規(guī)則防護(hù)引擎功能進(jìn)行Web應(yīng)用攻擊防護(hù)的最佳實(shí)踐
發(fā)布時(shí)間：2021-01-26 點(diǎn)擊數(shù)：614
本文介紹了使用Web應(yīng)用防火墻的規(guī)則防護(hù)引擎功能進(jìn)行Web應(yīng)用攻擊防護(hù)的最佳實(shí)踐，包含應(yīng)用場(chǎng)景、防護(hù)策略、防護(hù)效果、規(guī)則更新四個(gè)方面。
應(yīng)用場(chǎng)景
Web應(yīng)用防火墻（WAF）主要幫助網(wǎng)站防御不同類(lèi)型的Web應(yīng)用攻擊，例如SQL注入、XSS跨站攻擊、遠(yuǎn)程命令執(zhí)行、Webshell上傳等攻擊。關(guān)于Web攻擊的更多信息，請(qǐng)參見(jiàn)常見(jiàn)Web漏洞釋義。
說(shuō)明 主機(jī)層服務(wù)的安全問(wèn)題（例如，Redis、MySQL未授權(quán)訪問(wèn)等）導(dǎo)致的服務(wù)器入侵不在WAF的防護(hù)范圍之內(nèi)。
設(shè)置防護(hù)策略
您在完成網(wǎng)站接入后，Web應(yīng)用防火墻的規(guī)則防護(hù)引擎功能默認(rèn)開(kāi)啟，并使用正常模式的防護(hù)策略，為網(wǎng)站防御常見(jiàn)的Web攻擊。您可以在網(wǎng)站防護(hù)頁(yè)面定位到規(guī)則防護(hù)引擎區(qū)域，設(shè)置防護(hù)策略和查看規(guī)則防護(hù)引擎的防護(hù)狀態(tài)。
防護(hù)狀態(tài)解讀
- 狀態(tài)：是否開(kāi)啟規(guī)則防護(hù)引擎模塊，默認(rèn)開(kāi)啟。
-
模式：WAF檢測(cè)發(fā)現(xiàn)網(wǎng)站的訪問(wèn)請(qǐng)求中包含Web攻擊時(shí)要執(zhí)行的動(dòng)作，包含攔截和告警兩種模式。
- 攔截模式：WAF自動(dòng)攔截攻擊請(qǐng)求，并在后臺(tái)記錄攻擊日志。
- 告警模式：WAF不會(huì)攔截攻擊請(qǐng)求，僅在后臺(tái)記錄攻擊日志。
-
防護(hù)規(guī)則組：規(guī)則防護(hù)引擎使用的防護(hù)規(guī)則合集，默認(rèn)提供中等規(guī)則組、嚴(yán)格規(guī)則組、寬松規(guī)則組，分別表示正常、嚴(yán)格、寬松的檢測(cè)強(qiáng)度。
- 中等規(guī)則組：防護(hù)粒度較寬松且防護(hù)規(guī)則策略精準(zhǔn)，可以攔截常見(jiàn)的具有繞過(guò)特征的攻擊請(qǐng)求。
- 嚴(yán)格規(guī)則組：防護(hù)粒度最精細(xì)，可以攔截具有復(fù)雜的繞過(guò)特征的攻擊請(qǐng)求，相比中等規(guī)則組帶來(lái)的誤攔截可能更多。
- 寬松規(guī)則組：防護(hù)粒度較粗，只攔截攻擊特征比較明顯的請(qǐng)求。
說(shuō)明 防護(hù)規(guī)則組設(shè)置僅在開(kāi)啟規(guī)則防護(hù)引擎后生效。如果您開(kāi)通了企業(yè)版或旗艦版的中國(guó)內(nèi)地WAF實(shí)例，或者旗艦版的海外地區(qū)WAF實(shí)例，則您可以自定義防護(hù)規(guī)則組。自定義防護(hù)規(guī)則組允許您自由組合WAF提供的所有防護(hù)規(guī)則，形成有針對(duì)性的防護(hù)策略，并將其應(yīng)用到網(wǎng)站防護(hù)。
使用建議
-
如果您對(duì)自己的業(yè)務(wù)流量特征還不完全清楚，建議您先切換到告警模式進(jìn)行觀察。一般情況下，建議您觀察一至兩周，然后分析告警模式下的攻擊日志：
- 如果沒(méi)有發(fā)現(xiàn)任何正常業(yè)務(wù)流量被攔截的記錄，則可以切換到攔截模式。
- 如果發(fā)現(xiàn)攻擊日志中有正常的業(yè)務(wù)流量，您可以聯(lián)系阿里云安全專(zhuān)家，溝通具體的解決方案。
- PHPMyAdmin、開(kāi)發(fā)技術(shù)類(lèi)論壇接入WAF防護(hù)可能會(huì)存在誤攔截的問(wèn)題，建議您聯(lián)系阿里云安全專(zhuān)家，溝通具體的解決方案。
-
業(yè)務(wù)操作方面應(yīng)注意以下問(wèn)題：
- 正常業(yè)務(wù)的HTTP請(qǐng)求中盡量不要直接傳遞原始的SQL語(yǔ)句、Java Script代碼。
- 正常業(yè)務(wù)的URL盡量不要使用一些特殊的關(guān)鍵字（UPDATE、SET等）作為路徑，例如www.example.com/abc/update/mod.php?set=1。
- 如果業(yè)務(wù)中需要上傳文件，不建議直接通過(guò)Web方式上傳超過(guò)50 MB的文件，建議使用OSS或者其他方式上傳。
查看防護(hù)效果
開(kāi)啟規(guī)則防護(hù)引擎后，您可以在安全報(bào)表頁(yè)面查詢報(bào)表，了解規(guī)則防護(hù)引擎的防護(hù)記錄。
Web入侵防護(hù)報(bào)表支持查詢最近30天內(nèi)的攻擊記錄。報(bào)表下方提供了詳細(xì)的攻擊記錄列表，您可以篩選出正則防護(hù)記錄，然后單擊某條記錄后的查看詳情，查詢攻擊詳情。例如，下圖中的攻擊詳情表示一條已被WAF攔截的SQL注入請(qǐng)求。
查看規(guī)則更新通知
對(duì)于互聯(lián)網(wǎng)披露的已知漏洞和未披露的0day漏洞，WAF將及時(shí)完成防護(hù)規(guī)則的更新并發(fā)布規(guī)則更新通知。您可以在產(chǎn)品信息頁(yè)面，查詢WAF最新發(fā)布的規(guī)則更新通知。
我公司為阿里云代理商，通過(guò)此頁(yè)面下單購(gòu)買(mǎi)，新老阿里云會(huì)員，均可享受我公司代理商價(jià)格！