云與虛擬化之路的安全抉擇

趙明

2017年將是網絡安全行業高速發展的一年，WebRAY（盛邦安全）副總裁嚴雷表示，盛邦安全將建設更多辦事處，發展渠道伙伴，深耕市場。同時， 盛邦安全將繼續研發新產品，開發新技術，保持技術領先。在2017年，盛邦安全將發布更多新產品為用戶提供更好的服務。

隨著云計算產業的不斷成熟，越來越多的企業用戶選擇將業務系統遷移至云和虛擬化平臺中。但是，在關注云和虛擬化基礎設施安全的同時，防網頁篡改、防網頁掛馬等Web應用安全防護也需要得到充分的重視。

近期，盛邦安全推出了可以部署于云和虛擬化環境的WAF產品，能夠防范黑客利用 Web 應用天然缺陷對業務進行惡意攻擊，并及時發現傳統防火墻不能檢查出的 Web 安全問題。

威脅云端Web服務

由于云服務具備敏捷、低成本等優勢，很多企業用戶都選擇將Web服務轉移到云端。然而，Web應用安全問題卻并不會隨著云化進程而自然化解，即使企業用戶通過云本身的安全防護功能解決了病毒感染、APT攻擊等網絡層面的安全問題，但頁面篡改、CC攻擊、信息泄露、后門控制、跨站腳本等應用安全風險依然威脅著Web服務的完整性、合規性。

近兩年，國家顯著強化了對于Web服務的監管力度，要求Web服務提供商確保Web內容的安全性、合規性，避免出現色情、暴力等非法信息，或是被不法分子篡改網頁內容，否則將可能導致網站面臨關停等處罰。

為了規避相關風險，部署Web應用安全防護產品顯然是最好的應對之道，而傳統的Web應用安全防護產品并不能有效適配云與虛擬化環境，所以用戶急需能夠完美適配云與虛擬化環境的Web應用安全防護產品。

在此背景下，云或虛擬化WAF應運而生，它在適配云和虛擬化環境的同時，可以為云用戶提供Web應用安全防護功能。權威咨詢機構 Gartner 預測，到2020年年底，60%以上受WAF保護的公有Web應用，將采用云WAF或虛擬化WAF交付方案。

那么，Web服務提供商又該如何選擇云或虛擬化WAF產品呢？

按需選擇是最佳解決之道

目前，可以適配云環境的WAF產品可以分為云WAF和虛擬化WAF。云WAF通過改變DNS解析，將訪問Web應用服務器的域名解析權移交到云端節點，以過濾非法的網絡需求。而虛擬化WAF則是將傳統硬件WAF的功能適配虛擬化環境，采用傳統的代理技術，以確保虛擬Web應用服務器的安全，防止跨站、注入等Web攻擊行為。

盛邦安全產品經理徐景育表示：“這兩種WAF產品并沒有絕對的優劣之分，對于強調業務敏捷性與快速交付，降低運維成本的Web用戶來說，選擇云WAF產品能夠提供其所需的彈性、可擴展性，以及按需的防護；而對于有較多的定制化Web安全防護需求，希望對Web應用進行嚴格控制與審計的用戶來說，選擇虛擬化WAF則能夠提供與基于物理環境的WAF產品基本無異的Web應用安全防護服務。”

面向云與虛擬化環境，盛邦安全推出了銳御RayWAF，它以虛擬化鏡像方式提供，完全兼容VM、KVM、XEN等多種虛擬化平臺，可以為虛擬機配置提供與底層硬件上存在的物理組件完全不同的虛擬組件。

它不僅能用于保護面向互聯網的 Web 應用，還可以被部署在內部 Web 應用服務器之前，對內部 Web 服務器的惡意訪問行為進行訪問控制和業務審計，防范來自內部的威脅。

目前，銳御RayWAF已經在QingCloud中成功上線，為云租戶提供可以信賴的Web應用安全服務。未來，銳御RayWAF還計劃登錄阿里云、華為云等公有云平臺，并通過與中國聯通、中國電信等私有云廠商的合作，保護云用戶重要信息系統不受 Web 應用攻擊的影響。