WAF防不住Web攻击,阿里云管理能做到

日期:2019-08-03 11:46:26 | 人气:

  WAF防御引擎弊端突显

  阿里云管理传统的WAF防御体系存在性能差、漏判、误判率高等特征。

  1、阿里云管理全流量处理,设备存在极大的性能瓶颈

  随着应用的不断丰富,网络中的应用层流量越来越多,而传统WAF设备在进行安全防御时,需要对全部流量进行安全检测,这种全流量检测模式就造成了WAF设备处理性能存在瓶颈问题的根本原因。全流量检测就是不管流量是好是坏,都需要设备对其进行拆包、还原、特征比对等,极大的消耗了设备性能。

  2、阿里云管理业务内容无法有效解析、难以深入分析

  黑客在发起应用层攻击时,传统WAF设备首先会对应用流量进行内容解析并还原,比如黑客攻击的是IIS、Apache、Weblogic等组件,WAF设备会依托于内容还原引擎去解析所有的组件的内容,识别攻击流量是否是针对该组件,业务内容解析及还原能力是否够强,直接影响应用层威胁的检测结果。在业务内容解析环境,WAF面临的最大的难度就是如何全面覆盖客户环境中异构的、不同版本的各种组件。

  一般来说,用户环境中存在异构的、不同版本的各种组件。需要安全厂商进行持续的攻防研究与攻防演练,并持续更新迭代。然而不同厂商在业务内容还原的能力上参差不齐,这就导致了传统WAF设备无法有效保障服务器的组件能够被全部识别并被有效还原。当黑客针对性发起攻击时,就会存在被绕过的风险。

  3、Web威胁无法精准识别、无法保证误报率和漏报率

  WAF产品的误判和漏判情况,也是使用者普遍关注的问题之一,误判产生的本质原因在于攻击流量和业务流量的相似性,而漏判则是在于攻击数据的伪装,使得WAF无法精准识别。

  当前的WAF设备在技术手段上所采用的正则匹配方式相对单一,依靠静态固化的规则无法有效应对各种变种的应用层威胁。特征检测机制会从零散分布在正常业务语句中的特征进行判断,如业务中的一些业务语句、句子甚至文章往往被认为是攻击特征,从而导致误判;而利用各种编码及攻击混淆手段进行的攻击语句,往往能够伪装成正常流量,绕过WAF的规则判断。

  下一代WAF防御引擎

  为了弥补传统WAF防御架构的不足,更好的应对日益复杂的Web应用攻击,传统WAF的防御架构必须进行更新换代。基于单一的正则匹配安全检测技术基础,引入语法、词法分析算法,并全面结合机器学习、人工智能技术,利用AI技术为传统的WAF进行深度的安全赋能,以此构建更加智能化的下一代WAF防御引擎。

  1、以流量深度学习能力,全面提升设备处理效能

  通过引入机器学习,在流量层采集白流量的特征,使合法流量可以快速通行,实现设备性能的翻倍提升。

  云星数据下一代防火墙在WAF引擎上采用白流量过滤,基于应用层交互内容进行深度学习,在这个层次上建立深入的流量学习模型,对各种网页元素、参数进行监测、学习、对比,整个过程由设备的自学习功能完成,无需人工干预,同时可以根据Web流量的变化进行自适应调整,建立白流量过滤能力,如果流量中有明显偏离正常流量模式,则将其导入到后续的安全检测流程进行处理,保证合法流量可以快速通行。这就好比机场的安检机,识别到包含违禁物品的包裹后,进行开箱查看,正常包裹直接通过,相比传统WAF架构的逐一开箱检查,极大的提高处理效率。

  一方面,通过云端的大数据,生成大量的攻击序列及合法序列,进行有监督学习,用大量已知的攻击样本生成攻击数据模型,然后通过这些模型来预测其他未知的攻击方式。通过这种方式训练出来的AI引擎,即可以防住变化多端的攻击,也能够在WAF上线后通过对业务的持续学习,自动排除误判。

  另一方面,基于人工智能技术通过有监督和无监督的结合,无监督掌握业务的正常模式,有监督可以掌握攻击的特征,通过人为的标注,进行数据泛化,这样的互补可以更好地精准识别业务流中的攻击。