Web应用程序防火墙（WAF）检查Web流量以识别任何可疑活动。然后，它可以根据您指定的规则集自动过滤掉非法流量。它查看基于GET和POST的HTTP请求，并应用规则集，例如涵盖OWASP Top 10漏洞的ModSecurity核心规则集，以确定阻止，质询或通过的流量。它可以阻止垃圾评论，跨站点脚本攻击和SQL注入。
作为基于云的服务，Cloudflare的WAF不需要安装和维护硬件或软件。使用Cloudflare后，您可以快速为您的网络媒体资源启用WAF。Cloudflare WAF作为Pro，Business和Enterprise计划的一部分提供。
Cloudflare Web应用程序防火墙（WAF）有何功能？
Web应用程序防火墙（WAF）通过检查对您网站的HTTP请求来工作。它检查GET和POST请求并应用规则来帮助过滤掉合法网站访问者的非法流量。例如，它会查找评论垃圾邮件中使用的常用关键字（即XX，劳力士，伟哥等），并在将操作发布到网络媒体资源之前停止操作。
Cloudflare WAF检查网站地址或URL以检测任何异常情况。如果Cloudflare WAF确定可疑的用户行为，那么WAF将向网页访问者“挑战”一个页面，要求他们成功提交CAPTCHA以继续他们的行动。如果挑战失败，则该动作将停止。这意味着Cloudflare WAF将在到达您的原始Web服务器之前阻止任何被识别为非法的流量。
您可以通过选择“ 低”或“ 高”设置来确定强制执行安全设置的严格程度。
确定适合您网站的设置取决于多种因素，包括业务类型和业务运营。如果您的企业在某个可能经常触发WAF的行业内运营，那么低设置可能是合适的。
此外，如果您的业务操作包括将大型文件上载到源服务器，则低设置更合适。设置较高时，上传大文件会触发防火墙，因为这是一种常见的攻击媒介。
对于商业网站，我们建议您初将Web应用程序防火墙设置为低。您将能够看到哪些攻击被阻止，如果您需要移动到高设置，该更改将在几分钟内生效。
注意：如果您在站点的admin部分（yoursite.com.admin）中触发了Web应用程序防火墙，我们强烈建议您设置页面规则以排除站点的管理部分受到WAF的影响。您还可以将IP列入白名单以覆盖WAF的质询行为。
注意：建立WebSocket后，WAF不会触发请求。
我在哪里可以管理WAF设置？我是否需要安装任何东西才能使用Cloudflare WAF？
Cloudflare Pro，Biz和Enterprise客户可以在Cloudflare仪表板 的Firewall应用程序的Manage WAF部分中访问WAF 。无需其他软件或硬件即可配置WAF。
将使用WAF影响网站的表现吗？
Cloudflare WAF引入了有限的延迟（大约100微秒）。
推出WAF规则变更需要多长时间？
规则集更改或添加将花费大约30秒来全局更新。
CloudFlare WAF的主要优势是什么？
使用Cloudflare WAF可以快速轻松地管理和自定义安全规则，以保护您的Web应用程序免受常见的Web威胁。
主要功能包括：
易于设置 – Cloudflare WAF是我们整体服务的一部分，只需几分钟即可完成设置。将DNS重定向到Cloudflare后，您可以配置WAF并设置所需的规则。
更高的默认规则集以及可配置性 – 除了mod_security规则和OWASP Top 10之外，Cloudflare WAF还允许您从我们可信赖的合作伙伴处导入第三方规则或编写您自己的规则。您可以通过转到Cloudflare仪表板的防火墙应用程序中的管理WAF来管理新规则集。
详细报告 – 您可以在报告中看到许多细节; 例如，规则/规则组阻止的威胁。企业客户在“ 概述”选项卡下的防火墙应用程序中 可以使用其他防火墙分析报告和过滤 。
注意：建立WebSocket后，WAF不会触发请求。