新一代Web安全技术应用指南

版权声明版权声明 本报告为北京谷安天下科技有限公司（以下简称“本公司”）旗下媒体平台安全牛研究撰写，报告中所有文字、图片、表格均受有关商标和著作权的法律保护，部分文字和数据采集于公开信息，所有权为原著者所有。未经本公司书面许可，任何组织和个人不得以任何形式复制或传递本报告的全部或部分内容，不得将本报告内容作为诉讼、仲裁、传媒所引用之证明或依据，不得用于营利或用于未经允许的其他用途。任何经授权使用本报告的相关商业行为都将违反《中华人民共和国著作权法》和其他法律法规以及有关国际公约的规定。未经授权或违法使用本报告内容者应承担其行为引起的一切后果 及法律责任，本公司将保留追究其法律责任的权利。 免责声明免责声明 本报告仅供本公司的客户使用。本公司不会因接收人收到本报告而视其为本公司的当然客户。 任何非本公司发布的有关本报告的摘要或节选都不代表本报告正式完整的观点，一切须以本公司发布的本报告完整版本为准。 本报告中的行业数据主要为分析师市场调研、行业访谈及其他研究方法估算得来，仅供参考。因调研方法及样本、调查资料收集范围等的限制，本报告中的数据仅服务于当前报告。本公司以勤勉的态度、专业的研究方法，使用合法合规的信息，独立、客观地出具本报告，但不保证数据的准确性和完整性，本公司不对本报告的数据和观点承担任何法律责任。同时，本公司不保证本报告中的观点或陈述不会发生任何变更。在不同时期，本公司可发出与本报告所载资料、意见及推测不一致的报告。 在任何情况下，本报告中的信息或所表述的意见并不构成对任何人的行为建议，也没有考虑到个别客户特殊的目的或需求。客户应考虑本报告中的任何意见是否符合其特定状况，若有必要应寻求专家意见。任何出现在本报告中的包括但不限于评论、预测、图表、指标、指标、理论、陈述均为市场和客户提供基本参考，您须对您自主决定的行为负责。本公司不对因本报告资料全部或部分内容产生的，或因依赖本报告而引致的任何损失承担任何责任，不对任何因本报告提供的资料不充分、不完整或未能提供特定资料产生的任何损失承担任何责任。 目 录 第一章 云原生时代 Web 应用的安全挑战..................6 1.1Web 应用云原生化............................................................................61.2 高级的 Web 攻击技术......................................................................61.3 传统 WAF 的局限性..........................................................................9 第二章 Web 应用安全现状调研.............................12 2.1 受访者概况....................................................................................122.2 当前 Web 应用风险现状.................................................................132.3 当前 Web 安全建设现状.................................................................152.4 当前 Web 安全建设难点.................................................................19 第三章 新一代 Web 安全系统框图.........................22 3.1Web 安全的迭代历程......................................................................223.2 新一代 Web 安全系统框图.............................................................23 第四章 新一代 Web 安全的技术特点......................25 4.1 云原生架构....................................................................................254.2 多云环境支持.................................................................................274.3 模块化设计....................................................................................284.4 自适应安全策略.............................................................................294.5.API 安全防护..................................................................................304.6 智能化防护....................................................................................32 第五章 部署方式及方案选型建议...........................35 5.1 