华为WAF5000系列Web应用防火墙技术白皮书

技术白皮书

目录

1 概述 (1)

2 常见攻击手法 (2)

2.1 下一代防火墙 (4)

2.2 入侵防御系统 (4)

3 WAF产品介绍 (5)

3.1 纵深防御 (5)

3.1.1 网络主机安全 (5)

3.1.2 Web服务安全透明代理 (5)

3.1.3 Web应用安全三大核心技术 (6)

3.1.4 内容分析与响应检查 (8)

3.2 快速应用交付 (8)

3.2.1 TCP协议加速 (8)

3.2.2 高速缓存 (8)

3.3 安全监控与服务发现 (9)

3.3.1 自动服务发现 (9)

3.3.2 安全监控 (9)

3.3.3 性能监控 (9)

3.4 多种接口兼容 (10)

3.4.1 SNMP接口 (10)

3.4.2 Syslog接口 (10)

3.4.3 邮件与短信告警接口 (10)

3.4.4 WebService接口 (10)

4 功能特点 (11)

4.1 使网站更安全 (11)

4.1.1 双模式安全引擎 (11)

4.1.2 黑名单安全技术 (11)

4.1.3 白名单安全技术 (11)

4.1.4 IP信誉库 (12)

4.1.5 区域访问控制 (12)

4.1.6 智能防护 (12)

ii

4.1.7 CC精准防护 (12)

4.1.8 虚拟补丁 (12)

4.2 使访问更快速 (12)

4.2.1 服务优先原则的高性能算法 (12)

4.2.2 多种加速方案 (12)

4.2.3 高速缓存 (12)

4.3 使运维更简单 (13)

4.3.1 服务自发现 (13)

4.3.2 策略自学习建模 (13)

4.3.3 策略规则在线更新 (13)

4.3.4 支持PCI-DSS报表功能 (13)

4.3.5 规则误判分析 (13)

4.4 部署模式 (14)

4.4.1 透明直连模式 (14)

4.4.2 反向代理 (14)

4.4.3 旁路监控 (15)

4.4.4 HA双机模式—透明串接 (15)

4.4.5 VRRP—反向代理 (17)

华为WAF5000系列Web应用防火墙技术白皮书

华为WAF5000系列Web应用防火墙

技术白皮书

关键词：WAF、SQL注入、XSS、CSRF

摘要：本文详细介绍常见攻击手段、防御技术、华为WAF功能特点和部署模式。

1概述Web网站是企业和用户、合作伙伴及员工的快速、高效的交流平台。Web网站也容易成为黑客或恶意程序的攻击目标，造成数据损失，网站篡改或其他安全威胁。

华为Web应用防火墙是华为结合多年在应用安全攻防基础理论和安全漏洞研究实践经验基础研发完成的针对网站全方位安全防护产品，采用黑名单安全技术、白名单安全技术、参数自学习建模技术、行为建模分析技术等先进技术，提供Web应用实时深度防御、Web应用加速、敏感信息防泄露、网页防篡改等功能，能够抵御各类针对Web应用的外来攻击，最大限度的保障网站运行安全。

同时，华为W AF满足PCI、等级保护、企业内部控制规范等各类法律法规。该产品致力于解决应用及业务逻辑层面的安全问题，广泛适用于涉及Web应用场景的政府、运营商、金融、企业等行业。

