Web 應(yīng)用程序防火墻(WAF) 是 Web 應(yīng)用程序/網(wǎng)站/網(wǎng)絡(luò)服務(wù)器與 Internet 流量之間的第一道防線。互聯(lián)網(wǎng)流量包括好的和惡意的流量和請(qǐng)求。因此，使用 WAF 有助于保護(hù) Web 應(yīng)用程序/網(wǎng)站/Web 服務(wù)器免受不良流量和惡意行為者試圖策劃的不同類型的網(wǎng)絡(luò)攻擊。

WAF 是Web 應(yīng)用程序安全和網(wǎng)絡(luò)安全策略中 至關(guān)重要且不可或缺的一部分，因?yàn)樗軌蜃R(shí)別并立即修補(bǔ)應(yīng)用程序和服務(wù)器中的漏洞，立即阻止所有惡意行為者發(fā)現(xiàn)這些漏洞和漏洞，從而為開發(fā)人員提供修復(fù)的緩沖時(shí)間他們。

WAF 旨在阻止的 8 種網(wǎng)絡(luò)攻擊類型

1. DDoS攻擊

DDoS 攻擊 試圖用虛假流量壓倒目標(biāo) Web 應(yīng)用程序/網(wǎng)站/服務(wù)器，耗盡網(wǎng)絡(luò)帶寬，并使其對(duì)合法用戶不可用。DDoS 攻擊以幾種不同的方式發(fā)生，包括放大、泛洪、基于協(xié)議和反射。一些常見但危險(xiǎn)的 DDoS 攻擊類型包括 DNS 放大、死亡 Ping、Smurf 攻擊、HTTP 洪水、SYN 洪水等。

WAF 通過應(yīng)用程序的日常掃描、全天候監(jiān)控、全球威脅情報(bào)和機(jī)器學(xué)習(xí)來識(shí)別偽裝機(jī)器人、惡意請(qǐng)求等并阻止它們，從而阻止這些攻擊。借助 AppTrana 等托管 WAF，由經(jīng)過認(rèn)證的安全專業(yè)人員進(jìn)行的定期滲透測(cè)試和安全審計(jì)有助于阻止 DDoS 攻擊。

2. SQL注入攻擊

在這些攻擊中，犯罪者以請(qǐng)求或查詢的形式在 Web 應(yīng)用程序的用戶輸入字段（如提交表單、聯(lián)系表單等）中注入惡意 SQL 代碼。這樣做，他們可以訪問應(yīng)用程序的后端數(shù)據(jù)庫(kù)，然后潛入其中提取客戶或企業(yè)本身的敏感和機(jī)密信息，獲得未經(jīng)授權(quán)的管理訪問，修改或刪除數(shù)據(jù)等，甚至完全控制 Web 應(yīng)用程序。SQL 注入攻擊主要是由于用戶輸入字段和提交表單沒有受到保護(hù)以防止輸入代碼和其他未經(jīng)清理的輸入。

3. 跨站腳本（XSS）攻擊

XSS 攻擊 針對(duì)易受攻擊的 Web 應(yīng)用程序/網(wǎng)站的用戶，以訪問和控制他們的瀏覽器。在這里，攻擊者利用應(yīng)用程序中的漏洞和漏洞注入惡意腳本/代碼，這些腳本/代碼在毫無戒心的用戶加載應(yīng)用程序/網(wǎng)站時(shí)執(zhí)行。在反射型 XSS 攻擊中，惡意代碼只有在用戶單擊鏈接時(shí)才會(huì)執(zhí)行，而在存儲(chǔ)型 XSS 攻擊中，惡意負(fù)載會(huì)存儲(chǔ)在 Web 瀏覽器中，并在用戶每次訪問網(wǎng)站/應(yīng)用程序時(shí)執(zhí)行（無論他們查看/下載/點(diǎn)擊鏈接沒關(guān)系）。XSS 攻擊使用戶的個(gè)人和機(jī)密信息受到威脅，并經(jīng)常導(dǎo)致身份盜用、會(huì)話劫持等。這些攻擊的發(fā)生要么是因?yàn)橛脩糨斎胱侄危缭u(píng)論部分、用戶帖子、反饋等。

