Атаки на базу и вредный код
WAF ищет признаки SQL-инъекций и XSS в адресе, заголовках, полях формы и JSON.
Защита от опасных запросов
WAF для защиты сайта и API от опасных запросов
WAF ищет признаки атаки в адресе, заголовках и теле запроса размером до 1 МиБ и может остановить запрос до сервера.
Кому подходит
Когда поможет WAF
01
Сканеры перебирают адреса и служебные файлы
02
В URL, форме или JSON появляются признаки атаки
03
Нужно отдельно включать проверки для разных типов атак
Что проверяет GUJ
Что проверяет WAF
Правила проверяют адрес страницы, cookie, название браузера или программы, адрес предыдущей страницы и тело запроса до 1 МиБ.
Служебные файлы и команды
WAF ищет признаки попыток открыть файлы сервера или выполнить команду в проверяемых данных запроса.
Внутренние адреса и данные сессии
WAF может остановить запрос, если внутренний адрес или данные сессии находятся в URL или теле.
Что делает GUJ
Как работает WAF
Проверка до сервера
WAF может заблокировать запрос до того, как он попадёт на сервер сайта
Защита служебных файлов
WAF может блокировать запросы к известным адресам файлов настроек, резервных копий и служебных файлов
Тело до 1 МиБ
Поля формы, JSON и другие данные проверяются до передачи запроса на сервер сайта
Подключение
Как включить WAF без лишних блокировок
Включите нужные виды проверок, затем откройте важные страницы сайта и убедитесь, что они работают.
-
01
Направьте домен через GUJ
Запросы должны проходить через защитный IP, иначе WAF их не увидит.
-
02
Включите нужные проверки
Выберите виды опасных запросов, которые нужно блокировать для сайта или API.
-
03
Откройте важные страницы
После сохранения проверьте поиск, кабинет, ссылки с параметрами и внешние сервисы.
-
04
Добавьте узкое исключение для загрузок
Если путь принимает тело больше 1 МиБ, выберите для него «Не проверять тело WAF». URL, заголовки и остальные слои GUJ останутся защищены.
Примеры
Когда это пригодится
Ищут служебные файлы
WAF сравнивает путь страницы с известными адресами служебных файлов
В запросе есть признаки атаки
WAF сравнивает адрес, заголовки и тело размером до 1 МиБ с включёнными правилами
Нельзя менять код сайта
Основные виды проверок можно включить в панели GUJ
Частые вопросы
Частые вопросы о подключении
Защищает ли WAF от SQL-инъекций и XSS?
WAF блокирует отдельные запросы с признаками SQL-инъекций и XSS в URL, выбранных заголовках и теле размером до 1 МиБ. Он не исправляет ошибки в коде сайта и не заменяет проверку входных данных.
Подходит ли WAF для API?
Да, если API работает через домен или поддомен по HTTP/HTTPS. Тело до 1 МиБ проверяется до передачи приложению. API всё равно должно проверять токены, права и структуру данных.
Как загружать файлы больше 1 МиБ?
Добавьте для точного пути или узкого префикса исключение «Не проверять тело WAF». Тогда запрос потоково передаётся сайту с лимитом 128 МиБ, а WAF продолжает проверять URL и заголовки.
Что делать, если WAF блокирует рабочую страницу?
Выключайте недавно включённые проверки по одной, чтобы найти причину. Затем добавьте для этого адреса точное исключение WAF в разделе «Ограничения доступа». Остальные проверки оставьте включёнными.
Чем WAF отличается от Anti-DDoS и Antibot?
Anti-DDoS ограничивает число запросов с одного IP за минуту. Antibot проверяет новые браузеры. WAF ищет признаки атак в URL, выбранных заголовках и теле запроса до 1 МиБ.
Подключите WAF к сайту
Добавьте домен, включите нужные проверки и откройте важные страницы, чтобы убедиться, что правила не мешают работе.