2常见攻击手法

目前已知的应用层和网络层攻击方法很多，这些攻击被分为若干类。下表列出了这些最常见的攻击技术，其中最后一列描述了华为W AF如何对该攻击进行防护。

现有防御技术

目前，很多企业采用网络安全防御技术对Web应用进行防护，如综合采用网络防火墙、

IDS、补丁安全管理、升级软件等措施，然而这些方法难以有效的阻止Web攻击，且对

于HTTPS类的攻击手段，更是显得束手无策。

2.1 下一代防火墙

下一代防火墙可以实现对应用、用户、内容、威胁、时间、位置6个维度的全面感知，

提供精细的业务访问控制和加速。入侵防御（IPS）和防病毒（AV）等应用层深度防御

与应用识别相结合，有效提高了威胁防御的效率和准确性。具备全面的防护功能，一机

多能，有效降低管理成本。精细的带宽管理和QoS优化能力有效降低企业的带宽租用费，

确保关键业务体验。持续、简单、高效地提供下一代网络安全。但是无法侦测很多应用

层的攻击，如果一个攻击隐藏在合法的数据包中，它仍然能通过防火墙到达应用服务器；

同样，如果某个攻击进行了加密或编码该防火墙也不能检测。

2.2 入侵防御系统

IPS（Intrusion Prevention System ）入侵防御系统具有对所保护的网络环境感知能力、

深度应用感知能力、内容感知能力，以及对未知威胁的防御能力，实现了更精准的检测

能力和更优化的管理体验。更好地保障客户应用和业务安全，实现对网络基础设施、服

务器、客户端以及网络带宽性能的全面防护。虽然也可以对一些应用层攻击进行识别和

防御，但是深度不够，无法实现网站防篡改、挂马检测和阻断等功能。

Web安全需求

企业对Web应用的安全防护主要包括如下需求：部署简便，管理集中，操作简洁，性

能影响甚微。包括：

●对现有网络拓扑结构无影响。

●方便管理，无需进行复杂的配置。

●对现有Web服务器的访问速率不能造成太大的影响。

●对正常业务访问不能进行错误的拦截阻断。

Web应用防火墙的两个关键功能是，深入理解HTTP/HTTPS协议，可监测往返流量，

能对Web流量进行安全控制。Web数据中心是经常变化的，包括新的应用程序、新的

软件模块，不断更新的软件补丁等。专业的安全工具和方法应能适应这种动态环境，应

用配置的升级更新和对监测数据的分析使得应用防火墙总能适应新的安全需求。

3WAF产品介绍

华为W AF系列Web应用防火墙（简称：华为WAF）提供高效的Web应用安全边界检

查功能。华为W AF整合了Web安全深度防御及站点隐藏等功能，能全方位的保护用户

的Web数据中心。通过对所有Web流量（包括客户端请求流量和服务器返回的数据流

量）进行深度检测，提供了实时有效的入侵防护功能。华为W AF充分考虑用户已有环

境的差异性，对环境兼容性、应用多样性进行了深入的分析和总结。

3.1 纵深防御

华为WAF结合多年研发经验，充分考虑Web应用系统可能存在的安全风险，通过对网

络层、Web服务层、Web应用程序层、应用内容属性四个层面进行全方位安全分析与防

御。针对各个层面不同的安全属性，分别采取相互独立的安全防御技术针对性防御，从

整体上提升Web应用的安全防御能力。

如下图所示华为WAF分别在网络层、Web服务层、应用程序层、应用内容四个层面全

面的安全检测与防御。

3.1.1 网络主机安全

Web应用安全与其他业务系统一样，安全与否取决于是否建立了完善的安全机制，因此

网络层的安全也必不可少。尤其是当前一些攻击行为以DMZ区跳板机、旁注、ARP欺

骗等攻击手段的大量应用，网络主机安全显的尤为重要。

3.1.2 Web服务安全透明代理

华为WAF采用当前最为主流的透明代理技术架构，以Web服务代理技术形成的天然屏

障解决了传统网络重组技术的在系列难题，主要的技术优势表现在如下几个方面：

●解决了HTTP慢攻击等诸多网络层问题

传统入侵防御技术架构基于数据高速缓存分析机制，安全设备对流经的数据流量进行缓存分析，安全检测后针对缓存的数据包采取相应的安全措施。HTTP慢攻击通常采用较长的时间分多个数据包构成一个完整的HTTP请求，而传统入侵防御技术引擎为了实现最低的安全检测延时，必须将缓存时间尽可能缩短，从而无法识别精心构架的HTTP慢攻击行为。除此之外网络层诸如碎片包攻击行为也通常困绕传统入侵防御架构的Web 应用防火墙。

华为WAF构建了双向的独立HTTP请求与服务，实现对每个HTTP事务级别的识别与转发。如果环境中存在HTTP慢攻击行为，那么Web应用防火墙会等待这个HTTP请求数据完全到达或进行超时处理，其余正常的请求将被快速转发，彼此相互独立不受影响。

