网康科技·Web应用防火墙
Web Application Firewall
技
术
白
皮
书
Version 2.0
北京网康科技有限公司
2013年6月
NS-WAF技术白皮书
1. 应用背景
当Web应用越来越为丰富的同时，Web 服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标。SQL注入、网页篡改、网页挂马等安全事件，频繁发生。2007年，国家计算机网络应急技术处理协调中心（简称CNCERT/CC）监测到中国大陆被篡改网站总数累积达61228个，比去年增加了1.5倍。其中，中国大陆政府网站被篡改各月累计达4234个。
防火墙，UTM，IPS能否解决问题？ 企业一般采用防火墙作为安全保障体系的第一道防线。但是，在现实中，他们存在这样那样的问题。
防火墙的不足主要体现在：
1) 传统的防火墙作为访问控制设备，主要工作在OSI模型三、四层，基于IP报文进行检测。它就无需理解Web应用程序语言如HTML及XML，也无需理解HTTP会话。因此，它也不可能对HTML应用程序用户端的输入进行验证、或是检测到一个已经被恶意修改过参数的URL请求。
2) 有一些定位比较综合、提供丰富功能的防火墙，也具备一定程度的应用层防御能力，但局限于最初产品的定位以及对Web应用攻击的研究深度不够，只能提供非常有限的Web应用防护。
北京网康科技有限公司 - 2 - www.netentsec.com
NS-WAF技术白皮书
随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，单纯的防火墙无法进行七层防护，已经无法满足Web应用防护的需求。
IPS/UTM的不足：
入侵检测系统IPS/综合安全网关UTM弥补了防火墙的某些缺陷，但由于IPS/UTM对WEB的检测粒度很粗，随着网络技术和Web应用的发展复杂化，IPS/UTM在WEB专用防护领域已经开始力不从心。
北京网康科技有限公司 - 3 - www.netentsec.com
NS-WAF技术白皮书
Web应用防火墙 Web应用防火墙（Web Application Firewall, 简称：WAF）代表了一类新兴的信息安全技术，用以解决诸如防火墙一类传统设备束手无策的Web应用安全问题。与传统防火墙不同，WAF工作在应用层，因此对Web应用防护具有先天的技术优势。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站站点进行有效防护。
2. 产品概述
为了弥补目前安全设备，如防火墙对Web应用攻击防护能力的不足，我们需要一种新的工具用于保护重要信息系统不受Web应用攻击的影响。这种工具不仅仅能够检测目前复杂的Web应用攻击，而且必须在不影响正常业务流量的前提下对攻击流量进行实时阻断。这类工具相对于目前常见的安全产品，必须具备更细粒度的攻击检测和分析机制。
Web应用防火墙，以下简称WAF，是网康基于自主知识产权的NOS开发的新一代安全产品，作为网关设备，防护对象为Web、Webmail服务器，其设计目标为：针对安全事件发生时序进行安全建模，分别针对安全漏洞、攻击手段及最终攻击结果进行扫描、防护及诊断，提供综合Web应用安全解决方案。
➢ 事前，WAF提供Web应用漏洞扫描功能，检测Web应用程序是否存在SQL注入、跨站脚本漏洞。
➢ 事中，对黑客入侵行为、SQL注入/跨站脚本等各类Web应用攻击、DD.o.S攻击进行有效检测、阻断及防护。
➢ 事后，针对当前的安全热点问题，网页篡改及网页挂马，提供诊断功能，降低安全
北京网康科技有限公司 - 4 - www.netentsec.com
NS-WAF技术白皮书
风险，维护网站的公信度。
网康WAF应用防火墙产品提供了业界领先的Web应用攻击防护能力，通过多种机制的分析检测，网康WAF的技术能够有效的阻断攻击，保证Web应用合法流量的正常传输，这对于保障业务系统的运行连续性和完整性有着极为重要的意义。同时，针对当前的热点问题，如SQL注入攻击、网页篡改、网页挂马等，网康WAF按照安全事件发生的时序考虑问题，优化最佳安全-成本平衡点，有效降低安全风险。
Web统一监控告警应用层均衡负载偿、补S卸载HTTPO事中WA：护SP防：前描事b扫eW多模式Web安全双系统、H制A冗DD火oS墙、补防偿应ebW用网康WAF基于NOS系统开发，因此具备以下特性：
1) 应用多维防护体系，有效应对OWASP TOP 10定义的Web威胁，如SQL注入、跨站脚本及其变形攻击；
2) 提供细粒度应用层、网络层DD.o.S攻击防护
