安恒信息明御WEB应用防火墙产品白皮书

1.概述
Web网站是企业和用户、合作伙伴及员工的快速、高效的交流平台。Web网站也容易成为黑客或恶意程序的攻击目标，造成数据损失，网站篡改或其他安全威胁。

根据国家计算机网络应急技术处理协调中心（简称CNCERT/CC）的工作报告显示：
 1.目前中国的互联网安全实际状况仍不容乐观。各种网络安全事件与去年同期相比都有明显增加。

2.对政府类和安全管理相关类网站主要采用篡改网页的攻击形式，以达到泄愤和炫耀的目的，也不排除放置恶意代码的可能，导致政府类网站存在安全隐患。对中小企业，尤其是以网络为核心业务的企业，采用注入攻击、跨站攻击以及应用层拒绝服务攻击（Denial Of Service）等，影响业务的正常开展。

3.2007 年到2009年上半年，中国大陆被篡改网站的数量相比往年处于明显上升趋势。

1.1. 常见攻击手法

目前已知的应用层和网络层攻击方法很多，这些攻击被分为若干类。下表列出了这些最常见的攻击技术，其中最后一列描述了安恒WAF如何对该攻击进行防护。

表 1.1:对不同攻击的 防御方法

2. 现有的防御技术
目前，很多企业采用网络安全防御技术对Web应用进行防护，如综合采用网络防火墙、IDS、补丁安全管理、升级软件等措施，然而这些方法难以有效的阻止Web攻击，且对于HTTPS类的攻击手段，更是显得束手无策。
2.1. 传统网络防火墙
第一代网络防火墙可以控制对网络的访问，管理员可以创建网络访问控制列表（ACLs）允许或阻止来自某个源地址或发往某个目的地址及相关端口的访问流量。传统的防火墙无法阻止Web攻击，不论这些攻击来自防火墙内部的还是外部，因为它们无法检测、阻断、修订、删除或重写HTTP应用的请求或应答内容。为了保障对web应用的访问，防火墙会开放Web应用的80端口，这意味着Internet上的任意IP都能直接访问Web应用，因此web及其应用服务器事实上是无安全检测和防范的。
状态检测防火墙是防火墙技术的重大进步，这种防火墙在网络层的ACLs基础上增加了状态检测方式，它监视每一个连接状态，并且将当前数据包和状态信息与前一时刻的数据包和状态信息进行比较，从而得到该数据包的控制信息，来达到保护网络安全的目的。它能根据TCP会话异常及攻击特征阻止网络层的攻击，通过IP分拆和组合也能判断是否有攻击隐藏在多个数据包中。然而，状态防火墙无法侦测很多应用层的攻击，如果一个攻击隐藏在合法的数据包中，它仍然能通过防火墙到达应用服务器；同样，如果某个攻击进行了加密或编码该防火墙也不能检测。
2.2. 入侵检测系统（IDS）
入侵检测系统使用特征识别技术记录并报警潜在的安全威胁。其工作模式是被动的，它不能阻止攻击，也不能对未知的攻击进行报警。目前大多数攻击特征数据库都是网络层的攻击，此外，可以通过加密，TCP碎片攻击以及其他方式绕过入侵检测系统的防御。

3. Web安全需求
企业 对Web应用的安全防护主要包括如下需求：部署简便，管理集中，操作简洁，性能影响甚微。包括：
•对现有网络拓扑结构尽量无影响；
•方便管理，无需进行复杂的配置；
•对现有WEB服务器的访问速率不能造成太大的影响；
•对正常业务访问不能进行错误的拦截阻断。
3.1. Web应用防火墙
Web应用防火墙的两个关键功能是，深入理解HTTP/HTTPS协议，可监测往返流量，能对web流量进行安全控制。Web数据中心是经常变化的，包括新的应用程序、新的软件模块，不断更新的软件补丁等。专业的安全工具和方法应能适应这种动态环境，应用配置的升级更新和对监测数据的分析使得应用防火墙总能适应新的安全需求.

