开启 WAF 防护的最佳实践

网关在系统架构中扮演着重要的角色，它是连接不同网络、应用程序和服务的入口点，Web应用防火墙（Web Application Firewall，WAF）是网关安全领域必不可少的能力，对网站或者App的业务流量进行恶意特征识别及防护，在对流量清洗和过滤后，将正常、安全的流量返回给服务器，避免网站服务器被恶意入侵导致性能异常等问题，从而保障网站的业务安全和数据安全。

WAF插件防护原理

WAF 插件基于 Higress Wasm Go SDK 以及 Coraza 实现，遵循 Modsecurity 定义的 Phase 规范。

Phase 1: Request headers
Phase 2: Request body
Phase 3: Response headers
Phase 4: Response body
Phase 5: Logging

插件内置了OWASP CRS以提供基础的防护功能，支持用户自定义防护规则，并且支持路由级/域名级细粒度防护。

使用示例

首先准备一个k8s集群，并安装Higress，参考Higress部署教程。

部署服务并创建ingress

在K8s集群中apply如下资源，以部署后端服务以及ingress：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: httpbin-deployment
  labels:
    app: httpbin-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: httpbin-deployment
  template:
    metadata:
      labels:
        app: httpbin-deployment
    spec:
      containers:
      - image: kennethreitz/httpbin
        imagePullPolicy: IfNotPresent
        name: httpbin-backend
        ports:
        - name: http
          containerPort: 80
---
apiVersion: v1
kind: Service
metadata:
  name: httpbin-service
  namespace: default
  labels:
    app: httpbin-service
spec:
  ports:
    - port: 8080
      name: http
      protocol: TCP
      targetPort: 80
  selector:
    app: httpbin-deployment
  type: ClusterIP

---
kind: Pod
apiVersion: v1
metadata:
  name: foo-app
  labels:
    app: foo
spec:
  containers:
  - name: foo-app
    image: higress-registry.cn-hangzhou.cr.aliyuncs.com/higress/http-echo:0.2.4-alpine
    args:
    - "-text=foo"

---
kind: Service
apiVersion: v1
metadata:
  name: foo-service
spec:
  selector:
    app: foo
  ports:
  # Default port used by the image
  - port: 5678

---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: httpbin-ingress
  namespace: default
spec:
  ingressClassName: higress
  rules:
    - http:
        paths:
          - pathType: Prefix
            path: "/"
            backend:
              service:
                name: httpbin-service
                port:
                  number: 8080

---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: echo-ingress
  namespace: default
spec:
  ingressClassName: higress
  rules:
    - http:
        paths:
          - pathType: Prefix
            path: "/foo"
            backend:
              service:
                name: foo-service
                port:
                  number: 5678

访问两条路由（/user-agent被路由到httpbin-service服务，/foo被路由到foo-service）：

安装WAF插件

在K8s集群中apply如下资源，以部署WAF插件：

apiVersion: extensions.higress.io/v1alpha1
kind: WasmPlugin
metadata:
  name: waf-go
  namespace: higress-system
spec:
  defaultConfig:
    useCRS: true
    secRules:
    - "SecRuleEngine On"
    - "SecDebugLogLevel 3"
    - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  matchRules:
  - ingress:
    - default/echo-ingress
    config:
      secRules:
      - "SecRuleEngine On"
      - "SecDebugLogLevel 3"
      - "SecAction \"id:102,phase:1,deny\""
  url: oci://higress-registry.cn-hangzhou.cr.aliyuncs.com/plugins/go-waf:1.0.1

上述配置含义如下：

defaultConfig下配置了全局的防护规则
- useCRS=true表明加载OWASP CRS安全规则集
- secRules下有三条规则为用户自定义的防护规则。
matchRules下配置了路由级防护规则（域名级同理），参考Higress插件使用文档
- ingress用于指定防护规则生效的路由，这里设置的路由为default命名空间下的echo-ingress路由
- config下配置路由级防护规则，结构与defaultConfig一致，在这里没有加载OWASP CRS规则集，并且设置拦截一切请求。

请求拦截示例

自定义规则防护测试

测试我们在全局防护规则中定义的如下自定义规则：

"SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""

该条规则会阻止path为/admin的请求：

细粒度（路由级/域名级）防护测试

以路由级为例，访问/foo，该请求命中以下路由级防护规则：

matchRules:
- ingress:
  - default/echo-ingress
  config:
    secRules:
    - "SecRuleEngine On"
    - "SecDebugLogLevel 3"
    - "SecAction \"id:102,phase:1,deny\""