Почему начинают с режима наблюдения
Правила WAF написаны для типовых атак, но реальный сайт часто передаёт данные, похожие на атаку: HTML в описаниях товаров, необычные параметры фильтров, XML обмена с 1С. Если сразу включить блокировку, пострадают продажи. Несколько дней наблюдения показывают, какие срабатывания ложные.
Что обязательно исключить
- Обмен с 1С и другими учётными системами.
- Уведомления платёжных систем и служб доставки.
- API для мобильного приложения и партнёров.
- Административную часть — с ограничением доступа по IP вместо фильтрации.
Что WAF не заменяет
WAF снижает число успешных атак, но не закрывает уязвимости. Устаревшее ядро, брошенный модуль или слабый пароль администратора остаются риском. WAF — один из уровней защиты сайта, а не вся защита.
Обслуживание
После изменений сайта появляются новые ложные срабатывания, правила обновляются. Журналы WAF стоит просматривать регулярно — они показывают, что именно и откуда пытаются атаковать.