WordPress安全策略:免费长亭Web应用防火墙(雷池)

Table Of Contents

长亭Web应用防火墙介绍
长亭Web应用防火墙安装
长亭WAF功能的使用
总结

本篇文章主要介绍一款国内很出名的WAF产品，此产品有免费版，专业版本和商业版本，这三种版本我都使用过，商业版本确实做的非常好，功能齐全，各种业务场景基本都考虑到了，确实是一款非常成熟的产品。

这里之所以介绍这款WAF是因为确认很好用，部署简单，操作简单，中文界面，当然了主要是免费使用，因为如果收费的话，对于咱们小站长来说也是一笔开销。

推荐这款WAF的原因主要是它易于使用，操作简单，功能层面就是使用它的自定义WAF规则功能，来满足目前使用WordPress站点防护需求，至于此款WAF内置社区规则和语义分析，我建议大家根据实际情况开启，适合自己的才是最好的。

长亭Web应用防火墙介绍

官方介绍可参考：https://docs.waf-ce.chaitin.cn/zh/home 我个人简单总结下就是部署简单好用，一条命令即可成功部署完成此WAF，然后该有的WAF功能基本都有，也就是像官方介绍的那样具备OWASP TOP10的各类攻击防护措施，再加上限制访问频率，额外的添加身份认证，人机交互验证等措施。

长亭Web应用防火墙安装

安装是真的简单，一条命令就搞定，官方提供在线手动或自动安装和离线手动安装。

安装此WAF的前提条件：

安装了docker环境，系统环境具备最低要求，在线自动安装要求能访问互联网。
官方安装文档参考：https://docs.waf-ce.chaitin.cn

安装WAF之前需要安装docker环境，大家可以网上去搜索安装方式，我这里提供CentOS7的一种方式：

yum install yum-utils -y
yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
yum install docker-ce-3:20* -y

确保docker安装成功之后，就可以使用一条命令一键安装长亭Web应用防火墙(WAF)。

自动在线安装长亭WAF

bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"

手动在线安装长亭WAF

新建长亭WAF工作目录
mkdir -p "/data/safeline"

进入到该WAF工作目录然后下载docker编排脚本
cd "/data/safeline"
wget "https://waf-ce.chaitin.cn/release/latest/compose.yaml"

进入到该WAF工作目录，创建启动docker编排前的脚本环境变量
cd "/data/safeline"
touch ".env"

上述创建的环境变量.env里面填写的内容如下，可根据自己实际情况修改，如果是生产环境使用可自定义更改为非默认信息：

SAFELINE_DIR={safeline-dir}
IMAGE_TAG=latest
MGT_PORT=9443
POSTGRES_PASSWORD={postgres-password}
SUBNET_PREFIX=172.22.222
IMAGE_PREFIX=swr.cn-east-3.myhuaweicloud.com/chaitin-safeline

示例：

SAFELINE_DIR=/home/fenotion/data/safeline
IMAGE_TAG=latest
MGT_PORT=7443
POSTGRES_PASSWORD=fenotion.com
SUBNET_PREFIX=172.28.222
IMAGE_PREFIX=swr.cn-east-3.myhuaweicloud.com/chaitin-safeline (国内环境)
IMAGE_PREFIX=chaitin （海外环境）

启动长亭WAF（雷池）
cd "/data/safeline"
docker compose up -d

离线环境安装长亭WAF

这种环境下就有点不好操作了，如果非要操作，官方给的就是让你在公网环境下载它们的镜像包.

然后后续操作就可以参考上述手动安装长亭WAF的步骤了，其中加载docker离线镜像的操作如下：

cat image.tar.gz | gzip -d | docker load

长亭WAF功能的使用

因为实在太简单，使用呢也就是图形界面鼠标点点，配置即可，我这里给大家演示下此款WAF的专业版本的使用。

WAF功能界面展示

数据统计

防护日志

防护站点

防护配置

系统设置

WAF防护效果测试

这个测试防护效果呢，长亭WAF官方给了个自己研发的软件，官方使用此软件检测出来的防护效果数据看着相当的好。

这种我个人认为不要全信，自己搞的东西，测试自己的产品对外展示，那肯定效果杠杠的，测试工具地址可参考：

blazehttp

我自己把这个工具下载下来测试了一下长亭WAF专业版本的功能，数据还是真是不错。

上述看着准确率数据是相当的好，我把其防护模块启用高强度防护模式和加强规则全部启用防护状态，得到上述结果。

我个人认为上述数据再好，也要怀疑，因为每个业务场景都不同，需求都不一样，误报一定会有。

所以大家看着用，按需开启，并实际观察运行观察模式至少要半个月，才可以慢慢进入到防护状态。

WAF自定义防护规则

这个功能我绝对是最有用的，这种是由自己控制，权力掌握在自己的手里，可以根据自身业务需求定制WAF规则。

比如我之前提炼好的WordPress防护指南的安全要求，都可以基于此配置安全规则来达到防护效果，满足WordPress安全要求。

自定义规则参数：

总结

我个人推荐小站长就使用长亭WAF免费版本就可以，根据我提到的WordPress防护指南中提到的安全需求进行配置安全规则就可以。

其他的能做白名单就做白名单，这么操作完成能解决大部分安全问题，一个小破站一般没什么人关注，关注的话也是互联网上的机器流量。

如果是大站，有盈利，我看你还是请问给你出最优最实惠的安全解决方案，并提供安全运维服务一站式解决安全和运维问题。