精準(zhǔn)訪問控制策略_Web應(yīng)用防火墻_如何配置精準(zhǔn)訪問防護(hù)規(guī)則
精準(zhǔn)訪問防護(hù)規(guī)則，為您的網(wǎng)站帶來更精準(zhǔn)的防護(hù)
如何配置精準(zhǔn)訪問防護(hù)規(guī)則？
精準(zhǔn)訪問防護(hù)策略可對HTTP首部、Cookie、訪問URL、請求參數(shù)或者客戶端IP進(jìn)行條件組合，定制化防護(hù)策略，為您的網(wǎng)站帶來更精準(zhǔn)的防護(hù)。
● 精準(zhǔn)訪問防護(hù)規(guī)則允許您設(shè)置訪問防護(hù)規(guī)則，對常見的HTTP字段（如IP、路徑、Referer、User Agent、Params等）進(jìn)行條件組合，用來篩選訪問請求，并對命中條件的請求設(shè)置僅記錄、放行或阻斷操作。
● 精準(zhǔn)訪問防護(hù)規(guī)則可以添加引用表，引用表防護(hù)規(guī)則對所有防護(hù)域名都生效，即所有防護(hù)域名都可以使用精準(zhǔn)防護(hù)規(guī)則的引用表。
前提條件
● Web應(yīng)用防火墻WAF已添加防護(hù)網(wǎng)站。
○ 云模式的接入方式參見網(wǎng)站接入WAF（云模式）章節(jié)。
○ 獨(dú)享模式的接入方式參見網(wǎng)站接入WAF（獨(dú)享模式）章節(jié)。
約束條件
● 入門版不支持該功能。
● 標(biāo)準(zhǔn)版不支持“全檢測”檢測模式。
● 標(biāo)準(zhǔn)版不支持配置Response字段。
● 標(biāo)準(zhǔn)版不支持引用表管理功能。
● 目前以下區(qū)域支持配置Response字段：華北-北京一、華北-北京四、華東-上海一、華南-廣州、華東-上海二、中國-香港、亞太-曼谷
● 添加或修改防護(hù)規(guī)則后，規(guī)則生效需要等待幾分鐘。規(guī)則生效后，您可以在“防護(hù)事件”頁面查看防護(hù)效果。
● 當(dāng)精準(zhǔn)訪問防護(hù)規(guī)則的“防護(hù)動作”設(shè)置為“阻斷”時(shí)，您可以配置攻擊懲罰標(biāo)準(zhǔn)。配置攻擊懲罰后，如果訪問者的IP、Cookie或Params惡意請求被攔截時(shí)，WAF將根據(jù)攻擊懲罰設(shè)置的攔截時(shí)長來封禁訪問者。
操作步驟
1.登錄華為云管理控制臺。
2.單擊管理控制臺左上角的
，選擇區(qū)域或項(xiàng)目。
3.單擊頁面左上方，選擇“安全與合規(guī) > Web應(yīng)用防火墻 WAF”。
4.在左側(cè)導(dǎo)航樹中，選擇“網(wǎng)站設(shè)置”，進(jìn)入“網(wǎng)站設(shè)置”頁面。
5.（舊版）在目標(biāo)域名所在行的“防護(hù)策略”欄中，單擊“配置防護(hù)策略”，進(jìn)入“防護(hù)策略”頁面。
6.（新版）在目標(biāo)域名所在行的“防護(hù)策略”欄中，單擊“已開啟N項(xiàng)防護(hù)”，進(jìn)入“防護(hù)策略”頁面。
圖1 域名列表
7.在“精準(zhǔn)訪問防護(hù)”配置框中，用戶可根據(jù)自己的需要更改“狀態(tài)”，單擊“自定義精準(zhǔn)訪問防護(hù)規(guī)則”，進(jìn)入精準(zhǔn)訪問防護(hù)規(guī)則配置頁面。
8.在“精準(zhǔn)訪問防護(hù)配置”頁面，設(shè)置“檢測模式”，如圖3所示。
精準(zhǔn)訪問防護(hù)規(guī)則提供了兩種檢測模式：
? 短路檢測：當(dāng)用戶的請求符合精準(zhǔn)防護(hù)中的攔截條件時(shí)，便立刻終止檢測，進(jìn)行攔截。
? 全檢測：當(dāng)用戶的請求符合精準(zhǔn)防護(hù)中的攔截條件時(shí)，不會立即攔截，它會繼續(xù)執(zhí)行其他防護(hù)的檢測，待其他防護(hù)的檢測完成后進(jìn)行攔截。
9.在“精準(zhǔn)訪問防護(hù)配置”頁面左上角，單擊“添加規(guī)則”。
10.在彈出的對話框中，根據(jù)表1和配置示例-攔截特定的攻擊請求添加精準(zhǔn)訪問防護(hù)規(guī)則。
以圖4的配置為例，其含義為：當(dāng)用戶訪問目標(biāo)域名下包含“/admin”的URL地址時(shí)，WAF將阻斷該用戶訪問目標(biāo)URL地址。
須知：
如果不確定配置的精準(zhǔn)訪問防護(hù)規(guī)則是否會使WAF誤攔截正常的訪問請求，您可以先將精準(zhǔn)訪問防護(hù)規(guī)則的“防護(hù)動作”設(shè)置為“僅記錄”，在“防護(hù)事件”頁面查看防護(hù)事件，確認(rèn)WAF不會誤攔截正常的訪問請求后，再將該精準(zhǔn)訪問防護(hù)規(guī)則的“防護(hù)動作”設(shè)置為“阻斷”。
表1 規(guī)則參數(shù)說明
|
參數(shù)
|
參數(shù)說明
|
取值樣例
|
|---|---|---|
防護(hù)動作 |
