什麼是網路應用程式防火牆 (WAF)？
應用程式對於現今高效、互聯的工作流程至關重要 - 員工透過應用程式與企業資料互動、彼此溝通，並推動持續創新與成長。然而，這種重要性也隨之增加了風險：攻擊者透過帳戶洩密或弱性攻擊入侵的風險比以往任何時候都高。
網路應用程式防火牆 (WAF) 是一種安全解決方案，可透過監控每個應用程式所接收的資料封包，來處理常見的攻擊風險。 這可讓管理團隊透過監控、過濾和封鎖惡意資料封包，保護應用程式免受威脅。
WAF 如何運作？
WAF 透過檢查、過濾和封鎖潛在有害的 HTTP/S 流量來保護應用程式：有些 WAF 甚至更進一步，防止未經授權的資料離開應用程式。 WAF 透過分析 HTTP 互動的四個關鍵元件來達成這個目標：
- GET 請求：這些用來從伺服器取得資料。
- POST 請求：用於傳送資料到伺服器，通常是修改其狀態。
- PUT 請求：用於傳送資料，以便在伺服器上建立或更新資源。
- DELETE 請求：用於請求從伺服器移除資料。
總而言之，如果任何這些元件符合失敗狀態 - 或 HTML 標頭包含可疑的指標 - 連線就會中斷。
這可透過稱為反向代理的伺服器架構來實現：反向代理安裝在客戶端（如裝置或電子郵件客戶端）和企業應用程式的內部伺服器之間。當用戶端向受保護的應用程式請求資料時，WAF 會分析請求本身及其周圍的情境。如此一來，它會快取原始請求 - 我們稍後會討論如何使用快取來改善效能。一旦確認要求是安全的，WAF 就會與內部應用程式建立自己的連線，並將要求傳送過去。
WAF 能夠檢查進入和離開應用程式的所有流量，並根據政策區分安全和惡意流量。這些都是明確設定的規則，以決定何處允許何種類型的流量。WAF 可透過軟體、硬體或服務式解決方案提供。無論底層架構為何，WAF 政策都需要調整和量身打造，以符合一個或多個網路應用程式的特定需求。 傳統的 WAF 需要手動更新這些規則，才能有效對抗新的弱性，而更現代的 WAF 則利用機器學習來自動更新。
主要 WAF 功能
WAF 能提供下列核心功能：
攻擊特徵資料庫
攻擊識別碼是顯示惡意活動的可識別模式；這可能包括特定的要求類型、不尋常的伺服器回應或標記的惡意 IP 位址。傳統的 WAF 主要依賴這些模式的資料庫，而較新的工具則提供更廣泛的偵測工具。
交通模式分析
機器學習可建立正常流量模式的基線。一旦設定完成，這些引擎就能發現正常行為的偏差 - 即使沒有惡意模式與之匹配，也可能是潛在攻擊的信號。
應用程式剖析
與分析日常流量以找出異常的方式相同，應用程式剖析可圍繞應用程式本身的行為形成模式。這會查看應用程式的一般請求參數、它處理哪些網址、它與哪些應用程式開發介面通訊，以及它處理的資料類型。 有了所有這些資料彙整成正常基線，WAF 就能偵測並封鎖可能漏到應用程式本身的請求。
內容傳送網路整合
由於 WAF 位於網路邊緣，結合 CDN 可讓 WAF 在地理位置上更接近終端使用者。CDN 的工作方式是透過多個全球分佈的存在點 (PoP) 來快取網站：當應用程式使用者登入並要求資料時，CDN 就能從最近的存在點傳回資料。這有助於確保最佳效能。
新一代 WAF 功能
人工智慧-降低假陽性
應用程式和使用者側寫能夠偵測到偏離正常應用程式和使用者行為的情況 - 但這並不保證所產生的警示是真正的外洩指示。 這就是誤判的產生方式，也是對安全資源的一大消耗。下一代 WAF 透過執行另一層分析來解決這個問題；這層分析會檢視造成異常要求的裝置、使用者或應用程式開發介面的更廣泛情境。 然後，它可以採取更多不同的回應 - 不論是傳送 CAPTCHA 請求，或是精確地識別哪一個應用程式開發介面的 key 暴露在外，因而容易受到攻擊。
應用程式開發介面 Identification and Protection
使用者和機器人不再是唯一將資料傳入或傳出應用程式的東西：應用程式開發介面現在已成為資料生態系統的重要部分。 WAF 需要提供全面的應用程式開發介面發現與防護功能。 下一代 WAF 納入了應用程式開發介面保護功能，包括可自訂的應用程式開發介面變更與合規監督規則與警示。
WAF 部署類型
不同的安全 WAF 工具所擁有的功能取決於其基礎部署 - 就像網路安全中的其他事物一樣，實現流量攔截和安全的方法不只一種。
網路型 WAF
此類型通常以硬體方式部署，安裝在內部以減少延遲。雖然有效，但由於需要實體設備，而且必須儲存和維護，因此是成本最高的選擇。
主機型 WAF
此類型的 WAF 已完全整合至應用程式的軟體中，其價格比網路型 WAF 低，且可進行更多的客製化。然而，它需要大量的本機伺服器資源，設定複雜，而且可能產生高昂的維護成本。此外，託管 WAF 的伺服器通常需要強化和客製化，這可能既費時又昂貴。
雲端 WAF 即服務
