防火牆非萬能：深入剖析應用層攻擊與防禦策略

傳統防火牆的盲區

單靠傳統防火牆已無法有效守護網路資產。駭客手法日益狡猾，當前最大威脅來自應用層攻擊——這類攻擊能偽裝成正常流量，繞過防火牆直搗 Web 應用程式，目標往往是珍貴的客戶資料。

為何普通防火牆失效？

應用層攻擊的封包大小正常、位址與內容無明顯異常，不會觸發傳統防火牆的警報機制。最典型的例子是 SQL 指令植入，駭客利用網站自身的 HTML 表單，未經授權即可查詢資料庫；另一大威脅是 命令執行，只要 Web 應用將命令傳送給外殼程式，駭客便能在伺服器上任意執行指令。

多樣化的攻擊手法

部分攻擊極為簡單：HTML 註解中常遺留敏感資訊（如程式設計師疏失留下的登入憑證）；從竄改 Cookies、修改表單隱藏欄位，到利用各種應用層漏洞，手法僅受限於駭客想像力。好消息是，絕大多數此類攻擊完全可以阻擋。

雙重防線：掃描器 + Web 應用防火牆

結合使用兩種互補方案可構建穩固防線：

1. 應用掃描器：對 Web 應用發動模擬攻擊並匯報缺陷。KaVaDo ScanDo、Sanctum AppScan Audit、SPI Dynamics 功能全面，AppScan Audit 更具事後檢查功能，協助開發人員在撰寫代碼階段即發現漏洞。但工具無法取代安全專家的全面人工審核。
2. Web 應用防火牆 (WAF)：學習進出應用的正常流量基線，隨後識別異常流量。它需比傳統防火牆更深層檢查封包。Check Point 較知名，KaVaDo、NetContinuum、Sanctum、Teros 等廠商亦有產品。WAF 非即插即用，需像 IDS 一樣精細調校以平衡誤報與漏報。

警惕誤區

若以為裝上防火牆就能高枕無憂，請重新審視上述應對之道。面對垃圾郵件與日益狡猾的攻擊，纏繞防禦才是正解。