4. 零日攻擊

零日攻擊 是指組織僅在攻擊發(fā)生時(shí)才知道硬件/軟件中存在漏洞的攻擊。這些都是出乎意料的，因此對(duì)企業(yè)來說非常有害，因?yàn)樗麄儧]有快速修復(fù)或補(bǔ)丁來保護(hù)他們的應(yīng)用程序。另一方面，網(wǎng)絡(luò)攻擊者可能以前一直在窺探應(yīng)用程序，并在發(fā)現(xiàn)漏洞后立即利用這些漏洞。

配備機(jī)器學(xué)習(xí)功能（如 AppTrana）的托管智能 WAF 不僅可以阻止錯(cuò)誤請(qǐng)求和分析攻擊模式，還可以將用戶列入白名單、挑戰(zhàn)請(qǐng)求，并基于學(xué)習(xí)持續(xù)管理策略和規(guī)則。

5. 業(yè)務(wù)邏輯攻擊

業(yè)務(wù)邏輯是 UI 與數(shù)據(jù)庫(kù)和軟件系統(tǒng)之間連接和傳遞信息的關(guān)鍵元素，使用戶能夠有效地使用 Web 應(yīng)用程序/網(wǎng)站。當(dāng)業(yè)務(wù)邏輯中存在差距、錯(cuò)誤或重疊時(shí)，它會(huì)產(chǎn)生漏洞，網(wǎng)絡(luò)攻擊者通常會(huì)利用這些漏洞來獲取金錢和其他優(yōu)勢(shì)。攻擊者不會(huì)使用格式錯(cuò)誤的請(qǐng)求和惡意負(fù)載來編排業(yè)務(wù)邏輯攻擊。他們使用合法值和合法請(qǐng)求來利用應(yīng)用程序中的環(huán)境漏洞。業(yè)務(wù)邏輯機(jī)器人通常用于這些攻擊。

托管 WAF 最適合應(yīng)對(duì)這些攻擊，因?yàn)樗鼈儗C(jī)器的可擴(kuò)展性、速度和準(zhǔn)確性與了解業(yè)務(wù)的認(rèn)證安全專業(yè)人員的專業(yè)知識(shí)、智能和創(chuàng)造性思維能力相結(jié)合。

6. 中間人攻擊

當(dāng)犯罪者將自己置于應(yīng)用程序和合法用戶之間，通過冒充兩方之一來提取密碼、登錄憑據(jù)、信用卡詳細(xì)信息等機(jī)密詳細(xì)信息時(shí)，就會(huì)發(fā)生這些攻擊。攻擊可以通過簡(jiǎn)單的方式進(jìn)行策劃，例如在不受密碼保護(hù)的公共場(chǎng)所提供免費(fèi)的惡意熱點(diǎn)。當(dāng)受害者連接到這些熱點(diǎn)時(shí)，他們會(huì)將其在線數(shù)據(jù)交換的完全可見性提供給攻擊者。DNS緩存中毒，IP欺騙，ARP欺騙等復(fù)雜手段用于攔截連接，HTTPS欺騙，SSL劫持，SSL野獸等用于解密雙向SSL流量而不提醒用戶或應(yīng)用程序。

7. 惡意軟件

惡意軟件攻擊是通過利用應(yīng)用程序漏洞或通過網(wǎng)絡(luò)釣魚等社會(huì)工程方法將木馬、勒索軟件、間諜軟件、rootkit 等惡意軟件注入網(wǎng)站/Web 應(yīng)用程序/服務(wù)器而精心策劃的。通過這樣做，攻擊者可以訪問機(jī)密信息、應(yīng)用程序的敏感部分、系統(tǒng)配置更改等。

8. 污損

在所有網(wǎng)絡(luò)攻擊中最簡(jiǎn)單的污損攻擊中，犯罪者更改網(wǎng)站內(nèi)容并用自己的內(nèi)容替換以反映政治意識(shí)形態(tài)/議程，用有爭(zhēng)議的信息或圖像震驚用戶等等。在污損修復(fù)之前，Web 應(yīng)用程序可能對(duì)用戶不可用。

如前所述，托管、智能并配備全球威脅情報(bào)和 ML 能力的 Web 應(yīng)用程序防火墻可以有效且高效地應(yīng)對(duì)這 8 種網(wǎng)絡(luò)攻擊中的每一種。AppTrana提供了一種這樣的 WAF，它允許自定義規(guī)則、防止業(yè)務(wù)邏輯缺陷、確保零誤報(bào)并保持最高的 Web 安全標(biāo)準(zhǔn)。