2023年值得收藏的開源或免費的web應用防火牆
2023年，數字經濟將強勢崛起，並且成爲新一輪經濟發展的動力，傳統的黑客破壞性攻擊如CC，轉爲更隱蔽的如0day進行APT滲透。所以無論私有服務器還是雲廠商如Cloudflare、阿里雲、騰訊雲等都把web應用防火牆（WAF）作爲網絡安全的必配核心保護設施。
市場上99%的商業web應用防火牆（WAF）都是閉源，開源WAF雖多，但能直接實戰部署的極少，可以對抗未知攻擊的更是極其罕見。筆者搜遍了github和gitee，整理出下面幾款能部署的web應用防火牆給大家收藏，一定有用的。
1、HTTPWAF
httpwaf是一款目前極其少有帶web管理後臺，提供永久免費版本的web應用防火牆。可以直接在生產環境部署的，支持自定義規則和未知攻擊檢測。優點是使用簡單，1分鐘就可以完成部署。缺點是：爲了安全不聯網，升級等只能手動進行。
項目地址：https://github.com/httpwaf/ 或者 ：https://gitee.com/httpwaf/
2、ModSecurity
ModSecurity是一個C++語言編寫的，開源的、跨平臺的Web應用防火牆（WAF），這個項目在2004年就啓動了，可謂是WAF界的鼻祖，當初影響力並不大，隨着時間的推移，越來越多的web應用需要部署防火牆就火起來了，很多其他WAF產品都或多或少受其影響，就開始來抄他。主要原因是安全社區OWASP很早就開發和維護着一套免費的保護規則，（又稱ModSecurity的核心規則集)，其優點是：規則對抗已知攻擊尚可。缺點是：無法對抗未知攻擊，且某些環境誤報率很高。
項目地址：https://github.com/SpiderLabs/ModSecurity
3、OpenResty+lua系列
OpenResty是以nginx+lua腳本語言爲核心，可以擴展很多第三方模塊的web應用服務器， 其中也有很多web應用防火牆的模塊，如unixhot、loveshell、openwaf、verynginx等。優點是：lua語言二次編寫過濾腳本簡單。缺點：底層nginx修改非常複雜，而lua腳本語言，在人工智能算法、智能語義解析上很難和其他語言的生態相比，github上大多是技術研究型的半成品，離商業級的實戰產品還需要大量技術和人力投入。
項目地址：https://github.com/openresty/
4、Janusec
Janusec是用go語言原創的Web應用網關，同時提供了WAF功能，攔截SQL注入/XSS/敏感數據泄露/CC防禦等。JANUSEC應用網關提供了一個可供用戶自行配置規則的基礎設施，並預置了常見的Web高危漏洞的攔截規則。與其他WAF相比，JANUSEC應用網關的WAF除了支持傳統的單檢查點的規則外，還支持多個檢查點聯動的組合規則，這讓防禦更加靈活。。
項目地址：https://github.com/Janusec/Application-Gateway
5、AIHTTPS
aihttps是hihttps的升級版，特點是兼容ModSecurity規則，用智能語義解析實現對未知漏洞的發現，並且已經向人工智能方向進化：使用機器學習自主生成對抗規則，來防禦包括：惡意掃描、CC 、DDOS、SQL注入、XSS等。其商業版也開源，是目前商業化開源程度最高的WAF。
項目地址：https://github.com/qq4108863/ 官網：http://www.hihttps.com
總結：
可以確定的是：aihttps等對高級APT未知攻擊的檢測能力，將成爲2023網絡安全行業的發展趨勢。網絡攻防已經上升到國家之間的情報對抗，技術無國界，但網絡安全從業者有國界，無論安全技術如何發展，筆者始終站在祖國的一邊。