Почему WAF без OWASP-модели часто не работает
Частая ошибка — включить WAF в блокирующем режиме без базовой модели угроз. В результате команда получает вал ложных срабатываний, отключает правила и теряет защиту.
Практичный подход: использовать OWASP Top 10 как каркас. Это позволяет разложить риски по категориям (инъекции, broken access control, SSRF и др.) и настроить WAF осмысленно: что детектим, что блокируем, что наблюдаем.
Базовая архитектура WAF в продакшене
Оптимальная схема для большинства проектов: CDN/Edge WAF → балансировщик → origin. Edge снимает массовый шум и простые атаки, а origin-проверки и бизнес-валидация закрывают контекстные кейсы.
- Включите логирование событий WAF в централизованное хранилище.
- Свяжите события с метриками 4xx/5xx и latency.
- Разделяйте политики для API, админки и публичных страниц.
Полезные материалы: /waf, /cdn, /ddos-protection.
Пошаговое внедрение: от Detection к Blocking
Пример правил и исключений
SecRuleEngine DetectionOnly
Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/rules/*.conf
# Пример исключения для легитимного endpoint
SecRule REQUEST_URI "@beginsWith /api/v1/search" "id:10001,phase:1,pass,nolog,ctl:ruleRemoveTargetById=942100;ARGS:q"
# После калибровки
# SecRuleEngine OnВажно: исключайте только конкретные параметры и конкретные правила. Глобальное выключение категории (например, SQLi целиком) обычно открывает реальный риск.
Как измерять эффективность WAF
- True Positive Rate: доля корректно заблокированных атак.
- False Positive Rate: доля легитимных запросов, попавших под блок.
- MTTR по инцидентам правил: скорость исправления ошибочных блокировок.
- Доля атак по OWASP-категориям: что доминирует в вашей среде.
Цель первого месяца: снизить false positives до приемлемого уровня и перевести ключевые правила в блокировку без деградации UX.
Частые ошибки команд
- Запуск сразу в блокирующем режиме без периода наблюдения.
- Отсутствие версионирования политик и changelog по исключениям.
- Нет разделения правил по зонам (API/admin/public).
- Игнорирование связи WAF-событий с бизнес-метриками.
Операционные KPI и чек-лист запуска
FAQ
Нужна помощь с внедрением WAF без ложных блокировок? Команда AntiDDoS.su поможет построить политику, провести калибровку и вывести защиту в стабильный продакшен-режим.
Тарифы · Связаться · WAF-решения · Защита от DDoS · CDN