WAF与防火墙：Web 应用程序和网络防火墙

在复杂的网络攻击和数字创新的现代时代，企业了解他们面临的威胁以及他们的安全防御措施可以保护他们免受哪些威胁至关重要。防火墙尤其如此，因为Web应用程序防火墙和网络防火墙可以保护组织免受不同类型的攻击。因此了解WAF安全和网络防火墙安全之间的重要性和区别至关重要，这有助于防止 Web攻击和更广泛的网络攻击。

传统上，企业通过网络防火墙保护其数据和用户，但网络防火墙缺乏抵御现代安全威胁的灵活性和透明度。 但自带设备 (BYOD)、公共云和软件即服务 (SaaS) 解决方案的增长意味着他们需要在其安全策略中添加 Web应用程序防火墙 (WAF)。这增强了对 Web 应用程序攻击的防护，这些应用程序存储在远程服务器上，通过浏览器界面通过互联网传输，并且是黑客的有吸引力的目标。

了解应用程序级防火墙和网络级防火墙之间的区别

WAF通过定位超文本传输协议 (HTTP) 流量来保护Web应用程序。这与标准防火墙不同，标准防火墙在外部和内部网络流量之间提供屏障。

WAF位于外部用户和Web应用程序之间，用于分析所有HTTP通信。然后，它会在恶意请求到达用户或 Web应用程序之前检测并阻止它们。因此，WAF可以保护关键业务Web应用程序和Web服务器免受零日威胁和其他应用程序层攻击。随着企业扩展到新的数字计划，这一点变得越来越重要，这可能会使新的 Web应用程序和应用程序编程接口 (API) 容易受到攻击。

网络防火墙可保护安全的局域网免受未经授权的访问，从而防止攻击的风险。其主要目标是将安全区域与不太安全的区域分开并控制两者之间的通信。如果没有它，任何具有公共互联网协议 (IP) 地址的计算机都可以在网络外部访问，并可能面临受到攻击的风险。

WAF安全

WAF通过定位超文本传输协议 (HTTP) 流量来保护Web应用程序。这与标准防火墙不同，标准防火墙在外部和内部网络流量之间提供屏障。

WAF位于外部用户和Web应用程序之间，用于分析所有HTTP通信。然后，它会在恶意请求到达用户或 Web应用程序之前检测并阻止它们。因此，WAF可以保护关键业务Web应用程序和Web服务器免受零日威胁和其他应用程序层攻击。随着企业扩展到新的数字计划，这一点变得越来越重要，这可能会使新的 Web应用程序和应用程序编程接口 (API) 容易受到攻击。

网络防火墙安全

网络防火墙可保护安全的局域网免受未经授权的访问，从而防止攻击的风险。其主要目标是将安全区域与不太安全的区域分开并控制两者之间的通信。如果没有它，任何具有公共互联网协议 (IP) 地址的计算机都可以在网络外部访问，并可能面临受到攻击的风险。

应用程序流量与网络流量

传统网络防火墙可以减轻或防止对专用网络的未经授权的访问。防火墙策略定义允许进入网络的流量，并阻止任何其他访问尝试。这有助于防止未经授权的用户以及来自不太安全区域的用户或设备的攻击的网络流量示例。

WAF专门针对应用程序流量。它保护网络中面向Internet的区域中的HTTP和安全超文本传输协议 (HTTPS) 流量和应用程序。这可以保护企业免受跨站点脚本(XSS)攻击、分布式拒绝服务 (DDoS) 攻击和SQL注入攻击等威胁。

第7层保护与第3层和第4层保护

应用级防火墙和网络级防火墙之间的关键技术区别在于它们运行的安全层。这些是由开放系统互连(OSI)模型定义的，该模型描述了电信和计算系统内的通信功能并对其进行了标准化。

WAF保护OSI模型第7层（即应用程序级别）的攻击。这包括针对Ajax、ActiveX和JavaScript等应用程序的攻击，以及cookie操作、SQL注入和URL攻击。它们还针对Web应用程序协议HTTP和HTTPS，这些协议用于连接Web浏览器和Web服务器。

例如，第7层DDoS攻击会向服务器层发送大量流量，在服务器层中生成并交付网页以响应HTTP请求。 WAF通过充当反向代理来缓解这种情况，保护目标服务器免受恶意流量的影响并过滤请求以识别DDoS工具的使用。

