Что такое WAF и зачем он сайту

WAF (Web Application Firewall, веб-файрвол) стоит между посетителями и сайтом и проверяет каждый HTTP-запрос: путь, параметры, заголовки, тело. Если запрос похож на атаку, WAF его блокирует, и до сервера он не доходит.

Чем WAF отличается от обычного файрвола

Обычный файрвол смотрит на адреса и порты. Для него запрос GET /catalog?id=1 UNION SELECT password FROM users — нормальное соединение на порт 443. WAF читает сам запрос и видит в нём SQL-инъекцию: так её распознаёт правило OWASP CRS 942100.

Что ловит WAF

• SQL-инъекции и XSS
• обход каталогов и попытки прочитать служебные файлы: .env, .git, бэкапы
• сканеры уязвимостей
• перебор паролей на страницах входа
• запросы с поддельными заголовками и нарушениями протокола

OWASP CRS

Core Rule Set — открытый набор правил, который поддерживает сообщество OWASP. Каждое сработавшее правило добавляет запросу баллы аномалии, и запрос блокируется, только когда сумма превышает порог. Поэтому один странный параметр сайт не ломает, а явная атака блокируется. В TurtleGuard работает CRS 4, а исключения и свои правила добавляются в панели.

Как не заблокировать своих

Главный риск WAF — ложные срабатывания на собственном API, админке или форме с необычными данными. Поэтому порядок такой:

1. Включите пассивный режим: правила только пишут в журнал, ничего не блокируя.
2. Посмотрите в журнале, что сработало бы, и добавьте исключения для своих путей.
3. Включите блокировку.

WAF и DDoS

WAF не спасает от объёма: гигабиты флуда отсекает сетевой фильтр на узлах. Зато L7-атаки, то есть тысячи обычных на вид запросов к страницам, WAF вместе с лимитами и проверкой браузера останавливает. Поэтому их и ставят вместе: о защите от DDoS целиком рассказываем в статье «Как защитить сайт от DDoS-атак».

Где включить

WAF входит в тарифы от Basic ($10 в месяц) и подключается дополнением к любому тарифу за $10 в месяц за домен. Свои правила собираются в панели из готовых условий: как писать правила.

Подключить сайт