很多人以为上了 WAF 就安全了，其实 WAF 只是第一道筛子，规则配不好照样漏。应用层的边界，要自己守。
## 一、规则要贴合业务
通用规则误杀正常请求，太松又拦不住。我们做安全按业务特征调规则，既拦攻击又不误伤。
## 二、敏感路径要藏
后台、接口、管理端，别暴露在外网裸奔。我们做安全把敏感路径做访问限制和白名单，缩小靶面。
## 三、异常要告警
突然出现的大量报错、慢请求，往往是前奏。我们做监控把异常流量实时告警，比事后救火强。
## 四、规则要随攻击演进
攻击手法在变，规则不能一配了之。我们做安全把规则更新纳入运维，跟上新威胁。
应用防火墙，我们按「贴合业务、藏敏感、告警早、规则新」来做，让 WAF 真正起作用。
—
担心网站安全、怕被黑被挂马？安全防御 / SSL 托管 / 网站加速我们都能接。微信 jeans2045、QQ 361611074，先聊再给方案。