随着威胁形势不断演变，安全控制措施和应对手段也必须随之调整。导致数据丢失或外泄的高级边界威胁大多发生在应用层，因此大多数下一代防火墙（NGFW）和入侵防御系统（IPS）的有效性大幅降低。与此同时，大多数通信正转向加密数据通道，而NGFW或IPS对此类通道的支持并不充分，在大规模环境中尤其如此，这进一步削弱了其有效性。Web应用防火墙（WAF）专为在应用层分析每个HTTP请求而设计，并可对SSL/TLS流量进行完全解密。
近年来，大多数WAF技术基本没有变化，与相关的NGFW和IPS技术类似，仍是基于被动过滤的检测系统。WAF系统通过检查协议合规性（确保请求格式正确）和比对特征码（确保不含已知恶意内容），过滤并阻止潜在攻击。此外，新增功能可感知会话和用户，以抵御劫持和暴力破解攻击；同时利用IP信誉数据源，尝试过滤僵尸网络、匿名代理及其他威胁等已知恶意来源。这些技术在数据中心边界仍以被动防御为主，质询客户端的能力非常有限。
关于当前的威胁形势，我们已知以下几点：
- 大多数威胁本质上都采用自动化方式。攻击者会自动扫描漏洞，还会自动囤积资源，例如购买门票或运动鞋，再转售到灰色市场。分布式拒绝服务（DDoS）攻击已实现完全自动化，从而产生如今已很常见的1 Tbps以上攻击流量。自动化活动通常会模仿正常流量以逃避检测，因此很难被发现。CAPTCHA等技术已用于检测此类自动化活动，但这些验证方法会逐渐失效，并影响合法用户的体验。
- 凭据填充是一种特定类型的自动化攻击，利用以往数据泄露事件中暴露的数十亿组已知用户名和密码组合。近期威胁报告显示，使用被盗凭据是2017年最常见的应用攻击类型。这类攻击利用普通互联网用户普遍存在的密码重复使用习惯。凭据填充尤其难以检测，因为这些请求不仅看起来正常，而且通常会刻意采用“低频慢速”方式，以避免被检测为暴力破解攻击。
- 恶意软件无处不在，常被用于利用浏览器及其用户的弱点。恶意软件可通过多种方式传播，包括电子邮件附件，以及社交媒体和广告中的恶意链接。这些受感染的计算机可用于攻击其他网站，发起DDoS攻击、窃取数据和侵占资源。除非客户端计算机由经验丰富的IT信息安全团队管理，否则可用的检测和缓解方法十分有限。
- DDoS攻击并非只有流量型攻击。许多攻击旨在耗尽应用堆栈、应用服务器、中间件或后端数据库中某个环节的资源。由于相关流量能够通过大多数标准输入验证检查，因此可能难以检测到这些情况。
简而言之，这些攻击通常不会表现出任何形式的异常，因此几乎可以绕过所有传统WAF检测机制。由于容易遭到入侵的目标几乎取之不尽，包括电缆调制解调器、IoT设备、公有云服务器实例等，IP地址信誉源的作用有限。源地址信息变化过快，即使是众包信誉源，也难以有效应对此类攻击向量常见的自动化攻击。因此，显然需要更先进的Web应用防火墙来抵御这些威胁。
好消息是，Advanced WAF技术早已推出并投入使用。近10年前，F5于2009年推出Web Scraping防护，率先采用无需CAPTCHA的技术，检测试图从在线零售商处抓取价格数据的机器人。此后，F5不断改进这项技术并扩展其功能，于2015年推出了如今称为Proactive Bot Defense的技术。Proactive Bot Defense（PBD）可对发出请求的客户端进行验证，以确认使用合法浏览器的真人用户确实存在。与依赖IP地址来阻止已知僵尸网络相比，这种解决方案的效果要好得多。
全新的F5 Advanced WAF在F5广受市场认可的WAF技术基础上进一步扩展，纳入应对应用安全领域不断演变的威胁所需的功能。Advanced WAF包括：
- 主动式机器人防御。通过结合先进的指纹识别、质询/响应技术及其他行为分析方法，PBD可在会话级别检测并阻止自动化威胁。
- 第7层行为型DoS检测与防御。Advanced WAF可动态分析流量特征，并为异常流量模式创建签名，在第7层DoS攻击影响应用之前将其阻止。
- DataSafe凭据保护。DataSafe动态加密页面内容，以防范通常由恶意软件引发的浏览器中间人攻击。DataSafe还会在用户输入凭据时对其进行动态加密，从而在浏览器端保护用户。
- Anti-Bot Mobile SDK集成。Proactive Bot Defense采用相关技术来识别合法浏览器。移动应用中没有浏览器。借助Anti-Bot Mobile SDK，组织即使在移动API端点上也能运用高级技术抵御机器人。
F5 Advanced WAF是专用安全平台，可提供当前市场上先进的应用安全功能。F5致力于提供前沿的应用安全解决方案，帮助缓解复杂攻击。未来，Advanced WAF平台还将持续推出更多改进。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。