WEB应用防火墙技术

1、WEB应用安全网关培训内容一、WEB应用安全网关概述二、WEB应用安全网关介绍三、应用场景介绍四、简单部署一、WEB应用安全网关概述什么是WEB应用安全网关？俗称：WAF (Web Application Firewall)专门为Web应用提供保护的一款产品，对各类网站站点进行有效防护，确保其安全性与合法性。一、WEB应用安全网关概述为什么需要WEB应用安全网关？攻击者针对WEB应用系统自身存在的漏洞进行攻击，包括篡改网页、窃取数据库信息等非法操作一、WEB应用安全网关概述u 开发人员的重视程度关注的是应用需求，可用性需求，扩展性需求不重视系统的安全漏洞u编写安全代码的困难度编写安全的WEB应

2、用程序代码很困难，不是开发人员优先考虑的部分需要对漏洞进行挖掘、识别、修复为什么应用系统中存在漏洞一、WEB应用安全网关概述1、防火墙2、IDS3、IPS针对WEB应用有哪些防护措施一、WEB应用安全网关概述Port 80Port 443“75% 的安全事件由通过80端口进行的攻击造成”Information Week防火墙需要开放80端口，无法保护通过80端口提供服务的Web服务器！防火墙和WAF协同关系包过滤防火墙：检测数据包包头信息进行访问控制状态检测防火墙：根据IP报文之间的关系区分出不同会话，可以基于会话进行访问控制，属于会话层的安全防御手段，对HTTP内容仍然无法识别。防火墙的主要

3、功能职责和局限一、WEB应用安全网关概述IDS能对通用操作系统、数据库漏洞进行检测，但无法保护个性化的Web网站IDS和WAF协同关系检测数据包有效负载，比对特征进行攻击防御 IDS防御特征码主要针对通用的协议或应用漏洞，但是Web网站代码往往由用户自行编写，没有通用补丁IDS能识别网络协议，根据每个数据包作出允许还是拒绝的决定，但不还原识别具体的内容，例如不识别网页内容、URL参数、cookie内容、表单输入等。 IDS的主要工作职责和局限一、WEB应用安全网关概述IPS的主要工作职责和局限 Gartner 分析报告IPS/NGFW无法取代WAF，Gartner 分析报告中罗列功能IPS防护

4、效果不如WAF，IPS/NGFW和WAF协同关系攻击者WEB服务器网页篡改信息窃取非法入侵拒绝服务SQL服务器一、WEB应用安全网关概述WEB应用安全网关可以对HTTP/HTTPS协议进行深入分析处理，弥补防火墙、IDS及IPS等传统安全产品对于WEB应用威胁防护上的缺陷WAF的主要工作职责培训内容一、WEB应用安全网关概述二、WEB应用安全网关介绍三、应用场景介绍四、简单部署产品的硬件架构1、MIPS64多核架构2、X86架构二、WEB应用安全网关介绍术语介绍MIPS64架构优点：灵活性较高性能高缺点：应用层检测深度不够开发难度大二、WEB应用安全网关介绍X86架构优点：l 灵活性高l 深度

5、应用层检测l 开发难度小缺点：l 相对MIPS64架构性能较低二、WEB应用安全网关介绍二、WEB应用安全网关介绍软硬件Bypass功能通过WEB应用安全网关软硬件bypass功能，充分保障Web业务连续性术语介绍二、WEB应用安全网关介绍软硬件Bypass功能二、WEB应用安全网关介绍WAF功能特点1、Web非授权访问防护2、Web恶意代码防护3、Web攻击防护4、Web应用交付5、Web应用合规培训内容一、WEB应用安全网关概述二、WEB应用安全网关介绍三、应用场景介绍四、简单部署Vlan1办公楼办公楼VLAN2DMZ-服务器区服务器区 核心交换核心交换WEB应用安全网关应部署在哪？边界路

6、由器边界路由器三、应用场景介绍三、应用场景介绍1、透明模式2、代理模式3、旁路模式产品部署模式u桥模式1、首选推荐安装模式；2、不影响原有网络结构与网络配置；3、配置方便简单，透明模式部署时，可利用软/硬件bypass功能保障网络联通性三、应用场景介绍u代理模式1、安全、加速和负载均衡，全功能实现2、隐藏应用服务器真实IP地址，改为另一个子网网段三、应用场景介绍u旁路模式1、部署简单，不影响用户网络结构2、交换机配置镜像流量到WAG3、旁路模式部署时仅支持事件检测与日志上报三、应用场景介绍培训内容一、WEB应用安全网关概述二、WEB应用安全网关介绍三、应用场景介绍四、简单部署通过浏览器登录WEB界面默认管理口(ETH0)默认管理地址：50默认管理用户：admin、adm、audit默认用户默认密码用户角色adminvenus70用户管理员(不可创建删除)admvenus70配置管理员auditvenus70审计管理员四、简单部署1、授权-导入授权并激活业务口（初次安装）四、简单部署2、部署模式-透明模式部署网络配置接口透明桥四、简单部署3、真实服务器-被保护的WEB服务器应用防护真实服务器列表四、简单部署4、安全策略-定义事件库与敏感信息防护四、简单部署5、站点安全-深度WEB防御策略定制应用防护站点安全新建四、简单部署6、虚拟服务-生成安