4. WAF核心检测引擎原理

WAF的防护能力并不来自“拦截”这个动作本身，而来自它如何判断一个HTTP请求是正常业务还是攻击。现代WAF通常不是单一引擎，而是由规则匹配、语义分析、行为分析和机器学习检测四类引擎协同工作。它们各自解决不同层面的问题：规则匹配解决“已知特征”，语义分析解决“语法变形绕过”，行为分析解决“单包看似正常但序列异常”，机器学习解决“未知变种与低频异常”。理解这四类引擎的输入、判断依据和失效边界，是后续调优与排障的基础。

一、规则匹配引擎：最快、最确定，也最容易被绕过

规则匹配引擎的核心是“模式—条件—动作”三元组。以ModSecurity的SecRule为例，一条典型规则包含变量、运算符和动作：

SecRule ARGS "@rx (?i)(union\s+select|sleep\s*\(|benchmark\s*\()" \
  "id:1001,phase:2,block,msg:'SQL注入特征',severity:CRITICAL"

这条规则在phase:2（请求体解析后）检查所有参数，若匹配到union select、sleep(或benchmark(等正则，则阻断。规则匹配的优点是确定性高、延迟低（微秒级）、可解释性强，命中即能说明原因。但它有两个明显短板：一是依赖已知特征，面对编码变形（如%55nion%20select、大小写混写、注释插入un/**/ion）容易漏报；二是正则写得过宽会误伤正常业务，例如参数中合法包含“select”一词的搜索请求。

因此规则匹配适合作为第一道快速过滤层，处理高频、特征明确的攻击，如已知WebShell路径、常见扫描器User-Agent、明显路径穿越../../etc/passwd等。实际部署中，规则集需要按业务裁剪，而不是全量开启OWASP CRS。

二、语义分析引擎：把请求还原成“它真正想做什么”

语义分析不直接匹配字符串，而是先对输入做规范化（解码、去注释、统一大小写、合并空白），再按目标语言的语法结构解析。例如对SQL注入，语义引擎会识别参数是否改变了SQL语句的语法树结构：原本SELECT * FROM users WHERE id = '1'，当输入1' OR '1'='1时，解析器发现引号闭合后多出一个恒真条件，语法树从“单条件查询”变为“永真条件”，于是判定为注入，而不是依赖“OR 1=1”这个字符串。

语义分析的优势是能对抗编码和注释绕过，误报率通常低于正则。代价是解析开销更大，且需要针对SQL、XSS、命令注入等分别实现语法解析器。它适合放在规则匹配之后，对高风险参数（如id、search、file）做二次深度检查。需要注意的是，语义分析仍受限于解析器覆盖的语言范围，对自定义DSL或非标准协议可能失效。

三、行为分析引擎：看序列，而不是看单包

行为分析关注的是“一段时间内同一来源的请求序列”。单看一个请求可能完全合法，但连续行为会暴露攻击意图。典型场景包括：短时间内大量404探测路径、同一会话在登录接口高频尝试不同密码、请求参数长度和熵值突然异常、访问顺序不符合业务动线（如未登录直接访问订单详情）。

行为分析通常维护会话或IP维度的计数器与状态机。例如：

• 5分钟内同一IP触发404超过50次 → 判定为目录扫描，加入观察名单；
• 同一账号10分钟内登录失败超过8次 → 触发验证码或临时锁定；
• 单请求参数总长度超过业务基线3倍且包含大量特殊字符 → 提升风险分。

行为分析的适用场景是爬虫、暴力破解、CC攻击、扫描器识别等“低频单包正常、高频序列异常”的攻击。它的难点在于基线建立：阈值太松会漏，太紧会误伤正常高峰业务。因此行为分析通常不直接阻断，而是输出风险分，交由决策层综合判断。

四、机器学习检测：从标注数据中学习“正常与异常”的边界

机器学习引擎把请求转化为特征向量，再用模型输出异常概率。常用特征包括：参数数量、参数长度分布、特殊字符比例、URL熵值、Content-Type、请求方法、UA与Referer一致性、请求体n-gram等。模型可以是监督学习（如GBDT、随机森林，用已标注攻击样本训练）或无监督学习（如孤立森林、自编码器，学习正常流量分布，偏离即异常）。

机器学习的价值在于发现未知变种和低频绕过，例如从未见过的混淆XSS payload。但它不是“开箱即用”：需要足够的正常流量做基线，需要持续标注和再训练，且模型输出是概率而非确定结论。因此它适合作为辅助检测层，对高风险请求提升评分，而不是单独承担阻断职责。误报控制依赖阈值调优和人工反馈闭环。

五、四类引擎的协同关系与选型

四类引擎不是互斥替代，而是分层互补。下图展示了一个典型WAF检测流水线中四类引擎的位置、输入与输出关系：

从工程选型看：如果业务以已知攻击为主、延迟敏感，优先强化规则匹配并做好规则裁剪；如果业务参数复杂、编码变形多，应引入语义分析；如果面临爬虫、爆破、CC等序列型攻击，行为分析不可缺；如果攻击面广、变种快，机器学习可作为补充评分层。四者叠加时，建议规则匹配先做快速拦截，语义分析对高风险参数做深度检查，行为分析和机器学习输出风险分，最终由决策层按阈值执行阻断、放行或人机挑战。

最后需要强调：任何检测引擎都依赖输入质量。如果WAF前置了解码层、代理层或CDN，必须确保传给检测引擎的是解码后的真实参数，否则语义分析和机器学习都会在错误数据上工作。检测引擎的协同效果，最终取决于数据规范化、规则维护和阈值调优这三个基础环节是否扎实。