[发明专利]一种Web应用防火墙、防护系统及访问方法

说明书

本发明公开了一种Web应用防火墙、防护系统及访问方法。其中，一种web应用防火墙，包括至少一个WAF模块，每个所述WAF模块分别安装在一Docker容器中形成WAF Docker模块；每个WAF Docker模块，与每个Web服务器一对一连接，用于检测接收到的原始访问请求是否存在攻击行为，若存在，返回阻断页面；否则，将所述原始访问请求转发至所述Web服务器。本发明的Web应用防火墙安装部署、升级和卸载均简单方便。

技术领域

本发明属于安全防护技术领域，具体涉及一种Web应用防火墙、防护系统及访问方法。

背景技术

Web Application Firewall又名WEB应用安全防火墙，简称WAF。WAF是一种专门针对Web服务器进行深度防护的设备。一般具有异常输入检查、输入验证、防篡改、自学习等功能。

现有技术中的一台WAF防护多台Web服务器，这样会存在以下问题：

一、安装部署比较复杂，需要在网络中增加新的硬件设备，增加新的硬件设备就需要改变原有网络的拓扑，并且会增加电源能耗。

二、当业务访问量大的时候，需要增加新的Web服务器，原有的WAF可能会性能不足，需要替换。

发明内容

(一)发明目的

本发明的目的是提供一种web应用防火墙、防护系统及访问方法。

(二)技术方案

为解决上述问题，本发明的第一方面提供了一种web应用防火墙，包括至少一个WAF模块，每个所述WAF模块分别安装在一Docker容器中形成WAF Docker模块；每个WAFDocker模块，与每个Web服务器一对一连接，用于检测接收到的原始访问请求是否存在攻击行为，若存在，返回阻断页面；否则，将所述原始访问请求转发至所述Web服务器。

进一步地，WAF Docker模块包括：反向代理模块，用于将原始访问请求发送到攻击检测模块，如果攻击检测模块未发现攻击，将原始访问请求发送到Web服务器的端口，或者如果攻击检测模块发现了攻击，拒绝原始访问请求；攻击检测模块，用于检测用户的原始访问请求中是否有恶意攻击行为，以及当检测到没有恶意攻击行为时，发送转发的消息至反向代理模块，当检测到有恶意攻击行为时，发送拒绝转发的消息至反向代理模块。

进一步地，还包括：地址转换模块，与所述WAF Docker模块的入接口连接，用于接收用户的原始访问请求，并将所述原始访问请求中的目的地址转换为所述WAF Docker模块的地址和端口，得到转换后访问请求，以使所述转换后访问请求转发至所述WAF Docker模块。

进一步地，地址转换模块包括：第一地址转换单元，用于将访问Web服务器的80端口的流量，经过目的地址转换，转换到WAF docker监听的HTTP端口；第二地址转换单元，用于将访问Web服务器的443端口的流量，经过目的地址转换，转换到WAF docker监听的HTTPS端口。

进一步地，还包括：打包移植模块，用于将所述web应用安全防火墙的应用包和依赖包打包且移植至Docker容器；镜像文件创建模块，用于基于所述应用包和所述依赖包，创建所述web应用安全防火墙的镜像文件。

根据本发明的另一个方面，提供一种web应用防护系统，包括一种web应用防火墙，以进行web应用访问的安全防护。

根据本发明的又一方面，提供一种web应用访问方法，包括：将WAF模块安装至Docker容器中，得到WAF Docker模块；将每个所述WAF Docker模块与每个Web服务器一对一连接；接收web应用的原始访问请求，并按照预设的转发规则将所述访问请求转发至相应的WAF Docker模块；WAF Docker模块检测所述访问请求是否存在攻击行为，若存在，返回阻断页面；否则，将所述访问请求转发至所述Web服务。