安恒信息明御WEB应用防火墙产品白皮书

安恒信息明御WEB应用防火墙产品白皮书概述

Web网站是企业和用户、合作伙伴及员工的快速、高效的交流平台。Web网站也容易成为黑客或恶意程序的攻击目标，造成数据损失，网站篡改或其他安全威胁。根据国家计算机网络应急技术处理协调中心（简称CNCERT/CC）的工作报告显示：

1.目前中国的互联网安全实际状况仍不容乐观。各种网络安全事件与去年同期相比都有明显增加。2.对政府类和安全管理相关类网站主要采用篡改网页的攻击形式，以达到泄愤和炫耀的目的，也不排除放置恶意代码的可能，导致政府类网站存在安全隐患。对中小企业，尤其是以网络为核心业务的企业，采用注入攻击、跨站攻击以及应用层拒绝服务攻击（DenialOfService）等，影响业务的正常开展。1.1.常见攻击手法目前已知的应用层和网络层攻击方法很多，这些攻击被分为若干类。下表列出了这些最常见的攻击技术，其中最后一列描述了安恒WAF如何对该攻击进行防护。表1.1:对不同攻击的防御方法攻击方式描述安恒WAF的防护方法跨站脚本攻击跨站脚本攻击利用网站漏洞攻击那些访问该站点的用户，常见目的是窃取该站点访问者相关的用户登陆或认证信息。通过检查应用流量，阻止各种恶意的脚本插入到URL,header及form中。SQL

注入攻击者通过输入一段数据库查询代码窃取或修改数据库中的数据。通过检查应用流量，侦测是否有危险的数据库命令或查询语句被插入到URL,header及form中。命令注入攻击者利用网页漏洞将含有操作系统或软件平台命令注入到网页访问语句中以盗取数据或后端服务器的控制权。通过检查应用流量，检测并阻止危险的系统或软件平台命令被插入到URL,header及form中。cookie/seesion劫持Cookie/seesion通常用于用户身份认证，并且可能携带用户敏感的登陆信息。攻击者可能被修改Cookie/seesion提高访问权限，或伪装成他人的身份登陆。通过检查应用流量，拒绝伪造身份登录的会话访问。参数（或表单）篡改通过修改对URL、header和form中对用户输入数据的安全性判断，并且提交到服务器。利用参数配置文档检测应用中的参数，仅允许合法的参数通过，防止参数篡改发生。缓冲溢出攻击由于缺乏数据输入的边界条件限制，攻击者通过向程序缓冲区写入超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令。如获取系统管理员的权限。用户可以根据应用需求设定和限制数据边界条件，确保不危及脆弱的服务器。日志篡改黑客篡改删除日志以掩盖其攻击痕迹或改变web处理日志。.通过检查应用流量，防止带有日志篡改的应用访问。应用平台漏洞攻击黑客通过获悉应用平台后，可以利用该平台的已知漏洞进行攻击。当应用平台出现漏洞，且没有官方补丁时，同样面临被攻击的风险。安恒WAF将阻止已知的攻击，并提供安全策略规则升级服务，用户可以按计划进行安全应用策略升级。同时，对于高级用户，安恒WAF提供自定义规则库的添加，可以针对某些关键字，特殊应用做特殊安全处理。安恒WAF能在攻击到达Web服务器之前进行阻断，防止恶意的请求或内置非法程序的请求访问目标应用。安恒WAF能解码所有进入的请求，检查这些请求是否合法或合乎规定；仅允许正确的格式或RFC遵从的请求通过。已知的恶意请求将被阻断，非法植入到Header、Form和URL中的脚本将被阻止。Web应用防火墙还能进行Web地址翻译、请求限制、URL格式定义及Cookie安全。

安恒WAF能阻止一系列的攻击，无论是已知的或未知的。能够阻止那些最常见的攻击如跨站点脚本攻击、缓冲区溢出攻击、恶意浏览、SQL注入等。5.2.Web站点隐藏

成功的Web攻击往往由探测网络漏洞开始，在网络上很容易找到漏洞扫描工具对一个网站的应用程序、服务器、URL等进行扫描。安恒WAF提供站点隐藏功能，黑客将无法查看web的源信息，安恒WAFURL返回码，HTTP头信息以及终端服务器的IP。安恒WAF能完全的中止所有的会话，因此用户无法直接连接到Web服务器上，无法直接访问服务器、操作系统或补丁程序。访问出错信息也将由安恒WAF提供，后端服务器的出错信息不会直接返回给用户。这样，避免了服务器敏感信息泄露，也同时让一些高明的黑客就无法通过出错信息发动攻击。5.3.网页篡改监测

