WAF防护

如果业务对公网开放 Web 或 API，并接收用户输入、处理登录、支付或敏感数据，就应把 WAF 纳入防护体系；若只是内网静态页面，优先级可降低。WAF 负责拦截常见 Web 攻击、降低扫描和 CC 影响，但不能替代代码安全、补丁与访问控制。

什么场景需要 WAF

• 必须考虑：公网 Web/API、登录注册、支付订单、文件上传、数据库查询、第三方回调。
• 风险信号：日志出现大量 SQL 注入/XSS 探测、异常爬虫、短时高频请求、404/403 激增。
• 合规要求：等保、PCI DSS 或客户审计明确要求。
• 可暂缓：纯内网、静态展示、无敏感数据，但仍需网关限流和鉴权。

判断标准：公网暴露面、数据敏感度、漏洞修复窗口，满足两项以上建议纳入。

部署方式与接入位置

• 云 WAF：DNS/CNAME 接入，上线快，常带 CDN、DDoS 缓解；需隐藏源站 IP、配置回源鉴权。
• 自建/硬件 WAF：部署在负载均衡与 Web 服务器之间，数据不出机房，适合强合规，但需维护高可用和规则。
• 主机/容器 WAF：贴近应用，适合微服务，注意资源占用和版本一致。

接入位置建议在负载均衡后、应用前。关键动作：仅允许 WAF 回源、设置源站白名单、开启真实 IP 获取、HTTPS 证书可解密检查。若源站可被直连，防护会被绕过。

核心防护能力怎么配

至少覆盖 SQL 注入、XSS、命令注入、文件包含、路径穿越、SSRF、反序列化等。CC 防护按 IP、会话、URL、账户维度限流，设置突发阈值和封禁时长。Bot 管理区分搜索引擎、监控探针和恶意爬虫，重点保护登录、短信、下单接口。API 防护要校验方法、Content-Type、参数结构，限制批量查询和枚举。 先建资产清单：域名、路径、参数、上传点。高风险接口启用严格规则，普通页面先告警，避免全站最高等级导致误报激增。对暂不能升级的组件可用虚拟补丁临时缓解，但需尽快修复。

策略上线：观察、调优、拦截

1. 观察模式运行 3-7 天，记录命中、误报和正常业务特征。
2. 建白名单：可信 IP、内部回调、健康检查、API 签名流量；白名单保持最小化。
3. 分级拦截：高风险路径直接拦截，普通页面先告警；按误报调整阈值。
4. 灰度发布，先小流量和非核心业务，保留旧策略以便回滚。
5. 上传接口结合内容检测和存储隔离；登录接口组合限流、验证码和账户锁定。

注意：白名单不等于安全，加白后仍需监控。

日常运营与应急

每日查看拦截日志，区分扫描、误报和真实攻击。每周复盘命中率、误报率、封禁名单；每月更新规则库和证书。告警至少覆盖拦截量突增、源站异常、规则失效、证书到期。应急时先确认是否误杀，再临时加白或调规则；攻击持续时结合 CDN/DDoS 清洗、限流和源站扩容。日志保留满足合规，记录时间、源 IP、URL、规则 ID、动作和请求 ID。 性能上关注延迟、QPS 上限和 TLS 开销。压测同时验证正常业务与攻击样本，不能只看吞吐。

选型与常见误区

选型看四点：接入方式是否匹配架构；规则更新和误报处理能力；日志告警能否对接现有监控；成本是否含带宽、请求数、证书和专家服务。云 WAF 适合快速上线和弹性业务，自建适合数据不出域和深度定制，可混合使用。 常见误区：认为 WAF 能防所有攻击，忽略业务逻辑漏洞；只开默认规则不做调优；源站暴露导致可绕过；忽视 JSON API 和移动端流量。WAF 主要覆盖已知攻击模式，0day 和逻辑漏洞仍需代码修复与人工分析。

小结

WAF 是 Web 边界上的检测、拦截和缓冲层。是否需要看公网暴露面、敏感数据和攻击频率；落地时先选接入方式，再按资产配置规则，最后通过观察、白名单、分级拦截和持续运营控制误报与绕过。与安全开发、补丁、认证、限流和日志审计组合使用，防护才可维护。