硬件WAF有哪些特點(diǎn)？經(jīng)過(guò)多年的發(fā)展，硬件WAF設(shè)備的防護(hù)效果及性能已經(jīng)非常成熟，并且有大量的安全公司提供類(lèi)似的設(shè)備或產(chǎn)品。

但是在多年使用中，WAF在防護(hù)方面主要有以下兩個(gè)比較具有爭(zhēng)議的特點(diǎn)。

1．代理模式

這種模式下，將設(shè)備部署在Web服務(wù)器前端，可將Web網(wǎng)站緩存到設(shè)備中，并由WAF對(duì)用戶(hù)的Web請(qǐng)求進(jìn)行響應(yīng)。

而且，WAF也會(huì)定期對(duì)Web網(wǎng)站頁(yè)面進(jìn)行檢查，確認(rèn)網(wǎng)站是否安全，是否存在篡改行為等。此模式在設(shè)計(jì)之初預(yù)期非常好，希望WAF充當(dāng)用戶(hù)與站點(diǎn)之間的緩沖帶。

但由于WAF本身并不參與Web系統(tǒng)服務(wù)器的工作，因此當(dāng)面對(duì)用戶(hù)的交互請(qǐng)求時(shí)，仍會(huì)由被防護(hù)的Web服務(wù)器進(jìn)行響應(yīng)。

因此，在實(shí)際工作中開(kāi)啟此模式的WAF設(shè)備也相對(duì)較少。

2．在線(xiàn)攻擊防護(hù)效果

WAF設(shè)計(jì)之初的目標(biāo)就是針對(duì)SQL注入、XSS等在線(xiàn)攻擊行為進(jìn)行防護(hù)。WAF常用的方式是利用關(guān)鍵字匹配，通過(guò)內(nèi)置的Web漏洞及攻擊行為特征對(duì)用戶(hù)請(qǐng)求進(jìn)行檢測(cè)。

這樣做的問(wèn)題是誤報(bào)率較高，且會(huì)阻斷正常用戶(hù)行為。目前，新型的WAF設(shè)備具備了自學(xué)習(xí)及類(lèi)似功能，可利用機(jī)器學(xué)習(xí)的方式來(lái)擴(kuò)展防護(hù)的規(guī)則庫(kù)，防護(hù)效果有較明顯的提升。

除此之外，WAF的額外功能很多，如爬蟲(chóng)檢測(cè)功能、DDoS攻擊識(shí)別功能、漏洞專(zhuān)項(xiàng)防護(hù)等。但是其標(biāo)準(zhǔn)防護(hù)技術(shù)就是疑似行為匹配。WAF內(nèi)部會(huì)建立大量的規(guī)則庫(kù)，涵蓋各種漏洞類(lèi)型的常見(jiàn)攻擊特征、關(guān)鍵代碼等。

然后，利用正則表達(dá)式實(shí)現(xiàn)快速識(shí)別。當(dāng)然，也會(huì)針對(duì)高危漏洞編寫(xiě)特定檢測(cè)插件，以便精確識(shí)別當(dāng)前攻擊并做出防護(hù)。

硬件WAF的防護(hù)思路及方案非常適合為互聯(lián)網(wǎng)的Web應(yīng)用提供防護(hù)，但事實(shí)并非如此。通常來(lái)說(shuō)，WAF的性能最高能夠達(dá)到Gbps級(jí)別，這主要取決于檢查深入程度及設(shè)備延遲。設(shè)備延遲過(guò)高會(huì)對(duì)用戶(hù)體驗(yàn)造成極大的影響。

同時(shí)作為一款硬件設(shè)備，WAF需部署在Web服務(wù)器前端，這樣在網(wǎng)絡(luò)內(nèi)就形成了一個(gè)單點(diǎn)情況，俗稱(chēng)“單點(diǎn)故障點(diǎn)”。在這種情況下，如果WAF出現(xiàn)硬件、系統(tǒng)故障情況，極可能導(dǎo)致網(wǎng)絡(luò)中斷。

為了解決這個(gè)問(wèn)題，目前WAF產(chǎn)品均具有雙機(jī)熱備/互備功能。依賴(lài)于通用的VRRP熱備協(xié)議或其他標(biāo)準(zhǔn)，在網(wǎng)絡(luò)內(nèi)可實(shí)現(xiàn)多臺(tái)設(shè)備的相互虛擬，由協(xié)議自動(dòng)監(jiān)控設(shè)備狀態(tài)并自動(dòng)切換鏈路。

同時(shí)設(shè)備支持硬/軟件bypass（一種斷電網(wǎng)絡(luò)連通機(jī)制，避免由于設(shè)備宕機(jī)后網(wǎng)絡(luò)中斷），采取雙電源等模式，盡可能保障網(wǎng)絡(luò)的通暢。

在設(shè)備實(shí)際部署中，需根據(jù)真實(shí)的服務(wù)情況進(jìn)行合理的網(wǎng)絡(luò)配置，如下圖所示。

圖 WAF在線(xiàn)部署示意圖

外部防護(hù)類(lèi)設(shè)備雖然防護(hù)效果良好，針對(duì)各類(lèi)攻擊的防護(hù)效果可達(dá)到95%以上，但是此類(lèi)防護(hù)設(shè)備僅建議作為主要防護(hù)手段的補(bǔ)充，不要完全依靠設(shè)備保障Web服務(wù)器的安全，并從代碼層面盡早進(jìn)行漏洞的修復(fù)。