于 缓 解 像 是 非 正 确 访 问 控 制 或 者 会 话 固 定 这 样 的 高 复 杂 性 安 全 漏 洞 。 但 遗 憾 的 是 ， 众 多 商 用 方 案 供 应 商 甚 至 根 本 无 法 在 虚 拟 修 复 层 面 实 现 M o d S e c u r i t y 现 有 技 术 水 平 及 灵 活 性 的 一 半 。 然 而 ， H i g h - T e c h   B r i d g e 的 研 究 成 果 还 强 调 称 ， M o d S e c u r i t y   O W A S P   C R S 在 默 认 配 置 下 亦 可 被 绕 过 ， 而 创 建 定 制 化 规 则 集 则 非 常 复 杂 且 需 要 投 入 大 量 时 间 。 以 下 为 W e b 应 用 防 火 墙 常 常 无 法 发 挥 应 有 作 用 的 五 种 主 要 理 由 ： 1 . 部 署 失 误 ， 缺 少 相 关 技 能 以 及 不 同 的 风 险 应 对 优 先 级 设 置 部 署 失 误 ， 缺 少 相 关 技 能 以 及 不 同 的 风 险 应 对 优 先 级 设 置 很 多 企 业 并 不 具 备 合 格 的 技 术 人 员 以 维 护 并 支 持 W e b 应 用 防 火 墙 配 置 。 不 出 所 料 ， 他 们 只 是 将 W e b 应 用 防 火 墙 添 加 至 检 测 模 型 当 中 （ 而 未 屏 蔽 任 何 对 象 ） ， 甚 至 没 能 认 真 阅 读 日 志 记 录 。 2 . 仅 出 于 合 规 性 需 求 进 行 部 署 仅 出 于 合 规 性 需 求 进 行 部 署 中 小 型 企 业 安 装 W e b 应 用 防 火 墙 的 目 的 往 往 只 是 为 了 满 足 合 规 性 要 求 。 它 们 并 不 真 正 关 注 实 践 安 全 ， 而 且 显 然 也 不 想 理 会 这 些 W e b 应 用 防 火 墙 带 来 的 维 护 任 务 。 3 . 不 断 发 展 的 不 断 发 展 的 W e b 应 用 程 序 复 杂 性 应 用 程 序 复 杂 性 如 今 每 一 家 企 业 都 拥 有 大 量 内 部 或 者 定 制 化 W e b 应 用 ， 它 们 由 不 同 编 程 语 言 编 写 而 成 ， 采 用 各 类 框 架 与 平 台 。 另 外 ， 我 们 也 经 常 看 到 上 世 纪 九 十 年 代 的 C G I 脚 本 同 如 今 的 高 复 杂 度 A J A X   W e b 应 用 通 过 第 三 方 A P I 相 结 合 ， 同 时 匹 配 来 自 云 环 境 的 W e b 服 务 。 另 外 ， W e b 开 发 人 员 还 需 要 几 乎 每 天 对 自 己 的 W e b 应 用 进 行 更 新 ， 从 而 满 足 各 类 实 际 业 务 需 求 。 很 明 显 ， 如 此 可 观 的 动 态 与 多 元 化 环 境 即 使 是 最 出 色 的 W e b 应 用 防 火 墙 加 上 最 卓 越 的 工 程 师 亦 很 难 保 护 其 万 全 。 4 . 业 务 优 先 级 高 于 网 络 安 全 业 务 优 先 级 高 于 网 络 安 全 W e b 应 用 防 火 墙 几 乎 不 可 避 免 地 会 屏 蔽 掉 一 部 分 合 法 的 网 站 访 问 者 ， 而 这 种 误 报 状 况 自 然 也 将 影 响 到 企 业 的 正 常 业 务 。 一 般 来 讲 ， 客 户 往 往 由 于 无 法 正 常 使 用 服 务 而 发 起 投 诉 ， 这 将 给 竞 争 对 手 留 下 可 乘 之 机 — — 因 此 企 业 管 理 者 肯 定 会 将 W e b 应 用 防 火 墙 切 换 至 纯 检 测 模 式 （ 至 少 直 到 下 一 次 服 务 质 量 审 核 ） 。 5 . 无 力 抵 御 高 级 网 络 攻 击 无 力 抵 御 高 级 网 络 攻 击 从 设 计 层 面 来 讲 ， W e b 应 用 防 火 墙 无 法 抵 御 未 知 的 应 用 逻 辑 漏 洞 ， 也 不 能 解 决 那 些 需 要 理 解 应 用 业 务 逻 辑 方 能 实 现 的 功 能 。 几 乎
没 有 多 少 厂 商 愿 意 以 创 新 手 段 将 增 量 规 则 集 强 化 、 I P 信 誉 、 机 器 学 习 以 及 行 为 白 名 单 等 机 制 添 加 进 来 ， 从 而 预 防 此 类 漏 洞 。 当 然 ， 这 方 面 工 作 需 要 投 入 大 量 时 间 ， 而 且 面 临 着 相 当 复 杂 的 学 习 周 期 。 W e b 应 用 防 火 墙 仍 然 是 一 种 相 当 复 杂 的 安 全 控 制 手 段 ， 且 这 种 复 杂 性 主 要 表 现 在 部 署 与 维 护 层 面 。 然 而 ， W e b 应 用 防 火 墙 同 时 也 可 能 是 惟 一 可 行 的 W e b 应 用 预 防 性 安 全 保 护 方 案 ， 并 能 够 显 著 降 低 W e b 漏 洞 带 来 的 潜 在 风 险 。 经 过 正 确 配 置 的 W e b 应 用 防 火 墙 能 够 预 防 各 类 常 见 W e b 漏 洞 （ 例 如 跨 站 点 脚 本 与 S Q L 注 入 ） 所 使 用 的 简 单 载 体 ， 这 种 效 果 即 使 在 高 度 动 态 的 复 杂 环 境 下 亦 可 起 效 。 另 外 ， 如 果 出 于 某 种 理 由 而 无 法 安 装 W e b 源 代 码 漏 洞 补 丁 或 者 厂 商 发 布 的 更 新 包 ， W e b 应 用 防 火 墙 提 供 的 虚 拟 补 丁 亦 能 够 很 好 地 解 决 问 题 。 但 I S A C A 同 时 建 议 称 ， 永 远 不 要 将 W e b 应 用 防 火 墙 视 为 一 种 万 试 万 灵 的 特 效 方 案 。 客 户 还 应 该 将 基 与 其 它 安 全 控 制 手 段 配 合 起 来 ， 例 如 安 全 漏 洞 扫 描 、 开 发 者 安 全 培 训 以 及 持 续 监 控 等 等 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m
点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理