你使用什么Web应用程序防火墙？ 我应该使用什么？

说了我没有使用Mod Security的经验，我想分享下面的评论 ：

ModSecurity是由Trustwave的SpiderLabs开发的Apache的开源Web应用防火墙（WAF）引擎。 它具有强大的基于事件的编程语言，可防范针对Web应用程序的一系列攻击，并允许HTTPstream量监控，日志logging和实时分析。 在全球范围内部署超过10,000个，ModSecurity是目前应用最广泛的WAF。

它运行embedded到Web服务器，作为一个强大的伞 – 屏蔽应用程序免受攻击。 ModSecurity支持Apache Web服务器的两个分支。

该模块根据许多不同的标准（如CGIvariables，HTTP标头，环境variables，甚至个别脚本参数）过滤并可选地拒绝传入请求。 mod_security还可以创build审计日志，将完整的请求详细信息存储在单独的文件中，包括POST有效负载（审计function可以基于每个服务器或每个目录打开或closures）。

优点

mod_security的优点是“安全性”。

1. 没有networking端configuration
2. 易于pipe理。
3. 像啤酒一样免费
4. HTTP入侵检测和预防

缺点

1. 你必须成为一名安全专家
2. 你必须成为协议专家。
3. configuration必须手动完成。
4. 性能下降

梭子鱼Web应用程序防火墙提供了一个良好的基于​​浏览器的pipe理/configuration用户界面，可以由大多数pipe理员设置，只需阅读他们的文档，可以很容易地设置IIS或Apache。 我知道它适用于IIS和Apache服务器，因为我已经同时使用它和它应该遵循HTTP / HTTPS标准的任何服务器。 我们将它部署为虚拟机，但您也可以将其作为设备购买，或者甚至是基于云的部署模型。 对于我们来说，它维护了23台服务器在我们目前的高峰期间仅占其CPU容量的20％。 它只给延迟增加一个数字毫秒。

与Imperva产品相比，我看到的主要优势是：

1. 更快configuration
2. 不太可能需要雇佣供应商的专业服务，因为大多数知道的Web服务器pipe理员只需要阅读一下产品文档就可以对其进行configuration，而在Imperva中，更多的人需要聘请他们的专业服务来configuration它。

对不起，不能比较mod_security，因为我从来没有使用它。