摘要

本文详细介绍华为云 WAF 的核心防护能力与生产级配置实践，涵盖基础防护规则、CC 攻击防护、精准访问控制、误报处理、日志审计与告警联动等关键内容，帮助开发者从零构建企业级 Web 应用安全防护体系。阅读时长约 15 分钟，适合有基础运维经验的开发工程师和安全架构师。

一、为什么你的 Web 应用需要 WAF

在业务上线的过程中，很多团队把精力集中在功能开发和性能优化上，却忽视了一个事实：互联网上的每一次访问请求，都可能是攻击的试探。SQL 注入、跨站脚本、文件上传漏洞、CC 攻击——这些不是"万一发生"的事情，而是每天都在发生。

华为云 WAF（Web Application Firewall，Web 应用防火墙）的作用，就是在你的应用和外部请求之间建立一道智能防线。它不替代你的业务代码安全，而是站在更靠前的位置，把绝大多数已知攻击模式在到达应用之前就拦截下来。

本文不讲概念堆砌，直接从生产实践出发，带你走完 WAF 从开通、配置、调优到联动告警的完整流程。

二、核心防护能力概览

华为云 WAF 的防护能力可以归纳为五个层次：

2.1 基础 Web 攻击防护

这是 WAF 的"基本功"，覆盖 OWASP Top 10 中的主要攻击类型：

• SQL 注入防护：识别并拦截利用 SQL 语法漏洞注入恶意语句的请求。WAF 内置的语义分析引擎能够区分正常查询参数和注入攻击，即使攻击者使用编码混淆、大小写变换等手段，也能有效识别。
• 跨站脚本（XSS）防护：检测请求参数、请求头、Cookie 中可能存在的脚本注入，防止攻击者通过注入 JavaScript 窃取用户会话或执行恶意操作。
• 命令注入防护：拦截通过参数传递系统命令的攻击，包括操作系统命令注入和代码注入。
• 文件包含与目录遍历防护：防止攻击者通过构造路径访问服务器敏感文件。

2.2 CC 攻击防护

CC（Challenge Collapsar）攻击通过大量模拟正常请求耗尽服务器资源，是业务上线后最常遇到的攻击类型之一。华为云 WAF 提供三种防护模式：

• 正常模式：仅统计流量，不主动拦截，适用于观察期。
• 紧急模式：当单 IP 请求频率超过阈值时，自动触发验证码挑战或直接拦截。
• 攻击应急模式：在确认遭受 CC 攻击时启用，可设置更严格的频率限制和拦截策略。

生产环境中，建议将 CC 防护设置为"紧急模式"，并配合自定义频率规则，针对登录接口、搜索接口等高价值入口单独设置阈值。

2.3 精准访问控制

基础防护是"广谱杀毒"，精准访问控制则是"定向狙击"。你可以基于以下条件组合访问控制规则：

• IP 地址或 IP 段
• 请求 URL
• 请求头字段
• Cookie 内容
• 请求参数
• 地理位置

典型场景：限制管理后台仅允许公司办公 IP 访问；拦截来自特定国家/地区的全部请求；屏蔽已知恶意 IP 段。

2.4 网页防篡改

对关键页面（如首页、活动页）设置缓存快照，当源站页面被异常修改时，WAF 自动返回缓存的快照版本，保证用户看到的页面始终是正确的内容。

2.5 数据防泄漏

检测响应内容中是否包含身份证号、银行卡号、手机号等敏感信息，一旦发现，自动脱敏或拦截响应，防止敏感数据被攻击者批量采集。

三、生产级配置实战

3.1 域名接入配置

WAF 的接入采用 CNAME 方式，流程如下：

1. 在 WAF 控制台添加需要防护的域名，填写源站服务器地址和端口。
2. 系统生成一个专属 CNAME 记录，格式类似 xxxxxx.waf.huaweicloud.com。
3. 登录 DNS 管理控制台，将域名的 CNAME 记录指向上述地址。
4. 等待 DNS 生效后，WAF 即开始代理并过滤所有到达该域名的流量。

关键注意事项：

• 如果源站使用 HTTPS，需要在 WAF 中上传证书并配置 TLS 版本。建议启用 TLS 1.2 及以上，禁用 TLS 1.0 和 1.1。
• 源站端口需与 WAF 配置端口一致，否则会出现连接失败。
• 接入后建议先开启"观察模式"，让 WAF 记录拦截日志但不实际拦截，确认无误后再切换为"防护模式"。

