石頭自清潔掃拖機器人G10S評測：多年黑科技集大成之作 懶人終極福音
科技圈經(jīng)常能看到一個詞叫“縫合怪”，用來形容那些把好多功能或者外觀結(jié)合在一起的產(chǎn)品，通常這樣的詞是貶義詞，但如果真的是產(chǎn)品縫合的好、縫合的實用的話，那它就成了中性詞，今
一直以來，Web應(yīng)用防火墻（WAF）都是企業(yè)組織開展網(wǎng)絡(luò)安全建設(shè)的最基本要求之一，在企業(yè)數(shù)字化發(fā)展中扮演了重要角色。不過隨著網(wǎng)絡(luò)攻擊的演進，WAF技術(shù)的應(yīng)用也在發(fā)生變化，新一代WAF的產(chǎn)品理念開始被提出。相比傳統(tǒng)的WAF產(chǎn)品，新一代WAF不僅要對組織的網(wǎng)站系統(tǒng)進行保護，還要對逐漸普及的Kubernetes、微服務(wù)、API以及無服務(wù)器部署等新興業(yè)務(wù)應(yīng)用模式進行保障和支撐。
盡管WAF已經(jīng)是一種趨于成熟的網(wǎng)絡(luò)安全產(chǎn)品，但最新的調(diào)研數(shù)據(jù)顯示，用戶組織對WAF產(chǎn)品的應(yīng)用滿意度卻不容樂觀。在國際網(wǎng)絡(luò)安全委員會（Neustar）不久前開展的一次調(diào)研中，接近40%的受訪者表示曾遇到WAF被攻擊繞過的情況；有33%的受訪者表示其正在使用的WAF系統(tǒng)存在誤報的情況；此外，有超過30%的受訪者表示，目前的WAF系統(tǒng)存在配置復(fù)雜、策略修訂難等不足。
除傳統(tǒng)WAF產(chǎn)品本身的性能瓶頸及功能不足外，當前企業(yè)組織對WEB應(yīng)用模式的轉(zhuǎn)變也帶來了新的應(yīng)用風(fēng)險，也對傳統(tǒng)WAF防護技術(shù)提出了新的要求：
面對以上傳統(tǒng)WAF產(chǎn)品應(yīng)用中的不足，新一代的WAF產(chǎn)品需要通過更先進的設(shè)計理念和技術(shù)手段，進行能力完善和優(yōu)化，從而提升WAF的應(yīng)用價值。基于當前企業(yè)組織的WEB應(yīng)用風(fēng)險特征，并結(jié)合分析師對甲方用戶和國內(nèi)代表性WAF產(chǎn)品服務(wù)商的實際調(diào)研訪談，安全牛對新一代WAF的理念進行了以下思考和定義：
新一代WAF是指針對WEB應(yīng)用系統(tǒng)執(zhí)行過程中遇到的各種運行安全問題、數(shù)據(jù)安全問題以及業(yè)務(wù)安全問題，通過更廣泛的原始數(shù)據(jù)采集和分析，提供多維度、智能化、可協(xié)同的系統(tǒng)性防護能力的產(chǎn)品或解決方案。在新一代WAF產(chǎn)品的設(shè)計中，應(yīng)該對WEB應(yīng)用執(zhí)行切面，覆蓋盡可能多的WEB應(yīng)用防護場景，在同一平臺、同一輸入、同一流程下，針對當前Web應(yīng)用安全需求，提供盡可能完備的防護能力覆蓋。
Web應(yīng)用風(fēng)險模型
基于以上定義和思考，新一代WAF產(chǎn)品應(yīng)該具有以下典型應(yīng)用特征：
安全牛始終認為：安全不是一個口號，也不是一款產(chǎn)品，而是一種能力。為了實現(xiàn)“多維度、智能化、可協(xié)同”的Web應(yīng)用安全防護能力，新一代WAF產(chǎn)品在研發(fā)設(shè)計時可以參考以下能力架構(gòu)：
新一代WAF能力架構(gòu)
新一代WAF能力的建設(shè)并不是要對傳統(tǒng)WAF功能的摒棄，而是一種繼承和完善，同時針對新的應(yīng)用場景進行創(chuàng)新優(yōu)化。圍繞新一代WAF的核心能力建設(shè)，可以從核心技術(shù)、支撐技術(shù)、聯(lián)動技術(shù)等視角去賦能或形成能力提升。
從核心能力角度看，新一代WAF的核心能力可分為延續(xù)能力和創(chuàng)新能力。能力延續(xù)即為傳統(tǒng)WAF的能力，而新能力則是指基于傳統(tǒng)WAF能力解決的新問題或通過聯(lián)動其他技術(shù)形成的能力。需要指出的是，傳統(tǒng)WAF所提供的數(shù)據(jù)包解析、語義識別等能力仍然是新一代WAF能力構(gòu)建的基礎(chǔ)。
從核心技術(shù)角度看，新一代WAF的核心技術(shù)是對傳統(tǒng)WAF技術(shù)的疊加，傳統(tǒng)的WAF通過拆解應(yīng)用層數(shù)據(jù)包，對包中內(nèi)容進行語義分析和規(guī)則匹配的方式進行風(fēng)險識別。同時WAF具備網(wǎng)頁緩存、虛擬補丁、反向代理的能力，提升WAF應(yīng)用能力和應(yīng)用效果。新一代WAF中，增加了UEBA、動態(tài)防御的能力，以提升對數(shù)據(jù)包的利用效果，增加對多包協(xié)同分析能力。
從應(yīng)用場景角度看，新一代WAF的典型應(yīng)用場景既包括漏洞風(fēng)險防護、數(shù)據(jù)防泄漏、防CC的傳統(tǒng)WAF應(yīng)用場景，也包括內(nèi)容風(fēng)控、業(yè)務(wù)風(fēng)控、RBI場景等新應(yīng)用場景。可以認為，新一代WAF的新應(yīng)用場景在同時向左、向右推進，向左即對用戶內(nèi)網(wǎng)安全的支持，向右即對用于WEB應(yīng)用執(zhí)行中的業(yè)務(wù)安全場景進行支撐。
需要特別說明的是，新一代WAF并不是一個產(chǎn)品孤島，而是未來WEB應(yīng)用防護生態(tài)體系中的一部分。因此，從支撐技術(shù)看，新一代WAF需要威脅情報提升威脅識別能力、需要SSL解密技術(shù)對加密流量進行解析、需要人工智能技術(shù)提升風(fēng)險識別準確率。新一代WAF還可以作為WEB應(yīng)用防護設(shè)備，聯(lián)動更多的對網(wǎng)絡(luò)環(huán)境、代碼安全相關(guān)的產(chǎn)品，形成WEB應(yīng)用全生命周期防護。
本文鏈接：http://www.tebozhan.com/showinfo-26-25993-0.html由“點”向“面”！簡析新一代WAF的理念與應(yīng)用
聲明：本網(wǎng)頁內(nèi)容旨在傳播知識，若有侵權(quán)等問題請及時與本網(wǎng)聯(lián)系，我們將在第一時間刪除處理。郵件：2376512515@qq.com
上一篇： 使用Python從圖像中提取表格
Copyright ? 2016-2023 天津谷騏科技有限公司 版權(quán)所有 sitemap.xml
違法及侵權(quán)請聯(lián)系：2376512515@qq.com 津ICP備18001702號
津公網(wǎng)安備 12010102000574號