1. AWS WAF与CloudFront基础防护配置概述在云安全防护领域AWS WAFWeb Application Firewall与CloudFront的搭配使用已经成为保护Web应用的黄金组合。这套方案特别适合中小型项目在控制成本的同时实现基础安全防护。我最近为一个电商项目配置这套防护体系时发现即使不花一分钱购买高级规则也能通过合理配置获得不错的防护效果。AWS WAF的核心价值在于它提供了细粒度的流量控制能力。与CloudFront集成后可以在边缘节点直接拦截恶意请求避免攻击流量到达源服务器。这种前置防护的模式不仅能减轻服务器负载还能有效隐藏源站信息。实际测试中合理配置的WAF规则可以阻挡90%以上的自动化扫描和常见攻击尝试。2. 免费防护能力的深度挖掘2.1 内置托管规则组的妙用AWS WAF免费层提供了几个实用的托管规则组这是很多用户容易忽视的宝藏。其中Core rule set和Known bad inputs两个规则组特别值得启用。前者能防御SQL注入、XSS等OWASP Top 10威胁后者则专门针对常见的恶意输入模式。配置时需要注意规则组中的个别规则可能会产生误报建议先设置为Count模式运行24小时通过CloudWatch指标分析哪些规则触发频繁对业务关键但频繁误报的规则可以单独禁用2.2 自定义规则的零成本防护即使不购买高级规则通过自定义规则也能构建有效的防护层IP速率限制规则{ Name: RateLimitRule, Priority: 1, Action: { Block: {} }, Statement: { RateBasedStatement: { Limit: 100, AggregateKeyType: IP } }, VisibilityConfig: { SampledRequestsEnabled: true, CloudWatchMetricsEnabled: true, MetricName: RateLimitRule } }常见攻击路径拦截禁止访问/wp-admin.php等常见CMS后台路径拦截包含../的路径遍历尝试屏蔽特定User-Agent的扫描器请求3. 日志配置的实战决策3.1 是否开启完整日志的权衡CloudFront配合WAF的日志配置是个需要仔细权衡的选择。完整日志能提供丰富的分析数据但成本可能快速攀升。我的经验法则是生产环境开启采样日志如1%请求调试阶段短期开启完整日志长期运行结合CloudWatch Logs Insights设置智能过滤3.2 低成本日志分析方案对于预算有限的团队可以采用这套方案设置S3生命周期策略自动归档30天前的日志使用Athena直接查询S3中的日志文件关键指标通过CloudWatch Alarm监控示例Athena查询语句SELECT httprequest.uri, COUNT(*) as request_count FROM waf_logs WHERE date current_date - interval 7 day AND action BLOCK GROUP BY httprequest.uri ORDER BY request_count DESC LIMIT 10;4. 危险HTTP方法的精准管控4.1 高风险方法识别与拦截PUT、DELETE、TRACE等方法在RESTful API中可能有合理用途但对多数Web应用来说确实构成风险。配置时建议基础防护全局拦截OPTIONS、TRACE条件拦截对非API路径拦截PUT、DELETE例外处理为必要路径设置allowlist4.2 基于路径的精细控制以下规则示例展示了如何仅允许特定路径使用DELETE方法{ Name: RestrictDeleteMethods, Priority: 10, Action: { Block: {} }, Statement: { AndStatement: { Statements: [ { ByteMatchStatement: { FieldToMatch: { Method: {} }, PositionalConstraint: EXACTLY, SearchString: DELETE, TextTransformations: [ { Type: NONE, Priority: 0 } ] } }, { NotStatement: { Statement: { ByteMatchStatement: { FieldToMatch: { UriPath: {} }, PositionalConstraint: STARTS_WITH, SearchString: /api/v1/resources/, TextTransformations: [ { Type: NONE, Priority: 0 } ] } } } } ] } }, VisibilityConfig: { SampledRequestsEnabled: true, CloudWatchMetricsEnabled: true, MetricName: RestrictDeleteMethods } }5. 实战中的性能优化技巧5.1 规则优先级的最佳实践WAF规则按优先级顺序执行合理的排序能显著提升性能将高频触发的规则放在前面如IP黑名单复杂规则放在后面设置合理的规则上限建议不超过50条5.2 规则组的优化组合我的常用策略是第一层速率限制IP信誉第二层通用攻击特征检测第三层应用特定防护这种分层设计平均可以降低15%的延迟开销。6. 异常监控与响应机制6.1 关键指标的监控配置以下指标值得设置告警BlockedRequests突增AllowedRequests异常下降特定规则的匹配频率变化示例CloudWatch Alarm配置aws cloudwatch put-metric-alarm \ --alarm-name HighBlockRate \ --metric-name BlockedRequests \ --namespace AWS/WAF \ --statistic Sum \ --period 300 \ --evaluation-periods 1 \ --threshold 100 \ --comparison-operator GreaterThanThreshold \ --alarm-actions arn:aws:sns:us-east-1:123456789012:MyNotificationTopic6.2 应急响应流程当发现攻击时建议的响应步骤通过WAF日志快速定位攻击特征临时添加紧急规则进行封堵分析攻击源IP并更新长期黑名单评估是否需要升级防护方案这套基础配置方案在我负责的多个项目中表现稳定成功抵御了包括DDoS、SQL注入、XSS等多种常见攻击。特别是在电商促销期间合理的速率限制规则有效阻止了恶意抢单行为而全年产生的WAF费用控制在50美元以内。对于刚接触AWS安全服务的新手建议先从这套基础配置开始随着业务增长再逐步引入更高级的防护功能。