第1个回答 2020-08-03
防火墙作为访问控制设备,主要工作在OSI模型的三四层。防火墙主要基于IP报文进行检测,对端口进行限制。产品设计无需理解HTTP等应用层协议,所以也就决定了防火墙无法对HTTP通讯进行输入验证或者规则分析。而绝大部分的网站恶意攻击都是伪装成HTTP请求,专门从80及443端口顺利渗透防火墙的防御。
当然除了传统的防火墙之外,还有一些定位比较综合,功能丰富的防火墙,这些防火墙具备一定的应用层防护能力,可以根据TCP会话异常性及攻击特征阻止攻击,通过IP拆分检测也能够判断隐藏在数据包中的攻击。但是从根本上讲防火墙仍无法理解HTTP会话,难以应对诸如SQL注入、cookie劫持、跨站脚本等应用层攻击。