產(chǎn)品定位
中新金盾WEB應(yīng)用防護(hù)系統(tǒng)，以下簡稱ZX-WAF，是中新網(wǎng)安基于ZXOS開發(fā)的新一代安全產(chǎn)品，作為網(wǎng)關(guān)設(shè)備，防護(hù)對象為Web、Webmail服務(wù)器，其設(shè)計(jì)目標(biāo)為：針對安全事件發(fā)生時序進(jìn)行安全建模，分別針對安全漏洞、攻擊手段及最終攻擊結(jié)果進(jìn)行掃描、防護(hù)及診斷，提供綜合Web應(yīng)用安全解決方案。ZX-WAF提供了業(yè)界領(lǐng)先的Web應(yīng)用攻擊防護(hù)能力，通過多種機(jī)制的分析檢測，ZX-WAF的技術(shù)能夠有效的阻斷攻擊，保證Web應(yīng)用合法流量的正常傳輸，這對于保障業(yè)務(wù)系統(tǒng)的運(yùn)行連續(xù)性和完整性有著極為重要的意義。同時，針對當(dāng)前的熱點(diǎn)問題，如SQL注入攻擊、網(wǎng)頁篡改、網(wǎng)頁掛馬等，ZX-WAF按照安全事件發(fā)生的時序考慮問題，優(yōu)化最佳安全-成本平衡點(diǎn)，有效降低安全風(fēng)險。 功能特點(diǎn)
全透明代理模式 ZX-WAF基于原透明代理引擎進(jìn)行產(chǎn)品功能升級，替代了原代理引擎，在網(wǎng)橋上不用添加IP地址，實(shí)現(xiàn)在配置上透明，在服務(wù)器端能看見客戶端的真實(shí)IP，實(shí)現(xiàn)WAF對服務(wù)器的真正的透明防護(hù)。 旁路阻斷模式 在原有的IPS鏡像檢測基礎(chǔ)上，實(shí)現(xiàn)了回注阻斷攻擊的請求。真正的規(guī)避開了單點(diǎn)故障問題，完美的保證了Web系統(tǒng)的正常運(yùn)行。 文件上傳規(guī)則防護(hù) 后門、木馬上傳怎么辦，由于網(wǎng)站開發(fā)商的疏忽沒能有效的控制上傳文件的策略，WAF將幫您解決此問題。通過策略的定制化，有效的控制上傳文件的類型、大小。通過嚴(yán)格的控制上傳文件能有效的控制了后門、木馬等難纏問題。 網(wǎng)絡(luò)層防護(hù) 包過濾防火墻 ZX-WAF集成了傳統(tǒng)防火墻的主要功能，提供包過濾、黑白名單、URL訪問控制等基礎(chǔ)網(wǎng)絡(luò)層防護(hù)功能，可對Web服務(wù)器提供1-7層全面防護(hù)。 DDoS防護(hù) ZX-WAF的防DDoS攻擊模塊采用主動監(jiān)測加被動跟蹤相互結(jié)合的防護(hù)技術(shù)，可辨識多種DDoS攻擊，并啟用特有的阻斷，能夠高效地完成對DDoS攻擊的過濾和防護(hù)。針對互聯(lián)網(wǎng)中常見的DDoS攻擊手段，提供多種防護(hù)手段結(jié)合的方式，有效的阻斷攻擊行為，從而確保服務(wù)器可以正常提供服務(wù)。ZX-WAF提供對以下攻擊的防護(hù)能力，包括： l 基于每服務(wù)器的DDoS管理 l CC攻擊防護(hù) l 客戶端/服務(wù)器連接數(shù)限制 l SYN-UDP-ICMP flood防護(hù) l TCP-UDP-ICMP流量管理 l 各種常見網(wǎng)絡(luò)層攻擊防護(hù) l xm 網(wǎng)頁防篡改 ZX-WAF集成了網(wǎng)頁防篡改功能，可集中管理控制各個網(wǎng)頁防篡改端點(diǎn)，并提供監(jiān)控、同步、發(fā)布功能。該網(wǎng)頁防篡改具有以下特點(diǎn)： l 基于文件夾驅(qū)動級保護(hù)技術(shù)，事件觸發(fā)機(jī)制，只占用極少的系統(tǒng)資源。 l 與WAF聯(lián)動：網(wǎng)頁防篡改（端點(diǎn)技術(shù)）與WAF聯(lián)動，阻斷Web威脅。 l 采用文件級驅(qū)動保護(hù)技術(shù)，用戶每次訪問每個受保護(hù)網(wǎng)頁時，Web 服務(wù)器在發(fā)送之前都進(jìn)行完整性檢查，保證網(wǎng)頁的真實(shí)性，可以徹底杜絕篡改后的網(wǎng)頁被訪問的可能性。 l 支持Windows 2000/xp/2003/2008/2012(32和64位), Linux/BSD系統(tǒng)的網(wǎng)頁防篡改。 l 發(fā)布服務(wù)器功能，提供網(wǎng)頁防篡改的發(fā)布模式，能和主流的CMS系統(tǒng)集成進(jìn)行內(nèi)容發(fā)布。 負(fù)載均衡 ZX-WAF集成了服務(wù)器負(fù)載均衡功能，適用于大型網(wǎng)站多用戶、高流量的應(yīng)用場景。負(fù)載均衡在現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)之上，提供了一種廉價有效的方法擴(kuò)展服務(wù)器帶寬和增加吞吐量，加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)處理能力，提高網(wǎng)絡(luò)的靈活性和可用性。