版权所有华为技术有限公司 2012 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受

Size: px

Start display at page:

衬荧朔殷
7 years ago
Views:

1 资料编码华为 WAF2000&5000 Web 应用防火墙产品技术白皮书文档版本 V1.1 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2012 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保华为技术有限公司地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : 客户服务邮箱 : support@huawei.com 客户服务电话 : Copyright 2012 华为技术有限公司版权所有, 侵权必究 2

3 目录 1 纵深安全防护技术白皮书纵深安全防护背景纵深安全防护技术黑名单特征检测技术协议重组检测技术纵深安全防护业务部署结构业务流程主要特点应用场景纵深安全防护特例部署结构业务流程应用场景 DDOS/CC 防护技术白皮书 DDOS/CC 防护背景 DDOS/CC 防护技术 DDOS/CC 防护业务部署结构业务流程主要特点应用场景自学习建模及白名单防护技术白皮书自学习建模及白名单防护背景自学习建模及白名单防护技术自学习建模及白名单防护业务 Copyright 2012 华为技术有限公司版权所有, 侵权必究 3

4 3.3.1 部署结构业务流程主要特点应用场景高性能检测技术白皮书高性能检测背景高性能检测技术高性能检测业务部署结构业务流程主要特点应用场景防篡改技术白皮书防篡改背景防篡改技术防篡改业务部署结构业务流程主要特点应用场景自动侦测应用技术白皮书自动侦测应用背景自动侦测应用技术自动侦测应用业务部署结构业务流程主要特点应用场景实时安全响应与告警技术白皮书 Copyright 2012 华为技术有限公司版权所有, 侵权必究 4

7 1 纵深安全防护技术白皮书 1.1 纵深安全防护背景 Web 网站是企业和用户合作伙伴及员工的快速高效的交流平台 Web 网站也容易成为黑客或恶意程序的攻击目标, 造成数据损失, 网站篡改或其他安全威胁根据国家计算机网络应急技术处理协调中心 ( 简称 CNCERT/CC) 的工作报告显示 : 目前中国的互联网安全实际状况仍不容乐观各种网络安全事件与去年同期相比都有明显增加对政府类和安全管理相关类网站主要采用篡改网页的攻击形式, 以达到泄愤和炫耀的目的, 也不排除放置恶意代码的可能, 导致政府类网站存在安全隐患对中小企业, 尤其是以网络为核心业务的企业, 采用注入攻击跨站攻击以及应用层拒绝服务攻击 (Denial Of Service) 等, 影响业务的正常开展 2007 年到 2009 年上半年, 中国大陆被篡改网站的数量相比往年处于明显上升趋势纵深安全防御是指 WAF 基于 7 层防护技术, 深入理解应用层内容, 监测往返流量, 在引入了安全白名单安全黑名单等技术进行双引擎防护在安全检测时对 HTTP 协议请求头请求内容响应头响应内容进行细粒度分析, 对于 HTTP 慢攻击或包分片攻击, 可对协议完整重组后识别攻击 1.2 纵深安全防护技术黑名单特征检测技术黑名单特征检测技术通过特征库匹配技术实现安全防护, 首先 WAF 的双向检测模块对 WEB 用户提交的请求信息和服务器的响应信息进行解析, 如有特殊编码的需要先将编码进行转换, 解析完成后对报文匹配特征库, 对匹配特征库的报文采用阻断放行仅检测重定向等动作, 如下图所示 : Copyright 2012 华为技术有限公司版权所有, 侵权必究 7

8 图 1 WAF 黑名单特征检测原理图图 1 中 WAF 的输入检测模块首先对 WEB 用户提交的请求协议头请求内容进行细粒度解析, 可分类解析 URL 字段 cookie Method Request body 等字段, 解析完成后对报文内容进行匹配特征库, 当匹配 SQL 注入跨站脚本攻击命令注入攻击等特征后,WAF 对报文采用阻断放行仅检测重定向等动作同时 WAF 的输出检测模块对服务器的响应协议头页面内容进行解析, 解析完成后对报文内容进行匹配特征库, 当匹配目录遍录错误信息信息泄露等特征后,WAF 对报文采用阻断放行仅检测重定向等动作协议重组检测技术在以往 IPS 设备检测模式下,IPS 只对攻击的第一个数据包进行匹配特征库, 黑客通常会使用 HTTP 慢攻击或包分片攻击绕过 IPS 检测,WAF 可将数据包的所有分片进行缓存后再检测, 如下图所示 : Copyright 2012 华为技术有限公司版权所有, 侵权必究 8

