Главная мысль
Настройте правила WAF под нормальное поведение приложения и регулярно проверяйте блокировки.
Какой трафик анализирует WAF?
WAF обычно оценивает HTTP(S)-запросы и ответы в контексте прикладного уровня. Наборы правил анализируют формат и поведение запроса и могут блокировать или регистрировать известные шаблоны, например попытки SQL injection и cross-site scripting. Результат зависит от трафика, места завершения шифрования и настройки правил.
Размещение и настройка правил
WAF может размещаться перед приложением как прокси, облачный сервис или хостируемый контроль. Новые и изменённые правила внедряйте по следующей последовательности, сохраняя действующую защиту.
Проверьте в тестовой среде
Проверьте новые и изменённые правила на нормальных и ожидаемых опасных запросах в разрешённой тестовой среде.
Проведите ограниченное наблюдение
В производстве наблюдайте совпадения только этих правил в заданном охвате и периоде, сохраняя действующий контроль.
Устраните ложные срабатывания
Проверьте законные API и пользовательские потоки, ограничьте исключения и повторите проверку.
Включите блокировку в заданном охвате
Поэтапно включайте согласованные правила, отслеживайте результат и производительность, сохраняйте рабочий откат.
Свяжите WAF с безопасностью приложения
WAF не исправляет уязвимый код и может не распознать все атаки на приложение. Используйте его вместе с безопасной разработкой, управлением исправлениями, контролем идентификации, проверкой схем API и журналами приложения. Отслеживайте обновления правил, исключения, первичный разбор событий и влияние на производительность.