标签：Web 应用程序

传输层安全性（Transport Layer Security，TLS）是一种广泛采用的安全性协议，旨在促进互联网通信的私密性和数据安全性。TLS 的主要用例是对 web 应用程序和服务器之间的通信（例如，web 浏览器加载网站）进行加密。TLS 还可以用于加密其他通信，如电子邮件、消息传递和 IP 语音（VOIP）等。在本文中，我们将重点介绍 TLS 在 web 应用程序安全中发挥的作用。,TLS 由互联网工程任务组（Internet Engineering Task Force, IETF）提出，协议的第一个版本于 1999 年发布。最新版本是 TLS 1.3，发布于 2018 年。,,TLS 和 SSL 之间有什么区别？,Netscape 开发了名为安全套接字层（Secure Socket Layer，SSL）的上一代加密协议，TLS 由此演变而来。TLS 1.0 版实际上最初作为 SSL 3.1 版开发，但在发布前更改了名称，以表明它不再与 Netscape 关联。由于这个历史原因，TLS 和 SSL 这两个术语有时会互换使用。,TLS 和 HTTPS 有什么区别？,HTTPS 是在 HTTP 协议基础上实施 TLS 加密，所有网站以及其他部分 web 服务都使用该协议。因此，任何使用 HTTPS 的网站都使用 TLS 加密。,为什么企业和 web 应用程序应该使用 TLS 协议？,TLS 加密可以帮助保护 web 应用程序免受攻击，如数据泄露和 DDoS 攻击等。此外，受 TLS 保护的 HTTPS 正在迅速成为网站的标准实践。例如，Google Chrome 浏览器正在打击非 HTTPS 网站，而且日常的互联网用户也开始更加警惕那些没有 HTTPS 挂锁图标的网站。,TLS 有什么作用？,TLS 协议实现的功能有三个主要组成部分：加密、认证和完整性。,加密：隐藏从第三方传输的数据。,身份验证：确保交换信息的各方是他们所声称的身份。,完整性：验证数据未被伪造或篡改。,TLS 如何工作？,网站或应用程序要使用 TLS，必须在其源服务器上安装 TLS 证书（由于上述命名混淆，该证书也被称为 SSL 证书）。TLS 证书由证书权威机构颁发给拥有域的个人或企业。该证书包含有关域所有者的重要信息以及服务器的公钥，两者对验证服务器身份都很重要。,TLS 连接是通过一个称为 TLS 握手的流程启动的。当用户导航到一个使用 TLS 的网站时，用户设备（也称为客户端设备）和 web 服务器之间开始 TLS 握手。,在 TLS 过程中，用户设备和 web 服务器：,指定将要使用的 TLS 版本（TLS 1.0、1.2、1.3 等）,决定将要使用哪些密码套件（见下文）,使用服务器的 TLS 证书验证服务器的身份,握手完成后，生成会话密钥用于加密两者之间的消息,TLS 握手为每个通信会话建立一个密码套件。密码套件是一组算法，其中指定了一些细节，例如哪些共享加密密钥（即会话密钥）将用于该特定会话。TLS 也能在一个未加密的通道上设置匹配的会话密钥，这要归功于一种称为公钥加密的技术。,握手还处理身份验证，其中通常包括服务器向客户端证明其身份。这是通过使用公钥来完成的。公钥是使用单向加密的加密密钥，即任何拥有公钥的人都可以解读使用服务器私钥加密的数据，以确保其真实性，但只有源发送方才可以使用私钥加密数据。服务器的公钥是其 TLS 证书的一部分。,数据完成加密和验明身份后，使用消息身份验证码（MAC）进行签名。接收方然后可以验证 MAC 来确保数据的完整性。这有点像阿司匹林药瓶上的防篡改铝箔；消费者知道没人篡改过他们的药品，因为购买时铝箔完好无损。,, TLS 如何影响 Web 应用程序性能？,TLS 的最新版本对 web 应用程序的性能几乎没有任何影响。,由于建立 TLS 连接涉及到的复杂过程，因此必须花费一些加载时间和计算能力。在传输任何数据之前，客户端和服务器必须来回通信几次，这将占用 web 应用程序宝贵的几毫秒加载时间，以及客户端和服务器的一些内存。,然而，目前已有技术帮助缓解...