3.2 防护规则调优

WAF 内置的默认规则集已经覆盖了绝大多数攻击场景，但生产环境中直接开启全部规则往往会产生误报。建议按以下步骤调优：

第一步：开启观察模式

将所有防护规则设置为"观察模式"，运行 3-7 天，期间重点关注拦截日志。

第二步：分析误报

在 WAF 的防护事件日志中，筛选出被拦截但实际为正常业务请求的记录。常见误报来源：

• 业务参数中恰好包含 SQL 关键字（如 select、order by），被误判为 SQL 注入。
• 前端框架生成的 HTML 中包含 <script> 标签，被误判为 XSS。
• 搜索功能中用户输入了特殊字符，被误判为命令注入。

第三步：添加白名单

对于确认是误报的规则，在对应 URL 路径下添加白名单规则。白名单的粒度可以精确到具体规则 ID，避免过度放宽防护。

第四步：逐步切换为防护模式

先对非核心业务路径开启防护，运行 24 小时确认无异常后，再逐步扩展到核心路径。

3.3 CC 防护策略配置

CC 防护的核心是"频率控制"，但不同接口的合理频率差异很大：

配置时注意：阈值设置过低会影响正常用户体验，建议先参考 LTS 中记录的接口访问频率基线，再在此基础上设置 1.5-2 倍的阈值。

3.4 精准访问控制实战

以下三个场景是生产中最常见的需求：

场景一：管理后台 IP 白名单

规则名称：管理后台访问限制
匹配条件：URL 包含 /admin/
操作：拦截
条件：源 IP 不在白名单 IP 段中
白名单 IP 段：公司办公出口 IP 段

场景二：恶意 IP 段封禁

规则名称：已知恶意 IP 段封禁
匹配条件：源 IP 在恶意 IP 段列表中
操作：拦截

场景三：高频爬虫限制

规则名称：爬虫频率限制
匹配条件：User-Agent 包含 python、curl、wget 等关键词
操作：验证码挑战
附加条件：单 IP 1 小时内请求超过 200 次

四、误报处理与规则迭代

WAF 的防护效果不是一次配置就能一劳永逸的，需要持续迭代。以下是生产中总结的误报处理流程：

4.1 误报识别

当业务方反馈"页面打不开"或"接口返回错误"时，按以下步骤排查：

1. 登录 WAF 控制台，进入防护事件日志。
2. 按时间范围和源 IP 筛选，确认是否被 WAF 拦截。
3. 查看拦截详情，确认触发的规则 ID 和匹配内容。
4. 与业务方确认该请求是否为正常业务行为。

4.2 误报处理方式

根据误报原因，选择不同的处理方式：

• 规则过于严格：降低规则灵敏度，或将该规则从"拦截"改为"观察"。
• 特定路径误报：为该路径添加白名单，仅排除误报规则，不关闭其他防护。
• 业务参数特殊：与业务方沟通，调整参数格式，避免使用易被误判的关键字。

4.3 规则迭代节奏

建议每两周进行一次规则回顾：

• 统计近两周拦截事件 Top 10 规则。
• 评估每条规则的拦截准确率（拦截事件中真实攻击占比）。
• 对准确率低于 80% 的规则进行调优或降级。
• 关注华为云 WAF 规则库更新，及时启用新规则。

五、日志审计与告警联动

WAF 的防护能力只有在"看得见"的情况下才能发挥最大价值。华为云 WAF 与 LTS（日志服务）深度集成，可以实现完整的日志审计与告警闭环。

5.1 日志接入配置

1. 在 WAF 控制台开启日志采集，选择日志存储周期（建议 30 天以上）。
2. 日志内容包括：请求时间、源 IP、请求方法、URL、状态码、拦截规则、匹配内容等。
3. 在 LTS 控制台创建日志流，配置索引和字段分析。

5.2 关键告警规则

以下告警规则建议全部配置：

• SQL 注入攻击告警：5 分钟内 SQL 注入拦截事件超过 10 次，立即通知安全负责人。
• CC 攻击告警：单 IP 1 分钟内请求超过 200 次，触发告警。
• 敏感数据泄漏告警：检测到响应内容包含银行卡号或身份证号，立即告警。
• 新攻击模式告警：WAF 自动识别到的新型攻击模式，即使拦截成功也通知。

