Web应用防火墙 WAF
Web应用防火墙 WAF
- 最新动态
- 功能总览
- 服务公告
- 产品介绍
- 计费说明
- 快速入门
-
用户指南
- 创建用户组并授权使用WAF
- 购买WAF
- 网站接入WAF
- 查看防护事件
-
配置防护策略
- 防护配置概述
- 配置Web基础防护规则防御常见Web攻击
- 配置智能访问控制规则精准智能防御CC攻击
- 配置CC攻击防护规则防御CC攻击
- 配置精准访问防护规则定制化防护策略
- 配置IP黑白名单规则拦截/放行指定IP
- 配置地理位置访问控制规则拦截/放行特定区域请求
- 配置威胁情报访问控制规则拦截/放行指定IP库的IP
- 配置网页防篡改规则避免静态网页被篡改
- 配置网站反爬虫防护规则防御爬虫攻击
- 配置防敏感信息泄露规则避免敏感信息泄露
- 配置全局白名单规则对误报进行忽略
- 配置隐私屏蔽规则防隐私信息泄露
- 配置扫描防护规则自动阻断高频攻击
- 配置BOT管理防护规则防御机器行为
- 创建引用表对防护指标进行批量配置
- 配置攻击惩罚标准封禁访问者指定时长
- 条件字段说明
- WAF覆盖的应用类型
- 查看总览
- 网站设置
- 策略管理
- 安全报告
- 高阶功能
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
- 最佳实践
-
API参考
- 使用前必读
- API概览
- 如何调用API
-
API
- 云模式防护网站管理
- 独享模式防护网站管理
- 防护策略管理
-
策略规则管理
- 修改单条规则的状态
- 查询cc规则列表
- 创建cc规则
- 根据Id查询cc防护规则
- 更新cc防护规则
- 删除cc防护规则
- 查询精准防护规则列表
- 创建精准防护规则
- 根据Id查询精准防护规则
- 更新精准防护规则
- 删除精准防护规则
- 创建全局白名单(原误报屏蔽)规则
- 查询全局白名单(原误报屏蔽)防护规则
- 更新全局白名单(原误报屏蔽)防护规则
- 删除全局白名单(原误报屏蔽)防护规则
- 查询黑白名单规则列表
- 创建黑白名单规则
- 查询黑白名单防护规则
- 更新黑白名单防护规则
- 查询全局白名单(原误报屏蔽)规则列表
- 删除黑白名单防护规则
- 查询JS脚本反爬虫规则列表
- 更新JS脚本反爬虫规则防护模式
- 创建JS脚本反爬虫规则
- 查询JS脚本反爬虫防护规则
- 更新JS脚本反爬虫防护规则
- 删除JS脚本反爬虫防护规则
- 查询隐私屏蔽防护规则列表
- 创建隐私屏蔽防护规则
- 查询隐私屏蔽防护规则
- 更新隐私屏蔽防护规则
- 删除隐私屏蔽防护规则
- 查询攻击惩罚规则列表
- 创建攻击惩罚规则
- 根据Id查询攻击惩罚防护规则
- 更新攻击惩罚规则
- 删除攻击惩罚规则
- 查询地理位置访问控制规则列表
- 创建地理位置控制规则
- 查询地理位置控制防护规则
- 更新地理位置控制防护规则
- 删除地理位置控制防护规则
- 查询防篡改规则列表
- 创建防篡改规则
- 查询防篡改防护规则
- 删除防篡改防护规则
- 网页防篡改规则更新缓存
- 查询防敏感信息泄露规则列表
- 创建防敏感信息泄露规则
- 查询防敏感信息泄露防护规则
- 更新防敏感信息泄露防护规则
- 删除防敏感信息泄露防护规则
- 查询引用表列表
- 创建引用表
- 查询引用表
- 修改引用表
- 删除引用表
- 地址组管理
- 证书管理
- 防护事件管理
- 安全总览
- 局点支持特性查询
- 独享实例管理
- 日志配置管理
- 租户订购管理
- 租户域名查询
- 租户防护域名管理
- 系统管理
- 告警管理
- 附录
- SDK参考
- 场景代码示例
-
常见问题
-
产品咨询
- WAF基础知识
- Web应用防火墙是否能防护IP？
- Web应用防火墙支持对哪些对象进行防护？
- Web应用防火墙与漏洞管理服务有哪些区别？
- Web应用防火墙支持自定义POST拦截吗？
- Web应用防火墙是否支持IPv4和IPv6共存？
- WAF和HSS的网页防篡改有什么区别？
- Web应用防火墙支持哪些Web服务框架/协议？
- WAF可以防护使用HSTS策略/NTLM代理认证访问的网站吗？
- WAF转发和Nginx转发有什么区别？
- Web应用防火墙和云防火墙有什么区别？
- Web应用防火墙可以配置会话Cookie吗？
- WAF对SQL注入、XSS跨站脚本和PHP注入攻击的检测原理？
