規(guī)則防護引擎功能進行Web應(yīng)用攻擊防護的最佳實踐
發(fā)布時間：2021-04-29 點擊數(shù)：806
本文介紹了使用Web應(yīng)用防火墻的規(guī)則防護引擎功能進行Web應(yīng)用攻擊防護的最佳實踐，包含應(yīng)用場景、防護策略、防護效果、規(guī)則更新四個方面。
應(yīng)用場景
Web應(yīng)用防火墻（WAF）主要幫助網(wǎng)站防御不同類型的Web應(yīng)用攻擊，例如SQL注入、XSS跨站攻擊、遠程命令執(zhí)行、Webshell上傳等攻擊。關(guān)于Web攻擊的更多信息，請參見常見Web漏洞釋義。
說明 主機層服務(wù)的安全問題（例如，Redis、MySQL未授權(quán)訪問等）導致的服務(wù)器入侵不在WAF的防護范圍之內(nèi)。
設(shè)置防護策略
您在完成網(wǎng)站接入后，Web應(yīng)用防火墻的規(guī)則防護引擎功能默認開啟，并使用正常模式的防護策略，為網(wǎng)站防御常見的Web攻擊。您可以在網(wǎng)站防護頁面定位到規(guī)則防護引擎區(qū)域，設(shè)置防護策略和查看規(guī)則防護引擎的防護狀態(tài)。
防護狀態(tài)解讀
- 狀態(tài)：是否開啟規(guī)則防護引擎模塊，默認開啟。
-
模式：WAF檢測發(fā)現(xiàn)網(wǎng)站的訪問請求中包含Web攻擊時要執(zhí)行的動作，包含攔截和告警兩種模式。
- 攔截模式：WAF自動攔截攻擊請求，并在后臺記錄攻擊日志。
- 告警模式：WAF不會攔截攻擊請求，僅在后臺記錄攻擊日志。
-
防護規(guī)則組：規(guī)則防護引擎使用的防護規(guī)則合集，默認提供中等規(guī)則組、嚴格規(guī)則組、寬松規(guī)則組，分別表示正常、嚴格、寬松的檢測強度。
- 中等規(guī)則組：防護粒度較寬松且防護規(guī)則策略精準，可以攔截常見的具有繞過特征的攻擊請求。
- 嚴格規(guī)則組：防護粒度最精細，可以攔截具有復雜的繞過特征的攻擊請求，相比中等規(guī)則組帶來的誤攔截可能更多。
- 寬松規(guī)則組：防護粒度較粗，只攔截攻擊特征比較明顯的請求。
說明 防護規(guī)則組設(shè)置僅在開啟規(guī)則防護引擎后生效。如果您開通了企業(yè)版或旗艦版的中國內(nèi)地WAF實例，或者旗艦版的海外地區(qū)WAF實例，則您可以自定義防護規(guī)則組。自定義防護規(guī)則組允許您自由組合WAF提供的所有防護規(guī)則，形成有針對性的防護策略，并將其應(yīng)用到網(wǎng)站防護。
使用建議
-
如果您對自己的業(yè)務(wù)流量特征還不完全清楚，建議您先切換到告警模式進行觀察。一般情況下，建議您觀察一至兩周，然后分析告警模式下的攻擊日志：
- 如果沒有發(fā)現(xiàn)任何正常業(yè)務(wù)流量被攔截的記錄，則可以切換到攔截模式。
- 如果發(fā)現(xiàn)攻擊日志中有正常的業(yè)務(wù)流量，您可以聯(lián)系阿里云安全專家，溝通具體的解決方案。
- PHPMyAdmin、開發(fā)技術(shù)類論壇接入WAF防護可能會存在誤攔截的問題，建議您聯(lián)系阿里云安全專家，溝通具體的解決方案。
-
業(yè)務(wù)操作方面應(yīng)注意以下問題：
- 正常業(yè)務(wù)的HTTP請求中盡量不要直接傳遞原始的SQL語句、Java Script代碼。
- 正常業(yè)務(wù)的URL盡量不要使用一些特殊的關(guān)鍵字（UPDATE、SET等）作為路徑，例如www.example.com/abc/update/mod.php?set=1。
- 如果業(yè)務(wù)中需要上傳文件，不建議直接通過Web方式上傳超過50 MB的文件，建議使用OSS或者其他方式上傳。
查看防護效果
開啟規(guī)則防護引擎后，您可以在安全報表頁面查詢報表，了解規(guī)則防護引擎的防護記錄。
Web入侵防護報表支持查詢最近30天內(nèi)的攻擊記錄。報表下方提供了詳細的攻擊記錄列表，您可以篩選出正則防護記錄，然后單擊某條記錄后的查看詳情，查詢攻擊詳情。例如，下圖中的攻擊詳情表示一條已被WAF攔截的SQL注入請求。
查看規(guī)則更新通知
對于互聯(lián)網(wǎng)披露的已知漏洞和未披露的0day漏洞，WAF將及時完成防護規(guī)則的更新并發(fā)布規(guī)則更新通知。您可以在產(chǎn)品信息頁面，查詢WAF最新發(fā)布的規(guī)則更新通知。
我公司為阿里云代理商，通過此頁面下單購買，新老阿里云會員，均可享受我公司代理商價格！