WAF内容扫描全面上线：文件恶意软件保护
内容提要
Cloudflare推出了WAF内容扫描，这是一种用于Web应用程序的恶意软件文件检测和预防解决方案。该功能已经得到改进，扫描的最大文件大小从1MB增加到15MB。扫描过程可以扫描各种文件类型，包括可执行文件、文档、压缩文件、图像以及视频和音频文件。新的架构允许扫描更大的文件而不影响性能。该功能可作为附加许可证提供给企业WAF客户使用。
延伸解读
扫描文件大小提升至15MB的技术挑战
WAF内容扫描的最大文件大小从1MB提升至15MB，这并非简单的参数调整。旧架构中，请求体需在NGINX缓冲，再复制到WAF引擎执行规则，最后通过Unix域套接字发送到扫描器，导致多次缓冲和传输，延迟随文件大小线性增长。新架构绕过WAF引擎，让扫描器直接读取临时文件并执行规则，避免了额外复制和传输，从而在扫描更大文件时仍能保持较低延迟。这一改进体现了在实时安全检测中平衡性能与覆盖范围的重要性。
基于启发式的文件检测机制
WAF内容扫描不依赖易被攻击者操纵的Content-Type头，而是通过启发式方法自动识别上传内容。引擎会过滤掉预定义列表中的内容类型（如text/html、application/json等），将其余类型视为上传内容并送交扫描。这种机制能覆盖可执行文件、文档、压缩文件、图像及音视频等多种文件类型，同时避免对所有请求进行不必要的扫描，减少性能开销。启发式识别在安全性和效率之间取得了平衡，但可能对某些边缘内容类型产生误判，需结合自定义规则调整。
扫描结果字段与自定义WAF规则集成
扫描引擎返回多个字段，如cf.waf.content_scan.has_malicious_obj、obj_sizes、obj_types和obj_results，客户可利用这些字段在WAF中构建自定义规则。基本用例是阻止恶意文件到达Web服务器，但也可实现更复杂的逻辑，例如对文件大小、类型、端点或路径施加约束。这种灵活性让企业能根据自身业务需求定制安全策略，同时通过日志推送、安全分析等工具获得数据可见性，辅助安全团队基于实际流量信号做出决策，减少误报。
数据可见性助力安全决策
WAF内容扫描不仅提供拦截能力，还增强了数据可见性。在安全分析仪表板中，内容扫描标签页会显示流量模式，即使未配置WAF规则也能查看。这些数据也反映在采样请求中，并可直接从该视图创建规则。此外，安全事件和Logpush数据流中均包含扫描字段，方便外部日志处理。这种设计让安全团队能在拦截前识别潜在风险，基于充分信息调整策略，降低误报影响，体现了Cloudflare在WAF攻击评分和机器人管理产品中类似的数据驱动安全理念。
Q&A
WAF内容扫描的主要功能是什么？
WAF内容扫描用于Web应用程序的恶意软件文件检测和预防，阻止恶意文件到达web服务器。
WAF内容扫描支持哪些文件类型？
WAF内容扫描支持可执行文件、文档、压缩文件、图像以及视频和音频文件。
如何启用WAF内容扫描功能？
客户可以通过API或仪表板的设置页面启用WAF内容扫描功能。
WAF内容扫描的文件大小限制是多少？
WAF内容扫描的文件大小限制为15MB。
WAF内容扫描如何提高数据可见性？
WAF内容扫描提供更好的数据可见性，帮助安全团队基于流量信号做出明智决策。
未来WAF内容扫描将增加哪些新特性？
未来将增加动态头功能和文件隔离等新特性。
