标签：Web 应用程序 第2页

安全专家预计，到 2025 年，全球网络犯罪成本将达到每年 10.5 万亿美元。仅在美国，数据泄露的平均成本就已经超过 900 万美元，这让企业主感到焦虑。虽然云采用解决了扩展、定制以及基础设施维护和交付问题，但保护 Web 资产是在线业务的主要关注点。这是保护您的业务、客户和交易免受黑客攻击的指南。,, 7个网站安全清单, 1.扫描网站的弱点,Gartner Group 估计超过 70% 的违规行为发生在应用层。Web 应用程序服务于众多客户和客户。显然，黑客在瞄准应用程序以破坏关键业务流程方面有更高的动机。自动Web 应用程序扫描是查找黑客可能针对的网站安全漏洞的最有效方法。这是保护商业网站的第一步。,AppTrana 基本扫描（永久免费）：提供每两周一次的安全扫描，以查找OWASP 前 10 名和 SANS 前 25 名漏洞。您最多可以扫描网站的 250 个页面，并接收有关 XSS、SQL 注入等安全问题的详细报告。, 2.保持软件更新,这是显而易见的，但却被忽视了。软件补丁在保护您的网站免受黑客攻击方面发挥着至关重要的作用。这适用于您存储桶中的所有内容，包括服务器操作系统、CMS 和公司使用的其他软件。当在第三方应用程序中发现网站安全漏洞时，黑客会针对所有使用该软件易受攻击版本的网站。,许多开发人员以交付期限为由推迟更新。大规模的“WannaCrypt”勒索软件攻击是攻击至少 150 个国家的计算机瘫痪并造成价值 40 亿美元损失的一个例子。, 3.验证用户数据,允许用户向您的服务器发送或上传任何内容是一个巨大的安全漏洞。从业务的角度来看，交互界面是高效的，但风险很高。即使是用户名字段中的简单未清理字符串或图像部分中的文件上传也可能导致服务器停机。,,您需要非常怀疑地对待所有用户输入，并确保只接受预定的输入格式。确保您的防火墙阻止了各种可执行文件和其他用户输入。此外，完全禁止对服务器的物理访问。, 4.定期进行渗透测试,业务应用程序很复杂。后端/前端服务器和 API 中有几个变量设置是您的业务独有的。自动扫描工具有其局限性，特别是如果您的应用程序建立在不同的逻辑之上。,手动渗透测试或道德黑客攻击复制了黑客所做的所有尝试。他们花费数小时寻找会损害应用程序功能的弱点，并向开发人员提出修复建议。, 5.使用HTTPS,安全的 HTTP 连接可防止黑客侵入您的网站与用户之间的通信。使用非 HTTPS 通信，攻击者可以诱骗用户提供敏感信息或向服务器发送恶意软件/可执行代码。如果您的业务应用程序处理支付信息等敏感数据，您将不得不投资购买高质量的SSL 证书，以强制所有网站的加密协议与浏览器通信。,, 6.部署 Web 应用程序防火墙 (WAF),根据 Web 应用安全统计报告，平均 146 天修复关键漏洞。这是黑客尝试不同攻击方法的五个月。更改它以保护您的网站。Web应用程序防火墙 (WAF) 旨在虚拟修补应用程序弱点（OWASP Top 10 和 SANS 25），同时监控和过滤流量。也称为第 7 层防火墙，它可以阻止利用跨站点伪造、跨站点脚本 (XSS)、文件包含和 SQL 注入的攻击，而无需更改应用程序的开发/代码。,AppTrana WAF（14 天试用）：现代 Web 应用程序防火墙提供与扫描同步的托管安全性。AppTrana修补漏洞以阻止和监控攻击。它是一种智能防火墙，可以从频繁的攻击模式中学习并立即接受自定义阻止或记录规则。, 7.监控流量激增,分布式拒绝服务 (DDoS) 攻击使用 多个受损系统或其他网络资源来压倒在线服务，使其不可用。任何网站都可能受到 DDoS 攻击。监控虚假流量激增并在损坏之前阻止机器人是管理 DDoS 攻击的唯一方法。建议定期验证您的网络和应用程序的安全性能。, 使用此网站安全清单确保网站安全, ,安全专家预计，到 2025 年，全球网络犯罪成本将达到每年 10.5 万亿美元。仅在美国，数据泄露的平均成本就已经超过 900 万美元，这让企业主感到焦虑。虽然云采用解决了扩展、定制以及基础设施维护和交付问题，但保护 Web 资产是在线业务的主要关注点。这是保护您的业务、客户和交易免受黑客攻击的指南。,AppTrana 基本扫描（永久免费）：提供每两周一次的安全扫描，以查找OWASP 前 10 名和 SANS 前 25 名漏洞。您最多可以扫描网站的 250 个页面，并接收有关 XSS、SQL 注入等安全问题的详细报告。,

正如来自全球的数据所充分强调的那样，网站保护是企业生存和发展的核心。例如，43% 的数据泄露受害者是小型企业，其中 69% 被迫在攻击后 6 个月内关闭。尽管越来越多的企业主对网站保护表示担忧，但仍有许多人认为他们的网站在某种程度上可以抵御这些恶意攻击，或者简单的漏洞扫描程序就足够安全了。这种对 Web 应用程序安全性的懒散方法，加上攻击的杀伤力和复杂程度不断提高，导致攻击的数量不断增加。,,网络攻击造成的损失是巨大的——平均为 392 万美元。网站保护的简单而有效的步骤（将在本文中讨论）可以极大地加强Web 应用程序的安全性，并为企业节省这些巨额成本。, 保护您的网站免受攻击的 9 种方法, 1. 稳健且不断发展的安全策略,全面、主动和深思熟虑的网络安全战略是加强网络安全的重要起点。鉴于威胁形势正在快速发展，经常发现新漏洞并且网站面临的风险正在迅速变化，因此没有最好的安全解决方案或策略。因此，保持最新的安全性并不断调整策略至关重要。, 2. Web 开发阶段的安全性,由于不安全的编码实践、选择具有已知漏洞和安全错误配置的框架以及使用不安全的主题、插件等，通常会在网站中引起漏洞。