<h3 class="header-vfC6AV auto-hide-last-sibling-br">一、防护对象</h3>
<p>&nbsp;</p>
<ul class="auto-hide-last-sibling-br">
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>传统防火墙</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：传统防火墙主要工作在网络层和传输层，依据源 IP 地址、目的 IP 地址、端口号、协议类型等网络信息来管理网络访问。它将网络划分为不同的区域，如内部网络和外部网络，通过访问控制列表（ACL）等规则来控制网络间的流量。</li>
<li><strong>防护范围</strong>：
<ul class="auto-hide-last-sibling-br">
<li>侧重于保护网络边界，防止未经授权的网络访问。例如，它可以限制外部网络对内部服务器特定端口的访问，如允许外部用户仅能通过 80 端口访问公司的 Web 服务器，通过 22 端口访问 SSH 服务器，防止外部用户随意访问内部网络的敏感端口。</li>
<li>可以防止常见的网络层攻击，如 IP 欺骗、端口扫描等。通过检查 IP 包头和 TCP 包头信息，能够检测并拦截源 IP 地址异常或大量的 TCP SYN 请求，防止恶意攻击者进行网络侦察和资源耗尽攻击。</li>
<li>对于传输层的攻击，如非法的 TCP 连接、UDP 洪水攻击，传统防火墙可以通过限制连接数量、监控数据包速率等手段进行防护。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>由于不解析应用层数据，传统防火墙无法识别应用层协议的具体内容。对于在 HTTP、HTTPS 等应用层协议中隐藏的攻击，如 SQL 注入、XSS 攻击、恶意文件上传等，传统防火墙难以察觉，因为它不理解这些协议中数据的具体含义和应用逻辑。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>WAF</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：WAF 是专门针对 Web 应用程序设计的，工作在应用层，深入分析 HTTP/HTTPS 协议的请求和响应数据，包括请求头、请求体、URL、Cookie 等。</li>
<li><strong>防护范围</strong>：
<ul class="auto-hide-last-sibling-br">
<li>专注于 Web 应用程序的安全防护，可检测和拦截多种 Web 应用攻击。例如，对于 SQL 注入攻击，它会检查用户输入的表单数据、URL 参数等是否包含 SQL 关键字和恶意代码，防止攻击者通过输入恶意 SQL 语句篡改数据库。</li>
<li>可以防范 XSS 攻击，通过检查请求中是否包含恶意的 JavaScript 代码或 HTML 标签，避免这些恶意代码在用户浏览器中执行，保护用户信息安全和 Web 应用的正常运行。</li>
<li>对于文件上传攻击，WAF 会检查上传文件的类型、大小、内容，防止攻击者上传包含恶意代码的文件，如禁止用户上传带有可执行代码的文件，保障服务器文件系统的安全。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>主要针对 Web 应用，对其他非 Web 应用的网络服务（如邮件服务器、FTP 服务器等）的防护能力有限，除非这些服务通过 Web 接口提供，否则超出其防护范围。</li>
</ul>
</li>
</ul>
</li>
</ul>
<h3 class="header-vfC6AV auto-hide-last-sibling-br">二、攻击检测机制</h3>
<p>&nbsp;</p>
<ul class="auto-hide-last-sibling-br">
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>传统防火墙</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：主要基于静态规则集，根据预定义的网络层和传输层规则进行检测。</li>
<li><strong>检测能力</strong>：
<ul class="auto-hide-last-sibling-br">
<li>基于网络地址和端口的规则，如允许或拒绝特定 IP 地址或 IP 地址段的访问。例如，拒绝来自某些已知恶意 IP 地址的所有网络连接，保护内部网络免受来自这些地址的攻击。</li>
<li>通过设置网络流量的速率限制和连接数限制，对 DoS/DDoS 攻击进行一定程度的防御。如限制单个 IP 地址在一定时间内发起的 TCP 连接数量，防止攻击者使用大量连接耗尽服务器资源。</li>
<li>可以识别和拦截非法的网络协议和畸形数据包，通过检查 IP 包头和 TCP/UDP 包头的格式和内容，防止异常的网络数据包进入网络。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>缺乏对应用层协议的理解，对于应用层的复杂攻击模式和数据内容中的恶意代码，无法进行有效的检测和防护。例如，无法识别用户在 Web 表单中输入的恶意脚本，因为它不检查 HTTP 请求中的表单数据和 URL 参数的具体内容。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>WAF</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：采用多种检测机制，包括基于签名的检测、异常行为分析和基于策略的防护。</li>
<li><strong>检测能力</strong>：
<ul class="auto-hide-last-sibling-br">
<li>基于签名的检测：使用已知攻击的签名来检测和拦截攻击。例如，拥有针对 SQL 注入、XSS 等攻击的签名库，当请求中的数据与签名匹配时，WAF 会拦截该请求。对于 OWASP Top 10 中列出的常见 Web 攻击，WAF 可以快速识别并阻止。</li>
<li>异常行为分析：通过对用户的行为模式、请求模式进行分析，检测异常行为。例如，监测用户在注册页面的输入行为，当出现异常的输入频率、输入内容不符合正常逻辑（如输入大量随机字符）或请求频率突然大幅增加时，会将其视为可疑行为。</li>
<li>基于策略的防护：根据 Web 应用的业务逻辑和策略进行防护。例如，对于用户注册功能，确保输入的用户名、密码、邮箱等符合规定的格式和长度，防止用户输入恶意数据影响业务逻辑。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>对于新出现的 0day 攻击，可能会出现防护漏洞，因为其签名库可能尚未包含该攻击的特征。同时，复杂的异常行为分析和策略实施可能会导致误报或漏报，需要持续优化和更新规则。</li>
