web应用防火墙Web应用防火墙怎样为客户提供防护原理

web应用防火墙  时间:2022-02-15  阅读:()

WEB应用防火墙的定义

利用国际上公认的一种说法: 总体来说,Web应用防火墙的具有以下四大个方面的功能(参考WAF入门,对内容做了一些删减及改编)。

Web应用防火墙怎样为客户提供防护原理

Web应用防火墙是专门为保护基于web的应用程序而设计的,它不像传统的防火墙,基于互联网地址和端口号来监控和阻止数据包。一个标准的端口号对应一种网络应用程序类型。例如,接收发送到端口23的数据包,邮件服务器接收发送到端口25的数据包。 传统的防火墙允许向邮件服务器相对应的互联网地址发送数据,让数据包通过25端口送达目的地。发送数据包给一个不是邮件服务器系统的互联网地址和25端口,就是一个攻击。防火墙会阻止这些数据包。 Web服务器理应通过80端口传送数据包。所以所有发给支撑web服务器系统80端口的数据包必须被允许通过防火墙。传统的防火墙没有办法测定一个地址指向正确的数据包是否包含威胁,但Web应用防火墙可以仔细检查数据包的内容来检测并阻止威胁。 Web应用程序如何遭受攻击 黑客们不断开发新的方法获得未经授权的Web应用程序访问,但是也有一些通用的技术。 SQL注入:一些应用程序通过复制Web客户端输入来创建数据库查询。黑客通过构造一些应用程序没有仔细检查和会被拒绝的字符串,来获取返回的机密数据。 跨站点脚本:黑客插入脚本代码(如JavaScript或ActiveX)到一个输入字符串,导致Web服务器泄漏用户名和密码等信息。 操作系统命令注入:一些应用程序从web输入来创建操作系统命令,就像访问一个文件和显示文件内容。如果输入的字符串没有仔细检查机制,黑客就可以创建输入来显示未经授权的数据、修改文件或系统参数。 会话劫持:黑客通过猜测基于令牌格式知识的会话令牌的内容来获得登录会话的权利。这使得黑客能接管会话并可以得到原来的用户帐户信息。 篡改参数或URL:web应用程序通常在返回的的web页面中嵌入参数和URL,或者用授权的参数更新缓存。黑客可以修改这些参数、URL或缓存,使Web服务器返回不应泄漏的信息。 缓冲区溢出:应用程序代码应该检查输入数据的长度,以确保输入数据不会超出剩余的缓冲区和修改相邻的存储。黑客很快就会发现应用程序不检查溢出,并创建输入来导致溢出。 Web应用防火墙检查每一个传入的数据包的内容来检测上述类型的攻击。例如,web应用防火墙会扫描SQL查询字符串,来检测和删除那些导致返回的数据多余应用程序要求的字符串。增值厂商应仔细监测新发展的攻击类型并跟踪检测他们的最新产品。 Web应用防火墙不仅检测上述已知类型的攻击,而且还监测异常的使用模式来检测目前未知的攻击方法。例如,通常Web应用程序与web客户端的信息交流数量是有限的。如果Web应用防火墙检测到Web服务器正在返回一个比预期大很多的数据量,它就会及时切断传输,以防止更多的数据泄露。 目前有基于软件和基于应用程序的web应用防火墙。基于软件的产品布置在Web服务器上,而基于应用程序的产品放置在Web服务器和互联网接口之间。两种类型的防火墙都会在数据传入和传出web服务器之前检查数据。 一般基于软件的产品成本低于基于应用程序的产品成本,基于软件的产品供应商声称这类防火墙具有更低的延迟和更高的吞吐量。但是在web服务器上安装额外的软件势必会增加额外的处理负荷和系统上软件的复杂性。 基于应用程序的防火墙厂商声称,这类防火墙安装和使用简单,因为没有额外的软件安装在Web服务器系统上。 Web服务器的性能不受Web应用程序防火墙处理的影响。 除了商业产品外,也有许多开放源码的Web应用防火墙可用。这些产品成本低于商业产品(就开放的源代码工具来说,他们是免费的,或者就基于开放源代码的商业产品来说,极有可能降低成本)。过去开源代码关注的是,黑客们将检查代码并设法逃避保护措施。有了应用Linux这类开源代码软件的丰富经验,这些都不是什么问题。 所有的产品,不论是购买的还是开源代码,无论是基于软件的还是基于应用程序的,都应该得到支持。商业产品得到了供应商的支持。开放源代码为增值厂商和系统集成商提供了一个整合安全知识的机会。为Web应用程序防火墙提供持续的支持,确保合作伙伴与客户保持密切的关系,给供应商在未来为客户提供更多产品和服务提供了机会。 因为每个客户的环境和应用程序设置是不同的,VARs和系统集成商必须评估每个客户的独特需求,以确定哪种类型的Web应用防火墙将是最合适的。但是,毫无疑问所有客户的Web应用程序都应该得到Web应用防火墙的保护。如果用户不理解这种需求或者不同意该做法,一定要介绍给他们Web应用程序可能受到攻击的多种方式。 仔细检查应用程序代码是一种替代web应用防火墙的方法。攻击都是在编译出错或者缺乏内部数据检查的地方取得成功。从理论上来讲,一个通过代码检查员逐行检查过错误的web应用程序,可以替代web应用防火墙。 在实践中,尽管软件工程师通常不相信他们的代码有缺陷,但对应用程序的不断更新使得详细的代码检查变得几乎不可能,更不用说代码检查员很容易的就会忽略不安全的代码,特别是那些没有安全背景的检查员。 此外,黑客技术迅速发展。网络防火墙供应商时时关注新攻击类型的新闻、及时更新它们的产品。