因此，必须在 Web 开发阶段通过选择安全框架、编码实践和组件，始终进行以安全为中心的测试，并采用以安全为中心的思维方式来建立 Web 安全。, 3. 更新一切,网站上的所有内容，从使用的软件和第三方组件到插件、库等，都必须更新，因为更新中包含关键补丁。这些关键补丁修复了漏洞，因此不容忽视。必须从网站中清除过时或未接收更新的组件，因为它们为攻击提供了重要的网关。,, 4. 强大的访问控制,通过加强访问控制可以防止各种攻击，例如暴力攻击。, 5. 安装 SSL,SSL 用于确保在主机（服务器/防火墙）和客户端（浏览器）之间传输的数据，尤其是敏感和机密数据是加密的。当网站受到SSL 证书的保护时，HTTPS 会自动出现在 URL 中，从而唤起对用户的信任。, 6. 输入净化/验证,通过确保用户在评论、反馈和其他用户输入表单中的输入得到验证，可以防止一系列社会工程攻击、XSS 攻击、XXE 攻击等。特殊字符必须列入白名单。不得在这些用户输入字段中输入代码。,, 7. 使用智能漏洞扫描器持续扫描网站,确保网站受到保护的一种有效方法是使用智能、自动化的网站漏洞扫描程序进行持续扫描（每天和按需）。通过这种扫描工具可以有效识别已知漏洞。当扫描仪是更大的安全解决方案的一部分时，可以保护已识别的漏洞。, 8. 部署一个 Web 应用程序防火墙来前端您的应用程序,Web应用程序防火墙可以制定策略来阻止用户，或者对于特定模块仅允许特定类型的请求/用户。它可以是根据不断变化的威胁形势和应用程序的动态性质快速部署风险缓解步骤的有效场所。,Web 应用程序防火墙必须具备以下功能：, 9. 加入全面而强大的安全解决方案,安全解决方案必须具备以下功能：,, 结论,为了有效地保护网站，企业必须始终比攻击者领先一步。简单而有效的措施可以提高安全性和对AppTrana等强大、智能和托管的 Web 应用程序安全解决方案的战略投资，这些措施可以节省数百万美元的罚款、恢复成本和声誉损失。, ,正如来自全球的数据所充分强调的那样，网站保护是企业生存和发展的核心。例如，43% 的数据泄露受害者是小型企业，其中 69% 被迫在攻击后 6 个月内关闭。尽管越来越多的企业主对网站保护表示担忧，但仍有许多人认为他们的网站在某种程度上可以抵御这些恶意攻击，或者简单的漏洞扫描程序就足够安全了。这种对 Web 应用程序安全性的懒散方法，加上攻击的杀伤力和复杂程度不断提高，导致攻击的数量不断增加。,全面、主动和深思熟虑的网络安全战略是加强网络安全的重要起点。鉴于威胁形势正在快速发展，经常发现新漏洞并且网站面临的风险正在迅速变化，因此没有最好的安全解决方案或策略。因此，保持最新的安全性并不断调整策略至关重要。,

对于大多数企业来说，建立积极的客户认知的一种方法是展示您对数据隐私和保护的承诺。开发和维护一个安全的 IT 环境，让客户在付款或共享个人信息时不必担心数据泄露，可以帮助您赢得并保持人们的信任。它还可以改善您的网站和网络的性能，这对于提供积极的客户体验至关重要。,,为了确保您的网络安全，您必须建立一个具有多层保护的完整网络安全框架。您的 Web 应用程序（已成为更复杂攻击的目标）可以受益于对数据盗窃的额外防御。我们帮助数百家企业对其技术做出明智的选择。在这里，我们将介绍您的 Web 应用程序的两个安全选项，它们是：,WAF 通过在可疑活动到达您的服务器之前对其进行监控和阻止来保护您的网站免受不同类型的威胁。它旨在成为您防止对 Web 应用程序的攻击的第一道防线。,当用户尝试访问您的网站时，会向您的服务器发送请求。在请求到达服务器之前，WAF 会对其进行检查以确定用户是否通过了您的预定策略。策略是确定活动或流量是否恶意的规则。,将 WAF 视为聚会上的安全人员。如果客人没有携带邀请函并且没有穿着符合着装要求的衣服，保安将不得不拒绝他进入。同样，WAF 会阻止可疑或未通过设置策略的请求，并允许符合规则的请求。,, 1. 提高网站的速度,与其他反向代理一样，WAF 具有缓存机制，有助于卸载服务器并减少用户响应时间。, 2. 防止网络攻击,WAF 提供以下保护：, 1. 没有提供足够的保护,WAF 在过滤容易识别的威胁方面非常出色，但在检测不具备典型网络攻击（如零日攻击）属性的漏洞方面并不可靠。Ponemon Institute进行的一项调查显示，只有 9% 的 WAF 用户从未经历过任何数据泄露。, 2. 昂贵和高维护,WAF 不仅难以设置，而且维护和支持成本也很高。Web 应用程序、功能和整个安全基础架构的变化也意味着 WAF 的更新。聘请托管支持可能更有利于监督您的网络并在威胁造成损害之前识别它们。,,WAP 允许您向不在您的域下的最终用户及其设备提供对服务器上应用程序的访问，而不会损害后端服务器。,发布是指使外部用户可以访问公司应用程序的过程。,“如果您有任何本地 Web 服务，并且您正试图使其远程可用，则立即响应是打开防火墙以允许流量。但是，出于安全原因，您不希望任何人在任何特定时间都可以访问那扇门。因此，另一种选择是使用 WAP。这使您的防火墙之门对全世界关闭，并且仅对 Microsoft 服务开放。” 科勒提到。,当您通过 WAP 发布应用程序时，用户可以随时随地从他们的个人笔记本电脑或智能手机访问您公司的应用程序。即使用户在非托管设备上，WAP 也能提供对外部威胁的保护。,它与 Active Directory 联合身份验证服务 (AD FS) 一起部署以进行身份​​验证和授权。AD FS 保护您的企业应用程序免受未经授权和未经身份验证的用户的攻击。, 1.具有多种认证协议,WAP 允许您获得 AD FS 身份验证的好处，其中包括：,, 2.保护您免受 DDoS 攻击,WAP甚至在DDoS 攻击到达后端服务器之前就阻止了它们。