Межсетевой экран веб-приложений (WAF): Полное руководство по настройке и конфигурации
Выберите один ключевой показатель, смоделируйте LTViПожизненная ценность клиента. Общий доход, который вы ожидаете от клиента за всё время сотрудничества, используется для определения допустимой стоимости его привлечения.Подробнее в глоссарии → относительно потолка CACiСтоимость привлечения клиента. Общие маркетинговые расходы, делённые на количество новых клиентов, привлечённых за тот же период.Подробнее в глоссарии →, позволяющего бизнесу масштабироваться, зафиксируйте канальный стек на трёх лучших по маржинальной отдаче и работайте 90-дневными спринтами с удержанием инкрементальности. Большинство планов проваливаются из-за распыления по каналам без холдаута. Unled лично размещал бюджеты с семизначными цифрами, следуя этой структуре.
Ключевые выводы
- WAF (Межсетевой экран веб-приложений) защищает от атак на уровне приложений: SQLiКвалифицированный лид для продаж. Лид, подтверждённый отделом продаж как имеющий бюджет, полномочия и намерение совершить покупку.Подробнее в глоссарии →-инъекции, XSS, включение файлов, подбор учётных данных и злоупотребление API.
- WAF работает на 7-м уровне, он проверяет содержимое HTTP/HTTPS-запросов, в отличие от традиционных файрволов, фильтрующих только сетевые пакеты.
- Объедините WAF с защитой от DDoS и управлением ботами для комплексной безопасности, каждый из них борется с атаками на разных уровнях.
- Начинайте с управляемых наборов правил (OWASP CRS, Cloudflare Managed Rules) и добавляйте собственные правила, исходя из специфических атак на ваше приложение.
- Сначала режим мониторинга: Внедряйте новые правила WAF в режиме логирования/мониторинга перед блокировкой, ложные срабатывания могут нарушить легитимную функциональность.
Содержание
Ваш сайт ежедневно сталкивается с сотнями автоматизированных атак, SQL-инъекции, XSS-пейлоады, попытки подбора учётных данных и сканеры эксплойтов. Межсетевой экран веб-приложений (WAF), это уровень безопасности, который проверяет каждый HTTP-запрос, обнаруживает вредоносные шаблоны и блокирует атаки до того, как они достигнут вашего приложения.
Самый мощный рычаг для эффективности платного трафика в 2026 году, это гигиена аккаунтов. Возрастные аккаунты, чистые платёжные инструменты и изолированные профили браузеров дают преимущество в 30-50% по CPA на тех же креативах.
Что такое WAF?
WAF располагается между вашим веб-трафиком и приложением, анализируя каждый HTTP/HTTPS-запрос на соответствие набору правил безопасности. Он отличается от сетевых файрволов (фильтрующих по IP/порту) и систем IDS/IPS (мониторящих сетевые пакеты). WAF понимают веб-протоколы, они могут проверять параметры URL, тело запроса, куки, заголовки и загружаемые файлы на наличие вредоносного содержимого.
Как работает WAF
Позитивная модель безопасности (Вайтлистинг)
Определяет, как выглядят легитимные запросы, и блокирует всё остальное. Наиболее безопасно, но требует обширной настройки для каждой конечной точки приложения.
Негативная модель безопасности (Блоклистинг)
Ведёт базу известных сигнатур атак и блокирует соответствующие запросы. Проще в развёртывании, но не может ловить атаки нулевого дня. Большинство управляемых наборов правил используют этот подход.
Оценка аномалий
Назначает баллы за каждую подозрительную характеристику. Когда общий балл запроса превышает порог, он блокируется. Этот подход (используемый OWASP Core Rule Set) уменьшает количество ложных срабатываний, требуя нескольких подозрительных сигналов.