這是一個具成本效益且簡單直接的解決方案，基本上可避免前期投資，提供以訂閱為基礎的WAF 即服務模式。更新由供應商處理，使用者通常無需支付額外費用或付出額外努力。不過，由於 WAF 是由第三方管理，因此確保服務能夠提供足夠的客製化，以符合組織的業務規則是非常重要的。
WAF 減緩的常見威脅
WAF 威脅減緩完全依賴於其所依據的規則和人工智慧引擎：假設設定正確，以下是一些最常見的威脅。
注入攻擊
SQL 注入攻擊可利用應用程式輸入欄位內的脆弱性，將惡意 SQL 程式碼注入資料庫查詢。 這允許攻擊者操控資料庫，可能未經授權存取資料、修改或刪除記錄，或執行管理作業。雖然 SQL 並非唯一用於注入攻擊的語言，但肯定是最常見的。
WAF 能夠在請求進入應用程式並與資料庫互動之前，掃描請求中的 SQL 關鍵字或使用者輸入中的意外字元，從而消除這種威脅。
失敗的驗證與會話管理
這描述了整個使用者身分和存取控制流程中的一整套安全風險。這可能是以未隱藏格式儲存的憑證保護不足、會話 ID 不安全，讓攻擊者可以竊取並重複使用代用幣，或是會話無法正常終止。
WAF 可透過各種不同的規則來防止所有這些情況：從限制請求速率（因此可阻止憑證填充請求）到將登入詳細資料與常見的盜用密碼進行交叉比對。其他規則可確保會話在登出或超時後失效，阻擋使用相同標記的進一步請求。
跨站腳本 (XSS)
這些攻擊通常稱為 XSS，是針對易受攻擊的網站和應用程式所進行的最簡單設定和自動化攻擊。WAF 能夠對輸入欄位執行嚴格的規則，以防止 或指令碼元素 - 常見於大多數 XSS 攻擊。模式識別也允許 WAF 識別特定標籤以外的攻擊指標。
具有已知弱性的應用程式元件
在現今的應用程式生態系統中，下游應用程式元件發生資料洩漏的情況非常普遍。只要 WAF 採用定期更新的 威脅情資資料庫，WAF 就能偵測您的環境中是否有已知脆弱性的元件。
WAF vs. 傳統防火牆：瞭解差異
防火牆是任何過濾網路傳入和傳出流量的韌體的總稱。在這個廣泛的定義中有幾個類別，它們提供的保護類型各不相同。這些包括狀態檢測、封包過濾、代理伺服器和次世代防火牆 (NGFW)。
WAF 是一種特定類型的防火牆，以過濾資料封包的方式區分。WAF 可檢查網路的應用程式層，並可防止許多其他類型防火牆無法發現的攻擊。例如，一般防火牆不會偵測到 SQL 注入攻擊，因為它不會檢查應用程式要求的有效負載，例如 SQL 查詢。
傳統防火牆可封鎖來自特定 IP 範圍、地域等的流量，WAF 則不同，它可讓您定義規則，排除看似惡意的特定應用程式行為類型。
實施 WAF 的最佳作法
WAF 規則是管理防火牆運作的基本構建區塊。但它們遠遠不是您的 WAF 管理需要關注的唯一焦點。
瞭解您應用程式的威脅
每個應用程式都有其獨特的威脅概況，並受到其功能、使用者基礎和暴露程度的影響。首先確定您的應用程式最普遍和最重要的威脅。舉例來說，電子商務平台由於擁有龐大的客戶詳細資料資料庫，因此較容易成為 SQL 注入攻擊的目標。另一方面，應用程式開發介面供應商可能需要更密切注意參數篡改的脆弱性。
分析交通模式
研究您應用程式的典型流量行為，以區分合法與惡意活動。此分析可讓您定義精確的規則，以有效處理特定的威脅。如果您的 WAF 由人工智慧驅動，則會自動建立正常流量和應用程式行為的基線。
利用管理規則群組
大多數 WAF 供應商的工具都有預先設定的規則集 - 但請檢查他們是否也提供管理規則群組。這些都是由提供者持續維護的預定義規則 集。這些規則群組可解決範圍廣泛的威脅，包括 OWASP Top 10，同時也釋放了大量的管理資源。
可擴展性與效能的優先順序
一旦啟動並執行後，定期評估 WAF 的組態和效能是非常重要的。密切注意可顯示安全團隊成功的 KPI，例如 MTTR，同時也要監控應用程式延遲的任何長期變化。
透過定期檢查，可以確保您的 WAF 能夠支援應用程式的成長和使用者體驗，即使組織和使用者群有所改變。
Choose Next-Gen WAF Capabilities with Check Point
Check Point利用先進的人工智慧提供跨網頁流量和應用程式開發介面的主動式防護，確保現代應用程式的穩健安全性。 透過區分應用程式開發介面類型、端點、公開系統與內部系統，以及較新元件與舊元件，Check Point 可針對特定的關鍵任務需求，精確地量身打造安全措施。
若要瞭解應用程式開發介面保護對應用程式安全的重要性，請點選這裡探索 2024 GigaOm Radar Report。 確保 GDPR 和 PII 合規，並透過監控敏感資料的使用，將內建的 PII、財務記錄、醫療保健資訊和登入憑證的識別功能，將內容識別帶到邊緣。 探索Check Point 與其他 WAF 市場領導者的差異- 或者，如果您想要深入探索，請立即註冊Check Point 深入示範。
