新一代Web安全技术应用指南（2024版）-安全牛

任何组织和个人不得以任何形式复制或传递本报告的全部或部分内容，不得将本报告内容作为诉讼、仲裁、传媒所引用之证明或依据，不得用于营利或用于未经允许的其他用途。任何经授权使用本报告的相关商业行为都将违反《中华人民共和国著作权法》和其他法律法规以及有关国际公约的规定。未经授权或违法使用本报告内容者应承担其行为引起的一 本报告仅供本公司的客户使用。本公司不会因接收人收到本报告而视其为本公司的当然客户。任何非本公司发布调查资料收集范围等的限制，本报告中的数据仅服务于当前报告。本公司以勤勉的态度、专业的研究方法，使用合法合规的信息，独立、客观地出具本报告，但不保证数据的准确性和完整性，本公司不对本报告的数据和观点承担任何法律责任。同时，本公司不保证本报告中的观点或陈述不会发生任何变更。在不同时期，本公司可发出与本报告所载资料、在任何情况下，本报告中的信息或所表述的意见并不构成对任何人的行为建议，或需求。客户应考虑本报告中的任何意见是否符合其特定状况，若有必要应寻求专家意见。任何出现在本报告中的包括但不限于评论、预测、图表、指标、指标、理论、陈述均为市场和客户提供基本参考，您须对您自主决定的行为负责。本公司不对因本报告资料全部或部分内容产生的，或因依赖本报告而引致的任何损失承担任何责任，不对任何因本报告目录 6 6 6 9 4.1云原生架构 4.3模块化设计 4.6智能化防护 第五章部署方式及方案选型建议 5.3年度代表性厂商及能力介绍 参考资料 随着数字化转型的深入推进，Web应用成为驱动企业数字化转型、重塑企业业务价值的关键抓手。企业纷纷利用能技术的广泛应用，Web攻击工具、攻击手段又有了显著进步。Web应用面临的风险除了DDoS攻击、SQL注入、理念，并分析了新一代WAF的关键技术和核心能力。为帮助用户如何构建应对新型Web攻击及新兴业务场景所需的.常见的Web风险类型：本次调研发现，56.3%的受访者表示遭受过2次以上Web风险。其中，Web非法访.Web安全防护有效性：本次调研发现，传统攻击类型中，DDoS防御有效性方面取得一定进展，而SQL注入防御难度仍然较高，防御措施有效性有待进一步提高；新型风险中，敏感数据泄露.Web安全部署方式：本次调研发现，本地部署、容器化部署和SaaS服务的比例是2/5:1/4:1/3。说明私有化.为应对云原生时代Web面临的安全挑战，本报告从系统化建设角度提出了新一代Web安全建设的思想，并从可视化、云原生等先进理念。新一代Web安全技术特点主要体现为：云原生架构、多云环境支持、模块化设计、自适.根据调研中各厂商所提供的方案建设特点，本报告将新一代Web安全方案分为：私有化建设方案、SaaS化云服务方案、混合部署方案三类。同时结合对厂商产品的了解，安全牛认为，当前国内新一代Web安全产品和方案已经.调研发现，由于云计算的广泛应用，部分成熟的Web安全能力逐渐脱离了原始的技术开发商，不断向云服务.Web安全与新技术不断碰撞融合，已经开始结合AI、SECaaS、5G等新兴技术，以及C安全理念的发展。安全牛认为：云原生安全、纵深防御、API、SECaaS、新兴领域将会在未来进一步引领Web安全发催生了大量松耦合、弹性化的分布式应用。据Gartne另一方面，据统计，83%的企业已采用多云战略。企业云厂商提供的服务。与此同时，不少企业也保留了部分本地数据中心，形成了多云与本地混合的IT架构。多云、混合云等新型IT架构不断涌现，对跨云管理提出更高要求。这给统一的Web安全防护带来巨大挑战。不同云平台的API接口据格式各不相同，不同云服务的防护粒度、效果也参差不齐，给一体化管控在此背景下，传统的单体式WAF已难以满足云原生环境下业务扩展和变化的需求，亟须在架构层面重新设计，构建随着云计算、大数据、人工智能等新兴技术在网络攻防中的运用更加广泛深入，各类新型攻击手段和战术不断涌现，攻击成本大幅降低，攻击效率显著提升，网络攻击的武器库也在与日俱增。