更新时间:2022-04-22 GMT+08:00
分享

场景说明

当您需要实现网站HTTPS化,并监控HTTPS业务流量,识别并阻断SQL注入、CC攻击等攻击,保护Web服务安全稳定时,本文档指导您如何实现网站HTTPS化并对HTTPS业务流量进行监控。

假设您有一个网站,网站域名为www.example.com,您需要申请SSL证书,并使用已购买的Web应用防火墙(Web Application Firewall,WAF)帮助您监控HTTPS业务流量。本文档详细介绍该场景下,完成证书的申请并启用Web应用防火墙监控HTTPS业务流量的操作。

SSL证书工作原理

SSL证书是用户在Web服务器与浏览器以及客户端之间建立加密通道,通过配置和应用SSL证书来启用HTTPS协议,来保证互联网数据传输的安全。

图1 SSL证书工作原理

WAF配置原理

Web应用防火墙通过对HTTPS请求进行检测,识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击,保护Web服务安全稳定。

本文档介绍客户端和Web应用防火墙之间未使用代理情况下的配置。若在客户端和Web应用防火墙之间使用了代理,配置请参见WAF文档

图2 未使用代理配置原理图
  • 当网站没有接入到WAF前,DNS直接解析到源站的IP,用户直接访问服务器。
  • 当网站接入WAF后,需要把DNS解析到WAF的CNAME,这样流量才会先经过WAF,WAF再将流量转到源站,实现网站流量检测和攻击拦截。
分享:

    相关文档

    相关产品

close