面面俱到点评Web安全原理与技术分析

【51CTO.com独家特稿】 1、Web安全不只仅是互联网才须要

Web服务是指采用B/S架构、经过Http协议提供服务的统称，这种结构也称为Web架构，随着Web2.0的发展，出现了数据与服务处理分离、服务与数据分布式等变化，其交互性能也大大加强，也有人叫B/S/D三层结构。互联网可以快速流行得益于Web部署上的简单，开发上简便，Web网页的开发大军迅速超过了以往任何计算机语言的爱好者，普及带来了应用上繁荣。J2EE与.NET的异曲同工，为Web流行扫清了厂家与标准的差别；众望所归，SOA选中Web2.0做为其实现的基本工具之一(使用最广的)，Web架构从互联网走进了企业内部网络，新业务系统的开发，愈来愈多的系统架构师选择了Web架构，与熟悉它的人如此普遍是分不开的。事实再一次证实了那个经典的理论：简洁的最容易流行。

简单与安全好象总有些“矛盾”，浏览器能够直接看到页面的Html代码，早期的Web服务设计没有过多的安全考虑，人性本善，技术人员老是相信人都是善良的！但随着Web2.0的普遍使用，Web服务再也不只是信息发布，游戏中的装备交易、平常生活中网上购物、政府行政审批、企业资源管理…信息价值的诱惑，人的贪婪开始显现，不是全部的人都有Web设计者的“大同”思想，安全问题日显突出了。

2008年网络安全事件统计最可能是：SQL注入与“网页挂马(***)”。由于这是“僵尸”网络发展新“会员”的基本工具，而僵尸网络的经济与政治“价值”，这里就不用说了。SQL注入与“网页挂马”主要就是针对Web服务的，传统的安全产品(UTM/IPS)都有些力不从心。

互联网是我的思想展示的乐园，也是世界级的、虚拟的“另外一个”社会，既然你们都是虚拟的、带着面具的，要变成现实社会中的真实利益，还须要一些转换才能够兑现，但SOA把Web架构带入企业内部网络，这里的网络世界是“真实的”，利益是能够直接兑现的，Web安全问题变得刻不容缓。

2、Web架构原理

要保护Web服务，先要了解Web系统架构，下图是Web服务的通常性结构图，适用于互联网上的网站，也适用于企业内网上的Web应用架构： 

图

用户使用通用的Web浏览器，经过接入网络(网站的接入则是互联网)链接到Web服务器上。用户发出请求，服务器根据请求的URL的地址链接，找到对应的网页文件，发送给用户，二者对话的“官方语言”是Http。网页文件是用文本描述的，HTML/Xml格式，在用户浏览器中有个解释器，把这些文本描述的页面恢复成图文并茂、有声有影的可视页面。

一般状况下，用户要访问的页面都存在Web服务器的某个固定目录下，是一些.html或.xml文件，用户经过页面上的“超链接”(其实就是URL地址)能够在网站页面之间“跳跃”，这就是静态的网页。后来人们以为这种方式只能单向地给用户展现信息，信息发布还能够，但让用户作一些好比身份认证、投票选举之类的事情就比较麻烦，由此产生了动态网页的概念；所谓动态就是利用flash、Php、asp、Java等技术在网页中嵌入一些可运行的“小程序”，用户浏览器在解释页面时，看到这些小程序就启动运行它。小程序的用法很灵活，能够展现一段动画(如Flash)，也能够在你的PC上生成一个文件，或者接收你输入的一段信息，这样就能够根据你的“想法”，对页面进行定制处理，让你每次来到时，看到的是你上次设计好的特有风格，“贵宾的感受”是每一个人都喜欢的，更况且虚拟的网络世界中，你不认识的人还对你如此“敬仰”，服务得如此体贴…

“小程序”的使用让Web服务模式有了“双向交流”的能力，Web服务模式也能够象传统软件同样进行各类事务处理，如编辑文件、利息计算、提交表格等，Web架构的适用面大大扩展，Web2.0能够成为SOA架构的实现技术之一，这个“小程序”是功不可没的。

这些“小程序”能够嵌入在页面中，也能够以文件的形式单独存放在Web服务器的目录里，如.asp、.php、jsp文件等，而且能够在开发时指定是在用户端运行，仍是在服务器端运行；用户再也不能看到这些小程序的源代码，服务的安全性也大大提升。这样功能性的小程序愈来愈多，造成经常使用的工具包，单独管理，Web业务开发时，直接使用就能够了，这就是中间件服务器，它其实是Web服务器处理能力的扩展。