●实现了全面协议规范性审查

华为WAF可以严格遵守RFC标准或者允许具体应用微小的偏差来实现HTTP协议验证。可实现快速的防御包括缓冲区溢出攻击、恶意编码、HTTP走私以及非法服务器操作在内的大量协议滥用行为。

华为WAF的部署可以有效的隐藏Web服务容器存在的安全问题，同时也可有效缓解针对Web服务容器发起的攻击，诸如针对Apache容器的分片下载DDOS攻击、针对PHP 开发语言的DDOS攻击等。

代理架构的防护技术可以实现但不限于如下类型的安全过滤，并解决了跨包攻击、碎片包攻击等试图绕过安全检测的攻击行为：

1）双URL 编码

URL编码是用于在HTTP请求字段(例如URL)中嵌入非打印字符或特殊字符的标准基本格式。字符以百分符号("%") 后跟其值的16进制表示的形式表示(例如:TAB字符的ASCII值为9，可以表示为"%09")。双URL编码是攻击者通过对攻击的URL 多次应用URL编码，以绕过访问控制、授权和检测机制的一种规避技术。例如:在目录遍历攻击中，"/"字符将会被编码为%252F，即两次应用URL编码的结果。

2）头名称中出现非法字节码字符

HTTP头名称包含HTTP 标准禁止的字符。这些通常是非打印的ASCII字符或其它特殊字符(例如"<"、">"等)。根据RFC(number=2616)允许的字符集来分别检查各个头名称。3）参数名中出现非法字节字符

请求内容中的参数名称包含HTTP标准禁止的字符。这些通常是非打印的ASCII字符或其它特殊字符(例如"<"、">" 等)。根据RFC(number=2616)允许的字符集来分别检查各个参数名称。

3.1.3 Web应用安全三大核心技术

安全特征技术源自于对攻击样本的分析，从而形成人们常见的病毒特征库、木马特征库等，而这一切的基础是源于对安全攻击的分析与跟踪。特征库的精确度通常受到两个重要因素的影响，其一攻击样本是否具有代表性，其二是运行环境的相对确定性，例如windows病毒特征库不能在Linux操作系统中直接使用。

Web应用程序不同于操作系统的规范和单一，因此针对Web应用层的安全特征通常会因为程序编码不规范而导致误判。另一方面以安全特征匹配技术为基础的安全技术假定所有的请求都不安全，需要对所有的请求进行安全匹配，因此将会带来极大的检测负荷与访问延时。

华为结合多年专业Web应用安全研究的经验，采用白名单安全引擎与黑名单安全引擎相结合的方式工作，为华为WAF安全检测引擎技术架构示意图，实现了正常请求快速识别与转发，未知请求进行深度清洗的安全策略，实现了安全性与可用性的最佳结合。

●参数自学习建模与白名单安全技术

华为WAF引入了安全白名单技术，从而使华为WAF实现快速安全检测，与安全特征库不同，安全白名单并不是对Web攻击行为的分析与提取，而是对正常访问行为的分析与总结规律，从而实现了假定安全的检测逻辑。

不同网站有着各自独立的特性与访问规律，因此华为WAF的白名单安全特征采用了自学习建模技术，针对所防护的网站进行流量学习，在概率统计学为基础不断的安全分析与收敛，最终形成一套针对网站特性的安全白名单规则。

●黑名单安全技术

华为WAF提供默认的安全策略，对Web网站或应用进行严格的保护。这些安全规则来自于Snort、CWE、OWASP组织，以及华为安全研究部对国内典型应用的深入研究成果。除了默认的策略外，用户还可以创建客户化的策略。每个策略下分为若干子策略：

