网络应用防火墙（WAF）和新一代防火墙（NGFW）有什么区别？

防火墙 是一项重要的技术，它可以监控和过滤传入或传出的互联网流量，最终目的是防范威胁和预防敏感数据泄漏。企业和组织依靠这些设备持续可靠地工作，从而确保关键资源不受渗透。

防火墙有很多种，每种类型都有自己的功能和用途。在本文中，我们将比较网络应用程序防火墙（WAF）和新一代防火墙（NGFW），然后探讨如何将它们作为全面安全解决方案的一部分。

什么是网络应用程序防火墙（WAF）？

网络应用程序防火墙（WAF）是一种防火墙，它能理解网络应用程序与互联网之间较高协议级别（HTTP 或第 7 层）的传入流量。它能够在网络应用程序和网络服务器接受恶意请求之前对其进行检测和响应，从而为企业提供额外的安全保护。

使用 WAF 保护网络应用时，您通常会定义规则，根据特定条件允许、阻止或监控网络请求。例如，你可以指定一条规则，要求阻止来自特定 IP 的所有传入请求，或只阻止包含特定 HTTP 标头或漏洞的请求。如果只想监控流量，可以设置对某些端点进行计数的监控器。这种灵活性使安全管理员能够快速记录请求内容，并在发生事故和入侵时阻止未经授权或不需要的请求。

由于 WAF 能够理解更高级别的流量，因此能够阻止网络应用程序攻击（还有其他好处）。其中许多攻击与 OWASP 十大 榜单密切相关，包括跨站点脚本 (XSS) 攻击、SQL 注入、拒绝服务 (DoS) 攻击以及凭证或不安全信息泄露。

什么是 NGFW？

新一代防火墙（NGFW）是一种应用防火墙，它结合了传统网络防火墙和网络应用防火墙的最佳功能。它通常充当防火墙，通过检查网络层数据包来阻止传入请求，但它还具有额外的检查功能，能以新颖的方式阻止私人网络上不需要的流量。

其中一些功能涉及 TLS 检测和终止、入侵检测和预防、威胁情报以及根据流量内容或 URL 配置高级过滤规则的能力。这种灵活性的主要好处是，它允许安全管理员处理更高级的场景，并阻止来自协同攻击载体的更复杂的威胁。

现在，您已了解 WAF 和 NGFW 背后的基本概念，我们将解释它们的异同。

WAF 与 NGFW 的异同

可以说，WAF 和 NGFW 之间有一些重叠。它们都采用规则和策略引擎来过滤输入流量，并根据特定标准采取行动。如今，这两种软件都更容易运行，而且根据供应商提供的产品，您无需购买专用硬件即可享受这些功能。

你可能会认为它们会重叠，因为它们都是应用层协议，尤其是第 7 层协议。没错。您可以将 NGFW 视为传统防火墙的扩展，增加了处理来自 OSI 第 3-4 层和第 7 层的流量的能力，并利用这些信息在流量到达更接近应用的内层之前采取行动。

它们的主要区别在于核心责任模式和整体能力。NGFW 可捕获更多的网络流量上下文，这样就能在传入的攻击到达网络层之前加以防范。它们还可以结合威胁情报引擎，协助决策过程。而 WAF 则局限于应用层，因此它们专门防范常见的基于 Web 的攻击，如 XSS 和 SQL 注入。WAF 不能用作网络的主要防火墙，但却是保护暴露在互联网上的网络应用程序的理想选择。

何时使用 WAF 与 NGFW

使用网络应用程序防火墙 (WAF) 的原因如下：

• 它们可以抵御针对应用层的攻击。WAF 可以检查应用层流量，还能防范常见的应用层攻击。例如 SQL 注入、XSS、DDoS 以及 OWASP Top 10 列表中的其他内容。
• 它们可以帮助您满足合规性要求。例如，PCI DSS 讨论了 WAF 如何与安全编码实践相结合，帮助 满足要求 6 的选项 2 。

新一代防火墙 (NGFW) 解决方案既能防范网络攻击，也能防范应用范围内的攻击。它们的主要特点是

• 它们可以监控许多层（OSI 3-4 和 7）。这样，他们就能更好地了解攻击的背景和类型。例如，他们可以确定每个数据包的目标应用程序，并采取额外的控制措施。因此，NGFW 可用作主防火墙。
• 它们包括先进的工具和功能。NGFW 可以利用内部或外部服务来防止攻击。例如，它们可以加载威胁情报数据，并根据新的更新自动重新配置规则。
• 它们可以检查 SSL 流量。NGFW 可以充当 SSL 终结代理，因此可以在加密流量到达目的地之前对进出流量进行检查。有关此功能的更多信息，请参阅 相关文章。

现在，您已经对何时使用 WAF 与 NGFW 有了一定的了解，让我们来看看如何同时使用它们来提供全面而纵深的防御解决方案。

WAF 和 NGFW 如何互补？

鉴于 WAF 专门用于保护网络应用流量，因此是保护网络服务器的理想选择。不过，WAF 并不是全面安全的终极解决方案，因此最好能将 WAF 与 NGFW 结合使用。

理想的整体防御策略是配置一个 WAF 来抵御 OWASP Top 10 攻击，同时由 NGFW 充当传统的网络防火墙，能够在某些攻击到达 WAF 之前检测并阻止它们。利用 IDS/IPS 和威胁建模等先进功能，NGFW 可以过滤掉很大一部分攻击，剩下的交给 WAF 来处理。

客户在寻找网络应用程序安全解决方案时应考虑哪些因素

在寻找网络应用程序安全解决方案时，您应该考虑几个因素。首先，你需要一个值得信赖和可靠的供应商，它能提供一整套工具和服务来保护你的网络应用程序。Palo Alto Networks 就是这样一家厂商，它提供一套全面且易于使用的防火墙，包括 NGFW 和 Web 应用与 API 安全平台，其中包括内置 WAF。

其次，您需要完善的文档和出色的技术支持。开发人员和安全管理员依赖参考文档，以便了解如何正确配置符合其安全策略的防火墙。文件必须是最新的、准确的，并且易于获取，这样才能高效地实施收到的请求，并将配置错误的风险降至最低。Palo Alto Networks docs 网站 是一个功能强大、易于浏览的开发人员文档网站，深入细致地罗列了各项功能、设置方法以及兼容性的版本信息。

WAF 与 NGFW 常见问题解答