# 网站防护配置建议
当您首次完成网站接入，面对网站防护策略配置时，可能会不知道如何下手。本文将引导您从不同场景、角色的视角快速熟悉Web应用防火墙（Web Application Firewall，简称WAF）的防护规则，帮助您从自己最关心的需求入手，了解WAF的防护逻辑。
#### 前提条件
- [已完成网站接入](https://support.huaweicloud.com/usermanual-waf/waf_01_0071.html)。
- 您所购买的WAF版本，支持相应的防护功能。WAF各版本之间的功能特性差异请参见[各版本支持的功能特性](https://support.huaweicloud.com/productdesc-waf/waf_01_0106.html#section2)。
 
#### 概述
本文从以下不同角色视角或业务需求视角出发，提供了网站防护的设置建议。您可以选择最贴近您自身实际需求的场景，了解相关的防护设置：
- [我是新手，不懂安全，也没有特殊需求]
- [我是专业的安全人员，需要做全面的Web入侵运营]
- [我的业务需要严格的安全防护，有攻击时宁可错杀不可漏掉]
- [我的业务经常受到爬虫骚扰或面临数据泄露、被篡改的风险]
 
 #### 我是新手，不懂安全，也没有特殊需求
您可能是基于等保要求或出于提升企业安全水位（达到预防目的）等考虑购买了Web应用防火墙。这种情况下，您可以在完成网站接入后直接使用WAF的默认基础防护设置，不做任何调整。WAF提供的默认防护能力足够为网站抵御绝大部分的基础Web威胁。
建议您多关注Web应用防火墙控制台的"安全总览"和"防护事件"页面，了解业务情况和攻击情况。具体操作可参见以下文档：
- [总览](https://support.huaweicloud.com/usermanual-waf/waf_01_0021.html)
- [查看防护日志](https://support.huaweicloud.com/usermanual-waf/waf_01_0156.html)
 
 #### 我是专业的安全人员，需要做全面的Web入侵运营
针对您的需求，推荐您在完成网站接入后，为网站设置以下防护功能：
- **Web基础防护** ：帮助您防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击，并支持深度反逃逸识别、对请求里header中所有字段进行攻击检测、Shiro解密检测、Webshell检测。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"Web基础防护"区域，选择"拦截"或者"仅记录"模式，开启所有的检测项。具体的操作请参见[配置Web基础防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html)。
  
- **自定义防护策略（自由组合防护配置规则）** ：防护配置规则的自由组合配置，为您的网站定制适合的防护策略，全方位的防护您的网站。
  操作导航：在"防护策略"页面，进行相关的配置，具体的操作请参见[防护配置引导](https://support.huaweicloud.com/usermanual-waf/waf_01_0129.html)。
  
 
 #### 我的业务需要严格的安全防护，有攻击时宁可错杀不可漏掉
针对您的需求，推荐您在完成网站接入后，为网站设置以下防护功能：
- **Web基础防护（拦截模式）** ：帮助您防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击，并支持深度反逃逸识别、对请求里header中所有字段进行攻击检测、Shiro解密检测、Webshell检测。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"Web基础防护"区域，选择"拦截"模式，开启所有的检测项。具体的操作请参见[配置Web基础防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html)。
  
- **CC攻击防护（阻断模式）** ：通过限制单个IP/Cookie/Referer访问者对防护网站上源端的访问频率，精准识别并阻断CC攻击。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"CC攻击防护"区域，添加规则，"防护动作"配置为"阻断"。具体的操作请参见[配置CC攻击防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0009.html)。
  
- **精准访问防护（阻断模式）** ：对HTTP首部、Cookie、访问URL、请求参数或者客户端IP进行条件组合，定制化防护策略，为您的网站带来更精准的防护。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"精准访问防护"区域，添加规则，"防护动作"配置为"阻断"。具体的操作请参见[配置精准访问防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0010.html)。
  
- **IP黑白名单设置** **（拦截模式）** ：封禁与业务不相关的IP地址和地址段。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"黑白名单设置"区域，添加规则，"防护动作"配置为"拦截"。具体的操作请参见[配置IP黑白名单规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0012.html)。
  
- **地理位置访问控制** **（拦截模式）** ：封禁来自特定区域的访问或者允许特定区域的来源IP的访问，解决部分地区高发的恶意请求问题。可针对指定国家、地区的来源IP自定义访问控制。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"地理位置访问控制"区域，添加规则，"防护动作"配置为"拦截"。具体的操作请参见[配置地理位置访问控制规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0013.html)。
  
 
 #### 我的业务经常受到爬虫骚扰或面临数据泄露、被篡改的风险
针对您的需求，推荐您在完成网站接入后，为网站设置以下防护功能：
- **网页防篡改** ：帮助您锁定需要保护的网站页面，当被锁定的页面在收到请求时，返回已设置的缓存页面，预防源站页面内容被恶意篡改。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"网页防篡改"区域，添加规则，完成相关设置。具体操作请参见[配置网页防篡改规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0014.html)。
  
- **防敏感信息泄露** ：帮助您对返回页面中包含的敏感信息做屏蔽处理，防止用户的敏感信息（例如：身份证号、电话号码、电子邮箱等）泄露。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"防敏感信息泄露"区域，添加规则，完成相关设置。具体操作请参见[配置防敏感信息泄露规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0054.html)。
  
- **网站反爬虫** ：
  - **特征反爬虫**：帮助您为网站放行合法爬虫（例如Googlebot、Baiduspider）的访问请求，或者拦截大多数脚本和自动化程序的爬虫攻击。
  
  - **JS脚本反爬虫**：开启JS脚本反爬虫后，帮助您完成JS脚本的的检测，您也可以自定义JS脚本反爬虫的防护策略。
  
  
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"网站反爬虫"区域，添加规则，完成相关设置。具体操作请参见[配置网站反爬虫防护规则](https://support.huaweicloud.com/usermanual-waf/waf_01_0015.html)。
  
- **威胁情报访问控制** ：提供IDC机房IP库平台（例如鹏博士、谷歌公司、腾讯、美团网等其他平台），当目标IP库平台内的来源IP向网站下任意路径发起访问请求时，将触发控制规则，即拦截、放行或者仅记录请求。
  操作导航：在"防护策略"页面，单击策略名称，进入"防护配置"页面，选择"威胁情报访问控制"区域，添加规则，完成相关设置。具体操作请参见[配置威胁情报访问控制](https://support.huaweicloud.com/usermanual-waf/waf_01_0553.html)。