Защита от DDoS и WAF ломаются не на атаке, а на неверных исключениях и правилах

DDoS и WAF часто настраивают как разрозненные слои, хотя они должны работать вместе. DDoS гасит объёмный шум, WAF режет прикладные запросы. Если смешать роли, можно либо пропустить атаку, либо заблокировать нормальный трафик.

Базовая схема выглядит так:
— включите жёсткие правила только для действительно опасных путей: логин, корзина, поиск, API;
— для чувствительных URL используйте rate limiting и проверку аномалий, а не только статические сигнатуры;
— исключения в WAF делайте точечно: по пути, методу, заголовку, а не по всему домену;
— после любого ложного срабатывания проверяйте, не ослабили ли вы защиту слишком широко.

Частая ошибка — создавать «разрешающие» правила выше блокирующих, а потом удивляться, почему фильтрация не работает. Не менее опасно отключать защиту для ботов целиком: часть полезных роботов реально индексирует сайт, а часть маскируется под них. В результате страдает и безопасность, и аналитика.

Хорошая практика — сначала наблюдать, потом ужесточать. Логи запросов, типы срабатываний, частота повторов и страны-источники дают достаточно данных, чтобы строить правила без гадания. Стабильность инфраструктуры — залог масштабируемости.