生产环境Web应用防火墙防护策略优化调整全流程实操指南

一、前期准备（操作前必做）

1. 权限与工具准备：提前获取WAF管理后台权限、后端Web服务访问日志权限、负载均衡配置权限，云厂商WAF控制台直达地址：阿里云WAF https://waf.console.aliyun.com、腾讯云WAF https://console.cloud.tencent.com/waf；开源ModSecurity直接登录服务器操作即可。

2. 全量策略备份：操作前必须备份当前所有策略，避免调整错误导致业务故障。开源ModSecurity执行备份命令：cp -r /etc/modsecurity /opt/modsecurity_backup_$(date +%Y%m%d%H%M)；云厂商WAF直接在控制台「策略管理-备份恢复」页面点击「导出全量策略」，将备份文件存储到本地。

3. 历史日志拉取：拉取最近7天的WAF拦截日志和Web服务全量访问日志，用于后续误判分析。开源ModSecurity日志默认路径为/var/log/modsec_audit.log，拉取7天日志命令：awk '$4 >= "[`date -d "7 days ago" +%d/%b/%Y`"' /var/log/modsec_audit.log > /opt/waf_7d.log；云厂商WAF直接在控制台「日志查询」页面筛选最近7天日志导出即可。

二、拦截误判基线梳理

2.1 误判数据清洗

执行命令统计拦截频次Top10的规则ID：awk '{print $NF}' /opt/waf_7d.log | sort | uniq -c | sort -nr | head -10，逐个核对每个规则ID对应的拦截请求：将正常业务请求被拦截的规则标记为「待调整规则」，比如富文本提交被XSS检测规则拦截、正常文件上传被格式限制规则拦截等场景。

2.2 白名单基线确认

整理必须全局放行的IP列表，避免内部服务、办公网、监控系统被误拦截，可直接参考以下格式整理： ``` 内部服务调用IP段 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 办公网出口固定IP 111.20.30.40/32 监控系统出口IP 222.30.40.50/32 ```

三、防护策略核心调整实操

3.1 误判规则精准调整

禁止直接全量禁用误判规则，优先缩小规则检测范围：

• 开源ModSecurity调整：在/etc/modsecurity/modsec_custom.conf中添加配置，示例如下： ``` 调整XSS规则941100检测范围，跳过富文本字段content的检测 SecRuleUpdateTargetById 941100 "!ARGS:content" 仅对/api路径启用SQL注入检测规则932100 SecRuleUpdateTargetById 932100 "REQUEST_URI ^/api" 仅禁用误判率100%的无效规则 SecRuleRemoveById 933110 ``` 配置完成后执行重载命令生效：systemctl reload modsecurity，无需重启服务。
• 云厂商WAF调整：在控制台「规则管理」页面找到对应规则ID，选择「指定参数跳过检测」或「调低规则严格等级」，不要直接点「禁用规则」。

3.2 自定义防护规则补充

针对7天日志中发现的未被拦截的攻击行为，补充自定义规则，以暴力破解登录接口场景为例：

• 开源ModSecurity配置： ``` 限制/api/login接口单IP10分钟内请求超过20次直接拦截 SecRule REQUEST_URI "@streq /api/login" \ "id:10001,phase:2,t:none,deny,status:403,\ setvar:ip.login_count=+1,\ expirevar:ip.login_count=600,\ chain" SecRule IP:login_count "@ge 20" ```
• 云厂商WAF配置：在「自定义规则」页面添加规则：匹配条件选「请求路径等于/api/login」，动作选「速率限制」，阈值配置为10分钟20次，拦截时长设置为1小时，生效范围选择所有业务域名。

3.3 白名单规则配置

禁止配置白名单IP绕过所有防护，仅跳过频率检测类规则，保留攻击检测能力：

• 开源ModSecurity配置： ``` 全局白名单IP段，仅跳过频率检测规则，保留攻击检测 SecRule REMOTE_ADDR "@ipMatch 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,111.20.30.40/32,222.30.40.50/32" \ "id:10002,phase:1,t:none,pass,nolog,\ ctl:ruleRemoveById=900000-900100" ```
• 云厂商WAF配置：在「IP黑白名单」页面添加白名单IP段，动作选择「放行」，不要勾选「绕过所有防护」选项。

四、调优后验证操作

4.1 功能有效性验证

依次执行以下curl命令验证配置是否符合预期： ``` 验证正常业务请求可正常访问 curl -i "https://你的业务域名/api/info" 验证正常富文本提交不会被误拦截 curl -i -X POST "https://你的业务域名/api/content" -d "content=

正常业务内容

" 验证攻击请求仍可被正常拦截 curl -i "https://你的业务域名/api/login?id=1'" ``` 正常业务请求返回200状态码、攻击请求返回403状态码即为配置正确。

4.2 实时日志验证

开源ModSecurity执行命令查看实时日志：tail -f /var/log/modsec_audit.log，云厂商WAF在控制台「日志查询」页面查看实时拦截日志，持续观察15分钟，无新增误判即可进入灰度发布阶段。

五、灰度发布与回滚预案

5.1 灰度发布步骤

首先将10%的业务流量切到调整后的WAF策略，观察1小时无异常后将流量比例提升到50%，再观察2小时无异常后全量发布。云厂商WAF直接在「流量调度」页面配置流量比例，开源ModSecurity可在负载均衡层配置10%流量转发到启用新策略的WAF节点。

5.2 异常回滚操作

一旦出现大面积业务异常，立即执行回滚：开源ModSecurity执行命令rm -rf /etc/modsecurity && cp -r /opt/modsecurity_backup_替换为你的备份目录名 /etc/modsecurity && systemctl reload modsecurity；云厂商WAF直接在「备份恢复」页面选择操作前的备份点，点击「恢复」即可，1分钟内即可生效。

六、后续迭代要求

每7天做一次策略巡检，拉取最近7天的拦截日志，梳理新的误判场景和新增攻击类型；每30天做一次全量策略优化，删除长期无拦截记录的无效规则，补充对应新攻击手段的防护规则。