一 業(yè)務(wù)上云面臨新的WEB安全挑戰(zhàn)

當(dāng)前各組織機(jī)構(gòu)普遍積極擁抱業(yè)務(wù)云化，推動(dòng)數(shù)字化改革。在業(yè)務(wù)云化以及建設(shè)私有云平臺(tái)的過(guò)程中，用戶不僅面臨各類常見Web攻擊，也會(huì)遭遇虛擬化場(chǎng)景的威脅，例如未經(jīng)授權(quán)訪問(wèn)、虛擬機(jī)逃逸、敏感信息泄露等。面對(duì)日益頻繁和多樣化的Web攻擊，各單位亟須建設(shè)和完善云環(huán)境下的Web安全防護(hù)能力。

在云化部署要求下，客戶也面臨了諸多挑戰(zhàn)：

. 客戶業(yè)務(wù)部署在多種云上，安全產(chǎn)品要兼容各種公有云/私有云平臺(tái)；

. 客戶集團(tuán)業(yè)務(wù)多種多樣，安全產(chǎn)品如何實(shí)現(xiàn)集中管理，各業(yè)務(wù)部門分開運(yùn)營(yíng)；

. 根據(jù)國(guó)產(chǎn)化替換要求，對(duì)于國(guó)產(chǎn)化操作系統(tǒng)/硬件平臺(tái)/虛擬機(jī)系統(tǒng)要全面兼容；

. 安全部署形式需要跟隨業(yè)務(wù)部署方式，虛擬化/容器化/云原生等業(yè)務(wù)環(huán)境下如何部署業(yè)務(wù)安全。

二 私有云環(huán)境對(duì)WEB防護(hù)提出新要求

虛擬化環(huán)境的特性對(duì)WEB防護(hù)產(chǎn)品提出了新的要求，具體包括：

. 需要支持虛擬化交付形態(tài)，且與硬件設(shè)備具備同等效果的防護(hù)能力，面向租戶提供彈性、可擴(kuò)展以及按需的WEB防護(hù)，防御OWASP TOP 10的各類WEB攻擊，例如：Web服務(wù)器/插件防護(hù)，爬蟲防護(hù)，跨站腳本防護(hù)，跨站請(qǐng)求偽造防護(hù)，Cookie安全，暴力破解防護(hù)，XML攻擊防護(hù)等。

. 需要支持主流虛擬化環(huán)境下的自動(dòng)化部署和管理，要求虛擬化WAF能夠支持適配多種云平臺(tái)，降低因安全策略與虛擬化資源變更不同步引入的風(fēng)險(xiǎn)。

. 需要能夠支持提供細(xì)粒度的WEB安全策略，針對(duì)特定虛擬機(jī)VM的進(jìn)、出流量進(jìn)行檢測(cè)和防護(hù)。

. 需要能夠支持多樣化的靈活部署，包括串聯(lián)、反向代理、旁路部署等，實(shí)現(xiàn)云場(chǎng)景下的快速簡(jiǎn)易部署。

三 綠盟私有云WEB安全解決方案

綠盟科技作為國(guó)內(nèi)WAF領(lǐng)導(dǎo)者，有16年的攻防能力積累，連續(xù)4年進(jìn)入Gartner WAF魔力象限。綠盟科技全新推出WAF虛擬化版本，即：vWAF，為虛擬化數(shù)據(jù)中心提供彈性、可擴(kuò)展、按需的解決方案。綠盟vWAF具備與硬件系列一致的防護(hù)能力，緩解OWASP Top 10風(fēng)險(xiǎn)，對(duì)于應(yīng)用層DDoS、網(wǎng)站敏感信息泄露、Web service安全均有經(jīng)市場(chǎng)驗(yàn)證、成熟的防護(hù)方案。

四 綠盟vWAF產(chǎn)品特色

綠盟vWAF的產(chǎn)品特色具體如下：

vWAF靈活輕便，擴(kuò)展性強(qiáng)

在云和虛擬化環(huán)境，綠盟vWAF自身支持通過(guò)證書實(shí)現(xiàn)無(wú)縫升級(jí)，客戶可以根據(jù)業(yè)務(wù)需求按需采購(gòu)和彈性擴(kuò)展。同時(shí)，可以通過(guò)負(fù)載均衡流量分發(fā)方案提供高可用性、負(fù)載分擔(dān)、橫向擴(kuò)展。當(dāng)業(yè)務(wù)流量發(fā)生突增時(shí)，能快速拉起新的vwaf，規(guī)避硬件WAF申請(qǐng)的多個(gè)環(huán)節(jié)，縮短業(yè)務(wù)割接時(shí)間。目前，虛擬化WAF支持反向代理和插件化集群部署。

vWAF支持適配多種云環(huán)境

綠盟vWAF虛擬機(jī)鏡像部署支持多種形態(tài)，包括：vmdk，ova，qcow2，raw，并且支持docker容器化部署；支持部署在亞馬遜云AWS、微軟云Azure、華為云、阿里云、騰訊云、天翼云、聯(lián)通沃云、浪潮云等14種云平臺(tái)。同時(shí)，虛擬化WAF全面支持國(guó)產(chǎn)化環(huán)境：支持的服務(wù)器CPU包括海光(X86)、飛騰（ARM）；操作系統(tǒng)包括統(tǒng)信、麒麟。