除 Web 应用程序外，无服务器架构还可用于构建移动应用程序。通过采用无服务器后端的混合移动应用程序，开发人员可以结合无服务器计算的优势，发布能够在几乎任何智能手机或平板电脑上像本机应用程序一样运行的应用程序。随着用户群增长，可以便捷地扩展无服务器移动应用程序。,, 什么是混合移动应用程序？,混合移动应用程序和本机移动应用程序就像两辆汽车，它们的外观相同、内饰相同、驾驶方式也大致相同，但引擎盖下的发动机却大不相同。本机应用程序是专门为特定类型的设备和操作系统构建的，其逻辑在设备本身运行。,混合应用程序是使用 HTML、CSS 和 JavaScript 构建的 Web 应用程序，可在“本机包装”中运行，因此它可以在各种设备上像本机移动应用程序一样运行。与常规的 Web 应用程序不同，混合应用程序可以访问特定于平台的功能，包括设备硬件和特定于某种设备类型的推送通知功能。用户可以通过 App Store 或 Google Play 下载这些混合应用程序，并像安装本机应用程序一样予以安装，但由于大多数甚或所有逻辑都托管在云中，下载和安装的次数通常更少。,近年来，由于技术改进消除了性能顾虑，因此混合应用程序变得越来越流行。例如，Uber、Instagram 和 Twitter 都是混合应用程序。与构建本机移动应用程序相反，开发人员有时更喜欢使用混合架构，这样就无需针对不同设备使用多种平台特定的语言来重新构建应用程序。毫不奇怪，构建可在多种设备上运行的应用程序通常可以节省开发和提供持续产品支持的时间。, 采用无服务器后端的移动应用程序如何工作？,使用混合移动应用程序，计算将在云中进行，而不是在设备上进行。应用程序的所有云托管计算过程都可以无服务器进行，就像无服务器的 Web 应用程序一样。无服务器 Web 应用程序和无服务器混合移动应用程序之间的唯一主要区别在于前端的本机包装*。,与无服务器的 Web 应用程序一样，应用程序代码由处理所有后端管理流程的无服务器供应商托管。应用程序分为一些小的部分，称为函数，这些函数不依赖于任何特定的服务器。每个函数都会响应触发事件而运行，并且供应商的基础设施会根据需要启动新的函数实例。例如，如果用户在采用无服务器后端的应用程序中点击“购买”按钮，就会触发一个或一系列后端函数，以启动、记录交易并发起用户所购买商品的交付。,, 构建采用无服务器后端的移动应用程序有什么好处？,无服务器移动应用程序具有与使用无服务器后端构建典型 Web 应用程序相同的优势：, ,除 Web 应用程序外，无服务器架构还可用于构建移动应用程序。通过采用无服务器后端的混合移动应用程序，开发人员可以结合无服务器计算的优势，发布能够在几乎任何智能手机或平板电脑上像本机应用程序一样运行的应用程序。随着用户群增长，可以便捷地扩展无服务器移动应用程序。,,

在过去的几年中，我们看到 Web 应用程序的安全性有了巨大的提高，即使在拥有高级安全软件之后，这种扩展使用的主要原因是 Web 攻击已成为数据泄露的最常见原因。顶级网络安全公司的许多报告都强调了这一点，因此它已成为用户考虑的重要组成部分。在大多数情况下，这些 Web 应用程序攻击使用一些常见的攻击（如 SQL 注入或跨站点脚本）来针对网站和服务器。,,为了防止此类攻击，人们必须寻找强大的 Web 应用程序防火墙来阻止网络黑客利用漏洞。在本文中，我们将了解一些围绕 WAF 的重要术语以及过滤威胁和提高最终用户 Web 安全所需的内容。, 什么是 Web 应用程序防火墙？,Web 应用程序防火墙负责在来自恶意网站的流量到达任何 Web 应用程序之前对其进行过滤。这些防火墙通过阻止SQL 注入和拒绝服务 (DoS) 攻击等针对性攻击来保护 HTTP 应用程序。为了保持安全软件的高标准，OWASP 不断推动为 Web 应用程序编写一个可靠的框架，以使其更能抵抗任何攻击。开源基金会拥有许多资源来帮助开发人员保护他们的 Web 服务器，但不能使用相同的准则构建每个 Web 应用程序。某些服务器必须遵循 IPS、IDS 和其他一些标准协议来保护其网络。,WAF 在防止黑客插入的恶意软件感染方面也有很大帮助。网络犯罪分子通常通过插入虚假链接重定向和偷渡式下载来利用网站。只有 WAF 可以保护 Web 内容和访问者免受此类利用。普通的防火墙无法监控和阻止流量，它只能保护在两个 Web 服务器之间运行的数据。, Web 应用防火墙的演进,在 Internet 的早期，许多 IT 专家坚信没有必要为计算机安装额外的防火墙。令人震惊的是，一些公共杂志甚至曾经鼓励文章标题为“您的计算机是否需要额外的安全防火墙？”。当时，没有人相信防火墙，因为端口系统可以很好地区分不同的流量类型。端口的概念基于过滤传入的数据包并执行 Web 浏览器发送的必要操作。