推 redcriminal: 辛苦了 謝謝 04/18 22:24
推 Peruheru: 辛苦了 04/19 13:22
2017.W16 - WAF (Web Application Firewall)
> 你會選擇 注入 還是 被注入
## 前言 ##
防火牆有三大要素：效能、準確率、價格 但三者永遠只能取其二
如果有又快、有準、又不用錢的防火牆 一定要馬上推薦給大家 !
## 內容 ##
WAF (Web Application Firewall)[0] 是屬於 Level7 防火牆[1]的一種
主要是針對特定應用程式進行監控、分析與過濾封包內容
類比於系統層的防火牆 兩者都有共同的特色：
1. 針對特定的規則進行請求的處理
2. 擴充彈性大
3. 效能與規則的數量、複雜程度成反比
用 ModSecurity[2] 當做例子：這是一款 WAF 的 open source
他目前支援主流的 Web Server (Apache、Nginx、IIS 等)
另外可以匯入公版的規則 (ModSec 提供)、OWASP[3] 所整理的規則或自定義描述規則等
合理的推論 一個擁有足夠多規則的 WAF 就可以阻擋任意惡意的攻擊
但從開發者的角度 過多的規則也會讓誤判的潛在風險變高
因為一個通用的規則 (e.g. 不允許 GET Method 中帶有 path 參數)
讓以後網頁開發人員會因為這些限制而在開發上受到挫折
同樣的 過多的規則也會讓 WAF 處理一個 incoming 的請求花費的時間變高
如果你想到一個規則可以完美的涵蓋所有惡意行為 記得找一個足夠大的空間寫下來[4]
[0]: https://en.wikipedia.org/wiki/Web_application_firewall
[1]: https://zh.wikipedia.org/wiki/%E6%87%89%E7%94%A8%E5%B1%A4%E9%98%B2%E7%81%AB%E7%89%86
[2]: https://modsecurity.org/
[3]: https://modsecurity.org/crs/
[4]: https://zh.wikipedia.org/wiki/%E8%B4%B9%E9%A9%AC%E5%A4%A7%E5%AE%9A%E7%90%86
※ 編輯: CMJ0121 (125.227.147.112), 04/19/2017 15:18:38
→ CMJ0121: 板上原廠大大們也可以分享一下貴公司的 WAF 產品唷 04/19 15:19
推 FireGenie: 效能應該是跟規則數量/複雜度成反比？ 04/20 01:00
※ 編輯: CMJ0121 (123.193.122.171), 04/20/2017 07:05:28
→ CMJ0121: 謝謝糾正 04/20 07:05
※ 編輯: CMJ0121 (125.227.147.112), 04/21/2017 09:37:57