产品特点采用多种先进技术, 对网络防火墙过滤后的流量进一步检测, 帮助用户解决目前所面临的各类网站安全问题, 如 : 注入攻击跨站脚本攻击恶意编码 ( 网页木马 ) 缓冲区溢出信息泄露应用层 DOS/DDOS 攻击等 Web Internet Web Web 华为可有效拦截穿越网络防火墙

Size: px

Start display at page:

Download "产品特点采用多种先进技术, 对网络防火墙过滤后的流量进一步检测, 帮助用户解决目前所面临的各类网站安全问题, 如 : 注入攻击跨站脚本攻击恶意编码 ( 网页木马 ) 缓冲区溢出信息泄露应用层 DOS/DDOS 攻击等 Web Internet Web Web 华为可有效拦截穿越网络防火墙"

费严
5 years ago
Views:

作为数字孪生的第一代产物, 各类网站和 Web 应用在互联网上波属云委网站作为商务贸易客户交流信息共享平台, 承载着各类虚拟业务的运营, 蕴含客户账号交易记录等重要信息与此同时, 由于攻击技术门槛低以及可带来的巨大商业利益, 网站已成为各国黑客的主要攻击目标通常网络中会部署防火墙 IPS 等安全产品, 但是这类产品对于 Http

敏感信息泄露盗链行为等攻击防护, 并有效防护 0day 攻击, 支持网页防篡改适用于 PCI-DSS 等级保护企业内控等规范中信息安全的合规建设同时, 华为支持 Web 应用加速, 支持 HA/Bypass 部署配置以及维护此外, 华为支持透明模式旁路监听模式反向代理模式等部署模式, 广泛适用于金融运营商政府公安

1 作为数字孪生的第一代产物, 各类网站和 Web 应用在互联网上波属云委网站作为商务贸易客户交流信息共享平台, 承载着各类虚拟业务的运营, 蕴含客户账号交易记录等重要信息与此同时, 由于攻击技术门槛低以及可带来的巨大商业利益, 网站已成为各国黑客的主要攻击目标通常网络中会部署防火墙 IPS 等安全产品, 但是这类产品对于 Http 和 Https 的 Web 应用层攻击往往无法察觉, 不能起到理想的防护效果专门针对 Web 应用防护的 (Web Application Firewall) 产品应运而生华为专注于 7 层防护, 采用最为先进的双引擎技术, 用户行为异常检测引擎透明代理检测引擎相结合的安全防护机制实现各类 SQL 注入跨站挂马扫描器扫描敏感信息泄露盗链行为等攻击防护, 并有效防护 0day 攻击, 支持网页防篡改适用于 PCI-DSS 等级保护企业内控等规范中信息安全的合规建设同时, 华为支持 Web 应用加速, 支持 HA/Bypass 部署配置以及维护此外, 华为支持透明模式旁路监听模式反向代理模式等部署模式, 广泛适用于金融运营商政府公安教育能源税务工商社保卫生电子商务等涉及 Web 应用的各个行业产品图包括四款硬件型号 : 和 5510, 覆盖 500M 到万兆 Web 业务处理能力及软件产品此外, 还支持 5000-V 系列软件形态产品 8000M 4000M 1000M 500M

2 产品特点采用多种先进技术, 对网络防火墙过滤后的流量进一步检测, 帮助用户解决目前所面临的各类网站安全问题, 如 : 注入攻击跨站脚本攻击恶意编码 ( 网页木马 ) 缓冲区溢出信息泄露应用层 DOS/DDOS 攻击等 Web Internet Web Web 华为可有效拦截穿越网络防火墙的威胁事件黑白名单通过安全白名单检测引擎快速识别正常访问业务流量并快速转发, 提供网站最优访问体验通过黑名单检测引擎实现 HTTP 协议完整还原, 对疑似攻击流量深入检测, 从根源上避免绕过及穿透攻击黑白名单双引擎架构协同工作, 既能有效识别和阻断 Web 攻击同时不影响正常的 Web 业务运营全面检测多项专利技术保障识别能力, 精确识别 OWASP Top 10 等各种 Web 通用攻击内置全面的内容管理系统 (CMS)0day 防护策略, 有效防护第三方 CMS 漏洞独创访问集中度和 HTTP 协议细粒度检测算法, 精准防御应用层 CC 攻击内置国家级地址库, 可根据地址位置进行在线封锁智能防护站点服务自动发现, 智能锁定防护对象策略自学习, 智能调整成符合业务的安全策略智能防护锁缓解黑客持续化攻击自动生成多维度报表, 展现最需关注的威胁规则库实时在线更新, 有效应对新型 Web 攻击支持业内主流扫描器, 自动生成虚拟补丁, 快速修复网站漏洞系统可靠多种部署模式, 适应各种网络环境透明代理和反向代理下支持 HA 功能, 实现配置同步 7-2

