隨著互聯(lián)網(wǎng)的發(fā)展演變，基于Web和數(shù)據(jù)庫架構(gòu)的應(yīng)用系統(tǒng)已經(jīng)逐漸成為主流，廣泛應(yīng)用于企業(yè)內(nèi)部和外部的業(yè)務(wù)系統(tǒng)中。但是，黑客也將攻擊目標瞄準了Web應(yīng)用，目前常見的網(wǎng)絡(luò)攻擊大多數(shù)都是針對應(yīng)用自身的弱點，其中最常用的攻擊技術(shù)就是針對Web應(yīng)用的SQL注入和跨站攻擊。而且黑客通過相應(yīng)的攻擊工具可以輕松實現(xiàn)入侵，并可直接實現(xiàn)篡改頁面內(nèi)容，甚至進入數(shù)據(jù)庫修改內(nèi)容等等。對Web應(yīng)用的攻擊增多刺激了Web應(yīng)用防火墻市場的增長。

2009年是中國Web應(yīng)用防火墻啟動元年。從09年開始，Web應(yīng)用防火墻開始進入培育期，從目前市場發(fā)展情況來看，Web應(yīng)用防火墻的發(fā)展還是很被看好的。梭子魚中國區(qū)總經(jīng)理何平在接受IT專家網(wǎng)記者采訪時表示，目前國內(nèi)的Web應(yīng)用 防火墻 市場從輔導(dǎo)階段進入了實際長成階段。未來三到五年內(nèi)，Web應(yīng)用 防火墻 年增長率應(yīng)該是200%以上。

剛性的需求

為什么Web應(yīng)用防火墻受到重視？隨著互聯(lián)網(wǎng)技術(shù)的迅猛發(fā)展，許多政府和企業(yè)的關(guān)鍵業(yè)務(wù)活動越來越多地依賴于WEB應(yīng)用，在向客戶提供通過瀏覽器訪問企業(yè)信息功能的同時，企業(yè)所面臨的風險在不斷增加。主要表現(xiàn)在兩個層面：一是隨著Web應(yīng)用程序的增多，這些Web應(yīng)用程序所帶來的安全漏洞越來越多；二是隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，被用來進行攻擊的黑客工具越來越多、黑客活動越來越猖獗，組織性和經(jīng)濟利益驅(qū)動非常明顯。

根據(jù) Gartner 的調(diào)查，信息安全攻擊有75%都是發(fā)生在Web應(yīng)用層而非網(wǎng)絡(luò)層面上。同時，數(shù)據(jù)也顯示，2/3的Web站點都相當脆弱，易受攻擊。可以說，絕大多數(shù)企業(yè)將大量的投資花費在網(wǎng)絡(luò)和服務(wù)器的安全上，沒有從真正意義上保證Web業(yè)務(wù)本身的安全，才給了黑客可乘之機。

Web攻擊可導(dǎo)致的后果極為嚴重，完全可以使用多種攻擊手段將一個合法正常網(wǎng)站攻陷，利用獲取到的相應(yīng)權(quán)限在網(wǎng)頁中嵌入惡意代碼，將惡意程序下載到存在客戶端漏洞的主機上，從而實現(xiàn)攻擊目的。由此可見，Web安全已經(jīng)成為信息時代最大的“殺手”！

何平指出，當網(wǎng)站已經(jīng)和后臺數(shù)據(jù)庫掛鉤，而非簡單的靜態(tài)頁面時，就應(yīng)該關(guān)注Web應(yīng)用安全。另外隨著今年3G網(wǎng)絡(luò)開始部署，很多3G應(yīng)用開始以手機、平板電腦為基礎(chǔ)，之后Web方式的應(yīng)用將會越來越多，由此，用戶對Web安全的剛性需求會越來越大。

挑戰(zhàn)來自何方？

當一個新東西的出現(xiàn)，要經(jīng)過一個認知過程，Web應(yīng)用防火墻亦是如此。Web應(yīng)用防火墻在國外出現(xiàn)的時間比國內(nèi)早，市場的認知度相對比國內(nèi)要早3－5年左右。何平坦言，對于目前梭子魚而言，最大的挑戰(zhàn)不是來自競爭對手，而是來自用戶的認知的挑戰(zhàn)。在整個行業(yè)的推動，仍然需要花很大的力氣進行市場教育和引導(dǎo)。

另外，國內(nèi)的Web應(yīng)用防火墻市場還處于一個混沌期，要想拿出一個比較成型的標準，還需要一兩年的時間。何平介紹到，Web應(yīng)用防火墻最早的標準來自于PCI-DSS標準設(shè)計（信用卡支付的數(shù)據(jù)安全標準），但隨著業(yè)務(wù)和應(yīng)用需求的變化以及面對危脅的變化，目前標準的參考主要是來自于OWASP－開放式Web應(yīng)用程序安全項目。OWASP是一個開放社群、非營利性組織，其主要目標是研議Web安全的標準。從防護能力來說，Web應(yīng)用防火墻用于防御應(yīng)用層的如SQL注入攻擊、跨站腳本攻擊等傳統(tǒng)安全設(shè)備無法防御的安全威脅。

但是技術(shù)是和市場是聯(lián)動的，來自Web危脅日益嚴重的剛性需求，以及隨著國內(nèi)用戶需求的逐漸清晰和細化，Web應(yīng)用防火墻產(chǎn)品的事實標準將逐漸形成。

Web應(yīng)用防火墻和傳統(tǒng)防火墻及Web安全網(wǎng)關(guān)有很大差別。傳統(tǒng)防火墻專注在網(wǎng)絡(luò)層面，提供IP、端口防護；Web應(yīng)用防火墻主要致力于提供應(yīng)用層保護。主要是對Web特有入侵方式的加強防護，如SQL注入、XSS等。Web應(yīng)用 防火墻 可以有效阻斷來自黑客的Web攻擊，建立起安全的第一道防線。

梭子魚Web應(yīng)用防火墻是基于2007年收購的NetContinuum公司的NC系列防火墻開發(fā)出來的新一代Web應(yīng)用防火墻，不僅繼承了NC系列防火墻的強大功能，而且利用新的硬件平臺大大提升了產(chǎn)品的性能，同時利用梭子魚產(chǎn)品的一貫優(yōu)勢——操作簡單、易于部署，改善了產(chǎn)品的操作界面和部署模式。

何平指出，由于目前沒有統(tǒng)一的WAF標準，供應(yīng)商的產(chǎn)品功能和性能差異非常大。Web應(yīng)用防火墻直接關(guān)聯(lián)到用戶核心應(yīng)用，用戶需謹慎選擇產(chǎn)品，并建議在打算部署此類產(chǎn)品前先詢問專業(yè)的安全公司或者系統(tǒng)集成商，多進行分析比較。