网站接入WAF后，配置规则的核心在于先启用基础规则集并设置为观察模式，再根据业务日志逐步调整白名单和黑名单，最后针对特殊场景自定义规则。
网站接入WAF后怎么配置规则
这是新手最关心的问题,配置规则不需要一步到位，按顺序执行三个步骤就能搭好防护框架。
第一步：选择防护模式
WAF控制台通常提供两种防护模式：观察模式和拦截模式，行业共识建议，接入初期先启用观察模式，让WAF记录所有匹配到规则的请求，但不拦截，这样你能看到哪些正常请求可能被误判，避免业务受损。
实操路径：登录WAF管理后台，找到“防护设置”或“规则模式”选项，选择“观察”或“日志模式”并保存，部分云厂商的WAF会默认开启观察模式，确认一下即可。
第二步：启用通用规则集
通用规则集覆盖了主流攻击类型,包括SQL注入、XSS跨站脚本、文件包含、命令执行等，这些规则由厂商维护，开箱即用，你只需要在规则管理页面，批量勾选“通用规则”并启用，据统计，启用通用规则后，80%以上的常见Web攻击能被拦截，这是最基础也是性价比最高的配置。
第三步：配置白名单和黑名单
白名单用于避免误杀,黑名单用于主动封禁，先看日志：如果发现某个正常请求被规则命中，比如后台管理页面被拦截，就把该URL或参数加入白名单，黑名单则针对已知恶意IP或特征，比如某个IP频繁扫描，直接加入黑名单，阻止其访问。
配置要点：白名单要精确，不要用全局通配符，否则规则形同虚设，黑名单建议结合第三方威胁情报，定期更新。
WAF规则配置教程：核心设置与优化
基础规则启用后,需要根据业务特点做精细化调整，这部分才是体现防护效果的关键。
自定义规则：针对业务逻辑
通用规则无法覆盖所有场景,比如限流、检测特定参数、阻止爬虫，这时需要自定义规则，以阻止CC攻击为例：设置匹配条件为“IP超过每分钟100次请求”，动作为“拦截并封锁30分钟”。
实操路径：在WAF的“自定义规则”或“精准防护”模块，填写规则名称、匹配条件（来源IP、URL、参数等）、动作（拦截、观察、放行）和优先级。优先级数字越小，越先匹配，注意顺序。
规则优先级调整
当多个规则同时命中时,优先级高的生效，如果自定义规则和通用规则冲突，可能导致误判，建议把精确的白名单规则放在最高优先级，其次是拦截规则，最后是通用规则，这样确保正常请求先通过，恶意请求被拦截。
定期更新规则库
WAF厂商会定期发布新规则应对新型漏洞,你需要在控制台检查更新，或者开启自动更新，大部分云WAF默认自动更新，但硬件WAF可能需要手动下载，更新频率建议每周一次，关键漏洞出现时立即更新。
WAF误报处理：白名单规则配置技巧
误报是配置中最常见的烦恼,表现为正常访问被拦截，导致用户无法下单、登录失败等。
找到误报来源
登录WAF后台,查看“拦截日志”或“攻击日志”，找到被拦截的请求，确认其URL、IP、参数，如果该请求明显是正常操作（比如提交表单、访问图片），则属于误报。
添加白名单规则
在“白名单”或“放行规则”中，创建一个规则，匹配条件设为误报的URL和参数，动作选择“放行”或“白名单”，注意范围要小：
只放行特定的URL，而不是整个域名，在电商网站中，把“/checkout”这个下单接口加入白名单，而不是整个网站。
调整规则阈值
如果误报是因为某个规则过于严格,比如SQL注入规则拦截了含特殊字符的正常参数，可以调整该规则的阈值，从“严格”改为“标准”，部分WAF支持对单条规则设置敏感度，直接修改即可。
网站安全防护规则设置：针对不同攻击类型
不同的攻击需要不同的规则策略,下面是一个常见的配置对照参考。
| 攻击类型 | 推荐规则 | 注意事项 |
|---|---|---|
| SQL注入 | 启用通用SQL注入规则，配合参数白名单 | 避免拦截含引号的正常参数，如搜索框 |
| XSS跨站脚本 | 启用XSS规则，开启输出过滤 | 误报较多，优先观察模式 |
| CC攻击 | 自定义限速规则，限制单IP频率 | 注意区分正常爬虫，比如百度蜘蛛 |
| 文件包含 | 启用通用规则，禁止目录穿越 | 本地文件包含通常被规则覆盖 |
| 恶意爬虫 | 配置爬虫规则，设置User-Agent黑名单 | 不要误拦搜索引擎，建议使用特征库 |
对于API接口,建议单独配置规则：关闭一些对参数敏感的规则，增加JSON格式校验，因为API的请求结构固定，误报率低。
后续维护与日志分析
配置完成不代表结束,WAF需要持续运营才能保持效果。
定期查看拦截日志
每周至少检查一次日志,看看是否有新的误报或漏报，如果发现大量404请求，可能是扫描攻击，考虑启用黑名单，如果某个业务接口频繁被拦截，及时调整白名单。
根据业务变化调整规则
网站改版、新增功能后，规则可能不适应，比如新增了文件上传接口，需要检查是否有针对上传的规则，或者添加白名单避免误报。
行业共识认为
行业共识认为,安全防护是动态过程，规则配置的成功率取决于对业务的理解，每年进行一次全面的规则审计，能显著提升防护效果。
网站接入网页应用防火墙后配置规则的常见问题
Q1: WAF配置后网站访问异常怎么办？
先检查是否开启了拦截模式,如果是，切换到观察模式并查看日志，找到被拦截的请求，确认是误报就添加白名单，如果问题依旧，暂时禁用部分规则测试，定位到具体规则后调整其阈值，最后检查优先级，确保白名单规则高于拦截规则。
Q2: 免费WAF和付费WAF的规则配置有区别吗？
免费WAF通常提供基础规则集,不支持自定义规则或高级条件，配置选项较少，付费WAF支持自定义规则、日志分析、优先级管理、频率限制等，配置流程基本一致，但付费产品能更精细地控制规则，适合业务复杂的网站，国内WAF厂商的免费版通常足够小型网站使用。
Q3: 是否需要针对每个网站单独配置规则？
如果网站业务不同,建议单独配置，电商网站需要关注下单接口的误报，而论坛网站要防止垃圾评论，基础规则可以通用，但白名单和黑名单需要按网站特点调整，多站点部署时，可以在WAF中创建不同的防护策略，分别绑定域名。