web应用防火墙(WAF)的基本原理是什么？
WAF，又名Web应用防火墙，能够对常见的网站漏洞攻击进行防护，例如SQL注入、XSS跨站等；目前WAF最基本的防护原理为特征规则匹配，将漏洞特征与设备自身的特征库进行匹配比对，一旦命中，直接阻断，这种方法能够有效防范已知的安全问题，但是需要一个强大的特征库支持，特征库需要保证定期更新及维护；但是对于零日漏洞（未经公开的漏洞），就需要设备建立自学习机制，能够根据网站的正常状态自动学习建立流量模型，以模型为基准判断网站是否遭受攻击。
WAF是什么意思？
你碰到网络安全和防火墙的专业高手了，帮你回答下，希望能帮到你：
在互联网应用高速发展的同时，承载Web信息系统的Web服务器也面临着巨大安全挑战。因此，针对Web应用层的防御产品WAF（WebApplicationFirewall，Web应用防火墙）产品已经成为构建客户网站安全解决方案的首要选择。
根据国家计算机网络应急技术处理协调中心（简称CNCERT/CC）的统计报告，2011年境内被篡改网站数量多达36612个，其中有不少是.com和.com.cn的域名类网站，甚至有一些.gov.cn域名类网站，网站的安全形势十分严峻。
WAF这一防御系统能够保护各网站Web服务器免受应用级入侵，它弥补了防火墙、IPS这类安全设备对Web应用攻击防护能力不足的问题。但是，市场上的WAF产品很多，WAF产品到底具备哪些功能才能满足国内客户对Web服务器防护的需求？客户会陷入功能、性能、易用性的选择性困惑中。事实上，无论是国内还是国外的WAF产品，除了HTTP协议吞吐能力一般必须达到200M至8G之间的最基本的性能要求之外，功能的诉求点概括起来不外乎五个方面，如图所示：
首先，WAF产品应该具有Web非授权访问的防护功能。这类攻击会在客户端毫不知情的情况下，窃取客户端或者网站上含有敏感信息的文件，譬如Cookie文件，通过盗用这些文件，对一些网站进行未授权情况下的行为操作，譬如转账等行为，因此，针对这类的防护，需要特别留意。另外，WAF产品必须要具备针对跨站请求伪造（Cross-siterequestforgery，CSRF）攻击的防护功能。
其次，WAF产品应该具备对Web攻击的防护功能。这类攻击主要包含了SQL注入攻击和XSS跨站攻击。一般来说SQL注入攻击利用Web应用程序不对输入数据进行检查过滤的缺陷，将恶意的SQL语句注入到后台数据库，达到窃取（篡改）数据，控制服务器的目的。XSS攻击指恶意攻击者往Web页面里插入恶意代码，当受害者浏览该Web页面时，嵌入其中的代码会被受害者的Web客户端执行，达到恶意攻击的目的。另外，WAF产品还应该具备对应用层DoS攻击的防护能力，譬如目前最常见就是HTTPFlood攻击（如：CC攻击），这是WAF产品较高的技术准入门槛。
第三，WAF产品应该具备Web恶意代码的防护功能。譬如，WebShell就是一个ASP或PHP木马后门，攻击者在入侵网站后，常常将这些木马后门文件放置在Web服务器的站点目录中，与正常的页面文件混在一起，这就要求WAF产品能准确识别和防护。另外，还有对网页挂马的防护，一般这类攻击的主要目的是让用户将木马下载到本地，并进一步执行，从而使用户电脑遭到攻击和控制，最终目的是盗取用户的敏感信息，如各类账号、密码，因此这类功能也是WAF产品需要具备的基础功能。
第四，WAF产品应该具备基本的应用交付能力。应用交付是指应用交付网络（ApplicationDeliveryNetworking，ADN），它借助WAF产品对网络进行优化，确保用户的业务应用能够快速、安全、可靠地交付给内部员工和外部服务群。通常情况下，多服务器负载均衡是WAF产品常见的应用交付形态。
最后，WAF产品应该具备Web应用合规功能。应用合规是指客户端或者Web服务器所做的各类行为符合用户设置的规定要求，譬如基于URL的应用层访问控制和HTTP请求的合规性检查，都属于Web应用合规所强调的功能。在国际上PCI-DSS标准、国内相关部门的合规规章制度要求下，尤其是，企业或政府机构中遵从的公安部等级保护的要求下，WAF产品的应用合规已经成为客户十分重视的基础功能。
如果是了解WAF知识和最新技术及解决方案，那就直接去应用交付全球领导者F5公司官网，不懂还可以免费咨询：www.f5.com.cn
如何判断waf攻击日志是否误判
