隨著Web應用越來越多，黑客的攻擊目標也逐漸轉向對網站的攻擊，尤其是滲透測試首當其沖，被攻擊團隊篩選的單位往往是也非常擅長網絡安全。爛。傳統防火墻側重于網絡層的攻擊防御，對Web安全的防御能力相對較弱，甚至基本無能為力。因此，WAF（Web，Web應用程序保護系統）應運而生，它也是時代發展的產物。WAF說白了就是一種應用網關防火墻，只是專注于Web安全的防御。在過去的幾年里，它已經發展成為一個相對獨立的產品。所以，WAF 和防火墻有什么區別？如何防御Web攻擊？

WAF的本質是一個“專注于網絡安全的防火墻”。Web安全只關注應用層的HTTP請求，WAF的分析和策略工作在應用層。WAF有三種工作模式：透明代理、反向代理和插件模式。透明代理的工作方式與大多數防火墻相同：請求和轉發 HTTP 流量而不需要對客戶端-服務器通信進行任何更改。在這個過程中，為了解密HTTPS流量，WAF必須將HTTPS對稱密鑰與服務器同步。透明代理的優點是易于部署，不需要對客戶端和服務器做任何改動。但透明代理本身不是Web服務，因此不能修改或響應HTTP請求，只能控制請求的通過或拒絕。

與透明代理不同的是，反向代理需要客戶端將請求的目的地址指向WAF，而不是服務端。在反向代理工作模式下，服務器收到的請求實際上是由WAF發起的，WAF本身相當于一個Web服務，負責轉發所有的HTTP請求。因為反向代理WAF本質上是一個Web服務，所以可以直接在WAF上部署HTTPS證書。WAF解密HTTPS流量后，可以在內網使用HTTP的形式向服務器發起代理請求。反向代理WAF作為一個Web服務，可以提供更多的功能，可以作為前端認證平臺對所有請求進行身份驗證和身份管理。同時，因為所有等待的請求都先到WAF，反向代理WAF對服務器的隔離也更加徹底。然而，更多的特性意味著更多的性能開銷。因此，反向代理WAF對硬件的要求更高。其次，反向代理WAF一旦宕機，將無法響應任何客戶端請求。這樣即使服務器還正常，用戶也無法正常使用應用。對于透明代理WAF，如果WAF宕機，只是無法提供Web保護，客戶端與服務端的通信不會受到任何影響。即使服務器還正常，用戶也無法正常使用應用。對于透明代理WAF，如果WAF宕機，只是無法提供Web保護，客戶端與服務端的通信不會受到任何影響。即使服務器還正常，用戶也無法正常使用應用。對于透明代理WAFit運維技術，如果WAF宕機，只是無法提供Web保護，客戶端與服務端的通信不會受到任何影響。

在插件模式下，WAF不再是網絡中獨立的安全產品，而是以插件的形式依附于Web服務器本身，為Web安全提供保障。通過AOP（- ）技術，可以將WAF作為一個切片植入到服務器的邏輯中。但是這種WAF和服務器強耦合的方式會帶來一定的負面影響。首先，它會消耗服務器的額外資源，對Web服務本身的性能有影響。其次，WAF是和服務器耦合在一起的，也就是說WAF的所有改動都會直接影響到服務器。插件方式的WAF必須和服務器一起進入評估和測試過程，這會增加額外的工作量。,同時對于運維端來說,

WAF是一款專注于網絡安全的防火墻。其主要模式有透明代理、反向代理和插件，運行于網絡和系統的各個環節。在功能上，WAF可以解決大部分Web安全問題，分析攔截黑客對Web的攻擊，并提供審計告警、數據保護等附加能力。如何選擇WAF的三種模式，主要看企業對Web安全防護的具體要求it運維技術，結合當前業務發展情況綜合判斷安全要求的高低。如果您需要更深入的了解WAF防火墻，請咨詢藍夢IT外包。

文/上海瀾夢IT外包專家