请问各位大佬，关于网络安全的问题

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

这是一个创建于 417 天前的主题，其中的信息可能已经有所发展或是发生改变。

最近老板要搭个 WAF ，开源的最好；

目前了解的有 ModSecurity WAF 和 Coraza WAF ，

请问各位大佬有什么推荐的吗？

以及 WAF 的核心功能集中在 L7 应用层； L3 网络层、L4 传输层的防御采用什么方案比较好呢？

感谢🙏

waf

ModSecurity

Coraza

13 条回复 • 2024-09-11 01:15:53 +08:00

Barhe

2024-09-09 17:44:42 +08:00

雷池了解一下：
https://github.com/chaitin/SafeLine

Jhma

2024-09-09 17:50:03 +08:00

开源的就长亭雷池还行，网络层的就是防火墙了，数据包过滤防火墙，免费的就是 opnsense

DefoliationM

2024-09-09 18:23:19 +08:00 via Android

感觉这种还是得付费的，免费很可能：
新的漏洞更新不及时。
老的漏洞 web 框架本来就已经修复。
而限速/白名单/...这些功能直接用 Linux 自带的都能实现。

ShuA1

2024-09-09 18:24:29 +08:00

长亭雷池不行，很封闭，吃相很难看。nginx 默认的功能都在收费，并且集成性有限。
建议你根据自身的需求，多试几家。不建议自建，最好还是用云 waf ，cloudflare 之类的。

ShuA1

2024-09-09 18:25:06 +08:00

@DefoliationM Linux 自带的限速和白名单不是基于应用层的。

Int100

2024-09-09 23:25:05 +08:00

@ShuA1 #4

> 长亭雷池不行，很封闭，吃相很难看。nginx 默认的功能都在收费，并且集成性有限。
建议你根据自身的需求，多试几家。不建议自建，最好还是用云 waf ，cloudflare 之类的。

谢谢建议，个人也比较倾向 Cloudflare 之类提供的云 waf ，顺便还可以解决一下 L3 L4 的防御问题，但老板就是喜欢开源的东西😂

ShuA1

2024-09-10 10:13:47 +08:00

@Int100 免费的东西是最贵的，还是建议将个人时间多花在业务上，而不是轮子上，老板应该更懂这句话。

Int100

2024-09-10 10:34:16 +08:00

@ShuA1 #7

> 免费的东西是最贵的，还是建议将个人时间多花在业务上，而不是轮子上，老板应该更懂这句话。

赞同。奈何老板宁愿花钱雇人造轮子，也不愿意买订阅服务 😂

ShuA1

2024-09-10 10:49:04 +08:00

@Int100 自建 waf 还不是要买服务器，更何况造的轮子并不好。目前的开源 waf 基本都是基于关键词的，更会影响业务。

ShuA1

2024-09-10 10:49:39 +08:00

@Int100 商业 waf 是基于语义的，误报率低很多，一分钱一分货。

H0u5er

2024-09-10 11:33:50 +08:00

付费方案的话，我司是 CloudFlare 和 F5 的代理商，可私信安排 POC

bingfengfeifei

2024-09-10 16:58:18 +08:00

这俩基本可以等同，一个旧点，一个新点用 Go 实现。
都是对接的 CRS 开源规则。
个人用下来感觉，误报巨多。几乎是不太可用地步。
如果做旁路分析 IP 的行为的话，还勉强能看。想要串行阻断，那几乎不太可能。
除非针对你的业务关闭大部分误报规则，深度调优。

wheat0r

2024-09-11 01:15:53 +08:00

WAF
IPS
防火墙