之前写了一篇《WAF防御能力评测及工具》，是站在安全运维人员选型WAF产品的角度来考虑的(优先从测试角度考虑是前职业病，毕竟当过3年游戏测试!)。本篇文章从WAF产品研发的角度来YY如何实现一款可靠的WAF，灵感来自ModSecurity等，感谢开源。本片文章包括三个主题(1)WAF实现WAF包括哪些组件,这些组件如何交互来实现WAF防御功能(2)WAF规则(策略)维护规则(策略)如何维护，包括获取渠道，规则测试方法以及上线效果评测(3)WAF支撑WAF产品的完善需要哪些信息库的支撑一、WAF实现WAF一句话描述，就是解析HTTP请求(协议解析模块)，规则检测(规则模块)，做不同的防御动作(动作模块)，并将防御过程(日志模块)记录下来。不管硬件款，软件款，云款，核心都是这个，而接下来围绕这句话来YYWAF的实现。WAF的实现由五个模块(配置模块、协议解析模块、规则模块、动作模块、错误处理模块)组成1.配置模块设置WAF的检测粒度，按需开启,如图所示WAF的实现-碳基体-碳基体2.协议解析模块(重点)协议解析的输出就是下一个模块规则检测时的操作对象，解析的粒度直接影响WAF防御效果。对于将WAF模块寄生于web服务器的云WAF模式，一般依赖于web服务器的解析能力。
网站安全防护（WAF）有什么用
网站安全防护(WAF)一款通过对http请求的检测分析，为Web应用提供实时防护的安全产品。WAF是Web Application Firewall的缩写，WAF是云盾提供的一项安全服务，为云主机提供WEB安全防护服务，能够有效防黑客利用应用程序漏洞入侵渗透。
网站安全防护的主要功能：
漏洞攻击防护:网站安全防护目前可拦截常见的web漏洞攻击，例如SQL注入、XSS跨站、获取敏感信息、利用开源组件漏洞的攻击等常见的攻击行为。
虚拟补丁:网站安全防护可提供0Day，NDay漏洞防护。当发现有未公开的0Day漏洞，或者刚公开但未修复的NDay漏洞被利用时，WAF可以在发现漏洞到用户修复漏洞这段空档期对漏洞增加虚拟补丁，抵挡黑客的攻击，防护网站安全。
WAF是什么设备
Web应用防护系统（也称：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
应用功能
审计设备
对于系统自身安全相关的下列事件产生审计记录：
（1）管理员登陆后进行的操作行为。
（2） 对安全策略进行添加、修改、删除等操作行为。
（3） 对管理角色进行增加、删除和属性修改等操作行为。
（4） 对其他安全功能配置参数的设置或更新等行为。
访问控制设备
用来控制对Web应用的访问，既包括主动安全模式也包括被动安全模式。
架构/网络设计工具
当运行在反向代理模式，他们被用来分配职能，集中控制，虚拟基础结构等。
WEB应用加固工具
这些功能增强被保护Web应用的安全性，它不仅能够屏蔽WEB应用固有弱点，而且 能够保护WEB应用编程错误导致的安全隐患。
需要指出的是，并非每种被称为Web应用防火墙的设备都同时具有以上四种功能。
同时WEB应用防火墙还具有多面性的特点。比如从网络入侵检测的角度来看可以把WAF看成运行在HTTP层上的IDS设备;从防火墙角度来看，WAF是一种防火墙的功能模块;还有人把WAF看作“深度检测防火墙”的增强。（深度检测防火墙通常工作在的网络的第三层以及更高的层次，而Web应用防火墙则在第七层处理HTTP服务并且更好地支持它。）
特点
异常检测协议
Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。
增强的输入验证
增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。从而减小Web服务器被攻击的可能性。
及时补丁
修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来什么样的危害。WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间内屏蔽掉这个漏洞。当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。
（附注：及时补丁的原理可以更好的适用于基于XML的应用中，因为这些应用的通信协议都具规范性。）
基于规则的保护和基于异常的保护
基于规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则库，并时时为其更新。用户可以按照这些规则对应用进行全方面检测。还有的产品可以基于合法应用数据建立模型，并以此为依据判断应用数据的异常。但这需要对用户企业的应用具有十分透彻的了解才可能做到，可现实中这是十分困难的一件事情。
状态管理
WAF能够判断用户是否是第一次访问并且将请求重定向到默认登录页面并且记录事件。通过检测用户的整个操作行为我们可以更容易识别攻击。状态管理模式还能检测出异常事件（比如登陆失败），并且在达到极限值时进行处理。这对暴力攻击的识别和响应是十分有利的。
其他防护技术
WAF还有一些安全增强的功能，可以用来解决WEB程序员过分信任输入数据带来的问题。比如：隐藏表单域保护、抗入侵规避技术、响应监视和信息泄露保护。