WAF 是什么
WAF（Web 应用防火墙）解析 HTTP/HTTPS 语义，按请求行、请求头、Cookie、参数与响应内容做规则匹配，拦截注入、跨站脚本、路径穿越、恶意文件上传、自动化爬取与高频请求等应用层威胁。它与网络层设备形成互补：防火墙看五元组，IPS 看协议与会话特征，WAF 才看得到业务参数本身。WAF 不理解业务逻辑，越权、业务规则缺陷这类问题需要代码层修复与业务风控配合。
基本信息
| 解析对象 | HTTP 请求行、头部、Cookie、参数、上传内容与响应内容 |
|---|---|
| 常见形态 | 硬件串联、软件（如 ModSecurity）反代部署、云 WAF 或云清洗 |
| 防护范围 | OWASP 常见风险、爬虫与自动化、敏感信息、API 异常调用 |
| HTTPS 前提 | 需证书解密才能做内容检测，或用 SNI 做有限度的域名判断 |
| 上线方式 | 先观察模式记录，评估误报后再切阻断模式 |
典型使用场景
- 对外网站与门户发布，重点防注入与跨站脚本
- 电商与会员类站点，重点防撞库、薅羊毛与自动化批量请求
- API 接口防护，按接口粒度做参数校验与频率限制
- 配合合规要求留存 Web 访问日志与攻击日志
- 新旧系统过渡期：老系统无法改代码，先用 WAF 降低暴露风险
能力对照
能力对照
能拦：注入、跨站、路径穿越、恶意上传、异常频率
需配合：业务逻辑缺陷、越权、账号体系问题
不擅长：网络层扫描、DDoS 流量洪峰（需上游清洗）
前提：HTTPS 站点要能解密，否则规则只看得到 SNI 与握手信息与其他设备的分工
| 设备 | 看什么 | 典型拦截对象 |
|---|---|---|
| 防火墙 | 源目的地址端口、区域 | 未授权访问、违规跨区流量 |
| IPS | 协议与会话特征、恶意载荷 | 漏洞利用、恶意软件通信 |
| WAF | HTTP 语义与业务参数 | 注入、跨站、爬虫与高频请求 |
| 抗 DDoS | 流量特征与速率 | 流量型攻击、连接耗尽 |
| 负载均衡 | 四/七层分发与健康检查 | 不负责防护，但决定回源路径 |
上线与运营要点
- 先观察模式跑够一个业务周期，统计规则命中与误报分布再切阻断
- 按业务的重要性分级：核心站点用严格模板，次要站点先放宽
- 误报处置沉淀例外规则，避免每次告警都靠人工放行
- 规则库与引擎版本纳入例行巡检，新漏洞靠规则更新兜底
- 配合代码层修复：WAF 只降低利用成功率，不修根因
WAF 是应用层防线的一环，不能替代安全编码、基线加固与业务风控；把 WAF 当成唯一防线时，一次策略放行就可能等于全线敞开。
常见攻击与对应防护
- SQL 注入：拦截含注入特征的参数，对业务特殊参数加例外观察
- 跨站脚本：请求侧拦特征，同时靠输出编码与响应头收口
- 命令执行与文件包含：属高危利用行为，命中即阻断
- 恶意文件上传：按扩展名、内容与访问路径多层检测
- 自动化爬取与撞库：按频率、会话与行为特征限制
- 敏感信息泄漏：对响应内容做关键字与规则匹配
观察模式与阻断模式要按站点分别设置：核心站点先观察、次要站点可先阻断，切阻断前统计各条规则的命中量与误报来源，避免全站一次性切换造成业务中断。