檢測(cè)到您已登錄華為云國(guó)際站賬號(hào)，為了您更好的體驗(yàn)，建議您訪問(wèn)國(guó)際站服務(wù)網(wǎng)站 http://m.cqfng.cn/intl/zh-cn
不再顯示此消息
中國(guó)站
中國(guó)站
International
Europe
檢測(cè)到您已登錄華為云國(guó)際站賬號(hào)，為了您更好的體驗(yàn)，建議您訪問(wèn)國(guó)際站服務(wù)網(wǎng)站 http://m.cqfng.cn/intl/zh-cn
不再顯示此消息
名單等，防護(hù)更精準(zhǔn)。WAF基本工作原理WAF的防護(hù)原理是通過(guò)改變用戶域名的DNS解析地址來(lái)將Web流量牽引到華為云的WAF引擎集群，經(jīng)過(guò)檢測(cè)后再回源至真正的Web服務(wù)器。Web防火墻產(chǎn)品部署在Web服務(wù)器的前面，串行接入，對(duì)硬件性能上要求高，但得益于云上WAF性能可彈性伸縮的特點(diǎn)
華為云web防火墻WAF精準(zhǔn)高效的威脅檢測(cè)，采用規(guī)則和AI雙引擎架構(gòu)，默認(rèn)集成華為最新防護(hù)規(guī)則和優(yōu)秀實(shí)踐；企業(yè)級(jí)用戶策略定制，支持?jǐn)r截頁(yè)面自定義、多條件的CC防護(hù)策略配置、海量IP黑名單等，防護(hù)更精準(zhǔn)。1594863167703019943.pngWAF基本工作原理WAF的防護(hù)原理
2017-12-27 19:57 編輯 <br /> 7848 <b><b> </b> 【WAF簡(jiǎn)介】</b> <align=left>Web應(yīng)用防火墻（英文名Web Application Firewall， 簡(jiǎn)稱WAF），是華為結(jié)合了多年的安全攻防經(jīng)驗(yàn)自主研發(fā)的網(wǎng)站安全防護(hù)服務(wù)。通過(guò)對(duì)HT
本章節(jié)介紹在接入WAF前網(wǎng)站沒(méi)有使用任何代理產(chǎn)品（如未使用DDoS高防、CDN等），如何通過(guò)云模式-CNAME接入方式將網(wǎng)站接入WAF進(jìn)行防護(hù)，保障網(wǎng)站的安全性和可用性。 方案架構(gòu) 當(dāng)網(wǎng)站沒(méi)有接入到WAF前，DNS直接解析到源站的IP。網(wǎng)站接入WAF后，需要把DNS解析到WAF的CNAM
用需求。1）透明部署方式是在web服務(wù)器和防火墻之間插入WAF，在透明模式下，web應(yīng)用防火墻只對(duì)流經(jīng)OSI應(yīng)用層的數(shù)據(jù)進(jìn)行分析，而對(duì)其他層的流量不作控制，因此透明模式的最大特點(diǎn)就是快速、方便、簡(jiǎn)單。2）路由部署方式部署網(wǎng)橋透明模式的WAF設(shè)備，其透明概念與網(wǎng)橋透明模式相似，可以
<align=left>“你好，我是web應(yīng)用防火墻，來(lái)自華為云，我很強(qiáng)壯，我會(huì)好好保護(hù)你的網(wǎng)站！我…”</align> <align=left>“停”面試官粗暴的打斷我的自我介紹“現(xiàn)在外面的web應(yīng)用防火墻多的是，你是這個(gè)月來(lái)面試的第6個(gè)了，你說(shuō)說(shuō)，你比起其他的WAF有什么優(yōu)點(diǎn)，我為什么要雇用你？！”</align>
工作原理 圖1 架構(gòu)模型 工作流程： 客戶端在特定端口上發(fā)出請(qǐng)求。 負(fù)載均衡器在這個(gè)端口上進(jìn)行偵聽(tīng)，并將請(qǐng)求轉(zhuǎn)發(fā)到集群中（在相同或新的端口）。 在集群內(nèi)部，請(qǐng)求被路由到 Istio IngressGateway
工作原理 當(dāng)用戶訪問(wèn)使用CDN服務(wù)的網(wǎng)站時(shí)，本地DNS服務(wù)器通過(guò)CNAME方式將最終域名請(qǐng)求重定向到CDN服務(wù)。CDN通過(guò)一組預(yù)先定義好的策略（如內(nèi)容類型、地理區(qū)域、網(wǎng)絡(luò)負(fù)載狀況等），將當(dāng)時(shí)能夠最快響應(yīng)用戶的CDN節(jié)點(diǎn)IP地址提供給用戶，使用戶可以以最快的速度獲得網(wǎng)站內(nèi)容。使用CDN后的HTTP請(qǐng)求處理流程如下。
WAF轉(zhuǎn)發(fā)和Nginx轉(zhuǎn)發(fā)有什么區(qū)別？ WAF轉(zhuǎn)發(fā)和Nginx轉(zhuǎn)發(fā)的主要區(qū)別為Nginx是直接轉(zhuǎn)發(fā)訪問(wèn)請(qǐng)求到源站服務(wù)器，而WAF會(huì)先檢測(cè)并過(guò)濾惡意流量，再將過(guò)濾后的訪問(wèn)請(qǐng)求轉(zhuǎn)發(fā)到源站服務(wù)器，詳細(xì)說(shuō)明如下： WAF轉(zhuǎn)發(fā) 網(wǎng)站接入WAF后，所有訪問(wèn)請(qǐng)求將先經(jīng)過(guò)WAF，WAF通過(guò)對(duì)HT