静态网页与“小程序”都是事前设计好的，通常不常常改动，但网站上不少内容须要常常的更新，如新闻、博客文章、互动游戏等，这些变更的数据放在静态的程序中显然不适合，传统的办法是数据与程序分离，采用专业的数据库。Web开发者在Web服务器后边增长了一个数据库服务器，这些常常变化的数据存进数据库，能够随时更新。当用户请求页面时，“小程序”根据用户要求的页面，涉及到动态数据的地方，利用SQL数据库语言，从数据中读取最新的数据，生成“完整”页面，最后送给用户，如股市行情曲线，就是由一个不断刷新的小程序控制。

除了应用数据须要变化，用户的一些状态信息、属性信息也须要临时记录(由于每一个用户都是不一样的)，而Web服务器原本是不记录这些信息的，只管答复你的要求，“人一走茶就凉了”。后来Web技术为了“友好”互动，须要“记住”用户的访问信息，创建了一些“新”的通信机制： 

◆Cookie：把一些用户的参数，如账户名、口令等信息存放在客户端的硬盘临时文件中，用户再次访问这个网站时，参数也一同送给服务器，服务器就知道你就是上次来的那个“家伙”了 

◆Session：把用户的一些参数信息存在服务器的内存中，或写在服务器的硬盘文件中，用户是不可见的，这样用户用不一样电脑访问时的贵宾待遇就一样了，Web服务器总能记住你的“样子”，通常状况下，Cookie与Session能够结合使用

Cookie在用户端，通常采用加密方式存放就能够了；Session在服务器端，信息集中，被篡改问题将很严重，因此通常放在内存里管理，尽可能不存放在硬盘上。

到此，咱们清楚了，Web服务器上有两种服务用数据要保证“清白”，一是页面文件(.html、.xml等)，这里包括动态程序文件(.php、.asp、.jsp等)，通常存在Web服务器的特定目录中，或是中间间服务器上；二是后台的数据库，如Oracle、SQL Server等，其中存放的数据的动态网页生成时须要的，也有业务管理数据、经营数据。

还有一个问题应该提一下，就是浏览器给用户电脑带来的安全问题，由于Web能够对本地的进程、硬盘操做，能够把***、病毒放到你的电脑上来，Web架构中使用“沙漏”技术提供安全保护，就是限制页面中“小程序”的本地读写权限，但限制毕竟不能不让其“工做”，因此多数状况下在写入时给出提示，让你本身选择，你们常常看见有进程在安装程序进入你的电脑，但绝大多数人分不清是否应该，要么一律不准，形成不少事情作不了(不少下载与游戏就只能看着)，要么“大胆”接受，大门敞开，听天由命。这里主要分析服务器端的安全，客户端的安全再行考虑。

3、Web架构中的安全点分析

从Web架构上能够看出，Web服务器是必经的大门，进了大门，还有不少服务器须要保护，如中间件服务器、数据库服务器等。咱们这里不考虑网络内部人员的***，只考虑从接入网(或互联网)来的***，***者***的通道有下面几个：

一、服务器系统漏洞：Web服务器毕竟的一个通用的服务器，不管是Windows，仍是Linux/Unix，都不可少的带有系统自身的漏洞，经过这些漏洞***，能够得到服务器的高级权限，固然对服务器上运行的Web服务就能够随意控制了。除了OS的漏洞，还有Web服务软件的漏洞，IIS也好，Tomcat也好，一样须要不断地打补丁。

二、Web服务应用漏洞：若是说系统级的软件漏洞被关注的人太多了，那么Web应用软件的漏洞数量上就更多了，由于Web服务开发简单，开发的团队良莠不齐，并不是都是“专业”的高手，编程不规范、安全意识不强、由于开发时间紧张而简化测试等，应用程序的漏洞也一样可让***者来去自如。最为常见的SQL注入，就是由于大多应用编程过程当中产生的漏洞。

三、密码暴力破解：漏洞会招来***容易理解，但毕竟须要高超的技术水平，破解密码却十分有效，并且简单易行。通常来讲账号信息容易得到，剩下的就是猜想密码了，因为使用复杂密码是件麻烦而又“讨厌”的事，设置容易记忆的密码，是绝大多数用户的选择。大多Web服务是靠“账号+密码”的方式管理用户账户，一旦破解密码，尤为是远程管理者的密码，破坏程度不可思议，而且其***难度比经过漏洞方式要简单的多，并且不容易被发觉。在知名的网络经济案例中，经过密码***的占了接近一半的比例。

