来源：央广网

数智化时代，面对复杂多变的网络安全威胁，传统Web应用防护系统（WAF）技术已日渐式微，WAAP理念应运而生，成为Web安全防护的重要趋势。

当前，国内外安全厂商正加速布局WAAP，而部分厂商凭借深厚的技术积累，已经领先一步，实现了WAAP理念的产品化落地。

以网宿安全为例，其打造的WAAP全站防护体系采用云化服务的方式，深度融合DDoS云清洗、云WAF、Bot管理、API安全防护四大能力，替代传统各Web安全能力的简单叠加，通过“一个防护引擎、一个大数据平台、一个SoC和一套API”，打通了3到7层网络，实现一次解包4组分析和4维防护，并通过API与客户SOC、多方威胁情报联动，原生集成到DevOps，可为企业提供覆盖Web基础设施、应用和业务的一体化防护方案。

据网宿安全技术总监翁志真介绍，网宿WAAP在业内首家通过了中国信通院“Web应用程序和API保护（WAAP）安全能力评估”，在实践效果上，较传统叠加的安全方案，网宿WAAP可减少处理延时30%、提高响应速度5倍、提高防护效率30%以上。

Web安全亟需向WAAP理念演进

近年来，伴随各行各业数字化、智能化的深入，企业面临的安全挑战持续升级。

一方面，互联网应用形态日益丰富，包括Web、H5、APP、小程序等多样渠道引入了更多的安全暴露面。同时，企业IT架构向混合多云转变，运营复杂性和安全性不断增加。并且，企业业务架构逐步实现全面微服务化，API的广泛应用，使得Web业务攻击面不断增大，传统边界防护模型以域名为防护对象，无法有效解决针对API的安全威胁。此外，外部攻击愈发产业化、多样化，攻击手段也日益成熟。

“对此，企业不得不部署更多安全产品或组件，然而多套安全产品叠加，会增加访问时延和故障风险点，并且产品之间缺乏统一的视角和统一的运营，更难以应对复杂多重的攻击威胁。行业亟需革新防护思路，Gartner提出的WAAP理念成为必然。”在近日举行的网宿安全新品技术交流会上，翁志真指出。

WAAP即Web Application and API Protection，指Web应用程序与API保护，核心功能包括Web应用防火墙、API保护、Bot防护和DDoS攻击防护，进一步扩展云上应用安全防护范围和安全深度。Gartner预测，到2024年70%实施多云战略的企业将青睐云WAAP服务。

作为深耕Web应用安全十余年的老兵，网宿安全依托全球2800+节点资源、先进性的架构、威胁情报、前瞻技术及多年攻防经验沉淀，基于WAAP一体化管理理念，进行产品引擎、控制台、API的融合升级，在业内率先推出了WAAP全站防护体系。

网宿安全WAAP全站防护体系，以网宿资源、数据、实战经验 和AI驱动的智能防护技术为能力底座，通过“四个一”，即“一个防护引擎、一个大数据平台、一个SoC和一套API”，可针对企业Web应用场景，实现全业务渠道覆盖、全方位防护和全生命周期管理管控。

具体来看，基于网宿安全WAAP全站防护体系，用户请求可以在同一防护引擎内，经过一次解包，同时完成DDoS攻击、Web应用攻击、Bot攻击、API攻击、业务风控全方位检测，检测效率提升100%；同时，不同应用、模块之间共享同一套策略，通过通用模块和场景化防护模块联动防护，提高防护效率30%以上；此外，通过一个大数据平台的数据融合，结合AI检测引擎，有效识别复杂、多重的高级攻击行为，实现主动防御，提高响应速度5倍以上。

“网宿WAAP能适配所有面向互联网的web应用程序，并且针对API、小程序、APP等特殊业务场景进行安全策略的充分适配。并且，区别于云原生的防护方案，网宿WAAP可以纳管所有的源站和数据中心，适用于多云/混合云等多种网络环境，大幅提升安全运营效率。此外，网宿WAAP提供基于业务全生命周期的闭环防护，通过事前资产发现、事中策略布防、事后实战化运营，实现统一管理管控和安全闭环。”翁志真介绍道。

据悉，目前网宿安全WAAP全站防护体系已经服务于政府、银行、媒体、互联网等多个行业客户，不仅帮助客户提升整体安全水平，并且助力客户圆满应对两会、攻防演练等国家级“安全大考”。

首家通过中国信通院“WAAP安全能力评估”

值得一提的是，随着WAAP理念的提出，国内外安全厂商迅速跟进，探索落地WAAP安全防护体系。但如何具备完善的WAAP防护能力，考验着各大厂商的技术和产品能力。

根据中国信通院《云上WAAP发展洞察报告(2023)》， WAAP不是简单的将各项能力并行考虑，应考虑如何将功能进行协作、如何对底层的系统资源和流量进行合理调度分配。因此，WAAP核心能力要求主要集中在Web应用程序防护、DDoS防御、Bot管理和API安全防护四部分，同时对平台的底层联动性提出要求。

据了解，网宿安全于2012起陆续推出了DDoS云清洗、云WAF、Bot防护产品，在市场淬炼中早已锻造了深厚内功，近年来网宿安全进一步推出API安全与管理产品，补齐WAAP能力的最后一块“拼图”，率先构建了全栈WAAP能力。

不仅如此，凭借在服务接入、通用安全能力、平台管理能力、Web应用程序防护、API安全防护、DDoS防御、Bot防护等七方面的优秀表现，网宿安全WAAP全站防护体系在行业首家通过了中国信通院“Web应用程序和API保护（WAAP）安全能力评估”。

“网宿安全在WAAP领域的领先绝非偶然，网宿自身的资源、数据、技术、经验的积淀，为我们构建WAAP核心能力提供了强大基石。”翁志真进一步谈到了网宿WAAP的优势所在。

首先，网宿安全WAAP全站防护能力部署在网宿遍布全球的海量边缘节点之上，安全防护性能可以无限扩展，弹性应对客户业务突增和突发攻击。目前平台可防护的DDoS攻击规模高达15Tbps。

其次，网宿平台覆盖全球超过30亿的互联网用户、日均捕获超过30亿的攻击攻击样本，海量攻击样本为网宿威胁情报提供了丰富的数据基础。同时，庞大的威胁情报与AI融合，进一步提升对抗效率和防护精准度。

此外，网宿安全历经了十余年的深耕与创新，服务超过1000+客户，覆盖各行各业，拥有丰富的实战经验，并对客户的业务以及安全需求有着深刻理解。

“在强大的能力基石之上，网宿安全WAAP全站防护体系能够持续迭代，深入企业业务场景，真正赋能企业业务更加稳定、安全和高效。”翁志真表示。

以某智能营销SaaS服务商为例，翁志真进一步谈到了网宿安全WAAP全站防护体系的实战效果。在服务期间，网宿WAAP帮助该客户成功防护了1.23T的网络层DDoS攻击，清洗率达到100%，成功防护了800w+QPS的CC攻击，保障客户业务服务0中断，并通过一体化的管控平台，帮助提升客户安全团队整体的运营响应效率。