HostYun:联通AS9929线路,最低月付18元起,最高500Mbps带宽,洛杉矶机房

最近AS9929线路比较火,联通A网,对标电信CN2,HostYun也推出了走联通AS9929线路的VPS主机,基于KVM架构,开设在洛杉矶机房,采用SSD硬盘,分为入门和高带宽型,最高提供500Mbps带宽,可使用9折优惠码,最低每月仅18元起。这是一家成立于2008年的VPS主机品牌,原主机分享组织(hostshare.cn),商家以提供低端廉价VPS产品而广为人知,是小成本投入学习练手首选。...

LOCVPS新上日本软银线路VPS,原生IP,8折优惠促销

LOCVPS在农历新年之后新上架了日本大阪机房软银线路VPS主机,基于KVM架构,配备原生IP,适用全场8折优惠码,最低2GB内存套餐优惠后每月仅76元起。LOCVPS是一家成立于2012年的国人VPS服务商,提供中国香港、韩国、美国、日本、新加坡、德国、荷兰、俄罗斯等地区VPS服务器,基于KVM或XEN架构(推荐选择KVM),线路方面均选择国内直连或优化方案,访问延迟低,适合建站或远程办公使用。...

咖啡主机22元/月起,美国洛杉矶弹性轻量云主机仅13元/月起,高防云20G防御仅18元/月

咖啡主机怎么样?咖啡主机是一家国人主机销售商,成立于2016年8月,之前云服务器网已经多次分享过他家的云服务器产品了,商家主要销售香港、洛杉矶等地的VPS产品,Cera机房 三网直连去程 回程CUVIP优化 本产品并非原生地区本土IP,线路方面都有CN2直连国内,机器比较稳定。咖啡主机目前推出美国洛杉矶弹性轻量云主机仅13元/月起,高防云20G防御仅18元/月;香港弹性云服务器,香港HKBN CN...

web应用防火墙为你推荐
虚拟主机云服务器云服务器租用与虚拟主机的区别360虚拟主机xbox360是破解版的还可以怎样联机虚拟主机建网站虚拟主机怎么设置网站服务器做虚拟主机如何在服务器上安装虚拟机云虚拟主机多少钱一年云主机是什么?京东云主机怎么样?便宜的虚拟主机一定是好的吗如何鉴别虚拟主机好坏?服务器/虚拟主机租用采用自建服务器,还是租用虚拟主机。easyhost虚拟主机管理系统Realtek高清晰音频管理器n点虚拟主机 连接网络失败...虚拟机连不上网络该怎么办虚拟主机租用转让租用vps卖虚拟主机空间
全能虚拟主机 新网域名解析 wavecom 新世界电讯 服务器日志分析 上海域名 河南移动邮件系统 nerds paypal注册教程 流媒体加速 卡巴斯基是免费的吗 国外在线代理服务器 wordpress中文主题 注册阿里云邮箱 网页加速 xuni 免费php空间 卡巴斯基试用版下载 存储服务器 葫芦机 更多