***者进入Web系统，其动做行为目的性是十分明确的： 

◆让网站瘫痪：网站瘫痪是让服务中断。使用DDOS***均可以让网站瘫痪，但对Web服务内部没有损害，而网络***，能够删除文件、中止进程，让Web服务器完全没法恢复。通常来讲，这种作法是索要金钱或恶意竞争的要挟，也多是显示他的技术高超，拿你的网站被***做为宣传他的工具。 

◆篡改网页：修改网站的页面显示，是相对比较容易的，也是公众容易知道的***效果，对于***者来讲，没有什么“实惠”好处，主要是炫耀本身，固然对于政府等网站，形象问题是很严重的。 

◆挂***：这种***对网站不产生产生直接破坏，而是对访问网站的用户进行***，挂***的最大“实惠”是收集僵尸网络的“肉鸡”，一个知名网站的首页传播***的速度是爆炸式的。挂***容易被网站管理者发觉，XSS(跨站***)是新的倾向。 

◆篡改数据：这是最危险的***者，篡改网站数据库，或者是动态页面的控制程序，表面上没有什么变化，很不容易发觉，是最多见的经济利益***。数据篡改的危害是难以估量的，好比：购物网站能够修改你账号金额或交易记录，政府审批网站能够修改行政审批结果，企业ERP能够修改销售定单或成交价格…    有人说采用加密协议能够防止***，如https协议，这种说法是不许确的。首先Web服务是面向大众的，不能够彻底使用加密方式，在企业内部的Web服务上能够采用，但你们都是“内部人员”，加密方式是共知的；其次，加密能够防止别人“窃听”，但***者能够冒充正规用户，同样能够***；再者，“中间人劫持”一样能够窃听加密的通信。

4、Web安全产品分析

围绕Web服务的安全，产品能够说五花八门，最基本的是接入网入口的UTM网关，其中IPS功能与防DDOS功能是Web服务器系统级***的直接防御，但UTM是通用的边界安全网关，非“专业的”Web***防御，通常做为安全的入门级防御，这里不细说。这里主要分析专为Web服务开发的安全产品，大概有下面几方面的产品：

一、网页防篡改产品：

防御未知***是难的，但看好我本身的“家底”是相对容易的。所以，人们最早想到的就是网页防篡改技术，保持本身的“纯洁”，起码对社会不会形成大危害。网页被篡改产品出如今Web早期，几经风雨，各厂家技术逐渐统一。网页防篡改技术的基本原理：是对Web服务器上的页面文件(目录下文件)进行监控，发现有更改及时恢复。因此该产品实际是一个“修补”的工具，不能阻止***者的篡改，就来个守株待兔，专人看守，减小损失是目标，防篡改属于典型的被动防御技术。

网页防篡改产品的部署：创建一台单独的管理服务器(Web服务器数量少能够省略)，而后在每台Web服务器上安装一个Agent程序，负责该服务器的“网页文件看护”，管理服务器是管理这些Agent看护策略的。

咱们先分析一下“页面文件看护”技术的变迁： 

图

a)第一代技术，把Web服务器主目录下的文件作一个备份，用一个定时循环进程，把备份的文件与服务使用的文件逐个进行比较，不同的就用备份去覆盖。网站更新发布时，则同时更新主目录与备份。这种方法在网站大的状况下，网页数量巨大，扫描一遍的时间太长，而且对Web服务器性能也是挤占。

b)第二代技术，采用了Hash算法，对主目录下的每一个文件作Hash，生成该文件的“指纹”，定时循环进程直接计算服务用文件的Hash指纹，而后进行指纹核对，指纹通常比较小，比较方便；指纹具备不可逆的特色，不怕仿制。

c)第三代技术，既然网站上页面太多，三级如下页面的访问量，通常使用呈指数级降低，没人访问固然也不会被篡改，在这些页面重复扫描是不划算的。改变一下思路：对文件读取应该没有危险，危险的是对文件的改写操做。若只对文件被改变时才作检查，就能够大大下降对服务器资源的占用；具体作法是：开启一个看守进程，对Web服务器的主目录文件删改操做进行监控，发现有此操做，判断是否有合法身份，是否为受权的维护操做，不然阻断其执行，文件不被改写，也就起到了网页防篡改的目的。这个技术也称为事件触发防篡改。

