华为云 WAF Web 应用防火墙：防护你的应用安全

前言

Web 应用防火墙（WAF）保护 Web 应用免受常见安全威胁，如 SQL 注入、XSS、CC 攻击等。本文介绍华为云 WAF 的核心功能和防护策略配置。

WAF 核心能力

防护类型

SQL 注入防护：检测并拦截 SQL 注入攻击语句。
XSS 防护：检测并拦截跨站脚本攻击。
CC 攻击防护：限制高频请求防止 CC 攻击。
远程文件包含防护：阻止恶意文件包含。
目录遍历防护：阻止目录遍历攻击。
命令注入防护：阻止操作系统命令注入。
敏感信息泄露防护：防止响应中泄露敏感信息。

防护模式

观察模式：只记录告警不拦截，用于分析攻击模式。
阻断模式：检测到攻击直接拦截请求。
经过观察期确认无误后切换到阻断模式。

接入 WAF

域名接入

在 WAF 控制台添加防护域名，配置源站地址。WAF 作为反向代理，流量先经过 WAF 检测再转发到源站。

防护域名配置

配置域名、源站地址和端口。如果源站是 ECS，填写 ECS 的公网 IP。如果源站是 ELB，填写 ELB 的地址。

DNS 切换

接入 WAF 后需要修改 DNS 解析，将域名指向 WAF 的 CNAME 地址。流量先到 WAF 再到源站。

防护策略

精准防护

配置访问规则精确匹配请求特征：

IP 地址：允许或拒绝特定 IP。
URL 路径：对特定路径应用防护规则。
请求方法：限制只允许特定 HTTP 方法。
Referer：检查请求来源是否合法。
User-Agent：拦截恶意爬虫和工具。

CC 防护

配置 CC 防护规则限制高频访问：

按 IP 限速：每个 IP 每分钟最多请求 N 次。
按 URL 限速：特定 URL 每分钟最多请求 N 次。
按会话限速：每个会话每分钟最多请求 N 次。
触发限速后返回 429 或人机验证页面。

地理位置防护

按地理位置限制访问：

只允许特定国家或地区访问。
封禁特定国家或地区的访问。
适用于业务只在特定区域运营的场景。

黑白名单

IP 黑名单

将恶意 IP 加入黑名单，直接拦截其所有请求。适合封禁已知攻击源 IP。

IP 白名单

将可信 IP 加入白名单，跳过所有防护检查。适合内部系统和管理后台的访问。

封禁解封

WAF 自动封禁触发规则的 IP，配置封禁时间。封禁到期自动解封，也可以手动解封。

日志审计

访问日志

WAF 记录所有请求的详细信息：请求时间、客户端 IP、请求方法、URL、响应状态、命中规则、处理动作。

告警日志

记录触发了防护规则的请求，包括攻击类型、匹配规则、原始请求内容。用于分析攻击行为和调优规则。

日志导出

日志可以导出到 LTS 日志服务进行检索分析，或导出到 OBS 长期存储。

性能考虑

WAF 时延

WAF 检测会增加少量时延，通常在 5 毫秒以内。对时延敏感的场景可以配置白名单跳过检测。

回源配置

配置回源超时时间和回源重试次数。源站不可达时 WAF 返回错误页面，可以自定义错误页面内容。

常见问题

问：WAF 误拦截正常请求怎么办？
答：先切换到观察模式分析日志，确认是误报后配置白名单或调整规则。也可以将特定规则设为观察模式。

问：WAF 和 Anti-DDoS 有什么区别？
答：WAF 防护应用层攻击如 SQL 注入和 XSS。Anti-DDoS 防护网络层攻击如大流量 DDoS。两者配合使用全面防护。

总结

WAF 是 Web 应用安全的第一道防线。先观察模式分析攻击，再切换阻断模式防护。配合黑白名单和 CC 防护，构建多层防护体系。定期分析日志调优规则，持续提升防护效果。