Protecție anti-DDoS și WAF în România

Ce oprește rețeaua și ce oprește WAF-ul

Cele două straturi rezolvă probleme diferite. Filtrarea de rețea absoarbe volumetria: SYN flood, amplificare UDP, atacuri L3/L4 care ar satura legătura. Capacitatea este inclusă, fără să ceri nimic. WAF-ul lucrează la nivel de cerere HTTP: SQL injection, XSS, path traversal, abuz de formulare, brute force pe autentificare, cereri costisitoare care omoară baza de date. Un firewall clasic nu vede conținutul cererii, deci nu poate face diferența între o interogare normală și una construită să extragă date.

• L3/L4: volumetrie, SYN flood, amplificare, atacuri de rețea
• L7: injecții, XSS, abuz de formulare, brute force pe login
• Rate limiting adaptiv pe IP, sesiune și rută
• Reguli geo/ASN, când sunt justificate de traficul real
• Cache și pagini de așteptare pentru vârfuri legitime

Boți AI, patch virtual și detecție cu machine learning

Traficul automat a devenit majoritar pe multe site-uri, iar o parte din el e util (crawlere de căutare), o parte nu (scraping de conținut și de prețuri, testare de credențiale). Atacatorii folosesc agenți LLM care rescriu payload-ul până trece de o regulă, deci semnăturile fixe nu mai ajung. De partea noastră folosim detecție de bot pe comportament și machine learning, amprentare TLS (JA3/JA4), rate limiting care se strânge singur la anomalii și patch virtual în WAF pentru CVE-uri exploatate în câteva ore de la publicare, până apare versiunea corectată.

Cum reglăm regulile fără să blochezi clienți

Un WAF pus direct pe blocare rupe încărcări de fișiere, editoare de conținut și integrări. Pornim în mod de monitorizare, colectăm cererile reale ale aplicației tale, apoi excludem ce e legitim și abia după aceea trecem pe blocare. Reglajul se face din orele incluse în abonament, cerute din panoul de client. La fiecare lansare mai mare revenim peste setul de reguli, pentru că o rută nouă înseamnă un tipar de trafic nou și un set nou de fals pozitive.

Crawlere AI, SEO și controlul conținutului

Vrei ca Google să te indexeze, dar nu vrei ca tot catalogul să fie copiat de scrapere. Separăm cele două: identificăm crawlerele declarate prin robots.txt și llms.txt, verificăm dacă vin de la rețelele pe care le pretind și tratăm restul după comportament, nu după numele pe care își aleg. Regulile sunt scrise per rută: paginile publice rămân accesibile, iar API-urile, listele de prețuri și căutarea internă primesc limite mai strânse.

Cum lucrăm

1. Cererea din panou

   Ceri configurarea WAF din „Servicii DevOps”, ne spui domeniile, integrările sensibile și fereastra în care putem schimba regulile.

2. Analiza traficului real

   Punem WAF-ul în monitorizare, măsurăm cererile legitime, identificăm boții și rutele scumpe, apoi propunem setul de reguli și limitele.

3. Trecerea pe blocare

   Activăm blocarea gradual, pe rute, cu excepții pentru integrări. Verificăm împreună formularele, plățile și zonele de client.

4. Predare și reglaj continuu

   Predăm documentația regulilor, alertele și panoul de trafic. Revenim la lansări mari sau la apariția unui CVE exploatat activ.

Cazuri de utilizare

Tehnologii

• ModSecurity
• OWASP CRS
• Coraza
• CrowdSec
• Nginx
• HAProxy
• nftables
• Grafana

Întrebări frecvente

• Ce este un WAF?

  Un firewall pentru aplicații web. Se pune în fața site-ului și inspectează fiecare cerere HTTP, nu doar adresa și portul. Blochează injecții SQL, XSS, path traversal, abuz de formulare și cereri automate, după reguli OWASP CRS ajustate pe aplicația ta.

• Ce diferență este între WAF și un firewall clasic?

  Firewallul clasic decide pe baza IP-ului, portului și protocolului: deschis sau închis. WAF-ul citește conținutul cererii HTTP și înțelege ce încearcă să facă. Ai nevoie de amândouă: firewall de rețea pentru suprafață, WAF pentru logica aplicației.

• Este Cloudflare suficient?

  Pentru multe site-uri, un CDN cu WAF acoperă stratul public. Rămân însă originea, porturile administrative și traficul intern, care trebuie închise separat, altfel atacatorul ocolește edge-ul lovind direct IP-ul serverului. Noi filtrăm și în rețeaua noastră, și pe server.

• Cum blochez crawlerele AI (GPTBot) fără să pierd Google?

  Declari politica în robots.txt și llms.txt, apoi aplici reguli separate pe agent: crawlerele de căutare rămân permise și verificate, cele de antrenare le refuzi la nivel de WAF. Boții care mint despre identitate sunt prinși pe comportament și pe amprenta TLS.

• Cum opresc scraping-ul făcut de boți AI?

  Cu limite pe rută, nu pe tot site-ul: căutare, listări și API primesc cote mai mici, iar accesul repetitiv la catalog cere sesiune validă. Adăugăm detecție comportamentală și, unde se justifică, provocări pentru clienți automatizați. Regulile se reglează din orele incluse.

• Ce atacuri blochează un WAF?

  SQL injection, XSS, path traversal, deserializare nesigură, încărcări de fișiere periculoase, brute force pe autentificare, abuz de formulare și DDoS la nivel de aplicație. Nu înlocuiește însă patch-urile: regula virtuală ține până actualizezi componenta vulnerabilă.