11 1.3.2 业务流程图 4 WAF 纵深安全防护业务处理流程图 4 中,WAF 先检查 HTTP 请求包头, 检查 HTTP 头部字段名是否符合协议规范性, 如使用不存在的请求方法或使用超长长度的字段, 检查头部字段值是否存在攻击, 如是否会在 URL cookie User-agent 等字段中插入攻击 WAF 检查 HTTP 请求包内容, 当请求方法为 post 时检查请求包内容是否存在攻击 WAF 检查 HTTP 返回包头, 检查头部字段名可实现服务器隐藏, 检查头部字段响应码信息, 可屏蔽服务器错误信息, 防止被黑客利用 ; WAF 检查返回包内容, 检查返回页面是否存在服务器信息泄露, 如信用卡号泄露主要特点 1 首创双引擎架构国内首创行为异常检测透明代理双引擎防护检测, 能提交非常高的效率命中率和准确率, 能很好地满足各种业务的需要除此之外还具有以下特点 : 可识别中文字符, 在提交内容对中文内容攻击特征混淆的攻击完美解析 ; 可识别大小写 url 编码 html 编码 base64 编码 16 进制编码 2 进制编码 %00 空字节编码等多种字符编码格式 ; 支持自定义规则库, 可基于不同条件组合, 如 HTTP 头部各字段 URL 地址 post 内容文件类型等字段, 实现正则匹配长度计算等于不等于等复杂的算法需求, 并设置阻断放行重定向等多种策略动作 ; 对 WEB 协议完美重组 Copyright 2012 华为技术有限公司版权所有, 侵权必究 11

12 2 细粒度的规则控制策略可细粒度定制特定策略, 实现不同需求的安全防护, 减少误判, 对条规则可实现 URL 级访问控制 3 业务纵深安全防御关注业务安全, 可有效防护应用层 CC 攻击商业爬虫恶意预定及抢购应用场景 WAF 纵深安全防护技术具有非常关阔的应用场景, 主要有以下几种 : 1 门户网站门户网站作为政府学校和企业等机构提供给互联网用户获取信息服务, 由于其信息业务公开, 将面临网站篡改网页挂马 SQL 注入攻击等多种 WEB 安全问题, 同时也面临上级单位和测评机构的安全检测的压力 2 网上办事网上办事业务一般由政府或企业为公众用户提供便民服务, 让用户可足不出户完成业务的办理, 如政府网上申报系统医院网上预约挂号系统报名考试系统等, 系统实用性强, 访问人数多, 像报名考试系统在高考中考结束后流量会出现井喷现象, 其系统要求可靠性高实时性强, 如果黑客恶意发起大量 DDOS/CC 攻击会造成系统不可用, 对网上办事用户造成严重影响, 另外网上办事系统提供投诉建议通道, 也会带来跨站脚本攻击的风险 3 电子商务电子商务平台随着网购的发展, 越来越多的企业投入到电子商务系统中, 越来越多的用户也选择这种方式进行网上交易, 电子商务平台包括网银系统运营商网上营业厅网购交易平台, 电子商务系统对业务可用性和实时性要求很高, 将面临数据泄露网站后门等多种 WEB 安全问题, 同时也面临同行的恶意竞争压力 Copyright 2012 华为技术有限公司版权所有, 侵权必究 12

13 1.4 纵深安全防护特例部署结构图 5 WAF 部署结构业务流程对照图 5 中, 流程如下 : 1 WEB 客户端访问先通过 Internet 将流量转发到防火墙 ; 2 防火墙对流量映射到相对应的 WEB 应用服务器 ; 3 WAF 对 WEB 应用流量进行过滤检测, 将合法的 WEB 流量转发到后端 WEB 应用服务器 ; 4 WEB 应用服务器将合法的请求转发到数据库服务器应用场景纵深安全防护可应用在所有 WEB 应用安全防护场景中 Copyright 2012 华为技术有限公司版权所有, 侵权必究 13

