经过20年的使用商业web应用程序防火墙(WAF)产品,现在是时候认识到一个残酷的事实:一个传统WAF不再为现代互联网用户提供足够的保护。

waf很受欢迎。许多供应商都仍然提供WAF电器(包括物理和虚拟)在许多配置和特性集。但尽管如此普及,很少有如果任何组织今天仍然应该使用一个独立的web安全的WAF作为他们的主要联系方式。

传统waf不再足够了

直到几年前,一个WAF就足够了。网络威胁是不太常见的和不那么复杂的。敌对的机器人是原油和简单的检测。压制了僵尸网络较小,通常低带宽可用僵尸机器。网络犯罪在俄罗斯市场和其他地方(今天提供从黑客服务出租僵尸网络恶意软件作为服务)仍在起步阶段。

安全本身也不是非常具有挑战性。Web应用程序是不太常见的;大多数商业网站往往是静态内容。安全需求通常是最小的,可以由托管提供商提供。对于大多数组织,直接从他们的网站收入是他们的底线不那么重要。

如今,一切都改变了。现代waf必须防止更大的各种各样的复杂和富有挑战性的威胁。当他们失败时,潜在的成本要高得多:经济损失,市场声誉受损,可能的监管处罚等等。

在今天的威胁环境中,WAF电器有固有的缺点。这里有一些。

技术债务

Web标准正在迅速发展,增加的复杂性waf必须做什么。趋势等越来越多的采用HTTP / 2和增加使用JSON载荷使大多数WAF厂商争相跟上。市场预期解决方案提供商不断创新:相反,许多WAF解决方案越来越脆弱。

硬件是一个瓶颈

上述问题是加剧了对硬件WAF产品,已涉及设计和测试周期长,比软件解决方案。一些供应商已经试图减轻这种通过转向软件设备模型,但这也带来了新问题。供应商以前喜欢从他们的利润大量昂贵的硬件产品,然后他们开始提供waf能够通用的服务器上运行,再也不能证明他们的高价格。

复杂性

功能齐全的waf很复杂。他们需要大量的操作技能配置,保持当前的威胁环境的发展。

缺乏灵活性

大多数WAF产品不能快速适应新的web应用程序。它们也很容易适应他们已经保护的web应用程序进行修改。这些问题阻碍组织使用敏捷方法和DevOps。

Cloud-unfriendly

WAF电器设计对传统架构,云托管。

缺乏可伸缩性

需要网络扩展加剧了上述的一些问题。部署的设备是非常具有挑战性的。维护是同样困难的。敏捷方法和DevOps需要不断re-tuning和集群的重置,可安全团队的资源。

缺乏API支持

WAF家电是用来保护数据中心。他们很难保护移动应用程序或其他用途的公共API。

缺乏上下文

一个独立的WAF只是最近的补丁一样有效。它不能通过自学来提高从全球或区域交通模式,因为它只接收交通网络的保护。新的网络威胁出现时,一个独立的WAF仍然没有打败他们,直到其供应商问题更新和组织人员安装它。

竞争劣势

云托管,频繁的应用程序部署和更新,自动定量、公共api和其他现代趋势提供了众多的优势的组织使用它们。当WAF电器阻碍甚至阻止组织使用这些东西,组织将会落后于竞争对手。

需要吗?WAF福利和更多

WAF的传统形式(一个物理或虚拟设备)已经过时了。但是很明显,组织仍然需要WAF旨在提供的好处。

这些好处可以,而且应该,比电器提供的另一种形式。云安全平台可以提供所有强大的WAF的优点(和更多的除了),没有上述缺点。例如:

全面保护:云安全解决方案可以包括远远超过传统的WAF。还可以,也应当包括DoS /DDoS保护,机器人管理,CDN集成等等。

技术创新

一些云安全解决方案是先锋网络安全的新方法。它们不仅跟上推进web标准,他们也利用新技术如高性能数据仓库和机器学习。这允许这些平台self-learn和总是适应不断发展的环境威胁。

进行即时部署,持续更新:生于云端软件平台可以在几分钟内从头开始部署。他们还可以保持最新的对新的网络威胁,并得到不断升级他们的功能和特性。

操作员技能是可选的

领先的云平台完全管理。客户可以管理他们是否愿意,但这是可选的。

灵活性:最好的提供者使用进行安全和DevOps / DevSecOpsCI / CD的平台。他们鼓励他们的客户做同样的,设计自己的平台来支持这些做法。

可伸缩性

原生云平台可以自动部署、管理和扩展的部署在世界各地。

API的保护

除了web应用程序安全性,领先的云提供商也为客户机api提供充分保护,sdk为移动应用程序,等等。

全球背景下

一些云安全平台利用国际部署维护全球流量趋势的全面视图。他们监控和分析所有部署,交通受到全世界。一旦遇到新的网络威胁在一个位置,可以更新全球部署,强硬地反对它,甚至在他们中的大多数在本地遇到它。

竞争优势

领先的平台为他们的客户提供健壮的网络安全,即使这些客户正在加速新产品和服务的交付(和改进现有的),部署在全球范围内不断地和安全地。

再见,WAF。你好,WAAP。

Reblaze提供了上述优点,和许多更多。事实上,一个平台如Reblaze远远优于传统的WAF,一些行业分析师开始以不同的方式来描述它。

而不是专注于个人安全应用程序(如WAF DDoS保护,机器人管理,等等),这些分析师承认,需要所有的这些功能在一个全面的云平台,称为WAAP (Web应用程序和API保护)。

你可能没有听说过这个术语,它仍然是相当少见的。现在,更常见的人们说,他们的组织需要一个下一代WAF(Reblaze还包括)。

然而,WAAP更相关的术语。据推测,它将成为更受欢迎,人们意识到WAAP描述不仅仅是NXGN-WAF,还有其他功能,所有这些都是必要的对于一个功能齐全的网络安全解决方案。

不管使用的术语,许多组织正在迅速增长,远超传统WAF电器的功能。

保持最新的一切安全,从拥挤不堪的网络安全知识学习中心拥有超过50个神奇的资源让你循环。