【IT168 专稿】当企业在Web应用防火墙产品选型时选择了一个或者多个需要评估的产品后，应该如何进行评估呢？本文我们将和大家一起探讨企业应如何评估Web应用防火墙解决方案。

　　评估标准#1：可管理性

　　你需要执行的第一个对比测试是可管理性。如果Web应用防火墙难以管理，并不提供你需要的政策灵活性，稍后你将为此付出代价。虽然当你在谈论定制应用时，即插即用设备的要求可能有点太过分，但初始部署不应太具挑战性。你会想知道能否通过努力让Web应用防火墙来保护那些不需要不断监管和微调的应用程序。

　　可读警报和报告是Web应用防火墙应该具备的必要功能，这些功能能够为你提供关于Web应用防火墙的精准信息，并在出现问题时，提供概述性的威胁描述。评估的互补方面是Web应用防火墙的可用性，这包括提供清晰威胁信息的GUI，能够向下挖取和审查警报的详细信息。理想情况下，你还能够生成与配置和定制化报告，并能轻松地调整安全策略。

　　当你在处理分布在世界各地的Web应用基础设施时，中央管理也很有帮助。你想要管理不同的WAF设备，而不需要分别连接到每个设备，这同样也使企业能够横跨整个企业范围建立、维护和执行统一的安全政策。

　　评估标准#2：性能

　　当涉及Web应用防火墙时，性能是一个关键因素。Web应用防火墙的部署应该不能影响现有基础设施的性能，包括应用程序和网络设备等。这意味着即使Web应用防火墙作为应用程序的安全代理，该应用程序应该继续能够传输数据，而不会遇到请求积压或者重负载的情况，该应用程序应该像没有Web应用防火墙一样运行。

　　从最终用户的角度来看，Web应用防火墙应该是完全透明的。用户不应该遇到任何明显的延迟或者服务阻碍。

　　为了避免性能降级，你要确保Web应用防火墙的性能符合或者超过应用程序基础设施的其他因素。

　　评估标准#3：最小误报

　　误报是一个很重要的方面。你不会希望看到Web应用防火墙对于每个传入的请求都发出警报。这就像“狼来了”一样的道理，当恶意请求真正来到时，你可能会因为误报大幅增加而忽视这个恶意请求。如果你是在阻止模式，这个问题将更加严重。你想做的最后一件事情将是阻止合法流量，这最终将破坏部署在线应用程序的意义。请确保你正在评估的Web应用防火墙具有最小的误报率，只有为数不多的几个。

　　评估标准 #4：处理实时攻击流量

　　测试Web应用防火墙的非常好的途径是使用实施流量。通过评估Web应用防火墙的产品设置，你能够得到两个好处：

　　- 测试是否存在性能降级 (这与前面的评估标准相呼应)

　　- 测试Web应用防火墙是否能够阻止攻击 .当你想要确保Web应用防火墙正在保护受保护应用程序中的所有元素以及测试动态组件(例如Javascript和XML)时，这一点尤其必要。在Web应用防火墙学习应用程序的情况下，这更加重要，因为这种产品设置能够知名Web应用防火墙是否在正确地学习应用程序流量。进一步深入这个评估标准，你还应该对应用程序进行修改，然后看看Web应用防火墙是否检测到了这种修改。

　　建议执行互补设置：在应用程序开发过程中使用Web应用防火墙。这种部署能够帮助收集攻击者情报，你在建设软件时你能够添加到你的测试用例中。

　　评估标准 #5：纳入现有的基础设施

　　Web应用防火墙应该不会对现有基础设施带来任何改变，这是一个重要的方面，当你在考虑Web应用对于改变极其敏感时。对网络的任何改变，Web服务器操作系统、应用软件或者后端数据库都会对可用性、性能和安全带来影响。你不会希望破坏现有的基础设施，只为适应Web应用防火墙。

　　作为评估过程的一部分，你需要确保Web应用防火墙的安装几乎对数据中心基础设施没有任何影响，虽然Web应用防火墙已经部署到位，它应该对于网络、应用程序和数据库几乎是透明的。

　　评估标准 #6：与现有企业系统整合

　　Web应用防火墙并不是技术孤岛。任何引入网络的设备都应该与现有系统整合。你应该检查的重要的整合点包括安全信息事件管理(SIEM)系统、日志保留系统、身份管理、事件管理、应用程序扫描器和代码分析工具。Web应用防火墙和其他元素之间的适当交互提供了分层和自动的安全性。

　　如果你遵循以上步骤，你将以自己的方式实现一个成功的Web应用防火墙部署。祝你好运！