細(xì)心的朋友應(yīng)該會(huì)發(fā)現(xiàn)，2010年各類應(yīng)用軟件的安全補(bǔ)丁開始多了起來。特別是的補(bǔ)丁，Adobe軟件安全漏洞曾在2009年大量曝出，Adobe軟件一下成為了的新寵，其安全性備受人們關(guān)注，Adobe軟件公司在2010年開始時(shí)常推出用于修復(fù)Adobe Reader或者Acrobat軟件各類安全漏洞的補(bǔ)丁。
在2010年還有一個(gè)值得注意的安全動(dòng)向是各類網(wǎng)頁掛馬、的流行，經(jīng)常有人誤點(diǎn)了被掛馬的鏈接，結(jié)果遭遇、惡意程序的，或者是被釣魚網(wǎng)站所騙倒，賬號(hào)密碼甚至是網(wǎng)銀里的錢款被騙走。
可以說，“應(yīng)用安全”成為了2010年安全的一個(gè)主題，而且主要集中在應(yīng)用軟件安全問題和Web應(yīng)用安全問題兩方面。應(yīng)用安全問題不僅存在于個(gè)人用戶中，在用戶里應(yīng)用安全問題也極為重要。2010年造成伊朗核設(shè)施部分停擺的惡意程序Stuxnet(也就是所謂的“超級(jí)工廠病毒”)，正是利用了伊朗核設(shè)備工廠里的企業(yè)級(jí)應(yīng)用軟件SIMATIC WinCC監(jiān)控與數(shù)據(jù)采集(SCADA)系統(tǒng)的漏洞，才成功實(shí)現(xiàn)入侵。而在國內(nèi)，近年來利用Web安全漏洞成為黑客攻擊的主流，很多網(wǎng)站都深受其害，人們關(guān)注的焦點(diǎn)也就主要集中在了Web應(yīng)用安全方面。從2008年開始國內(nèi)陸續(xù)有不少安全公司開始研發(fā)Web應(yīng)用，2009年的時(shí)候就投入了幾百臺(tái)WAF(Web應(yīng)用防火墻)設(shè)備供用戶測試，到了2010年各家安全廠商也開始推出類似產(chǎn)品。
傳統(tǒng)防火墻與Web應(yīng)用防火墻的區(qū)別
傳統(tǒng)防火墻工作在網(wǎng)絡(luò)層，通過地址轉(zhuǎn)換、訪問控制以及狀態(tài)檢測等功能對(duì)企業(yè)網(wǎng)絡(luò)進(jìn)行防護(hù)。但對(duì)于應(yīng)用廣泛的，傳統(tǒng)防火墻完全對(duì)外部網(wǎng)絡(luò)開發(fā)HTTP應(yīng)用端口，這種方式對(duì)Web應(yīng)用無法做到任何防護(hù)。
入侵檢測系統(tǒng)作為防火墻的有利補(bǔ)充，加強(qiáng)了網(wǎng)絡(luò)的安全防御能力。但是，入侵檢測技術(shù)的作用存在一定的局限性。由于需要預(yù)先構(gòu)造攻擊特征庫來匹配網(wǎng)絡(luò)數(shù)據(jù)，對(duì)于未知攻擊和或偽裝成正常流量的攻擊，入侵檢測系統(tǒng)不能檢測和防御。更重要的是，對(duì)于應(yīng)用系統(tǒng)中某一漏洞的目標(biāo)攻擊，他們沒有任何防御能力，因?yàn)檫@些攻擊沒有明顯的特征可供判斷。另外就是其技術(shù)實(shí)現(xiàn)的矛盾，如果需要防御更多的攻擊，那么就需要很多的規(guī)則，但是隨著規(guī)則的增多，系統(tǒng)出現(xiàn)的虛假報(bào)告(對(duì)于入侵防御系統(tǒng)來說，會(huì)產(chǎn)生中斷正常連接的問題)率會(huì)上升，同時(shí)，系統(tǒng)的效率會(huì)降低。