Web攻击技术正呈现出自66近年来，为规避检测，逃避溯源，网络攻击者广泛使用各类加密和混淆技术，使恶意程序变种频出，攻击更加隐蔽。一方面，加密通信让恶意流量“隐身”。Fortinet在2023年中期报告中提到，近60%的恶意软件通信通过加密隧道进行。这不仅包括勒索软件、银行木马，还包含一些信息窃取类恶意软件。IBMX-Force在2023年的报告中同样指出加密流量下的恶意活动有所上涨。他们的统计显示，相比2022年，2023年初观察到的通过加密协议进行的恶意活动增加约定义通信协议，利用Cookie字段传输加密数据，隐蔽性极强。结合多层编码、环境检测等混淆手段，其免杀能力已可媲可见，随着网络攻防对抗的升级，加密混淆技术已成为攻击者的护身法宝。这对基于流量分析的传统检测手段构成严77然而，传统的基于特征码的漏洞检测手段对其无计可施，亟须在漏洞情报获取、威胁狩猎等方面加大投入，尽早发现在服务器上执行，甚至完全控制服务器，危害极大。Web应用对用户上传的文件缺乏必要的安全校验是文件上传漏洞或“IIS解析漏洞”等，攻击者可在上传非可执行文件（如图片）时，插入可执行脚本，诱导服务器错误解析，从而意代码。再如，有的攻击者会将恶意文件拆分，绕过扫描后，再在服务端重组，发动攻击。这些文件上传漏洞变种的隐蔽近年来，随着微服务、移动应用的兴起，API（应用程序编程接口）已成为各类应用连接的“神经末梢”。据调查，当前，API滥用呈现出业务逻辑攻击为主的特点。不法分子通过逆向工程、流量分析等手段深入理解API业务，寻找88更令人担忧的是，在开放API的盛行下，API滥用攻击正呈现出自动化、武器化的趋势。一些黑产团伙专门对各类联网流量的64%。Bot给企业和用户带来一方面，新型Bot可通过模拟人类行为，伪装成真实用户，躲避常规检测。例如，一些“高仿”Bot可以随机修改User随着网络攻防对抗进入智能化时代，传统WAF在未知威胁防护、精准度、性能等方面逐渐暴露不足，远不能满足云用基于特征的检测模型，通过人工配置或机器学习方法固化已知攻击的关键特征，对恶意请求进行签名级匹配查杀。一旦99用、未授权访问等，检出率甚至不到5%。零日漏洞的防护效果更堪忧。以ApacheLog4j2漏洞为例，爆发初期仅30%可见，传统WAF虽可过滤已知攻击，但对未知威胁的防护能力更大的问题在于，传统WAF所依赖的安全知识质量不高。据统计，开源WAF的规则库平均覆盖率不到50%，商用存在样本偏差。个别靠“堆砌”规则博眼球的做法，虽然数量上去了，但实际有效性不足30%。可见，在知识驱动检测的数据质量不高；其三，检测视角狭窄，缺乏全局观。在“从严拦截”与“宁漏勿失”之间，用户不得不反复权衡，安全性首先在于规则引擎的低效。传统WAF采用串行的规则匹配逻辑，每个规则都独立工作，缺乏全局优化，随着规则数量增多，检测时延成倍增加。其次，状态管理攻击和未知威胁防不胜防；其高误报、低覆盖的顽疾，让用户时刻面临“过”“失”两难；其落后的架构也制约了云时代为了解国内当前Web应用安全现状，本次调研中，受访者主要来自金融、制造、互联网、政务、能源、电信、教育、医疗8个行业。其中，金融、制造行业比例各占25%，互联网行业占比为15.6%，政务，公共事业单位用户9.4%。从受访者的企业规模来看，5000人以上的大型企业占比28.1%，5000—1000人之间的中大型规模企业的占比34.4%，1000—500人之间中等规模企业占比受访者中，Web安全防护的类型有：企业官方网站，Web远程应用，业务系统网站，电商平台及第三方服务多种以基本了解为中心呈正态分布，“基本了解”的占比为37.5%，部分了解和较为了解的占比分别为25%、28.1%，完全不在风险影响程度方面，调研数据显示：认为影响程度高及以上的企业占比约46.影响较低的企业占比仅为15.6%。