防護配置的術語、流程、模組及案例 - Web Application Firewall

本文介紹了Web Application Firewall（Web Application Firewall，簡稱WAF）服務防護配置的相關術語、配置流程、防護模組概覽及典型配置案例。

防護配置流程

Web業務接入WAF防護後，您可以參照以下步驟，為Web業務配置防護規則。不同接入方式下的防護配置流程略有差異。

步驟	雲產品接入	CNAME接入
1. 添加防護對象。	完成雲產品接入的雲產品執行個體已被自動添加為WAF的防護對象。如需為執行個體中的網域名稱配置獨立的防護規則（例如，執行個體中有多個網域名稱，不同網域名稱需要配置不同的防護規則），必須手動將網域名稱添加為WAF的防護對象。具體操作，請參見防護對象和防護對象組。	無需執行。完成CNAME接入的網域名稱已被自動添加為WAF的防護對象。
2. （可選）將防護對象加入防護對象組。	如需為多個防護對象配置同樣的防護規則，可以將多個對象加入到一個防護對象組（簡稱對象組），然後為對象組配置防護規則。對象組的防護規則對組內所有對象生效。使用對象組時，必須先建立一個對象組並為對象組關聯防護對象。具體操作，請參見建立防護對象組。
3. 定義規則模板。	如需啟用某個防護模組，則防護模組下必須先有規則模板，然後您可將規則模板應用到指定的防護對象或對象組。基礎防護規則和白名單模組已內建預設規則模板，無需您手動建立規則模板；如需啟用其他防護模組，則必須先手動建立規則模板。更多資訊，請參見防護模組概覽。您可以定義多套規則模板，為不同防護對象應用不同的防護規則。更多資訊，請參見多套規則模板應用樣本。
4. 管理防護規則。	您可以在不同防護模組下的規則模板中管理具體的防護規則，例如啟用或禁用規則、新增規則等。規則模板中發生的規則變動將直接應用到該規則模板的生效對象。不同規則模板支援的規則操作不完全相同。更多資訊，請參見防護模組概覽。

防護模組概覽

下表描述了WAF支援的所有防護模組，以及不同防護模組的預設配置。

防護模組	說明	預設規則模板	配置建議
基礎防護規則	基於阿里雲安全內建的防護規則集，協助Web業務防禦SQL注入、XSS跨站、代碼執行、WebShell上傳、命令注入等常見的Web應用攻擊。	內建一套預設規則模板（包含WAF的基礎防護規則集）。規則模板預設啟用，且採用攔截模式。重要新接入WAF防護的對象預設受到基礎防護規則的防護，基礎防護規則會自動攔截攻擊請求。	建議保持預設配置。業務接入WAF防護一段時間後，如果您發現基礎防護規則集存在誤攔截，可以通過設定白名單規則，屏蔽產生誤攔截的基礎防護規則。相關操作，請參見設定白名單規則允許存取特定請求。
防護規則群組	支援預設規則群組和自訂規則組。您可以根據業務需要，將規則群組關聯到基礎防護規則模板，協助網站防禦各種常見的Web應用攻擊。	內建一套預設規則群組。	如需啟用自訂規則組，必須建立一個規則群組模板，並配置相關規則。
白名單	白名單模組允許您根據業務情境，自訂允許存取具有指定特徵的請求，使請求不經過全部或特定防護模組的檢測。	內建一套預設規則模板（未定義任何規則）。規則模板預設啟用。	如需允許存取具有指定特徵的業務請求流量，可以在預設規則模板下建立白名單規則。
CC防護	基於內建的通用CC防護演算法，緩解產品規格內的高頻請求（HTTP Flood）攻擊。您也可以通過自訂規則中的頻率限制進行更加靈活的自訂CC防護。	內建一套預設規則模板（未定義任何規則）。規則模板預設啟用。說明僅訂用帳戶進階版、訂用帳戶企業版及訂用帳戶旗艦版包含預設開啟的預設規則模板。	如需啟用自訂規則，必須建立一個規則模板，並配置相關規則。
掃描防護	掃描防護模組通過識別掃描行為和掃描器特徵，阻止攻擊者或掃描器對網站的大規模掃描行為，協助Web業務降低被入侵的風險並減少掃描帶來的垃圾流量。	內建一套預設規則模板（未定義任何規則）。規則模板預設啟用。說明僅訂用帳戶進階版、訂用帳戶企業版及訂用帳戶旗艦版包含預設開啟的預設規則模板。	如需啟用自訂規則，必須建立一個規則模板，並配置相關規則。
IP黑名單	IP黑名單模組允許您根據業務情境，自訂攔截來自特定IP地址（IPv4或IPv6地址）或位址區段的請求。	不提供預設規則模板，當前防護模組預設未啟用。	如需啟用當前防護模組，必須建立一個規則模板，並配置相關規則。
自訂規則	自訂規則模組允許您基於自訂的HTTP請求特徵或特徵組合，對合格請求執行攔截、驗證、記錄日誌等處置。您也可以選擇限速模式，將訪問超出一定頻率的統計對象（例如IP、會話）加入黑名單，在黑名單有效期間內對統計對象執行相應處置。
自訂響應	自訂響應模組允許您自訂用戶端請求被WAF攔截時，WAF返回給用戶端的攔截頁面的樣式和內容，包含響應碼、回應標頭、響應體。
地區封鎖	一鍵封鎖來自特定地區的用戶端IP。
網頁防篡改	協助您鎖定需要保護的網站頁面，被鎖定的頁面在收到請求時，返回已設定的快取頁面面。
資訊泄露防護	協助您過濾伺服器返回內容（異常頁面或關鍵字）中的敏感資訊，如社會安全號碼、銀行卡號、電話號碼和禁用語等，進行脫敏顯示。
Bot管理-基礎防護規則	基於四/七層流量指紋識別Bot流量，一鍵開啟防護。
Bot管理-網頁防爬情境化防護規則	基於用戶端、流量、行為和情報等多維度特徵識別機器（Bot）流量，允許存取搜尋引擎等好的Bot，緩解惡意Bot帶來的頻寬增加、資料爬取、垃圾註冊/下單/投票、介面濫刷等風險。
Bot管理-App防爬情境化防護規則
重保情境防護	支援特定時間段的重大活動安全保障，為您提供更加精準和定製化的防禦模式。	不提供預設規則模板，當前防護模組預設未啟用。	如需啟用當前防護模組，必須建立一個規則模板，並配置相關規則。
API安全	支援自動梳理已接入WAF防護的業務的API資產，檢測API風險（例如未授權訪問、敏感性資料過度暴露、內部介面泄露等），並通過報表還原API例外狀況事件，提供詳細的風險處理建議和API生命週期管理參考資料。	不涉及。

