WEB應(yīng)用防火墻之前世今生——展望
混沌中的等待
眾多政府對外服務(wù)網(wǎng)站、IDC托管服務(wù)器、電子交易網(wǎng)站等Web應(yīng)用系統(tǒng)長期以來一直被Web應(yīng)用攻擊所困擾，隨之而來的是名譽受損、客戶投訴、法律糾紛、商業(yè)損失等一系列問題。部署專業(yè)的針對Web應(yīng)用交互數(shù)據(jù)進行檢測并提供防御的產(chǎn)品成為一種很有必要的選擇。然而，迄今為止，前面提到的這種產(chǎn)品，也就是Web應(yīng)用防火墻（WEB應(yīng)用防火墻）在國內(nèi)的成長之路并不平坦。
由于國內(nèi)相關(guān)機構(gòu)尚未WEB應(yīng)用防火墻產(chǎn)品做出明確的定義，而又不能用傳統(tǒng)防火墻的技術(shù)標(biāo)準(zhǔn)來對WEB應(yīng)用防火墻進行檢測，所以相關(guān)廠商在將WEB應(yīng)用防火墻送檢時只能將其稱為"Web應(yīng)用策略控制器"、"Web應(yīng)用防護設(shè)備"，或者"Web應(yīng)用安全網(wǎng)關(guān)"。
梭子魚公司中國總經(jīng)理何平說："標(biāo)準(zhǔn)的缺失使得WEB應(yīng)用防火墻產(chǎn)品之間沒有可比性，也降低了市場進入的門檻?，F(xiàn)在市場上存在著大量的偽WEB應(yīng)用防火墻產(chǎn)品，加上不少用戶對WEB應(yīng)用防火墻的認識不夠清晰，這兩個因素直接導(dǎo)致WEB應(yīng)用防火墻產(chǎn)品陷入了價格戰(zhàn)。"目前，國內(nèi)的WEB應(yīng)用防火墻市場還處于一個混沌期，要想拿出一個比較成型的標(biāo)準(zhǔn)，還需要一兩年的時間。何平表示，隨著國內(nèi)用戶需求的逐漸清晰和細化，WEB應(yīng)用防火墻產(chǎn)品的事實標(biāo)準(zhǔn)將逐漸形成。
在國外，WEB應(yīng)用防火墻的評價標(biāo)準(zhǔn)正在逐步完善中。WASC（Web Application Security Consortium，Web應(yīng)用安全協(xié)會）是一家非贏利的國際性專家社團，該組織推出了WAFEC（Web Application Firewall Evaluation Criteria，WEB應(yīng)用防火墻評價標(biāo)準(zhǔn)），目的是研究出一套WEB應(yīng)用防火墻的評價標(biāo)準(zhǔn)，同時研究出一套測試方法，使得有經(jīng)驗的工程師可以使用WAFEC中提到的知識，獨立地對WEB應(yīng)用防火墻產(chǎn)品的優(yōu)劣進行測試和評價。WAFEC現(xiàn)在被越來越多的廠家和用戶用來評測WEB應(yīng)用防火墻，該評價標(biāo)準(zhǔn)主要包括以下幾個方面：部署模式、HTTP協(xié)議支持、檢測技術(shù)、防御技術(shù)、審計、報告、管理、性能、XML、主動學(xué)習(xí)、認證等。
有了這個標(biāo)準(zhǔn)，用戶就可以去準(zhǔn)確地比較和評價WEB應(yīng)用防火墻產(chǎn)品。據(jù)何平介紹，梭子魚的WEB應(yīng)用防火墻產(chǎn)品完全符合WAFEC的評估標(biāo)準(zhǔn)。同時，梭子魚也在密切跟蹤WASC的研究成果，時刻保持產(chǎn)品的技術(shù)領(lǐng)先性。
【編輯推薦】