HTTP协议合规性

SQL注入阻断

跨站点脚本攻击防护

表单/cookie篡改防护

DoS攻击防护

敏感信息泄漏

目录遍历

扫描器扫描

手工探测与渗透

恶意攻击

蠕虫攻击

应用层CC攻击

应用层流量攻击

请求包大小限制

限制HTTP请求Head大小避免恶意代码通过，超过规定大小的请求将被丢弃。正确配置请求限制还能减轻Dos攻击、缓冲区攻击。

HTTP/HTTPS请求方法限制

限制HTTP/HTTPS各种方法的访问，包括：GET、POST、DELETE、HEAD、CONNECT、

TRACE、PUT等。

HTTP/HTTPS请求方法限制

支持黑白名单的配置，可以设定可信的访问客户端IP（白名单）而不受安全策略规则的

检测；设定非法的访问客户端（黑名单），直接禁止其任何对Web服务器的访问。

用户自定义规则库

支持用户自定义规则库，用户可以根据业务需求，针对某些关键字，数据段长度等相关

信息，自定义安全过滤规则。同时，对于多字段，多条件的组合防护需求，华为WAF

仍提供了自定义规则的解决方案。

行为建模分析技术

华为WAF具有较强的用户访问行为建模分析技术，可以有效的解决如应用层CC攻击、

盗链攻击、恶意商业数据抓取等攻击行为。由于HTTP协议是一种无状态的协议，因此

通过单次请求分析难以识别上述的攻击行为。只有通过行为建模分析技术才能将访问者

行为进行跟踪与分析，从而区分正常访问行为与上述访问的差异。目前华为WAF已经

广泛应用于国内知名企业的在线交易系统专用于防御上述三类常见应用攻击，详细信息

可查看相关技术专刊。

3.1.4 内容分析与响应检查

华为WAF内置了内容安全检测模块，可以实现提交敏感言论，敏感内容泄露的分析与

阻断。可以实现对中文词组的分析与检测，适用于需要限制提交敏感言论的论坛、留言

板、在线业务系统等；内置的防敏感内容泄露模块可以有效防御诸如以下的内容泄露：

手机号、身份证号码、信用卡卡号、邮件地址等，从而防止因为用户数据丢失而给企业

带来的信任危机。

3.2 快速应用交付

3.2.1 TCP协议加速

当一个TCP连接开始传输数据时，由于并不知道双方通道的带宽，所以为了最大利用

带宽。传输是一个逐渐加速的过程，起初，假设带宽是一个比较小的值，通过另一端的

反馈来逐渐增大对带宽的估计值。通过增大该估计值，TCP允许在未收到反馈时传输更

多的包（即在途的包数目），最终该值达到稳定值，接近带宽，这个过程为TCP慢启

动，这个时间的长短，直接影响了用户的Web体验

华为WAF通过优化与客户端的TCP协议栈，优化后使得传输速度大幅度提升，特别是

电信联通之间往返时间较长时，效果非常明显。

3.2.2 高速缓存

华为WAF为了提高被保护系统的访问速度，同时消除WAF过滤分析过程中带来的延

时，定制提供了应用加速功能，通过高速缓存和相关算法镜像及管理相关的静态内容，

一旦有用户访问，客户端直接通过WAF缓存中获取，避免了用户重复通过Web服务器

并进行协议解析等相关操作，从而加快了访问速度，减轻了Web服务器的负担。

3.3 安全监控与服务发现

为了更好的监控Web应用防火墙自身状态以及所防护的对象的安全状态，华为WAF通

过自动服务发现、安全态势监测、自身健康度监测等多个方面进行全面的监测与展现。

3.3.1 自动服务发现

通常情况下管理员需要手工指定Web应用防火墙需要防护哪些Web应用，当有大量的

网站群需要防护时，或者具有复杂的域名对应关系时通常难以手工对服务进行确认。另

一方面数据中心的Web服务可能随着业务的增加而不断有新的服务开启，此时我们的

安全管理员可能并未被告知，因此Web服务的监测与自动发现有助于Web应用的安全

管理。

开启华为WAF服务自动发现功能，可轻松实现Web应用防火墙部署的即插即用，不需

复杂的环境调研和现场确认，加载自动发现的服务对象即可实现快速安全防护策略的部

署。

3.3.2 安全监控

如下图所示，华为WAF实现了基于安全事件级别的安全监控，通过对安全日志分析、