3) 网页防篡改系统支持, 支持Linux、Windows、BSD系统，并能提供集中管理模式； 4) Web加速/HTTPS引擎加速支持 5) 实时检测网页篡改，降低网站安全风险 6) 提供挂马主动诊断功能，维护网站公信度
北京网康科技有限公司 - 5 - www.netentsec.com
网：改后篡事防复页恢余机加速
NS-WAF技术白皮书
7) 敏感信息扫描和过滤 8) 透明安全检测
9) 支持虚拟主机、负载均衡部署，适合IDC环境 10) 支持WebMail的安全检测 11) 攻击、特征库在线平滑升级
12) 双系统冗余及双击热备功能，有效避免系统/网络单点故障
3. 产品特色
精细化Web安全防护 网康WAF应用防火墙能防护7大类Web攻击威胁。精细化的规则配置，发挥最大的安全防护功能，有效应对OWASP Top10定义的威胁及其变种。
完整网页防篡改解决方案，支持Linux、BSD，Windows系统 北京网康科技有限公司 - 6 - www.netentsec.com
NS-WAF技术白皮书
Web防火墙集中管理控制各个网页防篡改端点，并提供监控、同步、发布功能。
基于文件夹驱动级保护技术，事件触发机制，确保系统资源不被浪费。
与WAF联动：网页防篡改（端点技术）与WAF联动，阻断Web威胁。
采用文件级驱动保护技术后，用户每次访问每个受保护网页时，Web 服务器在发送之前都进行完整性检查，保证网页的真实性，可以彻底杜绝篡改后的网页被访问的可能性。
支持Windows 2000/xp/2003/2008(64位), Linux/BSD系统的网页防篡改。
用户空间防篡改用户态控制程序系统应用程序内核空间 I/O管理（操作系统）进程监控驱动安全访问控制文件系统过滤模块 存贮驱动（操作系统） 文件系统（操作系统）
专业DDOS防护引擎，让服务器更加安全 网康WAF防火墙的防D.DoS攻击模块采用主动监测加被动跟踪相互结合的防护技术，北京网康科技有限公司 - 7 - www.netentsec.com NS-WAF技术白皮书
可辨识多种D.DoS攻击，并启用特有的阻断，能够高效地完成对D.DoS攻击的过滤和防护。针对互联网中常见的D.DoS攻击手段，提供多种防护手段结合的方式，有效的阻断攻击行为，从而确保服务器可以正常提供服务。能有效的防止CC和SynFlood攻击。
分析引擎采样指令混合流量采样引擎执行引擎清洗掉异常流量DDOS防护引擎
HTTPS卸载/加速 如下图，针对SSL加密应用，WAF根据业务模型提供HTTPS卸载和HTTPS加速应用，从而保证服务器的安全性和可靠性。
北京网康科技有限公司 - 8 - www.netentsec.com
NS-WAF技术白皮书
HTTPS网守应用 SSL应用越来越广，能提供安全、可靠的HTTP服务，因此被大量采用。但有的客户因为条件限制无法提供HTTPS加密传输，因此面临较高的风险。WAF根据面向此种模型开发的HTTPS网守服务，能为客户提供无缝HTTPS服务，从而最大保护客户数据安全性。如下图所示。
网页挂马主动诊断 网页挂马，可以认为是一种比较隐蔽的网页篡改方式，其最终目的为盗取客户端的敏感信息，如各类帐号密码，甚而可能导致客户端主机沦为攻击者的肉鸡。Web服务器成为了传播网页木马的“傀儡帮凶”，严重影响到网站的公众信誉度。
网康WAF提供网页挂马检测功能，全面检查网站各级页面中是否被植入恶意代码，并及时提醒客户。
Web扫描支持 北京网康科技有限公司 - 9 - www.netentsec.com
NS-WAF技术白皮书
网康WAF提供Web漏洞扫描系统，定期对客户Web资源进行安全体检，从而进行事前防范和处理。
立体化防护，从上到下的安全保护 构建多维防护体系，网络层、应用层4层Web安全扫描与检查，网页防篡改、Web安全扫描互动，网络层、应用层D.DoS，构建立体式防护网络。
Web负载均衡、虚拟主机支持，满足IDC应用、大型网络需要 网络访问就会急剧上升，从而造成网络瓶颈随着用户访问数量的快速增加，需要对现有的服务器进行负载均衡。为了保证各台服务器的负载均匀分布，合理地分流用户，需要一种服务器负载均衡设备对web服务器进行负载均衡。负载均衡设备介于服务器和用户端之间，扮演了一个智能的指挥者角色。根据当前各个服务器的工作状态和能力来分配服务器负载，使整个系统能更高效的响应用户的请求。负载均衡建立在现有网络结构之上，它提供了一种廉价有效的方法扩展服务器带宽和增加吞吐量，加强网络数据处理能力，提高网络的灵活性和可用性。它主要完成以下任务：解决网络拥塞问题，服务就近提供，实现地理位置无关性;为用户提供更好的访问质量;提高服务器响应速度;提高服务器及其他资源的利用效率;避免了网络关键部位出现单点失效。
五种负载均衡算法支持，分层架构的设计模型，将网络拓扑与应用安全分离，大大减轻管理员的负担。
