欢迎光临本站!

阿里云云盾Web应用防火墙测评

来源:原创    更新时间:2019-12-02 16:25:53    编辑:管理员    浏览:18

1.  从防火墙到云WAF

Web应用防火墙简称WAF,这是目前绝大部分有互联网业务的企业用户都会接触到的一类安全产品。WAF本身隶属于应用防火墙类别(基于网络的应用防火墙),和状态防火墙的典型差异就在于,后者是无法控制特定应用的网络流量的——而WAF专门负责从web应用,或者是去往web应用的HTTP流量过滤、监控和拦截。

这一类产品的出现也并不晚。专门针对Web应用的防火墙相较应用防火墙的出现晚了大约10年。最早的防火墙由Perfecto Technologies制造,当时其AppShield产品主要针对的是电子商务市场。后来Perfecto更名Sanctum,他们列出了相关Web应用前Top 10技术,实际上也为WAF市场打下了基础。

2002年,开源项目ModSecurity的出现让WAF技术得到进一步普及,解决了不少行业内的问题,包括成本、专有规则建立等等。ModSecurity敲定了一些核心规则用于防护Web应用。2003年,WAF工作借由OWASP的Top 10列表再度做了扩展和标准化,这个列表针对Web安全漏洞做了年度总结——很快也就成为行业内的基准。到2010年,来自Forrester的数据,WAF市场规模突破了2亿美元。

随着云计算技术的普及,云化的WAF也不再是新概念,许多云服务提供商也有相应基于云的WAF推出,国际上有AWS,而国内则由阿里云领先,腾讯、Ucloud也有相应云WAF产品。

 

那么云上的WAF和传统部署到企业机房中的WAF有何差别呢?对用户而言,如云盾WAF这类产品不需要做软件和硬件方便的变更。通过DNS变更令所有web流量通过WAF,再做流量检查。

其次,基于云的WAF一般都是中心化部署的,这样一来所有的云端用户可以做到威胁检测信息的共享,这是云计算原本就有的优势。对于提升检出率、降低误报率很有帮助。另外和其它基于云的解决方案类似,基于云的WAF也具有弹性特点,随用户所需做规模变更。

所以这类产品对于基于云的web应用,以及需要Web应用安全但又不打算或者没有能力在系统中做软件或硬件变更的中小型企业来说,是相当理想的产品。

综合来说:基于云的WAF理应有下面这些特点:

- 有弹性,可扩展;

- 快速;

- 易于设置;

- 提供所谓的pay-as-you-grow服务;

- 可共享威胁检测信息。

其中的易于设置,对很多中小型企业而言的确非常重要。用户并不需要针对系统做出任何软件和硬件上的变化,就能起到对Web应用的防护,应用定制化的规则。


2. 阿里云云盾WAF产品试用体验


FreeBuf在大会现场也简短采访了阿里云高级产品专家祝建跃,他提到云盾提供的是各个行业都需要的通用安全服务。他认为,云计算就类似企业的操作系统,所以作为操作系统厂商应该做的就是提供基础的安全服务。企业不用研究安全,不用担心基本运维,只需在云计算平台上按自己需求组建业务架构,这和我们在采访肖力的时候所说一致。


FreeBuf小编对阿里云云盾WAF产品进行了试用。如前文所述,基于云的WAF产品本身有着便捷的特点,并不需要由用户对软件和硬件做出变更,部署WAF防火墙就只是一键操作的过程,这一点在云盾WAF使用中也能明显感觉出来。在阿里云的管理控制台上,左侧边栏就有云盾的各类产品可选,其中就包括了WAF(实际上在我的产品中也能找到这个选项)。


2.1 基础功能介绍

 

我们这次获得试用的是企业版。除了企业版之外,用户也可以选择“旗舰版”,其差异主要在于支持QPS流量达到10000(企业版为5000);CC防护QPS 500000(企业版为100000);访问控制规则支持200条(企业版为50条);带宽更大;另外旗舰版的安全防护可做参数规格定制。其他包括支持的业务、域名等都是一致的。


域名配置界面可以管理所有域名(至多10个),每个域名对应栏目都能看到是否已经接入WAF,最后一次遭遇攻击的时间;以及各种安全开关的快速预览——防护配置中有各类防护开关,包括Web应用防护、、CC安全防护、“精准访问控制”、数据风控和“新智能防护引擎”。当然其中具体的规则需要用户自行设定,但相比传统的WAF,云WAF操作简单快捷的特点也在此体现。

我们认为,阿里云云盾WAF对于漏洞检测做得相对完善,也能够覆盖常见的Web威胁。在产品体验上,阿里云云盾WAF也能做到快速部署,使用起来较为便捷,再加上特色项目:运用其智能语义检测技术提升准确度,以及反欺诈的经验,解决了企业的业务安全问题,也是其产品中的一大亮点。 这些都是阿里云云盾获得WitAwards 2016「年度云安全产品及服务」的原因。

 

评论区

表情

共0条评论
  • 这篇文章还没有收到评论,赶紧来抢沙发吧~

相关内容

点击排行

随机新闻

评论排行榜