</ul>
</li>
</ul>
</li>
</ul>
<h3 class="header-vfC6AV auto-hide-last-sibling-br">三、配置和管理</h3>
<p>&nbsp;</p>
<ul class="auto-hide-last-sibling-br">
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>传统防火墙</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：配置通常涉及网络地址、端口和协议的设置，通过命令行界面或简单的图形界面进行操作。</li>
<li><strong>配置和管理特点</strong>：
<ul class="auto-hide-last-sibling-br">
<li>配置相对简单，主要关注网络层和传输层的信息，如添加或修改 ACL 规则，允许或禁止特定 IP 地址或 IP 地址段的访问，设置端口转发规则等。</li>
<li>主要维护网络的拓扑结构和访问权限，对于企业网络的网络边界管理较为方便。例如，设置内部网络的 DMZ 区，允许外部用户访问 DMZ 区内的服务器，同时限制对内部核心网络的访问。</li>
<li>对于大规模的网络，管理大量的 ACL 规则可能会变得复杂，但主要集中在网络连接和资源访问的管理上。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>难以根据 Web 应用的变化和攻击态势灵活调整防护策略，因为它不涉及应用层的细节，对于 Web 应用的新功能和新漏洞，无法及时调整防护。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>WAF</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：配置和管理需要深入了解 Web 应用的业务逻辑和攻击模式，涉及应用层数据的分析和规则设置。</li>
<li><strong>配置和管理特点</strong>：
<ul class="auto-hide-last-sibling-br">
<li>配置较为复杂，需要根据 Web 应用的特点和业务需求定制规则。例如，对于不同的 Web 应用页面（如登录页面、注册页面、商品展示页面），需要设置不同的防护规则，对用户输入的内容、请求频率、参数范围等进行详细规定。</li>
<li>需要不断更新规则集，以适应新的攻击和 Web 应用的更新。如根据 OWASP 的更新及时更新 SQL 注入、XSS 等攻击的检测规则，根据业务的发展更新用户行为的监测规则。</li>
<li>可以与 Web 应用的开发和运维团队密切合作，根据业务需求和用户反馈优化防护策略。例如，根据业务需求允许或禁止某些操作，如限制用户在一定时间内的操作次数，防止用户滥用业务功能。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>对于复杂的 Web 应用，需要较高的技术水平进行规则的设置和维护，并且需要持续关注 Web 应用的变化，否则可能导致防护效果不佳或影响 Web 应用的正常运行。</li>
</ul>
</li>
</ul>
</li>
</ul>
<h3 class="header-vfC6AV auto-hide-last-sibling-br">四、性能影响</h3>
<p>&nbsp;</p>
<ul class="auto-hide-last-sibling-br">
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>传统防火墙</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：性能主要取决于网络数据包的处理速度，受网络带宽、硬件性能（如 CPU、内存）和规则集的复杂程度影响。</li>
<li><strong>性能影响因素</strong>：
<ul class="auto-hide-last-sibling-br">
<li>一般情况下，处理网络层和传输层的数据包相对较快，对性能影响较小，尤其是对于简单的规则集和低流量场景。</li>
<li>但当网络流量较大或规则集复杂时，可能会成为性能瓶颈，例如，大量的 ACL 规则会增加数据包的检查时间，导致网络延迟。</li>
<li>对于处理大流量的网络环境，如数据中心的边界，可能需要高性能的硬件来确保不影响网络性能。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>对于需要深度包检测（DPI）的功能，传统防火墙可能会显著降低性能，因为其原本设计并不擅长解析应用层数据。</li>
</ul>
</li>
</ul>
</li>
<li>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space"><strong>WAF</strong>：</div>
<ul class="auto-hide-last-sibling-br">
<li><strong>原理</strong>：需要解析和分析应用层的大量数据，性能受到请求的复杂度、数据量、规则集和检测机制的影响。</li>
<li><strong>性能影响因素</strong>：
<ul class="auto-hide-last-sibling-br">
<li>对每个 HTTP/HTTPS 请求进行详细分析，包括解析请求头、请求体、检查内容是否符合规则等，会消耗更多的资源。例如，对复杂的 Web 应用，处理包含大量表单数据和文件上传的请求，会增加处理时间。</li>
<li>当使用复杂的检测机制，如行为分析和机器学习算法时，会进一步影响性能。如在高并发环境下，使用行为分析对大量用户行为进行建模和分析，可能会导致响应延迟。</li>
<li>对于基于签名的检测，如果签名库非常庞大，会增加匹配的时间，影响请求处理速度。</li>
</ul>
</li>
<li><strong>局限性</strong>：
<ul class="auto-hide-last-sibling-br">
<li>在高并发的 Web 应用环境中，可能会对用户体验产生影响，需要合理优化规则集和采用高性能的硬件，以确保在提供安全防护的同时，不影响 Web 应用的性能。</li>
</ul>
</li>
</ul>
</li>
</ul>
<p>&nbsp;</p>
<div class="auto-hide-last-sibling-br paragraph-JOTKXA paragraph-element br-paragraph-space">综上所述，传统防火墙和 WAF 在攻击防护上各有其特点和适用范围。传统防火墙更适合保护网络的边界和网络基础设施，防止网络层和传输层的攻击；而 WAF 则专注于 Web 应用的安全防护，能深入应用层检测和拦截各类 Web 应用攻击。在实际的网络安全防护中，两者可以结合使用，发挥各自的优势，形成更全面的网络安全防护体系。</div>