, 3.确保网络隔离,WAP 允许外部用户访问公司应用程序，而无需提供对后端服务器的直接访问。, 1. 安全硬件要求,要运行 WAP，您需要一台满足 Windows Server 2012 R2 硬件要求的计算机。, 2. 设置 AD FS 服务器,WAP 要求您设置 AD FS 服务器，但它应该安装在单独的服务器中。AD FS 也存在安全风险，必须正确安装以避免出现问题。,“ WAP 的运作方式可能与 WAF 类似，但并不相同。WAF 有更多的设置和复杂的键，而 WAP 基本上是一种开关服务，如果你想通过 Microsoft 代理一次性加载你的服务，你可以使用它。” Kohler 解释说。,如果您的企业遵循高安全标准并处理敏感的客户数据，如社会安全号码和信用卡信息，强烈建议使用 WAF。其中包括零售商、银行和医疗保健提供者。另一方面，如果您希望将已发布的企业应用程序的访问权限授予外部用户并同时隔离您的 AD FS 服务器，那么部署 WAP 是您的组织的理想选择。WAP 最适合旨在防止直接访问其 AD FS 服务器的企业。, ,对于大多数企业来说，建立积极的客户认知的一种方法是展示您对数据隐私和保护的承诺。开发和维护一个安全的 IT 环境，让客户在付款或共享个人信息时不必担心数据泄露，可以帮助您赢得并保持人们的信任。它还可以改善您的网站和网络的性能，这对于提供积极的客户体验至关重要。,将 WAF 视为聚会上的安全人员。如果客人没有携带邀请函并且没有穿着符合着装要求的衣服，保安将不得不拒绝他进入。同样，WAF 会阻止可疑或未通过设置策略的请求，并允许符合规则的请求。,

随着越来越多的组织及其数百万客户/用户/客户上线，网络安全已成为组织主动保护其网络、系统和 Web 应用程序的关键和不可或缺的一部分。,,网络犯罪分子和黑客不断寻找 Web 应用程序中的弱点/错误配置，他们可以利用这些弱点/错误配置来访问网站，甚至对托管服务器进行某种程度的控制，以实现数据盗窃、身份盗窃、分发恶意内容、注入污损、垃圾邮件内容、传播仇恨信息等。这些弱点和错误配置就是所谓的网络漏洞。这些网站漏洞被网络犯罪分子通过漏洞扫描器、机器人等自动化手段和其他专门工具（可以从网络平台定位常见和公开的漏洞）检测和利用。,恰当的例子——仅在美国，去年就有超过 20 亿条记录（个人和机密信息、政府记录等）遭到入侵。美国网络犯罪分子的最大目标是小型企业，其中超过 50% 遭受网络攻击，其次是医疗保健行业。还有几起针对美国军方和联邦机构、警察部门和教育机构的数据泄露事件。在美国，数据泄露的平均成本（客户和声誉损失、泄露后响应、检测和升级成本等）估计为 735 万美元。,下面列出了 2018 年一些最关键和最具利用性的 Web 漏洞：,, 如何保护网站漏洞？,我们都同意，需要在黑客和网络犯罪分子发现这些网络漏洞之前识别和保护这些漏洞。保护 Web 漏洞的最有效和最具成本效益的方法是通过Web 应用程序防火墙(WAF) 以及积极主动的心态和整体网络安全策略。这将使组织能够专注于其关键业务功能。, Web 应用程序防火墙如何工作？,Web 应用程序防火墙 (WAF) 充当 Web 应用程序与包括合法和恶意请求的流量之间的屏障。如果 Web 应用程序中出现安全漏洞，WAF 会在不更改代码的情况下打补丁并充当第一道防线，自动阻止攻击者、恶意请求和不良流量，包括机器人、自动扫描仪、垃圾邮件或攻击 IP 地址，基于攻击的用户输入等通过这些漏洞访问Web应用程序。通过这样做，它为开发人员提供了缓冲时间来进行必要的代码更改，而不是立即修复由 WAF 保护的安全漏洞。, 使用 WAF 的好处,, 如何选择合适的WAF？,以下是一些重要的考虑因素，可指导您做出正确的 WAF 的关键选择。,AppTrana是一种 WAF，可为 Web 应用程序提供全面、全天候、定制的安全性。它是由专家根据 Web 应用程序的现有风险敞口构建的，并在安全规则中具有外科手术般的准确性，以修补应用程序漏洞并确保零误报。使用 AppTrana 的另一个重要好处是，它可以持续监控和分析流量行为/攻击模式，并通过机器学习整合学习成果，以加强未来的网络安全战略和政策。通过这种方式，组织可以有效地保护其 Web 应用程序、资源和声誉，并切实保护其客户/用户的数据、财务和其他资产。, ,随着越来越多的组织及其数百万客户/用户/客户上线，网络安全已成为组织主动保护其网络、系统和 Web 应用程序的关键和不可或缺的一部分。,,

在几年的时间里，我们正在经历快速的技术进步，这些进步正在彻底改变世界的运作方式。从这些进步中受益的不仅仅是企业，甚至网络犯罪分子和犯罪集团也利用这些进步在此过程中获得了财务和其他收益。,,网站、Web 应用程序和服务器是当今企业的关键部分，在网络攻击者的攻击名单中名列前茅，他们找到了新的巧妙方法来组织攻击。Web 应用程序面临的最常见的攻击是SQL 注入、跨站点脚本 (XSS)、CSRF 和 DDoS 攻击。,因此，非常需要 Web 应用程序安全措施和策略来对抗这些攻击，而 Web 应用程序防火墙 ( WAF ) 已在此类策略中占据不可或缺的位置。,可以通过两种重要方式保护 Web 应用程序免受漏洞、网络风险和攻击。,您可能知道，WAF 或 Web 应用程序防火墙是应用程序和互联网流量之间的第一道防线。它监控和过滤互联网流量以阻止不良流量和恶意请求。WAF 是识别应用程序中的漏洞并在恶意行为者发现它们之前保护它们的最佳且具有成本效益的方法之一。,,它们有效地检测到其他安全措施（如网络扫描仪）遗漏的漏洞。