Защита от OWASP Top 10
| Уязвимость OWASP | Защита WAF | Тип правила |
|---|---|---|
| SQL-инъекции | Обнаружение SQL-синтаксиса в параметрах, заголовках, куках | Управляемое + Пользовательское |
| XSS (Межсайтовый скриптинг) | Блокировка тегов script, обработчиков событий, закодированных пейлоадов | Управляемое |
| Нарушение аутентификации | Ограничение частоты запросов к точкам входа, обнаружение подбора учётных данных | Пользовательское + Ограничение частоты |
| Подделка серверных запросов (SSRF) | Блокировка запросов к внутренним IP, проверка URL в параметрах | Пользовательское |
| Ошибки конфигурации безопасности | Блокировка доступа к панелям администратора, конфигурационным файлам, файлам .env | Пользовательское |
| Включение файлов (LFI/RFI) | Обнаружение шаблонов обхода пути (../ и т.д.) | Управляемое |
| Внешние XML-сущности (XXE) | Проверка XML-пейлоадов на объявления сущностей | Управляемое |
Типы WAF
| Тип | Примеры | Для кого подходит | Плюсы/Минусы |
|---|---|---|---|
| Облачный WAF | Cloudflare, AWS WAF, Akamai | Большинство сайтов и API | Простое развёртывание, автоматическое масштабирование, CDN включён / Меньше возможностей кастомизации |
| Хостинговый WAF | ModSecurity, NAXSI | Самоуправляемые серверы | Полный контроль, открытый исходный код / Требует экспертизы, ручные обновления |
| Сетевой WAF | F5 BIG-IP, Fortinet FortiWeb | Корпоративные дата-центры | Наименьшая задержка, аппаратное ускорение / Дорого, сложное развёртывание |
Настройка Cloudflare WAF
Cloudflare WAF, самый популярный облачный WAF, входящий в тарифы Pro (0/мес) и выше:
- Cloudflare Managed Ruleset: Предварительно настроенные правила для распространённых атак, обновляемые командой безопасности Cloudflare
- OWASP Core Rule Set: Адаптированный для платформы Cloudflare OWASP ModSecurity CRS
- Пользовательские правила: Написание собственных правил на языке выражений Cloudflare (Wirefilter)
- Правила ограничения частоты: Регулирование или блокировка чрезмерного количества запросов к определённым конечным точкам
- Правила доступа по IP: Разрешение/блокировка конкретных IP, диапазонов IP, ASN или стран
Написание собственных правил WAF
Блокировка доступа к конфиденциальным файлам
Блокируйте запросы к конфигурационным файлам, файлам окружения и путям администратора, которые не должны быть общедоступны (.env, .git, wp-admin, phpMyAdmin и т.д.).
Защита конечных точек входа
Применяйте строгое ограничение частоты к точкам входа, регистрации и сброса пароля. Комбинируйте с управлением ботами для блокировки атак по подбору учётных данных.
Географические ограничения
Если ваше приложение обслуживает определённые регионы, блокируйте или ставьте под сомнение трафик из неожиданных стран, особенно для панелей администратора и API.
Ограничение и регулирование частоты запросов
Ограничение частоты, один из самых эффективных методов WAF:
- Глобальный лимит: Максимум запросов с одного IP в минуту на весь сайт
- Лимиты для конкретных точек: Более строгие лимиты для чувствительных точек (вход, API, поиск)
- Прогрессивные лимиты: Сначала мягкий вызов (CAPTCHA), затем жёсткая блокировка при продолжении злоупотреблений
- Лимиты на основе оценки бота: Более низкие пороги для низких оценок ботов, более высокие, для подтверждённых людей
Интеграция WAF с защитой от DDoS и ботами
WAF работает лучше всего как часть многоуровневого стека безопасности:
- CDN/Anycast сеть: Поглощает объёмные DDoS-атаки
- Защита от DDoS: Обрабатывает протокольные атаки L3/L4
- WAF: Фильтрует атаки на уровне приложений L7 (SQL-инъекции, XSS и т.д.)
- Управление ботами: Идентифицирует автоматизированные угрозы с помощью снятия отпечатков и поведенческого анализа
- Ограничение частоты: Сдерживает злоупотребления с отдельных источников
Сравнение решений WAF
| Решение | Для кого подходит | Цены |
|---|---|---|
| Cloudflare WAF | Большинство сайтов, интегрированный CDN+DDoS+WAF+Боты | От 0/мес (Pro) |
| AWS WAF | Приложения, размещённые в AWS | $5/мес + $0.60/млн запросов |
| Akamai App & API Protector | Корпоративные сайты с высоким трафиком | Корпоративные цены |
| Imperva WAF | Отрасли с высокими требованиями соответствия (PCI-DSS) | От $$$ |
| ModSecurity (открытый исходный код) | Самоуправляемые серверы, полный контроль | Бесплатно (самостоятельное управление) |
| Sucuri WAF | Сайты на WordPress, малый бизнес | От $9.99/мес |
Лучшие практики WAF
- Сначала развёртывайте в режиме мониторинга: Логируйте заблокированные запросы без фактической блокировки, проверяйте ложные срабатывания перед применением
- Настраивайте правила под ваше приложение: Общие наборы правил вызывают ложные срабатывания. Заносите в белый список легитимные шаблоны, специфичные для вашего приложения.
- Регулярно обновляйте: Новые уязвимости появляются ежедневно, поддерживайте управляемые наборы правил в актуальном состоянии
- Мониторьте логи WAF: Просматривайте заблокированные запросы для выявления тенденций атак и настройки правил
- Не полагайтесь только на WAF: WAF, это один уровень; комбинируйте с безопасным кодированием, установкой обновлений и укреплением инфраструктуры
- Тестируйте сканерами безопасности: Используйте OWASP ZAP или Burp Suite для проверки, что ваш WAF ловит ожидаемые атаки
Нужна настройка инфраструктуры безопасности?
Наша команда настраивает WAF, защиту от DDoS, управление ботами и мониторинг безопасности для сайтов и приложений. Полная защита от уровня приложения до уровня сети.
Получить консультацию по безопасности →
Комментарии
Есть вопрос или опыт? Присоединяйтесь. Ваш email не публикуется.
Really helpful breakdown. Been looking for clear info on this topic.
Thanks for the feedback. Based on our experience across hundreds of accounts, this approach shows results within 2-4 weeks.