waf-defense-rulepacks

关于项目

WAF Defense Rulepacks 是一套精心整理的优化安全规则集合，专为业内最广泛部署的 Web Application Firewall 设计。Web Application Firewall（WAF）位于用户与 Web 应用之间，检查每个 HTTP 请求并阻止那些匹配已知攻击模式的请求——例如 SQL 注入、跨站脚本（XSS）、命令注入、路径遍历等。 本项目提供三套完整规则集，每一套都针对特定 WAF 平台进行了优化：ModSecurity（与 Apache 和 Nginx 一起使用的开源标准）、AWS WAF（Amazon 的云原生防火墙）以及 Cloudflare WAF（广泛使用的 CDN 集成防火墙）。每套规则覆盖完整的 OWASP Top 10 漏洞类别、特定于 API 的攻击模式（认证失效、过度数据暴露、Mass Assignment），以及能够绕过默认 WAF 配置的现代绕过技术。 每条规则都包含详细注释，说明其检测的攻击类型、检测模式的工作原理、潜在误报场景以及调优建议。规则按攻击类别和严重性级别组织，使安全团队能够逐步启用防护——从高置信度规则开始，再在调优时逐步加入更激进的检测。 该项目还包括一套全面的测试套件，包含已知良好和已知恶意的请求样本，使团队能够在部署到生产环境之前验证规则有效性并衡量误报率。

为什么这很重要

Web Application Firewall 是任何面向互联网的应用的重要防御层，但其有效性仅取决于规则配置。大多数供应商提供的默认 WAF 规则只能提供基础防护，却会遗漏复杂攻击、现代绕过技术以及应用特定漏洞。研究表明，使用 WAF 的组织中有超过 40% 存在严重的规则覆盖缺口，尽管已经部署了 WAF，仍然暴露在风险之中。 配置错误的 WAF 会制造危险的安全错觉——组织以为自己受到了保护，但实际上其 WAF 很容易被绕过。本项目通过提供经过真实攻击流量测试、基于多年 Web 应用安全经验不断打磨、并且文档详尽的规则，弥补这一缺口，使安全团队能够准确理解每条规则的作用及其原因。 对于受 PCI-DSS、SOC 2 或 GDPR 合规约束的组织，拥有一套配置良好且规则有文档记录的 WAF 往往是监管要求。本规则包既提供技术防护，也提供合规所需的审计文档。

分步指南

1. 为您的 WAF 平台选择合适的规则包（ModSecurity、AWS WAF 或 Cloudflare）。每个规则包都在各自目录中，并带有 README 说明先决条件和兼容性要求。请确保您的 WAF 版本满足列出的最低要求。
2. 使用每个平台提供的自动安装脚本导入规则。对于 ModSecurity，运行 'install-modsec.sh'，它会将规则放入正确目录并更新配置。对于 AWS WAF，使用 /aws-waf/terraform/ 中的 Terraform 模板创建规则组。对于 Cloudflare，使用 /cloudflare/deploy.sh 中的 API 脚本。
3. 根据您的环境配置阻止阈值和灵敏度级别。先以 'detection-only' 模式（仅记录不阻止）运行，方法是设置 DETECTION_MODE=true。在切换到主动阻止模式之前，先监控 1-2 周的误报情况。/docs/tuning.md 中的调优指南提供了逐步说明。
4. 定期监控 WAF 日志，并根据应用的合法流量模式调整规则。使用随附的日志分析脚本识别潜在误报，并为已知良好请求创建例外规则。查看季度更新公告，了解针对新兴攻击技术的新规则。

使用的技术