攻击类型方面，敏感数据泄露和SQL注入类型风险占比最高，分别为87.5%和81.3%；其次，是非法Web访问和Web管理失误导致的风险，占比分别为53.•传统风险方面，SQL注入问题由来已久，但企业仍在高度关注，说•新型风险类型中，敏感数据泄露备受关注，报告认为更多是由于新的数据流转政策和数据安全合采用率最高，占比分别是84.4%、71.9%；云抗D与云WAF、Web访问代理、API风险监测产品的采采用的是私有化部署方式。而在私有化部署方式中，容器化部署代表了私有化中云部署的用户占了25%非常有效。在应对常见Web攻击方面，68.8%的用户表示基本有效，18.8%的用户认为效果有限，12.5%的用户表示非具体地，有效性表现最为突出的是XSS、CSRF、文件上传类风险防护能力，受到75%的用户支撑；其次，是已知模和Web安全建设的普及情况，我们看到，在中大型规模企业为主的调研中，当前阶段，Web安全建设计划以百万以内是企业当前选择Web方案及产品时最受关注的调研显示，当前80%以上用户在选择供应商时还存有2～3个左右的难点。主要集中的4个方面：新型攻击和场景调研显示，当前企业在Web安全运营方面面临的困难还较多，并呈均匀分布状态。其中，相对较高的困难是告警处这也表明：告警自动化处理能力、系统化运维能力和应急保障能力是当前企业Web安全运营的短板，企业应加强相调研显示，用户希望新一代Web安全有多方面的能力提升。其中，细粒度风险检测和防护能力占比最高，达到71.9%，显示出对API脆弱性和数据泄露等具体风险的高度重视；其次，是新兴攻击防护、自动化处置能力和检测精度，占比分别是56.3%、59.4%、50%，说明受访者希望提高系统的响应速度和效率，以便更快速地应对各种安全威胁；在新兴场景适配和系统性能方面提升的用户占比，分别为37.5%、31.3%，这一数据相对较少，但仍然显示出用户对性能优化和适应新技术环境的关注；相比之下，国产化系统适配方面提升的呼声较小，占比仅28.1%，可能由于该方面能力存在的随着攻击技术的不断变革，Web威胁逐渐从已知威胁转向未知威胁，攻击目标传统的Web安全，我们也称作第一代W传统的Web安全防护技术包括：黑白名单、URL访问规则检测、攻击特征检测、网页防篡改、DDoS防护。代表性在自动化、智能化技术的加持下，自动化攻击、未知威胁等新型攻击手段越来越多样化。与此同时，数据价值的提升随着人工智能技术的广泛应用，基于AI的鉴于新型风险的复杂性，相比传统的Web安全为支持多层次、细粒度的纵深防御，新一代Web安全需要对风险检测与风险防护进行解耦，并基于攻防、大数据、威胁检测方面提升了新型攻击应对能力，并进一步扩展了业务和数据安全能力，实现基础威胁、高级威胁到数据风险防护方面，可基于本地防护和联动防护构建多层的纵深防御能力。对于访问控制、特征匹配等精准度高的风险告警，Web风险分析和可视化指通过技术手段和流程，实时监控和分析We通常需要基于环境、关联分析进一步判断事件的真实性以及需要采取的处置措施。风险监测有助于帮助用户了解整体的风构建全面的Web安全响应处置能力能最大限度地降低新一代Web安全系统框图从底层资产识别到上层的威胁检测、再到风险监测与响应处置的多层结构，可以实现：从策略的全生命周期管理；整合多种安全技术手段-原生环境对弹性扩展、敏捷交付等方面的新要求。重塑WAF的架构形态和防护理念，构建原生融入云环境的新型WAF，务器的恶意请求，而容器环境下，WAF还可借助namespace、cgroups等隔离机制，主动创建“诱捕环境”，将可疑请求引流到蜜罐容器中，再进行深入分析，化被动防御为主动诱捕。国内某创新型安全厂商就利用阿里云的“Sandboxed-Container”机制，构建了云原生WAF自适应蜜罐系统，可自动根据Web攻击流量特征生成蜜罐，平均每天诱捕当然，Serverless作为新兴的云原生应用形态，同样对WAF提出新的挑战。