华为云服务waf hss与云原生开发环境兼容性与配置要点

1) 华为云 WAF 提供 Web 应用层（L7）攻击防护，HSS 负责主机与终端层面的安全防护。
2) 在云原生环境，安全职责划分更细：WAF 防外部恶意请求，HSS 护节点与容器镜像。
3) 两者互补，可结合 CDN 与 DDoS 防护形成多层防线，提升可用性与安全性。
4) 兼容性关注点包括 Kubernetes 版本、Ingress 控制器、容器运行时与网络插件（CNI）。
5) 设计上要考虑自动化部署（Helm/Operator）、配置下发与日志采集链路的无缝对接。
6) 对 SEO 友好，合理设置 WAF 策略以避免误杀爬虫，同时记录日志用于安全审计与性能调优。

1) WAF：SQL 注入、XSS、命令注入、爬虫控制、速率限制与自定义规则集（Rule Count 可达数百）。
2) HSS：主机入侵检测、文件完整性、内核补丁评估、弱口令扫描与漏洞修复建议。
3) 日志维度不同：WAF 产生 HTTP 访问日志与阻断事件，HSS 产生主机审计与告警事件。
4) 在云原生中需保证日志统一上报至 ELK/OBS/CloudTrace，便于事件关联分析。
5) 两者联合策略示例：WAF 触发高危请求后自动在 HSS 上查询对应源主机或容器行为。
6) 兼容性检查点：API 版本、Agent 支持的内核版本与监听端口范围。

1) Kubernetes 兼容范围：建议 CCE/K8s 1.20 - 1.24（以实际华为云支持周期为准）。
2) Ingress 控制器：常见 nginx-ingress、traefik 与 cloud-native gateway 均需验证 WAF 会话粘滞与真实 IP 传递。
3) CNI 与网络策略：使用 Calico/Flannel 等需确认 HSS agent 能访问主机网络与容器命名空间。
4) 容器运行时：containerd 与 Docker 均需确保 HSS 的主机代理能读取容器进程与文件系统信息。
5) Helm 部署：建议将 WAF 相关配置（策略ID、白名单、速率限制）通过 ConfigMap/Secret 管理并纳入 CI/CD。
6) 兼容性验证清单：Kubernetes 版本、Ingress annotations、Service type（LoadBalancer/NodePort）、PodSecurityPolicy。

1) 示例场景：3 节点 CCE 集群对外暴露 Web 服务，接入华为云 WAF 与 HSS。
2) 节点规格：3 x t6.large.2（2 vCPU / 8GB RAM），带宽 200 Mbps，EIP 型公网出口。
3) WAF 策略示例：IP 黑名单 50 条，速率限制 200 r/s，自定义规则 32 条，日志保留 90 天。
4) HSS 配置示例：Agent v2.3.1，漏洞扫描计划每周一次，实时告警阈值 5 次失败登录/小时。
5) 下表为关键配置数据展示（表格边框宽度为1且居中）：

组件	配置项	示例值
CCE 节点	规格/带宽	t6.large.2 / 200 Mbps
WAF	速率/规则	200 r/s / 32 自定义规则
HSS	Agent/扫描	v2.3.1 / 周检
日志	保存期	WAF 90 天 / HSS 30 天

6) 部署提示：通过 Helm 安装 HSS Agent 为 DaemonSet，通过 Service 注解或云厂商控制台绑定 WAF 策略到对应域名/负载均衡实例。

1) CDN 优先级：将静态内容由 CDN 缓存，WAF 放在 CDN 与源站之间，减轻源站压力并提高防护效率。
2) DDoS：华为云 Anti-DDoS 与 WAF 联动，DDoS 防护负责流量清洗，WAF 专注应用层策略。
3) 域名解析：使用华为云 DNS 或第三方 DNS，将域名解析至 CDN/EIP 并在控制台绑定 WAF 策略。
4) 主机/VPS：HSS 在主机层面安装 Agent，VPS 用户需开放 Agent 与控制台通信端口（默认 443/5222 等按厂商说明）。
5) 异常流量处置：DDoS 缓解后由 WAF 进一步筛查并触发 HSS 调查源 IP 的主机行为。
6) 运维建议：域名变更/切换 CDN 时做灰度发布并监控 WAF 告警、HTTP 5xx 比例与延迟。

1) 背景：某电商在双十一前将订单服务迁移至 CCE，原有 VPS 集群被替换。
2) 配置：3 个节点（2vCPU/8GB），负载均衡绑定 2 个 EIP，WAF 开启“速率限制+爬虫识别”，HSS 部署 DaemonSet。
3) 指标：迁移后平均 RPS 从 800 降至 650（因 CDN 缓存），WAF 拦截高危请求 12k 次/天。
4) 故障处理：遇到误杀支付回调事件，通过日志回溯定位为规则误判，调整自定义规则后恢复；误杀率从 0.8% 降至 0.05%。
5) 成效：DDoS 高频攻击被 Anti-DDoS 清洗，WAF 阻断应用层攻击，HSS 发现一台未打补丁的主机并触发补丁策略。
6) 经验：预演流量压力测试、对关键接口白名单配置、并将 WAF 日志接入 SIEM 做实时告警。

1) 日志集中：将 WAF/HSS 日志统一上报到 OBS/ELK，设置关键字段（src_ip, uri, rule_id）索引。
2) 告警策略：为阻断事件、异常流量、Agent 离线设定分级告警与自动化工单。
3) 配置版本控制：将 WAF 策略与 HSS 配置纳入 Git，使用 CI/CD 自动回滚与变更审核。
4) 性能监测：监控 95% 响应时间、HTTP 5xx 比例与后端实例 CPU/内存，避免安全策略影响可用性。
5) 定期演练：进行安全演练（渗透测试、流量风暴）并验证 WAF/HSS 的拦截与联动效果。
6) 合规与审计：保存审计日志（建议至少 90 天），并定期导出用于合规与安全审计。

来源：华为云服务waf hss与云原生开发环境兼容性与配置要点