,这些概念和传统的防火墙技术完美地支撑了堡垒长达十年。尽管如此，当公司开始通过在线运营成为主流时，对于大多数用户群来说，它立即变得不足。现代公司通过快速的应用程序开发和软件风靡全球。这对最终用户来说效果不佳，因为它比黑客简单地扫描端口造成了更多的漏洞。这些应用程序充满了人们无法轻易理解和修复的错误和错误。结果，犯罪分子开始利用每一个漏洞为自己谋利。,这就是 WAF 诞生的时候。在 WAF 开发的初始阶段，公司使用内部服务器来安装软件以从字面上消除数以千计的攻击。随着软件和防火墙的成熟，基于云的服务公司购买了一个订阅计划来消除所有网络威胁。在很短的时间内，每个大小 IT 公司都开始采用 Web 应用程序防火墙，因为它不仅仅是比较端口号和 IP 地址。, WAF 是如何工作的？,Web 应用程序防火墙可以设计用于软件、硬件设备或两者。WAF 接管 Web 应用程序的控制权并拒绝来自恶意站点的所有请求。WAF 与后端网络一起部署以防止 Web 服务器和用户数据，它们通常遵循称为反向代理的常见配置。在这种方法中，存在于客户端和后端网络之间的中间人或中间人是 WAF。因此，当客户端请求后端网络时，它必须首先通过 Web 应用程序防火墙。,WAF 接管对客户端请求以及传出服务器响应的控制。当这种情况发生在两个方向时，软件可以识别违反安全策略的流量。使用消极或积极的安全模型来阻止流量或过滤恶意站点。,在消极安全模型的情况下，防火墙预设了某些规则以跨服务器发送请求。大多数传统防火墙遵循否定模型，因为它们过去允许几乎所有传入请求都遵循一些预定义的安全规则。它在那些日子里可能奏效，但在当今技术为先的世界中，这种安全模型无法为用户提供全面保护。负面模型有很多黑客可以利用的漏洞，IT部门面临的一些主要问题是：,当我们谈论积极的安全模型时，我们需要了解它只是请求通过消极安全规则后的另一道防线。一旦 Web 请求遵循负面安全规则，它们将再次受到审查并与用户请求进行比较。如果在扫描过程中发现任何异常情况，防火墙会阻止流量。除了这两种模型之外，还有另一种连接到下一代 Web 应用程序防火墙的高级方法。它们遵循一种独特的方法来过滤流量，但它们也可以实现混合模型。, Web 应用程序防火墙的类型,随着技术的进步，人们得到了更好的工具和软件来构建应用程序。因此，选择正确的 WAF 以完美弥合应用程序界面和 Web 服务器之间的差距非常重要。现在，从各种各样的选项中进行选择的问题是您需要了解每个选项的优缺点。为了帮助您选择正确的 WAF 类型，我们列出了三个选项，涵盖了市场上几乎所有的安全防火墙。, 基于硬件的 Web 应用防火墙,通过硬件设备使用的 WAF 主要旨在为每天有数千访问者的组织提供服务。拥有硬件设备可提高客户端效率，并以高速和高性能照顾庞大的用户群。这种类型的Web应用防火墙需要安装在局域网内，这就是它每天可以高速运行的原因。与其他费用相比，硬件安装和定期维护成本要高得多，但对于规模庞大的企业来说，这些成本很容易负担得起。最著名的基于硬件的 WAF 之一是 WAPPLES，它带有负载均衡器并遵循基于规则的检测算法来提高交付速度和应用程序性能。, 基于软件的 Web 应用防火墙,这里的安装过程是虚拟完成的，而不是使用物理机。与硬件WAF不同的只是安装；其余组件具有相同的功能。使用基于软件的 WAF 的最终用户也需要拥有他们的虚拟机管理程序。简单来说，软件WAF就像通过得来速吃汉堡，而硬件WAF就像在店里吃汉堡。这种类型的 WAF 最好的部分是它为组织提供的灵活性。员工可以通过云连接并访问应用服务器。尽管可以在云系统上部署软件 WAF，但当虚拟机执行过滤过程时，它确实会遇到高延迟数字。, 下一代/基于云的 WAF,任何拥有基于云的系统的组织都不会受到任何限制，因为这种防火墙安全模型不需要额外的维护和物理存储成本。下一代应用防火墙也不需要管理员不断监控系统的差异。通过云集成，WAF 软件以最低订阅成本作为服务提供。一个很好的例子是 Cloudbric，这是一种 SECaaS 产品，提供DDoS保护和CDN等服务的组合。, WAF 解决方案的必备功能是什么？,WAF 需要某些功能来提高速度和整体性能，因此优先考虑功能集以完成 WAF 解决方案至关重要。我们列出了一些必须具备的功能，可以考虑扩展正常的 WAF 功能，因此请务必阅读每个功能并将它们与您的要求保持一致。, OWASP 十大威胁的解决方案,OWASP是收集有关 Web 服务器攻击的重要信息的基础，正如我们在前面的部分中已经提到的。社区成员包括行业专家和其他开发人员，他们寻找解决方案来减轻不安全的直接对象引用和缺少功能级访问控制等攻击。在他们的官网上有更多关于这些攻击的信息，所以每个WAF解决方案都必须涵盖OWASP提供的十大安全威胁。, PCI DSS...