4. 安恒WAF的特点
安恒WAF提供高效的Web应用安全边界检查功能。安恒WAF整合了Web安全深度防御及站点隐藏等功能，能全方位的保护用户的Web数据中心。通过对对所有Web流量（包括客户端请求流量和服务器返回的数据流量）进行深度检测，提供了实时有效的入侵防护功能。安恒WAF充分考虑用户已有环境的差异性，对环境兼容性、应用多样性进行了深入的分析和总结。

4.1. 领先的透明代理模式
WEB应用防火墙技术经过不断的发展已经日益成熟，安恒WAF采用业界领先的代理技术实现WEB应用深度分析和防御。基于代理的防火墙技术在防护深度及细粒度方面有着包过滤防火墙无法比拟的优势，但是如果代理模式处理不当也会对网络及应用系统产生影响，最为明显的影响是对网络数据包文头的改变，导致服务器识别到的源地址是代理设备IP地址，无法识别真话的访问者。而且还会对HTTP应用数据流头部的影响，如增加X-Forwarded相关的字段或影响已有的代理环境，影响WEB业务的正常使用，以及致使WEB服务器访问日志失效。
安恒WAF凭着对网络及应用的深入解理，以及多年的研发经验，研发的WAF产品继承了代理防火墙技术深度防御的特性，同时也吸纳了网络防火墙对网络及应用透明的优点。安恒是国内首家发布全透明代理的模式的WEB应用防火墙厂家，安恒WAF的部署不会对网络及应用产生任何的影响，甚至安恒WAF的工作口不需要配置任何的IP即可正常工作。

4.2. 独创的镜像监控模式
WEB应用系统随着应用需求不同而千变万化，对应用的防护和安全识别提出了高的要求，因此应用环境中对WEB应用防火墙的接入需要经过深入的分析和调研才能实现。针对一些大型的业务系统，特别是对业务连续性有较高要求的行为如电信运营、金融证券、社会保障等需要不中断对外服务的应用系统对部署WAF产品是一个极大的挑战。
如果实现部署WAF前期的准备或者让WAF工作在监测模式下而不影响正常的业务是大型应用系统的一个钢性需求。安恒WAF产品独创的镜像监控模式彻底解决这个难题，安恒WAF产品支持端口镜像和串接镜像两种方式实现对数据包的分布，对安全的监测，端口镜像模式下仅需将监测流量镜像至WAF即可，而不会影响网络和应用系统；串接镜像时将WAF串接入需要监测的环境，此时WAF会自动复制一份数据包进行监测，也不会影响原有的网络及应用。

4.3. 双向SSL的支持
WEB应用防火墙技术可以完美的防护HTTP应用系统，然而针对于HTTPS的应用系统则是当前WEB应用防火墙技术的难点。基于HTTPS的应用系统，在网络环境常规的设备无法识别传输的应用数据，更无法识别来自应用层的攻击。要对HTTPS应用进行应用防护，必须要求WAF能良好的支持HTTPS协议并能对SSL数据流进行中继。由于SSL需要大量的数据运算对设备性能要求高，以及需要对用户端和服务器端双向的SSL支持这些技术难点，导致很多WEB应用防火墙无法实现对HTTPS的支持。
安恒WAF支持双向的SSL环境，能对原有的HTTPS应用系统良好的适应，无勿需改变原有环境，对HTTPS应用系统仍可透明部署和全面防御。安恒通过对HTTPS的支持从而实现了对HTTP、HTTPS的全面防护，解决了WEB防火墙无法防御HTTPS应用的短板。

5. 安恒WAF的功能
安恒WAF提供下列功能：
•深度防护
•Web站点隐藏
•策略设置向导
•安全策略
•检测和阻断模式
•硬件旁路模式
•HTTPS/SSL的完全支持
•网页防篡改
•日志和报表
•高可操作性

