什麼是 WAF？為什麼傳統防火牆不夠？
傳統防火牆基於 IP:Port 四元組放行/阻斷（如允許 80/443 端口），無法檢測 HTTP 請求體內的惡意載荷。WAF 工作在第 7 層，深度解析 HTTP/HTTPS 語義，識別並阻斷：
- SQL 注入：構造惡意查詢字串竊取/篡改數據庫。
- XSS (跨站腳本)：注入 JS/ActiveX 竊取 Cookie/會話。
- OS 命令注入：利用未過濾輸入執行系統命令。
- 會話劫持：猜解/竊取 Session Token 接管賬號。
- 參數/URL 篡改：修改隱藏字段/Cookie/JSON 繞過授權。
- 緩衝區溢出：超長輸入觸發內存破壞執行 Shellcode。
WAF 還具備異常行為基線學習：如單位時間響應體積異常暴增（數據洩露前兆）、非預期 HTTP 方法/頭部、掃描器特徵指紋等，可阻擋未知 0day 攻擊。
部署模式對比
| 維度 | 軟件型 (Agent/Module) | 設備型 (硬件/虛擬機) |
|---|
| 部署位置 | Web 服務器本機 (Nginx/Apache/IIS 模塊) | 服務器前端，串聯/旁路/透明橋接 |
| 性能影響 | 佔用服務器 CPU/記憶體，增加延遲 | 獨立硬件資源，零業務性能損耗 |
| 運維複雜度 | 需每台服務器安裝/升級/配置 | 集中管理，單點策略下發 |
| 適用場景 | 中小規模、微服務 Sidecar、DevSecOps 嵌入 CI/CD | 大型企業、高併發、合規要求嚴格 |
| 成本 | 授權費低/開源免費 | 硬件/虛擬機授權費高 |
開源 WAF 生態
- ModSecurity：規則引擎標準，OWASP CRS 規則集，支援 Nginx/Apache/IIS，社區活躍。
- OpenResty + lua-resty-waf：高性能 Lua 實現，適合 API 网關整合。
- Coraza：Go 重寫 ModSecurity，無 CGO 依賴，易嵌入 Go 微服務。
- Wazuh/OSSEC：HIDS+WAF 一體化，合規審計強。
開源方案成本低、可審計代碼、無廠商鎖定，但需自建規則調優/誤報處理/版本升級能力，適合有安全研發團隊的組織。
選型關鍵決策樹
- 是否需檢測加密流量 (HTTPS)？→ 需支持 SSL 卸載/重加密或 eBPF 用戶態鎖鑰。
- 是否需 API 安全 (GraphQL/gRPC/REST)？→ 需 Schema 感知解析器。
- 是否需業務語義防護 (價格篡改/庫存繞過)？→ 需自定義語義規則引擎。
- 合規要求 (等保/PCI-DSS/GDPR)？→ 需審計日志完整性、不可篡改存儲、合規報表模板。
- 團隊運維能力？→ 無專職安全運營首選 SaaS WAF (Cloudflare/Akamai/阿里云/騰訊云)；有團隊可選設備型/開源自建。
代碼審查 ≠ WAF 替代品
代碼審查只能發現當前版本已知缺陷，無法防禦：
- 第三方組件/供應鏈漏洞 (Log4j2/Struts2 類)
- 業務邏輯漏洞 (需運行時上下文)
- 零日漏洞利用
- 部署配置錯誤 (Debug 頁面暴露、預設帳號等)
結論：SDL (安全開發生命週期) + WAF 運行時防護 = 纵深防禦最佳實踐。
持續運營建議
- 規則集訂閱：OWASP CRS / 商業廠商威脅情報聯動更新。
- 誤報處理流程：告警 → 驗證 → 加白名單/調優規則 → 回歸測試。
- 紅藍對抗驗證：每季度模擬真實攻擊驗證 WAF 攔截率/繞過率。
- 日誌聯動 SIEM/SOAR：WAF 日誌實時推送，關聯防火牆/EDR/NDR 告警做攻擊鏈重現。