Tomcat 增加堆内存的方法,在运行 Java Web 应用程序时，我们常常会遇到 OutOfMemoryError 错误，这通常是由于 Java 虚拟机（JVM）的堆内存不足导致的，为了解决这个问题，我们需要对 Tomcat 服务器进行配置，以增加其堆内存，本文将介绍如何为 Tomcat 服务器增加堆内存。, ,1、了解 JVM 参数,在配置 Tomcat 服务器的堆内存之前，我们需要了解一些 JVM 参数，JVM 提供了两个参数来设置堆内存的大小：-Xms 和 -Xmx。,-Xms：设置 JVM 初始堆内存大小。-Xms512m 表示初始堆内存为 512MB。,-Xmx：设置 JVM 最大堆内存大小。-Xmx1024m 表示最大堆内存为 1024MB。,通常情况下，我们会将 -Xms 和 -Xmx 设置为相同的值，以避免 JVM 在运行过程中动态调整堆内存大小，从而影响性能。,2、修改 Tomcat 配置文件,要为 Tomcat 服务器增加堆内存，我们需要修改其配置文件，具体操作如下：,1、找到 Tomcat 的安装目录，进入 bin 文件夹。,2、找到 catalina.bat（Windows 系统）或 catalina.sh（Linux 系统）文件，用文本编辑器打开。,3、在文件中添加以下内容：, ,这里我们将初始堆内存设置为 512MB，最大堆内存设置为 1024MB，你可以根据实际需求调整这两个值。,4、保存文件并关闭。,3、重启 Tomcat 服务器,完成上述配置后，我们需要重启 Tomcat 服务器以使配置生效，具体操作如下：,1、打开命令行窗口。,2、进入 Tomcat 的 bin 文件夹。,3、执行以下命令：,Windows 系统：执行 catalina.bat stop 停止 Tomcat 服务器，然后执行 catalina.bat start 启动 Tomcat 服务器。,Linux 系统：执行 ./catalina.sh stop 停止 Tomcat 服务器，然后执行 ./catalina.sh start 启动 Tomcat 服务器。,至此，我们已经成功为 Tomcat 服务器增加了堆内存，现在，Tomcat 服务器应该能够更好地处理内存密集型的 Web 应用程序了。, ,相关问题与解答,Q1: 如果我想在启动 Tomcat 服务器时查看 JVM 的堆内存使用情况，应该怎么做？,A1: 你可以在启动 Tomcat 服务器时添加 -verbose:gc 参数，以查看 JVM 的垃圾回收情况，在 catalina.bat 或 catalina.sh 文件中添加以下内容：,Q2: 我能否在 Tomcat 运行时动态调整堆内存大小？,A2: 不可以，一旦 JVM 启动，堆内存大小就固定了，无法在运行时动态调整，如果需要调整堆内存大小，你需要停止 Tomcat 服务器，修改配置文件，然后重新启动服务器。,Q3: 如果我设置了较大的堆内存，但仍然遇到 OutOfMemoryError 错误，该怎么办？,A3: 如果你已经设置了较大的堆内存，但仍然遇到 OutOfMemoryError 错误，那么可能是由于其他原因导致的，例如内存泄漏、代码逻辑问题等，此时，你需要使用 Java 内存分析工具（如...

高防 CDN（高防御内容分发网络）具有多种防御特点，旨在保护网站免受各种网络攻击。以下是一些常见的高防 CDN 的防御特点： DDoS 防护: 高防 CDN 提供强大的 DDoS（分布式拒绝服务）攻击防护能力。它们能够检测并过滤掉大量的恶意流量，以确保网站的服务不会因为攻击而中断。 网络层防御: 高防 CDN 在网络层面实施防御，利用智能算法识别异常的网络流量，并采取措施进行阻止或过滤。这种防御能力通常涵盖 SYN 攻击、UDP 放大攻击、ICMP 放大攻击等多种攻击类型。 应用层防御: 除了网络层防御外，高防 CDN 还提供应用层防御，以防范针对 Web 应用程序的攻击。这包括识别和阻止 SQL 注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等常见攻击类型。 负载均衡: 高防 CDN 通常会在分发网络中使用负载均衡技术，以确保流量能够平均地分配到多个服务器上，从而有效地分散攻击流量并保持服务的可用性。 全球覆盖: 高防 CDN 在全球范围内部署了多个节点，使得它们能够在地理位置上分散网站的流量，并且能够更快地响应攻击，降低攻击对网站的影响。 实时监控和响应: 高防 CDN 提供实时监控功能，能够迅速识别和响应潜在的安全威胁。这使得它们能够快速采取行动，减轻攻击对网站的影响。 安全日志记录: 高防 CDN 通常记录并存储有关网络流量和安全事件的详细日志。这些日志对于安全分析和调查非常有用，并可以帮助识别潜在的攻击威胁。 综上所述，高防 CDN 通过在多个层面提供防御特点，包括网络层和应用层的防御、负载均衡和全球覆盖等，来保护网站免受各种网络攻击的影响。

