F5 Advanced WAF提供Per-Page保護(hù)與API安全
時(shí)間:2022-03-27 10:21:01 | 來(lái)源:行業(yè)動(dòng)態(tài)
時(shí)間:2022-03-27 10:21:01 來(lái)源:行業(yè)動(dòng)態(tài)
F5 Advanced WAF提供了一種從攻擊視角做防御的機(jī)制,假如企業(yè)應(yīng)用有100個(gè)頁(yè)面,但是對(duì)攻擊來(lái)說(shuō)最有用的頁(yè)面都不會(huì)超過(guò)3、5個(gè),比如登錄頁(yè)面、交易頁(yè)面、客戶信息頁(yè)面等。F5提供了新的Data Safe功能,通過(guò)把這幾個(gè)常攻擊頁(yè)面的流量單獨(dú)剝離出來(lái),對(duì)其訪問(wèn)流量進(jìn)行定制化、具象化的保護(hù),從而提供個(gè)性化的體驗(yàn)。金飛在接受至頂網(wǎng)采訪時(shí)表示。
這意味著有別于傳統(tǒng)WAF作為流量型產(chǎn)品對(duì)全部頁(yè)面或流量進(jìn)行防護(hù),F(xiàn)5只對(duì)黑客感興趣的應(yīng)用頁(yè)面進(jìn)行特殊的區(qū)別化保護(hù),而額外的97個(gè)頁(yè)面采用一般性策略處理,這時(shí)應(yīng)用的體驗(yàn)得到大幅提升,同時(shí)不會(huì)犧牲安全性。
此外,在API泛化的今天,F(xiàn)5 Advanced WAF提供了單獨(dú)的API防御模塊。越來(lái)越多的應(yīng)用通過(guò)API調(diào)用,API的可用性直接決定了應(yīng)用可用性。然而API泛化帶來(lái)了越來(lái)越多的攻擊行為,在幾個(gè)月前的BINANCE事件中,黑客就是在獲取用戶賬號(hào)后,自動(dòng)創(chuàng)建交易API,從而進(jìn)行的一系列數(shù)字貨幣盜取操作。金飛指出,從API安全來(lái)看,防御變得越來(lái)越具象,越來(lái)越貼近代碼層和開發(fā)語(yǔ)言環(huán)境,這也就是SecOps的理念。
F5發(fā)現(xiàn)了這一趨勢(shì),總體看來(lái)安全防御會(huì)向兩個(gè)方向演進(jìn),一種是實(shí)現(xiàn)高能力的防御架構(gòu),例如一塊板子達(dá)到100G性能的單板能力;另一種趨向是應(yīng)用層防御的小型化,例如為某一個(gè)頁(yè)面單獨(dú)配一個(gè)WAF。金飛說(shuō),F(xiàn)5即將要發(fā)布Advanced WAF的CE版本,它只有25M的細(xì)粒度,也許很多人覺(jué)得25M的WAF非常滑稽,實(shí)際上站在應(yīng)用頁(yè)面的視角它卻足夠Powerful。
F5曾經(jīng)提出Per-App VE的理念,現(xiàn)在F5把這一理念擴(kuò)展開來(lái),也就是實(shí)現(xiàn)Per-Page WAF,給每一個(gè)頁(yè)面配一個(gè)小的WAF,更為具象化。在F5看來(lái),未來(lái)要把安全策略放在不同的應(yīng)用前端,以虛擬化的形式實(shí)現(xiàn),安全一定是差異化的,安全策略也一定是差異化的,因?yàn)槊總€(gè)應(yīng)用的安全級(jí)別需要不一樣。
此外在多云方面,Advanced WAF允許F5的客戶既能為多個(gè)云私有云和公有云平臺(tái)提供基本的應(yīng)用安全服務(wù),也能通過(guò)微服務(wù)和容器等方式提升服務(wù)的便捷性?;谧詣?dòng)化安全策略,該安全方案還能提供基于AWS、Google、Azure環(huán)境的云模版,進(jìn)一步縮短新應(yīng)用的部署時(shí)間。