Как отключить базовые правила WAF

WAF (Web Application Firewall) - это система фильтрации, встроенная между посетителем и веб-сервером. Она проверяет каждый HTTP- и HTTPS-пакет и останавливает попытки взлома сайта. Базовые правила WAF - это готовые фильтры, которые поставляются вместе с защитой. Они содержат сигнатуры известных атак и шаблоны подозрительного поведения. 

Какие атаки останавливают фильтры 

1. SQL-инъекции: вставка в поле ввода строки вроде admin' OR 1=1--, чтобы изменить запрос к базе данных.
2. XSS: добавление вредоносного jаvascript в страницу.
3. CSRF: отправка запроса от имени авторизованного пользователя без его ведома.
4. LFI/RFI: попытки подключить на сервер файл с другого сайта или с локального диска.
5. Обход каталогов: в адресной строке появляется строка вида ../../../etc/passwd.
6. Сканирование уязвимостей: обращения сканеров вроде DirBuster, которые перебирают адреса в поиске скрытых папок.
7. Подбор паролей: множественные авторизационные запросы с разными комбинациями логина и пароля.
8. DDoS на уровне приложения: поток запросов, направленный на исчерпание ресурсов веб-сервера.
9. Атаки на API: запросы с искажённой структурой JSON или XML.

Как устроены базовые правила

WAF - это защитник на входе, который проверяет не только кто обращается к сайту, но и что именно передаётся в обращении. В отличие от обычных фаерволов, он не пропускает любой трафик. Если поток данных совпадает с подписью атаки, он останавливается. Даже необычный фрагмент в строке URL достаточен для блокировки. Система ориентируется не на IP-адрес, а на сами данные.

Программа последовательно просматривает

• заголовки HTTP-запросов;
• параметры в адресной строке;
• поля веб-форм;
• файлы cookie;
  тело POST-запроса, включая JSON и XML;
• поведение посетителя: сколько запросов отправлено и в каком порядке.

Когда обнаруживается действие, подпадающее под правило, запрос немедленно прекращается или пользователя направляют на дополнительную проверку, например ввод CAPTCHA.

Как отключить базовые правила WAF

Способ зависит от типа WAF и платформы. Ниже — общие сценарии.

Вариант 1. Облачные WAF (Cloudflare, Yandex Smart Web Security, AWS WAF и т. д.)

1. Зайдите в панель управления провайдера.
2. Перейдите в раздел WAF / Безопасность / Правила защиты.
3. Найдите блок Базовые правила / Default Rules / Core Ruleset.

Выберите действие:

1. Отключить полностью (если опция доступна).
2. Перевести в режим мониторинга (только логирование, без блокировки).
3. Отключить отдельные правила (снимите галочки с нужных сигнатур).
4. Сохраните изменения.

Вариант 2. Программные WAF (ModSecurity, NGINX App Protect)

Откройте конфигурационный файл WAF:

• для ModSecurity: modsecurity.conf или rules/*.conf;
• для NGINX: блок waf в конфигурации сервера.
• Найдите секции с правилами (обычно помечены SecRule или аналогичными директивами).
• Отключите правила одним из способов:
• закомментируйте строки с правилами (# в начале);
• измените действие с deny/block на log (только запись в журнал);
• укажите phase:1,nolog,pass для пропуска правила.

Перезагрузите сервис:

bash
sudo systemctl reload nginx
# или
sudo service apache2 reload

Вариант 3. Хостинговые панели (cPanel, ISPmanager)

1. Войдите в панель управления хостингом.
2. Перейдите в раздел Безопасность / WAF / ModSecurity.
3. Выберите домен или ресурс.
4. Отключите модуль целиком или снимите галочки с отдельных правил.
5. Примените изменения.

Важные предупреждения

1. Не отключайте базовые правила без причины. Это открывает сайт для массовых атак.
2. Сначала протестируйте в режиме мониторинга. Анализируйте логи WAF, чтобы понять, какие правила вызывают ложные срабатывания.
3. Создавайте исключения точечно. Если блокируется легитимный запрос, настройте правило‑исключение для конкретного URL или параметра.
4. Обновляйте сигнатуры. Базовые правила регулярно дополняются — отключение может оставить уязвимости без защиты.
5. Проверяйте работу приложения. После изменений протестируйте все формы, API‑эндпоинты и сценарии.

Альтернативы полному отключению

Если базовые правила мешают работе приложения, попробуйте:

1. Настроить исключения для конкретных URL, IP‑адресов или User‑Agent.
2. Снизить строгость правил (например, заменить block на challenge с CAPTCHA).
3. Добавить «белые списки» для доверенных ботов или API‑клиентов.
4. Использовать режим обучения (WAF собирает статистику, но не блокирует трафик).

Откючение базовых правил WAF в ISPManager

Если необходимо, вы можете оставить исключительно правила от Imunify360. Всё что для этого нужно сделать, это внести изменения в конфигурацию Apache. Для Debian-based систем в файле по пути /etc/apache2/mods-enabled/security2.conf закомментируйте строку IncludeOptional

/etc/modsecurity/*.conf, а в следующей строке после параметра SecDataDir впишите строку SecRuleEngine On.

Для RHEL-based систем в файле по пути /etc/httpd/conf.d/mod_security.conf закомментируйте следующей строки:

IncludeOptional modsecurity.d/*.conf
IncludeOptional modsecurity.d/activated_rules/*.conf
IncludeOptional modsecurity.d/local_rules/*.conf

После внесения изменений перезапустите веб-сервер:

service lsws restart