| 解析对象 | HTTP 请求行、头、Cookie、参数、响应内容 |
|---|---|
| 防护范围 | OWASP 常见风险、爬虫与自动化、敏感信息、API 异常 |
| 边界 | 不理解业务逻辑，需按业务补充规则 |
能力对照
能力对照
能拦：注入、跨站、路径穿越、恶意上传、异常频率
需配合：业务逻辑缺陷、越权、账号体系问题
不擅长：网络层扫描、DDoS 流量洪峰（需上游清洗）WAF 是应用层的一层防线，不能替代安全的代码与基线与业务风控。
本包目录（400 条）
防火墙策略52 条NAT 与发布75 条IPS 与 IDS66 条
WAF 防护73 条
- WAF 能力与定位
- WAF 串联部署
- SQL 注入防护配置
- CC 攻击防护
- XSS 防护配置
- OWASP CRS 规则集
- 文件上传防护
- WAF 误拦截排查
- WAF 观察模式
- 命令注入与文件包含防护
- API 安全防护
- 云 WAF 接入方式
- 爬虫与机器人管理
- 真实客户端 IP 获取
- WAF 拦截模式与回退
- WAF 侧 IP 封禁
- WebShell 通信拦截
- WAF 白名单与例外设计
- WAF 日志字段解读
- ModSecurity SecRule 语法
- WAF 规则库更新
- 请求限速与并发控制
- 规则命中查看与 ID 定位
- WAF 证书与 HTTPS 配置
- ModSecurity 引擎模式
- nginx 集成 ModSecurity
- WAF 旁路部署
- 敏感信息防泄漏
- WAF 源站与回源配置
- HTTP 方法限制
- CRS 防护等级（Paranoia Level）
- CRS 误报调优方法
- 验证码与挑战机制
- WAF 自定义规则
- WAF 与负载均衡协作
- HSTS 与强制跳转
- 安全响应头配置
- WAF 性能与容量评估
- WAF 双机与旁路保障
- CRS 异常评分机制
- 云 WAF 规则配置要点
- 新漏洞的应急防护
- WAF 地域访问控制
- WAF 健康检查与后端探测
- 防护有效性自检
- 深信服 WAF 配置要点
- WAF 与 DDoS 清洗配合
- API 鉴权与令牌防护
- WAF 日志分析
- WAF 规则变更管理
- TLS 版本与加密套件加固
- 扫描器识别与处置
- WAF 防护规则定期评审
- Cookie 安全属性
- WAF 版本升级
- WAF 配置备份
- 上传大小与请求限制
- 超时与长连接设置
- 业务接入 WAF 流程
- 慢速攻击防护
- 白名单与例外定期复核
- WAF 故障恢复流程
- 防护模式复核
- 拦截页面与用户提示
- WAF 上线检查清单
- WAF 变更记录
- WAF 性能基线
- 规则优先级与冲突处理
- WAF 测试环境与演练
- WAF 安全报表
- WAF 运营指标
- WAF 日志导出与取证
- SNI 与多域名证书配置
WAF 能力与定位
WAF 解析 HTTP/HTTPS 语义，按规则拦截注入、跨站、爬虫、CC 等应用层威胁，与网络层设备形成互补。
易错点
- 把 WAF 当唯一防线，忽略代码层修复与安全评审
- 业务逻辑漏洞 WAF 基本无能为力，不能依赖规则兜底
数据来源与参考
- OWASP Top 10（应用风险清单）
- OWASP WAF 部署最佳实践