web应用防火墙(WAF)的基本原理是什么？

WAF，又名Web应用防火墙，能够对常见的网站漏洞攻击进行防护，例如SQL注入、XSS跨站等；目前WAF最基本的防护原理为特征规则匹配，将漏洞特征与设备自身的特征库进行匹配比对，一旦命中，直接阻断，这种方法能够有效防范已知的安全问题，但是需要一个强大的特征库支持，特征库需要保证定期更新及维护；但是对于零日漏洞（未经公开的漏洞），就需要设备建立自学习机制，能够根据网站的正常状态自动学习建立流量模型，以模型为基准判断网站是否遭受攻击。

*防火墙(Firewall)

存取控制 ----指定IP地址、用户认证控制

拒绝攻击 ----检测SYN攻击、检测Tear Drop攻击、检测Ping of Death攻击、 检测IP Spoofing攻击、默认数据包拒绝、过滤源路由IP、动态过滤访问、支持Web、Radius及SecureID用户认证

*网络地址转换NAT(Network Address Translation)

隐藏内部地址，节约IP资源

*网络隔离DMZ(Demilitarized Zone)

物理上隔开内外网段，更安全，更独立

*负载平衡(Load Balancing)

按规则合理分担流量至相应服务器，适用于ISP

*虚拟专网VPN(Virtual Private Network)

符合IPsec标准，节省专线费用。VPNclient适应国际趋势

*流量控制及实时监控(Traffic Control)

用户带宽最大量限制，用户带宽最小量保障，八级用户优先级设置，合理分配带宽资源

---