#原创分享#【AF】公司服务器前新增防火墙后WAF功能体验，你想像不到的效果

体验过程及实现目标：

先登陆管理后台--系统—通用配置—序列号—增强功能开通：

需求：

希望针对内网的WEB 服务器群进行保护，包括针对 WEB 服务器的 SERVER字段隐藏，OS 命令注入防护，SQL 命令注入防护，XSS 命令注入防护，CSRF 命令注入防护，http://xxx.***.com/cwbase/*此类含有 cwbase的 URL 全部允许，不需要进行防护，除此之外的其余URL 都需要进行防护，客户内网服务器提供服务的端口包括 WEB 80 和FTP 21 等

解决步骤：

第一步：在设置策略之前，需要在网络--接口/区域 定义好接口所属的【区域】。对象—网络对象新增IP 组定义好服务器所属的【IP 组】。需要将 ETH2 定义为【服务器交换机区】。ETH3 定义为【核心交换机区】。192.168.xx.0/24 定义为【服务器组】。如图：

第二步：设置保护服务器模板。进入【对象】--【安全策略模板】--【Web应用防护】，点击新增，设置好模板名称。设置端口信息如下如图所示：

第三步：设置服务器的防护类型，勾选所有的防护类型，页面如下：

第四步：设置应用隐藏，要求针对FTP 服务器隐藏版本信息，针对HTTP 服务器隐藏 server 字段，则设置如下图，点击确定保存即可：

第五步：选择“权限控制”，勾选 URL 防护，点击设置，将 cwbase设置为允许，不进行检测。页面如下：

第六步：设置 HTTP 异常检测和漏洞扫描防护，如下图所示，点击确定保存即可：

第七步：设置服务器保护的策略。进入【策略】--【安全策略】--【安全防护策略】，点击新增，设置好策略名称。源区域选择核心交换机区，网络对象为全部，目的区域选择服务器交换区，网络对象选择服务器组。界面如下：

第八步：在防御页面勾选Web 应用防护，且选择创建的 Web 应用防护保护服务器模板。动作勾选拒绝，并根据需要，选择是否勾选[记录日志]记录。页面如下：

点击确定，保存即可。

效果展示：

前面防护设置已经完成，过几天之后墙收集到数据后就可以分析一下公司网络环境下的安全效果，包括发现和封堵的都会记录在这里的。登陆后台系统--监控—安全日志，选好起止时间，日志类型选择web应用防护，点击查询—导出日志：

Excel表格中会列出所有的问题和解决方案，也可以发给深信服专业人员帮你分析下WAF功能效果

完事！

感谢楼主分享，文章对配置web应用防护有很多帮助，如增加更多web应用防护技术原理分析会更加容易理解，还有一点需要注意的是，如果内网服务器提供的443等加密内容，那么AF上需要配置服务器防护解密策略后再配置web防护，否则由于无法识别到加密数据而造成防护效果不佳。期待楼主带来更多有价值的分享

我去 楼主累不累 ？优秀啊 这么长居然记录下来了

您好，感谢您参与社区原创分享计划8，您的文章已被收录到计划中，交由专家评审小组评审，文章标签在专家评审后设置，S奖励预计在一周后到账，其他奖励在活动结束后统一安排发放！发文越多，奖励越多，期待您更多的精彩文章哦！:感恩:
关于技术文章的管理流程，请参考：http://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=90279

感谢分享。

支持支持

感谢分享

感谢分享。学习了

我的就是WEB应用防护新版本功能增强把正常业务给拒绝了

步骤很详细！

学习到了