当它是像 AppTrana 一样提供的托管 WAF 时，它允许自定义规则，防止业务逻辑缺陷，确保零误报，并保护您的应用程序免受零日威胁和DDoS 攻击。,WAF 防火墙保护 Web 应用程序免受恶意攻击和漏洞。另一方面，传统防火墙提供针对网络威胁的保护。标准防火墙和 Web 应用程序防火墙不仅在它们扩展的保护类型上有所不同，而且在总体功能上也有所不同。,WAF 被部署为硬件设备、软件，或者通过云部署，并使用一组称为策略的特定规则进行操作。这些策略告诉WAF防火墙要查找哪些漏洞/漏洞/流量行为，在检测到漏洞时如何处理等等。换句话说，这些策略使 WAF 能够保护 Web 应用程序和服务器免受攻击。,,因此，基于这些策略，Web 应用程序防火墙将继续扫描 Web 应用程序以及它收到的 GET 和 POST 请求，以识别和过滤恶意活动和请求。需要注意的重要一点是，WAF 不仅分析标头，还分析所有数据包的内容以阻止非法请求，智能 WAF 防火墙甚至挑战请求以使参与者证明他们是人类而不是机器人。,当发现应用程序本身存在漏洞时，WAF 会立即对其进行修补，以自动阻止攻击者和恶意行为者（机器人、攻击 IP 地址、基于攻击的输入等）发现这些漏洞。这样，开发人员可以获得缓冲时间来修复应用程序中的漏洞/漏洞。,Web 应用防火墙通常根据三种基本安全模型进行配置。这些模型是：,安全模型的选择完全取决于上下文、风险概况以及 Web 应用程序和服务器的需求。现实情况是，应用程序是许多企业的核心，并且在不断变化，没有单一的模式能够奏效。,,一个有效的防火墙应该结合,Web 应用程序防火墙在智能和可管理时最有效，例如 AppTrana 提供的防火墙。借助全球威胁数据库和 ML 功能，智能 WAF可以持续监控 Web 流量，并将学习内容包括在保护 Web 应用程序中。当它们被管理时，WAF 可以确保零误报，并且可以以外科手术的准确性进行定制，以结合自定义业务规则，防止业务逻辑漏洞。,托管 WAF 将包括经过认证的安全专业人员的专业知识，他们进行渗透测试和安全审计，以防止零日威胁并保持最高的 Web 应用程序安全标准。 托管 WAF 确保学习是准确和相关的，并专注于减轻特定于应用程序的风险。它将在 24×7 安全专家的支持下内置学习，以便采取行动。因此，应用程序所有者可以专注于其功能的敏捷性，并利用专家的服务确保安全。, ,在几年的时间里，我们正在经历快速的技术进步，这些进步正在彻底改变世界的运作方式。从这些进步中受益的不仅仅是企业，甚至网络犯罪分子和犯罪集团也利用这些进步在此过程中获得了财务和其他收益。,您可能知道，WAF 或 Web 应用程序防火墙是应用程序和互联网流量之间的第一道防线。它监控和过滤互联网流量以阻止不良流量和恶意请求。WAF 是识别应用程序中的漏洞并在恶意行为者发现它们之前保护它们的最佳且具有成本效益的方法之一。,

Web 应用程序防火墙(WAF) 是 Web 应用程序/网站/网络服务器与 Internet 流量之间的第一道防线。互联网流量包括好的和恶意的流量和请求。因此，使用 WAF 有助于保护 Web 应用程序/网站/Web 服务器免受不良流量和恶意行为者试图策划的不同类型的网络攻击。,,WAF 是Web 应用程序安全和网络安全策略中 至关重要且不可或缺的一部分，因为它能够识别并立即修补应用程序和服务器中的漏洞，立即阻止所有恶意行为者发现这些漏洞和漏洞，从而为开发人员提供修复的缓冲时间他们。,WAF 旨在阻止的 8 种网络攻击类型, 1. DDoS攻击,DDoS 攻击 试图用虚假流量压倒目标 Web 应用程序/网站/服务器，耗尽网络带宽，并使其对合法用户不可用。DDoS 攻击以几种不同的方式发生，包括放大、泛洪、基于协议和反射。一些常见但危险的 DDoS 攻击类型包括 DNS 放大、死亡 Ping、Smurf 攻击、HTTP 洪水、SYN 洪水等。,WAF 通过应用程序的日常扫描、全天候监控、全球威胁情报和机器学习来识别伪装机器人、恶意请求等并阻止它们，从而阻止这些攻击。借助 AppTrana 等托管 WAF，由经过认证的安全专业人员进行的定期渗透测试和安全审计有助于阻止 DDoS 攻击。, 2. SQL注入攻击,在这些攻击中，犯罪者以请求或查询的形式在 Web 应用程序的用户输入字段（如提交表单、联系表单等）中注入恶意 SQL 代码。这样做，他们可以访问应用程序的后端数据库，然后潜入其中提取客户或企业本身的敏感和机密信息，获得未经授权的管理访问，修改或删除数据等，甚至完全控制 Web 应用程序。SQL 注入攻击主要是由于用户输入字段和提交表单没有受到保护以防止输入代码和其他未经清理的输入。,, 3. 跨站脚本（XSS）攻击,XSS 攻击 针对易受攻击的 Web 应用程序/网站的用户，以访问和控制他们的浏览器。在这里，攻击者利用应用程序中的漏洞和漏洞注入恶意脚本/代码，这些脚本/代码在毫无戒心的用户加载应用程序/网站时执行。在反射型 XSS 攻击中，恶意代码只有在用户单击链接时才会执行，而在存储型 XSS 攻击中，恶意负载会存储在 Web 浏览器中，并在用户每次访问网站/应用程序时执行（无论他们查看/下载/点击链接没关系）。XSS 攻击使用户的个人和机密信息受到威胁，并经常导致身份盗用、会话劫持等。这些攻击的发生要么是因为用户输入字段，如评论部分、用户帖子、反馈等。, 4. 零日攻击,零日攻击 是指组织仅在攻击发生时才知道硬件/软件中存在漏洞的攻击。这些都是出乎意料的，因此对企业来说非常有害，因为他们没有快速修复或补丁来保护他们的应用程序。另一方面，网络攻击者可能以前一直在窥探应用程序，并在发现漏洞后立即利用这些漏洞。