讓我歡喜讓我憂，淺談云WAF帶來的利與弊
云時代讓WAF多了一種形態
近年來，云計算的熱潮推動著IT行業的發展。很多企業的產品或服務都在盡力與云“掛鉤”。其中，在國內外信息安全市場中，也多了一個新的概念，就是“云WAF”。
云WAF，也稱WEB應用防火墻的云模式。它是一種全新的信息安全產品模式。這種模式讓用戶不需要在自己的網絡中安裝軟件程序或部署硬件設備，就可以對網站實施安全防護。防SQL注入、防XSS、防DDOS等，這些傳統WAF上存在的功能，云WAF同樣具備。從用戶的角度來看，云WAF更像是一種安全服務，只不過這種服務并非是通過人工來實施的。
云WAF的技術實現
之所以稱之為云WAF，就是因為它所有的WAF功能都是通過云端提供的，而不需要在本地部署產品。實現這點主要利用的就是DNS技術。
眾所周知，每個網站都有自己的域名，域名與WEB服務器的IP地址相對應。當客戶端瀏覽器通過域名訪問網站時，首先會由網站指定的DNS服務器解析出域名所對應的WEB服務器的IP地址，這樣客戶端才能向服務器發起正常的訪問請求，進而完成一次完整的HTTP會話。
云WAF正是利用這項機制。通過讓網站移交域名解析權的方式，實現對網站的安全防護。
通常情況下，云WAF系統由控制中心及端節點兩大部分組成�？刂浦行牟渴鹩蠨NS服務器、調度系統等，用來解析并調度客戶端對網站的訪問請求。端節點采用多臺分布式部署，每一個端節點都是一臺獨立的硬件WAF設備，用來過濾非法的網站請求。具體實現過程為：用戶首先需要將被保護的網站域名解析權移交給云WAF系統（采用修改域名NS記錄或CNAME記錄的方式）。域名解析權移交完成后，所有對被保護網站的請求，將會被控制中心解析并調度到指定的端節點上。由端節點進行流量過濾后，再遞交給原始的WEB服務器。
近年來，云計算的熱潮推動著IT行業的發展。很多企業的產品或服務都在盡力與云“掛鉤”。其中，在國內外信息安全市場中，也多了一個新的概念，就是“云WAF”。
云WAF，也稱WEB應用防火墻的云模式。它是一種全新的信息安全產品模式。這種模式讓用戶不需要在自己的網絡中安裝軟件程序或部署硬件設備，就可以對網站實施安全防護。防SQL注入、防XSS、防DDOS等，這些傳統WAF上存在的功能，云WAF同樣具備。從用戶的角度來看，云WAF更像是一種安全服務，只不過這種服務并非是通過人工來實施的。
云WAF的技術實現
之所以稱之為云WAF，就是因為它所有的WAF功能都是通過云端提供的，而不需要在本地部署產品。實現這點主要利用的就是DNS技術。
眾所周知，每個網站都有自己的域名，域名與WEB服務器的IP地址相對應。當客戶端瀏覽器通過域名訪問網站時，首先會由網站指定的DNS服務器解析出域名所對應的WEB服務器的IP地址，這樣客戶端才能向服務器發起正常的訪問請求，進而完成一次完整的HTTP會話。
云WAF正是利用這項機制。通過讓網站移交域名解析權的方式，實現對網站的安全防護。
通常情況下，云WAF系統由控制中心及端節點兩大部分組成�？刂浦行牟渴鹩蠨NS服務器、調度系統等，用來解析并調度客戶端對網站的訪問請求。端節點采用多臺分布式部署，每一個端節點都是一臺獨立的硬件WAF設備，用來過濾非法的網站請求。具體實現過程為：用戶首先需要將被保護的網站域名解析權移交給云WAF系統（采用修改域名NS記錄或CNAME記錄的方式）。域名解析權移交完成后，所有對被保護網站的請求，將會被控制中心解析并調度到指定的端節點上。由端節點進行流量過濾后，再遞交給原始的WEB服務器。
圖1：云WAF系統實現原理
云WAF帶來的利與弊
百變不離其宗。分析了云WAF的實現原理后，我們發現。云WAF的出現，雖然給網站防護帶來了一種新的模式。但是從安全防護的手段及能力上來看，云WAF仍然是依賴于端節點的硬件設備，并沒有本質性的改變。那么，與部署傳統的硬件設備相比，使用云WAF究竟帶來的是利還是弊？下面就來分析一二，僅供廣大網站管理者們參考。
云WAF之利（一）：零部署，零維護
這也是云WAF最有價值，最為吸引用戶的一點。不需要安裝任何軟件程序或部署硬件設備，只需切換DNS就可以將網站加入到云WAF系統的防護中。而且，云WAF提供商會負責系統維護及防護規則庫的更新，管理員不必擔心可能會因為疏忽或者黑客使用最新的攻擊手段而使網站受到威脅。
云WAF之利（二）：提供CDN功能
網站訪問速率是評估一個網站業務能力的重要指標。一些大型的網站為了提升訪問速率，往往會使用CDN服務。規模較大的云WAF系統都是以分布式計算為基礎架構，采用跨運營商的多線智能解析調度，將單點網站資源動態負載至全國的云端節點，用戶訪問流量被引導至最近的云端節點。并且通過對請求的動態內容優化壓縮，靜態內容分布緩存，為用戶提供CDN服務，提升網站的訪問速度。
以上兩點，讓部分用戶對云WAF“一見鐘情”。但是從更專業的角度考量，在這些特性背后，云WAF同樣存在著嚴重的問題。
云WAF之弊（一）：系統存在被輕易繞過的風險
眾所周知，本地WAF對網站實施保護，主要采用的是反向代理技術。通過配置代理端口并設定地址映射規則，達到隱藏真實服務器的目的。然而不同的是，云WAF系統需要依賴于DNS進行訪問調度。網站的所有訪問流量只有經過指定的DNS服務器解析后才會被牽引到云WAF系統的防護節點進行過濾。這樣一來，如果黑客利用相關手段（具體手段在這里不做具體介紹）獲取到原始WEB服務器的IP地址，然后通過強制解析域名的方式，就可以輕松的繞過云WAF系統對原始服務器實施攻擊。
云WAF之弊（二）：系統的可靠性欠缺保障
云WAF系統處理一次網站訪問請求，至少需要經過DNS解析、請求調度、流量過濾等環節。其中涉及多個系統的協同關聯作業。只要有一個環節出現問題，就會導致網站無法正常訪問。目前云WAF系統還沒有相對完善的機制解決此類問題，必要時只能手動將域名解析權切換回原DNS服務器，使得網站流量不經過云WAF系統。但是域名解析權切換生效是需要一定的時間。這種方式與硬件設備的Bypass功能相比，顯然效率會低很多。
云WAF之弊（三）：網站訪問數據的保密性較低
網站訪問數據對于一些企業機構來說是保密且重要的數據。因為里面可能包含了用戶的隱私以及市場信息。把這些數據存儲在本地自己管控相對會比較安全。但是，如果網站使用了云WAF系統，網站的所有訪問數據都會被記錄在端節點并上傳到控制中心，相當于把數據交給了別人保管，會存在嚴重的泄密風險。
分析利弊后，我們發現，云WAF目前還只適用于一些安全需求較低的中小企業網站或個人網站。對于一些安全需求較高的網站，像政府、金融、運營商等，無論從政策法規上還是業務特性上看，云WAF都無法滿足要求。所以建議廣大網站管理者，需要根據網站的實際情況，明確需求，選擇最為合適的安全產品和服務。