一鍵關閉WAF防護功能

當您需要臨時關閉WAF防護時，您可以在WAF 3.0控制台的防護對象頁面中，關閉WAF防護開關。如下圖所示。

當開關關閉時，您接入網站的流量會臨時繞行WAF防護引擎，並不再記錄攔截和觀察日誌。在您完成應急測試等需要臨時關閉WAF的操作後，推薦您儘快返回WAF 3.0控制台的防護對象頁面，開啟WAF防護開關，記錄攔截和觀察日誌，減少您資產的暴露風險。若您關閉了WAF防護開關或功能，但配置了API安全防護，相關檢測流程仍將繼續執行。

重要

對於開通隨用隨付版本的使用者，即使通過開關臨時關閉WAF防護，仍會正常收取功能費、基礎流量費及API安全流量費（若已啟用API安全）。Bot管理流量費、風險識別服務及自訂規則的流量計費將暫停。

說明

雲產品接入中，微服務引擎（MSE）與Function Compute（FC）尚不支援一鍵關閉繞過功能。針對混合雲部署，該功能需達到指定版本方可生效。詳情請諮詢您的商務經理，或通過工單提交諮詢，我們的支援小組將為您提供精確的版本要求資訊。

多套規則模板應用樣本

在一個防護模組下定義多套規則模板，可以實現為不同防護對象配置不同的防護規則，滿足多樣化的業務防護需求。

以基礎防護規則模組為例：該模組內建了一套預設規則模板（規則動作為攔截），直接應用於所有新接入WAF防護的對象。如果WAF檢測到防護對象上的攻擊請求，將會攔截攻擊請求。

如果您希望對後續新接入WAF防護的對象採用觀察模式（不攔截攻擊請求，只記錄請求命中了規則），只對已接入WAF防護的業務採用攔截模式，則可以按以下方式配置。

將預設規則模板的規則動作設定為觀察。
建立一個基礎防護規則模板，將該模板的規則動作設定為攔截，並將生效對象設定為已接入WAF防護的所有防護對象。

完成以上配置後，新接入WAF防護的對象預設採用觀察模式，您可以在確認WAF無誤攔截後，再將防護對象關聯到使用攔截模式的規則模板。