,配备机器学习功能（如 AppTrana）的托管智能 WAF 不仅可以阻止错误请求和分析攻击模式，还可以将用户列入白名单、挑战请求，并基于学习持续管理策略和规则。, 5. 业务逻辑攻击,业务逻辑是 UI 与数据库和软件系统之间连接和传递信息的关键元素，使用户能够有效地使用 Web 应用程序/网站。当业务逻辑中存在差距、错误或重叠时，它会产生漏洞，网络攻击者通常会利用这些漏洞来获取金钱和其他优势。攻击者不会使用格式错误的请求和恶意负载来编排业务逻辑攻击。他们使用合法值和合法请求来利用应用程序中的环境漏洞。业务逻辑机器人通常用于这些攻击。,,托管 WAF 最适合应对这些攻击，因为它们将机器的可扩展性、速度和准确性与了解业务的认证安全专业人员的专业知识、智能和创造性思维能力相结合。, 6. 中间人攻击,当犯罪者将自己置于应用程序和合法用户之间，通过冒充两方之一来提取密码、登录凭据、信用卡详细信息等机密详细信息时，就会发生这些攻击。攻击可以通过简单的方式进行策划，例如在不受密码保护的公共场所提供免费的恶意热点。当受害者连接到这些热点时，他们会将其在线数据交换的完全可见性提供给攻击者。DNS缓存中毒，IP欺骗，ARP欺骗等复杂手段用于拦截连接，HTTPS欺骗，SSL劫持，SSL野兽等用于解密双向SSL流量而不提醒用户或应用程序。, 7. 恶意软件,恶意软件攻击是通过利用应用程序漏洞或通过网络钓鱼等社会工程方法将木马、勒索软件、间谍软件、rootkit 等恶意软件注入网站/Web 应用程序/服务器而精心策划的。通过这样做，攻击者可以访问机密信息、应用程序的敏感部分、系统配置更改等。, 8. 污损,在所有网络攻击中最简单的污损攻击中，犯罪者更改网站内容并用自己的内容替换以反映政治意识形态/议程，用有争议的信息或图像震惊用户等等。在污损修复之前，Web 应用程序可能对用户不可用。,如前所述，托管、智能并配备全球威胁情报和 ML 能力的 Web 应用程序防火墙可以有效且高效地应对这 8 种网络攻击中的每一种。AppTrana提供了一种这样的 WAF，它允许自定义规则、防止业务逻辑缺陷、确保零误报并保持最高的 Web 安全标准。, ,Web 应用程序防火墙(WAF) 是 Web 应用程序/网站/网络服务器与 Internet 流量之间的第一道防线。互联网流量包括好的和恶意的流量和请求。因此，使用 WAF 有助于保护 Web 应用程序/网站/Web 服务器免受不良流量和恶意行为者试图策划的不同类型的网络攻击。,DDoS 攻击 试图用虚假流量压倒目标 Web 应用程序/网站/服务器，耗尽网络带宽，并使其对合法用户不可用。DDoS 攻击以几种不同的方式发生，包括放大、泛洪、基于协议和反射。一些常见但危险的 DDoS 攻击类型包括 DNS 放大、死亡 Ping、Smurf 攻击、HTTP 洪水、SYN 洪水等。,

Web 应用程序防火墙 (WAF) 就像一个力场，只允许合法请求和良好流量访问您的网站/Web 应用程序，过滤并阻止不良请求和僵尸网络。几种WAF 替代品充斥着市场，但并非所有 WAF 都是平等的，而且它们绝对不能提供相同级别的安全性。在本文中，我们为您提供了一组 8 个问题，您必须在做出决定之前询问 WAF 提供商。,,您必须向 WAF 提供商提出的 8 个问题, 1. WAF 保护什么？,始终选择全面的 Web 应用程序防火墙，以保护您的 Web 应用程序免受所有已知漏洞的影响。它必须能够检测来自应用程序、服务器、第三方资源等的已知漏洞并修补漏洞，直到开发人员修复。, 2. 使用了哪些检测技术？,Web 应用程序防火墙分析流量以仅允许合法用户访问应用程序，同时过滤掉不良/恶意请求以阻止攻击/威胁。为此，最好的 Web 应用防火墙将包括一系列检测技术，例如签名匹配、行为分析、规范化等。,此外，在选择 Web 应用程序防火墙时，比较误报率与负率的证明、第三方测试结果、检测/阻止的零日威胁以及潜在供应商的频率和误报管理策略。, 3. 它是如何保护的？,根据对以下问题的回答和您的 Web 应用程序的独特需求，评估 Web 应用程序防火墙如何保护 Web 应用程序。,, 4. 它允许定制吗？,没有两个企业或 Web 应用程序是相同的——它们的威胁和漏洞、风险、风险偏好、安全需求等因各自独特的环境而异。因此，WAF 策略/规则需要以外科手术般的准确性进行定制，以提高安全性，并持续不断地进行调整，以跟上应用程序本身的活力和新出现的威胁。,选择一个托管的 WAF，它提供实时洞察和安全分析、24×7 的风险状况可见性和业务影响，就像来自 AppTrana 的那样 – 它结合了自动化的力量与经过认证的安全专家的智能和创造性思维技能，他们定制- 基于对您的业务及其独特需求的深刻理解，以外科手术般的准确性构建您的 WAF，并根据 WAF 提供的安全分析、实时洞察力和可见性调整策略。, 5. 它是否配备了 Accurate learning 以根据新的威胁向量和应用程序的风险态势，根据生产中应用程序的当前风险级别不断更新其策略？,选择配备 AI、ML 和全球威胁情报数据库的智能 WAF，使其能够从企业自身过去的攻击历史和全球范围内的攻击中学习，不断寻找新的区域来寻找漏洞并区分机器人和人类流量通过使用其学习来允许、阻止、标记或质疑请求。, 6. 是否可扩展？,您的业​​务一定会增长，您的客户也会增加，或者您的 Web 应用程序将获得更大的流量，或者您的应用程序本身可能会增长，或者由于促销/活动可能会出现突然的流量高峰。无论哪种情况，WAF都必须能够保护您的应用程序，而与流量无关。因此，流量峰值的可扩展性、多租户和带宽成本是重要的考虑因素。这些将影响 Web 应用程序的速度、性能和可用性。,, 7. 