Web业务边界被绕过事件屡见不鲜，原因是什么？
根据 Neustar 国际安全委员会2020年的调查，49% 的安全专业人员表示，在过去 12 个月中，超过四分之一的 Web 应用攻击都是采用绕过手段并且入侵成功。其根源在于利用HTTP协议复杂性成功绕过边界防御，具体如下：
1、多种攻击入口：HTTP协议请求结构复杂，对攻击者来说意味着存在多个攻击入口。
HTTP协议请求结构
2、多种编码方式：由于业务不可预测的变化性、大量的Web框架和Web服务器，导致编码类型和编码顺序复杂多样，如果安全设备对编码类型识别不全，或只能对特定编码顺序的数据进行解析，则攻击者可以利用编码轻松绕过，安全能力大打折扣。
3、多种语句变化：攻击者会采用业务也经常使用的操作（如转义、拼接、赋值等）来隐藏其恶意，如果安全设备无法深入理解代码语义，还原攻击特征，则无法应对各种绕过攻击。
基于HTTP解析链，深信服下一代防火墙全程有效防御攻击
从HTTP解析链分析来看，要加强Web防绕过能力需要从协议异常解析能力、编码解析能力，以及语句深度识别能力三方面入手。
首先，加强协议异常解析能力。
对HTTP请求协议的每一部分针对性加强解析能力：针对请求行，对不常见的HTTP请求方法（PUT、Delete等）设置黑白名单，达到请求方法的“权限最小化”；针对请求头，覆盖所有头部字段的攻击检测，如Content-Type随机大小写变化、重复头部字段等问题；针对请求体，加强对Multipart、 Chunk等格式的数据进行攻击检测。
针对协议层面暴露的绕过风险，深信服下一代防火墙深入加强HTTP协议异常解析能力，全面覆盖请求行、请求头及请求体各个字段的检测，HTTP协议异常检测率高达90%以上。
其次，加强编码解析能力。
1）基于编码特征的数据还原：通过依次循环识别编码类型，走到相应的解码过程。无论攻击者依据什么样的编码顺序进行编码，对于解码过程都不会有影响。
基于编码特征的数据还原
2）提升编码类型的识别率：不论是常见编码还是小众编码，是单一编码或混合编码，都能成功解析。
3）提取关键字段靶向分析：一方面增大编码类型识别的准确度，另一方面也能进一步降低检测过程中其他字符的干扰。
提取关键字段靶向分析
针对过去由于编码类型覆盖不全、多层编码无法解析等原因，导致传统边界安全设备容易被绕过的问题，深信服下一代防火墙基于以上技术，实现了更全面、更精准的编码解析能力，整体编码解析率达99.24%，包括其他边界安全设备覆盖率低的小众编码290余种，如utf-7、 utf-16(BE/LE) 、utf-32(BE/LE) 等。
另外，加强攻击语句检测能力。
目前大多数检测引擎支持词法分析、语法分析和语义分析三件套，即分析其参数、操作、类型等，然后判断符合哪种语法，最后根据可疑的攻击特征来进行判黑。而面对攻击者有意识地隐藏攻击特征的行为，需要增加对语句的虚拟执行，根据执行后的结果进行判定，实现高精度的检出效果。
针对攻击者构造的隐藏恶意代码，深信服下一代防火墙的WISE智能语义引擎，在已有的词法+语法+语义解析的基础上，创新引入了虚拟执行技术，通过自底向上遍历语法树，执行可疑的操作，高度还原绕过手法，识别请求的真实意图。
WISE智能语义引擎解析示例
最后，联动云端蜜罐，主动诱捕并深度溯源「绕过攻击」。
除了从HTTP解析链全过程加强防绕过能力，深信服下一代墙还对绕过攻击进行主动诱捕和深度溯源，即联动云蜜罐。
针对传统的被动型安全防御面临的攻击行为感知不及时、分析过程繁琐、处置效率低等问题，深信服下一代防火墙通过部署一些作为诱饵的伪装业务，诱捕攻击行为，再引流至云端蜜罐，通过云端蜜罐的高仿真虚拟环境及多种分析引擎，实现：
一诱捕攻击，转移黑客攻击，保护真实业务；
二深度溯源攻击者画像，实现监控取证；
三针对攻击者唯一指纹进行封锁，即使更换攻击IP仍可拦截。
下一代防火墙主动诱捕及深度溯源功能展示
体验主动诱捕及深度溯源能力
聚焦安全效果，深信服下一代防火墙秉持“提升用户业务边界安全效能”的安全理念，不断进行技术更新，持续增强安全能力，更有效的帮助用户抵御安全威胁。截止目前，深信服下一代防火墙有10万+台设备稳定运行，覆盖全行业，赢得各级政府单位、教育、医疗、大型企业、金融等众多用户的认可，广泛应用于互联网出口、对外业务发布、分支机构、数据中心、物联网等场景,为更多用户业务提供持续的安全保护！
