华为云 WAF Web 应用防火墙实战：拦截 Web 攻击，守住公网入口

一、传统 Web 防护痛点

业务网站、API 接口直接暴露在公网，只依靠服务器自身安全策略存在明显短板：

1. 攻击类型多：SQL 注入、XSS 跨站、文件上传漏洞、CC 爬虫、恶意扫描、0day 攻击层出不穷，人工规则很难及时更新；
2. 源站容易被打：CC 攻击、高频恶意请求直接打到后端 ECS / 容器，CPU、带宽被占满，正常用户访问卡顿甚至服务不可用；
3. 溯源与处置难：缺少统一攻击日志，被入侵后很难快速定位攻击来源、攻击路径，排查耗时久；
4. 防护成本高：自研防护脚本维护量大，自建硬件防火墙采购、运维成本高，弹性差，流量突增时防护跟不上。

二、WAF 核心能力

华为云 WAF 是部署在业务前端的 Web 防护服务，流量先经过 WAF 清洗之后再转发到源站，核心能力：

• 基础防护：内置 SQL 注入、XSS、命令注入、路径遍历等通用 Web 攻击规则库，规则由云端持续更新；
• CC 防护：支持基于 IP、Cookie、URL 的频率控制，智能识别恶意爬虫、CC 压测，自动封禁；
• 黑白名单：IP 黑白名单、地理位置封禁、URL 白名单，满足业务特殊放行场景；
• 防爬虫：语义识别恶意爬虫，区分正常搜索引擎和采集爬虫；
• 攻击可视化：攻击总览、攻击 TOP 类型、攻击源 IP、访问日志实时展示，支持日志投递到 LTS 长期留存；
• HTTPS 证书托管：直接上传证书，WAF 完成 SSL 卸载，源站无需处理证书加解密；
• 弹性扩容：随业务流量自动扩容，大促、流量峰值场景防护能力同步提升。

三、落地实操步骤

1. 接入准备：准备已备案域名、源站地址（ECS/ELB 地址），SSL 证书；
2. 添加防护域名：在 WAF 控制台添加域名，配置协议（HTTP/HTTPS）、源站信息，选择代理模式；
3. DNS 切换：把域名解析指向 WAF 提供的 CNAME 地址，流量正式切到 WAF 清洗；
4. 防护策略配置
   • 开启基础 Web 防护，防护模式优先选观察模式，先观察误杀，稳定后切换为拦截模式；
   • 配置 CC 防护：设置单 IP 访问阈值，对高频接口单独配置更严格限速；
   • 配置白名单：把内部运维 IP、第三方回调接口加入白名单，避免误拦截；
5. 告警配置：对接云监控，配置攻击突增、带宽超限告警；
6. 日志审计：开启攻击日志，投递到日志服务，满足等保日志留存要求；
7. 验证：使用 WAF 自带的测试 payload 验证注入、XSS 攻击是否被拦截，同时验证正常业务访问不受影响。

四、实战踩坑经验

1. 刚上线不要直接开拦截，观察 3~7 天，导出误拦截日志添加白名单，防止正常用户、第三方回调被拦截；
2. 源站需要配置只放行 WAF 回源段地址，禁止公网直接访问源站，避免绕过 WAF 直打后端；
3. 如果业务有大量 POST、JSON 接口，注意开启 JSON 解析，否则注入规则无法识别请求体内攻击载荷；
4. CC 阈值不是越低越好，移动端、政企客户出口 IP 共用场景，阈值设置过小容易误伤批量用户；
5. 证书更新：证书到期前在 WAF 控制台替换，不要等到证书过期才处理，避免业务 HTTPS 报错；
6. 高并发业务优先选择企业版 WAF，独享防护资源，避免共享实例资源争抢。

五、适用场景

企业官网、管理后台、对外 API 服务、小程序后端、电商站点、SaaS 平台等所有对公网开放的 Web 业务，是云上公网业务第一道安全屏障。