3 支持设备系统端口自检测功能, 一旦出现故障自动切换到 Bypass 状态功能概述通用 Web 攻击防护 : 内置 30 余类的通用 Web 攻击特征, 通过大量项目实践, 精炼出 580 多个类别的攻击特征, 全面覆盖了 Web 应用安全存在的主要安全威胁, 防护各类 SQL 注入跨站挂马扫描器扫描敏感信息泄露盗链行为等攻击, 同时低误报率低漏报率网页篡改攻击防护 : 通过内置自学习功能获取 Web 站点页面信息, 对整个站点进行爬行, 爬行后根据设置的文件类型 ( 如 html css xml jpeg png gif pdf word flash excel zip 等类型 ) 进行缓存, 并生成唯一数字水印, 实时监测网站服务器是否被非法更改, 一旦检测到篡改行为立即通知管理员, 并形成详细的日志信息与此同时, 系统将对外显示之前的正确页面, 防止被篡改内容的发布 Web 扫描器扫描防护 : 支持自动识别扫描器的扫描行为, 并智能阻断多种扫描行为 CC 攻击防护 : 基于 URL 请求头字段目标 IP 请求方法等多种组合条件进行检测, 支持 URL 访问速率和指定 URL 访问集中度检测 ; 华为支持真实攻击者 IP 识别, 默认支持解析 X-Forward-For 头, 并支持自定义方式 ; 支持挑战模式支持设置用户区域级检测算法, 隔离海外或跨省攻击网页盗链行为防护 : 支持多种盗链识别算法能有效解决单一来源盗链分布式盗链网站数据恶意窃取等信息盗取行为, 从而确保网站的资源只能通过本站才能访问敏感信息泄露防护 : 双向内容检测的能力, 能识别服务器页面内容的敏感信息, 防止敏感信息泄露, 如服务器出错信息, 数据库连接文件信息,Web 服务器配置信息, 网页中的连续出现的身份证手机邮箱等个人信息均可识别并依据策略采取相应措施恶意言论提交防护 : 支持中文关键字解析技术, 通过对用户提交信息进行过滤, 有效解决匿名提交政冶敏感违反法律法规等恶意言论, 保障网站内容健康呈现应用程序错误跟踪 : 自动记录应用程序出错信息, 并将出错信息进行分类汇总, 为 Web 业务运维人员解决技术问题提供原因分析和修复建议合规检查主动防护 : 通过 HTTP 协议规范性检查实现 Web 主动防御功能, 如请求头长度限制请求编码类型限制等屏蔽大部分非法未知攻击行为策略自学习建模及白名单防护 : 采用自学习建模技术通过对访问流量的自学习和概率统计算法分析, 结合白名单技术对网站的正常访问行为规律进行分析和总结, 生成一套针对网站特性的安全白名单规则, 对正常的请求直接进行放行, 快速识别安全的请求白名单比传统特征库防护误报率低, 可有效防护 0day 攻击 Web 应用加速 : 采用 WebCache 技术对防护网站进行加速, 通过静态文件缓存技术, 动态请求的 TCP 连接复用技术实现网站访问速度提升支持多种部署方式 : 支持透明模式反向代理模式旁路监听模式集群模式等多种部署模式, 可根据用户网络环境使用不同的部署模式, 实现灵活部署, 满足不同用户需求高可靠性 : 支持反向代理和透明模式下的 HA/Bypass, 平均无故障时间 MTBF 大于小时站点自动侦测 : 对经过设备的流量自动学习, 获取 Web 应用服务器信息, 如服务器 IP TCP 端口域名等信息管理员不需要通过复杂的环境调研和现场确认, 即可直接将自动发现 Web 应用服务器添加至的保护站点中, 即插即用, 实现快速安全防护策略的部署站点访问审计 : 支持对网站的访问情况进行统计分析呈现即时访问量趋势图用户最关注的网页访问者最集中的地市区域等信息, 便于分析网站的业务模块的访问情况, 并为业务功能的价值提供评价参考实时安全告警与响应 : 内置邮件与短信告警接口, 检测到入侵攻击行为时可自动将告警信息发送到管理员邮箱或管理员手机中 7-3

