绿盟waf配置手册

绿盟WAF的绿盟默认配置，说实话，置手能挡住一半的绿盟扫描器，但挡不住真正想打你的置手人。我见过太多用户直接套用出厂策略，绿盟结果被绕过去之后还一脸懵。置手别急，绿盟咱们从最实际的置手防护配置说起。

登录管理界面，绿盟第一件事不是置手去看“安全策略”，而是绿盟改管理端口和IP白名单。默认的置手443端口挂着管理后台，等于把家门钥匙放在脚垫底下。绿盟我习惯把管理口独立出来，置手绑定内网IP，绿盟或者至少加个源地址限制——这比任何规则都管用。别嫌麻烦，被脱库的时候你就知道这一步多值钱了。

然后是“Web防护”里的基础规则集。绿盟默认开了SQL注入、XSS这些，但有个坑：它对json格式的POST请求解析经常漏。我遇到过好几次，攻击者把payload塞在json的value里，规则直接瞎了。解决办法是手动添加“内容类型”为application/json的解析策略，再把“深度检测”开关打开。这招不复杂，但能堵住八成绕过的路。

再说说CC防护。默认的每秒请求数阈值是200，对静态页面来说还行，但碰上动态接口，这数字低得离谱。我调过一家电商网站，活动期间正常用户每秒请求都能冲到300，结果被自己WAF误封了一大片。你得先观察一周的基线流量，再按业务接口分开设置阈值。比如登录接口设成50，查询接口设成150，别一刀切。另外，把“人机验证”的滑块打开，对真用户影响小，对脚本是致命的。

有个细节容易被忽略——绿盟WAF的“URL白名单”和“攻击例外”是两码事。白名单是直接放行不检测，例外是跳过某条规则但其他规则还生效。我见过有人把整个后台路径塞进白名单，结果后台被暴力破解了都不知道。正确做法是：后台路径用“例外”只关掉“扫描器特征”那条规则，SQL注入和XSS全留着。

日志分析这块，别只看“攻击事件”标签页。我习惯定期导出“访问日志”里的4xx状态码，那些返回403但请求参数里带一堆编码字符的，十有八九是绕WAF的试探。有一次我发现某个IP每天凌晨三点固定访问一个不存在的.php文件，参数里全是base64，明显是有人在测规则。把这种IP加进黑名单，比等攻击告警来得实在。

最后说说策略更新。绿盟的规则库每个月更新一次，但别光点“自动更新”就完事。更新后你得跑一遍自己的业务回归测试——我吃过亏，某次更新把正常的文件上传功能给拦了，因为新规则把multipart/form-data里的某个字段识别成了文件包含攻击。所以，每次升级后，拿你们自己的业务流量跑一遍，比看更新日志靠谱得多。

配置这玩意儿，没有一劳永逸。你越了解自己的业务，WAF就越聪明。别迷信“智能防御”，它顶多帮你省点事，真正保命的还是那些你手动调过的细节。去翻翻你们的访问日志，指不定现在就有个IP在慢慢试探你呢。