亚洲日本免费-啊轻点灬太粗太长了三男一女-麻豆av电影在线观看-日韩一级片毛片|www.grbbt.com

隨著企業(yè)數(shù)字轉(zhuǎn)型和“安全上云”運(yùn)動(dòng)的開展，以及當(dāng)下疫情加重的Web安全和應(yīng)用安全焦慮，越來越多的企業(yè)開始考慮購買WAF或云WAF產(chǎn)品。但是，在“戰(zhàn)五渣？四大云WAF實(shí)戰(zhàn)測試險(xiǎn)遭團(tuán)滅”一文中，我們了解到即使是一些大牌云計(jì)算廠商的云WAF產(chǎn)品，在測試中的表現(xiàn)往往都讓人大跌眼鏡。

其實(shí)不僅僅是云WAF，根據(jù)最新的調(diào)查報(bào)告，WAF產(chǎn)品的有效性和客戶滿意度的表現(xiàn)越來越令人失望。雖然WAF已經(jīng)成為是企業(yè)應(yīng)用安全策略的主力產(chǎn)品，但事實(shí)是，大多數(shù)企業(yè)都難以充分利用此類產(chǎn)品。

六成企業(yè)對(duì)WAF不滿意

根據(jù)Neustar國際網(wǎng)絡(luò)安全委員會(huì)近期發(fā)布的調(diào)查報(bào)告，大量Web應(yīng)用程序攻擊繞過了WAF，企業(yè)難以對(duì)其進(jìn)行調(diào)整，并且WAF沒有很好地集成到更廣泛的安全功能中。這佐證了安全分析師和相關(guān)研究機(jī)構(gòu)在過去18個(gè)月中提出的警告：WAF保護(hù)機(jī)制仍然需要進(jìn)一步發(fā)展，并且不能成為應(yīng)用安全計(jì)劃的唯一支柱。

根據(jù)Neustar的報(bào)告，有四成的安全專家報(bào)告說，在應(yīng)用層攻擊，至少有一半的應(yīng)用層攻擊最終繞過了WAF。更加令人吃驚的是，10%的用戶表示, 超過90％的攻擊都繞過了WAF。

同時(shí)，三分之一的安全專家反應(yīng)，過去12個(gè)月中大約50％的網(wǎng)絡(luò)請(qǐng)求被WAF誤報(bào)。研究指出這是因?yàn)閃AF的配置調(diào)優(yōu)對(duì)于相當(dāng)比例的企業(yè)來說難度很大。大約30％的用戶表示他們很難修改WAF策略以防范新的應(yīng)用層威脅。此外，40％的企業(yè)無法將其WAF完全集成到其他應(yīng)用安全技術(shù)或更廣泛的安全功能中。

這些結(jié)果與Ponemon Institute于2019年進(jìn)行的一項(xiàng)研究相呼應(yīng)，該研究表明60％的企業(yè)對(duì)其WAF產(chǎn)品不滿意。該研究發(fā)現(xiàn)，65％的受訪者表示應(yīng)用程序?qū)拥墓艚?jīng)常或有時(shí)會(huì)繞過WAF，只有40%的用戶對(duì)WAF產(chǎn)品滿意。Ponemon Institute還發(fā)現(xiàn)，平均每家企業(yè)雇用2.5名安全管理員，他們每周花費(fèi)45個(gè)小時(shí)處理WAF警報(bào)，另外每周花費(fèi)16個(gè)小時(shí)編寫WAF新規(guī)則。

WAF靠不住？

多個(gè)調(diào)查報(bào)告反映出的WAF可靠性和滿意度問題已經(jīng)引起了業(yè)界分析公司的關(guān)注，這意味著WAF市場正面臨一次重大調(diào)整和變革。

Forrester Research的首席分析師Sandy Carielli表示：“根據(jù)Forrester今年春天對(duì)WAF市場的最新研究，很多企業(yè)希望WAF廠商提供更多的東西，如果廠商不盡快做出改變，那么WAF市場離崩盤就不遠(yuǎn)了。”

Forrester報(bào)告顯示，由于當(dāng)前的WAF方案無法處理更廣泛的應(yīng)用程序攻擊，特別是客戶端攻擊、基于API的攻擊和由機(jī)器人驅(qū)動(dòng)的攻擊，企業(yè)用戶已經(jīng)苦不堪言。

例如，在API攻擊方面，針對(duì)云體系結(jié)構(gòu)對(duì)元數(shù)據(jù)API和Webhooks的調(diào)用方式，服務(wù)器端請(qǐng)求偽造（SSRF）攻擊已經(jīng)越來越猖獗。

“WAF不一定必須進(jìn)行內(nèi)聯(lián)部署以監(jiān)視Web應(yīng)用程序的出站HTTP請(qǐng)求。許多SaaS公司都提供某種形式的Web hook產(chǎn)品，該產(chǎn)品可以代表用戶發(fā)出http請(qǐng)求，因此不容易與SSRF攻擊區(qū)分開來，”K2網(wǎng)絡(luò)安全的聯(lián)合創(chuàng)始人兼CTO Jayant Shukla認(rèn)為，今年早些時(shí)候Capital One的數(shù)據(jù)泄露事件就始于SSRF攻擊，攻擊者正是利用了Capital One的WAF產(chǎn)品漏洞。“這些因素暴露了WAF在防御SSRF攻擊時(shí)存在嚴(yán)重缺陷。”

WAF的定位：只是應(yīng)用安全的“創(chuàng)可貼”

許多專家認(rèn)為，WAF面臨的困境表明當(dāng)今企業(yè)的應(yīng)用安全（AppSe）策略和執(zhí)行方面存在更多的系統(tǒng)缺陷。例如，去年秋天Radware進(jìn)行的一項(xiàng)研究指出，WAF與RASP和代碼審查工具類似，屬于“意大利面條式”方法，企業(yè)原本想用這些產(chǎn)品解決問題，但發(fā)現(xiàn)這些產(chǎn)品同時(shí)也對(duì)企業(yè)的軟件開發(fā)和應(yīng)用安全管理提出了更高的要求。

多年來，越來越多的企業(yè)將WAF作為應(yīng)用安全的運(yùn)營工具，基于風(fēng)險(xiǎn)驅(qū)動(dòng)的優(yōu)先級(jí)來不斷改善軟件的安全性。他們對(duì)WAF的定位不是安全改進(jìn)的支持工具，而是將其作為前線防御措施。正如Neustar和Ponemon的調(diào)查結(jié)果，這導(dǎo)致安全團(tuán)隊(duì)疲于為WAF制定規(guī)則來挫敗新的攻擊技術(shù)。

企業(yè)用戶對(duì)WAF產(chǎn)品的滿意度持續(xù)下滑，還有一部分原因是企業(yè)對(duì)WAF的期望過高。只是將太多的希望寄托在他們身上。一些安全專家指出，WAF的準(zhǔn)確定位應(yīng)該是攻擊者的減速帶，為企業(yè)贏得更多修復(fù)代碼的時(shí)間， WAF不是“宙斯盾”，頂多算是干擾劑或近防炮而已。

Veracode產(chǎn)品管理高級(jí)總監(jiān)Tim Jarrett 表示：

如果您打算購買使用WAF，首先要清楚這玩意不會(huì)無限期保護(hù)您的產(chǎn)品不受攻擊。因此，請(qǐng)抓緊WAF為你爭取的修復(fù)時(shí)間窗口，找出漏洞在應(yīng)用程序中的位置并盡快加以修復(fù)。