- WAF是否可以防护Apache Struts2远程代码执行漏洞（CVE-2021-31805）？
- 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口？
- 多Project下使用Web应用防火墙的限制条件？
- 已使用华为云APIG还需要购买WAF吗？
- 本地文件包含和远程文件包含是指什么？
- QPS和请求次数有什么区别？
- 接入Web应用防火墙的域名需要备案吗？
- Web应用防火墙支持自定义授权策略吗？
- 为什么Cookie中有HWWAFSESID或HWWAFSESTIME字段？
- 云模式、独享模式可以互相切换吗？
- 同一防护域名/IP可以添加到不同的账号进行防护吗？
- 什么是区域和可用区？
- Web应用防火墙可以跨区域使用吗？
- Web应用防火墙支持防护哪些区域？
- WAF可以跨企业项目使用吗？
- 购买或升级WAF时选择了企业项目，其他企业项目可以使用该企业项目的WAF吗？
- 购买和变更规格
-
网站接入
- 如何在添加域名中配置防护域名？
- 添加域名时，防护网站端口需要和源站端口配置一样吗？
- 如何放行云模式WAF的回源IP段？
- 删除防护域名后CNAME记录会保留多久？
- 后端服务器配置多个源站地址时的注意事项？
- Web应用防火墙支持配置泛域名吗？
- Web应用防火墙支持防护中文域名吗？
- 泛域名和单域名都接入WAF，WAF如何转发访问请求？
- 添加域名时提示“非法的源站地址”，如何处理？
- 添加防护域名时，提示“其他人已经添加了该域名，请确认该域名是否属于你”，如何处理？
- 添加域名时，为什么不能选择对外协议？
- 云模式服务器的源站地址可以配置成CNAME吗？
- 如何在华为云的云解析服务上进行DNS验证？
- 未配置子域名和TXT记录的影响？
- 如何查询域名提供商？
- 新旧CNAME的区别？
- 域名接入Web应用防火墙后，能通过IP访问网站吗？
- 如何设置使流量不经过WAF，直接访问源站？
- 域名接入WAF后，为什么无法开启防护模式？
-
防护规则
- Web基础防护支持设置哪几种防护等级？
- CC攻击的防护峰值是多少？
- 在什么情况下使用Cookie区分用户？
- CC规则里“限速频率”和“放行频率”的区别？
- 配置“人机验证”CC防护规则后，验证码不能刷新，验证一直不通过，如何处理？
- 如何不拦截带有.js的文件？
- Web应用防火墙可以批量配置黑白名单吗？
- Web应用防火墙可以导入/导出黑白名单吗？
- 开启JS脚本反爬虫后，为什么客户端请求获取页面失败？
- 开启网站反爬虫中的“其他爬虫”会影响网页的浏览速度吗？
- JS脚本反爬虫的检测机制是怎么样的？
- 哪些情况会造成WAF配置的防护规则不生效？
- 如果只允许指定地区的IP可以访问，如何设置防护策略？
- 拦截所有来源IP或仅允许指定IP访问防护网站，WAF如何配置？
- 系统自动生成策略包括哪些防护规则？
- 开启网页防篡改后，为什么刷新页面失败？
- 黑白名单规则和精准访问防护规则的拦截指定IP访问请求，有什么差异？
- 如何处理Appscan等扫描器检测结果为Cookie缺失Secure/HttpOnly？
- 如何拦截4层链接对应的IP？
- IPv6防护
- 证书管理
- 防护日志
- 内容安全检测服务
-
产品咨询
- 故障排除
- 视频帮助
- 文档下载
- 通用参考
本文导读
链接复制成功！
CDN回源OBS桶场景下连接WAF提升OBS安全防护
应用场景
当您的网站域名开启了华为云CDN加速，且回源到华为云对象存储 OBS（Object Storage Service，OBS）时，如果该网站存在一定的Web攻击风险，我们推荐您组合使用CDN、OBS和Web 应用防火墙 WAF（Web Application Firewall），将开启CDN加速的域名接入WAF，实现OBS的安全防护。本文介绍如何为业务同时部署CDN、OBS、WAF。
本实践建立在已将域名添加到CDN用于内容加速，并将请求回源到OBS桶（此时，域名DNS解析指向CDN的CNAME地址，源站为OBS域名），如何使网站流量经过WAF进行防护。
方案架构及方案优势
华为云CDN可以有效加速网站，WAF可以拦截网站恶意流量，而OBS桶提供海量文件存储。将数据存放在OBS桶中然后通过配置CDN加速，WAF过滤恶意请求，这样构造的业务系统可以在降低成本的同时，提高OBS数据的安全防护。
