- 最新动态
- 功能总览
- 服务公告
- 产品介绍
- 计费说明
- 快速入门
-
用户指南
- 创建用户组并授权使用WAF
- 购买WAF
- 网站接入WAF
- 查看防护事件
-
配置防护策略
- 防护配置概述
- 配置Web基础防护规则防御常见Web攻击
- 配置智能访问控制规则精准智能防御CC攻击
- 配置CC攻击防护规则防御CC攻击
- 配置精准访问防护规则定制化防护策略
- 配置IP黑白名单规则拦截/放行指定IP
- 配置地理位置访问控制规则拦截/放行特定区域请求
- 配置威胁情报访问控制规则拦截/放行指定IP库的IP
- 配置网页防篡改规则避免静态网页被篡改
- 配置网站反爬虫防护规则防御爬虫攻击
- 配置防敏感信息泄露规则避免敏感信息泄露
- 配置全局白名单规则对误报进行忽略
- 配置隐私屏蔽规则防隐私信息泄露
- 配置扫描防护规则自动阻断高频攻击
- 创建引用表对防护指标进行批量配置
- 配置攻击惩罚标准封禁访问者指定时长
- 条件字段说明
- WAF覆盖的应用类型
- 查看总览
- 网站设置
- 策略管理
- 安全报告
- 高阶功能
- 对象管理
- 系统管理
- 权限管理
- 监控与审计
- 最佳实践
-
API参考
- 使用前必读
- API概览
- 如何调用API
-
API
- 云模式防护网站管理
- 独享模式防护网站管理
- 防护策略管理
-
策略规则管理
- 修改单条规则的状态
- 查询cc规则列表
- 创建cc规则
- 根据Id查询cc防护规则
- 更新cc防护规则
- 删除cc防护规则
- 查询精准防护规则列表
- 创建精准防护规则
- 根据Id查询精准防护规则
- 更新精准防护规则
- 删除精准防护规则
- 创建全局白名单(原误报屏蔽)规则
- 查询全局白名单(原误报屏蔽)防护规则
- 更新全局白名单(原误报屏蔽)防护规则
- 删除全局白名单(原误报屏蔽)防护规则
- 查询黑白名单规则列表
- 创建黑白名单规则
- 查询黑白名单防护规则
- 更新黑白名单防护规则
- 查询全局白名单(原误报屏蔽)规则列表
- 删除黑白名单防护规则
- 查询JS脚本反爬虫规则列表
- 更新JS脚本反爬虫规则防护模式
- 创建JS脚本反爬虫规则
- 查询JS脚本反爬虫防护规则
- 更新JS脚本反爬虫防护规则
- 删除JS脚本反爬虫防护规则
- 查询隐私屏蔽防护规则列表
- 创建隐私屏蔽防护规则
- 查询隐私屏蔽防护规则
- 更新隐私屏蔽防护规则
- 删除隐私屏蔽防护规则
- 查询攻击惩罚规则列表
- 创建攻击惩罚规则
- 根据Id查询攻击惩罚防护规则
- 更新攻击惩罚规则
- 删除攻击惩罚规则
- 查询地理位置访问控制规则列表
- 创建地理位置控制规则
- 查询地理位置控制防护规则
- 更新地理位置控制防护规则
- 删除地理位置控制防护规则
- 查询防篡改规则列表
- 创建防篡改规则
- 查询防篡改防护规则
- 删除防篡改防护规则
- 网页防篡改规则更新缓存
- 查询防敏感信息泄露规则列表
- 创建防敏感信息泄露规则
- 查询防敏感信息泄露防护规则
- 更新防敏感信息泄露防护规则
- 删除防敏感信息泄露防护规则
- 查询引用表列表
- 创建引用表
- 查询引用表
- 修改引用表
- 删除引用表
- 地址组管理
- 证书管理
- 防护事件管理
- 安全总览
- 局点支持特性查询
- 独享实例管理
- 日志配置管理
- 租户订购管理
- 租户域名查询
- 租户防护域名管理
- 系统管理
- 告警管理
- 附录
- SDK参考
- 场景代码示例
-
常见问题
-
产品咨询
- WAF基础知识
- Web应用防火墙是否能防护IP?
