WAF防火牆

WAF防火牆是什麼?抵禦OWASP十大安全風險|天矽科技網頁設計

WAF防火牆是什麼?抵禦OWASP十大安全風險|天矽科技網頁設計

 

WAF防火牆是用來抵禦惡意流量、保護網站主機的工具,當網站有金流交易、客戶資訊或公司檔案時,就非常需要WAF防火牆這個防護機制。

WAF防火牆是什麼


 WAF全名為Website Application Firewall 網站應用程式防火牆,它的作用在於抵禦惡意流量、保護網站主機與網站應用程式的安全,簡單來說就是網站的警衛、濾水器的濾網概念。

 WAF利用監控網站傳輸的HTTP流量,對比病毒、惡意程式資料庫來過濾出可疑的流量,並將其惡意且可疑的流量擋在門外,保護網站不受到惡意的攻擊

 如果WAF是警衛、大樓是網站主機,WAF能辨識每一個住戶的身份,並讓住戶與訪客進入,將可疑的人士阻擋在外、禁止進入;如果WAF是濾水器的濾網、大樓是水杯,WAF能將水中的雜質過濾掉,讓乾淨的水流入我們的水杯中,讓我們健康的飲用。

WAF防火牆

 

為什麼要使用WAF

 要進入網站的流量有很多種,無論是安全還是危險的,都會混雜在通過網站的流量之中,要知道,開放原始碼在網站上是所有人都能看到的,網站一旦被發現漏洞、被駭客盯上,就將成為被攻擊的目標!

 如果我們的網站有進行購物、交易等金流行為,或是網站中有許多重要的資訊,例如會員資料、公司檔案、教育訓練資訊…等,就非常需要使用WAF的防護。

 

網站常見攻擊


 資訊安全參考標竿OWASP (Open Web Application Security Project) 是目前政府多數資安業者都會參考的指標,主要蒐集各種網站的安全漏洞,並歸納出容易攻擊且常見的網站弱點。

 根據OWASP提供的2021十大網站安全風險排行榜顯示,前三名分別為:權限控制失效、加密機制失效及注入式攻擊,就以前三名來看,我們可以知道就算網站有加入了某些驗證機制,仍有可能出現安全風險

 

2021 OWASP Top 10

  • 權限控制失效 Broken Access Control
  • 加密機制失效 Cryptographic Failures
  • 注入式攻擊 Injection
  • 不安全設計 Insecure Design
  • 安全設定缺陷 Security Misconfiguration
  • 危險或過舊的元件 Vulnerable and Outdated Components
  • 認證及驗證機制失效 Identification and Authentication Failures
  • 軟體及資料完整性失效 Software and Data Integrity Failures
  • 資安紀錄及監控失效 Security Logging and Monitoring Failures (民調)
  • 伺服端請求偽造 Server-Side Request Forgery (SSRF) (民調)

2021OWASP

資料來源:OWASP_Top10

 

 以上這十大安全風險是最常見的攻擊手法,不過安全風險不是只有這十種要留意,並且駭客的攻擊手法也不會就只有這幾種,他們的攻擊方式一直不停的在更新、進步、改變,我們只能加強使用防護機制、使用安全工具,並定期監控管理技術更新加強防護。

 不僅如此,不會有任何一種安全防護工具能夠保證100%的安全,我們要做好災害還原演練經常性的資料備份,才有辦法承受當災害發生時,企業能如何應對。

更多資安新聞:iThome 資安新聞

 

天矽科技高階資安防火牆方案


 天矽科技提供WAF的高階資安防火牆方案,每個月提供遭受攻擊的處理報告(下方有說明),單元說明如下:

※ 主機安全防護系統。
※ 7*24HR高階硬體防火牆。
※ Web ApplicationFirewall網路應用程式防火牆。

  • Encoding (編碼攻擊)
  • Header Tampering (標頭竄改)
  • Path Traversal (路徑挖掘)
  • SQL Injection (SQL隱碼注入)
  • Cross Site Scripting (跨網站指令碼攻擊)
  • Remote Command Execution (執行遠端命令)
  • Probes (探針)
  • Known Worms (已知蠕蟲)
  • Compromised Servers (被盜用的伺服器)
  • Spammer Bots (垃圾回應機器人)
  • Bad User Agents (不良的使用者代理)
  • Denial of Service (阻斷服務攻擊)
  • Session Hijacking (會話劫持)
  • Cookie Tampering (竄改Cookie)

 

攻擊處理報告

以下為捕夢網WAF每個月所產生之攻擊處理報告範例。

WAF防火牆

WAF防火牆

 更多詳細的資訊安全方案,如弱點掃描、模擬攻擊、風險排除與設置專用主機…等,歡迎與天矽科技聯絡並了解喔!

 

share FB LINE
看天矽作品集 回上一頁
ID:@323foylw