可選擇“阻斷”、“放行”或者“僅記錄”，默認(rèn)為“阻斷”。 |
“阻斷” |
攻擊懲罰 |
當(dāng)“防護(hù)動作”設(shè)置為“阻斷”時(shí)，您可以設(shè)置攻擊懲罰標(biāo)準(zhǔn)。設(shè)置攻擊懲罰后，當(dāng)訪問者的IP、Cookie或Params惡意請求被攔截時(shí)，WAF將根據(jù)懲罰標(biāo)準(zhǔn)設(shè)置的攔截時(shí)長來封禁訪問者。 |
長時(shí)間IP攔截 |
生效時(shí)間 |
用戶可以選擇“立即生效”或者自定義設(shè)置生效時(shí)間段。 自定義設(shè)置的時(shí)間只能為將來的某一時(shí)間段。 |
“立即生效” |
條件列表 |
單擊“添加”增加新的條件，一個(gè)防護(hù)規(guī)則至少包含一項(xiàng)條件，最多可添加30項(xiàng)條件，多個(gè)條件同時(shí)滿足時(shí)，本條規(guī)則才生效。 條件設(shè)置參數(shù)說明如下： ? 字段 ? 子字段：當(dāng)字段選擇“IP”、“Params”、“Cookie”、“Response Header”或者“Header”時(shí)，請根據(jù)實(shí)際使用需求配置子字段。 須知：子字段的長度不能超過2048字節(jié)，且只能由數(shù)字、字母、下劃線和中劃線組成。 ? 邏輯：在“邏輯”下拉列表中選擇需要的邏輯關(guān)系。
○ 選擇“包含任意一個(gè)”、“不包含所有”、“等于任意一個(gè)”、“不等于所有”、“前綴為任意一個(gè)”、“前綴不為所有”、“后綴為任意一個(gè)”或者“后綴不為所有”時(shí)，“內(nèi)容”需要選擇引用表名稱，創(chuàng)建引用表的詳細(xì)操作請參見創(chuàng)建引用表。 ○ “不包含所有”、“不等于所有”、“前綴不為所有”、“后綴不為所有”是指當(dāng)訪問請求中字段不包含、不等于、前/后綴不為引用表中設(shè)置的任何一個(gè)值時(shí)，WAF將進(jìn)行防護(hù)動作（阻斷、放行或僅記錄）。例如，設(shè)置“路徑”字段的邏輯為“不包含所有”，選擇了“test”引用表，如果“test”引用表中設(shè)置的值為test1、test2和test3，則當(dāng)訪問請求的路徑不包含test1、test2或test3時(shí)，WAF將進(jìn)行防護(hù)動作。 ? 內(nèi)容：輸入或者選擇條件匹配的內(nèi)容。
|
? “路徑”包含“/admin/” ? “User Agent”前綴不為“mozilla/5.0” ? “IP”等于“192.168.2.3” ? “Cookie[key1]”前綴不為“jsessionid” |
優(yōu)先級 |
設(shè)置該條件規(guī)則檢測的順序值。如果您設(shè)置了多條規(guī)則，則多條規(guī)則間有先后匹配順序，即訪問請求將根據(jù)您設(shè)定的精準(zhǔn)訪問控制規(guī)則優(yōu)先級依次進(jìn)行匹配，優(yōu)先級較小的精準(zhǔn)訪問控制規(guī)則優(yōu)先匹配。 您可以通過優(yōu)先級功能對所有精準(zhǔn)訪問控制規(guī)則進(jìn)行排序，以獲得最優(yōu)的防護(hù)效果。 須知：如果多條精準(zhǔn)訪問控制規(guī)則的優(yōu)先級取值相同，則WAF將根據(jù)添加防護(hù)規(guī)則的先后順序進(jìn)行排序匹配。 |
5 |
規(guī)則描述 |
可選參數(shù)，設(shè)置該規(guī)則的備注信息。 |
-- |
說明：表2 條件列表配置
更多條件，詳情請查看配置精準(zhǔn)訪問防護(hù)規(guī)則-條件列表配置
|
字段
|
子字段
|
邏輯
|
內(nèi)容（舉例）
|
|---|---|---|---|
路徑：設(shè)置的防護(hù)路徑，不包含域名，僅支持精準(zhǔn)匹配（需要防護(hù)的路徑需要與此處填寫的路徑完全相等。例如，需要防護(hù)的路徑為“/admin”，該規(guī)則必須填寫為“/admin”） |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
/buy/phone/ 須知：路徑設(shè)置為“/”時(shí)，表示防護(hù)網(wǎng)站所有路徑。 |
User Agent：設(shè)置為需要防護(hù)的掃描器的用戶代理。 |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
Mozilla/5.0 (Windows NT 6.1) |
IP：設(shè)置為需要防護(hù)的訪問者IP地址。 支持IPv4和IPv6兩種格式的IP地址。 須知：僅專業(yè)版（原企業(yè)版）和鉑金版（原旗艦版）支持IPv6防護(hù)。 |
? 客戶端IP ? X-Forwarded-For |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