记录和报告如何工作？,评估安全性和流量日志审计跟踪和报告的深度、易于访问性和全面性。此外，检查报告是否可定制、是否可以按需生成并按计划生成、报告格式、可视化和演示的用户友好性以及分发方法。这些因素会影响安全事件调查的有效性和质量。, 8. 是否易于部署？,您最不希望的事情是在部署 Web 应用程序防火墙时应用程序变得不可用或崩溃。Cloud WAF易于部署、灵活且无忧，在入职期间可实现零停机和崩溃。,选择 Web 应用防火墙时要问的另外两个问题是：,选择合适的 WAF 来加强 Web 安全并为企业节省数百万美元。, ,Web 应用程序防火墙 (WAF) 就像一个力场，只允许合法请求和良好流量访问您的网站/Web 应用程序，过滤并阻止不良请求和僵尸网络。几种WAF 替代品充斥着市场，但并非所有 WAF 都是平等的，而且它们绝对不能提供相同级别的安全性。在本文中，我们为您提供了一组 8 个问题，您必须在做出决定之前询问 WAF 提供商。, 2. 使用了哪些检测技术？,

如果您去过机场，您就会知道机场安检是如何运作的。您必须进行彻底检查，并通过金属探测器、步入式人体扫描仪和其他机器扫描您的物品，以确保您没有携带任何危险/违禁物品在您自己或您的物品中，并且允许您安全地放你进入机场。如有必要，您可能会被叫到一边进行彻底的拍打/搜身，并且您的财物可能会由保安人员检查。如果检测到任何安全威胁，安全人员将按照协议行事。这些措施始终有助于保持机场安全。Web 应用程序防火墙(WAF) 的工作方式与保护网站/Web 应用程序的方式类似。,,Web 应用程序防火墙是 Web 应用程序/网站/Web 服务器与试图访问 Web 服务器/网站的 Web 流量之间的保护屏障和第一道防线。每个请求都会根据提供给 WAF 的一组规则进行扫描和监控，以过滤和阻止不良请求，并保护应用程序免受恶意行为者、僵尸网络和不良流量的侵害。他们定期扫描网站以识别漏洞、漏洞和漏洞，并立即对其进行修补，以确保网站安全，同时开发人员修复漏洞/漏洞/弱点。（请注意，即使是严重漏洞也需要 100 天才能修复）。,请务必注意，并非所有 Web 应用程序防火墙都能有效保护网站。他们需要具备某些功能，使 WAF 能够有效地确保安全和安保。让我们来看看这些功能。, 1.云端部署,WAF 作为硬件或软件安装在本地部署或通过云部署。在这些方式中，云 WAF 被认为是提升 Web 安全性的最有效方式，特别是对于 SaaS 企业和其他严重依赖网站/Web 应用程序来提供服务/解决方案（如电子商务、娱乐等）的企业。云 WAF很容易并且部署和维护相对有效，更新是自动的，更新不会干扰工作或影响网站速度，并为具有多个移动部分的敏捷和动态网站提供 Web 安全所需的敏捷性。,, 2. 自定义规则/政策,Web App Firewalls 基于现有规则（称为策略）工作。使用这些策略，他们可以识别漏洞、监控威胁流量、阻止恶意请求、修补漏洞并采取任何其他必要措施。这些策略需要根据网站/Web 应用程序的上下文、风险概况和整体安全状况进行定制。,一刀切的方法是行不通的。虽然识别和阻止已知漏洞（如跨站点脚本、SQL 注入等）的策略对于大多数网站来说都是相似的，但需要调整这些策略以使 WAF 能够识别僵尸网络和其他恶意行为者，防止 DDoS 攻击等. 例如，如果业务不在/不针对某些国家/地理位置，则可以调整 WAF 策略以阻止来自这些国家的用户的访问，从而减少攻击面。同样，还需要自定义规则来防止业务逻辑漏洞，如果这些策略不是以手术准确性定制的，则这些漏洞可能会作为合法请求冒充。, 3. 主动性、智慧和直觉,像WAF这样的智能、主动和直观的 WAF会持续监控流量，即时行动，并可以决定是否需要允许、阻止、挑战或标记请求。WAF 还拥有全球威胁情报数据库，以确保 WAF 从全球的攻击模式中学习，并紧急采取行动维护网站/Web 应用程序的安全态势。, 4. 由经过认证的安全专家管理,在网络安全方面，机器有其局限性。为了提高网络安全性，无论是了解和缓解业务逻辑缺陷，还是分析流量模式/实时安全数据以防止 DDoS 攻击或快速阻止零日攻击，认证安全专业人员的智慧和创造性解决问题的能力都是必不可少的威胁。专家们基于对业务环境和风险敞口的深刻理解，以外科手术般的准确性定制规则。,,如果您选择提供的托管、智能、全面和主动的 Web 应用程序防火墙，您可以确保您的网站/Web 应用程序的最高安全标准，并专注于您的核心业务。, ,如果您去过机场，您就会知道机场安检是如何运作的。您必须进行彻底检查，并通过金属探测器、步入式人体扫描仪和其他机器扫描您的物品，以确保您没有携带任何危险/违禁物品在您自己或您的物品中，并且允许您安全地放你进入机场。如有必要，您可能会被叫到一边进行彻底的拍打/搜身，并且您的财物可能会由保安人员检查。如果检测到任何安全威胁，安全人员将按照协议行事。这些措施始终有助于保持机场安全。Web 应用程序防火墙(WAF) 的工作方式与保护网站/Web 应用程序的方式类似。,WAF 作为硬件或软件安装在本地部署或通过云部署。在这些方式中，云 WAF 被认为是提升 Web 安全性的最有效方式，特别是对于 SaaS 企业和其他严重依赖网站/Web 应用程序来提供服务/解决方案（如电子商务、娱乐等）的企业。云 WAF很容易并且部署和维护相对有效，更新是自动的，更新不会干扰工作或影响网站速度，并为具有多个移动部分的敏捷和动态网站提供 Web 安全所需的敏捷性。,