14 2 DDOS/CC 防护技术白皮书 2.1 DDOS/CC 防护背景 CC 攻击是指利用大量代理服务器对目标计算机发起大量连接, 导致目标服务器资源枯竭造成拒绝服务, 和传统的网络层 DDOS 攻击方法的不同的是,CC 攻击一般针对 WEB 页面进行攻击, 首先黑客会寻找比较耗费服务器资源的页面, 然后使用代理将 CC 攻击转发到服务器, 由于服务器接收到大量 CC 攻击, 而造成服务服务器资源枯竭, 从而造成拒绝服务,CC 攻击危害十分大, 严重影响网站的正常运行 2.2 DDOS/CC 防护技术 CC 攻击防护基于用户单位时间内发起请求的页面和请求数进行统计, 当 WAF 发现单个客户端在一定时间内发起非正常页面请求次数, 将该客户端锁定至黑名单中一定时间, 从而达到 CC 攻击的防御图 6 DDOS/CC 防护工作原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 14

15 2.3 DDOS/CC 防护业务部署结构部署结构请参阅 WAF 直路接入网络中, 通常部署在防火墙后端,WEB 应用服务器前端, 用于防护 DDOS/CC 攻击业务流程图 7 DDOS/CC 防护处理流程对照图 6 中, 流程如下 : 1 管理员先在 WAF 定义 DDOS/CC 规则 ; 2 当用户访问网站时,DDOS/CC 防护模块统计用户一定时间内请求页面的频率 ; 3 当监测到用户提交的频率超过设置的阈值时,DDOS/CC 防护模块将用户 IP 提取并转交给网络防火墙模块 ; 4 网络防火墙模块将该 IP 锁定一定时间, 在锁定时间内用户不能正常访问该网站的某页面主要特点 1 可识别应用层 IP 发起的 CC 攻击可基于用户的请求头部 X-Forwarded-For 字段识别真实黑客发起的 CC 攻击 ; 2 细粒度统计页面 Copyright 2012 华为技术有限公司版权所有, 侵权必究 15

16 可统计多个页面, 并支持每个页面单独统计 ; 3 可配置锁定时间可对用户锁定时间进行自定义配置应用场景 1 网上办事网上办事业务一般由政府或企业为公众用户提供便民服务, 让用户可足不出户完成业务的办理, 如政府网上申报系统医院网上预约挂号系统报名考试系统等, 系统实用性强, 访问人数多, 像报名考试系统在高考中考结束后流量会出现井喷现象, 其系统要求可靠性高实时性强, 如果黑客恶意发起大量 DDOS/CC 攻击会造成系统不可用, 对网上办事用户造成严重影响, 另外网上办事系统提供投诉建议通道, 也会带来跨站脚本攻击的风险 2 电子商务电子商务平台随着网购的发展, 越来越多的企业投入到电子商务系统中, 越来越多的用户也选择这种方式进行网上交易, 电子商务平台包括网银系统运营商网上营业厅网购交易平台, 电子商务系统对业务可用性和实时性要求很高, 将面临数据泄露网站后门等多种 WEB 安全问题, 同时也面临同行的恶意竞争压力 Copyright 2012 华为技术有限公司版权所有, 侵权必究 16

17 3 自学习建模及白名单防护技术白皮书 3.1 自学习建模及白名单防护背景 WAF 使用黑名单特征库防护攻击时, 对于 0day 攻击只能借助于特征库升级或自定义规则防护, 防护手段滞后, 而且在增加特征库后也会带来性能的损耗, 自学习建模及白名单防护技术应运而生, 自学习模建及白名单防护是指 WAF 通过对访问流量的自学习和概率统计算法实现自动生成策略规则 3.2 自学习建模及白名单防护技术策略自学习建模及白名单防护技术通过对访问流量的自学习和概率统计算法实现自动生成策略规则, 同时对网站的正常访问行为规律进行分析及总结, 生成一套针对网站特性的安全白名单规则, 用户访问时 WAF 对合法输入直接放行, 对不合法输入直接拦截, 而不需要再匹配多条黑名单特征库, 影响检测效率及准确率图 8 自学习建模及白名单防护原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 17