在保护 Web 应用程序免受不断上升的网络攻击趋势方面，网络罪犯和黑客在网站安全领域做出了一些最显着的创新。Web 应用程序防火墙的演变可以作为一个独特的例子来说明如何开发新技术以应对网络罪犯不断增长的技术能力。,, 需要先进的防御机制,简单看一下最近的网络攻击就足以了解新一代黑客越来越多地以Web 服务器和网站以外的 Web 应用程序为目标。DDoS 和 SQL 注入事件的频率和强度与跨站点脚本一起以惊人的速度增长，因此需要立即进行安全安排以确保防御。,有两种主要方法可以保护服务器和应用程序免受新时代的网络攻击，这可能包括通过构建具有特殊功能的应用程序或实施高级防火墙安全来提高对攻击的抵抗力，以保护服务器和应用程序免受 XSS、DDoS 和 SQL 注入攻击。其他。,您会同意，考虑到大多数常用应用程序最初并未针对 SQL 注入或 XSS 事件开发安全性这一事实，因此不能期望第二种方法能够保证整个应用程序范围的安全性。多个应用程序可能成为会话劫持的受害者，因此需要具有高级防御功能的独特防火墙解决方案，例如 Web 应用程序防火墙。,与只能分析数据包标头的传统防火墙不同，Web 应用程序防火墙能够分析数据包的内容。有趣的是，WAF 可以构建为包括硬件和软件，尽管一些 WAF 就像它们的遗留对应物一样是面向软件或硬件的。无论是哪种情况，Web 应用程序防火墙在分析通过 HTTPS 和 HTTP 接收的请求（包括 GET 和 POST 请求）后应用配置的防火墙规则。,这种独特的操作模式有助于 Web 应用程序防火墙识别和阻止恶意访问者的流量，而这些流量肯定会被标准安全解决方案忽略。由于一些安全法规涉及应用程序的网络安全，因此 WAF 必须与 SIEM 解决方案集成。主动和正确实施 WAF 可以防止所有类型的恶意网络流量侵入服务器，同时帮助您的企业遵守联邦安全法规，包括 HIPAA 和 PCI-DSS 等。这可以为安全管理员提供增强的监控功能，以确保 Web 服务器的安全。,一些 Web 应用程序防火墙被编程为通过启动 CAPTCHA 测试来要求访问者提供真实性证明，以防止机器人进入 Web 应用程序的安全区域。,, WAF的配置基础,存在三种重要的 WAF 配置模型，它们在针对应用程序或 Web 服务器的给定上下文的功效方面各不相同。,WAF 可以配置为接受请求，例如 HTTP GET，如果 Web 应用程序防火墙是按照白名单模型配置的，则只能来自特定地址。每当用户需要防火墙提供一个极宽的网络来防止大量的网络攻击时，这种模式就是最好的选择。但是，有一个问题，因为宽广的网络也会阻止真实流量到达您的站点。这将白名单 Web 应用程序防火墙的使用限制在有限的基础架构中，其中可能包括企业内部环境中的少数用户或员工。,如果应用程序或商业网站在互联网的公共生态系统中运行，那是无数网络犯罪和数据黑客的发源地，那么 Web 应用程序防火墙应该配置为黑名单模型。在这样的环境中，很可能有来自不明来源的传入流量可能是真实的。在黑名单WAF模型中，有一个条款可以利用预设的签名来阻止明显的恶意流量，以防止黑客利用应用程序和网站的漏洞进行操作。当 Web 应用程序防火墙配置为黑名单模型时，它将有效地阻止从多个专用 IP发送大量请求的尝试 地址以防止可能的或即将发生的DDoS 攻击。,Web 应用程序防火墙的第三种也是最受欢迎的配置模型称为混合安全 WAF 配置模型。它集成了黑名单和白名单配置的重要属性，通过考虑每个可能的配置场景来提供更广泛的安全性。除了公共互联网基础设施之外，这种类型的 WAF 配置在企业内部网络中也得到越来越多的认可。, 带走,网络犯罪分子和黑客专注于网站和应用程序是一种公认​​的肥肉。随着越来越多的应用程序和商业网站被初创企业推出，挑战网站安全性的趋势将继续存在并受到关注。在不偏离 Web 应用程序开发过程中必须遵守的最佳实践的情况下，必须培养保护各种设备和软件应用程序的能力。, ,在保护 Web 应用程序免受不断上升的网络攻击趋势方面，网络罪犯和黑客在网站安全领域做出了一些最显着的创新。Web 应用程序防火墙的演变可以作为一个独特的例子来说明如何开发新技术以应对网络罪犯不断增长的技术能力。,您会同意，考虑到大多数常用应用程序最初并未针对 SQL 注入或 XSS 事件开发安全性这一事实，因此不能期望第二种方法能够保证整个应用程序范围的安全性。多个应用程序可能成为会话劫持的受害者，因此需要具有高级防御功能的独特防火墙解决方案，例如 Web 应用程序防火墙。,

网站遭受了数百万次网络攻击，如果没有坚如磐石的防御措施，这些网站可能会遭受重大伤亡。得益于易于使用的自动化黑客工具，黑客获得了高级功能。无线应用程序防火墙在所有旨在防止可能源自熟悉或未识别的应用程序威胁源的基于 Web 的攻击的技术中占有重要地位。,, WAF的出现,传统上，防火墙已被证明可以有效防御具有犯罪意图的入侵者，而且很自然地，这些防火墙已经经历了演变，以适应以高级技能和惊人速度执行的不断增长的威胁。传统防火墙无法阻止的威胁带来的真正风险是它们可能会影响应用程序本身，因为这些威胁使用 HTTP 和其他授权协议执行攻击。这些攻击者可以直接访问系统以窃取敏感数据。Web 应用程序防火墙应运而生，以有效阻止现代网络威胁，因为传统防火墙无法提供可靠的保护。与不同成本提供的收益程度相关的 WAF 有多个迭代。, 不同的实现方法,Web 应用程序防火墙的最基本实现被称为基于网络的 WAF，它本质上是一种硬件密集型防火墙技术。面向网络的 WAF 的另一个特点是它的本地实现，这两个特点可以归因于它的优点和缺点。除了减少负面性能带来的影响之外，用户还可以通过其本地特性实现显着的延迟缓解。基于网络的 WAF 的主要缺点是高昂的前期成本以及昂贵的运维成本。,网络团队通常负责管理基于网络的 Web 应用程序防火墙。