什么是云waf

2019-05-16

Web应用防护系统（英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

当WEB应用越来越为丰富的同时，WEB 服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标。SQL注入、网页篡改、网页挂马等安全事件，频繁发生。

企业等用户一般采用防火墙作为安全保障体系的第一道防线。但是，在现实中，他们存在这样那样的问题，由此产生了WAF。与传统防火墙不同，WAF工作在应用层，因此对Web应用防护具有先天的技术优势。那么为什么不使用IPS(入侵防护系统)呢？如果把IPS比作一幢大楼的保安，那么WAF就是大楼里某某老板的贴身保镖，更具有针对性。

WAF分为非嵌入型与嵌入型，非嵌入型指的是硬WAF、云WAF、虚拟机WAF之类的；嵌入型指的是web容器模块类型WAF、代码层WAF。非嵌入型对WEB流量的解析完全是靠自身的，而嵌入型的WAF拿到的WEB数据是已经被解析加工好的。所以非嵌入型的受攻击机面还涉及到其他层面，而嵌入型从web容器模块类型WAF、代码层WAF往下走，其对抗畸形报文、扫操作绕过的能力越来越强，当然，在部署维护成本方面，也是越高的。

WAF的技术要点大致覆盖以下这些内容。

HTTP报文包体的解析

传输编码

内容编码

内容类型

字符集

溢量数据

HTTP协议兼容性

HTTP 0.9+流水线

Websocket、HTTP/2.0

高层数据

base64