也正因此，Web應(yīng)用防火墻應(yīng)運(yùn)而生。WEB應(yīng)用防火墻位于Web客戶端和Web之間，分析應(yīng)用程序?qū)拥?，從而發(fā)現(xiàn)違反預(yù)先定義好的安全策略的行為。WEB應(yīng)用防火墻具備事前預(yù)防、事中防護(hù)及事后補(bǔ)償?shù)木C合能力。以WEB應(yīng)用防火墻最為核心的事中防護(hù)能力為例，WEB應(yīng)用防火墻作為一種專業(yè)的Web安全防護(hù)工具，基于對(duì)HTTP/HTTPS流量的雙向解碼和分析，可應(yīng)對(duì)HTTP/HTTPS應(yīng)用中的各類安全威脅，如SQL注入、XSS、跨站請求偽造攻擊(CSRF)、Cookie篡改以及應(yīng)用層等，能有效解決網(wǎng)頁篡改、網(wǎng)頁掛馬、敏感信息泄露等安全問題，充分保障Web應(yīng)用的高可用性和可靠性。
Web應(yīng)用防火墻的發(fā)展目前有兩個(gè)方向，其一向高性能專業(yè)設(shè)備的方面發(fā)展，其二是朝Web應(yīng)用綜合的方面發(fā)展。梭子魚公司技術(shù)總監(jiān)谷新給出了自己對(duì)傳統(tǒng)防火墻與Web應(yīng)用防火墻的解讀，他認(rèn)為傳統(tǒng)防火墻和WEB應(yīng)用防火墻的本質(zhì)區(qū)別在于，前者只是針對(duì)網(wǎng)絡(luò)協(xié)議的第三層網(wǎng)絡(luò)層、第四層傳輸層的訪問控制和攻擊防御，而后者深入到應(yīng)用層對(duì)所有應(yīng)用信息進(jìn)行過濾，是專門為保護(hù)基于Web的應(yīng)用程序而設(shè)計(jì)的。
Web應(yīng)用防火墻的選擇
OWASP(開放式Web應(yīng)用程序安全項(xiàng)目組織)就有關(guān)Web應(yīng)用防火墻的選擇給出了一個(gè)參考標(biāo)準(zhǔn)：
•很少出現(xiàn)誤報(bào)(例如，不應(yīng)該拒絕授權(quán)請求等)
•默認(rèn)防御的強(qiáng)度
•容易操作模式
•可以預(yù)防的漏洞類型
•能夠限制個(gè)人用戶只能在當(dāng)前中所看到的內(nèi)容
•配置預(yù)防特定問題的能力，如緊急補(bǔ)丁等
•WAF提供形式：軟件與硬件(一般偏好硬件)
Web應(yīng)用防火墻(WAF)市場現(xiàn)在標(biāo)準(zhǔn)并不統(tǒng)一，很多不同的產(chǎn)品被歸類到WAF范疇。研究機(jī)構(gòu)Burton Group分析師Ramon Krikken認(rèn)為，“很多產(chǎn)品提供的功能遠(yuǎn)遠(yuǎn)超出了我們通常認(rèn)為防火墻應(yīng)該具有的功能，這使得產(chǎn)品的評(píng)價(jià)和比較難以進(jìn)行?！?/P>
谷新表示標(biāo)準(zhǔn)的Web應(yīng)用防火墻需要具備四大功能，即安全防護(hù)功能、加速功能以及可擴(kuò)展性、IP審計(jì)。另外根據(jù)研究和咨詢公司Xiom創(chuàng)始人Ofer Shezaf提供的清單，下面列出Web應(yīng)用防火墻應(yīng)該具備的特性：深入理解HTTP、提供明確的安全模型、應(yīng)用層規(guī)則、基于會(huì)話的保護(hù)、允許細(xì)粒度政策管理。