APIGit, the Git platform for API management | RESTful Api 规范在 WAF 中很重要

APIGit

Blog

Native Git

API Design & Document

Mock Server

API Testing

Collaboration

RESTful Api 规范在 WAF 中很重要

APIGit

2023-08-04

api-waf

什么是WAF？

WAF 代表Web Application Firewall。它是一种安全解决方案，旨在保护 Web 应用程序免受各种在线威胁、漏洞和攻击。 WAF 充当 Web 应用程序与外部世界之间的屏障，过滤和监控传入和传出流量以检测和防止恶意活动。

WAF 的主要目的是保护 Web 应用程序免受常见攻击，例如：

SQL注入： 攻击者试图将恶意 SQL 查询插入输入字段以操纵或获得对数据库的未经授权的访问。
跨站脚本（XSS）： 恶意脚本被注入网页，这可能导致用户数据被盗或会话劫持。
跨站请求伪造 (CSRF)： 攻击者诱骗用户执行他们不希望的操作，通常会导致在 Web 应用程序上执行未经授权的操作。
应用层DDoS攻击： 攻击者向 Web 应用程序发送大量请求，导致其资源不堪重负并导致其不可用。
暴力攻击： 反复尝试猜测密码或凭据以获得对应用程序的未经授权的访问。
文件包含攻击： 未经授权包含文件，通常用于获取敏感文件的访问权限或执行恶意代码。

WAF 的运行方式是分析传入的 HTTP 和 HTTPS 请求、检查其内容是否存在可疑模式，并根据一组预定义的安全规则阻止或允许它们。一些 WAF 使用基于签名的检测，而另一些则采用行为分析和机器学习来识别和减轻威胁。

WAF 可以作为硬件设备、软件解决方案或基于云的服务来实施，它们在维护 Web 应用程序的安全性和完整性方面发挥着至关重要的作用，特别是在当今在线威胁不断演变的数字环境中。

WAF 如何工作？

Web 应用程序防火墙 (WAF) 的工作原理是监视、过滤和控制 Web 应用程序与其用户之间的流量。它旨在识别和防止针对 Web 应用程序的各种类型的网络攻击和漏洞。 WAF 通常的工作原理如下：

交通检查： 当用户通过发送 HTTP 请求与 Web 应用程序交互（例如，访问网页、提交表单）时，WAF 会在传入流量到达 Web 服务器之前拦截并检查传入流量。
HTTP解析： WAF 解析 HTTP 请求以了解其组成部分，例如请求方法、标头、URL、查询参数和请求正文。
基于规则的过滤： WAF 将一组预定义的安全规则应用于解析的请求。这些规则定义了已知攻击或漏洞的模式，例如 SQL 注入、跨站点脚本 (XSS) 等。如果 WAF 检测到请求内容与这些规则之间存在任何匹配，它将采取措施减轻威胁。
阻止或允许流量： 根据规则评估，WAF 决定是允许请求继续发送到 Web 应用程序还是阻止它。如果请求被视为恶意或可疑，WAF 可以阻止它并阻止其到达 Web 服务器。
响应分析： WAF 还检查 Web 应用程序对传出请求的响应。它可以检测并防止应用程序响应中的敏感信息泄漏或数据泄露。
学习与适应： 一些现代 WAF 采用机器学习和行为分析技术来识别新的和不断变化的威胁。这些系统可以随着时间的推移了解应用程序的正常行为，并检测可能表明攻击的异常情况。
自定义规则： 管理员通常可以配置自定义规则来满足其 Web 应用程序的特定安全需求。这使他们能够解决特定于应用程序的漏洞和潜在威胁。
记录和报告： WAF 生成有关检测到的威胁、可疑活动和阻止的请求的日志和报告。此信息可帮助管理员分析其 Web 应用程序的安全状况，并在必要时微调 WAF 的规则。
持续监控： WAF 通过持续监控和过滤流量、适应新出现的威胁以及维护 Web 应用程序的安全来提供持续的保护。

值得注意的是，虽然 WAF 是一个有价值的安全层，但它本身并不是一个全面的解决方案。安全措施的组合（包括安全编码实践、定期安全评估和补丁管理）对于确保 Web 应用程序的整体安全至关重要。

RESTful Api 规范对于 WAF 自定义规则非常重要。

如何在WAF中配置自定义规则？主要有两种方式：

#1 RESTful API 规范 Web 服务可能具有 OpenAPI 规范，该规范描述了所有端点、参数、响应、身份验证方案等。此类规范通常由开发人员提供。
#2 手动输入 您可以通过添加 url、参数名称、最大长度和值的结构来手动输入规则。

#1 看起来比 #2 好得多。在完美的世界中，每个 Web 服务都有一个始终可用且最新的 OpenAPI 规范。但在现实世界中，这种情况似乎并不经常发生。开发人员可能会更改 API，但忘记更新规范，或者由于某种原因他们没有公开提供规范。在大多数情况下，公开可用的 REST API 具有人类可读的文档，这很好，但通常很难以自动化方式使用。

但是，APIGIT 可以让这一切变得更容易。

APIGIT 是一个协作平台，以其原生 Git 支持而脱颖而出，它简化了 API 开发流程和版本控制，使用户能够轻松设计、记录、模拟、测试和共享 API。该平台的可视化 OpenAPI 编辑器与其原生 Git 支持相结合，使团队可以轻松、无缝、高效地协作和共享工作。

RESTful Api 规范是什么样的？

这是 RESTful Api 规范的一部分。

"components": {
    "schemas": {
      "OpenAI-Request": {
        "type": "object",
        "properties": {
          "prompt": {
            "type": "string",
            "description": "Your question"
          },
          "model": {
            "type": "string",
            "description": "OpenAI model",
            "default": "1",
            "minLength": 1,
            "maxLength": 20,
            "pattern": "\\w+"
          },