امروزه استفاده از دیواره آتش لایه کاربرد (Web Application Firewall) در حال گسترش می باشد. همه گیری نرم افزارهای موبایل مبتنی بر API و اپلیکیشن های مبتنی بر وب موجب افزایش تهدیدات و به تبع آن نیاز بیشتر به ابزارهای امنیتی جدید برای سازمانها شده است.
در این مطلب برخی از ویژگی هایی که در زمان تهیه یه WAF به آن نیاز است لیست شده است:
ویژگی های فنی:
» حفاظت جامع در برابر حملات پیشرفته لایه 7 و تهدیدات روز صفر
» مدیریت متمرکز مبتنی بر وب با داشبورد پویا با پیکربندی آسان و استقرار و مدیریت کاربر پسند.
» شناسایی و جلوگیری از نفوذ و محافظت از شبکه ها در برابر هکرهایی که می توانند مخفیانه به سیستم نفوذ کنند.
» ثبت و گزارش جامع
» دارای حافظه نهان (Cache)، به همراه فشرده سازی و سایر بهینه سازی های HTTP/TCP برای تسریع ارائه سرویس
» بارگذاری تراکنش های SSL جهت کاهش حجم کار و افزایش عملکرد
» امکان Load Balancing برای توزیع بار در میان سرورهای وب خوشه‌ای
» امکان failover برای افزایش اطمینان دسترسی خدمات
» تولید و بکارگیری امضای SSL رایگان مورد تایید Let’s Encrypt برای خدمات مبتنی بر وب
» لایسنس اصلی و دریافت آپدیت از سرور شرکت اصلی (سرورهای کرک شده و غیرمعتبر بروزرسانی غیرقابل قبول است)
» نصب و آموزش مدیریت رایگان در محل خریدار
» حداقل ویژگی های سخت افزار:
دارای 8 پورت 10/100/1000 یا بیشتر
4GB RAM or higher
CPU Intel-Based
SSD 120GB or more
Console Serial RS232 management
2*USB Ports or more
مقابله با انواع حملات لایه کاربرد وب از جمله:1. جعل درخواست بین سایتی(Cross-site request forgery)
2. اسکریپت بین سایتی (XSS Cross Site Scripting (XSS))
3. تزریق کد SQL (SQL injection)
4. حملات مهم OWASP نسخه 2021:
• کنترل دسترسی ناقص(Broken access control)
• شکست در رمزنگاری (Cryptographic Failures)
• تزریق (Injection)
• طراحی ناامن (Insecure Design)
• پیکربندی اشتباه امنیتی(Security misconfiguration)
• استفاده از مؤلفه‌هایی قدیمی و آسیب پذیر (Vulnerable and Outdated Components)
• شکست در شناسایی و احراز هویت (Identification and Authentication Failures)
• نقص نرم افزاری و یکپارچگی داده ها (Software and Data Integrity Failures)
• خرابی های ثبت و مانیتورینگ امنیتی (Security Logging and Monitoring Failures)
• جعل درخواست سمت سرور (Server-Side Request Forgery (SSRF))
دیگر ویژگی های امنیتی و نرم افزاری:HTTP Header Security
Automatic profiling (white list)
Forceful browsing
Directory/path traversal
Routing (Static, Dynamic)
Quality of Service (QoS)
Multi-WAN (with Failover)
Centralized Management
Fast engine
IDS/IPS
Gateway AV
Routing (Static, Dynamic)
Quality of Service (QoS)
Multi-WAN (with Failover)
از برندهای فعال وف در کشور می توان به FortiWeb، F5، WebRoam اشاره کرد.