攻击者跟踪等手段，将最具有危害的行为、最需要处理的事件展现给管理员，实现高效

管理。

3.3.3 性能监控

Web应用系统与传统网络特性不一样，决定业务系统的关键性能指标通常不是由网络流

量或带宽所决定，而是由HTTP每秒处理事务数决定。除此之外Web应用系统中通常

用负载均衡器的性能指标来衡量业务系统的性能，因此WAF本身的性能情况，业务系

统的性能情况均可通过WAF直观的展现出来，有利于管理员对业务系统性能情况的总

体了解，并有利于业务系统出现故障时辅助分析定位问题。

3.4 多种接口兼容

3.4.1 SNMP接口

可远程监测WAF的运行状态，支持SNMP_V2、V3版本，如CPU、内存、磁盘、端口

速率等信息的状态检测，当设备出现异常时可在第一时间发现。

3.4.2 Syslog接口

将日志输送到Syslog服务器或安管平台，结合安管产品可关联分析黑客的整个攻击过

程，日志中包含攻击时间、攻击IP、攻击行为、URL地址、攻击特征、攻击工具等信

息。

3.4.3 邮件与短信告警接口

华为WAF内置邮件与短信告警接口，检测到入侵攻击行为时可自动将告警信息发送到

管理员邮箱或管理员手机中。

3.4.4 WebService接口

安全管理员面对的安全产品越来越多，需要配置和管理的任务越来越重，因此新引入的

安全产品能否接入到统一安全管理平台是衡量一款安全产品可管理性的重要指标。华为

WAF针对用户的这种需要开放了WebService接口，可将WAF接入到统一的安全管理

平台中，便于日常维护。

4功能特点华为WAF具有使网站更安全、使访问更快速、使运维更简单三大功能特点。

4.1 使网站更安全

4.1.1 双模式安全引擎

采用白名单与黑名单相结合的方式实现安全引擎，白名单可以快速识别安全的请求提升

了访问性能，黑名单基于特征匹配技术的深入识别，可以将缓存绕过白名单检测的攻击

行为。

4.1.2 黑名单安全技术

华为WAF提供默认的安全策略，对Web网站或应用进行严格的保护。这些安全规则来

自于Snort、CWE、OWASP组织，以及华为安全研究院对国内典型应用的深入研究成

果。华为WAF内置了30余类的通用Web攻击特征，集成了580多个类别的攻击特征，

全面覆盖了Web应用安全存在的主要安全威胁，通过规则库匹配技术实现各类SQL注

入、跨站、挂马、CC、扫描器等攻击的安全防护，同时低误报率、低漏报率。同时，

华为WAF支持自定义规则。

4.1.3 白名单安全技术

华为WAF白名单安全技术通过对正常访问行为的分析与总结规律，从而实现了假定安

全的检测逻辑。

由于不同网站有着各自独立的特性与访问规律，因此华为WAF的白名单安全特征采用

了自学习建模技术，针对所防护的网站进行流量学习，在概率统计学为基础不断的安全

分析与收敛，最终形成一套针对网站特性的安全白名单规则。

华为WAF通过白名单安全技术有效防护0day等攻击，误报率低。同时，大大提高了网

站访问性能，避免特征库黑名单技术带来的局限性，如规则库的庞大及复杂，对管理员

的安全技术水平要求高等。

4.1.4 IP信誉库

华为W AF内置IP信誉库，IP信誉库中包含恶意的IP地址，如果有恶意的IP地址访问

网站，WAF就会进行告警或阻断。

4.1.5 区域访问控制

华为W AF内置IP地址库（中国+全球国家），可以有效对某区域的IP进行控制。

4.1.6 智能防护

华为W AF自动跟踪攻击者的行为，对于攻击者IP自动进行锁定，降低网站被入侵的风

险。

4.1.7 CC精准防护

华为W AF采用独创的检测算法对CC攻击进行防护。支持多重检测算法，独创的集中

度和速率双重检查算法，减小误判实现精准防护，可基于URL、请求头字段、目标IP、

请求方法等多种组合条件进行检测，检测对象支持IP或IP+URL或者IP+User-agent算

法，IP可支持NA T前的地址解析；支持挑战模式，客户端访问时W AF发起JS挑战验

证是真实客户还是CC工具发起的访问；支持根据流量模型监控流量是否异常，按需开

