本期为【尊龙凯时攻防演练专题】系列的第七期
，将分享分享尊龙凯时下一代 WAF 防护系统的 WEB 在线实时自动防御能力
，支持用户在攻防演练期间有效招架未知的 Web 攻击、提高防护效能。

Web 利用防火墙（ Web Application Firewall
，简称：WAF ）通常部署于 Web 网站前端
，为指标网站提供在线实时的安全防护。WAF 对网站的 HTTP 流量进行解析
，基于解析了局进行深度 Web 攻击扫描
，查抄流量数据中是否蕴含 XSS、SQL 注入、已知缝隙等有关 Web 攻击特点
，对触发安全战术的流量进行实时的告警和阻断。

图1 Web利用防火墙作用示意

WAF 在攻防演练中是一款不成或缺的 Web 安全防护设备
，是； Web 服务器最沉要的一路安全门。尊龙凯时下一代 WAF 防护系统以积极防御为安全理想
，一改传统 WAF 以特点匹配为中心的设计思路
，从用户自身的网站安全启程
，通过对网站关键业务、数据进行动态变形、封装
，结合网站代码反调试；ず涂突Ф嘶肪呈凳弊远讲饧际
，以我为主对网站进行自动防护
，能援手用户在演练期间化被动为自动。

尊龙凯时下一代 WAF 防护系统的四大产品价值
，可有效支持用户脱节传统 WAF 在攻防演练中被动挨打的局面。

1.价值一：加强的传统 WAF 安全职能

1.强化的攻击特点检测技术

高速特点关键字预匹配技术保障在超大流量下实现对特点的全面检测；特点关联匹配技术提供壮大的特点描述能力
，支持对复杂行为特点进行界说；美满的 Web 递归解码引擎
，有效应对攻防演练中的各类攻击检测躲避技术。

2.全方位的 WebShell 检测伎俩

产品从上传文件、RFI（Remote File Inclusion）攻击防护、WebShell 指纹检测、基于接见授权的 WebShell 检测等多个环节全方位检测 WebShell
，可有效预防网站在演练期间遭逢挂马攻击。

3.API 安全防护

通过 API 传输的数据类型通常为 JSON 或 XML 体式。产品针对该体式数据进行专门的解析
，并基于解析的了局对数据体式与元素进行规范性查抄和攻击特点查抄。确保攻防演练过程中网站对表的 API 服务安全。

4.客户端运行环境安全加固

从近年攻防演练趋向来看
，攻击方越来越多地通过攻击客户端来间接实现最终对指标网站的渗入？突Ф虽榔靼踩澳芡ü迦胗泄劁榔靼踩粜远钥突Ф私邪踩庸
，添补用户网络安全环境短板
，将 WAF 的安全防护能力延展到 Web 客户端
，从而提升用户 Web 利用链的整体安全性。

5.壮大、矫捷的安全战术定造

产品允许用户关联多种 HTTP 元素和变量来界说拥有复杂逻辑的复合安全战术
，应对演练期间分歧场景下的安全需要
，有效预防产品的定造开发。具体的产品支持的元素和变量蕴含 URL、参数、HTTP 头部字段、要求资源类型、HTTP 返回码、起源 IP、客户端地理地位、用户名、功夫领域、触发频度等。

6.网页防篡改

网页防篡改职能可能锁定被；さ耐疽趁
，即便产生指标网站页面被攻击者篡改情况
，依然能向用户提供正常的页面服务。网页防篡改在攻防演练中可能起到亡羊补牢的作用
，最大限度解除网站缝隙带来的负面影响。

7.丰硕的 HTTP 接见节造方式

产品提供 IP 黑名单、Geo 接见节造、URL 接见节造、Host 接见节造等多种 HTTP 接见节造方式。在演练中能对攻击起源进行高效的封堵。同时对表提供 RESTFul API 接口
，实现与其它安全类产品的联查、联防。

2.价值二：自进建急剧创建安全战术、防御 0Day 攻击

自进建职能可能自动分析、进建指标网站的流量
，如网站拓扑结构、参数具体信息、常用 HTTP 步骤以及特点误报等。通过自进建
，产品能够急剧地天生拟合指标网站的最佳配置
，极大地缩短了演练前期 WAF 部署、调试的周期
，并大大提高了配置界说的正确度
，躲避了人为创建安全战术存在的短处。