5.1. 深度防护
安恒WAF通过对Web流量进行深度检测对Web应用进行深度防护，提供了全面的入侵防御能力。
安恒WAF能在攻击到达Web服务器之前进行阻断，防止恶意的请求或内置非法程序的请求访问目标应用。安恒WAF能解码所有进入的请求，检查这些请求是否合法或合乎规定；仅允许正确的格式或RFC遵从的请求通过。已知的恶意请求将被阻断，非法植入到Header、Form 和URL中的脚本将被阻止。Web应用防火墙还能进行Web地址翻译、请求限制、URL格式定义及Cookie安全。
安恒WAF能阻止一系列的攻击，无论是已知的或未知的。能够阻止那些最常见的攻击如跨站点脚本攻击、缓冲区溢出攻击、恶意浏览、SQL注入等。

5.2. Web站点隐藏
成功的Web攻击往往由探测网络漏洞开始，在网络上很容易找到漏洞扫描工具对一个网站的应用程序、服务器、URL等进行扫描。安恒WAF提供站点隐藏功能，黑客将无法查看web的源信息，安恒WAF URL返回码，HTTP头信息以及终端服务器的IP。

安恒WAF能完全的中止所有的会话，因此用户无法直接连接到Web服务器上，无法直接访问服务器、操作系统或补丁程序。访问出错信息也将由安恒WAF提供，后端服务器的出错信息不会直接返回给用户。这样，避免了服务器敏感信息泄露，也同时让一些高明的黑客就无法通过出错信息发动攻击。

5.3. 网页篡改监测
安恒WAF实时监测网站服务器的相关是否给非法更改，一旦发现被改则第一时间通知管理员，并形成详细的日志信息。与此同时，WAF系统将对外显示之前的正确页面，防止被篡改的内容被访问到。

WAF通过内置自学习功能获取WEB站点的页面信息，对整个站点进行爬行，爬行后根据设置的文件类型（如html、css、xml、jpeg、png、gif、pdf、word、flash、excel、zip等类型）进行缓存，并生成唯一的数字水印，然后进入保护模式提供防篡改保护，当客户端请求页面与WAF自学习保护的页面进行比较，如检测到网页被篡改，第一时间对管理员进行实时告警，对外仍显示篡改前的正常页面，用户可正常访问网站。事后可对原始文件及篡改后的文件进行本地下载比较，查看篡改记录。也可设置仅检测模式，只对篡改进行告警，不提供防护功能。

5.4. WEB应用加速
安恒WAF为了提高被保护系统的访问速度同时消除WAF过滤分析过程中带来的延时，定制提供了应用加速功能，通过高速缓存和相关算法镜像及管理相关的静态内容，一旦有用户访问，客户端直接通过WAF缓存中获取，避免了用户重复通过Web服务器并进行协议解析等相关操作，从而加快了访问速度，减轻了WEB服务器的负担。

5.5. 安全策略
安恒WAF提供默认的安全策略对Web网站或应用进行严格的保护。除了默认的策略外，用户还可以创建客户化的策略。每个策略下分为若干子策略：
•HTTP协议合规性
•SQL注入阻断
•跨站点脚本攻击防护
•表单/cookie篡改防护
•DoS攻击防护
请求包大小限制
限制HTTP请求Head大小避免恶意代码通过，超过规定大小的请求将被丢弃。正确配置请求限制还能减轻Dos攻击、缓冲区攻击。
HTTP/HTTPS请求方法限制
限制HTTP/HTTPS各种方法的访问，包括：GET， POST， DELETE,，HEAD，CONNECT，TRACE，PUT。
HTTP/HTTPS请求方法限制
支持黑白名单的配置，可以设定可信的访问客户端IP（白名单）而不受安全策略规则的检测；设定非法的访问客户端（黑名单），直接禁止其任何对WEB服务器的访问。
用户自定义规则库
支持用户自定义规则库，用户可以根据业务需求，针对某些关键字，数据段长度等相关信息，自定义安全过滤规则。

