【51CTO.com 綜合消息】安全是與信息系統(tǒng)的業(yè)務(wù)價值密不可分的，Web應(yīng)用安全問題自互聯(lián)網(wǎng)誕生以來就已存在，但Web應(yīng)用的價值是近幾年來越來越走進(jìn)人們的生活成為業(yè)務(wù)系統(tǒng)中不可分割的一部分之后才變得尤為重要。如今的Web已經(jīng)不僅僅是指大的門戶網(wǎng)站，而是遍及每個單位企業(yè)，如官方網(wǎng)站、電子商務(wù)、電子政務(wù)、ERP等均是以Web為基礎(chǔ)的重要應(yīng)用，其承載的業(yè)務(wù)價值越高所面臨的安全威脅也就越大。

信息安全在中國經(jīng)歷了近十年的發(fā)展，從傳統(tǒng)的老三樣網(wǎng)絡(luò)防火墻、入侵檢測、防病毒已經(jīng)發(fā)展到了信息系統(tǒng)的各個方面。當(dāng)前的Web應(yīng)用安全現(xiàn)狀主要存在以下幾個方面：

1、安全意識需要轉(zhuǎn)變：目前大部分還停留在網(wǎng)絡(luò)安全，防病毒

2、Web安全還停留在防篡改層面

3、Web應(yīng)用安全防御技術(shù)有待完善，技術(shù)、制度和法律方面都有待改進(jìn)和健全。

4、入侵者形成的地下黑色產(chǎn)業(yè)鏈嚴(yán)重危害Web應(yīng)用安全。

Web應(yīng)用防護(hù)依據(jù)業(yè)務(wù)價值的不同，有著不同的安全基線，政府、金融、電子商務(wù)、社交網(wǎng)絡(luò)等不同的領(lǐng)域有著明顯的差異。從安全防護(hù)的角度來看，針對于Web應(yīng)用層的防御是非常必要的，當(dāng)前的安全形勢也一再表明，75%以上的威脅來自應(yīng)用層，而傳統(tǒng)安全防護(hù)措施的功能，如網(wǎng)絡(luò)防火墻、入侵檢測和防病毒，這些防護(hù)措施當(dāng)然也是必須的。

從Web應(yīng)用防護(hù)技術(shù)上講應(yīng)該提供有效的防御工具和長效的防御措施，結(jié)合我們的實踐經(jīng)驗推薦建立定期安全檢測的制度，采用專業(yè)的安全防御產(chǎn)品，以及建立應(yīng)急恢復(fù)機(jī)制。

Web應(yīng)用防火墻的防護(hù)重點

Web應(yīng)用防火墻即專注于Web應(yīng)用防御的安全產(chǎn)品，用于防御應(yīng)用層的如SQL注入攻擊、跨站腳本攻擊等傳統(tǒng)安全設(shè)備無法防御的安全威脅，除了針對已知的應(yīng)用攻擊，安恒的Web應(yīng)用防火墻還提供積極模式的安全防護(hù)功能，可以防護(hù)大量的未知攻擊，最大程度的保護(hù)應(yīng)用系統(tǒng)的安全。從產(chǎn)品形態(tài)上講有硬件Web應(yīng)用防火墻和軟件Web應(yīng)用防火墻。其產(chǎn)品的定位是專用于對原有信息安全架構(gòu)下如網(wǎng)絡(luò)防火墻，入侵防御系統(tǒng)等的一個有效補(bǔ)充。從而提高信息安全體系的安全保障。

Web應(yīng)用防火墻的優(yōu)勢

Web應(yīng)用防火墻與傳統(tǒng)防火墻的主要區(qū)別在于防護(hù)的主體不同，傳統(tǒng)網(wǎng)絡(luò)防火墻主要用于網(wǎng)絡(luò)協(xié)助的第三層、第四層的訪問控制和攻擊防御，另外一個重要功能就是做網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT），而Web應(yīng)用防火墻是專用于Web應(yīng)用防護(hù)的產(chǎn)品，可以體現(xiàn)代碼級的安全。另一方面從安全事件上也可以看出其區(qū)別，安恒信息在處理大量的應(yīng)急響應(yīng)的事件中絕大多數(shù)的用戶都部署了網(wǎng)絡(luò)防火墻，但是Web應(yīng)用系統(tǒng)還是經(jīng)常被入侵，而部署Web應(yīng)用防火墻后幾乎所有的攻擊事件就再也沒有發(fā)生過，都被應(yīng)用防火墻有效的攔截掉了。

Web防火墻是對傳統(tǒng)安全設(shè)備對應(yīng)用層防護(hù)的一個有效補(bǔ)充，足可以看出與網(wǎng)絡(luò)防火墻的差異，所以說Web應(yīng)用防火墻與網(wǎng)絡(luò)防火墻是有機(jī)統(tǒng)一的，而不是對立的。

Web應(yīng)用防火墻國內(nèi)外情況及未來發(fā)展趨勢

Web應(yīng)用防火墻在國外出現(xiàn)的時間比國內(nèi)早，國外也有Web應(yīng)用防火墻，市場的認(rèn)知度相對比國內(nèi)要早3年左右，像美國的幾家專業(yè)的Web應(yīng)用防火墻廠商相繼被大的安全公司并購，一線的大安全公司均在Web應(yīng)用防火墻大力投入。從目前市場發(fā)展情況來看，Web應(yīng)用防火墻的發(fā)展還是很被看好的，從2008年開始國內(nèi)陸續(xù)有不少公司開發(fā)Web應(yīng)用防火墻，如傳統(tǒng)的網(wǎng)絡(luò)安全廠商，以及新興的專業(yè)開發(fā)Web應(yīng)用防火墻的公司在不斷的增加。另一方面從用戶的認(rèn)知度也可以看出有了明顯的改變，在2007年的時候用戶都不知道什么是Web應(yīng)用防火墻，都要問和網(wǎng)絡(luò)防火墻的區(qū)別，而到了今年大多數(shù)用戶都聽說過或試用過Web應(yīng)用防火墻了。

杭州安恒公司是國內(nèi)最早從事Web應(yīng)用防火墻研究的公司之一。安恒2006年時就對Web應(yīng)用防火墻進(jìn)行了研發(fā)，2007年以Web深度防御系統(tǒng)的方式在國內(nèi)首家發(fā)布了Web應(yīng)用防火墻。

Web應(yīng)用防火墻的發(fā)展目前有兩個方向，其一向高性能專業(yè)設(shè)備的方面發(fā)展，其二是朝Web應(yīng)用綜合網(wǎng)關(guān)的方面發(fā)展。從兩年來的Web應(yīng)用防火墻開發(fā)和營銷的經(jīng)歷上看，安恒公司認(rèn)為Web應(yīng)用防火墻市場即將進(jìn)入井噴時期。

防護(hù)Web安全注意事項

首先Web應(yīng)用安全是一個整體，所以我們談安全時最好從信息安全風(fēng)險分析的角度來考慮，如基本的網(wǎng)絡(luò)層安全、操作系統(tǒng)安全是否到位？在這些基礎(chǔ)安全的情況下，Web應(yīng)用安全則應(yīng)作為防護(hù)的重心來考慮。而一套Web應(yīng)用系統(tǒng)的安全最好從程序安全的設(shè)計、應(yīng)用定期安全檢測、即時安全防護(hù)等多個方面來提高安全防護(hù)的水平。