本文来自微信公众号“安全牛”。
随着网络攻击的演进，Web应用防火墙（WAF）的应用也在发生变化。企业组织部署WAF不仅要对网站进行保护，还要对逐渐普及的Kubernetes、微服务、API和无服务器部署等新兴应用进行保障和支撑。WAF是现代企业做好网络安全工作的基础技术，本文收集整理了多位行业专家对2023年WAF技术应用发展的看法，以帮助企业了解这种传统解决方案的发展动态。
01
WAF市场仍将快速发展
Web应用防火墙并不是一种创新的网络安全技术，然而它们始终在企业数字化转型发展中扮演着重要角色，也是安全市场中长期保持快速稳定发展的细分应用领域之一。据市场研究公司Dell'Oro Group最新研究数据显示，WAF技术的市场应用需求将保持14%以上的年增长率。Dell'Oro Group分析师Mauricio Sanchez表示，WAF是保障企业数字化应用安全可靠运行的基础措施，至少在未来五年内不会被其它解决方案所替代。全球WAF市场的总收入在2022年增长了近30%，预计2023年的全球市场收入将超过20亿美元。
02
增强基于身份的安全防护能力
SailPoint的战略和标准总监Mike Kiser认为，要更好地保障企业应用系统安全，需要对传统WAF的能力进行优化和补充。尽管WAF是企业的标配安全系统，但是应该将WAF与其他保护措施（比如机器人程序缓解和API安全）结合起来。同时，还应该在产品设计层面进行优化，在应用系统层实现以身份为中心的安全模型。Kiser表示，为了实现这一目标，就需要在传统WAF方案中，融合先进的身份管理方法，例如：限制受攻击帐户的影响，检测异常的用户行为和横向移动，以及能够借助审计策略来管理身份。
03
实时的威胁检测和防护
Cloudflare的产品经理Michael Tremante也认为，WAF产品在2023年需要逐渐变成更先进、计算能力更强大的异常行为检测系统。他认为，虽然攻击者仍大量使用传统攻击方式，但应用系统和基于API的接口中出现异常进程流才是最需要关注的焦点。比如说，只要用户在正常的时间或方式之外执行了在线银行货币交易，就需要实时识别并发出警报，而不是事后处理日志。在企业真实业务环境中实现实时防护是WAF产品要解决的下一个挑战。传统的本地化WAF产品将难以胜任新一代的安全检测要求，基于云计算的WAF更能够满足企业用户的这种需求，前提是相关技术准备已落实到位。
04
从WAF向WAAP演进
Imperva首席技术官办公室技术总监Pete Klimek表示，虽然传统WAF产品仍然是一种重要的安全工具，但它需要依赖特征码来识别和阻止可疑攻击活动。对于大多数现代企业来说，这已经不足以阻止越来越多新型自动化安全威胁。智能欺诈、业务逻辑攻击及各种形式的API滥用并不依赖已知的攻击模式，因此传统WAF产品很难识别和阻止它们。
此外，随着企业将业务上云，应用系统变得更复杂，整体式应用系统分解为API、微服务和无服务器函数。而传统WAF产品难以部署在云原生环境中。因此，新一代WAF产品——WAAP将会得到更多的关注和应用。基于云的WAAP方案可以提供多层安全防护能力，除了传统WAF的功能外，还包括了API安全、分布式拒绝服务（DDoS）防护以及机器人攻击防护。WAAP可以部署在几乎任何云环境中，便于安全团队全面了解攻击状况，识别出恶意攻击行为的早期迹象，并采用合适的方式应对。
05
加强WAF自身的安全防护
由于种种原因，针对WAF的攻击在各类企业中已经大量发生。虽然WAF充当代理，对应用服务器与客户端之间的流量进行监管，但如果WAF本身存在漏洞，这反而会给攻击者找到攻击机会。Cyber Defense Labs公司CEO Robert Anderson Jr.表示，网络攻击者一直在寻找并利用各种存在漏洞的系统，其中也包括未打补丁的防火墙和WAF设备。因此，企业需要为包括WAF产品在内的各种安全设备及其操作系统及时安装补丁，并定期进行安全扫描。他表示，如果企业不能确保所有的补丁都及时更新，将会面临大规模勒索软件攻击和数据泄露的风险。
