WAF 是什么WAFWeb Application FirewallWeb 应用防火墙简单说就是专门保护网站/Web 应用的一道安检门过滤恶意请求只放行正常流量。一、一个生活类比想象一栋大楼你的网站普通防火墙守在大楼门口管的是哪些 IP 能进网络层WAF守在大楼内部的安检口管的是进来的人包里有没有危险物品应用层WAF 检查的是HTTP/HTTPS 请求的内容比如URL 里有没有 SQL 注入代码表单里有没有 XSS 脚本请求频率是否异常防爬虫、防 CC 攻击二、WAF 防什么攻击类型说明WAF 如何拦截SQL 注入在输入里夹带 SQL 语句偷数据识别恶意 SQL 特征拦截XSS 跨站脚本注入 JS 脚本盗取用户信息过滤恶意脚本标签CC 攻击大量请求打垮服务器限频、人机验证爬虫恶意抓取数据识别爬虫特征拦截文件包含/上传漏洞上传木马文件检测恶意文件路径和内容0day 漏洞利用利用未知漏洞攻击虚拟补丁规则拦截三、WAF 的三种形态形态部署方式特点适合云 WAFDNS 解析到厂商免运维、弹性好大多数网站软件 WAF装在服务器上可控、需自己维护有运维能力硬件 WAF机房设备性能高、成本高大型企业云 WAF 最常见代表产品Cloudflare、阿里云 WAF、腾讯云 WAF、AWS WAF。四、WAF 怎么用云 WAF 为例核心 4 步添加域名在 WAF 控制台添加要防护的域名配置 DNS把域名解析指向 WAF 提供的 CNAME选择防护规则开启 SQL 注入、XSS、CC 防护等调整策略设置白名单、限频阈值、人机验证之后所有请求先经过 WAF 过滤正常流量才转发到源站。五、WAF 和 CDN、普通防火墙的区别防护对象工作层作用普通防火墙网络网络层管 IP、端口WAFWeb 应用应用层HTTP管请求内容CDN加速应用层缓存静态资源顺便可带 WAF实际中CDN 和 WAF 常常一起用CDN 负责加速WAF 负责安全很多厂商把它们打包成一个产品。六、一句话总结WAF Web 应用的安检门专门过滤 SQL 注入、XSS、CC 攻击等恶意请求只放行正常流量。用法 云 WAF 加域名 改 DNS 配规则4 步搞定。