- Web应用防火墙支持对哪些对象进行防护?
- Web应用防火墙与漏洞管理服务有哪些区别?
- Web应用防火墙支持自定义POST拦截吗?
- Web应用防火墙是否支持IPv4和IPv6共存?
- WAF和HSS的网页防篡改有什么区别?
- Web应用防火墙支持哪些Web服务框架/协议?
- WAF可以防护使用HSTS策略/NTLM代理认证访问的网站吗?
- WAF转发和Nginx转发有什么区别?
- Web应用防火墙和云防火墙有什么区别?
- Web应用防火墙可以配置会话Cookie吗?
- WAF对SQL注入、XSS跨站脚本和PHP注入攻击的检测原理?
- WAF是否可以防护Apache Struts2远程代码执行漏洞(CVE-2021-31805)?
- 接入WAF后为什么漏洞扫描工具扫描出未开通的非标准端口?
- 多Project下使用Web应用防火墙的限制条件?
- 已使用华为云APIG还需要购买WAF吗?
- 本地文件包含和远程文件包含是指什么?
- QPS和请求次数有什么区别?
- 接入Web应用防火墙的域名需要备案吗?
- Web应用防火墙支持自定义授权策略吗?
- 为什么Cookie中有HWWAFSESID或HWWAFSESTIME字段?
- 云模式、独享模式可以互相切换吗?
- 同一防护域名/IP可以添加到不同的账号进行防护吗?
- 什么是区域和可用区?
- Web应用防火墙可以跨区域使用吗?
- Web应用防火墙支持防护哪些区域?
- WAF可以跨企业项目使用吗?
- 购买或升级WAF时选择了企业项目,其他企业项目可以使用该企业项目的WAF吗?
- 购买和变更规格
-
网站接入
- 如何在添加域名中配置防护域名?
- 添加域名时,防护网站端口需要和源站端口配置一样吗?
- 如何放行云模式WAF的回源IP段?
- 删除防护域名后CNAME记录会保留多久?
- 后端服务器配置多个源站地址时的注意事项?
- Web应用防火墙支持配置泛域名吗?
- Web应用防火墙支持防护中文域名吗?
- 泛域名和单域名都接入WAF,WAF如何转发访问请求?
- 添加域名时提示“非法的源站地址”,如何处理?
- 添加防护域名时,提示“其他人已经添加了该域名,请确认该域名是否属于你”,如何处理?
- 添加域名时,为什么不能选择对外协议?
- 云模式服务器的源站地址可以配置成CNAME吗?
- 如何在华为云的云解析服务上进行DNS验证?
- 未配置子域名和TXT记录的影响?
- 如何查询域名提供商?
- 新旧CNAME的区别?
- 域名接入Web应用防火墙后,能通过IP访问网站吗?
- 如何设置使流量不经过WAF,直接访问源站?
- 域名接入WAF后,为什么无法开启防护模式?
-
防护规则
- Web基础防护支持设置哪几种防护等级?
- CC攻击的防护峰值是多少?
- 在什么情况下使用Cookie区分用户?
- CC规则里“限速频率”和“放行频率”的区别?
- 配置“人机验证”CC防护规则后,验证码不能刷新,验证一直不通过,如何处理?
- 如何不拦截带有.js的文件?
- Web应用防火墙可以批量配置黑白名单吗?
- Web应用防火墙可以导入/导出黑白名单吗?
- 开启JS脚本反爬虫后,为什么客户端请求获取页面失败?
- 开启网站反爬虫中的“其他爬虫”会影响网页的浏览速度吗?
- JS脚本反爬虫的检测机制是怎么样的?
- 哪些情况会造成WAF配置的防护规则不生效?
- 如果只允许指定地区的IP可以访问,如何设置防护策略?
- 拦截所有来源IP或仅允许指定IP访问防护网站,WAF如何配置?
- 系统自动生成策略包括哪些防护规则?
- 开启网页防篡改后,为什么刷新页面失败?
- 黑白名单规则和精准访问防护规则的拦截指定IP访问请求,有什么差异?