这种技术须要考验对服务器操做系统的熟悉程度，但***也是高手，你的看护进程是用户级的，***能够得到高级权限，绕过你的“消息钩子”，监控就成了摆设。

d)第四代技术，既然是比谁的进程权限高，让操做系统干这个活儿，应该是最合适的，***再牛也不可能越过操做系统本身“干活”。所以，在Windows系统中，提供系统级的目录文件修改看护进程(系统调用)，防篡改产品直接调用就能够了，或者利用操做系统自身的文件安全保护功能，对主目录文件进行锁定(Windows对本身系统的重要文件也采起了相似的防篡改保护，避免病毒的侵扰)，只容许网站发布系统(网页升级更新)才能够修改文件，其余系统进程也不容许删改。

这个方法应该说比较完全，但能够看出，之后防篡改技术将成为操做系统的“专利”了，安全厂家实在是不肯意看到的。好在目前Linux尚未支持。

网页防篡改系统能够用于Web服务器，也能够用于中间件服务器，其目的都是保障网页文件的完整性。

网页防篡改对保护静态页面有很好的效果，但对于动态页面就没有办法了，由于页面是用户访问时生成的，内容与数据库相关。不少SQL注入就是利用这个漏洞，能够继续***Web服务器。

到目前为止，不少网页防篡改产品中都提供了一个IPS软件模块，用来阻止来针对Web服务的SQL注入、XML注入***。如国内厂家的WebGuard、iGuard、InforGuard等产品

二、Web防火墙产品：

防止网页被篡改是被动的，能阻断***行为才是主动型的，前边提到的IPS/UTM等产品是安全通用的网关，也有专门针对Web的硬件安全网关，国内的如：绿盟的Web防火墙，启明的WIPS(web IPS)，国外的有imperva的WAF(Web Application Firewall)等。 

图

Web防火墙，主要是对Web特有***方式的增强防御，如DDOS防御、SQL注入、XML注入、XSS等。因为是应用层而非网络层的***，从技术角度都应该称为Web IPS，而不是Web防火墙。这里之因此叫作Web防火墙，是由于你们比较好理解，业界流行的称呼而已。因为重点是防SQL注入，也有人称为SQL防火墙。

Web防火墙产品部署在Web服务器的前面，串行接入，不只在硬件性能上要求高，并且不能影响Web服务，因此HA功能、Bypass功能都是必须的，并且还要与负载均衡、Web Cache等Web服务器前的常见的产品协调部署。

Web防火墙的主要技术的对***的检测能力，尤为是对Web服务***的检测，不一样的厂家技术差异很大，不能以厂家特征库大小来衡量，主要的仍是看测试效果，从厂家技术特色来讲，有下面几种方式：

◆代理服务：代理方式自己就是一种安全网关，基于会话的双向代理，中断了用户与服务器的直接链接，适用于各类加密协议，这也是Web的Cache应用中最经常使用的技术。代理方式防止了***者的直接进入，对DDOS***能够抑制，对非预料的“特别”行为也有所抑制。Netcontinuum(梭子鱼)公司的WAF就是这种技术的表明。 

◆特征识别：识别出***者是防御他的前提。特征就是***者的“指纹”，如缓冲区溢出时的Shellcode，SQL注入中常见的“真表达(1=1)”…应用信息没有“标准”，但每一个软件、行为都有本身的特有属性，病毒与蠕虫的识别就采用此方式，麻烦的就是每种***都本身的特征，数量比较庞大，多了也容易相象，误报的可能性也大。虽然目前恶意代码的特征指数型地增加，安全界声言要淘汰此项技术，但目前应用层的识别尚未特别好的方式。 

◆算法识别：特征识别有缺点，人们在寻求新的方式。对***类型进行归类，相同类的特征进行模式化，再也不是单个特征的比较，算法识别有些相似模式识别，但对***方式依赖性很强，如SQL注入、DDOS、XSS等都开发了相应的识别算法。算法识别是进行语义理解，而不是靠“长相”识别。 

◆模式匹配：是IDS中“古老”的技术，把***行为概括成必定模式，匹配后能肯定是***行为，固然模式的定义有很深的学问，各厂家都隐秘为“专利”。协议模式是其中简单的，是按标准协议的规程来定义模式；行为模式就复杂一些，

