隨著互聯(lián)網(wǎng)的發(fā)展演變，基于Web和數(shù)據(jù)庫(kù)架構(gòu)的應(yīng)用系統(tǒng)已經(jīng)逐漸成為主流，廣泛應(yīng)用于企業(yè)內(nèi)部和外部的業(yè)務(wù)系統(tǒng)中。但是，黑客也將攻擊目標(biāo)瞄準(zhǔn)了Web應(yīng)用，目前常見(jiàn)的網(wǎng)絡(luò)攻擊大多數(shù)都是針對(duì)應(yīng)用自身的弱點(diǎn)，其中最常用的攻擊技術(shù)就是針對(duì)Web應(yīng)用的SQL注入和跨站攻擊。而且黑客通過(guò)相應(yīng)的攻擊工具可以輕松實(shí)現(xiàn)入侵，并可直接實(shí)現(xiàn)篡改頁(yè)面內(nèi)容，甚至進(jìn)入數(shù)據(jù)庫(kù)修改內(nèi)容等等。對(duì)Web應(yīng)用的攻擊增多刺激了Web應(yīng)用防火墻市場(chǎng)的增長(zhǎng)。

2009年是中國(guó)Web應(yīng)用防火墻啟動(dòng)元年。從09年開(kāi)始，Web應(yīng)用防火墻開(kāi)始進(jìn)入培育期，從目前市場(chǎng)發(fā)展情況來(lái)看，Web應(yīng)用防火墻的發(fā)展還是很被看好的。梭子魚(yú)中國(guó)區(qū)總經(jīng)理何平在接受IT專家網(wǎng)記者采訪時(shí)表示，目前國(guó)內(nèi)的Web應(yīng)用 防火墻 市場(chǎng)從輔導(dǎo)階段進(jìn)入了實(shí)際長(zhǎng)成階段。未來(lái)三到五年內(nèi)，Web應(yīng)用 防火墻 年增長(zhǎng)率應(yīng)該是200%以上。

剛性的需求

為什么Web應(yīng)用防火墻受到重視？隨著互聯(lián)網(wǎng)技術(shù)的迅猛發(fā)展，許多政府和企業(yè)的關(guān)鍵業(yè)務(wù)活動(dòng)越來(lái)越多地依賴于WEB應(yīng)用，在向客戶提供通過(guò)瀏覽器訪問(wèn)企業(yè)信息功能的同時(shí)，企業(yè)所面臨的風(fēng)險(xiǎn)在不斷增加。主要表現(xiàn)在兩個(gè)層面：一是隨著Web應(yīng)用程序的增多，這些Web應(yīng)用程序所帶來(lái)的安全漏洞越來(lái)越多；二是隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，被用來(lái)進(jìn)行攻擊的黑客工具越來(lái)越多、黑客活動(dòng)越來(lái)越猖獗，組織性和經(jīng)濟(jì)利益驅(qū)動(dòng)非常明顯。

根據(jù) Gartner 的調(diào)查，信息安全攻擊有75%都是發(fā)生在Web應(yīng)用層而非網(wǎng)絡(luò)層面上。同時(shí)，數(shù)據(jù)也顯示，2/3的Web站點(diǎn)都相當(dāng)脆弱，易受攻擊。可以說(shuō)，絕大多數(shù)企業(yè)將大量的投資花費(fèi)在網(wǎng)絡(luò)和服務(wù)器的安全上，沒(méi)有從真正意義上保證Web業(yè)務(wù)本身的安全，才給了黑客可乘之機(jī)。

Web攻擊可導(dǎo)致的后果極為嚴(yán)重，完全可以使用多種攻擊手段將一個(gè)合法正常網(wǎng)站攻陷，利用獲取到的相應(yīng)權(quán)限在網(wǎng)頁(yè)中嵌入惡意代碼，將惡意程序下載到存在客戶端漏洞的主機(jī)上，從而實(shí)現(xiàn)攻擊目的。由此可見(jiàn)，Web安全已經(jīng)成為信息時(shí)代最大的“殺手”！

何平指出，當(dāng)網(wǎng)站已經(jīng)和后臺(tái)數(shù)據(jù)庫(kù)掛鉤，而非簡(jiǎn)單的靜態(tài)頁(yè)面時(shí)，就應(yīng)該關(guān)注Web應(yīng)用安全。另外隨著今年3G網(wǎng)絡(luò)開(kāi)始部署，很多3G應(yīng)用開(kāi)始以手機(jī)、平板電腦為基礎(chǔ)，之后Web方式的應(yīng)用將會(huì)越來(lái)越多，由此，用戶對(duì)Web安全的剛性需求會(huì)越來(lái)越大。

