Web 应用防火墙初体验：给站点加一道基本的门（1103 期）

站点被扫描器盯上之后，认真配了一遍 Web 应用防火墙，记录要点。

接入方式上，云内站点走 CNAME 接入最省事，把域名解析指到防护节点，流量先过 WAF 再回源，源站 IP 藏在后面，扫描器直接打不到。

规则配置建议从默认策略起步：通用攻击防护和 CC 防护先开起来，观察几天拦截日志再细化。有条件的话把误报的路径加进白名单，别让正常业务被拦。

实践里印象最深的还是日志。开了全量日志之后才发现，每天针对登录接口的撞库尝试比想象中多得多。配合验证码和人机识别之后，这类流量基本被挡在了门外。

安全这件事没有一劳永逸，但基础的纵深防御花不了多少时间：WAF 挡应用层攻击，安全组收紧端口，密钥登录替代密码，重要数据定期备份。做完这几层，绝大多数低成本的攻击就已经被过滤掉了。规则调优的过程也值得记录：开启防护后前一周是观察期，重点看拦截日志里有没有正常业务被误伤，特别是带特殊参数的接口和上传功能。调优的思路是先宽后严，宁可先多放行一些可疑流量观察，也不要一上来就把规则拉满，把正常用户挡在门外的损失比放过一些扫描流量大得多。安全策略永远要在防护和可用性之间找平衡。