【51CTO.com綜合報道】Web應用的日益普及和Web攻擊的與日俱增，讓Web安全問題備受關注。但對于正常流量中的危險分子，傳統的安全產品根本無能為力，此時，我們該靠什么來保護Web應用？Web應用防火墻無疑是最佳之選。但Web應用防火墻究竟是什么？它和傳統的安全產品有什么不同？應用起來又有要注意什么？請看《走出Web應用防火墻認識誤區》系列文章。

系列之五：WAF采購要點大揭密

現在，市場上存在著大量的真假Web應用防火墻產品，用戶對它的認識也不夠清晰，再加上業界缺乏Web應用防火墻的衡量標準，Web應用防火墻的好壞評判變得十分困難。

其實，要想選到一款好的Web應用防火墻并不難，考察以下幾個方面即可：

1.攻擊攔截能力

WAF最主要的功能就是防范Web攻擊，因此，攻擊攔截能力至關重要。一款好的WAF產品，對于針對Web服務器的各種流行攻擊都要具備強大的防御能力，還應該對數據泄密具備一定的監管能力，應該可以進行IP審計。而且，還應該可以及時、準確地發現異常的使用模式，并阻止目前未知的攻擊方法。

以梭子魚Web應用防火墻為例，它提供了強大的雙向掃描機制，對于HTTP請求提供URL、表單參數、報頭及Cookie等各種安全掃描，還提供強大的應用層DDoS防護以及強制瀏覽和跨站請求偽造攻擊防護。

2.服務配套能力

安全是需要不斷對抗的，安全產品提供者本身的技術實力也是非常關鍵。因此，產品畢竟只是一個工具，發生安全事件的時候廠商是否能夠提供應急服務、第一時間解決問題這也是需要考慮的。最后一步還需要考慮產品的易用性，如果一個產品帶來較高管理成本的話，這也是企業不太希望發生的。

以梭子魚為例，梭子魚的服務團隊會7×24小時監控互聯網的發展，不斷更新遍布全球的產品的規則庫，包括病毒庫、攻擊特征庫等。而且，專業的技術團隊、扎實的技術功底，使得梭子魚的售后服務也很到位，可以7×24小時快速響應用戶的問題和需求。主動防御功能，對流行功能能夠做好最好的防御。安全則不然，會有一直不停對抗的過程，這樣是需要特別關注的一點。產品是否能夠及時更新是很重要的。

3.可擴展性

Web應用防火墻在后臺連接的時候和Web服務器相關，但不能僅僅防護一臺服務器。很多企業的Web服務器數量龐大，Web應用防火墻還應該可以對應用交付和負載均衡提供支持。

像梭子魚Web應用防火墻，其簡單高效的負載均衡功能就可以確保組織機構的網站近乎100%的持續運行能力，并大大縮短響應時間，提升其客戶體驗。

4.合規性

有些行業都要面臨合規性需求，會要求組織機構提供相關的統計報表，WAF應該可以幫助組織機構輕松實現這方面的要求。像梭子魚Web應用防火墻就是CPI推薦的解決方案，完全能夠滿足塞班斯法案的各項要求。

5.參考WAFEC標準

WASC（Web應用安全協會）是一家非贏利的國際性專家社團，該組織推出了WAFEC（Web應用防火墻評價標準），以便研究出一套合理的測試方法，對大家可以Web應用防火墻產品的優劣進行測試和評價。目前，WAFEC已經被越來越多的廠家和用戶用來評測Web應用防火墻，該評價標準主要包括部署模式、HTTP協議支持、檢測技術、防御技術、審計、報告、管理、性能、XML、主動學習、認證等方面，可以在一定程度上幫助我們準確地比較和評價Web應用防火墻產品。

像梭子魚Web應用防火墻就完全符合WAFEC的評估標準，而且梭子魚還在密切跟蹤WASC的研究成果，時刻保持產品的技術領先性。