Web防火墙

凌晨三点，火墙我的火墙手机震了十七次。不是火墙闹钟，是火墙监控报警——某个客户的电商站正被每秒两千次的请求狂轰滥炸。登录后台一看，火墙那些IP像潮水一样涌来，火墙每个都带着看似合法的火墙GET请求。WAF的火墙拦截日志里，红色标记像心电图一样跳动。火墙那一刻我忽然明白，火墙所谓Web防火墙，火墙根本不是火墙一堵墙，而是火墙一张随时在收缩的网。

多数人以为WAF就是火墙“装个规则，挡住坏人”。火墙真这么简单就好了。上周我帮一家金融公司排查问题，他们的WAF误封了自家员工的办公IP，原因是有人用爬虫脚本查内部文档。规则太紧，正常业务被割伤；规则太松，攻击者如入无人之境。这玩意儿更像一个需要不断调教的守卫，它得认得你家人，还得防住陌生人，但两者的边界每天都在变。

有一次渗透测试，我故意绕开WAF，往请求头里塞了个畸形字段。结果它直接放行了——因为规则库里只匹配了常见的SQL注入关键词，没人在意一个看起来像乱码的参数。后来我告诉运维哥们儿：“你家的防火墙在裸奔。”他一脸茫然。其实很多WAF的失效案例都类似：攻击者不用你熟悉的招式，而是用编码、分块传输或者HTTPS隧道把恶意流量裹成糖衣炮弹。

更有意思的是，有些攻击根本不走HTTP。去年一个客户被拖库，查了半天，发现是攻击者先打穿了他们未打补丁的VPN，然后在内网横向移动，最后从数据库服务器直接拉走数据。Web防火墙全程安静如鸡——因为它压根不在那条路上。这让我想起一个比喻：你给大门上了十把锁，但窗户开着呢。

所以我现在看WAF，眼光完全不同。它确实是必需品，但只是防线的一环。真正靠谱的做法，是把WAF和其他东西串起来：日志分析、行为基线、甚至人工研判。有个做安全的同行说过一句话，我一直记着：“WAF是刹车片，不是驾驶员。”你不能指望刹车片自己决定往哪儿开。

前阵子帮一个创业公司配WAF，他们预算有限，问我能不能只开“自动模式”。我说可以，但你要接受两件事：一是偶尔误伤真实用户，二是某些新型攻击会漏过去。他们想了想，还是决定每周手动看一次日志。就这个动作，比装十个昂贵设备都管用。机器能帮你过滤九成噪音，但剩下那一成，需要人用脑子判断。

说到底，Web防火墙的尴尬在于：它得足够聪明，才能分辨恶意和正常；它又得足够笨，才不会挡住所有流量。这种矛盾没法靠一次配置解决。我见过最有效的部署，是运维团队把WAF的告警当回事，每条都追根问底。也见过最烂的，是买了设备就扔在那儿，半年不更新规则，直到被攻破才想起来。

别把Web防火墙当成一个可以一劳永逸的保险箱。它是活的东西，得喂数据、调参数、看日志。就像养狗，你得遛它、教它、偶尔还得被它咬一口——但关键时刻，它真能替你挡一刀。