在网络接入方面，网康WAF支持链路聚合以及VLAN技术，真正满足大型网络使用。
北京网康科技有限公司 - 10 - www.netentsec.com
NS-WAF技术白皮书
Web服务器WAF 充当负载均衡器Web服务器Web服务器WAF 协同负载均衡器工作Web服务器
双操作系统，双机HA ，可靠性更高 NOS独有的双操作系统驱动模型，保证系统平滑的进行规则库、版本库、核心引擎的在线升级，避免可能的中断客户网络应用的情况发生。
多种部署模式，随机应变用户拓扑变化 网康WAF提供透明、路由、混合的工作模式，便于灵活部署。
便利的向导管理功能 北京网康科技有限公司 - 11 - www.netentsec.com
NS-WAF技术白皮书
Web应用防火墙配置较网络层防火墙复杂，对配置者技术水平要求较高， 网康WAF系列应用防火墙具备的配置向导，可以最大限度降低出现配置问题，保证一次性快速完成。
远程技术支持 针对网络应用中的配置、管理问题，网康WAF提供了远程在线支持体系，管理员只需根据向导配置，即可生成相关配置系统，发送给相关技术人员进行在线协助。
可视化管理 网康WAF强大的设备监控功能，管理员可以实时监控WAF的工作状态、攻击威胁等系统信息。目前监控信息分为3大类（网康WAF系统软件、硬件状态信息，Web安全攻击信息，网页防篡改系统信息），共计26种状态信息，从而使管理员可以随时对网络和防火墙的状态有详尽了解，及时发现并排除网络问题，保障应用的稳定运行。
创新的基于树型的审计日志展示方式 网康WAF根据攻击威胁，将攻击信息树形进行展示，提供管理的易用性，大大减轻管理员负担。
4. 产品特性
Web安全 北京网康科技有限公司 - 12 - www.netentsec.com
NS-WAF技术白皮书
➢ SQL注入、跨站攻击、Cookie 注入、恶意代码、缓冲区溢出等Web机器变种攻击
➢ 防信息泄露
➢ 网站挂马防护及其检测
➢ 协议完整性检测
➢ CSRF防盗链
➢ Web扫描支持
➢ HTTP RFC协议完整性检查
➢ 关键字过滤
➢ HTTP协议合规性检查
应用交付 ➢ Web应用加速
➢ HTTPS应用加速
北京网康科技有限公司 - 13 - www.netentsec.com
NS-WAF技术白皮书
➢ HTTPS的卸载和加壳
➢ 应用负载均衡，多种均衡算法
D.DoS防护 ➢ 基于每服务器的D.DoS管理
➢ CC攻击防护
➢ 客户端/服务器连接数限制
➢ SYN-UDP-ICMP flood防护
➢ TCP-UDP-ICMP流量管理
➢ 各种常见网络层攻击防护
➢ Xml DDoS防护
网页防篡改 ➢ 网页防篡改监控中心
➢ 网页防篡改安全防护、恢复
北京网康科技有限公司 - 14 - www.netentsec.com
NS-WAF技术白皮书
➢ 多系统支持：Linux、Windows,BSD系统；
➢ 采用文件级驱动保护技术；
➢ 发布服务器模式支持
Web安全扫描 ➢ Web安全站点扫描
➢ Web 负反馈式自动防御系统
系统管理 ➢ 时间管理
➢ 自动时间同步
➢ 远程访问控制
➢ DNS管理
➢ 邮件/短信/SNMP报警支持
多角色用户管理 北京网康科技有限公司 - 15 - www.netentsec.com
NS-WAF技术白皮书
➢ 账户管理员
➢ 管理员
➢ 审计员
网络管理 ➢ 链路聚合(Channel)
➢ VLAN支持
➢ 路由管理
➢ ARP管理
双机备份(HA) ➢ VRRP协议
➢ VRRP组
➢ 主/主模式
➢ 主/备模式
北京网康科技有限公司 www.netentsec.com
- 16 - NS-WAF技术白皮书
日志管理 ➢ 本地/远程日志服务器
➢ 日志行为审计
➢ 管理日志
➢ 攻击日志
系统诊断 ➢ 系统自检
➢ 远程协助
➢ Webshell
➢ SSH/Consol
部署模式 ➢ 透明模式
➢ 路由模式
北京网康科技有限公司 www.netentsec.com
- 17 - NS-WAF技术白皮书
➢ 混合模式
双操作系统 ➢ 系统恢复、回滚
➢ 系统升级
网络层防火墙 ➢ 状态包过滤防火墙
➢ 黑白名单
➢ URL访问控制
系统状态检测 ➢ 提供数十种状态检测图表
➢ 提供完整的攻击威胁报告
➢ 提供系统自检报告
北京网康科技有限公司 - 18 - www.netentsec.com
NS-WAF技术白皮书
5. 部署模式
在透明代理模式下，用户无需改动自己的网络拓扑，网康WAF能自动适应网络结构，捕获Web流量，进行安全检测、过滤、防护等安全功能
北京网康科技有限公司 - 19 - www.netentsec.com
因篇幅问题不能全部显示，请点此查看更多更全内容