概述
本文介紹了Web應(yīng)用防火墻（Web Application Firewall，簡稱WAF）服務(wù)防護配置的相關(guān)術(shù)語、配置流程、防護模塊概覽及典型配置案例。
防護配置流程
Web業(yè)務(wù)接入WAF防護后，您可以參照以下步驟，為Web業(yè)務(wù)配置 防護規(guī)則 。不同接入方式下的防護配置流程略有差異。
| 步驟 | 百度云防護 WAF接入 |
|---|---|
| 1. 添加 防護域名 | 在Web應(yīng)用防火墻控制臺添加防護主子域名進行WAF轉(zhuǎn)發(fā)配置 |
| 2. 定義防護規(guī)則模板 | 您可以在防護規(guī)則中配置不同的防護規(guī)則，可以將規(guī)則模板應(yīng)用到指定的防護域名。 可以定義多套規(guī)則模板，為不同防護域名應(yīng)用不同的防護規(guī)則。 |
| 3. 管理防護規(guī)則 | 您可以在不同防護模塊下的規(guī)則模板中管理具體的防護規(guī)則， 規(guī)則模板中發(fā)生的規(guī)則變動將直接應(yīng)用到該規(guī)則模板的生效域名。不同規(guī)則模板支持的規(guī)則操作不完全相同。 |
防護規(guī)則概覽
下表描述了WAF支持的所有防護模塊，以及不同防護模塊的默認配置。
| 防護規(guī)則 ? | 說明 | 默認規(guī)則模板 | 配置建議 |
|---|---|---|---|
| 基礎(chǔ)Web防護引擎 | 基于百度云安全AI分析能力，快速精準有效的防御常見Web攻擊，如SQL注入、非授權(quán)訪問、XSS跨站腳本、CSRF跨站請求偽造，Webshell、木馬等等 | 內(nèi)置一套默認規(guī)則（包含百度多年WAF的基礎(chǔ)防護規(guī)則集）。重要：新接入WAF防護的域名開啟Web防護默認受到基礎(chǔ)防護規(guī)則的防護，基礎(chǔ)防護規(guī)則會自動攔截攻擊請求。 | 建議開啟基礎(chǔ)防護配置。業(yè)務(wù)接入WAF防護一段時間后，如果您發(fā)現(xiàn)基礎(chǔ)防護規(guī)則集存在誤攔截，可以通過設(shè)置白名單規(guī)則，屏蔽產(chǎn)生誤攔截的基礎(chǔ)防護規(guī)則。 |
| CC防護 | 基于內(nèi)置的通用CC防護算法，緩解產(chǎn)品規(guī)格內(nèi)的高頻請求（HTTP Flood）攻擊。您也可以通過訪問頻率限制進行更加靈活的自定義CC防護 | 內(nèi)置一套默認規(guī)則（包含百度多年WAF的基礎(chǔ)防護規(guī)則集） | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 |
| IP白名單 | 白名單模塊允許您根據(jù)業(yè)務(wù)場景，自定義放行具有指定特征的請求，使請求不經(jīng)過全部或特定防護模塊的檢測 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 | |
| IP黑名單 | IP黑名單模塊允許您根據(jù)業(yè)務(wù)場景，自定義攔截來自特定IP地址IPV4或地址段的請求。 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 | |
| 自定義訪問控制策略 | 自定義規(guī)則模塊允許您基于自定義的HTTP請求特征或特征組合，對符合條件的請求執(zhí)行攔截、記錄日志等處置。 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 | |
| 區(qū)域黑白名單 | 一鍵封禁來自特定區(qū)域的客戶端IP，支持海外和國內(nèi)地區(qū) | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 | |
| 訪問頻率限制 | 設(shè)置單一IP訪問次數(shù)進行檢測攔截封禁 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 | |
| 網(wǎng)頁防篡改 | 提供對頁面進行強制緩存功能，從而防止黑客對網(wǎng)頁進行篡改。幫助您鎖定需要保護的網(wǎng)站頁面，被鎖定的頁面在收到請求時，返回已設(shè)置的緩存頁面。 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 | |
| Bot管理-基礎(chǔ)防護規(guī)則 | 支持基礎(chǔ)情報策略和多條復(fù)合策略配置 | 僅企業(yè)版支持 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 |
| 源站健康檢查 | 設(shè)置源站響應(yīng)超時、檢查間隔、異常報警閾值、業(yè)務(wù)恢復(fù)判斷閾值 | 如需啟用自定義規(guī)則，在對應(yīng)防護模版開啟相關(guān)規(guī)則。 |
泛域名防護配置說明
當(dāng)實例中存在泛域名解析配置且準備開啟自定義防護設(shè)置時，需要注意以下事項：
1、當(dāng)存在泛域名配置時，如果存在同級精準域名的解析配置，且未開啟自定義防護，該精準域名也會匹配泛域名的自定義防護模板。即同級別的精準域名均保持自定義防護設(shè)置開啟且配置相應(yīng)防護模板。
2、如不需要任何防護，則在Web防護規(guī)則列表，如下圖所示，將所有防護能力關(guān)閉即可。
絡(luò)服務(wù)商&site=cntaobao&s=1&charset=utf-8)
