2012-05-04 10:54:16 来源：中关村在线
WEB应用的日益普及和Web攻击的与日俱增，让Web安全问题备受关注。但对于正常流量中的危险分子，传统的安全产品根本无能为力，此时，我们该靠什么来保护WEB应用？WEB应用防火墙无疑是最佳之选。但WEB应用防火墙究竟是什么？它和传统的安全产品有什么不同？应用起来又有要注意什么？
WAF采购要点大揭密
现在，市场上存在着大量的真假WEB应用防火墙产品，用户对它的认识也不够清晰，再加上业界缺乏WEB应用防火墙的衡量标准，WEB应用防火墙的好坏评判变得十分困难。
其实，要想选到一款好的WEB应用防火墙并不难，考察以下几个方面即可：
1.攻击拦截能力
WAF最主要的功能就是防范Web攻击，因此，攻击拦截能力至关重要。一款好的WAF产品，对于针对Web服务器的各种流行攻击都要具备强大的防御能力，还应该对数据泄密具备一定的监管能力，应该可以进行IP审计。而且，还应该可以及时、准确地发现异常的使用模式，并阻止目前未知的攻击方法。
以梭子鱼WEB应用防火墙为例，它提供了强大的双向扫描机制，对于HTTP请求提供URL、表单参数、报头及Cookie等各种安全扫描，还提供强大的应用层DDoS防护以及强制浏览和跨站请求伪造攻击防护。
2.服务配套能力
安全是需要不断对抗的，安全产品提供者本身的技术实力也是非常关键。因此，产品毕竟只是一个工具，发生安全事件的时候厂商是否能够提供应急服务、第一时间解决问题这也是需要考虑的。最后一步还需要考虑产品的易用性，如果一个产品带来较高管理成本的话，这也是企业不太希望发生的。
以梭子鱼为例，梭子鱼的服务团队会7×24小时监控互联网的发展，不断更新遍布全球的产品的规则库，包括病毒库、攻击特征库等。而且，专业的技术团队、扎实的技术功底，使得梭子鱼的售后服务也很到位，可以7×24小时快速响应用户的问题和需求。主动防御功能，对流行功能能够做好最好的防御。安全则不然，会有一直不停对抗的过程，这样是需要特别关注的一点。产品是否能够及时更新是很重要的。
3.可扩展性
WEB应用防火墙在后台连接的时候和Web服务器相关，但不能仅仅防护一台服务器。很多企业的Web服务器数量庞大，WEB应用防火墙还应该可以对应用交付和负载均衡提供支持。
[page] 像梭子鱼WEB应用防火墙，其简单高效的负载均衡功能就可以确保组织机构的网站近乎100%的持续运行能力，并大大缩短响应时间，提升其客户体验。
4.合规性
有些行业都要面临合规性需求，会要求组织机构提供相关的统计报表，WAF应该可以帮助组织机构轻松实现这方面的要求。像梭子鱼WEB应用防火墙就是CPI推荐的解决方案，完全能够满足塞班斯法案的各项要求。
5.参考WAFEC标准
WASC（WEB应用安全协会）是一家非赢利的国际性专家社团，该组织推出了WAFEC（WEB应用防火墙评价标准），以便研究出一套合理的测试方法，对大家可以WEB应用防火墙产品的优劣进行测试和评价。目前，WAFEC已经被越来越多的厂家和用户用来评测WEB应用防火墙，该评价标准主要包括部署模式、HTTP协议支持、检测技术、防御技术、审计、报告、管理、性能、XML、主动学习、认证等方面，可以在一定程度上帮助我们准确地比较和评价WEB应用防火墙产品。
像梭子鱼WEB应用防火墙就完全符合WAFEC的评估标准，而且梭子鱼还在密切跟踪WASC的研究成果，时刻保持产品的技术领先性。
免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。
抢沙发
