Web应用程序防火墙中的始终开启检测

Informatec Digital »资源» Web 应用防火墙中的持续检测

网络安全不再仅仅是安装杀毒软件然后听天由命。如今，Web应用程序和API几乎是所有企业的核心，这也使它们成为攻击的主要目标。从在线商店到数字银行和SaaS平台，一切都基于HTTP和HTTPS协议运行——而这正是Web应用程序防火墙发挥作用的地方。

现代 Web 应用防火墙 (WAF) 的功能远不止过滤流量：它提供持续的 Web 应用防火墙检测功能，实时调整规则，与其他防御层集成，并帮助企业遵守 PCI DSS 或 GDPR 等法规。关键在于充分理解其功能、工作原理、现有模型以及如何在不影响性能或用户体验的前提下进行部署。

什么是WAF？为什么它在今天如此重要？

Web应用防火墙（WAF）是OSI模型第七层（网络层）的一种专用安全机制，旨在监控、过滤和阻止进出Web应用程序或API的HTTP和HTTPS流量。与保护整个网络（第三层和第四层）的传统防火墙不同，WAF位于客户端和应用程序之间，能够理解Web请求的上下文。

它的主要任务是阻止利用应用程序自身漏洞的攻击：SQL 注入、跨站脚本攻击 (XSS)、跨站请求伪造攻击 (CSRF)、身份验证滥用、暴力破解尝试、利用加密或访问控制缺陷等。其中许多威胁都包含在著名的 OWASP Top 10 中，该威胁在几十年后仍然是行业基准。

这种类型的防火墙可以以物理设备、安装在服务器上的软件或云服务的形式提供。无论采用哪种模式，其原理都相同：检查每个 HTTP/HTTPS 请求，将其与一组安全策略进行比较，并在几毫秒内决定是允许、阻止还是对客户端进行质询（例如，使用验证码或 JavaScript 质询）。

在应用程序快速发布、采用开源组件和持续部署的环境下，漏洞在修复之前就已存在于生产环境中是很常见的现象。这时，WAF 就如同“安全气囊”一般发挥作用：它不会修复代码，但可以阻止攻击者利用这些漏洞。

Web应用程序防火墙阻止的主要威胁

配置良好的Web应用防火墙（WAF）可以缓解针对应用程序和API的各种攻击。其中一些最常见的攻击包括：

• SQL注入（SQLi）攻击者试图将 SQL 命令注入表单或参数中，以读取、修改或删除数据库中的数据。
• 跨站点脚本（XSS）这涉及将恶意脚本注入网页，以在其他用户的浏览器中执行代码。
• 跨站请求伪造（CSRF）用户被诱骗向他们已经登录的应用程序发送不必要的请求。
• 暴力破解攻击和凭证填充密码或用户名/密码组合会被反复测试，直到通过为止，通常是以大规模自动化的方式进行测试。
• 缓冲区溢出和服务器漏洞利用：试图破坏应用程序逻辑或内存的异常输入模式。
• 应用层DDoS攻击：向特定 URL 或端点发送大量请求，以耗尽应用程序资源。

此外，现代 WAF 还具备检测和阻止恶意机器人流量（恶意抓取、自动登录、批量购买门票等）的功能，其技术包括 JavaScript 验证、CAPTCHA、行为分析或设备识别等。

WAF 中始终开启检测的工作原理

WAF 的内部工作原理基于深度 HTTP/HTTPS 流量检测引擎和一系列策略或规则。每个请求都会经过多层次的分析，以确定其目标地址：

一方面，存在一些预定义的规则，通常基于 OWASP ModSecurity 核心规则集等标准集或专有等效规则集。这些规则涵盖已知的攻击特征（典型的 SQL 注入、XSS、路径遍历等模式）。

另一方面，持续检测依赖于更先进的分析方法：

• 常用表达 查找参数、标头、正文和路径中的可疑模式。
• 符号标点模型 它通过结合每次请求中的多个信号来分配“危险评分”。
• 智能解析 识别伪装在合法数据中的复杂结构（JSON、XML、编码有效载荷）的攻击。
• 行为分析 利用历史流量相关性来区分正常行为和更隐蔽的攻击模式。

有了这些功能，WAF 可以实时应用策略：允许、阻止、记录日志或质疑请求。此外，它还会将事件记录在详细的日志中，这些日志可以发送到 SIEM 或 SOAR 平台进行关联分析、审计和自动响应。