网络防火墙在OSI模型第3层和第4层运行，保护数据传输和网络流量。这包括针对域名系统 (DNS) 和文件传输协议 (FTP) 以及简单邮件传输协议 (SMTP)、安全外壳 (SSH) 和Telnet的攻击。

Web攻击与未经授权的访问

WAF解决方案可保护企业免受针对应用程序的基于Web的攻击。如果没有应用程序防火墙，黑客就可以通过Web应用程序漏洞渗透到更广泛的网络。

WAF安全解决方案可保护企业免受常见Web攻击，例如：

直接拒绝服务：试图通过用大量互联网流量淹没网络、服务或服务器来破坏网络、服务或服务器。它的目的是耗尽目标的资源，并且可能难以防御，因为流量并不总是明显恶意的。

SQL注入：一种注入攻击，使黑客能够执行恶意SQL语句，从而控制Web应用程序背后的数据库服务器。 这使得攻击者能够绕过网页认证和授权并检索SQL数据库的内容，然后添加、修改和删除其记录。网络犯罪分子可以使用 SQL 注入来访问客户信息、个人数据和知识产权。它被列为2017年OWASP Top 10 中对Web应用程序安全的第一大威胁。

跨站点脚本：一种网络安全漏洞，使攻击者能够破坏用户与应用程序的交互。它使攻击者能够规避隔离不同网站的同源策略。因此，攻击者可以伪装成真正的用户并访问他们有权访问的数据和资源。

网络防火墙可防止未经授权的访问以及进出网络的流量。它们可以防止针对连接到互联网的设备和系统的网络范围内的攻击。经常使用的网络攻击的示例包括：

未经授权的访问：攻击者未经许可访问网络。这通常是通过凭证盗窃和由于人们使用弱密码、社会工程和内部威胁而导致帐户被盗来实现的。

中间人 (MITM) 攻击：攻击者拦截网络与外部站点之间或网络本身内部的流量。这通常是由于不安全的通信协议导致攻击者窃取传输中的数据，然后获取用户凭据并劫持用户帐户。

权限升级：攻击者获得网络访问权限，然后使用权限升级将其影响范围扩大到系统的更深处。他们可以水平地这样做，从而获得对相邻系统的访问权限，或者通过在同一系统内获得更高的权限来垂直地这样做。

选择应用程序或网络防火墙

标准网络防火墙和WAF可防御不同类型的威胁，因此选择正确的防火墙至关重要。仅靠网络防火墙无法保护企业免受网页攻击，只能通过 WAF 功能来预防。因此如果没有应用程序防火墙，企业可能会使其更广泛的网络容易受到 Web 应用程序漏洞的攻击。然而WAF无法防御网络层的攻击，因此它应该是网络防火墙的补充而不是替代。

基于Web的解决方案和网络解决方案都在不同的层上工作，并针对不同类型的流量提供保护。因此它们不是竞争，而是互补。网络防火墙通常保护更广泛的流量类型，而WAF则处理传统方法无法覆盖的特定威胁。因此，建议同时使用这两种解决方案，特别是当企业的操作系统与网络密切配合时。

面临的挑战不是选择其中之一，而是选择最适合业务需求的正确WAF安全系统。WAF 应具有硬件加速器、监控流量并阻止恶意尝试、具有高可用性，并且可扩展以随着业务的增长保持性能。

下一代防火墙与WAF和网络防火墙

购买单独的防火墙产品来保护每一层安全既昂贵又麻烦。这促使企业采用下一代防火墙 (NGFW) 等综合解决方案。NGFW通常将网络防火墙和WAF的功能结合到一个集中管理的系统中。它们还为安全策略提供了额外的背景，这对于保护企业免受现代安全威胁至关重要。

NGFW是基于上下文的系统，它使用身份、时间和位置等信息来确认用户的身份。这种额外的洞察力使企业能够就用户访问做出更明智、更明智的决策。它们还包括防病毒、反恶意软件、入侵防御系统和 URL 过滤等功能。这可以根据企业面临的日益复杂的威胁简化并提高安全策略的有效性。

对数字安全有一个全面的了解通常更容易且更具成本效益。然而，确保NGFW涵盖网络和Web应用程序保护的所有基础至关重要。WAF在保护Web应用程序免遭代码注入、cookie 签名、自定义错误页面、请求伪造和URL加密方面发挥着特定作用。因此可能有必要将NGFW与专用Web应用程序防火墙结合使用。

审核编辑 黄宇