IT解决方案：
移动办公安全解决方案 移动应用安全解决方案
在线业务优化解决方案 在线业务安全解决方案
企业数据安全解决方案
分支组网优化解决方案
业务容灾备份解决方案
互联网安全管控解决方案
新型智慧城市解决方案
政务数据中心建设方案 政务专网建设解决方案
互联网安全优化方案 政务移动安全接入方案
业务全网等级保护三级整改建设案例 业务内网等级保护三级整改建设案例
电子政务专网应用加速及传输优化解决方案
政府信息中心上网行为管理解决方案
企业办公无线解决方案 电子商务网站优化解决方案
企业办公桌面云解决方案 数字校园解决方案
桌面云解决方案 数字图书馆解决方案
业务与支撑系统安全 随势而变的ICT
云资源池安全与优化 广电网络解决方案
网络安全等级保护（等保2.0）解决方案
等保一体机解决方案 云安全解决方案
产品应用场景：
终端安全建设 办公网安全建设 数据中心安全建设
移动安全建设 构建网端云敏捷安全架构
关键业务上云 涉密虚拟化建设 私有云建设
分支云建设 容器云建设 托管专属云建设 同架构混合云建设
数据中心容灾备份 云数据中心建设 改善网络访问体验
服务器负载均衡 双活数据中心 IPv6改造
替换传统PC终端 云数据中心统一存储 海量非结构化数据存储
多分支组网 全球访问加速
企业级数据中心新建/改造
业务系统新建/改造
关键应用上云 容灾备份云
开发测试云 容器云
IT价值：
运维 稳定 安全
安全品类：
边界安全 云安全 终端安全 威胁检测
身份与访问安全 安全审计与运营
云产品HCI超融合一体机：
配置管理
资源监控
分布式防火墙
异构虚拟化管理
CDP及数据备份
集成docker
集成aSEC
产品方向：
安全类
云镜YJ 下一代防火墙NGAF 上网行为管理AC SSL VPN 终端检测响应EDR 合规类产品 EMM 安全感知平台 XSEC WEB应用防火墙WAF 云眼/云盾 /云图 上网安全服务平台ISSP 等级保护 安全服务
云计算类
超融合 HCI 超融合云管平台aCMP 监控中心aMC 涉密虚拟化sCloud
基础架构类
桌面云aDesk 应用交付AD SDWAN-WOC SDWAN-MIG 集中管理平台SC&BBC SDWAN-aBOS SD-WAN 企业级分布式存储EDS SDW-R
云产品核心优势：
架构更简单
扩容更便捷
应用部署更简单
数据更可靠
稳定高效承载关键业务
多维度的安全防护能力
更高效的安全策略管理
可视化极简运维
产品：国行原装正品, 深信服科技官网
深信服官网：sangfor.com , 深信服科技官网
产品分类：
企业级安全
边界安全 下一代防火墙AF
云安全 信服云盾 信服云眼
重构入云业务安全边界 威胁检测 安全感知平台SIP
安全解决方案
网络安全等级保护（等保2.0）解决方案 云安全解决方案
网端云敏捷安全架构
终端安全
终端检测响应平台EDR 企业移动管理EMM
身份与访问安全
上网行为管理AC SSL VPN 硬件VPN EasyConnect
SSL VPN最新版本443端口未授权RCE
行为感知系统BA
安全审计与运营
数据库安全审计DAS
云计算
企业级云aCloud 超融合aCloud
新型智慧城市解决方案 服务器虚拟化
云管平台aCMP 大数据智能平台
超融合软件 超融合一体机
基础架构
桌面云aDesk 应用交付AD
软件定义统一存储系统EDS
一体化网关MIG 广域网优化WOC 安全SD-WAN2.0
深信服总代理（深信服经销商/深信服代理商）：
四川深信服：德阳深信服 绵阳深信服，攀枝花深信服，西昌深信服，雅安深信服，内江深信服，资阳深信服，南充深信服，眉山深信服，乐山深信服，自贡深信服 泸州深信服 广元深信服 遂宁深信服 宜宾深信服 广安深信服 达州深信服 雅安深信服 巴中深信服 资阳深信服 攀枝花深信服 凉山彝族自治州深信服 甘孜藏族自治州深信服 阿坝藏族羌族自治州深信服
以上有兴趣的请联系官方渠道
企业级无线方案适用机型：
无线AC控制器
千兆无线控制器NAC-6100
千兆无线控制器NAC-6200
千兆无线控制器NAC-6300
千兆无线控制器NAC-6380
千兆无线控制器NAC-6600
万兆无线控制器NAC-7100
万兆无线控制器NAC-7200
万兆无线控制器NAC-7300