? IPv4，例如：192.168.1.1 ? IPv6，例如：fe80:0000:0000:0000:0000:0000:0000:0000 |
Params：設(shè)置為需要防護(hù)的請求參數(shù)。 |
? 所有字段 ? 任意子字段 ? 自定義 |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
201901150929 |
Referer：設(shè)置為需要防護(hù)的自定義請求訪問的來源。 例如：防護(hù)路徑設(shè)置為“/admin/xxx”，若用戶不希望訪問者從“www.test.com”訪問該頁面，則“Referer”對應(yīng)的“內(nèi)容”設(shè)置為“http://www.test.com”。 |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
http://www.test.com |
Cookie：根據(jù)Cookie區(qū)分的Web訪問者。 |
? 所有字段 ? 任意子字段 ? 自定義 |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
jsessionid |
Header：設(shè)置為需要防護(hù)的自定義HTTP首部。 |
? 所有字段 ? 任意子字段 ? 自定義 |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8 |
Method：需要防護(hù)的自定義請求的方法。 |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
GET、POST、PUT、DELETE、PATCH |
Request Line：需要防護(hù)的自定義請求行的長度。 |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
50 |
Request：需要防護(hù)的自定義請求的長度。包含請求頭、請求行、請求體。 |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
-- |
Protocol：需要防護(hù)的請求的協(xié)議。 |
-- |
在“邏輯”下拉列表框中選擇邏輯關(guān)系。 |
http |
Response Code：請求返回的狀態(tài)代碼。 |
-- |
? 等于 ? 不等于 ? 等于任意一個(gè) ? 不等于所有 |
404 |
11.單擊“確認(rèn)添加”，添加的精準(zhǔn)訪問防護(hù)規(guī)則展示在精準(zhǔn)訪問防護(hù)規(guī)則列表中。
規(guī)則添加成功后，默認(rèn)的“規(guī)則狀態(tài)”為“已開啟”，若您暫時(shí)不想使該規(guī)則生效，可在目標(biāo)規(guī)則所在行的“操作”列，單擊“關(guān)閉”。
若需要修改添加的精準(zhǔn)訪問防護(hù)規(guī)則時(shí)，可單擊待修改的精準(zhǔn)訪問防護(hù)規(guī)則所在行的“修改”，修改精準(zhǔn)訪問防護(hù)規(guī)則。
若需要刪除添加的精準(zhǔn)訪問防護(hù)規(guī)則時(shí)，可單擊待刪除的精準(zhǔn)訪問防護(hù)規(guī)則所在行的“刪除”，刪除精準(zhǔn)訪問防護(hù)規(guī)則。
配置示例1-攔截特定的攻擊請求
通過分析某類特定的WordPress反彈攻擊，發(fā)現(xiàn)其特征是User-Agent字段都包含WordPress，如圖6所示。
圖6 WordPress反彈攻擊
因此，可以設(shè)置精準(zhǔn)訪問控制規(guī)則，攔截該類WordPress反彈攻擊請求。
配置示例2-攔截特定的URL請求
如果您遇到有大量IP在訪問某個(gè)特定且不存在的URL，您可以通過配置以下精準(zhǔn)訪問防護(hù)規(guī)則直接阻斷所有該類請求，降低源站服務(wù)器的資源消耗，如圖8所示。
配置示例3-單獨(dú)放行指定IP的訪問
配置兩條精準(zhǔn)訪問防護(hù)規(guī)則，一條攔截所有的請求，一條單獨(dú)放行指定IP的訪問。
防護(hù)效果
假如已添加域名“www.example.com”，且配置了如圖4所示的精準(zhǔn)訪問防護(hù)規(guī)則?？蓞⒄找韵虏襟E驗(yàn)證防護(hù)效果：
1. 清理瀏覽器緩存，在瀏覽器中輸入防護(hù)域名，測試網(wǎng)站域名是否能正常訪問。
● 不能正常訪問，參照步驟四：域名接入配置章節(jié)重新完成域名接入。
● 能正常訪問，執(zhí)行2。
2.清理瀏覽器緩存，在瀏覽器中訪問“http://www.example.com/admin”頁面或者包含/admin的任意頁面，正常情況下，WAF會阻斷滿足條件的訪問請求，返回?cái)r截頁面。
3.返回Web應(yīng)用防火墻控制界面，在左側(cè)導(dǎo)航樹中，單擊“防護(hù)事件”，進(jìn)入“防護(hù)事件”頁面，查看防護(hù)域名攔截日志，您也可以下載防護(hù)事件數(shù)據(jù)。