支持集中管理，分域運(yùn)維

對(duì)于集群化場(chǎng)景，綠盟ESPC能夠?qū)Χ嗯_(tái)vWAF進(jìn)行集中管理，完成設(shè)備的上下線管理，性能監(jiān)控，日志管理，策略的批量下發(fā)；同時(shí)還能支持業(yè)務(wù)劃域管理，不同的業(yè)務(wù)域可以分配不同的安全策略，交予不同的業(yè)務(wù)部門進(jìn)行安全運(yùn)營(yíng)和管理。

vWAF支持高規(guī)格擋位

除了原有應(yīng)用層吞吐50Mbps~1000Mbps，5個(gè)型號(hào)外，新版本vWAF還增加了應(yīng)用層吞吐3Gbps，6Gbps，10Gbps，三個(gè)新的型號(hào)，滿足私有云場(chǎng)景高性能WEB防護(hù)需求。

vWAF部署靈活，運(yùn)維簡(jiǎn)單

綠盟vWAF能夠支持多樣化部署模式，包括：串聯(lián)部署、旁路部署、反向代理部署；產(chǎn)品支持提供QGA接口并支持VMtools，實(shí)現(xiàn)初始化實(shí)例工作自動(dòng)化；并提供開放RESTful API接口，實(shí)現(xiàn)產(chǎn)品能力全API化，滿足云管理平臺(tái)對(duì)接需求，實(shí)現(xiàn)高效、自動(dòng)化運(yùn)維。

vWAF支持提供細(xì)粒度WEB防護(hù)策略

虛擬化WAF部署于虛擬化環(huán)境，支持特定VM、包頭、包內(nèi)容的細(xì)粒度安全檢測(cè)防護(hù)。

vWAF支持排除硬件故障風(fēng)險(xiǎn)

對(duì)于硬件WAF可能存在的CF卡、硬盤、網(wǎng)卡、SSD卡等硬件故障風(fēng)險(xiǎn)，以及由硬件故障帶來(lái)的業(yè)務(wù)中斷風(fēng)險(xiǎn)，都可以有效規(guī)避。

五 綠盟vWAF護(hù)航私有云WEB安全

多層次的安全機(jī)制

綠盟vWAF通過(guò)檢測(cè)針對(duì)應(yīng)用程序、插件、Web Server和網(wǎng)絡(luò)的攻擊來(lái)保護(hù)Web應(yīng)用程序和下層的基礎(chǔ)設(shè)施。除了多種基于規(guī)則的檢測(cè)外，vWAF安全機(jī)制還包括：可以通過(guò)交互式地驗(yàn)證客戶端用戶行為來(lái)追蹤自動(dòng)化攻擊、通過(guò)自學(xué)習(xí)和白名單在一定程度上抵御0day攻擊和通過(guò)過(guò)濾從服務(wù)器端返回客戶端的敏感信息。

基于用戶資產(chǎn)視角提供防護(hù)

綠盟vWAF重點(diǎn)關(guān)注私有云用戶的Web服務(wù)器資產(chǎn)，以IP地址、端口、OS以及Web服務(wù)等信息作為組織Web安全解決方案的依據(jù)，生成最貼合資產(chǎn)環(huán)境的安全策略，提供精準(zhǔn)、高效的Web安全防護(hù)。

優(yōu)化的配置向?qū)?/strong>

在豐富的客戶服務(wù)經(jīng)驗(yàn)基礎(chǔ)上，綠盟vWAF在定義客戶的Web服務(wù)器資產(chǎn)時(shí)提供了一個(gè)優(yōu)化的配置向?qū)?。這個(gè)配置向?qū)ㄟ^(guò)在增加Web站點(diǎn)的過(guò)程中向用戶詢問(wèn)信息，一步一步地引導(dǎo)用戶精確地定義資產(chǎn)環(huán)境，并根據(jù)資產(chǎn)環(huán)境提供最優(yōu)的安全策略，在顯著地簡(jiǎn)化和方便了安全配置的同時(shí)，實(shí)現(xiàn)了對(duì)規(guī)則的精準(zhǔn)利用。

通過(guò)云安全服務(wù)提供應(yīng)急響應(yīng)

通過(guò)聯(lián)動(dòng)綠盟科技云安全服務(wù)的支撐（MSS for WAF），綠盟vWAF可以實(shí)現(xiàn)與綠盟科技云安全中心對(duì)接和同步，由安全專家團(tuán)隊(duì)協(xié)助用戶對(duì)網(wǎng)站安全隱患和遭受的攻擊威脅進(jìn)行7*24小時(shí)全天候監(jiān)控，從事前檢測(cè)防御、事中響應(yīng)防護(hù)、事后持續(xù)監(jiān)控的角度，最大限度降低Web應(yīng)用安全風(fēng)險(xiǎn)。