WAF 侧 IP 封禁是什么
IP 封禁是在 WAF 层面把确认恶意的来源地址或地址段直接拒绝，属于最直接的止损手段。封禁来源有三类：人工确证的攻击源、频率超限触发的自动封禁、威胁情报或上级平台下发的联动封禁。可用的封禁必须具备两个属性：有效期（到期自动解封）和集中管理（有统一的封禁入口与记录），否则列表会越滚越大，最终连正常用户都被关在门外。
基本信息
| 封禁来源 | 人工确证地址、频率超限自动封禁、情报联动下发 |
|---|---|
| 封禁粒度 | 单个 IP 或地址段，段封禁需先确认无正常业务来源 |
| 有效期 | 建议自动解封，时长按攻击持续性与业务属性设定 |
| 记录要求 | 封禁原因、时间、操作人、解封时间全部留痕 |
| 与边界配合 | 避免与应用层封禁重复，形成多层不一致的黑名单 |
典型使用场景
- 暴力登录尝试：同一来源持续尝试账号口令，先临时封禁再做账号侧处理
- 自动化爬取：某来源高频抓取，按频率规则自动封禁并观察是否误伤
- 漏洞扫描：确认来源为扫描器且无业务关系时进行封禁
- 攻击期间的应急止损：配合限速先把主要攻击源挡掉
- 情报联动：上游平台下发恶意地址，按流程评估后批量导入
- 误封处理：用户申诉访问异常，需要快速查证并解封
封禁管理要点
封禁管理要点
# 1. 网段封禁前确认该段内无非业务来源（尤其云服务与运营商段）
# 2. 默认设置自动解封时间，避免长期误封
# 3. 封禁动作与原因写入日志，供后续复核与申诉处理
# 4. 与边界防火墙的封禁统一管理，避免两处规则互相矛盾
# 5. 定期复核封禁列表：仍在攻击的保留，已过期的清理
# 6. 高频自动封禁启用前先用观察模式评估命中量封禁方式对照
| 方式 | 触发 | 注意事项 |
|---|---|---|
| 人工封禁 | 分析确证后手动添加 | 必须写原因与解封时间 |
| 自动封禁 | 频率或规则阈值超限 | 阈值过严会误伤正常用户与内网出口 |
| 情报联动 | 上游平台下发 | 导入前评估段内是否有业务来源 |
| 网段封禁 | 攻击集中在某段 | 风险最高，优先用单 IP |
内网用户常经统一出口或代理访问，源地址与真实用户不是一一对应，按 IP 封禁可能影响整栋楼或整个分支，需先确认出口结构。
只封 IP 不处理账号与会话，攻击者换一个地址就能继续，对账号类攻击必须同时做账号侧限制与二次验证。