18 3.3 自学习建模及白名单防护业务部署结构部署结构请参阅 WAF 直路接入网络中, 通常部署在防火墙后端,WEB 应用服务器前端, 用于防护 WEB 攻击业务流程图 9 自学习建模及白名单防护处理流程对照图 9 中, 流程如下 : 1 首先开启自学习建模模块, 开启后首先对流量采样, 学习服务器存在的 URL 树和访问行为, 访问行为包括请求方法参数名参数类型参数长度及匹配频率 2 学习完成后生成白名单规则, 匹配动作为匹配不到拦截 3 用户访问时, 先通过白名单规则匹配, 发现异常流量直接拦截, 正常流量先转给黑名单规则模块进行过滤 4 白名单规则优先级比黑名单更高, 异常攻击流量无需经过多条黑名单规则进行匹配, 提高了流量清洗效率 Copyright 2012 华为技术有限公司版权所有, 侵权必究 18

19 3.3.3 主要特点 1 可自动学习 URL 树和请求方法请求参数参数类型和长度等信息 ; 基于专有的建模算法, 可自动学习到网站的 URL 树和请求方法请求参数参数类型和长度等信息, 并提供匹配率显示 ; 2 识别参数有效性基于应用识别算法, 可识别请求参数是否有效 ; 3 白名单规则可设置白名单规则动作为不匹配则拦截, 对攻击无需匹配大量黑名单特征库, 提升规则匹配效率应用场景自学习建模及白名单防护技术具有非常广阔的应用场景, 主要有以下几种 : 1 门户网站门户网站作为政府学校和企业等机构提供给互联网用户获取信息服务, 由于其信息业务公开, 将面临网站篡改网页挂马 SQL 注入攻击等多种 WEB 安全问题, 同时也面临上级单位和测评机构的安全检测的压力 2 网上办事网上办事业务一般由政府或企业为公众用户提供便民服务, 让用户可足不出户完成业务的办理, 如政府网上申报系统医院网上预约挂号系统报名考试系统等, 系统实用性强, 访问人数多, 像报名考试系统在高考中考结束后流量会出现井喷现象, 其系统要求可靠性高实时性强, 如果黑客恶意发起大量 DDOS/CC 攻击会造成系统不可用, 对网上办事用户造成严重影响, 另外网上办事系统提供投诉建议通道, 也会带来跨站脚本攻击的风险 3 电子商务电子商务平台随着网购的发展, 越来越多的企业投入到电子商务系统中, 越来越多的用户也选择这种方式进行网上交易, 电子商务平台包括网银系统运营商网上营业厅网购交易平台, 电子商务系统对业务可用性和实时性要求很高, 将面临数据泄露网站后门等多种 WEB 安全问题, 同时也面临同行的恶意竞争压力 Copyright 2012 华为技术有限公司版权所有, 侵权必究 19

20 4 高性能检测技术白皮书 4.1 高性能检测背景用户访问 WEB 应用时会调用大量图片 css 样式 js 脚本等静态文件, 而这部分文件通常不具备攻击条件, 华为 WAF 具备高性能模块对静态文件进行高速转发, 无需通过大量的特征库检测, 从而提升了网站访问性能 4.2 高性能检测技术当用户访问时,WAF 会检查其访问的文件类型, 发现访问文件类型为图片 CSS txt 等静态文件时,WAF 直接通过高性能检测模块进行线速转发, 而文件类型为 asp jsp 或 php 等动态文件则需要规则检测模块进行过滤后再转发到 WEB 应用服务器图 10 高性能检测工作原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 20

21 4.3 高性能检测业务部署结构部署结构请参阅 WAF 直路接入网络中, 通常部署在防火墙后端,WEB 应用服务器前端业务流程图 11 高性能检测处理流程对照图 11 中, 流程如下 : 1 用户访问网站时,WAF 高性能检测模块检测其访问文件类型, 发现文件类型为静态文件格式时, 无需通过规则库过滤检查直接线速转发 ; 2 文件类型为动态文件格式先通过高性能检测模块转发至规则检测模块过滤检查后再转发到后端服务器 Copyright 2012 华为技术有限公司版权所有, 侵权必究 21