知名供应商通过复制设置和规则帮助用户实现大规模配置或部署。集中式配置和签名进一步简化了保护多个应用程序的过程，同时大大减少了工作量和支出。,,Web 应用程序防火墙可以完全集成在应用程序代码中或安装在托管平台上，以创建基于应用程序的 WAF，以增强可定制性并提高性能。由于没有任何硬件设备，这种类型的 WAF 也更加经济。基于应用程序的 WAF 最显着的缺点是它在大型组织设置中相对缺乏可扩展性。,由于基于应用程序的 WAF 驻留在本地，因此它们的管理可能会非常繁重，因为这些 WAF 旨在集成到应用程序中。这意味着除了在兼容的环境中无缝访问多个本地资源（例如计算能力、RAM 和磁盘空间）之外，还需要本地库。您还应该注意，这些 WAF 完全是作为软件程序构建的，这需要在整个安装和未来管理过程中安全和服务器管理团队的积极参与。,您将必须部署基于云的 Web 应用程序防火墙，并获得云托管服务提供商的百分百支持，他们还将研究这些防火墙的管理方面。通过 Web 界面提供对基于云的 WAF 的访问，客户需要让他们的管理和安全团队参与其配置。这些团队将被允许调整设置，以根据不同的网络威胁定义 WAF 的响应。这些威胁可能涵盖一些最危险的攻击，包括 SQL 注入和最可怕的 DDoS 攻击。不用说，您的安全和管理团队也将有权根据需要关闭特定的规则集。, WAF 的惊人功能,了解了各种类型的 Web 应用程序防火墙后，我们现在可以关注这些现代安全工具的一些最有趣的属性。如果您认为高级 WAF 只能阻止不受欢迎或有潜在危险的流量，那您就错了。一些高级 WAF 的过滤工具不仅能够阻止不良访问者的进入，而且这些防火墙还可以吸引良好的访问者访问您的站点。,,防火墙过滤器充当噪音抑制器，以提高站点的可见性，从而提高网站的排名。这得到了使用内容交付网络的进一步支持，以促进潜在和良好的访问者轻松找到并访问您的网站。CDN 和 WAF 的结合被发现是一种协同作用，它使合格的客户能够访问并浏览您的网站以获得更大的货币化。,Web 应用程序防火墙同样负责阻止坏人访问您的站点，以便您的 Web 存在增长而无需担心网络威胁。如果您有兴趣为您的站点提供能够吸引良好流量的强化安全配置文件，则有多个服务提供商可供选择。, ,网站遭受了数百万次网络攻击，如果没有坚如磐石的防御措施，这些网站可能会遭受重大伤亡。得益于易于使用的自动化黑客工具，黑客获得了高级功能。无线应用程序防火墙在所有旨在防止可能源自熟悉或未识别的应用程序威胁源的基于 Web 的攻击的技术中占有重要地位。,Web 应用程序防火墙的最基本实现被称为基于网络的 WAF，它本质上是一种硬件密集型防火墙技术。面向网络的 WAF 的另一个特点是它的本地实现，这两个特点可以归因于它的优点和缺点。除了减少负面性能带来的影响之外，用户还可以通过其本地特性实现显着的延迟缓解。基于网络的 WAF 的主要缺点是高昂的前期成本以及昂贵的运维成本。,

任何技术发展的有趣方面是它涵盖并影响所有类型的用户，包括合格的受益人以及具有犯罪心态的人。互联网技术可以成为这方面的一个理想例子，因为除了遍布全球的大量网站所有者之外，它还帮助网络犯罪分子。,, WAF的演变,传统上，防火墙提供了针对网络攻击的可靠保护。然而，随着技术的发展，黑客获得了最先进的黑客工具和突破传统防火墙的惊人能力。大多数现代网络黑客在其初始外观（例如真实的注册请求等）方面都具有欺骗性。,由于这些请求被认为是正常的，因此传统防火墙允许进一步处理。一旦进入，这只是网络罪犯提出的从您的站点窃取敏感信息的特殊请求的问题。,Web 应用程序防火墙的发展是为了响应现代黑客获得的技术实力。WAF 是一种专门开发的防御措施，通过监控网络流量来保护关键任务数据，以防止可疑入侵者进入您的网络企业的密室。,Web 应用程序防火墙通过减少您的应用程序不必要地暴露于邪恶的网络攻击力量（例如 DDoS、SQL 注入和许多其他类型的恶意软件攻击）来防止这种情况发生。, 专为更高的安全性而设计,Web 应用程序防火墙远优于传统防火墙，因为它们旨在为具有附加安全层的应用程序提供保护。与标准防火墙不同，WAF 不需要一次又一次地重写规则，因此保证了操作的简便性。,每次识别出新的威胁或入侵时，Web 应用程序防火墙都可以使用相关的攻击签名进行更新。这将确保 WAF 了解需要处理的新流量模式。WAF 旨在比其传统版本更智能地运行。,, 高级保护,Web 应用程序防火墙通过保护应用程序而不是服务器免受网络攻击，在更深层次上工作。这保证了根据单个应用程序更好地定制防御措施，从而更好地防止欺骗攻击、数据泄漏和任何其他可能旨在破坏数据完整性的攻击。传统上，防火墙是一种通用的解决方案，几乎没有任何定制空间。,Web 应用程序防火墙可以有效阻止的恶意攻击列表令人印象深刻，其中包括最令人恐惧的变体，例如 DDoS 或跨站点脚本。如果您运行的是电子商务网站，那么 WAF 还可以保护您的特定应用程序资源，包括 WordPress 和其他关键任务应用程序。,除了提供出色的可定制性之外，WAF 在设计上也非常灵活，从而允许用户更改设置，这些设置可以进一步自动化以快速响应以阻止来自相同来源的类似性质和配置文件的攻击。随着 WAF 的成熟，对手动干预的需求逐渐减少。当然，在受 WAF 保护的环境中，您始终可以决定应允许或阻止哪种类型的 Web 流量。,WAF 还因其自动保护应用程序免受各种威胁的能力而受到高度追捧，从而提供了强大的规则集支持的广泛定制范围。