请问各位大佬，关于网络安全的问题

[Int100]

最近老板要搭个 WAF ，开源的最好；

目前了解的有 ModSecurity WAF 和 Coraza WAF ，

请问各位大佬有什么推荐的吗？

以及 WAF 的核心功能集中在 L7 应用层； L3 网络层、L4 传输层的防御采用什么方案比较好呢？

感谢🙏

[Barhe]

雷池了解一下：
https://github.com/chaitin/SafeLine

[Jhma]

开源的就长亭雷池还行，网络层的就是防火墙了，数据包过滤防火墙，免费的就是 opnsense

[DefoliationM]

感觉这种还是得付费的，免费很可能：
新的漏洞更新不及时。
老的漏洞 web 框架本来就已经修复。
而限速/白名单/...这些功能直接用 Linux 自带的都能实现。

[ShuA1]

长亭雷池不行，很封闭，吃相很难看。nginx 默认的功能都在收费，并且集成性有限。
建议你根据自身的需求， 多试几家。 不建议自建， 最好还是用云 waf ，cloudflare 之类的。

[ShuA1]

@DefoliationM Linux 自带的限速和白名单不是基于应用层的。

[Int100]

@ShuA1 #4

> 长亭雷池不行，很封闭，吃相很难看。nginx 默认的功能都在收费，并且集成性有限。
建议你根据自身的需求， 多试几家。 不建议自建， 最好还是用云 waf ，cloudflare 之类的。

谢谢建议，个人也比较倾向 Cloudflare 之类提供的云 waf ，顺便还可以解决一下 L3 L4 的防御问题，但老板就是喜欢开源的东西😂

[ShuA1]

@Int100 免费的东西是最贵的， 还是建议将个人时间多花在业务上，而不是轮子上，老板应该更懂这句话。

[Int100]

@ShuA1 #7

> 免费的东西是最贵的， 还是建议将个人时间多花在业务上，而不是轮子上，老板应该更懂这句话。

赞同。奈何老板宁愿花钱雇人造轮子，也不愿意买订阅服务 😂

[ShuA1]

@Int100 自建 waf 还不是要买服务器，更何况造的轮子并不好。 目前的开源 waf 基本都是基于关键词的，更会影响业务。

[ShuA1]

@Int100 商业 waf 是基于语义的， 误报率低很多，一分钱一分货。

[H0u5er]

付费方案的话，我司是 CloudFlare 和 F5 的代理商，可私信安排 POC

[bingfengfeifei]

这俩基本可以等同，一个旧点，一个新点用 Go 实现。
都是对接的 CRS 开源规则。
个人用下来感觉，误报巨多。 几乎是不太可用地步。
如果做旁路分析 IP 的行为的话，还勉强能看。想要串行阻断，那几乎不太可能。
除非针对你的业务关闭大部分误报规则，深度调优。

[wheat0r]

WAF
IPS
防火墙