产品定义

Web应用防火墙（原生版）（CT-WAF，Web Application Firewall，简称WAF）为用户Web应用提供一站式安全防护，对Web业务流量进行智能全方位检测，有效识别恶意请求特征并防御，避免源站服务器被恶意入侵，保护网站核心业务安全和数据安全。

产品架构

Web应用防火墙（原生版）产品整体架构主要包括3个部分，分别为WAF集群、中央管理平台、日志平台。

• WAF集群：依托规则引擎实现流量过滤，并通过管控Agent与管理平台通信，接收防护策略的下发，上报执行节点运行状态。

  Web应用防火墙（原生版）提供两种WAF云SaaS模式和WAF独享模式两种模式：

  • WAF云SaaS模式，WAF集群分布式部署于多个天翼云资源池上。

  • WAF独享模式，WAF部署在租户VPC内。

• 中央管理平台：提供多维策略规则的编辑和下发能力，并监控执行节点运行状态。

• 日志平台：存放访问日志及防护日志，并提供自动告警能力。

防护原理

Web应用防火墙（原生版）提供WAF云SaaS模式 - 域名接入、WAF云SaaS模式 - ELB接入、WAF独享模式接入三种接入方式，防护原理及部署架构如下所示，关于接入方式的详细说明，请参见产品规格-接入方式说明。

类型	WAF云SaaS模式 - 域名接入	WAF云SaaS模式 - ELB接入	WAF独享模式接入
防护原理	网站接入WAF防护后，网站所有请求先发送到WAF，WAF检测并拦截恶意流量，将正常流量转发至源站，在客户端看来，源站不可见，从而确保源站的安全。	WAF仅对进入监听器的应用层流量进行检测，不参与流量转发。通过添加引流端口到WAF的方式，使ELB所有的Web业务流量被指定网关牵引到WAF进行检测，WAF过滤Web应用攻击后，将正常的业务流量转发回ELB，再回源到正常业务网站。	网站接入WAF防护后，网站所有请求先发送到WAF，WAF检测并拦截恶意流量，将正常流量转发至源站，在客户端看来，源站不可见，从而确保源站的安全。
部署架构	WAF集群分布式部署于多个天翼云资源池上，异地容灾安全可靠，充分满足用户高可用需求。	WAF旁路部署，对业务零影响。当WAF发生故障时，流量将直接通过ELB发送给后端，不影响客户正常业务。	WAF通过反向代理的形态部署在租户VPC内，资源独享，网络链路时延低。

合规资质

WAF已通过CIMMI5、可信认证等各项国际权威认证，参与制定《信息安全技术 网络弹性评价准则》国家标准，并作为试点产品通过测评要求最高等级AAA级测评验证。

如何使用WAF

WAF使用流程如下，更多详细信息及操作步骤，请参见开启WAF防护。

典型用户及产品价值

政府及企业用户

背景

政务门户网站作为政府、企业提供给互联网用户获取信息服务的重要渠道，会面临网页被篡改、网页挂马、SQL注入攻击等多种安全问题，同时也面临上级单位和测评机构的安全检测的压力。一旦发生安全事件，将严重影响其形象和公信力。因此门户网站的安全性对于政府部门运营人员来说非常重要。

产品价值

• 一键接入Web应用防火墙防御，轻松配置，隐藏并保护源站。

• 保证网站不会被黑客入侵，数据不被窃取，保证政府服务正常可用，民众访问满意畅通。

金融用户

背景

金融行业面临注入、跨站等多种安全问题，导致用户账号密码泄露，危及用户资金财产安全，进而严重影响企业的形象并承受经济损失。

产品价值

• 提供应用层业务防护，避免业务入侵、篡改、窃取等。

• 过滤各类BOT垃圾流量，抵御CC攻击，避免网站瘫痪，保证业务稳定运营。

• 高可用，随业务增长弹性扩展，节省成本。

电商O2O

背景

电商网站是黑客攻击的重点对象，面临非法篡改交易数据、盗取用户个人账号信息进行网络诈骗等威胁；另外当开展高并发抢购等各类营销活动时，在保证业务访问流畅同时，还需提防“薅羊毛”、“恶意竞争”等业务风险。

产品价值

• 提供超高并发防护能力，智能过滤恶意攻击及爬虫垃圾访问，保障业务访问流畅。

• 解决恶意BOT爬虫竞争比价，库存查询，刷单抢票，业务数据抓取分析等负面影响问题，确保营销策略有效开展。