Web防火墙最大的挑战是识别率，这并非一个容易测量的指标，由于漏网进去的***者，并不是都大肆张扬，好比给网页挂马，你很难察觉进来的是那一个，不知道固然也没法统计。对于已知的***方式，能够谈识别率；对未知的***方式，你也只好等他本身“跳”出来才知道。

“自学习”功能的发展：

Imperva公司的WAF产品在提供***防御的同时，还提供了另一个安全防御技术，就是对Web应用网页的自动学习功能，因为不一样的网站不可能同样，因此网站自身页面的特性没有办法提早定义，因此imperva采用设备自动预学习方式，从而总结出本网站的页面的特色。具体的作法是这样的：

经过一段时间的用户访问，WAF记录了经常使用网页的访问模式，如一个网页中有几个输入点，输入的是什么类型的内容，一般状况的长度是多少…学习完毕后，定义出一个网页的正常使用模式，当从此有用户突破了这个模式，如通常的账号输入不该该有特殊字符，而XML注入时须要有“<”之类的语言标记，WAF就会根据你预先定义的方式预警或阻断；再如密码长度通常不超过20位，在SQL注入时加入代码会很长，一样突破了网页访问的模式。

网页自学习技术，从Web服务自身的业务特定角度入手，不符合个人常规就是异常的，也是***检测技术的一种，比起单纯的Web防火墙来，不只给***者“下通缉令”，并且创建进入自家的内部“规矩”，这一种双向的控制，显然比单向的要好。

Citrix公司收购了Teros后，推出的应用防火墙经过分析双向流量来学习Web服务的用户行为模式，创建了若干用户行为模型，一但匹配上你是某个行为，就按该模式行为去衡量你的行为作法，有“越轨”企图当即给予阻断。这个自适应学习引擎与Imperva公司的网页自学习有些相似，不过一个重点是学习网页特色，一个是学习用户访问的规律。

从安全角度来讲，网业自学习技术与***防御结合使用，是理想的选择。

Web防火墙的将来出路：

有一种说法：由于Web服务器前的负载均衡设备、Web 加速设备是不可缺乏的，又是Web服务器群的出口必经之路，因此Web防火墙的功能有可能与这些设备合并。这种发展趋势有些象网关UTM与单独的FW、IPS、AV、×××等设备进化发展同样，UTM就是这些网关的集合产品。

但我有一个不一样的见解：UTM部署于网络的外链接出口，通常是互联网出口，其网络安全隔离做用，这里的带宽价格昂贵，因此拥有大带宽的用户颇有限，而Web服务器群是与网络主交换机链接的，提供的是应用处理能力，要求的参数常是并发用户的数量与在线用户的数量，服务器通常都是千兆接口，目前的交换机就可达到几十个TB的交换能力，在大流量链路上作多功能的安全产品，又是应用层的检测，对产品的硬件压力是巨大的，能达到“线性”流量的产品必定价格昂贵，所以Web防火墙的这种合并思路是有待商榷的。

三、Web数据库审计产品：

有效恢复是安全保障的一个很重要的理念。咱们提到动态网页的防御难点是用数据库现场生成的，所以对数据库的修改就变得很关键， Web数据库审计产品的目的就是对数据的全部操做进行记录，当发现问题时，这些操做能够回溯。打个比方，你在游戏中的装备被别人给“划走”了，过了一周，你发现了，但一周中，游戏在继续，你的装备有不少新动态，合理与不合理变化交织在一块儿。此时，若管理人员知道肯定是“某人”的篡改，就能够把他的动做进行“逆向”操做，你的游戏仍能够继续，不受影响；若经过协商，须要恢复到篡改前的某个状态，则在数据库中先取得篡改前最近一次的备份数据，再使用数据库的审计记录，一直“操做”到篡改前的状态，游戏就能够继续了。这种技术与数据库的实时同步备份技术是相似的。

固然数据库的操做量很大，所有记录须要很大的数据空间，因此，Web服务中重要数据库操做才进行详细审计，审计的目的是为了运营状态的可恢复。常见的Web审计数据： 

◆账户操做：涉及权限的改变 

◆运营操做：涉及“财与物”的变化 

◆维护操做：涉及“特殊权限”人的动做

Web数据库审计产品通常采用旁路部署，不影响数据库的业务效率。若在业务流量不很大的状况下，能够采用Agent的软件方式，可是不建议彻底依靠数据库自身的日志功能，由于，***者破坏后必定有“抹去痕迹”的步骤，痕迹通常就是系统自己的日志，单独的审计机制保障了日志的完整性。

