WAF该如何实现？

对于现在的互联网，网络攻击每天都在发生，很多攻击是在七层，也就是OSI七层模型中的应用层。因此，Web应用防火墙（Web Application Firewall，简称WAF）愈发显得重要。

我现在所在的公司，也一直存在被攻击的现象，时常会出现服务接口被刷从而影响到业务的正常访问。由于自己并不是专门的安全从业人员，当问题出现的时候，只能采用有限的方法来临时解决问题：在nginx服务器上运行了一个脚本，通过过滤nginx的日志，将单位时间内接口调用达到一定阀值的IP加入黑名单，在nginx层面deny掉以保护后端服务的正常。

采用上面的方法确实加了不少黑名单，能起到一定的防护作用。但是这个防护粒度还是比较粗的，并且，攻击者要是摸清楚了加黑名单的阀值也是能躲过去的。为了更灵活、方便的做到监控接口的调用，并且防止被恶意的大量访问，最近也在查找一些开源的WAF解决方案。咨询了一下在携程做安全的朋友，开源WAF主要采用的都是nginx+lua的方案来做的。nginx配合上lua扩展，能实现很多强大的功能，比较有名的就是openresty这个项目了。很多互联网公司也已经用openresty来替代原生nginx了。

目前，我在github上找到几个nginx+lua做waf的实现方案：
https://github.com/loveshell/ngx_lua_waf
https://github.com/unixhot/waf
https://github.com/centos-bz/HttpGuard
https://github.com/alexazhou/VeryNginx
各个方案的优缺点暂且不说，先从github上拉下来跑一跑，相信每个项目都有可以借鉴和学习的地方的，以后好用到自己的WAF里！