- 如何处理Appscan等扫描器检测结果为Cookie缺失Secure/HttpOnly?
- 如何拦截4层链接对应的IP?
- IPv6防护
- 证书管理
- 防护日志
- 内容安全检测服务
-
产品咨询
- 故障排除
- 视频帮助
- 文档下载
- 通用参考
展开导读
功能总览
-
Web应用防火墙
-
云模式
-
WAF支持云模式部署方式。云模式可以防护华为云、非华为云和云下的域名,弹性扩容能力强,可以一键扩容防护能力。
云模式支持包年月(预付费)计费方式,支持入门版、标准版、专业版和铂金版四种服务版本。发布区域:全部
-
域名扩展包
-
一个域名包支持防护10个域名,支持1个一级域名和与一级域名相关的子域名或泛域名。
如果当前版本的防护域名数量不能满足您的需求,您可以在WAF管理控制台右上角单击“变更”购买域名扩展包。发布区域:全部
-
-
QPS扩展包
-
一个QPS扩展包包含1000QPS(Query Per Second,即每秒钟的请求量,例如一个HTTP GET请求就是一个Query),大约相当于25Mbit/s带宽。
WAF中的实际业务QPS请求由WAF单独计算,与其他华为云产品(如CDN、ELB、ECS等)的带宽或者流量限制没有任何关联。
如果您的正常业务流量超过您已购买的WAF版本的业务带宽限制,您在WAF中配置的全部业务的流量转发将可能受到影响。超出业务带宽限制后,可能出现限流、随机丢包等现象,导致您的正常业务在一定时间内不可用、卡顿、延迟等。如果出现这种情况,您需要升级WAF版本或者扩展业务带宽,避免正常业务流量超出业务带宽限制所产生的影响。发布区域:全部
-
-
-
独享模式
-
WAF支持独享模式部署方式。独享模式部署灵活,可以防护华为云上的域名或IP。独享引擎实例资源由用户独享,可以满足大规模流量攻击场景防护需求。
独享模式支持按需计费(后付费)计费方式。发布区域:华北-北京四、华东-上海一、华南-广州、华南-深圳、西南-贵阳一、中国-香港、亚太-曼谷、亚太-新加坡、土耳其-伊斯坦布尔、拉美-圣保罗一、拉美-圣地亚哥、非洲-约翰内斯堡
-
-
ELB模式
-
WAF支持ELB模式部署方式。ELB模式部署灵活,可以防护华为云上的域名或IP。仅支持与独享型ELB配套使用,且“规格”必须为“应用型(HTTP/HTTPS)”,不支持“网络型(TCP/UDP)”的独享型的ELB。
- ELB模式需要提交工单申请开通后才能使用。
- 购买了云模式标准版、专业版或铂金版后,同时可以使用ELB模式,域名、QPS、规则扩展包的配额与云模式共用。
发布区域:华北-北京二、华北-北京四、西南-贵阳一、华北-乌兰察布一、华东-上海一、华东-上海二、华东-青岛、华南-广州、华南-深圳、中国-香港、亚太-新加坡、非洲-约翰内斯堡、土耳其-伊斯坦布尔、中东-利雅得
-
-
域名接入WAF
-
域名接入WAF后,WAF作为一个反向代理存在于客户端和服务器之间,服务器的真实IP被隐藏起来,Web访问者只能看到WAF的IP地址。
发布区域:全部
-
-
告警通知
-
WAF可将仅记录和拦截的攻击日志通过用户设置的接收通知方式发送给用户。
发布区域:全部
-
-
非标准端口防护
-
WAF除了可以防护标准的80,443端口外,还支持非标准端口的防护。
发布区域:全部
-
-
IPv6防护
-
Web应用防火墙支持防护IPv6环境下发起的攻击,帮助您的源站实现对IPv6流量的安全防护。随着IPv6协议的迅速普及,新的网络环境以及新兴领域均面临着新的安全挑战,WAF的IPv6防护功能帮助您轻松构建覆盖全球的安全防护体系。WAF支持IPv6/IPv4双栈,针对同一域名可以同时提供IPv6和IPv4的流量防护。针对仍然使用IPv4协议栈的Web业务,WAF支持NAT64机制(NAT64是一种通过网络地址转换(NAT)形式促成IPv6与IPv4主机间通信的IPv6转换机制),即WAF可以将IPv4源站转化成IPv6网站,将外部IPv6访问流量转化成对内的IPv4流量。
