waf安全策略配置

WAF安全策略是否合格，判断标准不是规则数量，而是三条：业务关键路径无持续误拦截；已知攻击可被识别并处置；每次变更可观测、可回滚。配置时优先从观察模式开始，收集真实流量，再按业务路径逐步切拦截。

一、先确定部署模式与流量范围

适用场景：新接入、业务大促前、规则大版本升级。判断标准：观察期至少覆盖一个完整业务周期，日志中能区分攻击特征和正常业务特征。步骤：1. 接入WAF后先开启日志和告警，动作设为观察或仅记录；2. 标记核心接口，如登录、支付、下单、API；3. 对比直连与经过WAF的响应时延、状态码；4. 选择拦截范围：全站、特定域名、路径或API。注意：CDN、负载均衡、WAF串联时不要重复开启同类频率限制，避免叠加误杀。灰度可按域名、路径或用户比例放量。

二、规则集与基线策略

适用场景：通用Web防护。判断标准：托管规则覆盖常见注入、跨站脚本、命令执行、路径穿越、WebShell上传等风险，且规则更新可控。步骤：启用基础防护规则；将高危规则设为拦截，低置信规则先观察；对API启用JSON、XML解析和参数校验。选择建议：业务简单时优先托管规则加少量自定义；业务复杂或API较多时，以自定义规则为主，托管规则做兜底。注意：不要一次性全开严格规则，尤其上传、富文本、搜索接口。

三、访问控制与频率控制

适用场景：后台、登录、短信、支付、查询接口。判断标准：正常用户不被频繁挑战，异常来源可被限制。步骤：1. 管理后台限制来源IP或接入零信任；2. 登录接口按IP加账号维度限制失败次数；3. 高频接口按会话、设备或IP做速率限制；4. 对已知恶意IP、代理、扫描器做封禁；5. 地域限制仅用于确有业务边界的场景。注意：NAT出口、移动网络、爬虫白名单要单独评估。频率阈值用P95、P99流量和压测数据推导，不要凭感觉。

四、白名单与例外管理

适用场景：误拦截或特殊业务。判断标准：例外必须最小化、可追溯、有到期时间。步骤：1. 只放行具体路径、方法或参数，不做全站跳过；2. 记录申请人、原因、规则ID、生效时间；3. 每月复核，过期自动移除；4. 对内部调用、健康检查、回调地址使用独立策略。注意：不要用“忽略所有参数”解决误报；优先修正规则条件或做参数级例外。白名单是风险入口，越少越好。

五、误拦截处置与调优

适用场景：用户反馈拦截、告警突增。判断标准：能定位到具体规则、请求特征和业务影响。步骤：1. 获取请求ID、时间、源IP、URL、参数；2. 在WAF日志中查命中规则；3. 判断是攻击还是误报；4. 误报则调整规则阈值、参数白名单或动作；5. 攻击则保留拦截并封禁来源。注意：先恢复业务再优化，保留原始日志；不要直接关闭整组规则。对高频误报建立工单闭环，统计规则命中率和误报率。

六、上线检查与持续运营

上线前检查：观察期日志无重大误报；核心接口回归通过；回滚开关可用；告警通知到人。运营指标：拦截量、误报量、规则命中TOP、平均处置时间、WAF自身可用性。频率：每日看告警，每周看规则命中，每月做策略复核，每季度演练回滚。注意：大促、发版、爬虫活动期提前评估阈值；WAF规则更新后先观察再拦截。 WAF策略是持续校准过程。以业务可用为先，逐步收紧，保留证据和回滚能力，比一次性堆规则更有效。