当企业趋于增长时，其影响也趋于增加网络风险。如果您是一名成功的企业主，您将非常了解网络攻击和托管云WAF（Web 应用程序防火墙）。事实上，去年巴尔的摩市的网络攻击是一个热门话题。黑客索要了 76,000 美元的巨额赎金。,,如果企业拒绝支付赎金并选择了2000 万美元的网络保险，损失仍然巨大——接近 1800 万美元。如果他们选择托管 WAF，损失就不会如此巨大。超过损害的实际可量化价值，无形资产允许企业,在客户之间建立信任的最佳方式是表明您认真对待安全并采取积极措施。可以使用托管云 Web 应用程序防火墙来处理该扇区。拥有世界级安全性的关键方法是托管解决方案，它允许企业与安全专家合作，在这些方面主动和被动地与他们合作。,因此，今天我们将帮助您对托管云 WAF 有一个清晰的认识，并展示它如何帮助您防止恶意网站攻击。尽管采取了积极的风险缓解措施，但如果发生任何事故，我们还将帮助您处理事件。但是，在直接了解原因之前，这里先简要介绍一下托管 Web 应用程序防火墙及其提供的好处。,基于云的托管 WAF 是托管 Web 应用程序防火墙并作为 SaaS（软件即服务）提供的软件。Web 应用程序防火墙有助于识别黑客的意图并提供帮助以跟踪他们，这样他们就不会在未来对 Web 应用程序构成威胁。使用托管 WAF，您可以以极具成本效益的方式保护您的网站免受现有漏洞的影响。,,作为用户，您可以通过移动应用程序或 Web 界面访问它。与本地数据安全软件相比，云 WAF 的复杂性较低，即使使用现有的安全解决方案，其部署和集成也很容易。这里是一个简单的解释。,当您通过 Internet 处理和传输重要信息时，您会无意中打开您的网站应用程序，使其受到恶意机器人和DDoS 攻击的攻击。这是一个事实——你并不孤单。恶意网络犯罪分子总是在警惕：,因此，采用基于云的WAF不仅可以解决上述问题，还可以为您提供这些优势。,, 1. 防止对数据的恶意攻击,如果任何网络攻击在靠近您网站的内部基础设施之前就被识别并缓解，这不是一件好事吗？基于云的托管 Web 应用程序防火墙实际上也是如此。,作为 IaaS 部署，基于云的 WAF 检查 HTTPS 和 HTTP 流量，并防止来自 SQL 服务器注入、暴力攻击和跨站点脚本的 Web 应用程序攻击。托管 WAF 在底层云基础架构中保持活跃，并立即将您的网站端点与每个传入的网络威胁隔离开来。其先进而复杂的第 7 层规则可确保完全阻止最新的攻击。, 2. 协助有效扩展业务,在分析 Web 应用程序防火墙解决方案时，可扩展性是您需要考虑的重要因素。主要原因是入口点。简而言之，托管 Web 应用程序防火墙专门配置为充当反向代理。在面向 Internet 的应用程序和网站被传入的网络流量淹没之前，这再次充当最后一道防线或入口点。基于云的 WAF 解决方案利用了大规模边缘网络的可扩展性和功能。其最大覆盖范围和最小延迟由全球分布的点确保。,因此，当您看到您的网站突然获得更高的流量时，这完全是因为基于云的 WAF 的利用优势。这些很可能是良好的商业流量。您仍然可以使用托管 WAF 服务的托管方面，让安全专家在庆祝业务流量增长之前分析峰值。如果确实是恶意的，专家会采取行动，并且可以动态地对信任策略进行进一步更新。, 3. 加强安全措施,基于云的 WAF 不仅支持多 Web 应用程序托管环境，例如：,防火墙可有效保护您的网络边缘免受各种恶意流量站点的侵害。即使您拥有众多基础设施提供商，安全措施也保持不变。当您选择正确的基于云的托管 WAF 时，您可以利用一个独立的安全平台来保护您的所有 API 和面向 Internet 的应用程序。,, 4. 拥有成本低,通过选择基于云的 Web 应用程序防火墙，您可以选择最佳的Web 应用程序安全级别，而无需额外投资与以下相关的资源或支出：,通过您选择的订阅价格，您可以以合理的价格享受最佳的安全服务。,在选择 WAF 之前，您需要考虑几个功能。其中一些能力包括：,安全专家的管理和 24×7 支持是 WAF 真正有效的关键。即使有最好的配置，也就是现在的保护，有可能它可能还不足以应对不断变化的威胁以及应用程序本身的性质。,要解决这种情况，最好使用托管 WAF，它可以在应用程序的整个生命周期中与您一起工作，随着应用程序的变化和新的应用程序威胁形势的展开。以下是您的企业可以从托管 WAF 中获得的一些好处。,, 1. 优先考虑网络安全,当您选择使用托管 WAF 时，您的云安全服务提供商会负责您网站的安全。这使您可以更专注于您的业务，并与当前的市场趋势保持一致。假设客户访问您的网站并在付款时遇到问题。在正常情况下，从客户端出发的下一个明显步骤将是转移到下一个竞争网站。但是，如果您的 WAF 处于检测模式，您的托管 WAF 将识别问题或任何潜在的攻击并修复它。这将使您的客户能够顺利购买、付款并获得满意的体验。, 2. 提供无与伦比的专业知识,当您使用托管云 WAF 时，您做出了让专家处理与您的 Web 应用程序相关的安全问题的明智决定。当您选择准确部署 WAF 并且不让您的网站完全依赖于检测模式时，您的服务提供商会通过采取以下常规措施来维持这种信任：, 3. 提供充足的服务时间,系统的敏捷性需要与技术进步保持同步。此外，客户偏好、数字环境的动态特性以及WAF的定期调整和调整对于在业务的动态和多样化特性中生存至关重要。因此，专家的存在对于熟练地全天候管理 Web 应用程序防火墙以采取更严格的安全措施是必不可少的。, 4. 处理动态应用程序敏捷性,你们中的大多数人都会同意，企业必须定期进行复杂的变更管理流程。当您的业务需求发生变化时，您的应用程序安全措施也需要加强。,,需要 Web 应用程序更新和敏捷的两个重要因素是：,值得信赖的专家安全服务提供商确保您系统的变更管理得到有效管理。, 5. 简化的安全性,根据 Juniper Research 的预测，到 2020...