5.6. 人性化运维管理
安恒WAF提供了丰富的人性化运维管理数据，包括WAF自身的硬件运行状况，相关工作口的实时流量情况，各个硬件部件历史占用情况，各个工作口的历史流量情况，系统提供了图形化的直观的统计分析界面，让 维护管理员快速掌握整体的情况。

5.7. 检测和阻断模式
架设web应用防火墙可能意外的现象，应用某个不当的规则可能影响当前应用的正常使用，因此不少管理员都在犹豫要不要使用最高安全等级的过滤策略。保守监控功能可以帮助用户解决这个担忧，利用这个功能用户可以在不影响使用的前提下进行策略配置。

安恒WAF支持检测和阻断模式功能，在检测模式下，所有安全策略规则都只是对应用流量数据包进行检测，并告警，而不做任何阻断功能；在阻断模式下，所有的安全策略规则同时可以提供用户对单条规则的配置：阻断（默认）或者仅检测。因此，管理员可以根据监控情况，实时进行调整。

5.8. 硬件旁路模式
硬件旁路：当设备出现故障或者关机时，WAF设备可以切换到硬件旁路模式，对既有的网络连接状况不会造成中断影响。

5.9. HTTPS/SSL的完全支持
安全套接字层 (SSL)能提供一个加密的（公钥私钥配对）可靠的连接。许多商业网站采用SSL传输以保障数据安全，不过SSL的加密通常费时费力。

安恒WAF支持对HTTPS访问的完全监控和阻断能力，支持Openssl类加密的证书格式。支持用户上传WEB服务器的证书，在访问WEB服务器之前进行第一轮认证，并对访问应用流量进行彻底检查，防止各类攻击访问。

5.10. 日志和报表
安恒WAF记录了重要事件的日志信息，日志信息非常全面涵盖了一次访问的主要信息参数，支持多种搜索方式，这些日志信息可以帮助用户搜索并分析可以流量，进而优化安全策略。

安恒WAF的报表功能十分强大，在日志的基础上可以生成各种报表，还提供报表模板，大大方便了管理员的数据分析，增强了系统的易用性。

5.11. 高可操作性
安恒WAF采用图形（GUI）管理和配置界面，直观且支持多任务，跟用户平时的使用习惯一致，可用性高。

6. 结论
杭州安恒信息技术有限公司的核心团队拥有多年互联网应用安全防卫、网络安全审计、数据库安全审计的深厚技术背景，拥有全球领先的具有完全知识产权的安全技术；为明御WEB应用防火墙（WAF）的成功推出奠定了有力的基础。安恒WAF由资深安全专家经历数年的时间研发而成，它能够轻松应对各种复杂的WEB应用，全面深入针对WEB应用中存在的安全弱点攻击防御。

安恒WAF旨在降低WEB应用的风险，降低国家利益、社会利益、企业利益乃至个人利益受损风险，广泛适用于“政府、电信、金融、证券、公安、教育、税务、电力、电子商务”等等所有涉及WEB应用的各个领域。
安恒WAF现有的客户涵盖公安、运营商、政府、地税、金融等各个行业，许多企业都使用安恒WAF提升企业WEB应用的整体安全性。

杭州安恒信息技术有限公司简介
杭州安恒信息技术有限公司（DBAPPSecurity），简称“安恒信息”，注册资金1800万，公司核心成员来自美国硅谷、德国、加拿大及业内著名安全厂商、电信运营商、大型上市公司，总部在杭州高新区，在北京，上海，广东，四川，美国硅谷等设有分支机构。安恒信息核心团队拥有多年互联网应用安全攻防、WEB应用和数据库安全防御和审计的深厚技术背景与丰富安全实践经验，以全球领先具有完全自主知识产权的专利技术，致力于为客户提供WEB应用安全和数据库安全的深度风险评估、安全加固、安全审计、不良网站监测等全面解决方案。 安恒信息拥有明鉴、明御两大系列的自主研发产品，其中明鉴TM系列应用扫描器被公安部三所测评中心等国内权威等级保护测评机构广泛使用。如需了解公司的详细信息，请访问：http://www.dbappsecurity.com.cn/