部署方式........................................................................................355.2Web 安全厂商调研及特点分析........................................................375.3 年度代表性厂商及能力介绍............................................................40 第六章 代表性应用案例.......................................60 6.1 某企业 WAF 资源池建设案例..........................................................606.2 某企业 WAAP 安全平台应用与建设案例.........................................63 第七章 Web 安全未来发展趋势.............................66 参考资料..........................................................68 引言引言 随着数字化转型的深入推进，Web 应用成为驱动企业数字化转型、重塑企业业务价值的关键抓手。企业纷纷利用Web 应用推动业务创新和价值重构，从面向互联网用户的业务系统，到面向企业用户的办公系统都开始加速向 Web 化、移动化迁移。随着 5G、物联网等技术的广泛应用，Web 应用进一步渗透到了云计算、移动应用、物联网等诸多新兴领域，其部署和访问方式相比传统应用环境有较大的变化，同时，Web 应用作为数据流转的载体也承载了更多敏感文件、敏感数据的访问流量。 但随着 Web 应用在数字经济中的地位日益凸显，针对 Web 应用的网络攻击也呈现了频发、隐蔽、复杂等新特点。WAF（Web 应用防火墙）作为 Web 安全防护的关键利器，在过去的 20 年经历了多次功能迭代。但近几年由于人工智能技术的广泛应用，Web 攻击工具、攻击手段又有了显著进步。Web 应用面临的风险除了 DDoS 攻击、SQL 注入、XSS 攻击，进一步叠加了 Bot 攻击、API 攻击、0day 漏洞利用等速度更快、针对性更强的新型攻击方式，这使 Web 应用原有风险暴露面进一步扩大，给企业业务特别是敏感数据的安全提出了新的挑战。这意味着，WAF 必须能适配新的业务环境和网络环境，相应地其安全策略、检测防护能力、系统适配性、性能等也必须进一步向前演进。 在日益严峻的 Web 安全态势下，安全牛在 2023 年发布的《新一代 WAF 技术应用指南》报告中提出了新一代 WAF理念，并分析了新一代 WAF 的关键技术和核心能力。为帮助用户如何构建应对新型 Web 攻击及新兴业务场景所需的Web 安全能力，安全牛再次组织编写了《新一代 Web 安全技术应用指南（2024 版）》研究报告。对新一代 Web 安全市场发展进行洞察分析，评选该领域的代表性厂商，同时为用户筛选和分享优秀的行业落地应用案例。 报告关键发现报告关键发现 ■常见的 Web 风险类型：本次调研发现，56.3% 的受访者表示遭受过 2 次以上 Web 风险。其中，Web 非法访问风险（21.9%）、SQL 注入风险（21.9%）、数据泄露风险（18.8%）和 Bot 攻击（18.8%）是最为常见的风险类型。 ■Web 安全防护有效性：本次调研发现，传统攻击类型中，DDoS 防御有效性方面取得一定进展，而 SQL 注入防御难度仍然较高，防御措施有效性有待进一步提高；新型风险中，敏感数据泄露备受关注，但 Bot 攻击尚未引起广泛关注。 ■Web 安全部署方式：本次调研发现，本地部署、容器化部署和 SaaS 服务的比例是 2/5:1/4:1/3。说明私有化部署仍是当前的主流部署模式，其次是 SaaS 服务，容器化部署也展示出一定的技术趋势，但还不是用户的主流选择。 ■为应对云原生时代 Web 面临的安全挑战，本报告从系统化建设角度提出了新一代 Web 安全建设的思想，并从Web 安全演进历程和系统能力建设两个方面阐述了新一代 Web 安全能力建设的具体内容。 ■技术应用方面，安全牛认为：Web 安全正从硬件、软件形态向服务化方向演进，并且在技术上广泛融合智能化、可视化、云原生等先进理念。新一代 Web 安全技术特点主要体现为：云原生架构、多云环境支持、模块化设计、自适应安全策略、API 安全防护、智能化防护六个方面。 ■根据调研中各厂商所提供的方案建设特点，本报告将新一代 Web 安全方案分为：私有化建设方案、SaaS 化云服务方案、混合部署方案三类。同时结合对厂商产品的了解，安全牛认为，当前国内新一代 Web 安全产品和方案已经呈现出云化、服务化、智能化的鲜明特征。 ■调研发现，由于云计算的广泛应用，部分成熟的 Web 安全能力逐渐脱离了原始的技术开发商，不断向云服务方向倾斜，而不再是传统的本地集成服务。 ■Web 安全与新技术不断碰撞融合，已经开始结合 AI、SECaaS、5G 等新兴技术，以及 CNAPP、零信任等新兴安全理念的发展。安全牛认为：云原生安全、纵深防御、API、SECaaS、新兴领域将会在未来进一步引领 Web 安全发展的新方向。 第一章 云原生时代 Web 应用的安全挑战 随着数字化转型的不断深化，企业 IT 架构将更加分布、更加异构。支持多云已经成为 Web 应用的“新基建”。与此同时，Web 安全也面临了多方面的挑战。本章节从云原生场景应用、高级 Web 攻击、传统 Web 防护局限性三个方面阐述当前阶段 Web 应用的安全挑战。 1.1Web 应用云原生化 企业数字化转型的深入促进了 Web 应用架构日趋复杂和多样化。一方面，微服务、Serverless 等云原生技术的兴起，催生了大量松耦