阿里waf防火墙

去年双十一前夜，阿里某电商平台的火墙安全团队盯着监控大屏，QPS曲线突然拉出一道诡异的阿里尖峰。不是火墙正常流量，是阿里一波针对商品详情页接口的CC攻击，每秒四万次请求，火墙源IP散落在十几个国家的阿里僵尸网络里。值班工程师没慌，火墙在阿里云WAF控制台把防护模式从“观察”切到“拦截”，阿里顺手调了一条自定义规则——针对该接口的火墙Referer校验。三十秒后，阿里曲线回落。火墙攻击者大概不知道，阿里他们撞上的火墙是一套已经消化过无数次实战流量的清洗系统。

阿里WAF的阿里底子是从淘宝业务里长出来的。2010年前后，阿里内部安全团队开始把对抗外部扫描和注入攻击的经验沉淀成规则引擎。那时候还没有“云WAF”这个概念，只是几台反向代理服务器挂着ModSecurity，后面跟一堆人工写的正则。真正让它脱胎换骨的是2015年上云那波迁移——阿里云把内部用了多年的防护能力产品化，对外输出。这个时间点很关键，因为阿里自身业务体量足够大，每天承受的攻击样本比多数安全厂商一年见过的都多。规则库不是实验室里推演出来的，是拿真实流量喂出来的。

接入方式分两种。域名CNAME解析到WAF提供的别名地址，流量先过清洗节点再回源。或者用SDK方式把防护逻辑嵌进应用层，适合API网关场景。前者更常见，配置也简单，改个DNS记录的事。但这里有个坑：CNAME接入后，源站IP如果暴露，攻击者完全可以绕过WAF直接打源站。所以阿里WAF默认会建议你配一个回源白名单，只允许WAF节点IP段访问源站。很多人忽略这一步，结果防护形同虚设。

规则引擎是核心。阿里WAF的规则分三类：系统内置规则、自定义规则、AI学习规则。内置规则覆盖OWASP Top 10那套东西，SQL注入、XSS、命令执行、文件包含，都是老面孔。真正有意思的是自定义规则——你可以基于HTTP头部、URI、参数、甚至请求体内容做组合匹配。比如针对某个登录接口，写一条“如果POST body里包含‘union select’且User-Agent不含公司内部标识，则拦截”。这种细粒度控制是云WAF比传统硬件WAF灵活的地方。硬件WAF改条规则要提工单等变更窗口，云上点几下鼠标就生效。

AI学习规则是这两年加进去的。原理不复杂：WAF先跑一段时间的观察模式，记录正常流量的特征分布——请求频率、参数长度、UA分布、访问路径序列。然后建一个基线模型，偏离基线超过阈值的就标记为异常。好处是能抓到一些规则匹配覆盖不到的慢速攻击和业务逻辑滥用。坏处也有，误报率比规则匹配高。我见过一个案例，某客户上线AI规则后，把自家运维的批量数据导出请求给拦了，因为那行为跟爬虫太像。所以观察期不能省，至少跑满一周再切拦截。

价格方面，阿里WAF按套餐卖。基础版每月几千块，包含一定量的QPS和规则数。旗舰版贵得多，但支持自定义规则数量更多、日志存储更久、还有专属安全专家服务。中小客户通常选按量付费，攻击来了自动弹性扩容，没攻击时成本压得很低。这个计费模式对电商和游戏行业很友好，流量波动大，固定带宽买多了浪费。

说个实际观察：很多团队买了WAF就扔那不管了，规则用默认的，日志从来不翻。这跟没买区别不大。WAF的价值在于持续调优——每周看一次拦截日志，把误报的规则加白，把漏报的场景补自定义规则。攻击者在进化，防护策略也得跟着动。阿里WAF提供了日志投递到SLS的功能，配合告警规则，能省不少人工盯屏的功夫。但前提是你得去配。

最后提一句，WAF不是银弹。它挡不住0day，也防不了内鬼。它是一层过滤器，把噪音降下去，让真正的威胁浮出来。用得好不好，看人。