Advanced Web Application Firewall (WAF) 快速入门
组织为何需要WAF？
如今，企业正利用基于Web和云托管的应用扩展业务，因此，部署强大而敏捷的Web应用防火墙（WAF），保护这些应用免受安全威胁，已不再是锦上添花，而是必不可少。
随着这些基于Web和云的应用日益普及，攻击也变得愈加复杂和频繁，威胁着企业的关键数据和运营。因此，管理员和安全团队更难及时了解最新攻击和防护措施。同时，他们还必须满足严格的在线商务合规要求（例如《支付卡行业数据安全标准》）；保护业务关键型Web应用免受SQL注入、DDoS攻击和复杂的零日攻击等常见攻击；并支持在传统环境和云环境之间安全地共享数据。
部署WAF需要具备哪些条件？
企业可以综合运用多种技术，在不阻止合法流量的前提下，确保准确的检测覆盖。传统上，WAF最常采用负向安全模型配置，即允许除包含威胁或攻击之外的所有事务。负向安全模型使用专为检测已知威胁和攻击而设计的特征码和规则。随着多年来攻击知识的不断积累，特征码规则数据库已相当庞大。该模型适合提供开箱即用的防护，可阻止Web注入、OWASP十大威胁、跨站脚本（XSS）等常见的已知威胁。
近年来，正向安全模型日益普及。这种方法会阻止所有流量，仅允许已知有效且安全的事务通过。正向安全方法以严格的内容验证和统计分析为基础，在防范零日威胁和漏洞利用方面可能更为有效。要充分发挥作用，正向安全方法需要深入了解应用及其预期用途。
挑战
需要执行多个相互关联的步骤
正向模型和负向模型都能在“安全性”与“功能性”之间实现微妙的平衡。然而，无论在何种情形或环境下，单独采用正向或负向安全模型都无法始终提供更具经济效益的解决方案。将业务需求与正负向一体化方法相结合，有助于组织从安全策略实施中获得更高的投资回报率。
要做出适当的WAF部署决策，以更好地满足业务目标，可能并非易事。时间和资源方面的需求，通常与充分掌握相关知识并有信心使用所选产品的需求相冲突。
客户在规划和交付WAF服务实施项目时，需要完成多个步骤：
- 制定“最合适的”WAF策略，并获得所有内部利益相关方的批准。
- 高效使用WAF产品，实施正确的策略和参数组合。
- 规划WAF服务部署，通常涉及数百个应用。
- 规划生产环境中的日常服务运营和生命周期管理。
每个步骤都面临一些常见挑战
- 企业和业务安全要求（或期望）并不总能充分考虑技术、运营和资源方面的限制。因此，组织往往会在尚未确保实现目标所需的各项条件均已具备之前，就试图通过制定非常复杂的策略来实现高层目标。在许多情况下，要解决这一问题，可能需要对现状进行中立的评估和分析。
- 业务负责人要求的应用可用性与CISO团队要求的保护级别之间并不总是容易取得平衡。例如，业务负责人不希望应用因误报或WAF策略过于严格而被阻止。在这种情况下，对现状进行公正、专业的评估和分析，有助于组织找到适当的平衡点，并制定缓解计划，以应对可能对生产环境造成的影响。
- 强烈建议参加软件供应商培训或通过产品认证，但这绝不能替代结合公司的实际情况、目标和限制开展实践所需的投入。
- 客户经常面临的一个难题是，如何保护大量应用。然而，应用数量本身往往并非主要问题。真正可能阻碍WAF项目的是每个应用的相关信息是否优质、完整，因此需要进一步审视设计和实施策略。WAF实施经验对于确定相关标准、描述应用特征并对应用进行分组，以及调整整体WAF服务设计和实施策略非常有帮助。
- 客户往往会忽略在前期考虑后续步骤，以确保方案切实可行且易于支持。这可能是最常见的错误，即在设计和规划解决方案时，没有研究所选设计和实施模型对解决方案在生产环境中长期运行的影响。一个常见的例子是：整个环境中的威胁、缓解措施和应用发布等各方面都在不断变化，却低估了维护高度复杂的WAF策略所需的资源。
F5解决方案
F5 Professional Services根据您的环境定制解决方案
BIG-IP Advanced WAF提供全面的功能，包括多种部署方法（包括真实流量策略构建器）、手动学习，以及漏洞扫描器集成、攻击特征码、暴力破解防护、地理位置策略实施、机器人检测、DDoS缓解等高级功能，可快速完成适用的配置，并可在此基础上扩展和改进，以应对不断演变的威胁形势，满足客户的严苛要求。
F5专业服务专门推出了Advanced WAF Launchpad服务，面向已购买甚至已配置Advanced WAF BIG-IP模块，但尚未有效部署WAF服务的客户（例如，仅在透明模式下使用少量策略）。
Advanced WAF Launchpad服务可借助F5 Professional Services的专业知识和经验，帮助客户解决特定用例中的问题，并顺利开展Advanced WAF实施项目。
服务范围
该服务需要F5 Professional Services的安全专家与客户的安全、基础设施、网络和应用管理团队协作。
该服务有两项目标：一是运用F5实践经验，制定符合实际需求的Advanced WAF策略实施方案；二是传授客户可直接付诸实践的知识和专业经验。
服务交付方法
该服务为期两天，涵盖Advanced WAF功能、部署和管理要求的理论与实践，帮助客户树立信心并掌握相关能力，从而实施有效的Advanced WAF解决方案，优化应用安全性。
第1步：Advanced WAF设计和部署策略
项目第一天将召开工作会议，参与者包括负责Advanced WAF安全策略管理的安全架构师、设计人员、工程师、运维人员及其他利益相关方。F5顾问将主导数据收集，客观分析现有环境和目标，提供建议和最佳实践，并开展深入研讨，以制定高层设计和实施策略。
第一天结束时，F5顾问将编写一份报告，重点说明调查结果和建议。
第2步：策略创建与实施
此步骤包括创建策略并将其应用于虚拟服务器，以覆盖指定的Web应用。可一次性完成，也可拆分为多个独立的子任务，以适应所选的策略实施方案。
例如，采用快速部署方法在客户测试环境中实施策略时，可以在一个会话中完成；而使用Automatic Policy Builder生成策略时（即可以在较长时间内检查“真实”流量），则可以拆分为两个子任务：先设置基本策略，之后再执行策略调优并切换到阻止模式。
结论
由具备相关专业知识和经验的资深顾问提供实时支持，通常是推动WAF服务部署项目步入正轨，并帮助Advanced WAF所有者做出明智、高效决策的有效方式。
如需了解有关BIG-IP Advanced WAF Launchpad服务的更多信息，请联系F5专业服务团队。
发布于2018年3月21日