Web应用防火墙：网络安全模型和配置
Web Application Firewall: Network Security Models and Configuration

摘要

部署Web应用程序防火墙（WAF）是为了保护Web应用程序，只要配置正确，它们就可以提供深度安全性。当过度依赖这些工具时，就会出现问题。通过WAF的实现可以获得错误的安全感。在本文中，我们对流量过滤模型进行了概述，并提出了一些利用web app防火墙的建议。

关键词：Web应用程序、防火墙、网络安全、STEM职业。

I.简介

在我们的日常活动中，如网上银行、机票预订以及与他人共享数据时，对web应用程序的依赖是必不可少的。开发Web应用程序是为了基于服务器端实现为HTML页面提供服务，这些实现可以用各种语言（如PHP和ASP）完成。他们通常也有一个后端数据库，比如MySQL。但是，应用程序包含漏洞，攻击者可能会利用这些漏洞牟利[1]。

常见的错误包括SQL注入、跨站点请求伪造、电子邮件注入、会话劫持、cookie窃取、跨站点脚本等。应用程序开发人员有责任确保输入数据得到验证或净化，并检查代码是否存在漏洞。即使开发人员准确地实现了程序，由于使用默认服务器配置，仍可能会出现一些漏洞[3]。

此外，遗留应用程序可能会部署数年而不进行更新，这会使它们容易受到安全漏洞的影响。因此，需要额外的一层保护。

Web应用程序防火墙（WAF）对客户端和服务器端之间发生的网络流量执行深度数据包检查。通过分析客户端和服务器之间传输的数据，WAF可以识别可能的攻击，即使实现可能缺少此类检测。

市场上已经有许多WAF。其中包括梭鱼、蜜蜂软件、漏洞安全、Citrix、F5、Fortinet和Imperva。最常见的WAF之一是Apache的Mod Security。（F5）Mod Security在LAMP环境中很流行，因为它是开源的、免费的，并且与Apache服务器一起工作。它允许执行简单过滤、基于正则表达式的过滤、URL编码验证、Unicode编码验证、审核、空字节攻击检测、上载内存限制冲突和服务者身份屏蔽，仅举几例[3]。

二.防火墙规则模型

基于策略类型，WAF可以有两种类型的安全模型：正面或负面。积极的安全模型只允许符合策略的流量通过。所有其他流量都被封锁了。负面安全模型允许所有流量通过，并试图仅阻止由恶意规则表示的流量。通常，大多数防火墙使用积极或消极规则，很少同时使用这两种规则[4]。

在积极安全模型中，分析数据包以确保信息是允许的。例如，输入字段应仅为数字。如果传入字符不是数字，则定义的规则将不允许将输入路由到目标。积极安全模型使用的其他一些示例包括过滤本应包含电子邮件地址但包含非电子邮件地址（如邮政编码等）的邮件，或过滤长度为80个字符或更少的输入字段，但输入超出了长度。市场上的一些WAF首先经过一个培训期，在测试使用期间对web应用程序进行分析。这有助于防火墙了解应用程序通常需要什么类型的输入。学习配置文件后，防火墙开始自动配置安全规则以验证输入数据。

Imperva的web应用程序防火墙就是以这种方式工作的，它需要一段培训期或手动配置[5]。手动配置WAF的缺点是，负责配置的安全专业人员必须知道应用程序要处理的所有可能的有效和无效输入和输出。例如，为了防止SQL注入攻击，应在白名单模式（积极规则）中配置WAF，其中允许对应用程序的所有合法请求，并且默认情况下阻止所有其他请求。但是，黑名单策略可用于过滤器的部署模式[6]。白名单需要广泛的规划和对web应用程序和可接受的、经批准的输入值的全面了解。微调WAF需要花费大量的时间和资源，并且需要对系统有广泛的了解。Mod Security中的白名单规则示例如下所示：

<Location /var/www/html/myapp/index.php>
SecRule &ARGS “!@eq 1”
SecRule ARG_NAMES “!^search$”
SecRule ARGS:search “!^\d{a-z}$”
</Location>

 上述示例适用于index.php 文件的处理。它定义了输入参数的可接受值（例如，值不等于1）以及名为search的参数的名称（例如，名称不应包含$characters）。

在负安全模型中，检查数据包；如果某个内容被识别为恶意，则该数据包将被阻止。由于黑客总是在寻找绕过安全策略的新方法，仅此模型可能还不够。例如，将输入字符列入黑名单可能不够，因为黑客可能会混淆字符以绕过输入验证来执行电子邮件注入。

如果WAF中仅使用负模型，黑客可能会绕过检查。例如，WAF可能将文本“or 1=1-”列入黑名单；然而，“or 2=2-可能未被发现。因此，建议将负模型和正模型相结合，以获得更好的保护。

三、 防火墙的配置

Web应用程序防火墙的配置需要具有Web应用程序技术知识的人员了解哪些信息应该被允许，哪些信息不应该被允许。此外，承载web应用程序的web服务器通常不仅仅包含一个web应用程序：可能有多个应用程序在同一台服务器上运行。该服务器上设置的配置必须适合运行的每个web应用程序。所需的政策可能相互冲突。例如，一个应用程序可能需要允许文件上载，而另一个应用程序可能不需要文件上载。在这种情况下，如果系统管理员简单地禁用WAF上的所有规则，可能会导致部署环境中出现安全漏洞。

web应用程序防火墙中的错误配置可能与没有任何保护一样具有破坏性。额外的责任落在开发人员身上，以确保代码是安全的。然而，许多开发人员并没有很好地学习如何开发安全代码。那些被教导如何开发安全代码的人被迫通过提供以用户友好为中心而不是以安全为中心的功能来削弱他们的安全性。克服此问题的一种方法是测试应用程序，以确保服务器配置规则不会造成安全威胁，例如在文本字段中提供5000000个字符的大量输入，从而导致服务器中的缓冲区溢出。另一种方法是使用字符分布和会话异常来检测攻击的混合方法[2]。在该方法中，采用统计方法分析字符频率，并生成异常输入。

四、 结论和未来工作

在本文中，我们讨论了Web应用程序防火墙（WAF）的必要性，并提供了基于正面和负面策略的攻击检测模型的优缺点。尽管有防火墙，但使用web服务器的默认配置可能会导致漏洞；这应该通过安全测试来解决。未来的研究工作包括比较各种web应用程序防火墙和默认安全配置，然后是适当的缓解策略。我们计划通过将web app防火墙与传统网络防火墙和入侵检测系统连接，深入探讨两者之间的关系和防御。