关键在于检测并非一成不变。有效的Web应用防火墙（WAF）会不断更新规则和签名，以适应新的漏洞和规避技术，许多WAF还集成了机器学习和基于云的威胁情报，无需持续的人工干预即可改进检测。

安全模型：黑名单、白名单和混合型

应用防火墙的行为可以根据三种主要安全方法来定义：

• 负面安全模型（黑名单）默认情况下允许所有请求，但恶意请求除外，除非请求的签名或模式与被归类为恶意的签名或模式相匹配。
• 正向安全模型（白名单）凡未经明确允许的请求都会被阻止；只有符合“优质流量”特定标准的请求才会被允许通过。
• 混合模型两种方法结合起来，对关键操作应用白名单，对其余流量应用黑名单。

白名单机制通常更安全，但配置起来也更复杂，因为它需要对合法流量的定义有透彻的了解。黑名单机制虽然初始配置更简单，但可能会对零日攻击或新型攻击手段造成漏洞。因此，许多现代Web应用防火墙（WAF）选择混合方案，并根据应用程序或终端进行调整。

根据部署方式划分的WAF类型

根据安装位置和方式的不同，我们可以区分几种类型的Web应用程序防火墙，每种防火墙在成本、控制、可见性和性能方面都有其优缺点：

• 基于网络的WAF（硬件）：放置在网络基础设施中，位于互联网和应用服务器之间的物理设备。
• 基于主机或基于软件的WAF它们直接安装在 应用程序运行所在的服务器或者作为集成到应用程序自身堆栈中的模块。
• 基于云的WAF：由云或边缘/CDN提供商提供的服务，通常通过更改DNS或代理设置进行配置。
• 混合部署他们将本地 WAF（本地或主机）与基于云的 WAF 相结合，以同时覆盖混合环境、传统环境和云原生环境。

网络设备提供低延迟和强大的本地控制功能，但需要硬件和维护方面的投入。主机 Web 应用防火墙 (WAF) 提供对应用程序的精细化可见性，但它们会消耗服务器资源并需要更多管理。云服务以其可扩展性、快速部署和易于维护而著称，但它们牺牲了一些内部控制，在某些情况下，还会失去所有威胁的完整上下文信息。

WAF 与其他安全系统：NGFW、IPS 和传统防火墙

人们常常会将WAF与其他安全设备的角色混淆。它们在安全架构中各有其用武之地：

传统防火墙定义了内部网络和外部网络之间的边界，在底层控制端口、IP地址和协议。它不理解Web应用程序的逻辑，也不理解表单或URL的内容。

下一代防火墙 (NGFW)在传统防火墙模型的基础上，增加了深度包检测、用户和应用程序控制、防病毒、反恶意软件以及威胁情报集成等功能。部分 NGFW 也具备 Web 应用防火墙 (WAF) 功能，但其主要关注点仍然集中在网络层，而 WAF 则完全专注于应用层。

另一方面，入侵防御系统 (IPS)会分析所有协议下的所有网络流量，以检测通用攻击模式。它通常依赖于签名和规则，这些签名和规则的上下文关联性不如 Web 应用防火墙 (WAF) 强，而且它并不总是深入分析 HTTP 语义或应用程序的业务逻辑。

在实践中，强大的架构结合了NGFW、IPS 和 WAF，每个层都专注于各自的领域，向中央 SIEM 提供信息，该 SIEM 关联事件、生成警报并实现协调响应，并将它们与安全工具连接起来以实现管理自动化。

在应用程序架构中部署 WAF 的方法

除了解决方案类型之外，您还需要决定如何将 WAF 集成到应用程序的流量流程中。最常见的方法包括：

• 透明桥WAF 位于线上，连接到与应用程序相同的端口，客户端或服务器不会显式“看到”它。
• 透明反向代理应用程序能够感知 WAF，但对客户端来说，就好像它们直接与应用程序通信一样。
• 显式反向代理客户知道他们正在连接到代理服务器，代理服务器会将请求转发到内部服务器。

桥接模式通常最容易实现，因为它需要的配置更改较少，但它在应用程序和防火墙之间提供的隔离性较差。不同的反向代理方案可以提供更好的应用程序隔离性，支持 TLS 卸载，允许检查加密流量，并且在应用高级规则或负载均衡逻辑方面提供更大的灵活性。

