網頁應用程式防火牆 (WAF)：功能與運作原理
您可能看過有關 SQL 注入、跨網站指令碼或機器人攻擊入侵您的網頁應用程式的警示。雖然安全編碼和定期修補至關重要，但這些措施並不總是足夠。網頁應用程式防火牆 (WAF) 會檢查 HTTP 流量並在惡意請求到達您的應用程式之前加以阻擋，從而增加一層關鍵防禦。在本文中，我們將說明 WAF 的功能、其底層運作原理，以及如何有效地部署和調整 WAF。
什麼是網頁應用程式防火牆？
WAF 是一種安全解決方案，可監控、過濾和封鎖進出網頁應用程式的 HTTP/HTTPS 流量。與在層級 3 和 4（IP 和 TCP）運作的傳統網路防火牆不同，WAF 在層級 7（應用層）運作。它能理解 HTTP 方法、標頭、Cookie、查詢字串和請求主體。這讓它能偵測並封鎖對網路防火牆而言看似正常流量的攻擊。
WAF 通常用於防禦：
- SQL 注入 (SQLi)
- 跨網站指令碼 (XSS)
- 跨網站請求偽造 (CSRF)
- 檔案包含和路徑遍歷
- 已知的 CMS 漏洞（例如 WordPress 外掛）
- 應用層的惡意機器人、擷取器和 DDoS
WAF 如何運作
概括來說，WAF 位於用戶端和您的網頁伺服器之間。當請求到達時，WAF 會根據一組規則或原則檢查請求。如果請求符合表示攻擊的規則，WAF 可以封鎖、記錄或向用戶端發出挑戰。否則，請求會轉送到應用程式。
有三種主要的偵測技術：
- 特徵比對： 將請求與已知攻擊模式的資料庫進行比對（例如查詢字串中的
UNION SELECT）。速度快但可能遺漏新攻擊。 - 異常偵測： 學習正常流量行為並標記偏差。對零時差攻擊較有效，但可能產生誤報。
- 信譽評等： 使用 IP 信譽、地理位置和威脅情報來封鎖已知的惡意行為者。
大多數 WAF 會結合這些方法。例如，搭配 OWASP Core Rule Set (CRS) 的 ModSecurity 使用特徵和異常評分來為每個請求指派威脅分數。如果分數超過閾值，請求就會被封鎖。
運作模式
WAF 可以兩種主要模式運作：
- 監控（或僅偵測）模式： 記錄可疑請求但不封鎖。在初始部署期間用於調整規則和避免中斷合法流量很有用。
- 封鎖（或防護）模式： 主動封鎖違反規則的請求。這是調整後要達到的目標。
有些 WAF 也提供挑戰模式，可疑的用戶端必須先解決 CAPTCHA 或 JavaScript 挑戰才能繼續。
部署選項
您可以用多種方式部署 WAF，每種方式各有取捨：
| 類型 | 說明 | 優點 | 缺點 |
|---|---|---|---|
| 雲端式 | 由 CDN 或雲端供應商提供（例如 Cloudflare、AWS WAF） | 設定簡單、自動擴展、包含 DDoS 防護 | 對規則的控制較少、增加延遲、成本 |
| 主機式 | 安裝在網頁伺服器上的軟體（例如 ModSecurity） | 完全控制、無額外網路跳點 | 需要伺服器存取權、維護負擔 |
| 網路式 | 伺服器前方的設備或虛擬機器 | 集中管理、高效能 | 昂貴、擴展複雜 |
對許多團隊來說，雲端式 WAF 是最快的入門方式，而主機式 WAF 則為特定應用程式提供更多自訂彈性。
應留意的關鍵功能
- 規則集： 針對 OWASP Top 10 和常見 CMS 平台的預建規則。
- 自訂規則： 能夠根據您的應用程式邏輯撰寫自己的規則。
- 速率限制： 限制來自單一 IP 或工作階段的請求，以防止暴力破解和擷取。
- 機器人管理： 區分好的機器人（搜尋引擎）和壞的機器人。
- 記錄與警示： 用於事件回應和法規遵循的詳細記錄。
- API 防護： 針對 REST/GraphQL API 的結構描述驗證和異常偵測。
如何部署 WAF：逐步指南
- 選擇您的部署模式。 根據您的基礎架構和團隊技能，在雲端、主機或網路式之間做決定。
- 從監控模式開始。 以僅偵測模式啟用 WAF，記錄流量而不封鎖。這有助於您了解正常模式。
- 分析記錄並調整規則。 尋找誤報（被標記為攻擊的合法請求）並調整規則或新增例外。使用記錄分析器來有效解析 WAF 記錄。
- 逐步啟用封鎖。 從高信心的規則開始（例如已知的 SQLi 模式），並在建立信心後逐步啟用更多規則。
- 與您的 CI/CD 整合。 如果您使用基礎架構即程式碼，請將 WAF 規則視為程式碼管理，以便版本控制和審查變更。
- 監控與更新。 定期檢閱記錄、更新規則集，並隨著應用程式演進進行調整。
範例：ModSecurity 規則
以下是一個簡單的 ModSecurity 規則，會封鎖查詢字串中包含 ../ 的請求，這是常見的路徑遍歷嘗試：
SecRule ARGS "\.\./" \
"id:1001,phase:2,deny,status:403,log,msg:'Path Traversal Attempt'"此規則會檢查所有請求引數（查詢字串、主體），如果發現 ../ 就拒絕請求。在正式環境中，您會使用更全面的規則集，例如 OWASP CRS。
最佳實務與陷阱
- 不要只依賴 WAF。 它是互補的一層；安全編碼和修補仍然不可或缺。
- 避免封鎖合法流量。 仔細調整規則並監控誤報。
- 保持規則更新。 新漏洞經常出現；請訂閱規則集更新。
- 也要保護 API。 現代應用程式大量使用 API；請確保您的 WAF 涵蓋它們。
- 記錄與監控。 WAF 的成效取決於您從其記錄中獲得的見解。
常見問題
WAF 能取代安全編碼嗎？
不能。WAF 是深度防禦的一層。它可以阻擋許多攻擊，但您程式碼中的漏洞仍應修補。WAF 為您爭取時間並增加防護，但它不能替代安全開發實務。
WAF 會拖慢我的網站嗎？
會，任何檢查都會增加一些延遲。雲端 WAF 通常增加幾毫秒，而主機式 WAF 可能增加更多，取決於規則複雜度。適當的調整和快取可以將影響降到最低。
如何在雲端 WAF 和自行架設的 WAF 之間做選擇？
雲端 WAF 更容易設定和擴展，非常適合沒有專職安全人員的團隊。自行架設的 WAF 提供更多控制權，大規模時可能更便宜，但需要維護。請考慮您團隊的專業知識和預算。
準備好分析您的 WAF 記錄了嗎？使用我們的 Nginx 記錄分析器 來解析和視覺化流量模式，協助您快速調整 WAF 規則並找出異常。