项目发布 | Web应用防火墙测评基准V2.0

2019-12-06 16:17 应用安全联盟

项目发布

2019.12

Web应用防火墙是通过一系列针对HTTP/https的安全策略来专门为web应用提供保护的产品，本文档描述了WEB应用防火墙产品（以下简称WAF）的测试参考标准。

WAF测评基准项目起源于OWASP2010测评项目，结合国内外安全测评的基准、Web安全测试方法、渗透测试的一系列资料，于2012年正式推出WAF测评基准。2019年发布第二版WAF测评基准。

介绍

2.0在V1.0的基础上对整体测试框架重新定义，在新型攻击、产品性能（增值服务）、产品安全性能做了全面的拓展。V1.0版本主要以传统漏洞及类基础网络防火墙等功能为主，V2.0版本在此基础上进行删减和优化，增加了以OWASP TOP 2017 为主延伸出业务逻辑层防护、绕过防御多维度评级等。除本文件的特别要求外，除非另有说明，在安装和配置的过程中，所测试的Web应用防火墙产品必须符合本文档的要求，同时产品在安装前后及整个过程中都必须符合要求。

评估内容

安全有效性评估（SE）40%

主要基于OWASP TOP 10风险延伸出全面的安全漏洞防护测试，被测系统需要对从传统漏洞到业务逻辑层多维度的各类安全漏洞给予有效防护。

安全性能评估（PE）25%

在识别安全漏洞保护Web应用时，被测系统应能够全面保障自身安全性，并需同时满足准确率和误报率。

可靠性评估（SR）20%

通过特定环境、在特定时间内，检测被测系统执行指定功能的稳定性。

可管理性评估（M）15%

对被测设备进行架构设计、联动性、容错性、拓展性等测试。

项目组

（排名不分先后，按拼音顺序排序）

北京长亭科技有限公司