22 4.3.3 主要特点 1 在保证攻击防护的同时提升访问效率网站访问流量一般为二八原则, 动态文件流量为 20%, 静态文件流量为 80%, 由于 WAF 对静态文件不实行规则检查, 但对存在攻击风险的文件格式仍进行规则检查, 因此既可保证攻击防护有效性, 同时又提升了用户访问效率 ; 2 仅对已知的静态文件高性能转发考虑到安全性,WAF 仅对常见的静态文件格式进行高性能转发, 而对未知的文件类型仍采取规则检测 ; 3 提升自身性能由于对大部分流量不作规则检测, 可大大减小 WAF 自身的性能开销应用场景高性能检测技术具有非常广阔的应用场景, 主要有以下几种 : 1 图片视频文件下载类网站由于这三类网站有大量的静态文件, 高性能检查技术可线速转发大量应用流量, 提升用户访问效率, 减小 WAF 自身性能开销 2 门户网站网上办事电子商务类网站高性能检查技术同样适用于传统网站 Copyright 2012 华为技术有限公司版权所有, 侵权必究 22

23 5 防篡改技术白皮书 5.1 防篡改背景据国家计算机网络应急技术处理协调中心 (CNCERT/CC) 统计, 有 18% 的政府网站曾被黑客篡改, 近年来, 网站被篡改的数目仍以每年 2-3 倍的速度在不断递增, 其形势十分严峻, 网站防篡改应运而生, 以往网站防篡改只以软件的形式进行安装部署, 其防护能力不如硬件 WAF, 所以 WAF 产品是否支持防篡改功能尤为重要 5.2 防篡改技术 WAF 防篡改基于缓存模块, 首先启动学习模式对用户访问网站的页面内容进行学习, 学习完成后将页面内容存储在缓存中, 当服务器页面发生篡改并有用户访问该页面时,WAF 首先会获取服务器的页面内容, 并和缓存中的页面内容进行水印比对, 当发现页面篡改时 WAF 则使用缓存中的页面返回给客户端, 达到视觉防篡改图 12 防篡改工作原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 23

24 5.3 防篡改业务部署结构部署结构请参阅 WAF 直路接入网络中, 通常部署在防火墙后端,WEB 应用服务器前端业务流程图 13 防篡改处理流程对照图 13 中, 流程如下 : 1 首先将 WAF 开启 WEB 缓存, 并开启防篡改学习模式 ; 2 当用户访问网站时,WAF 将静态文件保存到缓存模块中 ; 3 对网站的页面学习完成后, 将 WAF 开启防篡改防护模式 ; 4 WAF 在用户访问服务器页面时, 与后端服务器进行比对, 当页面发生篡改后,WAF 会对服务器上被篡改后的页面进行保存, 并返回客户端为原始页面主要特点 1 实现视觉篡改恢复当发生页面篡改时,WAF 则使用缓存中的页面返回给客户端, 达到视觉防篡改 ; Copyright 2012 华为技术有限公司版权所有, 侵权必究 24

25 2 支持定时防护模式支持在特定时间内启用学习模式, 可自动学习网站更新, 便于网站管理员更新时频繁切换学习和防护模式 3 支持篡改后页面恢复在网站页面发生篡改后,WAF 提供原始页面下载, 可对服务器的篡改后页面进行恢复应用场景门户网站门户网站作为政府学校和企业等机构提供给互联网用户获取信息服务, 由于其信息业务公开, 将面临网站篡改网页挂马 SQL 注入攻击等多种 WEB 安全问题, 页面发生篡改危害十分严重, 严重影响到门户网站的公众形象, 对信誉带来负面影响 Copyright 2012 华为技术有限公司版权所有, 侵权必究 25

