WAF简介
WAF是（Web Application Firewall）的简称，一般称为web应用防火墙（waf防火墙），用于屏蔽过滤常见漏洞攻击，sql，xml，xss等，针对应用层的入侵检测（只针对应用层）。次要功能是作网站加速用CDN等。
WAF分为三种，三类WAF优缺点均有但工作流程几乎相同。
云WAF（阿里云盾，百度云加速）用户的请求首先发送到云端节点进行检测，如存在异常请求则进行拦截否则将请求转发至真实服务器。
优点：部署简单，兼顾CDN。
缺点：可靠性比硬WAF稍低，受上游厂商影响较大。
硬WAF（nsfocus imperva）硬件Waf通常的安装方式是将Waf串行部署在Web服务器前端，用于检测、阻断异常流量。
优点：高吞吐量，即插即用。
缺点：价格贵。
软WAF（安全狗 D盾）安装在需要防护的服务器上，实现方式通常是WAF监听端口或以Web容器扩展方式进行请求检测和阻断。
优点：免费，开源。
缺点：严重误杀&漏报，内存占用量大。
MoSecurity搭建
本文基于modsecurity，nginx搭建环境
它是一款开源的的三方模块，功能包括http流量日志，实时检测等功能。
ModSecurity核心规则集(CRS)提供以下类别的保户来防止攻击。
官方宣传:
◆HTTP Protection （HTTP防御） - HTTP协议和本地定义使用的detectsviolations策略。
◆Real-time Blacklist Lookups（实时黑名单查询） -利用第三方IP信誉。
◆HTTP Denial of Service Protections（HTTP的拒绝服务保护） -防御HTTP的洪水攻击和HTTP Dos 攻击。
◆Common Web Attacks Protection（常见的Web攻击防护） -检测常见的Web应用程序的安全攻击。
◆Automation Detection（自动化检测） -检测机器人，爬虫，扫描仪和其他表面恶意活动。
◆Integration with AV Scanning for File Uploads（文件上传防病毒扫描） -检测通过Web应用程序上传的恶意文件。
◆Tracking Sensitive Data（跟踪敏感数据） -信用卡通道的使用，并阻止泄漏。
◆Trojan Protection（木马防护） -检测访问木马。
◆Identification of Application Defects （应用程序缺陷的鉴定）-应用程序的错误配置警报。
◆Error Detection and Hiding（错误检测和隐藏） -伪装服务器发送错误消息。
安装过程：
依赖
yum install -y git wget epel-release
yum install -y gcc-c++ flex bison yajl yajl-devel curl-devel curl GeoIP-devel doxygen zlib-devel pcre-devel lmdb-devel libxml2-devel ssdeep-devel lua-devel libtool autoconf automake克隆ModSecurity
git clone https://github.com/SpiderLabs/ModSecurity
# cd ModSecurity
# git submodule init //初始化
# git submodule update //更新
# sh build.sh
# ./configure //检查配置产出makefile
# make //编译
# make install //安装编译安装比较慢，耐性等待
下载nginx连接器源码
克隆git
git clone https://github.com/SpiderLabs/ModSecurity-nginx下载nginx源码并编译安装
wget http://nginx.org/download/nginx-1.16.1.tar.gz
tar -xvf nginx-1.16.1.tar.gz
cd /nginx-1.16.1
./configure --add-module=/root/ModSecurity-nginx
make
make install
/usr/local/nginx/sbin/nginxnginx环境变量
vim /usr/lib/systemd/system/nginx.service写入
[Unit]
Description=nginx - high performance web server
Documentation=http://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target
[Service]
Type=forking
PIDFile=/usr/local/nginx/logs/nginx.pid
ExecStart=/usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID
[Install]
WantedBy=multi-user.target
配置文件
mkdir /usr/local/nginx/conf/modsecurity
cd ModSecurity
cp modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity/modsecurity.conf
cp unicode.mapping /usr/local/nginx/conf/modsecurity
OWASP规则
wget http://www.modsecurity.cn/download/corerule/owasp-modsecurity-crs-3.3-dev.zip
unzip owasp-modsecurity-crs-3.3-dev.zip
cd owasp-modsecurity-crs-3.3-dev
cp crs-setup.conf.example /usr/local/nginx/conf/modsecurity/crs-setup.conf
cp -r rules/ /usr/local/nginx/conf/modsecurity/
cd /usr/local/nginx/conf/modsecurity/rules/
//修改文件名
cp REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example.back
cp RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example.back
cp RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example.back RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf
cp REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example.back REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf修改nginx启用waf
vim /usr/local/nginx/conf/nginx.conf在http或server节点中添加以下内容（在http节点添加表示全局配置，在server节点添加表示为指定网站配置）
modsecurity on;
modsecurity_rules_file /usr/local/nginx/conf/modsecurity/modsecurity.conf;编辑modsecurity.conf
SecRuleEngine DetectionOnly改为SecRuleEngine On
同时添加以下内容：
Include /usr/local/nginx/conf/modsecurity/crs-setup.conf
Include /usr/local/nginx/conf/modsecurity/rules/*.conf
重启服务
