Fastly
Fastly 是一个领先的边缘云平台，旨在构建、保护和交付快速、可扩展的数字体验。它结合了现代化的 CDN、强大的安全功能（如新一代 WAF）以及功能强大的无服务器计算环境。Fastly 帮助企业提升性能、增强安全性，并在更靠近用户的位置进行创新，为电子商务、流媒体和 AI 驱动的应用提供特定解决方案。
Fastly 是一个领先的边缘云平台，旨在构建、保护和交付快速、可扩展的数字体验。它结合了现代化的 CDN、强大的安全功能（如新一代 WAF）以及功能强大的无服务器计算环境。Fastly 帮助企业提升性能、增强安全性，并在更靠近用户的位置进行创新，为电子商务、流媒体和 AI 驱动的应用提供特定解决方案。
关于 Web应用程序防火墙
Web应用程序防火墙 (WAF) 是一种安全工具，用于过滤、监控和阻止进出Web应用程序的恶意HTTP/S流量。与在较低网络层运行的传统网络防火墙不同，WAF在应用层（第7层）运行，专门防御SQL注入、跨站脚本 (XSS) 和文件包含等特定的Web攻击。通过检查每个Web请求和响应的内容，这些工具为网站、API和在线服务提供了关键的防御层。许多现代WAF利用人工智能和机器学习，通过实时分析流量模式和检测异常来识别并阻止新型的零日威胁。
核心功能
- OWASP Top 10 防护：提供专门的规则和过滤器，以缓解最关键的Web应用安全风险，如注入漏洞和失效的身份认证。
- 机器人流量缓解：识别并阻止恶意自动化流量，包括网络爬虫、凭证填充机器人和垃圾邮件机器人，同时允许搜索引擎爬虫等合法机器人通过。
- 应用层DDoS缓解：吸收并过滤针对应用层的大流量分布式拒绝服务 (DDoS) 攻击（如HTTP洪水攻击），确保服务可用性。
- API安全：通过强制执行模式验证、速率限制以及阻止利用常见API漏洞的请求来保护API。
- 虚拟补丁：允许管理员在不修改应用程序源代码的情况下，立即对新发现的漏洞应用保护措施。
适用场景
WAF对于任何拥有面向公众的Web业务的组织都至关重要。它们被电子商务平台广泛用于保护客户数据和支付交易，被SaaS公司用于保护其应用程序和API，也被金融机构用于遵守安全法规。像WordPress和Joomla这样的内容管理系统 (CMS) 也能从WAF对常见插件和主题漏洞的防护中获益匪浅。
选择要点
在选择Web应用程序防火墙时，应考虑最适合您基础设施的部署模型（云部署、本地部署或混合部署）。评估其自定义安全规则的能力和误报率，因为过于严格的规则可能会阻止合法流量。此外，还需评估其对应用程序延迟的性能影响、用于安全分析的日志记录和报告功能，以及与SIEM系统等其他安全工具的集成能力。
Web应用程序防火墙应用场景
保护电子商务网站免受支付欺诈
电子商务平台经理使用WAF来保护其结账流程。WAF会检查所有进入支付网关的流量，识别并阻止试图进行凭证填充或盗刷攻击的恶意机器人。它应用虚拟补丁来防御购物车软件中的已知漏洞，并使用速率限制来防止对登录页面的暴力破解攻击。这确保了客户支付数据的安全，维持了PCI DSS合规性，并防止了可能导致重大经济损失的欺诈性交易。
为移动和Web应用保护API安全
一个SaaS产品的开发团队部署WAF来保护其后端API，这些API同时被移动应用和Web仪表板使用。WAF强制执行严格的API模式，自动阻止任何不符合预期结构的请求，例如试图篡改参数的请求。它还能防御常见的API攻击，如失效的对象级别授权和批量分配，确保一个用户无法访问或修改另一个用户的数据。这在无需对应用程序代码进行大量更改的情况下，提供了一个关键的安全层。
缓解应用层DDoS攻击
一个热门的在线新闻门户网站经常面临应用层DDoS攻击，例如HTTP洪水攻击，这些攻击使其Web服务器不堪重负并导致服务中断。其IT团队实施了基于云的WAF。WAF的全球网络在恶意流量到达门户网站的基础设施之前就将其吸收。它使用先进的速率限制和流量分析来区分合法的读者流量和攻击流量，确保即使在大规模攻击期间，网站也能对公众保持可用。这种主动防御措施维持了网站的正常运行时间并保护了门户的声誉。
防止账户接管 (ATO) 攻击
一家金融服务公司使用具有高级机器人检测功能的WAF来防止其客户门户网站上的账户接管攻击。WAF分析用户行为、设备指纹和IP信誉，以识别具有凭证填充特征的可疑登录尝试。当检测到潜在的ATO攻击时，WAF可以自动阻止违规的IP地址或呈现CAPTCHA挑战以验证用户是人类。这可以保护客户账户免受未经授权的访问和欺诈，建立信任并减少公司的责任。
为零日漏洞应用虚拟补丁
一个安全团队得知为其公司网站提供支持的开源CMS中存在一个严重的零日漏洞。在等待CMS供应商发布官方补丁（可能需要数天）的同时，他们使用WAF应用了虚拟补丁。安全管理员在WAF中创建了一条自定义规则，专门阻止试图利用此新漏洞的流量模式。这提供了即时、有针对性的保护，有效地弥补了安全漏洞，并为开发团队赢得了宝贵的时间来测试和部署官方软件更新，而不会使网站暴露于攻击之下。
阻止恶意机器人和内容抓取器
一家在线出版商投入巨资创作原创内容，却发现竞争对手正在使用自动抓取器窃取并重新发布这些内容。他们配置了WAF的机器人管理功能来阻止这些抓取器。WAF使用JavaScript挑战、设备指纹和行为分析等技术来区分人类访问者和自动机器人。它阻止已知的恶意用户代理和来自机器人网络的IP地址，同时确保来自搜索引擎的合法爬虫仍然可以访问和索引网站。这保护了他们的知识产权并维持了他们的SEO排名。