启CC防护策略；支持基于地理位置的识别，可设置不同地理区域的防护单元；支持CC

慢攻击的防护；支持CC规则的IP白名单功能。

4.1.8 虚拟补丁

华为W AF支持将第三方扫描工具的扫描结果导入W AF并生成策略规则。

4.2 使访问更快速

4.2.1 服务优先原则的高性能算法

WAF产品产生延时的最主要环节是特征匹配阶段，特征匹配范围越广、算法越复杂、

特征数量越多其防护能力理论上将会越好，同时造成的业务延时也将最大。而且基于黑

名单签名技术的WAF产品正常请求者的延时影响最大。华为WAF产品采用了白名单

签名技术，对正常的请求只需要进行一次特征匹配即可实现快速转发，从而极大的降低

了黑名单匹配数百条甚至上万条特征匹配带来的业务延时。

4.2.2 多种加速方案

除安全检测方面的性能优化之外，华为WAF产品还提供了多种加速方案，从而使部署

WAF后的整体效果不是访问延时增加了，反而具有减小访问延时的明显差异。

4.2.3 高速缓存

华为W AF支持将jgp、html、txt等静态文件进行缓存，用户访问这些静态文件时，W AF

可以直接将本地的静态文件返回给客户端。

4.3 使运维更简单

WAF产品属应用层安全产品，国外也称为程序防火墙，因此需要管理人员对程序代理

有一定理解，对各常见Web开发语言非常熟悉才能用好产品。这无形中增加了运维人

员的技术要求和人员资源本成。华为WAF产品充分利用服务自发现、策略自学习、安

全日志自动分析与挖掘技术实现了智能、便捷的管理与维护。

4.3.1 服务自发现

Web站点的主要属性有网络IP地址、服务端口、访问域名，特别是有虚拟主机的环境

中如果域名对应关系配置失误将导致业务访问错误跳转，而且很难分析出原因。使用华

为WAF可自动发现这些重要的服务属性，只需将WAF接入网络即可即插即用。

4.3.2 策略自学习建模

WAF产品的策略涉及诸如cookie、URI、POST内容、响应状态码等复杂的HTTP协议

属性，常规情况下的策略调整稍有不当会导致业务不能正常使用，或者产生新的漏洞可

被直接入侵。华为WAF策略中的自学习模建技术采用对访问流量的自学习和概率统计

算法实现自动生成，使管理人员可以投入更多精力来保障业务的使用，勿需投入大量时

间学习WAF本身的使用。

4.3.3 策略规则在线更新

华为W AF支持策略规则的在线更新功能。

4.3.4 支持PCI-DSS报表功能

华为W AF支持对网站的合规扫描功能，并且可以将扫描结果以PDF、HTML、Word的

方式导出。

4.3.5 规则误判分析

华为W AF可以对海量的告警日志进行分析，并生成分析的结果，一键完成规则的调整

避免规则的误判。

4.4 部署模式

4.4.1 透明直连模式

透明直连模式不需要给WAF配置IP地址，只要将WAF接入业务链路，配置好保护的

Web服务器的IP地址及端口，就可以实现对Web应用业务的安全检测。同时在透明直

连模式下，华为WAF支持各种Vlan环境的安全检测和防护功能。

4.4.2 反向代理

反向代理下有两种模式，代理模式和牵引模式。

反向代理—代理模式是通过网络防火墙将WAF的业务口地址映射到外网，用户访问的

是WAF的业务口地址，流量经过WAF清洗完成之后，WAF再将流量发给服务器，服

务器上看到的是WAF的IP地址。

反向代理—牵引模式是在核心交换机或者防火墙上面做策略路由，将访问服务器的流量

先转给W AF，策略路由的下一跳地址为W AF的业务口地址，流量经过W AF清洗完成

之后，W AF再将流量转发给后端的服务器，服务器看到的IP为WAF的业务口IP地址。

4.4.3 旁路监控

旁路监控模式下，通过交换机做镜像流量到WAF，WAF对镜像流量进行检测分析，分析业务流量的安全状况。

4.4.4 HA双机模式—透明串接

WAF 主WAF

双机HA模式下，WAF工作于Active，Standby的模式，即其中一台WAF处于检测防护模式，另外一台WAF处于备用模式，当其中一台WAF所连接的链路或者WAF自身

出现故障时，备用的WAF将协商进入检测防护模式。