为什么要换掉传统Web应用防火墙（WAF）？

目前，由于潜在变现机会，Web应用已成为攻击者的首要目标。Web应用安全事件可能招致成百上千万美元的巨大损失。域名系统（DNS）相关服务中断和分布式拒绝服务（DDoS）也会对业务产生负面影响。众多安全对策中，Web应用防火墙是第一道防线。

时至今日，所有这一切发生了改变。Web应用存在于本地、云端或混合环境中，客户和雇员通过网络在任意地点加以访问。由于IP地址不断改变，且被内容分发网络（CDN）遮蔽，防火墙无法追踪访问请求源自何方、去向何处，也无法确知网络上正在发生什么。

WAF应该能抵御一系列复杂高端威胁。传统WAF以硬件设备形式实现，不仅难以使用，还深受可见性缺乏和性能低下之苦。以至于90%的公司企业声称自己的WAF太过复杂了。

波耐蒙研究所的调查研究显示，65%的公司企业经历过WAF失效，仅9%的公司企业WAF未遭突破。然而，这并不代表他们的WAF在未来永远不会被绕过。公司企业担心自身WAF的性能和安全不无道理。

图：波耐蒙《Web应用防火墙状态》

波耐蒙的研究还表明，仅40%的受访者满意自身现有WAF，也就是说他们并没有充分发挥其功效。少数公司承认仅将WAF用于产生安全警报，而不是阻止可疑活动。

Web应用标准不断发展变化，提高了对WAF必要功能的要求。

JSON有效负载和HTTP/2采纳的增长令大多数Web应用防火墙供应商疲于追赶。尽管市场预期不断创新，很多WAF供应商却越来越脆弱。

公司企业对网络扩展的需求加剧了成本、耗时和复杂性等挑战。设备集群的部署和维护变得非常复杂。

开发运维和敏捷方法需要持续重新配置和重新微调集群，耗干安全团队资源。

尽管能够有效监测Web流量以阻止特定于HTTP的攻击，WAF却对零日攻击束手无策。WAF用于检测预配置的模式，但零日漏洞可通过各种攻击途径加以利用，预配置的规则无法覆盖这些途径。

大多数WAF用户的另一个不满之处，是传统WAF会无意阻塞有效流量，也就是所谓的误报。尽管从安全角度考虑，这似乎相对无害，但对公司企业而言却可能是灾难性的。误报可能会阻止访客获取应用功能、上传媒体或购买产品。

解决这个问题的一个潜在方法是只应用最低限度的模式，但这可能会让网络更加脆弱。大多数WAF解决方案都难以平衡这一操作。除非投入专用资源加以管理，否则很难充分发挥传统WAF的效用。这就是传统WAF无法满足预期的最大缺陷。

最重要的是，DDoS难题困扰WAF安装。很多公司企业都使用WAF防止DDoS攻击。他们选择这么做主要是因为可以将WAF升级到具备缓解DDoS攻击的功能。

然而问题在于，传统WAF就不是用来抵御大规模DDoS攻击的。而且，现代应用由第三方平台共享或提供，靠本地防御层也保护不了。没有基于云的WAF，就难以规划前期容量，即使勉强规划，也依然存在上限。

应用和Web使用控制能够解决阻止哪类流量的问题。WAF采用多种标识类别来识别网站和网上应用的确切身份，确定该怎样处理这些网站和应用。

准确的流量分类是下一代WAF的核心。这么做可以防止公司企业访问可能导致法律问题或恶意/无关的网站和应用。

基于云的WAF不仅能够处理大多数Web应用正在经历的新兴攻击，还可稳定提升威胁可见性和改善数据分析。如果采用传统WAF，公司企业基本等于盲飞，只能期待一切都“好”，而事故总会发生。

WAF实时监视性能指标，突出显示基础设施、应用和最终用户的状态。可以信任WAF会按既定功能运行，让用户能在事件发生前早做准备。

新时代防火墙很清楚：即使合法网站也可能无意中存在漏洞，甚至可能含有链向恶意站点和恶意攻击载荷的链接。而且，即使知道常会含有恶意链接或恶意文件，公司企业有时候也会赋予社交媒体平台访问权。

AppTrana之类新时代WAF的主要好处，是能够提供与应用风险相关的WAF策略并持续执行。

基于云的安全平台能够利用其国际部署，维持完整的全球流量趋势洞察。此类安全平台监视和分析全球所有部署的流量，只要某个位置识别出安全威胁，全球所有部署都能收到更新并响应加强防御。

关键词：WAF；