Как WAF учится видеть не просто атаки, а смену их характера
В чате скинули разбор про то, как WAF учится замечать не просто атаки, а смену их характера. Попался — и понял: это не про «что взломали», а про «что изменилось». И это ключевое.
О чём речь и почему я считаю это важным для сайта
Речь не о том, что сайт взломали. Речь о том, что за ним уже давно шли боты — и в какой-то момент они перестали быть просто сканерами. Они стали искать уязвимости. Это не событие — это смена режима. Я считаю, что именно это — главная угроза: не тот, кто уже внутри, а тот, кто только начал. И пропустить этот момент — значит уже проиграть.
Как это устроено — что тут вообще происходит
Система не считает, сколько раз сработало правило. Она смотрит, *какие* правила срабатывают и в каком соотношении. Если вдруг появляется новая группа атак — например, SQL-инъекции — и они начинают доминировать, даже если общее число событий не выросло, система это замечает. Это не просто «много событий» — это «новый тип поведения». И это то, что надо увидеть раньше, чем увидит хакер.
Как понять, что это касается вашего сайта («как я это проверяю»)
Я смотрю не на количество срабатываний, а на динамику. Если вдруг в топе появляется правило, которого раньше не было — например, обход директорий или вставка кода — это тревога. Даже если объём не вырос. Я проверяю, что происходило в предыдущие дни. Если вчера такого не было — это не норма. Это сигнал.
Что с этим делать («что я делаю в таких случаях»)
Первым делом — проверяю, не появился ли новый вектор атаки. Может, устарел плагин, или был добавлен уязвимый компонент. Потом — смотрю логи, чтобы понять, откуда пришёл трафик. Если это бот, — блокирую. Если это сканирование — уточняю, где именно. Важно не просто отреагировать, а понять, *почему* это началось. Потому что если не закрыть причину, вернётся. И не через неделю — через день.
Что здесь даёт поддержка
На нашей поддержке мы не просто чистим заражение. Мы смотрим, *почему* оно появилось. Заражают не хакеры, выбравшие ваш сайт — заражают боты, массово сканирующие уязвимости. Если не закрыть причину — вернётся. У нас мониторинг доступности и ключевых страниц каждые несколько минут, 24/7. Мы видим сдвиги, пока они ещё не стали угрозой. Потому что безопасность — это не реакция. Это предсказуемость. Приглашаем на бесплатный аудит безопасности.