5.3 日志分析实战

在 LTS 中，可以通过以下查询语句快速定位安全问题：

# 查询近 1 小时被拦截最多的 IP
SELECT client_ip, COUNT(*) AS cnt 
WHERE action = 'block' 
GROUP BY client_ip 
ORDER BY cnt DESC 
LIMIT 20

# 查询近 24 小时 SQL 注入攻击来源
SELECT client_ip, url, rule_id, COUNT(*) AS cnt 
WHERE rule_type = 'sql_injection' 
GROUP BY client_ip, url, rule_id 
ORDER BY cnt DESC

# 查询 CC 攻击趋势
SELECT DATE_FORMAT(event_time, '%H:%i') AS time_bucket, 
       COUNT(*) AS cnt 
WHERE rule_type = 'cc' 
GROUP BY time_bucket 
ORDER BY time_bucket

六、高可用与性能考量

6.1 WAF 自身的高可用

华为云 WAF 采用多可用区部署，单可用区故障不影响服务。但在以下场景中，仍需关注可用性：

• 源站故障：WAF 无法替源站处理请求，源站宕机时 WAF 会返回 504 错误。建议源站本身配置多实例和负载均衡。
• WAF 规则配置错误：错误的访问控制规则可能导致全站不可用。配置变更前务必在测试环境验证。

6.2 性能影响

WAF 引入的额外延迟通常在 1-3 毫秒以内，对绝大多数业务无感知。但在以下场景中需要关注：

• 大文件上传：WAF 需要对请求体进行扫描，大文件上传时延迟会有所增加。建议对上传接口设置独立规则，适当放宽扫描深度。
• 高并发场景：WAF 的并发处理能力取决于规格选择。生产环境建议选择企业版或旗舰版，并预留 30% 的容量余量。

6.3 与源站安全策略的协同

WAF 不是安全体系的终点，而是第一道防线。建议同时配置：

• 源站服务器的安全组，仅允许 WAF 回源 IP 段访问。
• 应用层的安全框架（如 Spring Security），作为第二道防线。
• 数据库的访问控制和审计，防止攻击穿透 WAF 后直接访问数据库。

七、常见问题与解决方案

Q1：WAF 接入后源站 IP 暴露怎么办？

如果源站 IP 被直接访问，攻击者可以绕过 WAF。解决方案：

1. 在源站安全组中，仅允许 WAF 回源 IP 段访问。
2. 在应用层检查请求头中的 X-Forwarded-For 字段，确认请求确实经过 WAF。
3. 如果使用云服务器，可以配合 NAT 网关隐藏源站。

Q2：WAF 规则更新后业务异常，如何快速回滚？

WAF 支持规则版本管理。在修改规则前，创建当前配置的快照。一旦出现异常，在控制台一键回滚到历史版本。建议每次规则变更前都创建快照。

Q3：如何评估 WAF 的防护效果？

从三个维度评估：

• 拦截量：每日拦截事件数量，趋势是否与攻击情报一致。
• 误报率：拦截事件中正常业务请求占比，建议控制在 5% 以内。
• 攻击阻断率：真实攻击被成功拦截的比例，应接近 100%。

Q4：WAF 能否防护 0day 漏洞？

WAF 的规则库基于已知攻击模式，对未知漏洞的防护能力有限。但华为云 WAF 提供"AI 智能防护"功能，通过行为分析识别异常请求模式，对部分 0day 攻击有一定的检测能力。对于关键业务，建议配合漏洞扫描和代码审计，形成纵深防御。

八、总结

华为云 WAF 是构建 Web 应用安全防护体系的核心组件。通过本文介绍的基础防护、CC 防护、精准访问控制、日志审计与告警联动，你可以从零开始搭建一套生产级的安全防护架构。

核心要点回顾：

1. 先观察，后防护：开启观察模式运行 3-7 天，确认无误报后再切换为防护模式。
2. 精细化配置：不同接口设置不同的频率阈值，避免一刀切。
3. 持续迭代：每两周回顾一次规则，关注误报率和新攻击模式。
4. 纵深防御：WAF 是第一道防线，不是唯一防线，源站安全同样重要。

安全不是一次性投入，而是持续运营的过程。WAF 提供了强大的工具，但真正的安全效果，取决于你对规则的持续调优和对威胁的持续关注。

作者：华为云安全架构团队

关键词：WAF、Web 应用防火墙、CC 攻击防护、SQL 注入、XSS、安全防护、华为云

适用人群：开发工程师、安全架构师、运维工程师

阅读时长：约 15 分钟

最后更新：2025 年