四、Web***检查工具：

Web安全不只是维护网站本身安全，经过网站***用户电脑的危害也十分棘手。网页容易被挂上***，或被XSS***利用，是否有工具能够对全部的网页进行安全检查呢？这里用到了“爬虫”技术。

“爬虫”技术最先是搜索引擎“发明”的，搜索网站放出N个小“爬虫”，在世界各地的网站上循环扫描，收集网站上的新信息，创建供世界人民查找的数据库，这样你们就能够从Google、百度等搜索门户上搜到你想要的任何东东。因为“爬虫”来自网站外部，因此能够模拟用户打开网站的实际效果，因此“爬虫”很快被网站用来测试自身性能的“用户体验”工具，好比网页打开的速度，用户互动的等待时间等。做为用户体验工具，“爬虫”很快也在企业内部网络上开始流行，关注用户感觉，是08年开始IT领域内最流行的开发理念。 

图

所谓“爬虫”就是这样一些进程，按照必定的规则(横向优先搜索、纵向优先搜索)，将网站上全部的页面打开一遍，(你知道不少网站的点击率飞涨的缘由了吧，是有无数的小爬虫在工做…)，在对网页上关心的事情进行检查。因为是以用户的身份“浏览”网页，因此没有静态与动态页面的差异。Web***检查工具就是基于这个原理开发的，不一样于搜索爬虫的是，在网页检查时，重点查看网页是否被挂***，或被XSS利用。由于网站内的URL连接去向应该可追溯的，因此对XSS的检查是颇有效的。(“爬虫”有些象网页防篡改的文件检查进程是吧，不过一个是在Web服务器的内部，另外一个是在web服务器的外部)

Web***检查工具通常做为安全服务检查使用，也能够单独部署一台服务器，按期对网站检查，发现问题及时报警。该工具目前市场上的产品化不多，通常不销售，网上有些免费的相似软件能够试用，随着Web服务在企业内的应用增多，该工具应该象防病毒检查工具同样流行。

5、新的想法---主机Web网关

Web服务是从互联网技术发展起来，互联网是“草根”文化的集大成者。在互联网中，共享智慧是追求，简捷实用是方法。

很常见的现象，Web服务的处理能力采用集群技术、云计算技术，都是利用物美价廉的PC服务器集成在一块儿，而不是选用“庞大”的巨型机。P2P技术、CDN技术都是网民下降Web服务中心压力，而又能支持大用户、实时流媒体业务的“互联网Web技术”。但这也为Web业务的安全防御带来问题---网络结构问题。为了提供处理能力，众多的服务器“网”同样地接在核心交换机上，在服务器前没有汇聚点，web防火墙的部署就成了问题。

草根文化的特色就是系统避免过渡依赖某一个点(你们都是重要的)。Web服务不一样于传统银行模式的集中处理，服务器是PCServer组成的群，因为加入与离开群，对群的服务没有影响，只是服务处理能力的动态变化而已，因此服务器群中的每一个服务器的处理能力相对不是那么宝贵，某个服务器的异常宕机也只是对个别的用户服务有些“临时影响”，在服务器中安装Agent的“恐惧”，Web服务管理者应该是没有的。

为了与“群”或“云”等Web新型网状结构相适应，Web服务应用层的防御，能够与网页防篡改合起来(尤为是OS提供底层的文件修改监控)，咱们给它一个新的名字---主机Web网关(Host Web Gateway)。

主机Web网关的部署与防篡改产品同样，以Agent的形式嵌入到Web服务器中，不须要再关心Web服务的网络结构，同时，也避免了在Web服务使用加密协议时，网关安全设备对应用层***无能为力的弊端。

主机Web网关的主要功能： 

◆Web应用***防御(SQL注入、XSS等) 

◆页面文件防篡改 W◆eb网页自动学习功能 

◆Web用户访问行为的自学习功能

至于系统级的***防御与DDOS防御，放在UTM/IPS中解决，Web服务的网络结构就灵活多了。主机Web网关采用软件形式，没有了串行设备的性能要求，部署的成本也会大大降低。