图2 尊龙凯时下一代 WAF 防护系统自进建逻辑

自进建通过关联“特点检测”能够在演练期间援手用户自动处置误报
，将用户从繁芜的误报处置工作中解放出来
，着沉应对、处置更为关键的安全问题。自进建经过对网站流量分析与统计
，可能进求学务参数的有关细节
，并为业务参数创建基于白名单的规范战术。这种白名单机造的参数规范战术能够有效地应对 0Day 攻击
，阻断带有不切合预期参数规范的 HTTP 要求
，使得攻击者无法通过机关参数的内容来利用 0Day 缝隙。

3.价值三：综合的自动化攻击防御规划

针对近年来攻防演练中不休增多的 AI 和自动化有关工具的使用
，产品从用户业务安全加固、关键资源防护、业务代码；ぁ⒖突Ф嘶肪匙远讲饧把橹さ榷喔鑫忍峁┳酆系淖远セ鞣阑そ饩龉婊。

1.对用户关键业务进行安全加固

产品能够对用户业务的各个环节进行安全加固
，如注册、登录、查问、下单等业务环节
，有效地防备攻击者利用自动化工具进行虚伪业务买卖、薅羊毛、账号撞库等活动。通过对用户业务的安全加固增长了自动化工具的攻击难度和成本
，使得自动化工具无法单一、直接地攻击用户的业务
，攻击者无法直接节造和机关业务参数和接见令牌。

2.对网站业务资源的专门防护

产品通过对用户业务 URL 进行加密、增长一次性接见 Token、HTML 链接元素动态变形等技术对用户的关键业务资源提供专门的防护
，有效预防用户业务资源被数据爬虫窃取。

3.客户端环境自动探测

产品通过在网站回应的页面中插入环境探测剧本
，对页面最终运行的客户端环境进行采样、探测
，网络客户端环境的各类参数和用户事务
，如浏览器版本、客户端类型、用户的键盘、鼠标事务等
，综合评价客户端是否是真实的浏览器环境。

4.自动化工具被动检测

产品拥有机械人被动探测机造
，通过在服务器回应的页面中插入机械人钓饵
，诱使机械人接见
，检测恶意机械人客户端。

5.用户业务代码反调试防护

产品拥有效户代码反调试防护能力
，通过在用户的代码中插入反调试滋扰指令
，使得攻击方无法对被；さ拇虢懈佟⒌魇。这种方式在演练期间增长了攻击方的攻击成本
，；ね镜拇肼呒槐还セ鞣剿平。

6.矫捷、多样的人机验证方式

产品提供剧本挑战和验证码的人机验证方式。对于通常的自动化工具
，由于其不是真实的浏览器
，无法成功运行产品的挑战剧本
，无法通过验证。这种剧本挑战方式利益在于其过程对于终端用户齐全通明
，不会影响用户履历。

对于使用浏览器引擎（无头浏览器）开发的高级自动化工具
，通过验证码方式能够对其进行鉴别。该方式的利益在于即便安全战术出现误报
，只有效户在输入正确的验证码后依然能正常接见网站业务。

4.价值四：用户业务安全防护

用户业务安全防护职能可能招架攻防演练中针对用户业务层面的攻击。

1.用户鉴别与跟踪

监控网站用户的登录过程
，对用户身份进行鉴别
，将业务流量映射到具体的用户。在用户识此外基础上
，进一步跟踪用户的业务操作。对于用户触发的所有安全战术告警
，产品都能对应到具体的用户
，这种能力使得产品具备从用户业务的视角对安全事务进行调查、回溯。

2.用户认证令牌防护

产品通过对用户认证有关信息进行加密与沉放；
，预防攻击者对用户认证有关信息进行篡改、窃取与沉放
，保障用户认证信息的安全存储与使用。

3.用户业务逻辑缝隙安全防护

当网站存在业务缝隙时
，攻击者可能利用该缝隙提升自身权限或接见未授权的网站资源。产品亲昵监控业务用户的权限状态
，实时检测用户权限状态的异常变动
，实时阻断异常授权的接见。

4.基于用户业务的接见节造

基于产品的用户身份鉴别和跟踪能力
，实现从用户业务层面进行接见节造
，支持不容某一用户对特定业务的接见节造。

下期预报

下期为【尊龙凯时攻防演练专题】系列的第八期
，将分享在攻防演练期间若何援手 WEB 业务系统占佑装威胁自免疫”能力
，同时与传统 WEB 网站安全防护产品合作
，有效实现“双沉防护”。