蓝易云CDN：从规则匹配到语义理解——一次真实攻击日志背后的WAF检测架构演进

在Web安全防护领域，传统WAF主要依靠特征库、正则表达式和规则匹配识别恶意请求。这种方式对于已知SQL注入、XSS跨站脚本以及常见攻击载荷具有较好的拦截效果，但随着攻击者不断改变请求结构、编码方式和参数组合，单纯依赖固定规则已经难以覆盖所有复杂攻击场景。

一次HTTP请求可能没有明显的恶意关键词，却可能通过参数组合、数据结构和异常语法表达攻击意图。这也是WAF从传统规则匹配向语义分析演进的重要原因。

一、传统规则匹配为什么会遇到瓶颈？

传统WAF通常通过预设规则检查URL、HTTP请求头、Cookie、GET参数和POST请求体。

例如，当请求参数中出现典型SQL注入特征，或者包含异常HTML标签、JavaScript事件属性时，规则引擎就会根据匹配结果执行拦截。

这种方式存在两个实际问题：

1. 攻击者可以改变载荷表达方式。

通过URL编码、字符转换、大小写变化、参数拆分、嵌套JSON等方式，同一种攻击意图可能呈现出不同的请求形式。如果请求规范化和规则覆盖不够完善，就可能出现检测遗漏。

2. 固定特征容易产生误报。

正常业务也可能出现SQL关键词、特殊字符或HTML片段。例如，代码编辑器、搜索系统和富文本编辑器都可能提交包含特殊语法的内容。单纯根据关键词拦截，容易影响正常业务。

因此，现代WAF不能只判断请求中是否出现某个字符串，还需要分析请求内容之间的关系。

二、一次典型攻击日志，能够反映什么问题？

以一条经过脱敏处理的典型SQL注入请求为例，以下仅用于说明检测过程，并非某个客户的原始生产日志。

Method: POST
URI: /api/user/search
Content-Type: application/json

Parameter: username
Detection: SQL Injection
Evidence: Abnormal SQL syntax structure
Action: BLOCK
Status: 403

这类日志的价值不只是记录某个参数出现了异常字符，而是帮助安全系统判断请求是否存在改变数据库查询逻辑的风险。

如果仅使用传统规则，检测重点往往是关键词和字符组合；引入语义分析后，还可以进一步检查请求内容的语法结构、参数关系及上下文特征。

需要明确的是，边缘WAF分析的是HTTP请求侧的攻击迹象，并不能直接知道PHP程序最终执行的SQL语句。因此，语义判断仍然需要结合业务接口特征和防护策略。

三、从规则匹配到语义理解，WAF架构发生了什么变化？

现代WAF的检测过程可以分为几个相互配合的阶段。

第一阶段：HTTP协议解析与数据规范化

首先解析HTTP请求，包括请求方法、URL、请求头、Cookie、JSON、表单和请求体等内容。

对于经过编码、大小写转换或不同格式表达的请求，在支持的范围内进行规范化处理，减少攻击者利用解析差异绕过检测的机会。

第二阶段：传统规则引擎匹配

使用规则库识别已经明确的攻击特征，例如SQL注入、XSS、命令注入、路径穿越及异常请求结构。

规则引擎具有响应快、判断依据明确的优势，仍然是WAF不可缺少的基础能力。

第三阶段：语义上下文分析

这是检测架构演进的重要环节。

系统不再只关注单个关键词，而是结合请求参数、数据结构、语法关系以及上下文特征分析潜在攻击意图。

例如，同样包含特殊字符的两个请求，一个可能是正常的业务搜索，另一个可能试图改变SQL表达式的执行逻辑。语义分析能够提供比简单字符串匹配更丰富的判断依据。

第四阶段：风险判断与策略执行

综合规则匹配结果和语义检测结果，按照风险等级及防护策略决定放行、观察或拦截。

对于明确命中高危规则的请求，可以直接返回403；对于存在疑似攻击特征但证据不足的请求，则可以先进入观察模式，避免影响正常业务。

四、蓝易云CDN语义WAF的防护思路

蓝易云CDN将传统规则检测与语义上下文分析结合，重点解决复杂HTTP请求中的攻击识别问题。

其防护方向包括：

• SQL注入防护： 识别异常SQL语法结构及可疑参数组合。
• XSS防护： 分析HTML标签、脚本属性及相关危险内容。
• 命令注入防护： 检测请求中具有风险的命令执行特征。
• 请求结构检测： 对JSON、表单及多种请求格式进行解析和检查。
• TLS指纹识别： 结合JA4等指纹信息辅助识别异常客户端行为。
• 恶意请求拦截： 根据风险判断执行相应防护策略，减少恶意流量抵达源站。

同时，WAF还需要设置合理的请求解析限制。请求体大小、JSON文本大小、字段数量和文件数量都应结合实际业务调整。超过解析能力边界的请求不能简单视为安全请求，应按照明确的策略处理。

五、WAF未来的发展方向：从识别攻击特征到理解请求意图

随着Web应用、API接口和业务交互形式不断复杂化，WAF的检测能力也在发生变化。

传统规则负责识别已知攻击特征，语义分析负责补充复杂请求的上下文判断，业务行为分析则进一步帮助区分正常访问与异常访问。

三者并不是相互替代的关系，而是形成更完整的纵深检测体系。

对于企业而言，真正有价值的WAF不只是能够拦截多少条攻击请求，更重要的是能否在不破坏正常业务的情况下识别复杂攻击、降低误报，并提供可追溯的安全日志。

蓝易云CDN坚持将边缘加速与应用层安全防护结合，让安全检测尽可能发生在源站之前。面对不断变化的Web攻击方式，单纯依赖固定规则已经不够，规则匹配与语义理解相结合，才是WAF持续演进的重要方向。