词汇表： 网络安全术语和定义

什么是 Webapplication防火墙 (WAF)？

Web应用防火墙 (WAF) 可保护 Web应用免受各种应用层攻击，例如跨站点脚本 (XSS) 、 SQL 注入和有毒Cookie等。 对应用程序的攻击是造成违规的主要原因——它们是获取您宝贵数据的门户。 通过安装正确的 WAF，您可以阻止一系列旨在通过破坏系统来窃取数据的攻击。

Web应用防火墙 (WAF) 如何工作？

WAF 通过过滤、监控和阻止任何流向 Web 应用程序的恶意 HTTP/S 流量来保护您的 Web应用程序，并防止任何未经授权的数据离开应用程序。它通过遵守一组策略来实现这一点，这些策略有助于确定哪些流量是恶意的，哪些流量是安全的。 就像代理服务器充当保护客户端身份的中介一样，WAF 以类似的方式运行，但方向相反（称为反向代理） ，充当保护 Web 应用服务器免受潜在恶意客户端攻击的中介。

WAF 可以采用软件、设备或以服务形式提供。 可以定制策略来满足您的 Web应用或一组 Web应用的独特需求。 尽管许多 WAF 要求您定期更新策略以解决新的漏洞，但机器学习的进步使得某些 WAF 能够自动更新。 随着威胁形势变得越来越复杂和模糊，这种自动化变得越来越重要。

反向代理位于客户端（例如 Web 浏览器）和后端服务器（例如应用服务器或其他 Web 服务器）之间，也可用于缓存来自后端服务器的响应。 这可以通过减少经常访问的资源的响应时间并减轻后端服务器的负载来提高 Web 应用程序的性能。 与后端服务器动态生成的响应相比，缓存的响应可以更快地得到服务。 反向代理缓存还可以提高可扩展性和资源利用率，尤其是在高流量期间或提供静态内容时。

Web应用防火墙 (WAF)、入侵防御系统(IPS) 和下一代防火墙 (NGFW) 之间的区别

IPS是入侵防御系统，WAF是Web应用防火墙，NGFW是下一代防火墙。 它们之间有什么区别？

IPS 是一种更加广泛关注的安全产品。 它通常基于签名和策略——这意味着它可以根据签名数据库和已建立的策略检查众所周知的漏洞和攻击媒介。 IPS 根据数据库和策略建立标准，然后在任何流量偏离标准时发出警报。 随着新的漏洞被发现，签名和策略也随着时间的推移而增长。 一般来说，IPS 可以保护跨多种协议类型的流量，例如 DNS、SMTP、TELNET、RDP、SSH 和 FTP。 IPS 通常运行并保护第 3 层和第 4 层。 网络层和会话层虽然可能在应用层（第 7 层）提供有限的保护。

Web应用防火墙（WAF）保护应用层，专门用于分析应用层的每个 HTTP/S 请求。 它通常能够感知用户、会话和应用，了解其背后的 Web 应用程序及其提供的服务。 因此，您可以将 WAF 视为用户和应用程序本身之间的中介，在所有通信到达应用程序或用户之前对其进行分析。 传统的 WAF 确保只能执行允许的操作（基于安全策略）。 对于许多组织而言，WAF 是应用值得信赖的第一道防线，尤其是可以防御 OWASP Top 10（最常见的应用漏洞的基础列表）。 目前排名前十的包括：

获取电子书，了解如何为 OWASP 十大问题做好准备

观看有关IPS 与 WAF 的简短视频

下一代防火墙 (NGFW) 监控跨网站、电子邮件帐户和 SaaS 的互联网流量。 简而言之，它保护的是用户（相对于 Web应用）。 NGFW 将执行基于用户的策略并为安全策略添加上下文，此外还添加了 URL 过滤、防病毒/反恶意软件以及可能的入侵防御系统 (IPS) 等功能。 虽然 WAF 通常是反向代理（由服务器使用），但 NGFW 通常是正向代理（由浏览器等客户端使用）。

部署 WAF 的不同方式

WAF 可以通过多种方式部署 - 这完全取决于您的应用部署的位置、所需的服务、您希望如何管理它以及您所需的架构灵活性和性能级别。 您想自己管理，还是想外包管理？ 采用基于云的选项是否是更好的模型，还是您希望 WAF 位于本地？ 您希望如何部署将有助于确定哪种 WAF 适合您。 以下是您的选择。

WAF 部署模式：
  • 基于云 + 完全托管即服务——如果您需要以最快、最轻松的方式将 WAF 置于您的应用程序前面（尤其是在您的内部安全/IT 资源有限的情况下），这是一个很好的选择
  • 基于云 + 自我管理——获得云的所有灵活性和安全策略可移植性，同时仍保留对流量管理和安全策略设置的控制
  • 基于云 + 自动配置——这是在云中使用 WAF 的最简单方法，可以以简单、经济高效的方式部署安全策略
  • 本地Advanced WAF（API 安全 - 新一代 WAF） （虚拟或硬件设备）——这可以满足最苛刻的部署要求，其中灵活性、性能和更高级的安全问题是关键任务

这里有一份指南可以帮助您选择适合您的 WAF 和部署模式。

了解有关 WAF 的更多信息以及如何使用 F5 的Advanced WAF（API 安全 - 新一代 WAF）技术保护您的应用程序。  F5 还提供F5 NGINX App Protect，这是一款现代 WAF应用，可与F5 NGINX Plus 、 F5 NGINX Ingress Controller和其他服务器配合使用。 NGINX Plus 还提供可大规模扩展的缓存解决方案和反向代理，以优化和可靠的方式向各种客户端提供静态和不频繁变化的内容。 NGINX Plus 缓存服务器还可以使用 FastCGI、SCGI 和 uwsgi 等协议处理脚本语言返回的动态响应。