WAF 概述

主要对网站或者App的业务流量进行识别、防护,对流量进行清洗之后,将正常、安全的流量返回给服务器。

---

功能特性

功能类别	功能说明
业务配置	支持对网站的HTTP、HTTPS流量进行安全防护。
Web应用安全防护	1. 常见Web应用攻击防护：防御OWASP常见威胁：SQL注入、XSS跨站、WebShell上传、后门攻击、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、核心文件非授权访问、路径穿越、网站被扫描等。网站隐身：不对攻击者暴露站点地址,避免其绕过Web应用防火墙直接攻击。0day补丁及时更新：及时更新漏洞补丁,防护网站安全。友好的观察模式：针对网站新上线的业务开启观察模式,对于匹配中防护规则的疑似攻击只告警不阻断,方便统计业务误报状况。 2. 深度精确防护：支持全解析多种常见HTTP协议数据格式：任意头部字段、Form表单、Multipart、JSON、XML。支持解码常见编码类型。支持预处理机制：空格压缩、注释删减、特殊字符处理,向上层多种检测引擎提供更为精细、准确的数据源。 3. CC恶意攻击防护：控制单一源IP的访问频率,基于重定向跳转验证、人机识别等。针对海量慢速请求攻击,根据统计响应码及URL请求分布、异常Referer及User-Agent特征识别,结合网站精准防护规则综合防护。抵御CC攻击和网络爬虫。充分利用阿里云大数据安全优势,建立威胁情报与可信访问分析模型,快速识别恶意流量。 4. 精准访问控制：提供友好的配置控制台界面,支持IP、URL、Referer、User-Agent等HTTP常见字段的条件组合,配置强大的精准访问控制策略;支持盗链防护、网站后台保护等防护场景。与Web常见攻击防护、CC防护等安全模块结合,搭建多层综合保护机制。 5. 虚拟补丁：在Web应用漏洞补丁发布和修复之前,通过调整Web防护策略实现快速防护。
攻击事件管理	支持对攻击事件、攻击流量、攻击规模的集中管理统计。
灵活性、可靠性	支持[[Aliyun/网络/负载均衡SLB

---

WAF 3.0与2.0

3.0是最新推出的版本,在接入方式、防护配置、计费方式等方面进行了优化。两者不能在同一账号下共存,各自有单独的控制台。

接入方式对比

WAF支持云产品接入、CNAME接入。
其中,3.0支持更先进的==云产品SDK接入==。

接入方式	WAF 3.0	WAF 2.0
CNAME接入 (图示1)	支持。通过添加域名,将域名的[[Aliyun/网络/DNS-CDN-SSL	DNS]]解析指向WAF的CNAME地址,使域名的Web业务引流到WAF。WAF会拦截攻击请求并将正常业务请求转发回源站服务器。该过程中,WAF作为反向代理集群,同时参与流量的转发和检测防护。
云产品接入 (WAF作为反向代理集群) (图示2)	支持。通过添加引流端口到WAF的方式,使云产品网关自动改变路由,将Web业务引流到WAF。WAF会拦截攻击请求并将正常业务请求转发回源站服务器。该过程中,WAF作为反向代理集群,同时参与流量的转发和检测防护。	支持。
云产品接入 (WAF作为SDK插件) (图示3)	支持。如果您的业务已在应用型负载均衡ALB、微服务引擎MSE或函数计算FC运行,推荐您使用该种接入方式接入WAF。WAF 3.0通过SDK模块化的方式集成在云产品的网关中,通过内嵌在网关中的SDK提取流量并进行检测和防护。该过程中,WAF不参与流量转发,避免因额外引入一层转发而带来各种兼容性和稳定性问题。支持基于实例一键开启安全防护,无需修改DNS,也无需配置证书、端口、回源算法等,简化接入流程,降低对原有业务的影响。支持阿里云原生产品实例支持的所有地域,覆盖更广。支持在多云或混合云本地自建网关(如Nginx),通过混合云SDK服务化接入方式集成。基于服务化接入,WAF 3.0补充完整了各种业务场景下的灵活接入能力,可基于用户的实际网络环境和合规等需求,支持多种环境下的接入部署,并实现由一套控制台统一管控。	不支持。

2.0的CNAME接入和透明接入

差异	CNAME接入	透明接入
概念	通过将需要防护的网站信息添加到WAF,并修改网站域名的DNS解析设置,将源站的Web请求转发到WAF进行防护。	通过将需要防护的网站信息添加到WAF,无需修改域名的DNS解析设置,即可将源站的Web请求转发到WAF进行防护。
支持的源站	部署在阿里云上或云下的所有源站。	部署在ECS服务器或阿里云公网SLB上。
接入域名维度	一次只能接入一个域名。	可以按实例维度接入该实例下的所有域名。
是否需要设置回源	需要设置回源。	无需设置回源。
是否需要修改DNS解析	需要修改DNS解析。	无需修改DNS解析。
是否需要设置源站保护	源站存在直接被攻击的风险,需要设置源站保护。	无需设置源站保护。
使用限制	无。	由于网络底层架构限制,仅部分地区支持透明接入。透明接入不支持私网SLB实例。透明接入不支持IPv6,引流端口配置的数量也存在一定限制。透明接入存在默认防护且无法修改,必须要配置域名后才能编辑域名级别的防护规则。

防护配置对比

防护配置	WAF 3.0	WAF 2.0
批量配置防护规则	支持。 WAF 3.0以接入的域名或实例为防护对象,并支持将防护对象加入到防护对象组。您可以为防护对象组配置同一条防护规则,为防护对象组中的防护对象批量配置规则。您也可以将云产品接入WAF的实例中的某一域名单独添加为防护对象,为其配置定制化的防护规则。	不支持。 WAF 2.0以域名为防护对象,仅支持为单条域名配置防护规则。若需要对100个域名下发一条相同规则时,必须配置100遍。
为非域名接入的流量配置防护规则	支持。 云产品接入的实例自动被添加为防护对象,并支持为其配置和修改防护规则。	不支持。 若透明接入的实例中包含100个域名时,必须将每个域名都接入WAF后,才可以调整规则,否则所有流量都只能使用默认防护规则且无法修改。
全局查看防护规则	支持。 WAF 3.0为每个防护模块规划卡片区域,您可以在每个模块区域查看和管理规则,轻松了解某个防护模块具体配置了哪些防护模板,这些防护模板各自关联了哪些防护对象或防护对象组。您还可以通过规则ID,检索防护规则。	不支持。 若您希望知道某个域名配置了哪些防护规则,需要查看所有防护规则。
修改默认防护规则	支持。 WAF 3.0中的防护规则模板具备默认属性。若您希望新接入的域名配置的默认防护规则均为观察模式,您可以将默认模板设置为观察模式,那么,新接入的防护对象的防护动作都为观察模式,无需每次手动修改。	不支持。 若您希望新接入的域名配置的默认防护规则均为观察模式,WAF 2.0是无法做到的。您需要在接入以后,手动修改对应域名的防护规则。

---

计费

3.0版本支持包年包月和按量计费,两者并不能互相转换: https://help.aliyun.com/zh/waf/web-application-firewall-3-0/product-overview/editions