4 典型应用华为一般部署在传统防火墙后端,Web 服务器前端, 支持透明模式旁路监听模式反向代理模式等部署模式需要说明的是,5000-V 系列软件仅支持反向代理部署模式对企业 DMZ 区进行专业 Web 防护将华为 5000 系列产品部署在企业核心交换机和接入交换机之间, 可对企业 DMZ 区的 Web 业务起到很好的防护作用当企业有多个 DMZ 区的服务器需要防护时, 也可将部署在传统防火墙和核心交换机之间实现防护 DMZ Internet FW 企业 DMZ 区防护典型组网此外, 为了应对复杂的网络部署环境, 当客户网络流量较大或者不希望采用串接方式时, 华为 5000 系列产品支持反向代理特性, 可旁挂于核心交换机或者路由器大型数据中心集群防护对于大型数据中心等网络流量大的场景, 华为 5000 系列产品支持集群部署多台负载均衡, 同时配合交换机的链路捆绑技术, 实现多台流量负载 Internet 集群 Web 业务防护典型组网 7-4

5 产品规格产品型号 V 接口规格专用管理口工作口支持扩展卡 ( 硬件 )/ 支持虚拟化平台 ( 软件 ) 关键特性黑白名单双引擎架构抗 Web 扫描器扫描 ( 管理口 *1, HA 口 *1) ( 管理口 *1, HA 口 *1) ( 管理口 *1,HA 口 *1) ( 管理口 *1,HA 口 *1) 4*GE 电口,2 组硬件 BYPASS 模 4*GE 电口, 4*GE 电口, 2*10GE 光口, 块 2 组硬件 2 组硬件 1 组硬件 BYPASS 4*GE 光口, 不 BYPASS 模块 BYPASS 模块模块含硬件 BYPASS 模块插卡式 8*GE 电业务口,4 组硬件 BYPASS 模块插卡式 4*GE 电插卡式 8*GE 电业务口,4*GE 业务口,4 组硬光业务口, 含件 BYPASS 模块 2 组电口硬件插卡式 4*GE 电 BYPASS 模块 Linux KVM, 业务口,4*GE 插卡式 4*GE 光 Kernel 版本光业务口, 含业务口,2 组硬以上 2 组电口硬件件 BYPASS 模块 XEN 4.5 及以不支持不支持 BYPASS 模块插卡式 8*GE 光上 (opensource 插卡式 4*GE 光业务口, 不含 Xen,Citrix 的业务口,2 组硬硬件 BYPASS 模块不支持 ) 件 BYPASS 模块插卡式 2*10GE VMware ESXi 插卡式 8*GE 光光业务口, 含 5.5 及以上业务口, 不含 1 组硬件 BYPASS 硬件 BYPASS 模块模块 (4 选 2) 插卡式 4*10GE 光业务口, 不含硬件 BYPASS 模块 (6 选 3) 白名单与黑名单安全引擎相结合的工作方式, 实现了正常请求快速识别与转发, 未知请求进行深度清洗的安全策略, 实现安全性与可用性的最佳结合实现正常用户与攻击者相分离的效果, 保障网站安全的同时增强了用户体验的效果自动识别扫描器扫描行为, 并智能阻断如 Nikto Paros proxy Web Scarab Web Inspect Whisker libwhisker Burp suite Wikto Pangolin Watch fire AppScan N-Stealth Acunetix Web Vulnerability Scanner 等多种扫描器的扫描行为 7-5

