如何选择Web安全防护产品介绍

随着网络风险威胁上移，传统的2-4层攻击等等已经越来越多的迁移到了应用层，传统非黑即白的防护已经无法满足现有的安全防护需求，Web防护产品需求越来越旺盛。选择一款适合自身业务的Web安全防护产品十分关键。如何选择一款好的Web安全防护产品，深信服作为专注应用层技术多年的应用层网络设备供应商，在这儿给您几点参考建议：

1、是否获得OWASP Web应用防火墙认证证书

OWASP被视为Web应用安全领域的权威参考，OWASP TOP 10是IBMAPPSCAN、HP WEBINSPECT等扫描器漏洞参考的主要标准。能够获得OWASP的Web应用防火墙认证证书是对产品Web防护能力的高度肯定。

2、OWASP top10防御能力达到4星

在OWASP的认证测评中，TOP10是OWASP为Web安全防护能力的主要测评项，防护效果直接影响最终的评分。在国内的安全产品中，能够获得4星评分的产品屈指可数，深信服下一代防火墙名列其中。

3、特征+主动防护模式进行防护

Web攻击防护主要依靠Web攻击特征的编写，而具备采用自动建模的技术的Web安全防护产品可以自动学习网站的文件、目录及参数，形成白名单实现主动防御。采用特征+主动防御模式可综合抵御已知未知威胁达到最佳的防护效果。

4、Web攻击特征达到2000条以上

Web攻击特征库是决定OWASP top10威胁的主要评估依据，由于Web攻击采用逃逸的手段很多，只有充分编译各类攻击特征才能起到有效的防护效果。2000条特征是同类产品专业性的一个初级评判标准。

5、提供系统漏洞、应用漏洞攻击的防护能力

Web系统的风险包括以下几类：

系统底层漏洞（如windows、linux操作系统漏洞）

发布软件漏洞（IIS、Aapach等）

数据库中间件漏洞（oracle、sql server、my sql等漏洞）

Web应用漏洞（Web漏洞攻击）

Web安全防护产品不仅仅需要具备Web攻击防护能力，还需具备上述的系统漏洞、应用漏洞等的攻击防护的技术。

6、具备攻击效果事后处理的能力

未知威胁的不断新增，仅依靠攻击特征的方式进行安全防护永远会落后于黑客攻击的新手段。一款专业的Web安全防护产品应从黑客攻击要达到的效果出发，同时提供事后处理的技术手段。

7、应用层性能满足业务的要求

Web安全防护产品其资源消耗主要是由应用层流量检测引起。一款优秀的Web安全产品应做到软硬件的技术改良以提升应用层的性能，满足大规模Web系统集群的应用层性能的要求。