发布区域:华北-北京一、华北-北京四、华东-上海一、华东-上海二、西南-贵阳一、华南-广州、华北-乌兰察布一、亚太-新加坡。
-
-
OBS 2.0支持
-
Web基础防护
-
覆盖OWASP(Open Web Application Security Project,简称OWASP)TOP 10中常见安全威胁,通过预置丰富的信誉库,对网马等威胁进行检测和拦截。
全面的攻击防护:支持SQL注入、XSS跨站脚本、文件包含、目录遍历、敏感文件访问、命令/代码注入、网页木马上传、后门隔离保护、非法HTTP协议请求等威胁检测和拦截。
识别精准:内置语义分析+正则双引擎,黑白名单配置,误报率更低。支持防逃逸,自动还原常见编码,识别变形攻击能力更强。默认支持还原的编码类型:url_encode、Unicode、xml、C-OCT、十六进制、html转义、base64、大小写混淆、javascript/shell/php等拼接混淆。深度反逃逸识别(支持同形字符混淆、通配符变形的命令注入、UTF7、Data URI Schema等的防护)。
发布区域:全部
-
-
CC攻击防护
-
您可以自定义CC(Challenge Collapsar)防护规则,限制单个IP/Cookie/Referer访问者对您的网站上特定路径(URL)的访问频率,WAF会根据您配置的规则,精准识别CC攻击以及有效缓解CC攻击。
例如,您可以配置该规则:当Cookie标识为name的用户在60秒内访问您域名下的“/admin*”页面超过10次时,封禁该用户访问目标网址600秒。
- 全局计数:根据不同的限速模式,将已经标识的请求在一个或多个WAF节点上的计数聚合。默认为每WAF节点单独计数,开启后本区域所有节点合并计数。
说明:仅云模式的CNAME接入方式支持配置“全局计数”,且仅华北-北京一、华北-北京四、华南-广州、华东-上海一、华东-上海二支持使用“全局计数”。
-
-
精准访问防护
-
精准访问防护规则允许您设置访问防护规则,对常见的HTTP字段(如IP、路径、Referer、User Agent、Params等)进行条件组合,用来筛选访问请求,并对命中条件的请求设置放行或阻断操作。精准访问防护支持业务场景定制化的防护策略,可用于盗链防护、网站管理后台保护等。
发布区域:全部
-
-
黑白名单设置
-
添加始终拦截与始终放行的黑白名单IP/IP地址段,增加防御准确性。
发布区域:全部
-
-
攻击惩罚设置
-
当访问者的IP、Cookie或Params恶意请求被WAF拦截时,您可以通过配置攻击惩罚,使WAF按配置的攻击惩罚时长来自动封禁访问者。
Web基础防护、精准访问防护和黑白名单设置支持攻击惩罚功能。发布区域:全部
-
-
地理位置访问控制
-
可以针对国外部分国家、国内省份的来源IP进行自定义访问控制。
发布区域:全部
-
-
网页防篡改
-
对网站的静态网页进行缓存配置,当用户访问时返回给用户缓存的正常页面,并随机检测网页是否被篡改。
发布区域:全部
-
-
网站反爬虫
-
动态分析网站业务模型,结合人机识别技术和数据风控手段,精准识别爬虫行为。
发布区域:华北-北京一、华北-北京四、华东-上海一、华东-上海二、华南-广州、西南-贵阳一、中国-香港、亚太-曼谷
-
-
防敏感信息泄露
-
防止用户的敏感信息(如身份证号、电话号码、电子邮箱等)泄露,并能够拦截指定的HTTP响应码页面。
发布区域:全部
-
-
全局白名单
-
“不检测类型”选择“所有检测模块”时:通过WAF配置的其他所有的规则都不会生效,WAF将放行该域名下的所有请求流量。
“不检测类型”选择“Web基础防护模块”时:可根据选择的“不检测规则类型”,对某些规则ID或者事件类别进行忽略设置(例如,某URL不进行XSS的检查,可设置屏蔽规则,屏蔽XSS检查)。发布区域:全部
-
-
隐私屏蔽
-
通过设置隐私信息屏蔽,可以避免用户的密码等信息出现在事件日志中。
发布区域:全部
-
-
防护日志
-
