WAF策略如何正确设置？

WAF（Web应用防火墙）是保护Web应用免受常见攻击（如SQL注入、XSS、CSRF等）的重要安全工具，正确设置WAF策略是确保安全性与可用性平衡的关键，以下从策略类型、配置步骤、最佳实践等方面进行详细说明。

WAF策略的核心类型

WAF策略主要分为三类,不同场景需灵活组合使用：

1. 预防性策略：主动拦截恶意请求，如基于规则的正则表达式匹配（如检测SQL注入关键字）、IP黑名单、地理访问限制等。
2. 检测性策略：记录可疑行为但不拦截，适用于低误报场景，如异常请求频率检测、畸形数据包分析。
3. 响应性策略：对已发生的攻击采取行动，如临时IP封禁、触发告警通知管理员。

策略配置步骤

资产梳理与风险识别

• 明确需要保护的Web应用（域名、路径、API接口等），梳理敏感操作（如登录、支付、数据上传）。
• 使用漏洞扫描工具（如OWASP ZAP）发现潜在风险点，作为策略制定依据。

策略优先级设置

按风险等级分配策略执行顺序，避免高优先级策略被覆盖。
| 优先级 | 策略类型 | 示例规则 |
|——–|—————-|———————————–|
| 1 | 严格拦截 | SQL注入关键字（如union select） |
| 2 | 宽松检测 | 非标准HTTP头 |
| 3 | 日志记录 | 大文件上传请求（>100MB） |

规则定制与测试

• 通用规则：启用OWASP Top 10防护规则（如XSS过滤、CSRF令牌验证）。
• 业务规则：针对特定业务定制，
  • 允许支付接口仅接受HTTPS POST请求；
  • 限制登录失败次数（如5次失败后锁定15分钟）。
• 测试验证：通过合法流量与模拟攻击（如使用Burp Suite）验证策略有效性，避免误拦截正常请求。

动态调整与优化

• 定期分析WAF日志，识别误报（如正常业务被拦截）和漏报（如新型攻击绕过规则）。
• 利用机器学习功能（如AWS WAF ML）自动优化异常检测模型。

最佳实践

1. 最小权限原则：仅开放必要的端口与协议（如禁用HTTP，强制使用HTTPS）。
2. 分层防御：结合CDN、VPC安全组等构建纵深防御体系，避免单点故障。
3. 定期更新规则库：关注厂商发布的最新威胁情报，及时更新规则版本。
4. 应急响应预案：制定策略失效时的处理流程（如切换至“观察模式”并触发告警）。

---

FAQs

Q1: 如何平衡WAF的安全性与业务可用性？
A1: 通过分阶段部署策略：初期启用严格拦截规则并监控日志，逐步调整误报规则；同时设置“观察模式”（仅记录不拦截），对可疑请求进行人工复核，确保业务正常流程不受影响，定期召开安全会议，联合开发团队分析业务逻辑，优化规则颗粒度。

Q2: WAF策略如何应对0day漏洞？
A2: 可采取以下措施：

1. 启用WAF的虚拟补丁功能，临时拦截针对漏洞特征（如异常参数构造）的请求；
2. 结合RASP（运行时应用自我保护）工具，从应用层实时检测攻击行为；
3. 关注威胁情报平台（如AlienVault OTX）,及时获取0day漏洞的检测规则并更新到WAF。