如今，由于高级、持续威胁的兴起和攻击技术的日益复杂，网站变得更加脆弱。在这种情况下，Web 应用程序防火墙 (WAF) 在保护网站和 Web 应用程序方面被认为比传统防火墙解决方案更有效。因此，网络防火墙已成为网络安全中不可或缺的中心。这种对 Web 应用程序防火墙的日益重视是否合理？,, 什么是 Web 应用程序防火墙？,Web 应用程序防火墙是位于网络边缘的用户和 Web 应用程序之间的安全解决方案，用于监视和审查所有 HTTP 通信和向服务器发出的请求。它根据一组预定义和不断调整的策略过滤掉恶意和虚假请求，并仅允许合法请求到达服务器。,大多数 WAF 执行 3 个关键操作：,尽管 WAF 可能无法抵御各种攻击，尤其是零日攻击、逻辑缺陷等，但它们是重要的安全工具。它们可以抵御所有已知威胁，并提供多层保护。尤其是下一代网络防火墙，可以调整以检测和阻止一些新出现的、未知的和合乎逻辑的威胁。, 威胁的转变性质,虽然网络安全威胁的数量继续呈指数级增长，但即使是 DDoS 等已知威胁的性质也在迅速变化。威胁参与者正在利用最新技术来开发更致命、更复杂和更具灾难性的变异版本的威胁。,,例如，过去的DDoS 攻击只是体积攻击，可以通过使用传统防火墙和增加带宽来轻松识别和阻止。如今，攻击者可以以不到 1GBps 的规模成功发起 DDoS 攻击。DDoS 攻击有更隐秘、更隐秘的变体。多向量 DDoS 和应用层攻击的发生率也有所增加。,Web 应用程序防火墙，尤其是更高级的防火墙，旨在防止已知威胁、较新版本、已知威胁的突变，甚至一些新兴威胁。它们可以进一步调整和配置，以防止特定于业务的威胁和风险。, 主动安全,在当今时代，除了客户流失和经济损失外，对攻击的响应和反应只会造成巨大的声誉损失。WAF 帮助企业主动应对各种已知和新出现的攻击。它们通常提供可操作的见解、详细的报告和安全分析，可用于预测安全风险并迅速对 Web 安全进行战略性更改。, 与传统防火墙解决方案相比，Web 应用程序防火墙更有效,将 WAF 与网络防火墙进行比较，WAF 是比网络防火墙更先进、更复杂、更有效的安全工具。这是WAF 与网络防火墙的比较。, WAF 即使在无边界架构中也很有效,虽然 WAF 位于用户和 Web 应用程序之间，但网络防火墙位于网络外围的内部和外部网络之间，因为 WAF 解决方案位于网络边缘（设备连接到互联网的确切点）而不是外围，它们在物联网、云计算和远程访问的时代，当网络没有固定的、严格的边界时，它们是有效的。,, WAF 使用最新技术提供多层、全面的安全性,网络防火墙旨在通过阻止外部网络和实体来防止对网络资源的未经授权的访问。他们使用基于签名的检测、数据包过滤、代理和有状态/无状态检测技术来检测非法流量和未经授权的访问。它们仅涵盖 OSI 层 3-4。它们无法有效抵御内部攻击和现代威胁，例如注入、DDoS、机器人攻击等。,WAF 技术监控和分析所有 HTTP 通信，过滤掉错误/格式错误的请求。它们在第 7 层运行，并利用复杂的技术，包括行为分析、模式、启发式分析、异常检测等，来保护网站免受各种威胁，包括机器人攻击、恶意软件攻击、DDoS、应用层攻击、等等。, WAF 技术更先进,由于 Web 应用程序防火墙，尤其是下一代 WAF，使用同类最佳的未来技术，包括自学习 AI、预测分析等，为 Web 应用程序安全性带来速度、敏捷性、透明度和准确性网络防火墙不能。, 在不影响安全性的情况下加速性能,WAF 不仅提供安全性，还提供安全性。它们有助于提高网站速度和性能。首先，他们确保网站始终可用，并通过防止攻击最大限度地减少停机和崩溃的机会。此外，在 CDN 和缓存技术的支持下，它们通过从离用户最近的缓存服务器向用户提供内容来加快网站速度和性能。,, 结论,这就是为什么 Web 应用程序防火墙比以往任何时候都更加重要的原因。为确保全面、端到端和有效的安全性，WAF 需要成为 AppTrana 等智能托管安全解决方案的一部分。, ,如今，由于高级、持续威胁的兴起和攻击技术的日益复杂，网站变得更加脆弱。在这种情况下，Web 应用程序防火墙 (WAF) 在保护网站和 Web 应用程序方面被认为比传统防火墙解决方案更有效。因此，网络防火墙已成为网络安全中不可或缺的中心。这种对 Web 应用程序防火墙的日益重视是否合理？,尽管 WAF 可能无法抵御各种攻击，尤其是零日攻击、逻辑缺陷等，但它们是重要的安全工具。它们可以抵御所有已知威胁，并提供多层保护。尤其是下一代网络防火墙，可以调整以检测和阻止一些新出现的、未知的和合乎逻辑的威胁。,