ZX-WAF采用了五種負(fù)載均衡算法支持分層架構(gòu)設(shè)計(jì)模型，將網(wǎng)絡(luò)拓?fù)渑c應(yīng)用安全分離，減輕運(yùn)維負(fù)擔(dān)，大幅降低用戶投資。 HTTPS卸載/加速 針對SSL加密應(yīng)用，WAF根據(jù)業(yè)務(wù)模型提供HTTPS卸載和HTTPS加速應(yīng)用，以提供更佳的客戶體驗(yàn)或降低服務(wù)器負(fù)載。 HTTPS網(wǎng)守應(yīng)用 SSL應(yīng)用越來越廣，能提供安全、可靠的HTTP服務(wù)，因此被大量采用。但有的客戶因?yàn)闂l件限制無法提供HTTPS加密傳輸，因此面臨較高的風(fēng)險。ZX-WAF根據(jù)面向此種模型開發(fā)的HTTPS網(wǎng)守服務(wù)，能為客戶提供無縫HTTPS服務(wù)，從而最大保護(hù)客戶數(shù)據(jù)安全性。 可視化管理 ZX-WAF強(qiáng)大的設(shè)備監(jiān)控功能，管理員可以實(shí)時監(jiān)控設(shè)備的工作狀態(tài)、攻擊威脅等系統(tǒng)信息。目前監(jiān)控信息分為3大類（ZX-WAF系統(tǒng)軟件、硬件狀態(tài)信息，Web安全攻擊信息，網(wǎng)頁防篡改系統(tǒng)信息），共計(jì)26種狀態(tài)信息，從而使管理員可以隨時對網(wǎng)絡(luò)和防火墻的狀態(tài)有詳盡了解，及時發(fā)現(xiàn)并排除網(wǎng)絡(luò)問題，保障應(yīng)用的穩(wěn)定運(yùn)行。 三權(quán)分立 ZX-WAF按照“三權(quán)分立”思想設(shè)置了，“配置管理員”、“賬戶管理員”、“審計(jì)管理員”；避免內(nèi)部人員修改設(shè)備配置造成的安全事故，同時也符合國家相關(guān)的政策標(biāo)準(zhǔn)要求。 日志留存和分析 ZX-WAF提供日志留存系統(tǒng)，系統(tǒng)會記錄包括管理日志、網(wǎng)站訪問日志、攻擊日志、網(wǎng)頁防篡改日志、DDoS日志、審計(jì)日志等，在日志量大或有長時間留存要求的場景中，ZX-WAF還提供了外置日志服務(wù)器。ZX-WAF還提供了先進(jìn)的日志分析系統(tǒng)，以圖形化展示各類日志，亦可以多種格式導(dǎo)出；方便用戶統(tǒng)計(jì)網(wǎng)站安全狀況。 網(wǎng)絡(luò)環(huán)境支持 ZX-WAF可適應(yīng)各種網(wǎng)絡(luò)環(huán)境，支持鏈路聚合、VLan、ARP配置等功能，可無縫部署到客戶的網(wǎng)絡(luò)中。 ZX-WAF支持Trunk鏈路防護(hù)。支持IPV6的防護(hù)，可以適應(yīng)各種網(wǎng)絡(luò)環(huán)境。 高可用性 ZX-WAF采用ZXOS獨(dú)有的雙操作系統(tǒng)驅(qū)動模型，保證系統(tǒng)平滑的進(jìn)行規(guī)則庫、版本庫、核心引擎的在線升級，避免可能的中斷客戶網(wǎng)絡(luò)應(yīng)用的情況發(fā)生。ZX-WAF 并且支持很多高可用性選項(xiàng)：高可用性(HA)：支持VRRP部署方式，滿足大型網(wǎng)絡(luò)環(huán)境部署需求；支持BYPASS模式：豐富的BYPASS選項(xiàng)，可以根據(jù)各項(xiàng)性能參數(shù)設(shè)置進(jìn)入BYPASS狀態(tài)，防止各種突發(fā)狀況造成網(wǎng)絡(luò)故障；豐富的部署模式：支持透明檢測部署、旁路阻斷部署、旁路檢測模式、反向代理部署。
客戶價值
通過更靠近服務(wù)器的部署位置，提供有效的服務(wù)器安全；識別攔截針對服務(wù)器的攻擊行為，保障服務(wù)器自身安全；提供必要的服務(wù)器負(fù)載均衡功能，保障服務(wù)器穩(wěn)定可用；識別保護(hù)服務(wù)器上傳的敏感信息，保障服務(wù)器內(nèi)容安全。 事前，ZX-WAF提供Web應(yīng)用漏洞掃描功能，檢測Web應(yīng)用程序是否存在SQL注入、跨站腳本漏洞。 事中，對黑客入侵行為、SQL注入/跨站腳本等各類Web應(yīng)用攻擊、DDoS攻擊進(jìn)行有效檢測、阻斷及防護(hù)。可以有效的防止因黑客攻擊而造成的用戶網(wǎng)站被惡意篡改、惡意仿冒、敏感信息被泄露、網(wǎng)站被遠(yuǎn)程控制、被信息安全主管單位漏洞通報等安全事件的發(fā)生?？蛻艨梢詫ψ陨砭W(wǎng)站安全情況了然于胸，提升用戶對自身網(wǎng)站安全防護(hù)的信心。 事后，可以通過對日志報表的分析，全面詳細(xì)的了解自身網(wǎng)站遭受黑客攻擊的狀況，通過組織網(wǎng)站開發(fā)人員、網(wǎng)站安全人員對網(wǎng)站漏洞進(jìn)行修復(fù)，使得網(wǎng)站更加安全，發(fā)生網(wǎng)站安全事件的幾率更低。 |