一、防护对象 &#160; 传统防火墙： 原理：传统防火墙主要工作在网络层和传输层，依据源 IP 地址、目的  [&#8230;]

waf 与传统防火墙在攻击防护上的对比效果

<p>&nbsp;</p>
<ul>
<li><strong>理论基础</strong>
<ul class="auto-hide-last-sibling-br">
<li>SSL 证书用于在客户端和服务器之间建立安全的加密连接。当网站启用 SSL 证书时（通过 https:// 访问），数据传输过程中的加密和解密操作会消耗一定的计算资源。这主要涉及到非对称加密算法（如 RSA）在握手阶段交换密钥，以及对称加密算法（如 AES）在后续数据传输阶段的加密和解密。</li>
<li>从网络层面看，使用 https 协议可能会增加额外的 TCP 连接建立的时间开销。因为在传统的 http 连接基础上，https 还需要进行 SSL/TLS 握手过程。这个握手过程包括客户端向服务器发送支持的加密算法列表、服务器选择加密算法并返回数字证书、客户端验证证书合法性、双方协商生成会话密钥等步骤。</li>
</ul>
</li>
<li><strong>实际影响因素</strong>
<ul class="auto-hide-last-sibling-br">
<li><strong>服务器性能</strong>：
<ul class="auto-hide-last-sibling-br">
<li>如果服务器的硬件配置较低，例如 CPU 性能差、内存不足，那么处理 SSL 证书相关的加密和解密操作会比较吃力。例如，在老旧的单核服务器上，启用 SSL 后，处理加密任务可能会使 CPU 使用率大幅上升，导致网站响应时间明显增加。</li>
<li>高性能的服务器能够更高效地处理加密和解密工作。像配备多核高性能 CPU 和充足内存的服务器，可以利用多核心并行处理加密任务，减少 SSL 证书对加载速度的影响。</li>
</ul>
</li>
<li><strong>证书类型和质量</strong>：
<ul class="auto-hide-last-sibling-br">
<li>不同类型的 SSL 证书（如 DV &#8211; 域名验证型、OV &#8211; 组织验证型、EV &#8211; 扩展验证型）在验证过程中的复杂程度不同。DV 证书验证相对简单，主要验证域名所有权，其对加载速度的影响相对较小。而 EV 证书除了验证域名所有权外，还对企业的合法性等进行严格验证，这个过程可能会稍微复杂一些，在一定程度上影响加载速度。</li>
<li>证书的质量也很重要。一些由知名权威机构颁发的高质量证书，其算法优化较好，在加密和解密过程中效率较高。相反，质量差的证书可能会导致兼容性问题或者加密效率低下，从而影响网站加载速度。</li>
</ul>
</li>
<li><strong>网站内容大小和复杂度</strong>：
<ul class="auto-hide-last-sibling-br">
<li>对于内容简单、页面较小的网站，如只有少量文本的静态页面，SSL 证书对加载速度的影响相对较小。因为加密和解密的数据量少，即使有额外的 SSL 开销，在整体加载时间中所占比例也不大。</li>
<li>然而，对于内容丰富、包含大量图片、视频等多媒体元素的复杂网站，SSL 证书的影响可能会更明显。因为有更多的数据需要加密和解密，而且这些多媒体元素本身加载就需要一定的时间，SSL 加密操作会在这个基础上进一步增加加载时间。</li>
</ul>
</li>
</ul>
</li>
<li><strong>具体的影响程度</strong>
<ul class="auto-hide-last-sibling-br">
<li>在理想情况下，对于配置良好的服务器和简单的网站，启用 SSL 证书可能只会使网站加载速度降低 5 &#8211; 10% 左右。例如，一个原本加载时间为 1 秒的简单网站，启用 SSL 后可能会增加到 1.05 &#8211; 1.1 秒。</li>
<li>但如果服务器性能差且网站内容复杂，加载速度可能会降低 30 &#8211; 50% 甚至更多。比如一个复杂的电商网站，原本加载时间为 5 秒，启用 SSL 后可能会增加到 7.5 &#8211; 10 秒。不过，随着技术的不断进步，如 HTTP/2 协议的应用（它在 https 下也能高效工作）、服务器端优化（如硬件加速卡用于加密运算）等，可以在很大程度上减少 SSL 证书对加载速度的不利影响。</li>
</ul>
</li>
</ul>
<p>&nbsp;</p>


