概述
本文介紹了Web應(yīng)用防火墻（Web Application Firewall，簡(jiǎn)稱WAF）服務(wù)防護(hù)配置的相關(guān)術(shù)語(yǔ)、配置流程、防護(hù)模塊概覽及典型配置案例。
防護(hù)配置流程
Web業(yè)務(wù)接入WAF防護(hù)后，您可以參照以下步驟，為Web業(yè)務(wù)配置 防護(hù)規(guī)則 。不同接入方式下的防護(hù)配置流程略有差異。
| 步驟 | 百度云防護(hù) WAF接入 |
|---|---|
| 1. 添加 防護(hù)域名 | 在Web應(yīng)用防火墻控制臺(tái)添加防護(hù)主子域名進(jìn)行WAF轉(zhuǎn)發(fā)配置 |
| 2. 定義防護(hù)規(guī)則模板 | 您可以在防護(hù)規(guī)則中配置不同的防護(hù)規(guī)則，可以將規(guī)則模板應(yīng)用到指定的防護(hù)域名。 可以定義多套規(guī)則模板，為不同防護(hù)域名應(yīng)用不同的防護(hù)規(guī)則。 |
| 3. 管理防護(hù)規(guī)則 | 您可以在不同防護(hù)模塊下的規(guī)則模板中管理具體的防護(hù)規(guī)則， 規(guī)則模板中發(fā)生的規(guī)則變動(dòng)將直接應(yīng)用到該規(guī)則模板的生效域名。不同規(guī)則模板支持的規(guī)則操作不完全相同。 |
防護(hù)規(guī)則概覽
下表描述了WAF支持的所有防護(hù)模塊，以及不同防護(hù)模塊的默認(rèn)配置。
| 防護(hù)規(guī)則 | 說(shuō)明 | 默認(rèn)規(guī)則模板 | 配置建議 |
|---|---|---|---|
| 基礎(chǔ)Web防護(hù)引擎 | 基于百度云安全AI分析能力，快速精準(zhǔn)有效的防御常見(jiàn)Web攻擊，如SQL注入、非授權(quán)訪問(wèn)、XSS跨站腳本、CSRF跨站請(qǐng)求偽造，Webshell、木馬等等 | 內(nèi)置一套默認(rèn)規(guī)則（包含百度多年WAF的基礎(chǔ)防護(hù)規(guī)則集）。重要：新接入WAF防護(hù)的域名開(kāi)啟Web防護(hù)默認(rèn)受到基礎(chǔ)防護(hù)規(guī)則的防護(hù)，基礎(chǔ)防護(hù)規(guī)則會(huì)自動(dòng)攔截攻擊請(qǐng)求。 | 建議開(kāi)啟基礎(chǔ)防護(hù)配置。業(yè)務(wù)接入WAF防護(hù)一段時(shí)間后，如果您發(fā)現(xiàn)基礎(chǔ)防護(hù)規(guī)則集存在誤攔截，可以通過(guò)設(shè)置白名單規(guī)則，屏蔽產(chǎn)生誤攔截的基礎(chǔ)防護(hù)規(guī)則。 |
| CC防護(hù) | 基于內(nèi)置的通用CC防護(hù)算法，緩解產(chǎn)品規(guī)格內(nèi)的高頻請(qǐng)求（HTTP Flood）攻擊。您也可以通過(guò)訪問(wèn)頻率限制進(jìn)行更加靈活的自定義CC防護(hù) | 內(nèi)置一套默認(rèn)規(guī)則（包含百度多年WAF的基礎(chǔ)防護(hù)規(guī)則集） | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 |
| IP白名單 | 白名單模塊允許您根據(jù)業(yè)務(wù)場(chǎng)景，自定義放行具有指定特征的請(qǐng)求，使請(qǐng)求不經(jīng)過(guò)全部或特定防護(hù)模塊的檢測(cè) | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 | |
| IP黑名單 | IP黑名單模塊允許您根據(jù)業(yè)務(wù)場(chǎng)景，自定義攔截來(lái)自特定IP地址IPV4或地址段的請(qǐng)求。 | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 | |
| 自定義訪問(wèn)控制策略 | 自定義規(guī)則模塊允許您基于自定義的HTTP請(qǐng)求特征或特征組合，對(duì)符合條件的請(qǐng)求執(zhí)行攔截、記錄日志等處置。 | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 | |
| 區(qū)域黑白名單 | 一鍵封禁來(lái)自特定區(qū)域的客戶端IP，支持海外和國(guó)內(nèi)地區(qū) | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 | |
| 訪問(wèn)頻率限制 | 設(shè)置單一IP訪問(wèn)次數(shù)進(jìn)行檢測(cè)攔截封禁 | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 | |
| 網(wǎng)頁(yè)防篡改 | 提供對(duì)頁(yè)面進(jìn)行強(qiáng)制緩存功能，從而防止黑客對(duì)網(wǎng)頁(yè)進(jìn)行篡改。幫助您鎖定需要保護(hù)的網(wǎng)站頁(yè)面，被鎖定的頁(yè)面在收到請(qǐng)求時(shí)，返回已設(shè)置的緩存頁(yè)面。 | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 | |
| Bot管理-基礎(chǔ)防護(hù)規(guī)則 | 支持基礎(chǔ)情報(bào)策略和多條復(fù)合策略配置 | 僅企業(yè)版支持 | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 |
| 源站健康檢查 | 設(shè)置源站響應(yīng)超時(shí)、檢查間隔、異常報(bào)警閾值、業(yè)務(wù)恢復(fù)判斷閾值 | 如需啟用自定義規(guī)則，在對(duì)應(yīng)防護(hù)模版開(kāi)啟相關(guān)規(guī)則。 |
泛域名防護(hù)配置說(shuō)明
當(dāng)實(shí)例中存在泛域名解析配置且準(zhǔn)備開(kāi)啟自定義防護(hù)設(shè)置時(shí)，需要注意以下事項(xiàng)：
1、當(dāng)存在泛域名配置時(shí)，如果存在同級(jí)精準(zhǔn)域名的解析配置，且未開(kāi)啟自定義防護(hù)，該精準(zhǔn)域名也會(huì)匹配泛域名的自定義防護(hù)模板。即同級(jí)別的精準(zhǔn)域名均保持自定義防護(hù)設(shè)置開(kāi)啟且配置相應(yīng)防護(hù)模板。
2、如不需要任何防護(hù)，則在Web防護(hù)規(guī)則列表，如下圖所示，將所有防護(hù)能力關(guān)閉即可。
絡(luò)服務(wù)商&site=cntaobao&s=1&charset=utf-8)
