腾讯安全发布新一代Web应用防火墙 全场景防护企业Web应用安全

腾讯安全发布新一代Web应用防火墙 全场景防护企业Web应用安全

10月20日，腾讯安全举行网上新闻发布会，正式发布其新一代Web应用防火墙（WAF）产品。新产品进一步拓宽了Web应用安全的保护边界，支持更加多样化的接入形式，为企业Web应用提供0day漏洞应急响应、反爬虫、防薅羊毛等全场景保护。

腾讯新一代WAF防护全景图

随着各行各业数字化转型的深入推进，越来越多的企业通过网页、网页、APP、小程序和其他应用程序开展核心业务，业务层面的黑客攻击越来越频繁。因此，专注于Web应用程序安全保护的WAF产品被广泛使用。然而，随着企业云步伐的进一步加快，以及黑客攻击方式和手段的不断升级，WAF在实际运行和维护中面临着许多挑战。

例如，当攻击从传统的Web攻击跨越到商业场景时，如何建立更广泛的保护边界？在业务加速上云的同时，安全能力如何快速上线？面对大量无效的BOT流量，如何实现有效管理？安全如何适应业务周期性大流量，兼顾低误报和低漏报？每天曝光的Web漏洞，甚至0day漏洞，危害性大，影响面广。如何保持保护能力的实时更新，是当前应用安全亟待解决的问题。

针对行业实践中的痛点，腾讯安全推出了新一代Web应用防火墙（WAF）产品将通过更快的接入形式、更强的防御能力和更广泛的防护场景，构筑应用安全防线。

在接入能力方面，新一代WAF支持云本地接入、云代理接入等多种接入方式，以及国内创新的“旁挂式”云本地架构：CLB-WAF，具有无需修改域名分析即可快速访问、延迟低、业务无变化、流量快速应对突然增加、稳定性高的特点，可保证业务安全能力的快速启动。

在防御能力方面，AI 情报 蓝军对抗“三板斧”方案，有效提高防御能力。针对WAF运维中低漏报、低误报难以兼顾的老问题，腾讯安全新一代WAF“第一板斧”：将规则 语义 人工智能三种检测技术的有机结合，在原有长期维护规则发动机的基础上，优化了人工智能模型，调整了现有的人工智能发动机参数；创造性地将语义发动机与规则和人工智能发动机相结合，大大降低了泄漏率和误报率，提高了客户的运维效率。“二板斧”注入威胁情报能力，威胁处置更先进，检测效率更大提高。最后，“第三斧”是腾讯蓝军和科恩实验室的不断攻防演练，不断增强最新攻击的防御能力。

在保护场景中，腾讯安全WAF此前推出了Bot行为管理功能，将Bot流量管理纳入保护范围。新一代WAF的推出结合了前端对抗和情报IP、大数据分析、业务风险控制等技术手段，打造全新的Bot管理立体防御系统，防护场景更广。将各种前端对抗技术添加到人机识别中，使WAF应用程序从渗透攻击保护场景扩展到爆破、爬虫和刷单场景，以保护更广泛的恶意攻击行为。此外，腾讯凭借腾讯社会生态的自然优势，拥有手机号码、微信号、QQ号码等最广泛的第一手社交账户威胁信息，在反恐恶意注册风险控制攻击和BOT保护方面具有行业领先能力。

Bot管理立体防御系统

腾讯安全WAF可适用于腾讯云内外所有用户，本次WAF升级更新，也将为用户提供更好的安全服务。例如，在电子商务行业，针对网上身份认证、爬虫、薅羊毛等问题。腾讯安全WAF可以智能过滤恶意攻击和爬虫等垃圾访问，保证正常业务访问的顺利进行，保证营销策略的有效发展。WAF独特的Bot行为管理功能还可以识别和管理Bot程序访问行为，协助企业反爬虫管理策略，解决恶意爬虫带来的恶意检查、数据捕获和黑色SEO、垃圾流量等问题。

在游戏行业，日益猖獗的DDOS攻击给行业造成了严重损失。腾讯安全WAF延迟低，可用性高，保护性能可跟随业务弹性增长，支持一键整合高防御，可轻松应对突发大流量DDOS功能问题。比如今年8月，手机游戏《半条复古之旅》上线第一天，就遭遇了严重的DDOS攻击。黑客同时登录80万个账号，导致真实用户无法进入游戏。接入腾讯WAF后，经过10个小时的安全调试，游戏恢复稳定运行。

与黑客斗争18小时

企业网络业务的入侵将带来业务漏洞暴露、数据盗窃、网站篡改或植入、恶意数据爬行、拒绝服务攻击等安全事件，造成严重的业务损失和品牌影响。未来，腾讯安全WAF将继续在腾讯开发数千个业务域名和数千个客户的最佳实践中不断更新迭代，帮助企业轻松应对各种网络攻击入侵和威胁挑战，确保网站和网络业务的安全运行。