“当前，黑客攻击由网络层转向Web应用层，据统计，75%的网络攻击和互联网安全侵害源于Web应用系统，但是以往的网络层防护产品，如防火墙、入侵检测等面对Web应用层攻击束手无策，而现有的一些WEB应用安全防火墙(WAF)产品在功能和性能上又很难全面兼顾。”中兴网安CEO朱永民表示：“中兴网安与国家级科研机构经过多年合作研究，充分考虑技术和管理的有效融合，推出了高新能的新一代WEB应用安全防火墙(WAF)产品，能够完全满足各行业WEB应用和业务系统对于网页防篡改、SQL注入攻击、跨站脚本漏洞、表单绕过和文件上传漏洞以及系统负载均衡加速等等各类安全防护和加固的需求。”。

　　据国家计算机网络应急技术处理协调中心(CNCERT/CC)相关数据显示，2010年我国大陆地区有3.5万个网站遭黑客篡改(其中有4635个为政府网站)，有500万个主机IP地址被木马僵尸感染，60%的部委级网站存在安全隐患，部分国家政府机关的网站系统被“黑”，已经造成了重大损失和恶劣影响。

　　“中兴网安CTM星御系列产品——WEB应用防火墙(WAF)系统从安全的本质出发，对黑客攻击威胁进行主动式防御，它不仅是完全符合国际、国内WEB应用安全防护技术标准的自主知识产权创新产品，也已成为保障WEB应用和业务系统安全的最佳方案”，朱永民进一步表示，“通过独立的安全网关部署在WEB服务器端，对WEB漏洞提出合理的预警监控和强大的负载均衡等性能优化措施，从而对WEB应用安全威胁实现事前预警、事中防护、事后分析追溯的全周期安全防护。”

　　据了解，中兴网安CTM星御系列产品是专业的新一代Web应用防火墙系统(WAF)，提供了一系列安全运维控制手段——基于对HTTP/HTTPS流量的双向分析，为WEB应用提供实时的防护——包括对Web漏洞、Sql注入、跨站脚本、恶意代码、网页篡改等的实时防护。

　　与此同时，中兴网安CTM星御系列产品还实现了对带宽消耗、流量异常、主机宕机、网络故障、拒绝服务等各种现象的全程监控，以及对反动、暴力、低俗、泄密等内容的全面检查，并对网站流量统计、热门内容、地域统计、效能考核等进行全方位地分析。

　　据介绍，中兴网安CTM星御系列产品的功能特点和优势主要表现在以下几个方面：

　　技术优势

　　一是对HTTP有本质的理解。能完整地解析HTTP，包括报文头部、参数及载荷。支持各种HTTP编码(如chunked encoding);提供严格的HTTP协议验证;提供HTML限制;支持各类字符集编码;具备response过滤能力。

　　二是提供了应用层规则(黑名单模型)。WEB应用通常是定制化的，传统的针对已知漏洞的规则往往不够有效。提供专用的应用层规则，且具备检测变形攻击的能力，如检测SSL加密流量中混杂的攻击。

　　三是提供正向安全模型(白名单模型)。仅允许已知有效的输入通过，为WEB应用提供了一个外部的输入验证机制，安全性更为可靠。

　　四是提供会话防护机制。HTTP协议最大的弊端在于缺乏一个可靠的会话管理机制。为此进行有效补充，防护基于会话的攻击类型，如cookie篡改及会话劫持攻击。

　　五是卓越的处理性能。中兴网安CTM星御系列产品设备分高、中、低端三类适合于各种不同规模类型的企业及组织部门需求。

　　六是灵活的部署方式。根据具体的网络应用环境可以灵活采用四种部署模式：在线代理、透明代理、透明检测、离线检测。

CTM星御系列产品典型配置部署图

　　中兴网安CTM星御系列产品支持HA(High Available)以冗余方式部署，实现Active/Passive高可用性。当一台设备出现问题时，所有流量可以切换到另一台备份设备上，保证用户的不间断访问。硬件BYPASS接口芯片有效保证设备在硬件出现故障掉电之后，业务无中断进行。

　　全面的Web应用保护与监控

　　一是防数据泄露。通过对所有外出流量的紧密监控，实现对信用卡及应用信息的泄露进行专门的监控和保护。用户可以结合数据泄露防护模板，创建自己的签名。

　　二是防网页篡改。监控被保护的应用，当发现有篡改时，可以自动、快速的的恢复存储的版本。

　　三是HTTP RFC规范验证。通过维护严格的RFC标准，CTM星御可以阻止所有操作HTTP协议的攻击，如编码攻击、缓存溢出及其他针对应用层攻击。

　　四是漏洞评估。自动扫描和分析被保护的应用，检测安全弱点及已知和未知的应用漏洞，实现PCI DSS合规的全面解决方案。

　　五是应用层漏洞保护。对大多数复杂的攻击提供安全保护，如SQL注入、跨站脚本、CSRF及其他攻击。结合自学习功能，CTM星御可以对应用中单个的元素创建规则。

　　全程应用加速

　　一是可识别应用的负载均衡。智能的，可识别应用的七层负载均衡功能可以清楚性能瓶颈，降低部署的复杂性，与应用可以实现无缝的集成。

　　二是数据压缩。对用户从服务器获取的数据进行压缩，提高带宽的利用率，减少相应时间。

　　三是SSL卸载。通过集成ASIC的硬件加速SSL卸载技术，CTM星御可以处理数以万计的WEB失误处理。

　　合规帮助

　　一是PCI DSS合规。中兴网安CTM星御系列产品是目前唯一一款在WEB应用防火墙(WAF)中提供漏洞扫描模块的产品，可以提供实现PCI DSS 6.6合规的全面解决方案。

　　二是防御OWASP TOP 10攻击。基于双向流量分析和嵌入式异常行为检测引擎的主动及被动防御安全模块，CTM星御可以全面的防御OWASP TOP 10中描述的攻击类型。