26 6 自动侦测应用技术白皮书 6.1 自动侦测应用背景通常情况下管理员需要手工指定 WAF 需要防护哪些 WEB 应用, 当有大量的网站群需要防护时, 或者具有复杂的域名对应关系时通常难以手工对服务进行确认另一方面数据中心的 WEB 服务可能随着业务的增加而不断有新的服务开启, 此时我们的安全管理员可能并未被告知, 因此 WEB 服务的监测与自动发现有助于 WEB 应用的安全管理 6.2 自动侦测应用技术站点自动侦测可对经过 WAF 的流量自动学习, 从混杂流量中学习 WEB 协议信息, 从而获取 WEB 服务器 IP TCP 端口域名等信息, 对需要防护的 WEB 应用服务器按需添加至 WAF 的保护站点中图 14 站点侦测工作原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 26

27 6.3 自动侦测应用业务部署结构部署结构请参阅 WAF 直路接入网络中, 通常部署在防火墙后端,WEB 应用服务器前端业务流程图 15 站点侦测处理流程对照图 15 中, 流程如下 ; 1 首先将 WAF 开启站点侦测 ; 2 当用户访问网站时,WAF 从混杂流量中解析 WEB 协议信息, 并提取 WEB 服务器 IP TCP 端口域名等信息 ; 3 将 WEB 应用服务器信息按需添加至 WAF 的保护站点中主要特点可设置过滤公网 WEB 信息开启站点侦测后会学习到大量访问公网 WEB 信息, 对管理员会带来困扰, 可设置过滤公网 Copyright 2012 华为技术有限公司版权所有, 侵权必究 27

29 7 实时安全响应与告警技术白皮书 7.1 实时安全响应与告警技术背景 WAF 检测到报文中存在风险后, 可采取阻断重定向放行等处理动作, 对报文处理后通过管理界面查看, 并通过短信邮件和 syslog 等方式通知给管理员 7.2 实时安全响应与告警技术 WAF 通过检测模块对报文进行规则检查, 发现报文匹配特征后, 对报文可采取阻断放行重定向等处理动作, 采用阻断动作时 WAF 返回阻断页面给客户端, 采用放行动作则将报文转发给后端服务器, 采用重定向动作时 WAF 返回 HTTP 302 将页面重定向到其他页面对报文处理后, 管理员通过管理界面进行查看日志, 也可以通过短信邮件和 syslog 等方式通知给管理员图 16 实时安全响应及告警工作原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 29

31 7.3.2 业务流程图 18 实时安全响应及告警处理流程参照图 18 中, 流程如下 : 1 首先将 WAF 开启安全告警通知 ; 2 当用户访问网站时,WAF 对报文进行检测, 发现匹配规则库后对报文采取阻断重定向和放行等处理动作, 并产生告警日志 ; 3 WAF 将告警日志转交给安全告警模块, 由安全告警模块通过 admin 口将告警日志推送至邮件短信 syslog 日志服务器通知管理员主要特点 1 安全响应支持自定义阻断页面 WAF 对报文阻断后返回阻断页面, 可自定义阻断页面提示用户 ; 2 安全响应支持自定义状态码 WAF 对报文阻断后返回 HTTP 响应状态码, 可自定义 HTTP 响应状态码达到隐藏服务器指纹信息 ; 3 安全告警支持中 / 英文格式安全告警通知格式可支持中 / 英文, 中文可支持 UTF8 和 GBK 两种格式 4 安全告警支持阈值设置安全告警可根据触发条件, 如告警日志持续一定时间内超过多少条数, 并达到一定风险等级 Copyright 2012 华为技术有限公司版权所有, 侵权必究 31

