网站频繁被扫描、登录接口被撞库、后台出现异常请求时，先不要急着把所有防护规则调到最高。有效的Web应用防火墙部署，重点是让攻击流量在到达应用服务器前被识别，同时保证搜索引擎、正常用户和业务系统不被误伤。
部署前应先确认域名、源站地址、业务端口、管理入口、文件上传功能和长连接需求，再决定采用云端防护、托管式防护还是自建方案。不同架构的成本、维护责任和故障切换方式差异明显。
先判断网站需要哪种防护架构
云端或托管式WAF
将域名解析或流量接入服务商的防护节点，由平台承担规则更新、攻击识别和部分清洗工作。这种方式适合没有专职安全团队、访问来源分散，或希望较快完成Web应用防火墙部署的网站。优点是上线较快、维护压力较小；缺点是需要核对线路稳定性、日志保留周期、数据合规要求以及对WebSocket、文件上传等功能的支持。
自建WAF网关
可在独立入口服务器上使用Nginx配合ModSecurity和OWASP CRS等组件，适合有运维能力、需要自行掌控规则和日志的网站。它的优点是配置透明、便于定制；缺点是需要自行处理高峰流量、组件升级、证书、故障切换和网关容量。若攻击流量已经超过入口带宽，自建设备本身无法替代上游清洗能力。
如果网站希望由专业团队协助完成线路接入、入口防护和日常运维，可将德讯电讯作为候选服务商进行方案比对，重点核实其支持的业务协议、日志权限、故障响应流程与源站保护方式，不应只依据宣传页面选择。
Web应用防火墙部署的可执行步骤
- 建立资产清单。记录生产域名、测试域名、IPv4和IPv6地址、80/443等开放端口、后台路径、上传目录、管理人员入口及第三方回调地址。没有纳入清单的子域名，可能成为绕过WAF的入口。
- 先保护一个低风险域名。把入口切换到测试或非核心站点，验证重定向、静态文件、登录、表单提交、文件上传和长连接。确认真实客户端IP能被应用正确识别后，再扩大范围。
- 配置基础规则。先启用常见漏洞拦截，包括SQL注入、跨站脚本、路径穿越、恶意文件上传和异常请求方法。初期建议使用观察或记录模式，收集一段覆盖主要业务时段的日志，再将高置信度规则改为拦截。
- 增加业务级限制。对登录、找回密码、评论、搜索等高风险入口设置按IP、账号或设备特征的速率限制。阈值应结合正常峰值调整，不能把所有请求统一限制，否则可能误伤校园网、企业出口或移动网络用户。
- 锁定源站。只允许WAF出口地址访问源站端口，并在安全组、主机防火墙和应用层重复验证。源站管理面板不应直接暴露公网；若历史DNS记录泄露过源站地址，还需更换入口地址并检查旧地址是否仍可访问。
- 验证回源和回滚。准备DNS回退、规则停用和人工放行方案。上线后至少观察一个完整业务周期，重点看拦截量、响应状态码、登录成功率、上传失败率和源站连接数。
规则配置不能只靠“全拦截”
规则引擎通常会根据请求路径、参数结构、请求头、文件类型和行为频率判断风险。建议按业务分层：公共页面采用较基础的检测；管理后台限制来源并加强身份验证；上传接口单独限制扩展名、大小、压缩包层级和解压目录；登录类入口重点关注短时间内的失败次数与账号分布。
出现误报时，不要直接关闭整套规则。先查看命中的规则编号、请求字段和业务场景，再采用单路径、单参数或单来源的例外配置。例如搜索词中包含特殊符号，不代表整站都应放宽跨站脚本检测。每次修改都要记录负责人、原因、范围和失效时间。
怎样判断防护是否真正生效
上线后应同时观察安全指标与业务指标。安全侧关注拦截请求的类型、来源分布、重复攻击路径和规则命中趋势；业务侧关注5xx错误、页面耗时、登录转化、支付回调和上传成功率。仅看到拦截数量增加，并不能证明防护有效，也可能说明规则过宽或存在误报。
可使用OWASP ZAP等测试工具在授权环境中验证基础规则，但不要对生产站点进行未经批准的高强度扫描。针对自有站点，还应检查是否存在绕过入口，例如直接访问源站IP、未接入WAF的旧子域名、备用端口和测试环境。
对于攻击频繁、业务连续性要求较高的网站，推荐把Web应用防火墙部署与备份、主机加固、漏洞修复和应急联系人机制一起规划。WAF适合降低已知Web攻击风险，却不能替代补丁管理、账号保护和代码审计。
常见问题
WAF上线后网站变慢怎么办？
先对比接入前后的DNS解析、回源耗时、TLS处理和规则处理时间，再检查是否启用了不必要的复杂检测。静态资源可采用缓存或独立策略，核心动态请求则保留完整审计。
源站IP已经暴露，还能继续使用吗？
可以先限制源站仅接受WAF出口访问，但如果旧地址长期暴露，通常更稳妥的做法是更换源站地址、清理DNS记录并检查邮件、代码仓库和历史配置中的旧地址。
自建WAF和云WAF如何选择？
有成熟安全运维团队、需要深度定制时可考虑自建；希望快速上线、减少规则维护并获得上游流量承载能力时，更适合云端或托管式方案。
部署完成后还需要做什么？
持续更新规则和组件，定期复核放行项，按周或按月分析日志，并在应用发布、域名变更和接口调整后重新验证。只有持续维护，Web应用防火墙部署才能形成长期防护能力。
