WAF安全防护流程图

一张可用的WAF防护流程图，核心不是节点多，而是每个请求都能回答三个问题：依据什么判断、由谁执行动作、事后如何追溯。若图中缺少默认动作、例外处理和日志闭环，上线后往往表现为误拦业务或漏过攻击。建议按“入口识别—预处理—检测—决策—处置—复盘”六段绘制，并为每段标注输入、判断条件、输出和责任人。

一、入口识别：先分清流量来源

适用场景：网站、API、管理后台、移动端接口接入WAF时。步骤：在DNS、负载均衡或反向代理层确认流量路径；记录协议、端口、Host、路径、客户端IP、User-Agent、会话标识。判断标准：能区分正常用户、搜索引擎、内部调用、扫描器和代理流量。注意事项：若WAF前有CDN或代理，需配置可信IP段与代理头解析链，避免直接信任客户端提交的头部；管理接口建议独立入口并默认限制访问。

二、预处理与规范化：降低绕过概率

WAF收到请求后，先做协议合规检查和内容规范化，包括URL解码、HTML实体解码、Base64解码、压缩包解包、字符集统一、参数合并、大小与超时限制。判断标准：同一恶意载荷经不同编码后应得到一致检测结果。注意事项：解码深度和次数要设上限，否则可能被构造的超长嵌套拖慢性能；对上传、大JSON、GraphQL等特殊请求，设置独立体量阈值和旁路策略。

三、检测与匹配：规则、信誉与频率并用

检测层通常组合规则引擎、语义分析、IP/UA信誉、速率限制和自定义业务规则。步骤：先做协议与通用攻击匹配，再做业务逻辑校验，最后做频率与行为分析。判断标准：高危特征可直接拦截；中风险可人机挑战、限速或观察；低风险仅记录。注意事项：明确规则优先级，白名单只放行必要路径和参数；对登录、支付、短信接口设置更严格的频率阈值，并避免把正常批量操作误判为攻击。

四、处置决策：默认动作必须明确

决策节点要写清“放行、记录、挑战、限速、拦截、重定向”等动作及触发条件。判断标准：默认放行还是默认拒绝需与业务风险匹配，互联网业务通常默认放行并对高危拦截，管理后台可默认拒绝。注意事项：拦截页面应返回合适状态码和请求ID；对可能误拦的规则先灰度或观察模式运行；保留应急放行通道，但需审批和审计。每个动作都应有超时、失败回退和兜底策略。

五、日志告警与闭环：让每次拦截可追溯

日志至少记录时间、请求ID、客户端IP、Host、路径、匹配规则、动作、响应码、耗时和后端节点。告警按严重级别分流：高危攻击实时告警，中低危汇总日报。判断标准：任意一次拦截都能还原请求上下文，并能关联到规则版本。注意事项：对误报生成调优工单，对漏报补充规则或调整阈值；定期评审白名单、规则集和阈值，重大变更前先备份配置并保留回滚点。

六、流程图落地：用泳道和判断节点表达

建议用泳道图区分客户端、WAF、后端应用、运营人员。每个判断节点写清条件，每个动作节点写清执行者。适用场景：新系统上线、攻防演练、大促或重大活动前。步骤：先画现状流量，再标检测与决策，补兜底和回滚，最后用压测和灰度验证。判断标准：图中无孤立节点，异常路径可走通。注意事项：流程图应随规则、架构和业务变化更新，避免成为只供展示的文档。

小结

WAF防护流程图的价值在于把检测、决策、处置和复盘连成闭环。优先确认流量入口可信、默认动作明确、日志可追溯、调优有责任人。做到这四点，流程图才能指导日常运营，而不是停留在纸面。