[[380949]]

【51CTO.com快譯】在過去幾十年，Web應(yīng)用防火墻(WAF)變成了一種無處不在的安全設(shè)備。凡是有Web應(yīng)用程序的組織(包括大多數(shù)大企業(yè))都安裝了WAF，以保護(hù)其數(shù)據(jù)和資產(chǎn)不被人利用和攻擊。保護(hù)Web應(yīng)用程序安全的最佳實踐已演變?yōu)閮H僅在應(yīng)用程序前面部署WAF。但是在當(dāng)前市場，隨著現(xiàn)代應(yīng)用生命周期助力DevOps以極快的頻率發(fā)布更新，傳統(tǒng)的WAF能否跟得上步伐?

在現(xiàn)代敏捷開發(fā)環(huán)境下，WAF并不像人們說的那么好，這已是公開的行業(yè)秘密。WAF跟不上頻繁的應(yīng)用程序更新，維護(hù)WAF已變得非常費力又費事。

如果WAF死了，安全專家該如何是好?什么會阻止您的Web應(yīng)用程序成為進(jìn)入貴組織安全環(huán)境的正門?知道DevOps會繼續(xù)推出新代碼，您如何確定WAF是否值得維護(hù)或者它是否已進(jìn)入死胡同?不妨看看您的WAF如何跟得上DevOps的速度。

圖1

上下文為王

網(wǎng)絡(luò)安全旨在監(jiān)控靜態(tài)網(wǎng)絡(luò)(使用彼此相同的協(xié)議)，而WAF旨在保護(hù)彼此明顯不同的Web應(yīng)用程序。每個應(yīng)用程序都是唯一的，每個代碼段都不同，都有自身的一系列漏洞。甚至在引入云存儲和速度飛快的DevOp之前，WAF都被認(rèn)為只是很普通的安全解決方案。

使用位于應(yīng)用程序前面而不是內(nèi)嵌的解決方案意味著，不可能進(jìn)行上下文分析。由于沒有上下文來了解正在交互的應(yīng)用程序里面的內(nèi)容，WAF方面的發(fā)展就不可能自動跟上應(yīng)用程序方面的發(fā)展。

教育、教育、教育

機(jī)器學(xué)習(xí)方面的改進(jìn)只能在一定程度上解決這個難題。復(fù)雜的WAF“只”需要一個月靜靜安置下來、學(xué)習(xí)為應(yīng)用程序創(chuàng)建基準(zhǔn)，可任由應(yīng)用程序在一個月內(nèi)不受保護(hù)實在太久了。人們難免需要介入，幫助調(diào)校WAF，這時候維護(hù)變成了繁重任務(wù)。如果每當(dāng)內(nèi)容或代碼更改，WAF就需要時間來學(xué)習(xí)和創(chuàng)建基線，管理員面臨大量的繁重工作，以便減少警報，并創(chuàng)建例外。

不自動化就瓦解

說說下一個問題：您的WAF是否可以在沒有人干預(yù)的情況下真正保護(hù)Web應(yīng)用程序免受邏輯攻擊?答案在于，如果持續(xù)交付，這根本不可能。事實上，大多數(shù)WAF都不處于警報模式。允許它們阻止的話，太危險了，因為大量警報會造成警報疲勞。

也許管理員會做一些細(xì)微的調(diào)整，以便用阻止規(guī)則保護(hù)應(yīng)用程序的敏感部分，但是應(yīng)用程序的其余部分將由警報模式下的WAF使用模式匹配及其他粗陋的技術(shù)加以保護(hù)。這就導(dǎo)致安全解決方案無法隨著應(yīng)用程序的發(fā)展而自動部署，以免受新的邏輯攻擊。

不快速就回家

云計算的主題是敏捷性。2015年要花兩周才能創(chuàng)建的軟件現(xiàn)在只需幾秒鐘。如果利用微服務(wù)，您可以在幾分鐘內(nèi)顯著改變應(yīng)用程序。在這種新環(huán)境下，考慮使用依賴學(xué)習(xí)或手動配置的標(biāo)準(zhǔn)老式應(yīng)用程序安全解決方案很荒謬。

每當(dāng)開發(fā)人員調(diào)整代碼并將其發(fā)送到外面，這都是單方面的舉動，沒有與安全人員協(xié)商。

如果您使用的WAF依賴這種假設(shè)：您環(huán)境中的一切都是非特有的，您的WAF已經(jīng)失效，那是時候改變了。WAF已死，DevOps殺死了它。現(xiàn)在是時候進(jìn)行分析了，以確定您的WAF是否還可用或者您是否使用的很累贅。

原文標(biāo)題：The Web App Firewall Is Dead and We Know Who Killed It，作者：TJ Gonen

【51CTO譯稿，合作站點轉(zhuǎn)載請注明原文譯者和出處為51CTO.com】