使用 Web 应用程序防火墙的主要优势

采用精心调校的Web应用防火墙（WAF）在技术和业务层面都能带来显著优势。其中最相关的优势包括：

• 针对特定应用程序攻击的高级保护网络防火墙或简单的入侵防御系统 (IPS) 无法以同样的精度阻止此类攻击。
• 降低数据泄露和服务中断的风险避免直接成本（停工、救援、罚款）和间接成本（声誉损害、信任丧失）。
• 协助遵守监管规定尤其是在 PCI DSS 等要求中，这些要求要求保护面向互联网的应用程序，并提供威胁监控和阻止的证据。
• 可扩展性和灵活性尤其是在云和边缘模型中，无需重新设计整个基础设施即可吸收流量高峰和可变负载。

许多专业主机托管服务商在其平台中集成了Web应用程序防火墙（WAF）。这简化了流程，使网站或应用程序从一开始就能自动抵御注入攻击、跨站脚本攻击（XSS）、基本DDoS攻击和身份验证滥用，而无需团队从头开始创建复杂的规则。

实施WAF时面临的真正挑战以及如何应对这些挑战

即使WAF功能强大，也不意味着一切都会一帆风顺。需要注意一些挑战，以避免持续开启的检测功能变成持续不断的麻烦：

• 误报这是一个典型的问题。一条设置不当的规则可能会阻止合法流量、破坏购买流程，或者阻止API正常运行。
• 需要不断更新如果企业和政策不进行现代化改造，WAF 将无法识别新的攻击技术。
• 配置完成制定好的规则、理解日志和调整策略都需要专业知识。
• 对性能的影响每次检查都会增加负载。设计不佳或位置不当都可能导致高延迟。
• 规避技术 攻击者通过对数据包进行分片、以奇怪的方式编码有效载荷或滥用协议特性来绕过控制。

缓解这些挑战需要将良好的初始设计与持续维护相结合：建立性能标准，记录指标（并发用户数、每秒请求数、响应时间），定义明确的角色（谁管理规则，谁审查警报，策略审查频率），并将 WAF 与 SOC、DevOps 和组织的监控工具集成。

充分利用始终开启检测功能的最佳实践

为了确保您的应用防火墙对您有利而不是有害，建议您遵循一系列许多制造商和安全团队认为必不可少的做法：

• 将WAF与现有基础设施集成 （CDN、负载均衡器、代理、SIEM、DDoS 解决方案、IPS）而不是将其视为一个“孤立的立方体”。
• 从一开始就定义性能和安全关键绩效指标 （误报率、拦截的攻击、增加的延迟等）。
• 介绍具体的WAF管理角色与开发、运营和 SOC 保持一致，以便规则能够随着应用程序的演进而发展。
• 使用预配置的规则列表 以此为基础，但要根据每个应用程序进行调整：定义例外情况、特定白名单和关键流程的自定义规则。
• 与事件管理平台（SIEM）集成 将 WAF 日志与其他传感器关联起来，以获得概览。
• 定期审查政策消除过时的规则，并根据用户的实际行为调整速率限制阈值、会话控制和防机器人保护。

WAAP 和 WAAS：面向现代应用程序和 API 的 WAF 演进

随着云原生架构、微服务和 API 的普及，传统的 Web 应用防火墙 (WAF) 已无法满足需求。因此，Web 应用和 API 保护 (WAAP)应运而生，通常以Web 应用和 API 安全 (WAAS) 即服务的形式提供，它更进一步：

• 自动发现应用程序和API端点防止服务在缺乏保护的情况下暴露在外。
• 导入 API 规范 （使用 Swagger、OpenAPI 等）来验证请求是否符合已定义的协议。
• 针对 OWASP API Top 10 的特定保护 以及在 API 调用中滥用业务逻辑。
• 集成应用级机器人和DDoS缓解除了传统的WAF功能之外。
• 能够针对每个端点应用不同的策略这使得管理敏感数据的人员面临更大的挑战。

这种方法反映了当前的现实：许多漏洞不再源于典型的“传统”网站，而是源于文档不完善的 API、被忽视的端点以及跨多个云平台暴露的服务。利用始终在线的检测功能自动发现并保护这些漏洞，对于防止后门敞开至关重要。

总而言之，充分了解 WAF 的功能、其持续检测机制的运行方式、现有的部署模型以及如何将其与安全生态系统的其他部分集成，可以帮助您围绕应用程序和 API 构建更强大的防御，降低攻击成功的风险，同时又不影响敏捷性或用户体验。