web应用防火墙WAF (web application firewall)通过检测和过滤每个web应用程序与internet之间的流量，从而保护企业的web应用程序. WAF可以帮助保护web应用程序免受 跨站点请求伪造(CSRF)等攻击, 跨站脚本(XSS), 文件包含, 和SQL注入.
WAF对于提供电子商务网站的公司尤其有益, 网上金融服务, 或任何其他类型的基于网络的产品或服务，涉及与客户或商业伙伴的互动. 在这些情况下，waf在防止欺诈和数据盗窃方面特别有用. 然而, 因为WAF的设计并不是为了抵御所有类型的攻击, 作为一套工具的一部分，它的工作效果最好 综合应用安全方案.
WAF可以为任何必须安全地处理私人客户数据的在线业务提供关键保护. 企业通常部署WAF来保护其web应用程序免受复杂和有针对性的攻击, 就像 跨站点脚本(XSS) 和 SQL注入，这可能会导致欺诈或数据被盗. 当成功, 这些类型的入侵可能严重损害客户信心，甚至导致监管处罚. WAF提供的额外保护可以帮助维护公司在市场上的声誉和地位.
WAF还减轻了确保适当的管理负担 Web应用程序安全测试 在持续的基础上. 通过帮助主动制定指导方针和规则, 应用程序安全团队能够通过WAF监视什么应该允许，什么不应该允许. 从那里, 团队可以及时收到正在进行的攻击通知，这样他们就可以更快地响应潜在的安全事件.
因为WAF为安全管理员提供了必要的应用程序可见性，以证明符合诸如PCI之类的法规标准, HIPAA, 和GDPR, 从遵从性的角度来看，它也是有价值的. 结合, 所有这些优势都可以帮助公司加强其web应用程序的安全性，并更好地保护客户数据免受不断变化的威胁.
WAF位于公司的web应用程序和来自internet的请求之间. 通过反向代理, 它可以监视, 过滤器, 或在数据包往返于web应用程序时阻止数据包. 在这样做的过程中，它试图过滤掉可能导致网络漏洞的潜在有害流量. WAF可以以基于云的解决方案、设备、服务器插件或过滤器的形式出现.
早期waf, 它们被称为无状态waf, 使用静态规则分析通过公司web应用服务器的入站请求到达的潜在威胁. 使用模式识别, 他们使用预先确定的应用程序行为和攻击行为模型，有效地对web应用程序如何应对特定形式的攻击做出有根据的猜测.
例如, 无状态waf可能会检查请求进入的速度, 它们是否来自同一来源, 以及其他可能表明恶意活动正在进行的行为指标.
无状态waf执行这些任务的速度要比人类快得多, 但它们的适应能力和灵活性不足以成功抵御不断进化的攻击. 一场持续不断的猫捉老鼠的游戏随之而来, 当发现他们对web应用程序的初始攻击没有成功时, 会简单地设计出一种WAF从未见过也无法阻止的新形式的攻击行为吗. 然后, 当WAF最终收到可以抵御这种新攻击变体的新规则时, 攻击者会想出另一种逃避检测的方法.
第二代waf, 称为有状态waf, 提供比其前身更灵活的防御. 有状态waf可以用相关上下文丰富收集的数据，并分析web应用程序当前的威胁情况. 因为它们的范围更广, 考虑到更多的上下文视图, 有状态waf更擅长检测关键问题，例如DDoS攻击和“低速度”攻击，这些攻击试图通过在雷达下飞行来破坏安全性.
另一种用于监控和保护的技术是 运行时应用程序自我保护. 粗声粗气地说阻止恶意流量，而不需要使用应用程序本身的静态规则. 而不是依赖于对应用程序在特定场景中的行为的预测, 粗声粗气地说评估实际的应用程序行为以检测潜在的恶意活动(例如, 对数据库的调用, 打开文件的请求, 或者请求启动shell以执行命令).
这可以减少使用WAF时经常出现的误报, 使安全团队能够更准确地实时了解潜在的攻击. 和, 因为它使用应用程序本身, 即使应用程序不断更新和进一步开发，粗声粗气地说仍然可以评估应用程序的安全性. 粗声粗气地说更适合于一个连续的过程，因为你可以看到应用程序的行为，因为你不断地推动代码的变化，而不必为WAF操纵静态规则. WAF和粗声粗气地说可以相互补充, 结合各种力量，为企业提供全面而健壮的应用程序安全性.
这里有三个建议，以确保您的企业成功地最大化WAF的好处:
有许多可用的WAF解决方案, 每个都有不同的安全特性和技术来识别和防止攻击. 确保您选择的任何WAF都支持您的特定应用程序安全目标.
为了真正理解WAF是如何成为你的生活中不可或缺的一部分 应用程序安全程序, 在最终决定是否实现WAF解决方案之前，对您正在评估的任何WAF解决方案进行测试可能是有益的. 这种方式, 您可以评估和理解它将如何与您可能正在使用的其他应用程序安全工具协同工作, 例如粗声粗气地说, 由于这些技术不是相互排斥的，可以串联使用以实现最全面的覆盖.
在您评估WAF解决方案时, 想想你需要哪些内部资源来充分利用它. 您可能会确定需要在安全团队中构建额外的技能和能力, 例如, 或者您可能想要考虑实现WAF将如何改变您的团队现有的安全流程.
企业的web应用程序面临着越来越复杂的攻击，因为恶意行为者希望通过欺诈和数据盗窃来赚钱. 确保适当的web应用程序安全性从未像现在这样重要, 但是，企业可以通过采用web应用程序防火墙，在保护其web应用程序和客户数据方面取得重大进展. 它是健壮的应用程序安全工具包和现代应用程序安全程序的重要组成部分.
与 网络攻击 变得越来越复杂, 企业和组织必须将自己置于最佳位置，以保护自己和客户免受恶意攻击. 参与电子商务的公司, 网上金融服务, 其他各种基于网络的产品也不断面临欺诈和数据盗窃的威胁, 这使得他们容易受到客户信任和可能的监管纪律的损害.
还有一套工具, waf可以为已经很健壮的应用程序安全程序增加一个必要的额外防御层. 安全专家可以利用web应用程序防火墙，通过接收违反预先确定的指导方针和规则的活动警报来监视正在进行的可能的攻击. 这种可见性确保安全团队有必要的能力来满足法规标准, 同时仍然保持对客户数据的最大保护.