OWASP 中国发布《Web 应用防火墙测评基准 V2.0》——附公示名录

OWASP 中国 WAF 项目组正式发布《Web 应用防火墙测评基准 V2.0》（2019 年）。新版基准在 V1.0（2012 年）的基础上对整体测试框架重新定义，以 OWASP Top 10（2017）为主，延伸至业务逻辑层防护与绕过防御多维度评级，建立了四大维度共 82 分的标准化评估体系，并同步公布了首批通过测评认证的产品名录。

从 2012 到 V2.0：全面的框架重构

WAF 测评基准项目起源于 OWASP 2010 WAF 测评项目，OWASP 中国于 2012 年正式推出 V1.0 版本。

V1.0 主要以传统漏洞及基础网络防火墙功能为核心，随着云原生部署、业务逻辑层攻击及新型绕过技术的快速演进，原有框架已难以满足行业需求。

V2.0 在 V1.0 基础上进行了系统性删减和优化，新增了业务逻辑层防护和绕过防御多维度评级，全面升级测试方法论，旨在为厂商产品迭代指明方向，同时为甲方采购选型提供客观参考。

四大评估维度与评分体系

V2.0 将测试框架重构为四大维度，评分采用基础测试与绕过测试相结合的方式：

安全有效性评估（SE），满分 42 分

以 OWASP Top 10 为基线，延伸至 36 项安全漏洞防护测试（基础得分 36 分），涵盖逻辑越权、明文口令传输、文件包含、缓冲区溢出、跨站脚本攻击、SQL 注入、HTTP 请求/响应分片与走私、命令执行、XXE、CSRF、WebShell 检测、恶意爬虫、服务端请求伪造等传统及新型威胁。其中跨站脚本、SQL 注入、WebShell 检测、恶意爬虫和代码执行五项增加了绕过测试（额外 6 分），用于评价被测系统在绕过防御场景下的真实防护能力。同时评估伪装响应、动态可疑客户端评级、地理信息限制、蜜罐导向、强制注销与人机验证等高级防护手段。

安全性能评估（PE），满分 20 分

包含误报率控制、多维度频次限制、包重组性能、流重组性能和 URL 混淆/正常化处理共 5 项指标，每项满分 4 分。其中包/流重组测试涵盖顺序/乱序/倒序/重叠等多种数据形态，URL 混淆测试覆盖十六进制编码、BASE64、HTML 实体、UTF-7、XML 混淆、JSON 等多种编码方式及多层嵌套解码能力。

可靠性评估（SR），满分 20 分

验证被测系统在超大流量部署（百万级 QPS）、云主机/虚拟环境集群化部署、冗余组件切换、电源事故自动恢复、变异协议处理（350Mbps/6 万包每秒）、长期攻击流量冲击（100Mbps 持续 8 小时以上）等极端条件下的稳定性与数据持久化能力。

可管理性评估（M），权重 15%

评估 API 接口完整性、日志导出定制化、安全配置管理、报警实时性与准确性、报告可定制性、第三方集成（SoC/SIEM）、业务风控二次开发支持和联动防护能力共 9 项指标。

附录一：产品性能评估

除四大维度外，V2.0 增设产品性能评估附录，基于真实网站流量（百度、Google 等）进行测试，涵盖最大并发 TCP 连接数、最大每秒 HTTP 连接数/会话数、最大 HTTP 吞吐率、有/无会话延迟下最大 HTTP 处理能力等 8 项指标，综合验证被测系统实际性能与标称性能的差距。

感谢以下参编单位

本次测评基准升级由以下安全企业共同参与编写（排名不分先后，按拼音排序）：北京长亭科技有限公司、北京启明星辰信息安全技术有限公司、北京神州绿盟科技有限公司、深圳开源互联网安全技术有限公司、四川虹微技术有限公司、厦门服云信息科技有限公司。

后续工作

OWASP 中国将持续基于 V2.0 测评基准开展厂商 WAF 产品测评认证工作，采用标准化测试流程和统一的 82 分评估体系，为行业用户提供公开、透明、可比的选型参考。相关厂商如需了解测评详情或申请参与，请联系 OWASP 中国。

测评公示：