ウェブサイトのセキュリティ保護におけるWAFファイアウォールの役割について議論する

ショートビデオ、セルフメディア、インフルエンサーのためのワンストップサービス

この記事の主な内容は、WAF の基本的な概念を詳しく説明することです。 WAF は、Web ベースのプログラムの動作を保護するために特別に設計されています。WAF バイパスに関する当社の研究の目的は、セキュリティ担当者が侵入テストでの検出方法を習得できるように支援し、セキュリティ機器メーカーにセキュリティに関する提案を提供して、WAF に存在するセキュリティ問題を迅速に修正し、WAF の整合性と攻撃防止機能を向上させることです。 3 番目に、Web サイト開発者は、WAF を導入した後でただ座ってリラックスすることはできないことを理解してほしいと思います。システムの脆弱性の直接的な原因を理解し、できればコード内で修正する必要があります。

1. WAFの定義

WAF（Webサイト・Webアプリケーション・サーバー・ファイアウォール）は、HTTP/HTTPS用の一連のセキュリティポリシーを実装することでWebアプリケーションを保護することに特化したセキュリティ保護製品です。簡単に言えば、WAF 製品は特定の検出基準を統合し、生成された基準に従って各リクエストの内容を検出し、セキュリティ標準を満たしていないものに対して適切な防御ソリューションを作成し、Web アプリケーションのセキュリティと合法性を確保します。

2. WAFの原理

WAFソリューションのプロセスは、大まかに準備処理、標準検出、ソリューション制御モジュール、システムログ記録の4つの部分に分けられます。

1. 準備処理

前処理段階では、データ要求トラフィックを受信すると、まず HTTP/HTTPS 要求であるかどうかを判別し、次に URL 要求が許可リスト内にあるかどうかを確認します。URL 要求が許可リスト内にある場合は、バックエンド Web サーバーに直接渡されて応答処理が行われます。許可リスト内にない場合は、データ ファイルが分析され、標準検査部分に入ります。

2. 標準検査

各 WAF 製品には独自の検査基準管理システムがあり、分析されたデータ ファイルは検査システムに入り、基準マッチングによってデータ要求が基準を満たしているかどうかが確認され、意図的かつ攻撃的な動作が識別されます。

3. 制御モジュールを解く

異なるテスト結果に対して、処理制御モジュールは異なるセキュリティ防御アクションを実行します。基準を満たしている場合は、バックエンド Web サーバーに渡されて応答処理が行われます。基準を満たしていない要求については、関連する分離、記録、およびアラーム処理が実行されます。

異なる WAF 製品では、異なるコンテンツ ページをブロックするようにカスタマイズされます。日常のセキュリティ侵入では、異なるブロック Web ページに基づいて Web サイトがどの WAF 製品を使用しているかを特定し、ターゲットを絞って WAF バイパスを実行することもできます。

4. システムログ記録

WAF は、処理中に処理をブロックしたシステム ログも記録するため、ユーザーは後でログを表示して分析できます。

3. WAFの分類

1. ソフトWAF

ソフトウェア WAF ファイアウォールのインストール プロセスは非常に簡単で、ワンクリックでインストールできます。セキュリティ保護が必要な Web サーバーにインストールし、ソフトウェアの形で保護機能を有効にします。代表的な製品には、SINESAFE、D Shield などがあります。

2. ハードWAF

ハードウェア WAF の価格は一般的に比較的高価です。Web サーバーのフロントエンドに展開し、異常な外部トラフィックを識別してブロックし、Web アプリケーションのセキュリティ保護を提供するさまざまな方法をサポートしています。つまり、製品にはImperva、Tianqing WAGなどが含まれます。

3. クラウドWAF

Cloud WAF はメンテナンスコストが低く、ハードウェア機器の導入も不要です。Cloud WAF のブロック基準は自動的に更新されます。クラウド WAF を導入した Web サイトの場合、送信データ リクエストはまずクラウド WAF ノードによって標準チェックを受けます。リクエストが WAF ブロック基準に一致する場合、WAF によってブロックされます。正常で安全なリクエストは、応答処理のために実際の Web サーバーと共有されます。つまり、製品には Alibaba Cloud Server Cloud Shield、Tencent Cloud Service WAF などが含まれます。

4. カスタムWAF

日常的な侵入テストでは、Web サイトの開発者自身が作成したセキュリティ保護標準に遭遇することがよくあります。ウェブサイトのセキュリティのため、ウェブサイト開発者は、機密文字のフィルタリング、潜在的に脅威となる文字のエンコードとエスケープなど、攻撃を受ける可能性のある領域にセキュリティ保護コードを追加します。侵入テストのニーズがある場合は、専門のウェブサイト セキュリティ会社に依頼して対応してもらえます。

元のタイトル: ウェブサイトのセキュリティ保護における WAF ファイアウォールの役割について

キーワード: ウェブサイトのセキュリティ保護、ウェブサイトの脆弱性、ウェブサイトのファイアウォール