Web應(yīng)用防火墻 （Web Application Firewall， WAF ），通過(guò)對(duì)HTTP(S)請(qǐng)求進(jìn)行檢測(cè)，識(shí)別并阻斷SQL注入、跨站腳本攻擊、網(wǎng)頁(yè)木馬上傳、命令/代碼注入、文件包含、敏感文件訪問(wèn)、第三方應(yīng)用漏洞攻擊、CC攻擊、惡意爬蟲(chóng)掃描、跨站請(qǐng)求偽造等攻擊，保護(hù)Web服務(wù)安全穩(wěn)定。
Gartner報(bào)告中給出了WAF的主要價(jià)值有2點(diǎn)——1、可以防范企業(yè)開(kāi)發(fā)的Web應(yīng)用代碼中“自己造成的”安全漏洞，2、防范主流Web應(yīng)用軟件中的安全漏洞。因此，可以認(rèn)為WAF就是針對(duì)Web服務(wù)而專(zhuān)門(mén)設(shè)計(jì)的防護(hù)產(chǎn)品。
一、Web基礎(chǔ)防護(hù)
覆蓋OWASP（Open Web Application Security Project，簡(jiǎn)稱(chēng)OWASP）TOP 10中常見(jiàn)安全威脅，通過(guò)預(yù)置豐富的信譽(yù)庫(kù)，對(duì)惡意掃描器、IP、網(wǎng)馬等威脅進(jìn)行檢測(cè)和攔截。
1、全面的攻擊防護(hù)
支持SQL注入、XSS跨站腳本、文件包含、目錄遍歷、敏感文件訪問(wèn)、命令/代碼注入、網(wǎng)頁(yè)木馬上傳、后門(mén)隔離保護(hù)、非法HTTP協(xié)議請(qǐng)求、第三方漏洞攻擊等威脅檢測(cè)和攔截。
2、識(shí)別精準(zhǔn)
內(nèi)置語(yǔ)義分析+正則雙引擎，黑白名單配置，誤報(bào)率更低。
支持防逃逸，自動(dòng)還原常見(jiàn)編碼，識(shí)別變形攻擊能力更強(qiáng)。支持還原的編碼類(lèi)型：url_encode、Unicode、xml、C-OCT、十六進(jìn)制、html轉(zhuǎn)義、base64、大小寫(xiě)混淆、javascript/shell/php等拼接混淆。
二、IPv6防護(hù)
Web應(yīng)用防火墻支持防護(hù)IPv6環(huán)境下發(fā)起的攻擊，幫助您的源站實(shí)現(xiàn)對(duì)IPv6流量的安全防護(hù)。
1、隨著IPv6協(xié)議的迅速普及，新的網(wǎng)絡(luò)環(huán)境以及新興領(lǐng)域均面臨著新的安全挑戰(zhàn)，Web應(yīng)用防火墻的IPv6防護(hù)功能幫助您輕松構(gòu)建覆蓋全球的安全防護(hù)體系。
2、Web應(yīng)用防火墻支持IPv6/IPv4雙棧，針對(duì)同一域名可以同時(shí)提供IPv6和IPv4的流量防護(hù)。
針對(duì)仍然使用IPv4協(xié)議棧的Web業(yè)務(wù)，Web應(yīng)用防火墻支持NAT64機(jī)制（NAT64是一種通過(guò) 網(wǎng)絡(luò)地址轉(zhuǎn)換 （NAT）形式促成IPv6與IPv4主機(jī)間通信的IPv6轉(zhuǎn)換機(jī)制），即WAF可以將IPv4源站轉(zhuǎn)化成IPv6網(wǎng)站，將外部IPv6訪問(wèn)流量轉(zhuǎn)化成對(duì)內(nèi)的IPv4流量。
三、CC攻擊防護(hù)
根據(jù)業(yè)務(wù)需要，配置防護(hù)動(dòng)作和返回頁(yè)面內(nèi)容，有效緩解CC攻擊（HTTP Flood）帶來(lái)的業(yè)務(wù)影響。
1、策略配置靈活
可以根據(jù)IP、Cookie或者Referer字段名設(shè)置靈活的限速策略。
2、阻斷頁(yè)面可定制
阻斷頁(yè)面可自定義內(nèi)容和類(lèi)型，滿足業(yè)務(wù)多樣化需要。
四、安全可視化：提供簡(jiǎn)潔友好的控制界面，實(shí)時(shí)查看攻擊信息和事件日志。
五、策略事件集中配置：在Web應(yīng)用防火墻服務(wù)的控制臺(tái)集中配置適用于多個(gè)防護(hù)域名的策略，快速下發(fā)，快速生效。
六、流量及事件統(tǒng)計(jì)信息：實(shí)時(shí)查看訪問(wèn)次數(shù)、安全事件的數(shù)量與類(lèi)型、詳細(xì)的日志信息。
七、掃描器爬蟲(chóng)防護(hù)：自定義掃描器與爬蟲(chóng)規(guī)則，用于阻斷非授權(quán)的網(wǎng)頁(yè)爬取行為，添加定制的惡意爬蟲(chóng)、掃描器特征，使爬蟲(chóng)防護(hù)更精準(zhǔn)。
八、黑白名單設(shè)置：添加始終攔截與始終放行的黑白名單IP，增加防御準(zhǔn)確性。
九、地理位置訪問(wèn)控制：可以針對(duì)地理位置來(lái)源IP進(jìn)行自定義訪問(wèn)控制。
十、網(wǎng)頁(yè)防篡改：對(duì)網(wǎng)站的靜態(tài)網(wǎng)頁(yè)進(jìn)行緩存配置，當(dāng)用戶訪問(wèn)時(shí)返回給用戶緩存的正常頁(yè)面，并隨機(jī)檢測(cè)網(wǎng)頁(yè)是否被篡改。
十一、網(wǎng)站反爬蟲(chóng)：動(dòng)態(tài)分析網(wǎng)站業(yè)務(wù)模型，結(jié)合人機(jī)識(shí)別技術(shù)和數(shù)據(jù)風(fēng)控手段，精準(zhǔn)識(shí)別爬蟲(chóng)行為。
十二、誤報(bào)屏蔽：針對(duì)特定請(qǐng)求忽略某些攻擊檢測(cè)規(guī)則，用于處理誤報(bào)事件。
公有云上的WAF是以服務(wù)的方式提供給，所以用戶側(cè)的日常硬件和引擎的維護(hù)成本全部由華為云WAF團(tuán)隊(duì)來(lái)承擔(dān)，幫忙客戶節(jié)省出更多時(shí)間和精力去做更重要的事情。
購(gòu)買(mǎi)Web應(yīng)用防火墻后，在WAF管理控制臺(tái)將網(wǎng)站添加并接入WAF，即可啟用Web應(yīng)用防火墻。啟用之后，網(wǎng)站所有的公網(wǎng)流量都會(huì)先經(jīng)過(guò)Web應(yīng)用防火墻，惡意攻擊流量在Web應(yīng)用防火墻上被檢測(cè)過(guò)濾，而正常流量返回給源站IP，從而確保源站IP安全、穩(wěn)定、可用。