WAF环境七层安全，无缝保障抵御DDoS攻击。, 杜绝数据泄露,黑客采用了多种方法来通过闯入看似坚不可摧的防御来收集数据。据发现，错误消息的一个小问题可能是数据黑客具有破坏性潜力的迹象。每种类型的数据泄漏都可能像滚雪球一样演变成一场全面的灾难，尤其是在为存储有关在线交易的关键信息而构建的电子商务基础设施的情况下。,WAF 通过严格扫描每个访问者在访问您的 Web 应用程序时发出的请求来阻止数据泄漏。一些著名的 Web 应用程序防火墙旨在使用内置数据或信用卡详细信息或社会保险的记录以及其他作为可疑行为签名的用户凭证。WAF 用户始终可以通过添加特定代码或信息来修改此数据。,, 综上所述,如果您经营的是旨在收集用户个人详细信息的电子商务业务或应用程序，那么您应该为您的客户提供一个安全的环境，以保证无缝保护他们的凭据。如果不这样做，不仅会危及您的业务，还会破坏其声誉。,每个在线企业都必须采用 Web 应用程序防火墙的安全性，以确保重要数据的完整性永远不会受到损害。与将您的业务和声誉暴露给街头聪明的黑客相比，获得 WAF 保护肯定是值得的。, ,任何技术发展的有趣方面是它涵盖并影响所有类型的用户，包括合格的受益人以及具有犯罪心态的人。互联网技术可以成为这方面的一个理想例子，因为除了遍布全球的大量网站所有者之外，它还帮助网络犯罪分子。,Web 应用程序防火墙的发展是为了响应现代黑客获得的技术实力。WAF 是一种专门开发的防御措施，通过监控网络流量来保护关键任务数据，以防止可疑入侵者进入您的网络企业的密室。,

WAAP（Web 应用程序和 API 保护）是 Gartner 创造的一个术语，用于描述基于云的服务，这些服务可作为抵御网络犯罪分子、DDoS 攻击、恶意机器人和其他新兴网络威胁的安全屏障。鉴于网络犯罪率不断上升，保护易受攻击的 Web 应用程序和 API 的需求变得不可或缺。在本文中，我们将深入研究“WAAP”以及它如何保护 Web 应用程序和 API。,,Web 应用程序是用户可以通过 Web 浏览器访问的程序。这些应用程序是任何组织的网络存在的一部分。API 或应用程序编程接口支持对这些 Web 应用程序的编程访问。,WAAP 或Web 应用程序和 API 保护是专为保护 API 和 Web 应用程序而设计的专用安全解决方案。它比任何传统的防火墙或安全解决方案都更有效、更强大。WAAP 位于网络的外围，监控流量并过滤对 Web 应用程序和 API 发出的请求。通常通过云提供，Web 应用程序和 API 保护解决方案提供多层、全面和高度可扩展的保护。, 它是下一代 WAF,它监视并保护 Web 应用程序免受不同类型的恶意攻击，即使它们是加密的并且来自合法流量。, 允许好的机器人访问应用程序,定位并阻止来自恶意 bot 的攻击，并允许好的 bot 访问Web 应用程序和 API。, 完整的 DDoS 防护,DDoS 攻击（拒绝分发服务攻击）发生在应用程序层和网络级别的 API、微服务和应用程序。WAAP 解决方案针对各种复杂程度的 DDoS 攻击提供持续有效的保护。,, RASP 或运行时应用程序自我保护,由于 WAAP 内置于应用程序的运行时环境中，因此它提供了实时保护。, 防止任何恶意行为,它可以防止在 Web 应用程序层出现任何可能对 API 和网站产生不利影响的滥用行为。API 和 Web 应用程序都可以通过公共 Internet 连接轻松访问。因此，敏感数据很容易访问，这就是网络犯罪迅速上升的原因。传统使用的方法（如防火墙）不足以保护敏感应用程序，因此 WAAP 是必须的。, 基于签名的攻击检测不再有效,网络犯罪分子找到了攻击 Web 应用程序的新方法，因此使用基于签名的检测解决方案（如恶意软件拦截器和API 的传统 WAF）来保护这些应用程序不再有效。WAAP 是针对任何类型的网络威胁提供全面保护的可靠方法。, 防火墙无法保护来自合法流量的威胁,传统上使用的防火墙根据端口和协议过滤互联网流量。但是，如果攻击者使用与用户相同的协议或端口（如 HTTP (s)），则无法通过防火墙保护恶意活动。为此，需要一个更专门设计的系统，如 WAAP，它也可以控制来自合法流量的攻击。, IDS 和 IPS 安全不足以保护 Web 应用程序,网络攻击者隐藏他们的恶意内容。传统入侵检测和防御系统或 IPS 和 IDS 提供的那种安全检查不足以保护对 API 和 Web 应用程序的威胁。,, TLS 加密无法检测到恶意软件,今天的大部分互联网流量都使用 TLS（传输层安全）加密，这种加密对隐私很有效，但无法检测到恶意软件。另一方面，WAAP 解决方案可以分析 TLS 连接，因此它可以定位来自加密流量的恶意内容。, 结论：选择正确的 WAAP,WAAP 是抵御日益复杂和致命的网络攻击媒介的可靠方法。不仅如此，WAAP 还提供全面的帐户接管保护并防止未经授权访问客户的帐户。鉴于这些解决方案已成为企业和个人保护其 Web 应用程序和 API 的必需品，您现在需要选择 WAAP 解决方案！,选择正确的 WAAP 解决方案的必要因素是：, ,WAAP（Web 应用程序和 API 保护）是 Gartner 创造的一个术语，用于描述基于云的服务，这些服务可作为抵御网络犯罪分子、DDoS 攻击、恶意机器人和其他新兴网络威胁的安全屏障。鉴于网络犯罪率不断上升，保护易受攻击的...