挑戰(zhàn)來(lái)自何方？

當(dāng)一個(gè)新東西的出現(xiàn)，要經(jīng)過(guò)一個(gè)認(rèn)知過(guò)程，Web應(yīng)用防火墻亦是如此。Web應(yīng)用防火墻在國(guó)外出現(xiàn)的時(shí)間比國(guó)內(nèi)早，市場(chǎng)的認(rèn)知度相對(duì)比國(guó)內(nèi)要早3－5年左右。何平坦言，對(duì)于目前梭子魚(yú)而言，最大的挑戰(zhàn)不是來(lái)自競(jìng)爭(zhēng)對(duì)手，而是來(lái)自用戶的認(rèn)知的挑戰(zhàn)。在整個(gè)行業(yè)的推動(dòng)，仍然需要花很大的力氣進(jìn)行市場(chǎng)教育和引導(dǎo)。

另外，國(guó)內(nèi)的Web應(yīng)用防火墻市場(chǎng)還處于一個(gè)混沌期，要想拿出一個(gè)比較成型的標(biāo)準(zhǔn)，還需要一兩年的時(shí)間。何平介紹到，Web應(yīng)用防火墻最早的標(biāo)準(zhǔn)來(lái)自于PCI-DSS標(biāo)準(zhǔn)設(shè)計(jì)（信用卡支付的數(shù)據(jù)安全標(biāo)準(zhǔn)），但隨著業(yè)務(wù)和應(yīng)用需求的變化以及面對(duì)危脅的變化，目前標(biāo)準(zhǔn)的參考主要是來(lái)自于OWASP－開(kāi)放式Web應(yīng)用程序安全項(xiàng)目。OWASP是一個(gè)開(kāi)放社群、非營(yíng)利性組織，其主要目標(biāo)是研議Web安全的標(biāo)準(zhǔn)。從防護(hù)能力來(lái)說(shuō)，Web應(yīng)用防火墻用于防御應(yīng)用層的如SQL注入攻擊、跨站腳本攻擊等傳統(tǒng)安全設(shè)備無(wú)法防御的安全威脅。

但是技術(shù)是和市場(chǎng)是聯(lián)動(dòng)的，來(lái)自Web危脅日益嚴(yán)重的剛性需求，以及隨著國(guó)內(nèi)用戶需求的逐漸清晰和細(xì)化，Web應(yīng)用防火墻產(chǎn)品的事實(shí)標(biāo)準(zhǔn)將逐漸形成。

Web應(yīng)用防火墻和傳統(tǒng)防火墻及Web安全網(wǎng)關(guān)有很大差別。傳統(tǒng)防火墻專注在網(wǎng)絡(luò)層面，提供IP、端口防護(hù)；Web應(yīng)用防火墻主要致力于提供應(yīng)用層保護(hù)。主要是對(duì)Web特有入侵方式的加強(qiáng)防護(hù)，如SQL注入、XSS等。Web應(yīng)用 防火墻 可以有效阻斷來(lái)自黑客的Web攻擊，建立起安全的第一道防線。

梭子魚(yú)Web應(yīng)用防火墻是基于2007年收購(gòu)的NetContinuum公司的NC系列防火墻開(kāi)發(fā)出來(lái)的新一代Web應(yīng)用防火墻，不僅繼承了NC系列防火墻的強(qiáng)大功能，而且利用新的硬件平臺(tái)大大提升了產(chǎn)品的性能，同時(shí)利用梭子魚(yú)產(chǎn)品的一貫優(yōu)勢(shì)——操作簡(jiǎn)單、易于部署，改善了產(chǎn)品的操作界面和部署模式。

何平指出，由于目前沒(méi)有統(tǒng)一的WAF標(biāo)準(zhǔn)，供應(yīng)商的產(chǎn)品功能和性能差異非常大。Web應(yīng)用防火墻直接關(guān)聯(lián)到用戶核心應(yīng)用，用戶需謹(jǐn)慎選擇產(chǎn)品，并建議在打算部署此類產(chǎn)品前先詢問(wèn)專業(yè)的安全公司或者系統(tǒng)集成商，多進(jìn)行分析比較。