Что такое WAF и нужен ли он сайту: как работает и чего не закрывает

WAF (web application firewall) — фильтр перед сайтом. Он разбирает HTTP-запросы, сверяет их с правилами и блокирует типовые атаки: SQL-инъекции, XSS, подбор путей, часть ботов. Нужен ли он сайту: если на нём есть формы, личный кабинет, оплата или он на популярной CMS, то обычно да. Но WAF не заменяет обновления: он снижает риск, пока вы ставите исправления, и сам требует настройки.

Как работает WAF

Обычный межсетевой экран смотрит на адреса и порты. WAF работает на уровне приложения: читает адрес, заголовки и тело запроса и решает, пропустить его, заблокировать или показать проверку. Решения принимаются по наборам правил, по репутации адресов и по поведению (слишком частые запросы, подозрительные последовательности).

Самый известный открытый набор правил — OWASP Core Rule Set (CRS), который используют с ModSecurity и совместимыми движками. У него есть уровни «паранойи» (Paranoia Level): первый рассчитан на минимум ложных срабатываний, каждый следующий добавляет правила и риск блокировать нормальных пользователей. Документация CRS прямо говорит, что ложные срабатывания неизбежны и их «вылечивают» исключениями для правил, то есть настройкой под конкретный сайт.

Виды WAF

От чего WAF защищает

• SQL-инъекции, XSS и попытки обхода каталогов в запросах;
• сканеры и боты, которые перебирают служебные адреса (/wp-admin, /.env, /phpmyadmin);
• часть автоматического перебора паролей и спам-отправок форм;
• массовые атаки на свежие уязвимости, пока обновление ещё не поставлено: правила появляются быстрее, чем вы успеваете обновить сайт.

Последний пункт хорошо виден на новостях: когда у WordPress появилась подтверждённая атака на уязвимость ядра, фильтр Wordfence блокировал около 13 тысяч попыток в сутки (разбор). Но защитным решением там остаётся обновление до 7.1.4, а WAF лишь покупает время.

Чего WAF не закрывает

О том, что на самом деле помогает против DDoS, у нас есть отдельный материал: защита сайта от DDoS. А чтобы выявить логические ошибки, которые WAF не увидит, нужен аудит безопасности.

Когда WAF нужен, а когда можно подождать

1. На сайте есть вход, кабинет, оплата, заявки с персональными данными. WAF нужен: утечка станет проблемой не только для репутации.
2. Сайт на популярной CMS (WordPress, Битрикс, Joomla) со множеством плагинов. Нужен: бот ищет такие сайты массово.
3. Простая визитка на статике. Можно обойтись обновлениями и правильными настройками хостинга.
4. Сайт под высокой нагрузкой и атаками. Облачный WAF вместе с защитой от DDoS.
5. Сайт без обновлений и поддержки. WAF не лечит: сначала приведите сайт в порядок.

Как внедрять без поломок

Главная проблема WAF — не пропущенные атаки, а заблокированные клиенты. Неправильные правила режут оформление заказа, оплату, вебхуки платёжных систем, обмен с CRM, ботов поисковых систем и обновления из Telegram. Поэтому включайте защиту по этапам.

1. Режим обнаружения. Правила только пишут события в журнал, ничего не блокируя. Продержите его одну-две недели.
2. Разбор журнала. Найдите срабатывания на нормальные действия: оформление заказа, редактор в админке, загрузка файлов, вебхуки.
3. Исключения. Добавьте исключения для конкретных правил и адресов, а не отключайте защиту целиком.
4. Блокировка. Включите блокировку для надёжных правил, оставьте остальные в режиме проверки.
5. Проверка после изменений. После каждого обновления CMS и после смены темы повторите тест заказа, оплаты и форм.
6. Проверка ботов поисковиков. Убедитесь, что Googlebot и Яндекс не получают капчу, как разобрано в статье про Googlebot и капчу.

Что мы советуем на практике

Это наше мнение, а не универсальное правило. Для небольшого сайта разумная схема такая: актуальные версии CMS и плагинов, двухфакторная аутентификация для администраторов, резервные копии вне сервера и WAF от хостера или облачный в режиме обнаружения, затем в режиме блокировки. На серверах с высокой нагрузкой и личными кабинетами лучше разворачивать WAF вместе с мониторингом: защита сайта и мониторинг строятся именно по такой схеме. Работы по настройке и сопровождению входят в поддержку сайта.

Чек-лист выбора WAF

1. Какие приложения нужно защитить: CMS, API, личный кабинет?
2. Видит ли WAF реальный IP клиента, и видит ли сайт его в логах?
3. Есть ли режим обнаружения без блокировки?
4. Как добавляются исключения и кто будет их разбирать?
5. Какие журналы доступны и как долго хранятся?
6. Что произойдёт с сайтом, если WAF выйдет из строя: есть ли способ быстро его отключить?