根据最新数据，近 40% 的网络流量是机器人流量，而在这些机器人流量中，60% 是不良机器人。恶意机器人被广泛用于恶意目的，例如撞库、DDoS 攻击、数据盗窃、价格抓取和未经授权的爬网等，这给企业带来了沉重的成本。,,随着复杂性和杀伤力的不断提高，机器人成为在线欺诈/网络犯罪武器库的重要补充。并且防止 bot 攻击是加强 Web 应用程序安全性的必要条件。本文将提供对机器人攻击及其预防的更深入了解。,机器人是经过编程的自动化脚本，可在互联网上以最少的人工干预/监督运行特定的自动化任务，通常是简单的任务。与人类高管相比，在完成重复性例行任务方面更高的速度、敏捷性、准确性和性能使得机器人为各种合法目的而受到企业追捧。由于这些好处，他们是网络犯罪分子和其他不良行为者，从事各种恶意活动。,Web 应用程序受到不同类型的机器人以不同方式的攻击。, 内容抓取：原始内容是从信誉良好的网站上抓取并在未经许可的情况下发布到其他地方，以损害 SEO 排名。, 价格刮：价格数据被抓取并用于非法的、有竞争力的价格监控，以及跟踪其他与定价相关的情报。, 接触刮擦：纯文本的电子邮件地址和其他联系信息是从合法网站上抓取的。抓取的联系信息可用于形成大量邮件列表，用于发送垃圾邮件、协调数据泄露、robocalls 和社会工程等。,使用自动化，可以将抓取的电子邮件地址与用于凭据填充的常用密码配对，或者可以使用暴力密码破解工具破解其登录凭据以进行凭据破解。因此，攻击者成功地获得了对帐户的未经授权的访问权限或执行了帐户接管。,,由网络攻击者制作的互联网应用程序，用于将垃圾邮件传播到互联网上的目标。,除了直接影响最终用户和组织外，垃圾邮件程序还被用来耗尽服务器带宽并增加 ISP 成本。,攻击者使用黄牛/票务机器人囤积流行活动或其他流行、高价值、供应有限的商品/服务的门票，以高价转售（在许多国家是非法的）。剥削威胁会导致收入损失、业务声誉受损以及合法用户被剥削。,众多受恶意软件感染（特洛伊木马病毒）的计算机和联网设备（如物联网设备、智能设备等）的集合通常分布在全球各地，并由攻击者/恶意行为者控制，称为僵尸网络或僵尸网络。僵尸网络可能包括数千个受感染的设备。,攻击者利用僵尸网络通过虚假请求淹没网站，耗尽其资源，并导致停机/通过 DDoS 攻击使其对合法用户不可用。众所周知，DDoS 攻击通常用作其他非法/恶意目的的烟幕，对小企业造成 120,000 美元的损失（财务和声誉），对大公司造成 2+ 百万美元的损失。,,考虑到大量机器人及其攻击网站的方式， 没有一种万能的机器人预防解决方案。以下是一些提高Web 应用程序安全性的建议。,智能、全面、可管理的 WAF 对于有效防御包括 DDoS 攻击在内的 bot 攻击是必不可少的。速率限制、基于全局历史数据的行为分析、检测伪装成真正机器人的恶意机器人的智能、阻止源自单个 IP 地址的流量和误报管理是在WAF中寻找的必要特征。,结合使用分析工具和人类专业知识对机器人流量进行识别和分类是必要的。一旦识别和分类，必须定义复杂的机器人管理规则，并由安全专家以外科手术的准确性不断调整，以确保有效防御机器人。,基于挑战的方法可以有效地检查用户是人类还是机器人。通过在登录、评论和表单中添加验证码，可以防止恶意机器人访问网站资源/敏感信息。尽可能使用特定于应用程序的工作流规则来区分机器人和真实用户。工作流规则查看完整交易的属性，例如，在电子商务应用程序中（流程类似于 – 选择要购买的商品并将它们放入结账购物车，然后结账，然后付款）。将速率控制规则视为将整个工作流程视为单个阈值限制之上的一个单元，以在每个页面/事务上触发警报。使用直观的自动化 Web 扫描工具，可以主动识别网站中增加机器人攻击风险的恶意软件、垃圾邮件和漏洞。,鉴于 bot 是网络犯罪武器库中的有力工具，并且用于出于各种目的攻击 Web 应用程序，因此没有一种最好的解决方案来防止它。像AppTrana这样的综合性 Web 应用程序安全解决方案将技术的力量与经过认证的安全专家的专业知识相结合，对于加强保护是必要的。, ,根据最新数据，近 40% 的网络流量是机器人流量，而在这些机器人流量中，60% 是不良机器人。恶意机器人被广泛用于恶意目的，例如撞库、DDoS 攻击、数据盗窃、价格抓取和未经授权的爬网等，这给企业带来了沉重的成本。, 内容抓取：原始内容是从信誉良好的网站上抓取并在未经许可的情况下发布到其他地方，以损害 SEO 排名。,