一方面，Serverless应用天然具有短生命周期、高弹性的特点，传统WAF很难适应。另一方面，Serverless平台提供的FaaS、BaaS等无服务器组件很容易成为新的攻击面。对此，创新型云WAF厂商已开始进行积极探索。例如，通过将检测引擎塑造成“胶水函数（Glue从横向扩展看，新一代WAF普遍采用容器集群部署，可轻松应对流量的突发波动。国内互联网巨头腾讯云自研的下集群规模，最大支持亿级QPS的防护能力。某云计算厂商则进一步将这一理念日益提升。但传统软硬件架构往往受限于“一次调配，终身不变”的资源约束，很难满足智能安全的新需求。对此，新一依赖人工操作，效率低下，易出错。而在云原生时代，IaC（Infrastr抽象为代码，纳入版本控制系统统一管理，再通过CI/CD流程实现自动化的配置分发、升级发布、回滚等，WAF实现了“EverythingasCode”式的端到端自动化，显著降低了人为失误风险。一个典型案例是某创新型云厂商发布的“云原生全流程，实现安全防护“零侵入、零感知、零运维”。有数据显示，采用GitOps等自动化运维当然，随着AI、大数据等新技术在安全领域的广泛应用，WAF的扩展对象已不限于代码模块，智能模型的“即插即的开发、训练、测试、打包、发布等全流程，极大降低了AI落地门槛。而领先的云服务商如AWS、Azure更进一步，将又能保证核心框架和周边模块的解耦。无论是Nginx生态的高度开放，还是Envoy赋能的“Sidecar”终端防护，都为云原生时代，安全策略的自适应调整至关重要。调研发现，在自适应安全策略方面，机器学习正成为应对云时代安全阈值、响应动作的效果反馈，并平衡攻防收益，达到化学习算法，对阻断、限速、验证等多种防御动作进行实时评分，并根据攻击变化动态调整阈值，将CC攻击检出率提高第三，创新性的WAF厂商尝试利用博弈论、对抗学习等前沿理论，从更高层面实现安全策略的自适应进化。一个有全人员，通过模拟环境中的持续博弈，使双方策略在对抗中不断升级，最终收敛到纳什均衡。据称这套框架可支撑百万级全策略与代码扫描、容器检测等集中编排，实现从CI/CD到生产环境全生命周期的动态防护。某头部云厂商提供的“云原随着数字化转型的深入推进，API已成为连接云、移动、物联网等新型应用的关键纽带。Gartner预测，到2025年API将是大多数Web应用的主要攻击向量。而随着微服务、Serverle新一代WAF开始将API安全作为重点方向，从威胁检测、滥用防范、流量分API威胁检测是新一代WAF的头等大事。新一对未知威胁实现“以奇制胜”。业界创新实践包括：利用自编码器等算法压缩提取API多维指标，通过孤点分析等方法自API血缘分析也是一大亮点。当今API间调用关系错综复杂，寻常的单API维度防护难以揪出利用API“联盟”发动时序规律和群体性特征。一个创新案例是某金融机构自研的云原生API安全平台。该平台通过eBPF等流量镜像技术，捕调用拓扑图、时序路径图，可实时预警低频慢速爬取、批量薅羊毛等隐蔽式滥用。还有云厂商尝试将知识图谱与强化学习等多维数据，并通过有向无环图、桑基图、甘特图等可视化图表直观呈现，让API性能瓶颈、故障根因等“原形毕露”。可自动聚合呈现跨微服务的分布式API调用全景。还有云服务商将图数据库与调用链跟踪相结合，通过网络拓扑、服务依先进WAF广泛采用可视分析技术，从全局视角直观呈现API安全状况。一方面，通过地理攻击分布、流量变化趋势等安10”“高频异常时段分析”等多种垂直维度的分析视角，让一线运维人员迅速聚焦高危API，制定针对性防御策略。某创析海量API日志，再通过有向图可视化呈现攻击链的时序特征，辅助分析人员快速定位异常根因。更有创新者将机器学习无监督学习在未知威胁检测中优势凸显。例如，通过聚类、异常检测等算法，WAF可从Web访问日志、系统审计日志等Web攻击的隐蔽性、连续性不断提升，单次请求很难体现首先是单请求层面的微观流量行为分析。