Web应用被攻击这事儿，真不是小概率事件。阿里云安全团队发布的数据显示，每天有超过8000万次Web攻击被拦截，SQL注入、XSS跨站脚本、CC攻击这些老套路依然是最常见的攻击方式。很多团队觉得"我们小网站没人盯"，结果某天突然被CC打瘫了才知道后悔。摩尔狮在摩尔狮教育的安全课程里反复强调，WAF不是可选项，是标配。
阿里云WAF（Web应用防火墙）的配置说难不难，但很多团队买完了就开个基础防护不管了，等于花了钱没用到刀刃上。今天拆5步，帮你把WAF真正用起来。
第一步，接入方式选择。WAF有三种接入方式：CNAME接入、透明接入、反向代理接入。大部分场景用CNAME接入就行，把域名DNS解析指向WAF提供的CNAME地址，流量就会先经过WAF清洗再回源到你的ECS。透明接入适合不想改DNS的场景，但需要WAF和ECS在同一VPC下。接入方式选错了，后面防护策略再牛也白搭。
第二步，开启基础防护规则。WAF内置了一套防护规则集，覆盖OWASP Top 10的常见攻击类型。SQL注入、XSS、命令注入、目录遍历这些，基础规则默认就能拦。但很多人忽略了一点：规则的动作模式要选对。初期建议先设为"观察"模式跑一周，看看有没有误报，再切到"阻断"模式。直接开阻断，万一把正常请求拦了，业务就受影响了。
第三步，配置精准防护策略。基础规则是通用的，精准防护是针对你业务定制的。比如你可以设一条规则：同一IP在1分钟内访问登录接口超过20次，直接封禁1小时。这就是防暴力破解的。再比如限制特定UA的访问，防爬虫。这些策略需要根据你的业务特点来配，没有万能模板。做好这步，后续做零信任架构落地时也能省不少事。
第四步，配置CC攻击防护。CC攻击是最让人头疼的，因为它模拟正常请求，基础规则拦不住。WAF的CC防护模块可以根据访问频率、会话行为来识别异常。关键参数是QPS阈值和统计窗口，一般建议设为正常业务峰值的3到5倍。比如你的网站正常峰值是200 QPS，CC防护阈值设到600到1000。太低容易误杀，太高又拦不住真正的攻击。
第五步，看日志做持续优化。WAF的访问日志和安全日志都要看。安全日志能看到哪些攻击被拦截了，有没有新的攻击模式。访问日志能看到流量分布，哪些接口被频繁访问。阿里云WAF支持日志投递到SLS（日志服务），可以做长期存储和可视化分析。定期看日志，调整防护策略，这是个持续的过程。
WAF不是配完就完了，安全防护永远是个动态博弈的过程。攻击者在升级手法，你的防护策略也得跟着迭代。如果你对云安全体系感兴趣，也可以了解一下等保2.0云上合规的相关要求，WAF是其中重要的一环。
更多阿里云认证资讯，请关注公众号：摩尔狮云证通