或者甚至是普通的HTML。攻擊成功后，攻擊者可能得到包括但不限于更高的權(quán)限（如執(zhí)行一些操作）、私密網(wǎng)頁(yè)內(nèi)容、會(huì)話和Cookie等各種內(nèi)容。 WAF針對(duì)SQL注入攻擊的檢測(cè)原理 WAF針對(duì)SQL注入攻擊的檢測(cè)原理是檢測(cè)SQL關(guān)鍵字、特殊符號(hào)、運(yùn)算符、操作符、注釋符的相關(guān)組合特征，并進(jìn)行匹配。 SQL關(guān)鍵字（如unio
工作原理 圖1 流程圖 Ingress controller：核心是一個(gè)deployment，實(shí)現(xiàn)方式有很多，比如nginx, Contour, Haproxy, trafik, Istio，需要編寫的yaml有：Deployment
一、復(fù)雜的需求 WAF (WEB 應(yīng)用防火墻) 用來(lái)保護(hù) WEB 應(yīng)用免受來(lái)自應(yīng)用層的攻擊。作為防護(hù)對(duì)象的 WEB 應(yīng)用，其功能和運(yùn)行環(huán)境往往是復(fù)雜且千差萬(wàn)別的，這導(dǎo)致即便防御某個(gè)特定的攻擊方式時(shí)，用戶需求也可能是細(xì)致而多樣的。 以最基本的 SQL 注入 (以下簡(jiǎn)稱注入) 為例
如已配置OBS服務(wù)，云審計(jì)服務(wù)將事件轉(zhuǎn)存至OBS桶中。用戶也可以通過(guò)云審計(jì)服務(wù)的事件列表查看事件文件。云審計(jì)服務(wù)工作原理示意如圖1所示。 圖1 云審計(jì)服務(wù)工作原理示意圖
在頁(yè)面的右上角，單擊“購(gòu)買WAF實(shí)例”。 在“購(gòu)買Web應(yīng)用防火墻”頁(yè)面，完成以下配置。 表1 購(gòu)買云模式包年/包月WAF參數(shù)說(shuō)明 參數(shù) 說(shuō)明 取值樣例 基礎(chǔ)配置 WAF模式 要購(gòu)買的WAF模式。選擇“云模式”，支持云模式-CNAME接入、云模式-ELB接入。 云模式 計(jì)費(fèi)模式 WAF費(fèi)用的結(jié)算
DNS返回域名解析地址。 如果無(wú)代理（例如CDN、DDos高防等），DNS返回的域名解析地址為WAF IP，客戶端通過(guò)WAF IP訪問(wèn)WAF。如果存在代理： DNS返回的域名解析地址為代理IP，客戶端通過(guò)代理IP訪問(wèn)代理。 代理通過(guò)WAF IP訪問(wèn)WAF。 云模式-CNAME接入場(chǎng)景
WAF支持的端口范圍 Web應(yīng)用防火墻（Web Application Firewall，簡(jiǎn)稱WAF）支持防護(hù)標(biāo)準(zhǔn)端口和非標(biāo)端口。您在網(wǎng)站接入配置中添加防護(hù)網(wǎng)站對(duì)應(yīng)的業(yè)務(wù)端口，WAF將通過(guò)您設(shè)置的業(yè)務(wù)端口為網(wǎng)站提供流量的接入與轉(zhuǎn)發(fā)服務(wù)。本文介紹WAF支持防護(hù)的標(biāo)準(zhǔn)端口和非標(biāo)端口。
云模式-ELB接入 獨(dú)享模式接入 實(shí)現(xiàn)原理 云模式-CNAME接入通過(guò)DNS解析，將防護(hù)域名的DNS解析指向WAF的CNAME地址，使域名的Web業(yè)務(wù)引流到WAF。WAF檢測(cè)過(guò)濾惡意攻擊流量后，通過(guò)回源IP將正常流量返回給源站服務(wù)器。 該過(guò)程中，WAF作為反向代理集群，同時(shí)參與流量的轉(zhuǎn)發(fā)和檢測(cè)防護(hù)。
TTPS協(xié)議，WAF可以防護(hù)。 NTLM（New Technology LAN Manager，Windows NT LAN管理器）代理是Windows平臺(tái)下HTTP代理的一種認(rèn)證方式，其認(rèn)證方式與Windows遠(yuǎn)程登錄的認(rèn)證方式是一樣的，客戶端（如瀏覽器）和代理之前需要三次握手才開(kāi)始傳遞信息。
示的證書(shū)名稱。 -- 已使用七層代理 確認(rèn)WAF前是否使用七層代理。七層代理為使用了DDoS高防（七層代理）、CDN、云加速等Web代理產(chǎn)品。 是：在WAF前使用了DDoS高防（七層代理）、CDN、云加速等Web代理產(chǎn)品。 使用七層代理后，WAF將從Header頭中的相關(guān)字段獲取
準(zhǔn)備工作 創(chuàng)建rf_admin_trust委托（可選） 進(jìn)入華為云官網(wǎng)，打開(kāi)控制臺(tái)管理界面，鼠標(biāo)移動(dòng)至個(gè)人賬號(hào)處，打開(kāi)“統(tǒng)一身份認(rèn)證”菜單 圖1 控制臺(tái)管理界面 圖2 統(tǒng)一身份認(rèn)證菜單 進(jìn)入“委托”菜單，搜索“rf_admin_trust”委托 圖3 委托列表 如果委托存在，則不用執(zhí)行接下來(lái)的創(chuàng)建委托的步驟