33 8 透明代理技术白皮书 8.1 透明代理背景在 WEB 防护初期, 安全厂商为应对日益严重的安全问题, 推出了使用 IPS 架构的 WEB 应用防火墙, 此类技术架构由于缺少细粒度的 HTTP 协议解析能力缺乏灵活的特征匹配能力, 从而很难达到安全防御的预期 ; 之后新兴的安全公司以及国外主流的 WEB 应用防火墙厂商推出了以代理技术为基础的 WEB 应用防火墙此类技术架构的 WEB 应用防火墙防护能力强安全策略灵活, 但代理架构存在部署不透明性能偏低等问题 ; 结合多年 WEB 应用防火墙开发经验, 并吸收广大用户群体需求的基础上华为推出新一代 WEB 应用防火墙, 以透明 + 代理架构, 部署时对用户网络透明, 新一代 WEB 应用防火墙以用户网站为核心, 自动依据网站学习建模, 生成基于用户网站的专有安全规则, 因此防护更有针对性, 误判极低, 且性能得到更大的提升 8.2 透明代理技术 WAF 串接于网络中, 当用户访问网站服务器时,WAF 协议栈网络层判断目标 IP 是否为防护服务器 IP, 再由传输层判断目标端口是否为防护服务器 TCP 端口, 当匹配双因素后, 记录该数据包的源 IP 源 MAC 目标 IP 目标 MAC 等数据链路层信息, 并将流量牵引至 WAF 高性能检测模块, 由 WAF 高性能检测模块过滤静态文件后, 再将有风险的文件类型转交给自学习白名单 ->CC 检测 -> 黑名单特征库模块陆续进行规则检测, 检测无异常后转交给应用交付模块转发到后端服务器, 同理服务器返回的流量也需要经过这一过程 Copyright 2012 华为技术有限公司版权所有, 侵权必究 33

35 8.3.2 业务流程图 20 透明代理技术处理流程对照图 18 中, 流程如下 : 1 首先 WAF 使用透明代理模式部署 ; 2 当用户访问网站时,WAF 检测数据包的目标 IP 和 TCP 端口是否匹配保护站点, 匹配则牵引至高性能模块过滤静态文件 ; 3 动态文件则通过自学习白名单检测, 若不匹配规则拦截 ; 4 匹配白名单规则再转交给 CC 检测模块,CC 检测模块统计请求数 ; 发现请求数高拦截, 请求数未达到阈值转交给黑名单规则检测模块 ; 5 黑名单检测模块无异常后由应用交付模块转发到后端服务器主要特点 1 实现服务器隐藏客户端不直接与服务器建立连接, 可实现对服务器隐藏 ; 2 透明部署 Copyright 2012 华为技术有限公司版权所有, 侵权必究 35

37 9 高速缓存技术白皮书 9.1 高速缓存背景用户访问 WEB 应用时会调用大量图片 css 样式 js 脚本等静态文件, 网站访问流量一般为二八原则, 动态文件流量为 20%, 静态文件流量为 80%, 静态文件通常不会频繁更新, 使用高速缓存技术可减小服务器交互数据, 有效提高服务器处理性能 9.2 高速缓存技术 WAF 将用户访问过的静态文件 ( 如 jpg gif html 等文件 ) 缓存到物理内存中, 当另一用户也访问静态文件时,WAF 将直接返回给用户, 而无需再转发到服务器, 从而可以节省服务器的性能开销图 21 高速缓存工作原理 Copyright 2012 华为技术有限公司版权所有, 侵权必究 37

38 9.3 高速缓存业务部署结构部署结构请参阅 WAF 直路接入网络中, 通常部署在防火墙后端,WEB 应用服务器前端, 用于防护 WEB 攻击业务流程图 22 高速缓存处理流程参照图 22 中, 流程如下 : 1 首先 WAF 开启缓存 ; 2 当用户访问网站时,WAF 检测请求内容是否在缓存中, 若请求内容不在缓存中则将请求提交给服务器 ; 3 服务器将内容返回后,WAF 将请求文件和返回内容进行缓存 ; 4 若请求内容在缓存中, 则直接将缓存内容返回给客户端, 而无需再从服务器上获取 Copyright 2012 华为技术有限公司版权所有, 侵权必究 38

39 9.3.3 主要特点 1 缓存速率高缓存时将内容存储在高速内存中, 响应客户端效率高 ; 2 定期老化内容可定期对缓存内容进行清理, 并学习新的内容, 不会造成内容过时 ; 应用场景高速缓存技术具有非常广阔的应用场景, 主要有以下几种 : 1 图片视频文件下载类网站由于这三类网站有大量的静态文件, 高速缓存技术可大大减小服务器交互数据, 提升服务器处理性能 2 门户网站网上办事电子商务类网站高速缓存技术同样适用于传统网站 Copyright 2012 华为技术有限公司版权所有, 侵权必究 39

API参考

API参考文档版本 03 发布日期 2018-06-20 华为技术有限公司版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品