&#160; 理论基础 SSL 证书用于在客户端和服务器之间建立安全的加密连接。当网站启用 SSL 证书时（通 [&#8230;]

如何查看网站是否正确安装了 SSL 证书

<p>根据中国《非经营性互联网信息服务备案管理办法》、《互联网信息服务管理办法》等法律法规要求，未备案等不符合中国大陆相关法律法规的网站不得在大陆境内开展业务。</p><p>知道创宇目前仅针对大陆境内合法合规的网站可提供免费服务，针对大陆境内未备案的网站，无法提供服务（如DNS解析、CDN、网站服务器抗D、网站防黑客入侵）；由于法律法规差异，针对海外客户，我们在海外建立了数个数据中心，可支持海外网站加速防护，若有相关需求请联系在线客服咨询。</p><p style="text-align:left;text-indent:2em;"></p>

根据中国《非经营性互联网信息服务备案管理办法》、《互联网信息服务管理办法》等法律法规要求，未备案等不符合中国大陆相关法律法规的网站不得在大陆境内开展业务。

没有ICP备案的网站/域名能使用云安全吗？

<p>知道创宇云防御会对长时间没有将DNS解析接入云防御的域名做清理（包含DNS解析），因此您需要重新激活域名并完成域名归属验证。</p><p> </p><p></p><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/1.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/1.png 1522w, http://help.yunaq.com/wp-content/uploads/2021/01/1-300x37.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/1-768x96.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/1-1024x128.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/1-60x7.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/1-150x19.png 150w" sizes="(max-width: 1522px) 100vw, 1522px" class="alignnone size-full wp-image-2623"/></div><p></p><p></p><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/2.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/2.png 1543w, http://help.yunaq.com/wp-content/uploads/2021/01/2-300x167.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/2-768x427.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/2-1024x569.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/2-60x33.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/2-150x83.png 150w" sizes="(max-width: 1543px) 100vw, 1543px" class="alignnone size-full wp-image-2624"/></div><div class="media-wrap image-wrap"><img src="http://help.yunaq.com/wp-content/uploads/2021/01/3.png" alt="" srcset="http://help.yunaq.com/wp-content/uploads/2021/01/3.png 1531w, http://help.yunaq.com/wp-content/uploads/2021/01/3-300x133.png 300w, http://help.yunaq.com/wp-content/uploads/2021/01/3-768x341.png 768w, http://help.yunaq.com/wp-content/uploads/2021/01/3-1024x454.png 1024w, http://help.yunaq.com/wp-content/uploads/2021/01/3-60x27.png 60w, http://help.yunaq.com/wp-content/uploads/2021/01/3-150x67.png 150w" sizes="(max-width: 1531px) 100vw, 1531px" class="alignnone size-full wp-image-2625"/></div><p></p><p> 若激活域名时提示“已存在相同的激活域名”，请联系在线客服。</p>

知道创宇云防御会对长时间没有将DNS解析接入云防御的域名做清理，因此您需要重新激活域名并完成域名归属验证。 &#038; [&#8230;]

热门搜索词

热门文章

如何查看网站是否正确安装了 SSL 证书

没有ICP备案的网站/域名能使用云安全吗？

为什么以前添加过的域名需要重新激活？

关注知道创宇云安全

完善信息下载白皮书

热门搜索词

热门文章

如何查看网站是否正确安装了 SSL 证书

没有ICP备案的网站/域名能使用云安全吗？

为什么以前添加过的域名需要重新激活？

关注知道创宇云安全