新一代WAF通过提取请求长度、参数个数、参数熵、字符分布等数十种流量统计特征，利用单类SVM、孤点分析等无监督学习算法，可实时发现各类畸形请求，如参数异常、数据包畸更高层次则是用户行为分析。用户是Web访问的主体，溯源攻击者、画像威胁都需要对用户行为进行多维建模。新此外，多层次行为分析也为WAF的自动编排奠定了基础。一些创新型厂商提出自适应安全编排理念，利用强化学习第五章部署方式及方案选型建议在选择云WAF服务商时，企业不仅要评估其产品功能的完备性，更要着眼于云原生安全能力的成熟度。一方面，服务商需具备覆盖全球的云安全节点，利用大数据和AI技术首先，对Web应用主要部署在内网或私有云的客户，如金融、政府机构，出于安全合规考虑，通常倾向于对安全设备的物理可控。其次，一些Web应用与内部核心系统联系紧密，需还需配备专业团队持续优化安全策略，应对不断变化的攻击手法。这对技术和人才储备提出了较高要求。因此，传统软硬随着数字化转型的不断深化，传统IT系统正加速WAF已难以满足企业动态变化的安全需求。因此，越来越多头部厂商提出了融合云、管、端的混合WAF部署理念，通过软件或虚拟化WAF，并统一纳入云端管控。这种模式集两者之此外，云原生WAF通过Sidecar、eBPF等云原生技术，云原生WAF能够无侵入地获取丰富的应用上下文信息，并对于业务形态多样、安全诉求各异的大型企业而言，混合WAF无疑是构建纵深防御体系的最佳选择。但需要注意的是，要真正发挥混合WAF的最大价值，还需统筹规划多云与混合云架构，因地制宜设计云边端的部署方案。同时，混合WAF涉及的组件、节点较多，要理清责任边界，建立统一的管理策略和流程，并打造跨为帮助用户进一步了解厂商当前新一代Web安全解决方案，安全牛采用问卷、厂商访谈和产品演示结合的方式，对报告将新一代Web安全分为：私有化建设方案、SaaS化云服务方案、混合部署方案三类。从方案提供商的数量来看，私•私有化部署方案提供商指以硬件、软件、虚拟化方式交付为主的厂商。代表性厂商有：绿盟科技、长亭科技、瑞云计算资源背景和软件集成能力的云安全服务提供商中。从营收占比来看，调研显示，云安全服务商的市场份额已经占到由于新Web安全能力增加和场景多样化需求的扩展，厂商基于各自的市场特产品重构。重构后的产品特点主要表现在两个方面：一是能力上破除了单一的规则检测模式，开始基于多样化检测技术为计思路，将不同的检测能力从传统的架构中解放出来，能基于场景更好地灵活组合，进一步为“大安全”联动防御提供了（三）云计算和信创，是当前场景化应用的两个重点方向。首先，厂商在产品交付方式上，进行了多样化适配。传统硬件、软件的单体交付方式外，大部分厂商都可以提供虚拟化镜像适配云计算环境。部分厂商基于云用户对云资源的除云原生环境适配外，在国家全面信创目标的推动下，Web安全产品也正（四）Web安全防护也愈发智能化，主动防御、Bot防护、API安全应用逐渐广泛。调研中整体来看，我国当前已经处于一个本地数据中心、云原生、多云混合，并且深受特色国情影响的复杂的网络环境中，5.3年度代表性厂商及能力介绍（按简称尽管5.2章节根据方案部署特点对厂商进行了分类，但在选择方案供应商时，安全牛还是建议用户要基于企业自身的■企业介绍安天科技集团股份有限公司（简称“安天”）成立于2000年，公司致力于全面提升客户的网络安全防御能力，有效应对安全威胁。通过20余年自主研发积累，安天形成了威胁检测引擎、高级威胁对抗、大规模威胁自动化分析等多方面■方案说明检测、业务威胁评估、业务大数据分析和API安全防护于一体的综合业务安全防护产品。通过对业务进行分析、对用户进■综合评价■企业介绍北京长亭科技有限公司（简称“长亭科技”）成立于2014年，是一家坚持以创新技术为导向，以智能攻防能力为核心的新生代网络安全企业。2015年在WEB安全领域全球首发提出了语义分析技术，颠覆了传统基于规则的访问平台、攻击面管理运营平台、主机安全管理平台、伪装欺骗系统、安全大模型等产品为核心的新一代安全防护体系。