万兆无线控制器NAC-7600
小型无线控制器HG-2005-P
软件控制器SAC-1000
室内无线AP
11n型SMB无线接入点NAP-1500
11ac型无线接入点NAP-1600
11ac wave2型无线接入点NAP-1700
11n型SMB无线接入点NAP-2400-S
11ac wave2双频无线NAP-3600(MU)
11ac wave2双频无线接入点NAP-3700
11ax 高性能无线接入点NAP-3720-X
11ac蓝牙无线接入点NAP-4650
11ac wave2智能天线无线NAP-5600
11ax 高性能无线接入点NAP-5820-X
11ac wave2智能天线无线接入点SDU-1800
室外无线AP
11ac无线接入点NAP-8000
11ac无线接入点NAP-8000(L)内置天线
11ac无线接入点NAP-8000(L)外置天线
11ac wave2无线接入点NAP-8100
11ac wave2无线NAP-8100(L)内置天线
11ac wave2无线NAP-8100(L)外置天线
11ax 高性能无线接入点NAP-8220-X
面板无线AP
802.11n面板NAP-2800-P
802.11ac面板NAP-3500-P
802.11ac wave2面板NAP-3560-P
802.11ac wave2面板NAP-3600-P(MU)
特殊无线AP
NAP-1720-LTE室内wave2无线接入点
室外4G全网通无线接入点NAP-8100(L)-LTE
NAP-4100V全网通移动车载无线AP
NAP-3620电子书包场景专用无线AP
NAP-3620(R3)高密环境专用三频无线AP
NAP-3680医疗场景零漫游无线AP
11ac wave2高密定向无线NAP-3700(D)
NAP-8100工业级防爆无线AP
无线网络相关配件：
网口防雷器
天馈防雷器
室内专用美化天线
室外专用定向天线
室外专用全向天线
超远距离中继天线
四川 成都 深信服 代理：
深信服成都渠道代理商有哪些；深信服渠道代理商有哪些；深信服nat代理上网；深信服代理商资质查询；深信服总代怎么样；深信服的渠道有哪些；深信服金牌代理；深信服成都金牌经销商；深信服四川金牌经销商；深信服金牌代理商；深信服金牌 成都深信服科技有限公司
深信服科技成都分公司 深信服成都区主管是谁 深信服成都
深信服成都办事处 深信服成都网络安全
深信服成都代理商有哪些 深信服成都防火墙
以上有兴趣的请联系官方渠道
深信服 防火墙 上网行为管理 具体型号：
深信服 AC-1000-A400 深信服 AF-1520 深信服 AC-1000-B400
深信服 AC-1000-C600 深信服 NGAF-1000-D420
深信服 VPN-2050 深信服防火墙NGAF-1000 深信服 AC-1400
深信服 AF-1300 深信服 NGAF-1000-D440 深信服 AC-1000-D600 深信服 NGAF-1020
深信服 NGAF-1120 深信服 AC-1700 深信服 VPN-2150 深信服 VPN-1100 深信服VPN-6050
深信服 AC-1000-A200 深信服 AC-1000-A300
深信服 NGAF-1000-B400 深信服 防火墙 NGAF-1020
深信服SANGFOR AC-550 深信服 AC-1000-B400
深信服 NGAF-1000-E800 防火墙 深信服AF-1800
深信服 VPN-1000-I440 深信服VPN网关 VPN-1000-I440
深信服VPN网关管理软件V7.0 深信服短信模块软件V2.0
深信服EMM企业 移动管理软件 V2.0 深信服SSL VPN授权软件 V6.0
适用于1001-2000个授权使用 深信服AF-3020
深信服多线路系统软件V1.0 深信服网关杀毒软件V6.0
深信服AD-1000-G642 深信服应用交付网关
深信服应用交付软件V7.0
深信服下一代防火墙
成都科汇科技有限公司（IT解决方案商）
地址：四川省成都市武侯区人民南路四段一号时代数码大厦18楼A5
电话咨询热线：400-028-1235
24小时咨询热线：180 8195 0517（微信同号）
本文章为转发的公开信息，如有相关侵权，敬请联系上述联系方式即可删除。