WAF防火墙设备指标及参数说明.doc

WAF防火墙设备指标及参数说明： 指标 数量 单位 备注 设备基本要求 专用的硬件和软件保障 采用专用硬件架构与专用安全操作系统，基于操作系统内核的完全检测技术；硬件设备可以机架安装。产品必须为专业性 WEB 应用防火墙硬件设备，而非下一代防火墙\UTM 类设备集成的 WEB 防护功能 1 台 硬件模块化设计 硬件采用模块化设计， 端口数量和扩展能力 MTBF 不少于小时 性能要求 3G 最大吞吐能力 20G 并发TCP会话数 300万 网络部署 无IP纯透明模式串联部署、旁路监测模式部署、负载均衡模式部署、反向代理模式部署。 串联部署时防护口不占用IP地址。 串联部署时服务器可以看到真实客户端源IP，而不是WAF的业务IP地址。 网络适应性 支持VLAN划分，支持多VLAN环境下trunk的部署。 支持虚拟线无论任何网络环境可强制数据从一个接口转发到另一个接口。 物理接口支持子接口 支持链路聚合(Channel)部署，提高链路带宽；支持Trunk链路防护。 支持自定义配置网络接口MTU、双工模式、双工模式等属性。 支持静态路由及策略路由配置。 支持ARP绑定 支持静态MAC地址表配置 支持服务器健康检查，可以实时监测服务器的活跃状态；健康记录可定期备份 支持IPV6协议。 支持IPV6协议下邻居指定 支持网络层防火墙功能，支持源IP、源区域、目的IP、目的区域等条件的访问控制。 攻击防护 HTTPS支持? 支持HTTP/HTTPS站点防护 协议合规检查 支持请求限制配置通过定义最大请求头长度、最大content-length、最大body长度、最大请求行长度、最大header行长度、最多cookies个数、最多header头个数、最大header长度等来对请用户数据做合规性检查。 WEB安全防护 支持800+条以上的应用层规则。 应能识别和阻断SQL注入攻击,Cookie 注入攻击，命令注入攻击 应能识别和阻断跨站脚本(XSS)攻击。 支持webshell等后门上传防护、支持对中国菜刀等工具对后门连接的阻断。 支持对appscan、awvs等扫描器的扫描防护 支持远程文件包含、本地文件包含、目录遍历、信息泄露等攻击防护 支持HTTP参数污染攻击、00截断、Struts2命令执行等常见攻击防护 支持爬虫防护且用户可以根据需要可以自定义爬虫 支持暴力登录防护，用户可以根据需要配置需要防护暴力登录的界面 支持盗链防护，且支持攻击源盗链例外配置，及目的服务器URI例外配置。 应能识别和阻断跨站请求伪造(CSRF)攻击 支持IP黑白名单、URL黑白名单控制。 支持对身份证、信用卡、手机电话号码、座机电话号码、邮箱地址等敏感信息做检查，当检查到此类数据后可通过配置特殊字符予以替换隐藏，防止信息泄露。 支持对URL编码、多次编码等方式绕过WAF的编码方式进行识别，防止绕过。 可对文件上传做控制，包括最多上传文件数、最大文件上传大小、可以通过对上传文件的扩展名、MIME类型及允许请求体编码类型等做上传控制。 可对文件做下载控制，包括最大下载文件大小、禁止下载文件的扩展名、MIME类型等 检测到攻击后支持阻断、只检测等动作且动作为阻断时用户可自定义阻断页面。 支持URI策略例外，可针对服务器上URL中的特殊URI地址做单独的策略控制。 支持自学习建模功能，可以通过学习正常URL参数的长度、参数类型、请求方法等数据特点创建白名单模型，如果参数违反白名单模型则认为是非法流量直接阻断。开启自学习建模功能后可生成自学习网站参数的自学习结果报告。 支持虚拟补丁功能，支持导入appscan、w3af等第三方扫描器的扫描结果生成WAF的规则，对此类网站漏洞直接防护。 可停用或启用任意一条规则，当触发规则后可以制定针对该条规则的动作，包括阻断记录日志、阻断不记录日志、继续、警告、临时或永久跳转到某一重定向页面等动作。 https证书支持直接将证书内容填充到waf内使用，不用再上传或者转换证书使用。 配置易用性 可以针对服务器IP地址进行防护，而不需要配置需要防护的网站域名。 支持域名自学习，可以自动学习网络中网站服务器的IP地