cjh 华为WAF 2022-10-27 此文章访问量 314

WAF策略：WAF自学习是什么功能，如何使用？（解决0day攻击）

WAF策略：WAF自学习是什么功能，如何使用？
WAF能自动化对访问行为进行智能地学习，通过学习用户网站的访问规律，从正确访问中总结出一套定制化的安全策略，从而实现更安全更智能的防护。

WAF的特征库相当于黑名单，而自学习功能是白名单。

图片.png

学习完毕后将自学习功能关闭（建议7天，如果是测试环境下待访问结束后即可关闭），这样WAF学习了正常的访问行为，通过手动生成白名单规则，比如提交的id参数值为数字型，那么当出现字符型将会被阻断。

WAF的策略涉及诸如URI、POST内容、响应状态码等多种HTTP元素，常规情况下的策略调整稍有不当会导致业务不能正常使用，或者产生新的漏洞可被直接入侵。
WAF策略中的自学习模建技术采用对访问流量的自学习和概率统计算法实现自动生成白名单规则，可解决传统黑名单难以防护的0day攻击。

自学习配置
通过自学习得到每个站点下每个页面的行为特征，其结果可生成白名单规则，具体配置步骤如下。
（1）登录WAF系统管理界面，选择“策略 > 自学习 > 配置”，将学习状态选择为“学习”状态，如图所示。

图片.png

（2）开启自学习功能后，WAF会对网站服务器流量进行学习，学习周期建议最少为一周，学习周期越长自学习的效果越好，在流量自学习完成后将自学习配置中的自学习状态选择为“停止”，可以查看自学习的结果，如下图自学习结果图。

图片.png

（3）选择站点树（如上图自学习结果所示），可查看该页面自学习到的参数名、参数长度、参数类型、匹配的次数及匹配率等。
并且，可通过“编辑”链接修改参数类型。
如图所示，该示例学习了以下信息：请求方法为Get、参数名为id，数值长度为4，匹配类型为数字，访问次数为4次，均匹配到数字型参数，匹配率33%。

图片.png