为何需要联动：从单点防御到纵深协同
在现代企业网络环境中，攻击面已从传统数据中心边界扩展至多云、混合云和边缘场景。硬件防火墙作为网络层（L3/L4）的守门人，擅长处理状态检测、IP信誉、DDoS容量清洗；而云原生WAF（如AWS WAF、Cloudflare WAF或自建ModSecurity集群）则聚焦应用层（L7）的SQL注入、XSS、CSRF、API滥用等威胁。二者单独部署时存在明显盲区：硬件防火墙看不到应用协议内的恶意载荷，云原生WAF则无法感知网络层的大规模扫描或分布式拒绝服务（DDoS）攻击。因此，企业级安全建设亟需一场“联动作战演练”，将两种技术栈按流程整合，实现威胁信息共享与策略协同。
演练环境搭建：拓扑与组件选型
基础架构示意
本次演练假定企业采用混合云架构：核心业务部署在自有数据中心，前端接入互联网，同时将部分Web应用托管在公有云（如AWS）。硬件防火墙放置于数据中心互联网边界（例如FortiGate 600E或Palo Alto PA-5280），云原生WAF作为应用入口的第七层防护层（本例选用AWS WAF与CloudFront集成）。
关键组件与版本
- 硬件防火墙： 配置多WAN链路，启用IPS引擎、IP信誉库及GeoIP过滤。
- 云原生WAF： 使用托管规则集（如OWASP Top 10）、速率限制（Rate Limiting）、Bot Control及自定义规则。
- 日志与编排中心： 通过SIEM（如Splunk/ELK）或自动化编排平台（如SOAR）接收两侧告警，触发联动规则。
- 攻击模拟工具： 使用Metasploit、Burp Suite、Hping3和自定义Python脚本，覆盖L3/L4和L7攻击。
联动策略设计：分层过滤与情报共享
防御分层逻辑
设计原则是“先网络后应用，先粗筛后细查”。当用户请求抵达数据中心边界：
- 第一层（硬件防火墙）： 丢弃源IP信誉评分差的流量、已知DDoS放大攻击包、非业务端口扫描。同时将检测到的可疑源IP通过syslog或API推送至云WAF的临时黑名单。
- 第二层（云原生WAF）： 对通过边界过滤的流量进行应用层解码，匹配OWASP规则、检测异常用户代理、实施人机验证（Challenge）。若发现攻击特征，阻断并向硬件防火墙回传IP信誉信息，使其自动更新临时黑名单。
联动通信方式
为避免单点故障，采用异步、容错的消息队列（如RabbitMQ）或REST API。硬件防火墙将“High Priority Threat”事件（例如CSRF攻击、SQL注入尝试）通过结构化数据（JSON）推送至云WAF的策略引擎。云WAF侧编写Lambda函数，解析事件并更新WAF IP集规则。同时，云WAF检测到的大量异常请求（如遍历User-Agent）也会定期汇总，批量写入硬件防火墙的动态地址组。
演练步骤一：基线配置与测试
硬件防火墙基线配置
以FortiGate为例，创建策略：
- 允许TCP 443来自互联网到Web服务器；
- 启用IPS签名库“server-protect”，丢弃评分高于50的会话；
- 启用“IP信誉”动态列表，每小时下载更新；
- 配置syslog发送事件到SIEM。
云原生WAF基线配置
在AWS WAF中创建Web ACL：
- 关联CloudFront分布；
- 启用托管规则“AWSManagedRulesCommonRuleSet”，动作设为Block；
- 添加速率限制规则（每分钟2000请求）；
- 创建IP集：初始空集，用于接收硬件防火墙推送的黑名单。
验证连通性
从外部主机发起正常HTTP GET请求，应能通过两层防护返回200。检查硬件防火墙会话日志和WAF日志，确认无阻塞。
演练步骤二：攻击模拟与联动触发
场景1：L3扫描→硬件防火墙阻断→同步黑名单
使用Hping3对数据中心公网IP进行SYN扫描（速率5000 pps）。硬件防火墙IPS引擎立即检测到扫描特征，丢弃全部扫描包并生成严重告警。SIEM通过预先配置的playbook提取源IP，调用AWS WAF API将该IP添加到黑名单IP集。从攻击机再次尝试正常TCP连接，连接在云WAF层即被拒绝。验证耗时：从检测到同步上线<2秒。
场景2：L7 SQL注入→云WAF阻断→回传IP
使用Burp Suite模拟SQL注入（UNION SELECT）访问业务域名。云WAF的托管规则识别并返回403。同时，WAF通过CloudWatch日志触发Lambda，将攻击源IP以及攻击时间戳通过REST API提交给硬件防火墙的威胁情报系统。硬件防火墙立即将该IP加入动态黑名单，并持续封锁3600秒。从攻击侧再次发起同源不同端口的扫描，硬件防火墙直接丢弃。
演练步骤三：调优与误报处理
误报场景：合法API调用被误封
在演练中发现，某个合作伙伴的CI/CD服务器IP因频繁请求被云WAF的速率限制误拦截，并被推送至硬件防火墙黑名单。调优措施：
- 在云WAF中创建白名单规则，豁免该IP的速率限制；
- 修改联动逻辑：仅当同一IP在10分钟内触发>5次严重级WAF告警时，才推送至硬件防火墙黑名单，减少瞬时误报。
- 在硬件防火墙侧设置黑名单超时机制（默认为24小时，调整为1小时），并允许运维手动清除。
性能与容量测试
使用模拟流量工具（如wrk）测试联动场景下的延迟。基线：无联动时请求延迟约5ms；启用联动后，由于API调用和规则检查，平均延迟增加0.3ms，可接受。建议将联动API调用设计为异步，避免阻塞业务流。
演练总结与上线建议
关键成果
- 实现了L3-L7闭环防御：网络层的扫描、DDoS由硬件防火墙先行处理，应用层攻击由WAF深度检测，且威胁情报双向流动。
- 消除了“灰色流量”：如从恶意IP发起的合规HTTP请求（无攻击载荷但行为可疑）可在硬件防火墙侧被封锁。
- 减少了人工响应时间：从分钟级降至秒级。
企业上线的注意事项
- API安全： 联动使用的API必须加认证和加密（TLS），防止伪造请求导致误封。
- 灾备设计： 若云WAF与硬件防火墙之间的通信中断，应有降级策略（例如硬件防火墙保留本地黑名单，云WAF继续独立工作）。
- 合规审计： 记录每次联动操作的日志以备事后审计，确保符合GDPR或等保2.0要求。
- 持续演练： 建议每季度进行一次红蓝对抗演练，测试联动规则的有效性及性能。
通过本次演练证明，硬件防火墙与云原生WAF并非互为替代品，而是企业纵深防御体系中天然互补的两环。正确的联动配置能让安全团队同时拥有网络层的吞吐优势和应用层的检测深度，真正实现“1+1>2”的效果。
延伸阅读