资源与成本规划
约束条件
- 仅WAF云模式的CNAME接入支持该场景。
- 该场景下，WAF只能防护网站动态内容、较小的静态资源文件。因此，如果OBS存储的资源为大文件(100M以上)，不建议使用云WAF进行防护。
步骤一：购买云模式标准版
- 登录华为云管理控制台。
- 在控制台页面中选择“安全与合规 > Web应用防火墙 WAF”，进入Web应用防火墙控制台。
- 在页面右上角，单击“购买WAF实例”，进入购买页面，“WAF模式”选择“云模式”。
- “区域”：根据防护业务的所在区域就近选择购买的WAF区域。
- “版本规格”：选择“标准版”。
- “扩展包”及“购买时长”：根据具体情况进行选择。
- 确认参数配置无误后，在页面右下角单击“立即购买”。
- 确认订单详情无误后，阅读并勾选《Web应用防火墙免责声明》，单击“去支付”，完成购买操作。
- 进入“付款”页面，选择付款方式进行付款。
步骤二：在OBS中绑定CDN加速域名
- 登录管理控制台。
- 单击管理控制台左上角的
，选择区域或项目。 - 单击页面左上方的
，选择“存储 > 对象存储服务 OBS”。 - 在左侧导航树中，选择“桶列表”，单击目标桶名称，进入“对象”页面。
- 在左侧导航树中，选择“域名管理”，进入“域名管理”界面。
- 单击“配置加速域名”，在“源站信息”所在行，复制桶域名。
“加速域名”：配置为在CDN中配置的加速域名。
其他参数的详细配置请参见配置加速域名。
完成域名绑定后，您可以在浏览器输入域名和OBS桶中任意文件名称（例如，<被防护域名>/test.png，test.png为上传到OBS桶中的图片名称），如果网站能正常访问，表示域名添加成功。
步骤三：将域名接入WAF，源站地址为OBS域名
为了实现WAF对OBS桶的防护，您需要将开启CDN加速且绑定OBS桶的域名接入WAF，并将源站修改为OBS域名。
- 单击页面左上方的
，选择“安全与合规 > Web应用防火墙 WAF”。 - 在左侧导航树中，选择“网站设置”，进入“网站设置”页面。
- 在网站列表左上角，单击“添加防护网站”。
- 选择“云模式-CNAME接入”并单击“确定”。
- 在添加防护网站页面，关键参数配置如表2。
其他参数的配置请参见添加防护域名（云模式-CNAME接入）。
表2 配置信息 配置项
配置说明
防护域名
填写步骤二：在OBS中绑定CDN加速域名中，绑定到OBS中的域名。
防护端口
填写需要防护的域名对应的业务端口。
服务器配置
- 对外协议：客户端请求访问服务器的协议类型。包括HTTP、HTTPS两种协议类型。
- 源站协议：Web应用防火墙转发客户端请求的协议类型。包括HTTP、HTTPS两种协议类型。
- 源站地址：填写网站对应的源站服务器的公网IP地址或源站域名，用于接收WAF转发回源的正常业务请求（回源请求），此处填写OBS桶域名。
说明：
在OBS“概览”页的“域名信息”栏，也可复制OBS桶域名。
- 源站端口：WAF转发客户端请求到服务器的业务端口。
- 单击“确定”。按照接入向导完成“放行WAF回源IP”和“本地验证”，在“修改DNS解析”页面，复制CNAME值。
图1 复制CNAME截图
步骤四：修改CDN源站为WAF提供的CNAME地址
- 单击页面左上方的
，选择“CDN与智能边缘 > 内容分发网络 CDN”，进入CDN页面。 - 在左侧导航树中，选择“域名管理”。
- 在域名列表中，单击需要修改的域名或域名所在行的“设置”，进入域名配置页面。
- 选择“基本配置”页签，在源站配置模块，单击“编辑”。
“源站地址”文本框中输入6中复制的WAF CNAME值。
效果验证
完成配置后，您可以再次在浏览器输入已添加的域名和OBS桶中任意文件名称（例如，<被防护域名>/test.png），test.png为上传到OBS中的图片名称），如果网站能正常访问，表示域名添加成功。
您也可以在浏览器输入已添加的域名和Web攻击代码（例如，SQL注入：curl -kv <被防护域名>?name='1%20or%201=1'），如果返回418拦截提示页面，表示攻击被拦截，WAF防护成功。
后续操作
完成上述配置后，WAF会默认为域名开启Web基础防护规则，通过对访问域名的请求特征进行识别和检测，将正常的访问请求转发给OBS私有桶，实现安全防护。您也可以根据实际情况，开启更多的防护策略，详见防护策略配置。
父主题： 网站接入配置