6 产品型号 V 防护敏感信息泄露防护盗链行为策略自学习建模及白名单防护技术静态网页篡改防护应用层 DDOS 攻击防护 Web 应用加速智能识别 SSL 网关应用层真实 IP 访问审计实时安全告警与响应支持多种部署方式具备双向内容检测的能力, 能识别服务器页面内容的敏感信息, 防止敏感信息泄露, 如服务器出错信息, 数据库连接文件信息,Web 服务器配置信息, 网页中的连续出现的身份证手机邮箱等个人信息等支持多种盗链识别算法, 有效解决单一来源盗链分布式盗链网站数据恶意采集等信息盗取行为, 从而确保网站的资源只能通过本站才能访问对网站的正常访问行为规律进行分析及总结, 并生成一套针对网站特性的安全白名单规则, 对正常的请求直接进行放行, 提升了访问性能白名单比传统的特征库防护的误报率更低, 可有效防护 0day 攻击系统内置了静态网页篡改防护与预警功能, 防止篡改的页面显示到用户端并将篡改事件及时告警基于 URL 级别的访问频率统计, 并通过访问行为建模检测出 CC 攻击的来源, 对 CC 攻击者采取限时锁定措施从而有效措施来自外网的 CC 攻击行为, 该功能还可有效解决因验证码技术落后而导致的口令爆破问题采用 Web Cache 技术静态文件缓存技术, 动态请求的 TCP 连接复用技术实现网站访问速度的提升能识别 SSL 网关前端的真实客户端地址, 便于管理员根据真实客户端地址进行访问控制对网站的访问情况进行统计分析呈现即时访问量趋势图用户最关注的网页访问者最集中的地市区域等信息, 便于分析网站的业务模块访问情况, 并为业务功能的价值提供评价参考系统内置邮件与短信告警接口, 可自动将告警信息发送到管理员的邮箱或手机中硬件支持透明代理模式旁路监听模式反向代理模式集群模式等多种部署模式, 实现灵活部署, 满足不同用户需求软件仅支持反向代理部署模式整机规格产品形态 1U 2U 2U 2U 尺寸 (W D H)cm 电源单电源 1+1 冗余电源, 可热插拔 1+1 冗余电源, 可热插拔 1+1 冗余电源, 可热插拔最大功率 250W 300W 300W 300W 工作环境温度 : 5~40 C(41~104 F) 湿度 :20%~90% 不结露 MTBF 大于小时 7-6

7 订购信息编码描述硬件 M 5110 交流典配 G 5250 交流典配 (2*300W 交流, 滑轨 ) G 5260 交流典配 (2*350W 交流, 滑轨 ) G 5260 交流典配 (2*760W 交流, 滑轨 ) 接口卡 -8GE-4BY -4GE-4GEF-2BY -4GEF-2BY -8GEF -2XGEF-1BY -4XGEF 8*GE 电业务口,4 组硬件 BYPASS 模块 4*GE 电业务口,4*GE 光业务口, 含 2 组电口硬件 BYPASS 模块 4*GE 光业务口,2 组硬件 BYPASS 模块 8*GE 光业务口, 不含硬件 BYPASS 模块 2*10GE 光业务口, 含 1 组硬件 BYPASS 模块 4*10GE 光业务口, 不含硬件 BYPASS 模块 License LIC-HARDAV-1Y- 硬件特征库升级服务时间续购 12 个月软件 5000-V-4-1Y 5000-V-4-3Y 5000-V-8-1Y 5000-V-8-3Y 5000-V-16-1Y 5000-V-16-3Y 5000-V-32-1Y 5000-V-32-3Y LIC-SITE-1Y- LIC-SITE-3Y V( 防护 4 站点 ) 软件 1 年订阅费 5000-V( 防护 4 站点 ) 软件 3 年订阅费 5000-V( 防护 8 站点 ) 软件 1 年订阅费 5000-V( 防护 8 站点 ) 软件 3 年订阅费 5000-V( 防护 16 站点 ) 软件 1 年订阅费 5000-V( 防护 16 站点 ) 软件 3 年订阅费 5000-V( 防护 32 站点 ) 软件 1 年订阅费 5000-V( 防护 32 站点 ) 软件 3 年订阅费增加一个防护站点软件 1 年订阅费增加一个防护站点软件 3 年订阅费关于本文档本文档仅供参考, 不构成任何承诺或保证本文档中的商标图片标识均归华为技术有限公司或拥有合法权利的第三方所有版权所有华为技术有限公司 2017 保留一切权利 7-7

W2080 W2200/W1200-D H3C SecPath WEB 应用防火墙产品特点双引擎架构白名单规则检测引擎 (WebWPDE), 快速识别 0day 攻击, 提供最佳安全防护黑名单规则库引擎 (WebBPDE) 基于透明代理架构 (TPE) 实现 HTTP 协议完整还原, 基于多

W2080 W2200/W1200-D H3C SecPath WEB 应用防火墙产品特点双引擎架构白名单规则检测引擎 (WebWPDE), 快速识别 0day 攻击, 提供最佳安全防护黑名单规则库引擎 (WebBPDE) 基于透明代理架构 (TPE) 实现 HTTP 协议完整还原, 基于多 H3C SecPath W2001/W2005/W2010/W2020/W2040/W2080/ W2200/W1020-D/W1040-D/W1200-D 系列 WEB 应用防火墙产品概述随着网络技术的不断普及与发展, 企业对外提供服务的 WEB 应用越来越多, 其遭受的各种最新的 WEB 应用攻击也越来越多 H3C SecPath Web 应用防火墙 ( 以下简称 H3C SecPath WAF)