Fastly
Fastly 是一個領先的邊緣雲端平台，旨在建立、保護和交付快速、可擴展的數位體驗。它結合了現代化的 CDN、強大的安全功能（如新一代 WAF）以及功能強大的無伺服器運算環境。Fastly 幫助企業提升效能、增強安全性，並在更靠近使用者的位置進行創新，為電子商務、串流媒體和 AI 驅動的應用程式提供特定解決方案。
Fastly 是一個領先的邊緣雲端平台，旨在建立、保護和交付快速、可擴展的數位體驗。它結合了現代化的 CDN、強大的安全功能（如新一代 WAF）以及功能強大的無伺服器運算環境。Fastly 幫助企業提升效能、增強安全性，並在更靠近使用者的位置進行創新，為電子商務、串流媒體和 AI 驅動的應用程式提供特定解決方案。
關於 Web應用程式防火牆
Web應用程式防火牆 (WAF) 是一種安全工具，用於過濾、監控和阻擋進出Web應用程式的惡意HTTP/S流量。與在較低網路層運作的傳統網路防火牆不同，WAF在應用層（第7層）運作，專門防禦SQL注入、跨網站指令碼 (XSS) 和檔案包含等特定的Web攻擊。透過檢查每個Web請求和回應的內容，這些工具為網站、API和線上服務提供了關鍵的防禦層。許多現代WAF利用人工智慧和機器學習，透過即時分析流量模式和偵測異常來識別並阻擋新型的零時差威脅。
核心功能
- OWASP Top 10 防護：提供專門的規則和過濾器，以緩解最關鍵的Web應用安全風險，如注入漏洞和失效的身分認證。
- 機器人流量緩解：識別並阻擋惡意自動化流量，包括網路爬蟲、憑證填充機器人和垃圾郵件機器人，同時允許搜尋引擎爬蟲等合法機器人通過。
- 應用層DDoS緩解：吸收並過濾針對應用層的大流量分散式阻斷服務 (DDoS) 攻擊（如HTTP洪水攻擊），確保服務可用性。
- API安全：透過強制執行模式驗證、速率限制以及阻擋利用常見API漏洞的請求來保護API。
- 虛擬補丁：允許管理員在不修改應用程式原始碼的情況下，立即對新發現的漏洞應用保護措施。
適用場景
WAF對於任何擁有面向公眾的Web業務的組織都至關重要。它們被電子商務平台廣泛用於保護客戶資料和支付交易，被SaaS公司用於保護其應用程式和API，也被金融機構用於遵守安全法規。像WordPress和Joomla這樣的內容管理系統 (CMS) 也能從WAF對常見外掛程式和主題漏洞的防護中獲益匪淺。
選擇要點
在選擇Web應用程式防火牆時，應考慮最適合您基礎設施的部署模型（雲端部署、本地部署或混合部署）。評估其自訂安全規則的能力和誤報率，因為過於嚴格的規則可能會阻擋合法流量。此外，還需評估其對應用程式延遲的效能影響、用於安全分析的日誌記錄和報告功能，以及與SIEM系統等其他安全工具的整合能力。
Web應用程式防火牆應用場景
保護電子商務網站免於支付詐欺
電子商務平台經理使用WAF來保護其結帳流程。WAF會檢查所有進入支付閘道的流量，識別並阻擋試圖進行憑證填充或盜刷攻擊的惡意機器人。它應用虛擬補丁來防禦購物車軟體中的已知漏洞，並使用速率限制來防止對登入頁面的暴力破解攻擊。這確保了客戶支付資料的安全，維持了PCI DSS合規性，並防止了可能導致重大經濟損失的詐欺性交易。
為行動和Web應用程式保護API安全
一個SaaS產品的開發團隊部署WAF來保護其後端API，這些API同時被行動應用程式和Web儀表板使用。WAF強制執行嚴格的API模式，自動阻擋任何不符合預期結構的請求，例如試圖篡改參數的請求。它還能防禦常見的API攻擊，如失效的物件級別授權和大量指派，確保一個使用者無法存取或修改另一個使用者的資料。這在無需對應用程式程式碼進行大量變更的情況下，提供了一個關鍵的安全層。
緩解應用層DDoS攻擊
一個熱門的線上新聞入口網站經常面臨應用層DDoS攻擊，例如HTTP洪水攻擊，這些攻擊使其Web伺服器不堪重負並導致服務中斷。其IT團隊實施了基於雲端的WAF。WAF的全球網路在惡意流量到達入口網站的基礎設施之前就將其吸收。它使用先進的速率限制和流量分析來區分合法的讀者流量和攻擊流量，確保即使在大規模攻擊期間，網站也能對公眾保持可用。這種主動防禦措施維持了網站的正常執行時間並保護了入口網站的聲譽。
防止帳戶接管 (ATO) 攻擊
一家金融服務公司使用具有進階機器人偵測功能的WAF來防止其客戶入口網站上的帳戶接管攻擊。WAF分析使用者行為、裝置指紋和IP信譽，以識別具有憑證填充特徵的可疑登入嘗試。當偵測到潛在的ATO攻擊時，WAF可以自動阻擋違規的IP位址或呈現CAPTCHA挑戰以驗證使用者是人類。這可以保護客戶帳戶免受未經授權的存取和詐欺，建立信任並減少公司的責任。
為零時差漏洞應用虛擬補丁
一個安全團隊得知為其公司網站提供支援的開源CMS中存在一個嚴重的零時差漏洞。在等待CMS供應商發布官方補丁（可能需要數天）的同時，他們使用WAF應用了虛擬補丁。安全管理員在WAF中建立了一條自訂規則，專門阻擋試圖利用此新漏洞的流量模式。這提供了即時、有針對性的保護，有效地彌補了安全漏洞，並為開發團隊贏得了寶貴的時間來測試和部署官方軟體更新，而不會使網站暴露於攻擊之下。
阻擋惡意機器人和內容抓取器
一家線上出版商投入巨資創作原創內容，卻發現競爭對手正在使用自動抓取器竊取並重新發布這些內容。他們配置了WAF的機器人管理功能來阻擋這些抓取器。WAF使用JavaScript挑戰、裝置指紋和行為分析等技術來區分人類訪客和自動機器人。它阻擋已知的惡意使用者代理和來自機器人網路的IP位址，同時確保來自搜尋引擎的合法爬蟲仍然可以存取和索引網站。這保護了他們的智慧財產權並維持了他們的SEO排名。