4步快速開(kāi)啟WAF防護(hù)
Step1 購(gòu)買Web應(yīng)用防火墻
- 步驟
1）登錄華為云控制臺(tái)。在控制臺(tái)頁(yè)面中選擇“安全與合規(guī) > Web應(yīng)用防火墻 WAF”。
2）首次使用WAF，單擊“立即購(gòu)買WAF”，進(jìn)入購(gòu)買頁(yè)面，選擇云模式后，選擇服務(wù)版本、擴(kuò)展包，以及購(gòu)買時(shí)長(zhǎng)。
- 說(shuō)明
1）云模式提供了入門版、標(biāo)準(zhǔn)版、專業(yè)版和鉑金版四種服務(wù)版本，參見(jiàn)服務(wù)版本說(shuō)明了解詳情。
2）勾選“自動(dòng)續(xù)費(fèi)”后，當(dāng)服務(wù)期滿時(shí)，系統(tǒng)會(huì)自動(dòng)按照購(gòu)買周期進(jìn)行續(xù)費(fèi)。
Step2 添加防護(hù)域名
- 步驟
1）左側(cè)導(dǎo)航樹(shù)中選擇“網(wǎng)站設(shè)置”，在域名列表的左上角，單擊“添加防護(hù)網(wǎng)站”，選擇“云模式”并單擊“確認(rèn)”。
2）防護(hù)域名：支持單域名(www.domain.com)和泛域名(*.domain.com)。
3）源站配置：分別完成“防護(hù)域名端口”、“對(duì)外協(xié)議”、“源站協(xié)議”、“源站地址”、“源站端口”的配置。
4）高級(jí)配置：根據(jù)業(yè)務(wù)需要，配置“IPv6防護(hù)”、“負(fù)載均衡算法”、“代理”、“HTTP2協(xié)議”以及“策略配置”。
- 說(shuō)明
1）系統(tǒng)默認(rèn)防護(hù)“80”和“443”端口，如需配置除“80”和“443”以外的端口，勾選“非標(biāo)準(zhǔn)端口”，在“端口”下拉列表中選擇非標(biāo)準(zhǔn)端口。
2）“對(duì)外協(xié)議”選擇“HTTPS”時(shí)，需要選擇證書或者導(dǎo)入新證書，證書轉(zhuǎn)換請(qǐng)參見(jiàn)導(dǎo)入新證書。
3）如果WAF前已使用如CDN、云加速等提供七層Web代理的產(chǎn)品，為了保障WAF的安全策略能夠針對(duì)真實(shí)源IP生效，“代理”請(qǐng)務(wù)必選擇“是”。
Step3 域名接入
- 步驟
1）（未使用代理）按界面提示，到該域名的DNS服務(wù)商處，將其解析指向新的CNAME值。
2）（使用了代理）按界面提示，將代理類服務(wù)（高防DDOS、CDN服務(wù)等）的回源地址修改為WAF的CNAME地址。為了防止其他用戶提前將您的域名配置到Web應(yīng)用防火墻上，從而對(duì)您的域名防護(hù)造成干擾，建議您到DNS服務(wù)商處添加“子域名”，并為它配置“TXT記錄”，具體的配置方法請(qǐng)參見(jiàn)未配置子域名和TXT記錄的影響？
- 說(shuō)明
1）默認(rèn)情況下，服務(wù)每隔一小時(shí)就會(huì)自動(dòng)檢測(cè)每個(gè)防護(hù)域名的接入狀態(tài)。如果您確認(rèn)已完成域名接入，“接入狀態(tài)”為“已接入”，表示域名接入成功。
2）WAF防護(hù)默認(rèn)狀態(tài)為“僅記錄”模式，按照Step4開(kāi)啟WAF“攔截”模式。
Step4 開(kāi)啟WAF防護(hù)
- 步驟
1）在目標(biāo)域名所在行的“防護(hù)策略”欄中，單擊“已開(kāi)啟N項(xiàng)防護(hù)”。
2）在“Web基礎(chǔ)防護(hù)”配置框中，選擇“攔截”模式。
- 說(shuō)明
開(kāi)啟Web基礎(chǔ)防護(hù)的“攔截”模式后，發(fā)現(xiàn)攻擊行為后立即阻斷并記錄。
最佳實(shí)踐
最佳實(shí)踐
網(wǎng)站防護(hù)最佳實(shí)踐
當(dāng)您首次完成網(wǎng)站接入，面對(duì)網(wǎng)站防護(hù)策略配置時(shí)，可能會(huì)不知道如何下手。本文將引導(dǎo)您從不同場(chǎng)景、角色的視角快速熟悉WAF的防護(hù)規(guī)則，幫助您從自己最關(guān)心的需求入手，了解WAF的防護(hù)邏輯。
通過(guò)配置ECS/ELB訪問(wèn)策略保護(hù)源站安全
網(wǎng)站已接入WAF進(jìn)行安全防護(hù)后，您可以通過(guò)設(shè)置源站服務(wù)器的訪問(wèn)控制策略，只放行WAF回源IP段，防止黑客獲取您的源站IP后繞過(guò)WAF直接攻擊源站。
通過(guò)LTS配置WAF規(guī)則的攔截告警
開(kāi)啟WAF全量日志功能后，您可以將攻擊日志、訪問(wèn)日志記錄到云日志服務(wù)中，通過(guò)LTS記錄的WAF日志數(shù)據(jù)，快速高效地進(jìn)行實(shí)時(shí)決策分析、設(shè)備運(yùn)維管理以及業(yè)務(wù)趨勢(shì)分析。
通過(guò)配置反爬蟲防護(hù)策略阻止爬蟲攻擊
Web應(yīng)用防火墻可以通過(guò)Robot檢測(cè)（識(shí)別User-Agent）、網(wǎng)站反爬蟲（檢查瀏覽器合法性）和CC攻擊防護(hù)（限制訪問(wèn)頻率）反爬蟲策略，幫您解決業(yè)務(wù)網(wǎng)站遭受的爬蟲問(wèn)題。
WAF接入配置最佳實(shí)踐
網(wǎng)站接入WAF后，需要把DNS解析到WAF的CNAME，這樣流量才會(huì)先經(jīng)過(guò)WAF，WAF再將流量轉(zhuǎn)到源站，實(shí)現(xiàn)網(wǎng)站流量檢測(cè)和攻擊攔截。本文介紹如何在已添加網(wǎng)站配置后，配置域名解析，實(shí)現(xiàn)業(yè)務(wù)接入。
CC攻擊防御最佳實(shí)踐
本章節(jié)指導(dǎo)您在遭遇CC（Challenge Collapsar）攻擊時(shí)，完成基于IP限速、基于Cookie字段識(shí)別以及通過(guò)業(yè)務(wù)Cookie和HWWAFSESID聯(lián)合配置限制惡意搶購(gòu)、下載等防護(hù)規(guī)則的配置。