安恒WAF实时监测网站服务器的相关是否给非法更改，一旦发现被改则第一时间通知管理员，并形成详细的日志信息。与此同时，WAF系统将对外显示之前的正确页面，防止被篡改的内容被访问到。WAF通过内置自学习功能获取WEB站点的页面信息，对整个站点进行爬行，爬行后根据设置的文件类型（如html、css、xml、jpeg、png、gif、pdf、word、flash、excel、zip等类型）进行缓存，并生成唯一的数字水印，然后进入保护模式提供防篡改保护，当客户端请求页面与WAF自学习保护的页面进行比较，如检测到网页被篡改，第一时间对管理员进行实时告警，对外仍显示篡改前的正常页面，用户可正常访问网站。事后可对原始文件及篡改后的文件进行本地下载比较，查看篡改记录。也可设置仅检测模式，只对篡改进行告警，不提供防护功能。5.4.WEB应用加速

安恒WAF为了提高被保护系统的访问速度同时消除WAF过滤分析过程中带来的延时，定制提供了应用加速功能，通过高速缓存和相关算法镜像及管理相关的静态内容，一旦有用户访问，客户端直接通过WAF缓存中获取，避免了用户重复通过Web服务器并进行协议解析等相关操作，从而加快了访问速度，减轻了WEB服务器的负担。5.5.安全策略

安恒WAF提供默认的安全策略对Web网站或应用进行严格的保护。除了默认的策略外，用户还可以创建客户化的策略。每个策略下分为若干子策略：

•HTTP协议合规性

•SQL注入阻断

•跨站点脚本攻击防护

•表单/cookie篡改防护

•DoS攻击防护

请求包大小限制

限制HTTP请求Head大小避免恶意代码通过，超过规定大小的请求将被丢弃。正确配置请求限制还能减轻Dos攻击、缓冲区攻击。

HTTP/HTTPS请求方法限制

限制HTTP/HTTPS各种方法的访问，包括：GET，POST，DELETE,，HEAD，CONNECT，TRACE，PUT。

HTTP/HTTPS请求方法限制

支持黑白名单的配置，可以设定可信的访问客户端IP（白名单）而不受安全策略规则的检测；设定非法的访问客户端（黑名单），直接禁止其任何对WEB服务器的访问。

用户自定义规则库

支持用户自定义规则库，用户可以根据业务需求，针对某些关键字，数据段长度等相关信息，自定义安全过滤规则。5.6.人性化运维管理

安恒WAF提供了丰富的人性化运维管理数据，包括WAF自身的硬件运行状况，相关工作口的实时流量情况，各个硬件部件历史占用情况，各个工作口的历史流量情况，系统提供了图形化的直观的统计分析界面，让维护管理员快速掌握整体的情况。5.7.检测和阻断模式

架设web应用防火墙可能意外的现象，应用某个不当的规则可能影响当前应用的正常使用，因此不少管理员都在犹豫要不要使用最高安全等级的过滤策略。保守监控功能可以帮助用户解决这个担忧，利用这个功能用户可以在不影响使用的前提下进行策略配置。安恒WAF支持检测和阻断模式功能，在检测模式下，所有安全策略规则都只是对应用流量数据包进行检测，并告警，而不做任何阻断功能；在阻断模式下，所有的安全策略规则同时可以提供用户对单条规则的配置：阻断（默认）或者仅检测。因此，管理员可以根据监控情况，实时进行调整。5.8.硬件旁路模式

硬件旁路：当设备出现故障或者关机时，WAF设备可以切换到硬件旁路模式，对既有的网络连接状况不会造成中断影响。5.9.HTTPS/SSL的完全支持

安全套接字层(SSL)能提供一个加密的（公钥私钥配对）可靠的连接。许多商业网站采用SSL传输以保障数据安全，不过SSL的加密通常费时费力。安恒WAF支持对HTTPS访问的完全监控和阻断能力，支持Openssl类加密的证书格式。支持用户上传WEB服务器的证书，在访问WEB服务器之前进行第一轮认证，并对访问应用流量进行彻底检查，防止各类攻击访问。5.10.日志和报表

安恒WAF记录了重要事件的日志信息，日志信息非常全面涵盖了一次访问的主要信息参数，支持多种搜索方式，这些日志信息可以帮助用户搜索并分析可以流量，进而优化安全策略。安恒WAF的报表功能十分强大，在日志的基础上可以生成各种报表，还提供报表模板，大大方便了管理员的数据分析，增强了系统的易用性。5.11.高可操作性

安恒WAF采用图形（GUI）管理和配置界面，直观且支持多任务，跟用户平时的使用习惯一致，可用性高。

杭州安恒信息技术有限公司简介

杭州安恒信息技术有限公司（DBAPPSecurity），简称“安恒信息”，注册资金1800万，公司核心成员来自美国硅谷、德国、加拿大及业内著名安全厂商、电信运营商、大型上市公司，总部在杭州高新区，在北京，上海，广东，四川，美国硅谷等设有分支机构。安恒信息核心团队拥有多年互联网