基于■方案说明零日漏洞天然防护等特性，采用多级熔断和高可用相结合的手段保障业务连续性，联动BOT管理、API防护、CC防护、■综合评价■企业介绍天翼安全科技有限公司（简称“电信安全”）是中国电信集约开展网络安全业务的科技型、平台型专业公司。公司依靠中国电信云网资源，以研发运营一体化的方式，整合全集团云网、安全、数据等优势资源和能力，为内外部客户提供云网安全、数据安全、信息安全等各类安全产品和服务。云堤DDoS安全防护、天翼安全大脑、网站安全专家是公司最主要的三款产品。其中，云堤·抗D是公司的拳头产品，持续多年稳居行业榜首；2018年推出云堤·网站安全专家，为企业用■方案说明云堤·网站安全专家是电信安全的新一代Web安全解决方案，包含云监测和云WAF两部分。该产品依靠中国电信强6)可视：提供全面的数据分析报表，业务访问全程可视，告警信息快速丰富，威胁定位精准溯源，满足各行业等典型场景包括网站安全监测（网站服务质量、安全事件、内容的漏洞攻击防御、Bot防护、CC攻击防御、API安全、数据防泄露等）、IPv6云网关（暂未完■综合评价■企业介绍绿盟科技集团股份有限公司【简称“绿盟科技”】成立于2000年4月，是一家致力于漏洞挖掘技术研究，并能提供优秀安全检查和评估类产品及安全运营服务的网络安全厂商。其中，漏洞扫描能力连续十几年在国内市场保持领先。在多种应用安全能力，并形成了完整的Web安全解决方案。绿盟科技总部上市。在国内设有50余个分支机构，现有员工近4000人，其中研发技术人员■方案说明绿盟科技的下一代Web安全解决方案包括：产品化解决方案（NGWAF）、系统化解决方案（WAAP方案）两种。NGWAF是从Web应用及API出发，针对用户面临的Web漏洞利用、资源滥用、资源访问控制等威胁问题，提供包含DDoS防护、Bot流量管理、Web•绿盟Web应用防护系统，具备传统规则引擎、语义分析引擎、智能检测引擎、自学习引擎、智能补丁引擎、误•BOT管理网关，可检测各种■综合评价②技术方面，有较强的自主创新能力，基于④服务方面，拥有非常高的全国服务覆盖能力，以及专业的售后服务和专家团队，能为Web安全落地提供高质量的■企业介绍公司总部位于上海，分支机构分布于全国20多个城市，成都、上海和北京分别设有研发中心和研发团队。目前业务■方案说明智能威胁检测”双引擎协同工作机制，提供传统Web安全防御能力，同时也能有效应对新兴和快速变化的Bots攻击、API攻击和应用DDoS攻击；该方案还结合可编程对抗和业务威胁感知技术，提供对企业Web、•Web应用协同防护大幅提升对欺诈来源的识别及追踪能力，掌控攻击全貌，建立对抗网络空间威胁的全方位立防数据遍历、防拖库）、账号安全（防撞库、防暴力破解、防批量注册、防短信轰炸）、交易欺诈（防虚假交易、防交易■综合评价■企业介绍产品覆盖基础设施安全、云安全、数据安全、应用安全多个领域，2019年9月登陆科创板上市。2019年起，公■方案说明于StoneOS可以与Intel、海光、飞腾、兆芯等国内外硬件平台实现深度适配，充分发挥硬件平台多核并行处理的能力。■综合评价③产品开发是自主研发的操作系统，可移植性受限，但系统安全性会更好些。功能上，在新一代WAF功能基础上，进一步集成了重保等国内特色功能，并结合自研的漏扫能力和虚拟补丁提升■企业介绍■方案说明入了风险管理理念，从事前风险发现、事中防护，到事后持续运营，全面管控各类安全风险，为用户提供业务全生命周期■综合评价②在传统Web防护基础上持续构建了API、数据安全等全站防护能力，并结合全站防护能力进一步构建了风险闭环④服务方面，拥有云运营和云服务的成功经验，■企业介绍新华三信息安全技术有限公司（简称“新华三信息安全”）是新华三技术有限公司的全资子公司，成立于2017年，如应用交付安全网关、Web应用防火墙、网页防篡改、网站安全监测、高级威胁分析与溯源系统等等。