介绍

360 Web应用防火墙是新一代专业的Web应用安全防护产品，可以帮助客户应对OWASP TOP10风险，并针对Web Shell、网站挂马、暴力破解等各种Web攻击进行防御。针对目前Web安全防护所面临的挑战，360Web应用防火墙在Web资产发现、漏洞评估、流量学习、威胁定位等方面全面应用智能分析和机器学习技术，帮助用户更轻松、更全面的部署Web安全防御策略，屏蔽Web漏洞和风险，确保网站的运营安全。

架构

 

 

功能

1.1.  智能的资产发现

要有效的部署安全策略，首先要了解自己的系统和业务。传统的资产管理方式，需要安全管理员汇总各业务部门的网站信息，费时费力。360 Web应用防火墙提供智能资产发现功能，帮助用户主动发现并确认业务系统内的B/S网站信息，包括IP地址、业务端口、是否启用了HTTPS等，并将发现的网站一键添加为保护对象，确保不会遗漏任何一个网站的保护。

 

 

 

1.2.  智能的虚拟补丁

安全漏洞的存在是网站被攻击的最重要原因。根据权威机构统计，高达99.7%的Web应用系统都会存在安全漏洞，而平均每个Web应用系统的漏洞数量高达11个。因此，掌控Web资产的漏洞状态，做到知己知彼，是制定网站安全策略的重要前提。360 Web应用防火墙集成Web应用漏洞扫描功能，可以定期对网站和应用系统进行扫描，发现漏洞并提醒用户进行修复。360 Web应用防火墙同时支持智能虚拟补丁功能，对存在漏洞的URL页面进行针对性防护，将针对漏洞的利用行为拦截。虚拟补丁对于一些老旧应用系统来说，由于可能采用了比较老的操作系统、Web应用程序，存在的漏洞比较多。针对服务器的修复时间较长会影响业务，采用虚拟补丁则可快速提供保护。

 

 

1.3.  智能的流量自学习

对于SQL注入、跨站脚本攻击等主流的应用层攻击，一般是通过特征签名和正则匹配来进行检测，即基于黑名单的检测方式。但基于黑名单的检测方式无法发现特征不明确的攻击行为，而且容易出现误报。另一种检测思路是采用白名单的检测机制，即对网站的流量进行学习并建立流量模型，后续发现同正常访问行为违背的流量则认为是异常流量。360 Web应用防火墙可以对网站的动态URL、URL参数、COOKIE、IP分布等内容进行智能的机器学习，学习完之后管理员还可以对学习结果进行优化和校正，最终生成网站的动态URL树，并为这棵的每一条动态URL建立安全基线，提供个性化保护。

 

 

 

1.4.  智能的日志聚合

Web应用防火墙在实际部署中，需要根据具体的业务流量和上下文对告警日志进行分析，并相应调整防护规则，取得更高的检测效果。对于某个攻击特征，在A业务场景下是攻击，在B业务场景下可能是误报。另一方面，单一的威胁事件可能是误报，但结合上下文进行分析则可能是攻击行为。 360 Web应用防火墙的日志可以提供各个维度的分析信息，并提供了强大的智能聚合能力，可以按照攻击特征、攻击源等角度对日志进行聚合。按照攻击特征的聚合，能够从攻击频次、攻击者分布角度入手，屏蔽掉客户端普遍发生的误报率高的告警，避免对安全管理员产生干扰；按照攻击源角度的聚合，可以根据时间轴对同一IP触发的不同告警进行详细分析，结合攻击者的Payload信息，发现真正有威胁的攻击并将攻击者添加到黑名单。

部署

监听模式

 

 

 

部署优势：

▪ 监听模式适用于WAF首次上线，做Web威胁分析，不阻断流量，即可完成效果展示，类比IDS；

▪ 监听模式下，可以通过WAF给防火墙下方黑名单方式阻断威胁

 

透明模式

 

 

方案价值：

串联透明部署是WAF最为简单和广泛的部署模式，支持硬件Bypass，即使WAF异常也不会对用户网络造成影响；

在监听模式下调整WAF最优配置后，更改WAF部署模式为串联透明来实现阻断。