邁向多重雲端領域，F5 發表 Advanced WAF，增強企業多種網路應用服務的防護能力

去年 10 月間的第一銀行跨國盜領事件，相信大家仍然記憶猶新，對於企業來說，資訊安全的漏洞，往往會帶來難以估計的損失，尤其在各家企業積極轉型雲端之後，用以服務的網站主機，更是駭客們積極下手的主要目標，若沒有加掛 WAF 的保護，面對種類眾多的網站攻擊手段，更是難以防禦。

WAF 是 Web Application Firewall 的縮寫，正如其名，它也是防火牆一種，只不過防護的主要對象是網站主機的應用程式，一般的網路防火牆負責監控網路的進出口，而 WAF 則是會進一步分析應用層面的網路流量內容，以期更精確快速的針對惡意程式進行打擊。不過隨著企業雲端架構的轉型，從私有雲、混合雲一路來到多重雲端（Multi-Cloud），過去 WAF 的功能漸漸不敷所求，也需進行升級，才能夠靈活應對市場的資安需求。而 F5 Networks 近日便發表了全新的 Advanced WAF 方案，關鍵功能包括防範帳密竊盜與濫用、全面舒緩 Web 與行動殭屍網路威脅、採用機器學習與行為分析來偵測 Layer 7 的 DDoS 攻擊，以及具備極佳的延展性，協助企業建構完善的防禦機制。

▲ WAF 的目的就是在攻擊抵達網路應用程式之前便加以阻攔。

▲ F5 Networks 台灣區總經理 張紘綱。

▲ 在多重雲端架構中，企業的網路服務存於多個雲端之上，複雜性也增加，需透過一致性的解決方案來降低風險。

根據 F5 Networks 最近研究發現，應用程式是大多數攻擊威脅的初始目標，這意謂著任何應用程式都可能成為一個攻擊向量。網路犯罪者利用複雜的應用層入侵技術，而新興的自動化、殭屍和 IoT 威脅也相繼出現，這些攻擊已經能夠迴避簡單的病毒跡證或聲譽偵測。而以今天的經濟環境而言，應用程式的健全可以說是營收的同義詞。現今各大組織企業、軟體開發者，多按依循「OWASP Top 10」來進行驗證與改善，OWASP 即為開放網路軟體安全計畫的簡稱，是一個非營利組織，長期協助政府及企業改善應用程式的安全性，其所列出的 10 大網路應用系統安全弱點，也就是所謂的 OWASP Top 10 了。

▲ F5 Networks 大中華區技術總監張振倫，認為現今應用無所不在，也是數位經濟邁向轉型的關鍵時刻。

OWASP 列出的 10 項資安弱點曾在 2017 年進行過一次更新，而 F5 這次推出的 Advanced WAF 方案除了具備針對 OWASP Top 10 的防護能力，也在雲端提供一如傳統 on-premises 方案的強化 WAF 能力。Advanced WAF 藉由反殭屍威脅能力為應用程式提供動態保護，利用按鍵加密防止鍵盤側錄以阻止帳密竊盜，以及透過機器學習和行為分析技術為所有應用程式提供延伸的應用層 DDoS 偵測與修復。在專門的 DDoS 保護方面，F5 提供更新版的 DDoS Hybrid Defender，提供 DDoS 防護功能並顯著優化威脅辨識時間和舒緩時間。

▲ 相較 OWASP 2013 年版的 Top 10，2017 年版主要重點，在於新上榜的項目都與 API 的安全性有關。

在多重雲端方面，Advanced WAF 也能替新型的多重雲端平台部署必要的應用安全性，包括私有與公共雲端，同時透過微服務（microservices）和容器（container）以促成服務可攜性。新方案利用自動化安全政策能力，提供容易使用的 AWS、Google 和 Azure 環境雲端樣板，協助企業縮短新應用的部署時間。這個模式讓公司可以配合商業優先性而自由擴充他們的 on-premises 和雲端基礎設施，保護他們的應用程式而不會被任何個別的部署模式或特定雲端平台綁住。除了 Advanced WAF 產品本身，為進一步提供即時支援，F5 也擁有廣泛的安全計畫與方案作為後盾，包括 F5 Labs 的威脅研究與分析、F5 安全事件回應小組的快速反應能力、以及安全營運中心的全球攻擊舒緩能力。這些資源提供主動、24x7 威脅監控與報告，保護組織以防範無所不在的威脅例如惡意軟體、釣魚和網路詐欺。

▲ F5 Networks 台灣區資深技術顧問許力仁，說明 Advanced WAF 的主要特色。

▲ Advanced WAF 擁有完備的防護功能，可抵擋駭客與機器人的網路攻擊。

▲ Advanced WAF 並支援第 7 層 DDoS 的攻擊防禦機制。

▲ 針對 F5 Networks 的客戶，還提供免費線上課程的 Super-NetOps 培訓計畫，消弭企業 IT 人員的技術能力差距。