公司总部基地位于合肥，在合肥、杭州、北京三地设有研发中心，分支机构覆盖全国。目前公司总部人员规模在1500人以上，研发投入■方案说明H3CSecPathW2000Web应用防火墙是新华三信息安全在多年的安全研究沉淀和服务实践经验的基础上开发的应用安全产品。该产品专注于Web应用自身的漏洞，对面向Web应用系统的攻击进行防御，同时提供了SSL加速、抗TOP10的攻击，在保障检测效率的同时保障检测速度2）通过动态令牌加人机识别等方式进行Bot机器人流量防护；（3）支持针对Web中间件信息、数据库信息、代码错误信息、非法不合规的敏感词信息、用等攻击6）支持通过外联攻击检测来监测Web服务器外联情况，实现用户第一时间感知服务器异常7）支持数据；（■综合评价①企业拥有创新开放的生态建设，良好的品②技术上，有优秀的研发团队，较强的前沿技术研发和解决方案创新能力，以及多维度、多层级的深度Web安全防■企业介绍云盾智慧安全科技有限公司2019年由中国联通与奇安信共同出资成立。公司以云安全、大数据分析与运营、安全服务为突破点，充分发挥中国联通网络优势和奇安信安全产品与技术优势，为客户提供更为精准、高效的安全产品、服务及解决方案。目前，布局有云端防护、云安全管理平■方案说明慧御网站安全云防护系统是该公司为各行各业的网站系统推出的网站安全综合防护解决方案级产品。方案根据网站的虫防护能力、API防护能力、CDN加速能力、安全运营能力以及统一的配置管理综合到慧御安全防护体系中，为用户网站■综合评价①注重产学研联动，在云防护市场有较好的品牌⑤服务方面，拥有完善的应急响应处置流程，强调服务■企业介绍北京知道创宇信息技术股份有限公司（简称“知道创宇”）创立于2007年，是一家立足攻防一线，拥有较强“实战对抗”能力的网络安全企业。公司基于攻防领域的知识积累结合“AI+安全大全面赋能旗下云防御、云监测、云测绘等产品与服务。其中，知道创宇云防御平台是该公司面向边界攻防对抗场景推出的SaaS化边界防护解决方案，也是公司We界安全服务。公司总部位于北京，在北京、成都、武汉设有三大技术中心，全国设有数十个分公司和办事处。目前公司人■方案说明知道创宇云防御平台是该公司基于“AI+安全大数据”面向边界攻防对抗场景推出的SaaS化边界防护解决方案，包随着多云、混合云业务的发展，为满足用户本地与多云防护需求，•本地防御方案，指以创宇盾X作为云WAF创宇盾的本地版本，私有化部署于企业的IDC、私有云，并成熟适配•混合防御方案，指同时采用云防御SaaS服务和本地创宇盾X接入。混合接入模式下，云防御SaaS服务作为第火墙、CC攻击防护、大数据协同防御、站锁防构建可持续进化的实战防御体系，打破安全防护孤岛化、碎片化态势。能够有效解决数据传输泄露、业务弹性大、安全策■综合评价②技术上，结合了云防平台和云防大数据能力，创新性提出了本地和云防混合防御的Web安全方案，提升了本地及④服务方面，基于云防业务体系拥有较好的应在数字化转型浪潮下，银行的业务发展越来越依赖于Web应用。随着云计算、大数据和人工智能等技术的融合，Web应用的功能和复杂性不断提升，应用场景也越来越广泛，带来越来越频繁和复杂的网络安全、数据安全挑战。各类某国有大型商业银行是国家副部级单位，主要经营领域包括公司银行业务、个人银行业务和资金业务，在多个国家和地区设有分支机构及子公司，拥有基金、租赁、信托、人寿、财险、投行、期货、养老金等多个子公司。该银行拥有大量核心Web业务，面对日益频繁和多样化的Web攻击，该银行亟须进一步建设和完善Web业务系统的安全防护体系。项例如：分布SQL注入、命令执行、Web应用漏洞攻击、目录遍历、Web插件漏（4）不改变源IP地址。为确保WAF转发流第一阶段：基于反向代理进行WAF资源池化部署，实现弹性扩容。一方面，保障在新业务上线或旧业务扩增时，实），通过集中管理平台E