在“安全总览”页面,您可以查看到昨天、今天、3天、7天或者30天的访问与攻击统计次数、攻击分布、受攻击域名 TOP10、攻击源IP TOP10和受攻击URL TOP10的次数。
在“防护事件”页面,您可以查看所有防护域名昨天、今天、3天、7天、30天或者自定义时间段(最多30天)的防护事件数据。
-
开启全量日志
-
-
OBS 2.0支持
-
配置PCI DSS/3DS合规与TLS
-
当防护网站的“对外协议”为“HTTPS”时,您可以通过WAF为网站设置最低TLS版本和加密套件(多种加密算法的集合),对于低于最低TLS版本的请求,将无法正常访问网站,以满足行业客户的安全需求。
WAF支持开启PCI DSS和PCI 3DS合规认证功能,开启合规认证后,最低TLS版本将设置为TLS v1.2,以满足PCI DSS和PCI 3DS合规认证要求。发布区域:华北-北京一、华北-北京四、华东-上海一、华东-上海二、华南-广州、西南-贵阳一、中国-香港、亚太-曼谷、亚太-新加坡、非洲-约翰内斯堡
-
-
域名管理
-
HTTP2协议
-
HTTP2协议仅适用于客户端到WAF之间的访问,且“对外协议”必须包含HTTPS才能支持使用。
-
发布区域:华北-北京一、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳
-
-
网站连接超时
-
如果您需要针对域名的每个请求设置超时时间,可参考本章节开启WAF到客户源站的“超时配置”并设置“连接超时”、“读超时”、“写超时”的时间。开启后不支持关闭。
- 连接超时:WAF转发客户端请求时,TCP三次握手超时时间。
- 写超时:WAF向源站发送请求的超时时间,若在设定的写超时时间内源站未接收到请求,则认为连接超时。
- 读超时:WAF从源站读取响应的超时时间,若在设定的读超时时间内未收到来自源站的响应,则认为连接超时。
-
发布区域:华北-北京一、华北-北京二、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳、西南-贵阳一、中国-香港、亚太-新加坡、亚太-雅加达
-
-
连接保护
-
网站接入WAF防护之后,若您访问网站时出现大量的502 Bad Gateway,504 Gateway Timeout错误或者等待处理的请求,为了保护源站的安全,可使用WAF的宕机保护和连接保护功能。当502/504请求数量或读等待URL请求数量以及占比阈值达到您设置的值时,将触发WAF熔断功能开关,实现宕机保护和读等待URL请求保护。
-
发布区域:华北-北京一、华北-北京二、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳
-
-
负载均衡算法
-
防护网站配置了一个或多个源站地址时,WAF支持配置多源站间的负载均衡算法,WAF支持的算法如下:
- 源IP Hash:将某个IP的请求定向到同一个服务器。
- 加权轮询:所有请求将按权重轮流分配给源站服务器。
- Session Hash:将某个Session标识的请求定向到同一个源站服务器,请确保在域名添加完毕后配置攻击惩罚的流量标识,否则Session Hash配置不生效。
-
发布区域:华北-北京一、华北-北京二、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳、中国-香港、亚太-曼谷
-
-
Header字段转发
-
如果您想通过WAF添加额外的Header头部信息,例如$request_id让整个链路的请求都可以关联起来。可配置字段转发,WAF会将添加的字段插到Header中,转发给源站。配置的Key值不能跟nginx原生字段重复。
-
发布区域:华北-北京一、华北-北京二、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳、西南-贵阳一、中国-香港、亚太-新加坡、亚太-曼谷
-
-
黑白名单IP地址组
-
IP地址组集中管理IP地址或网段,被黑白名单规则引用时可以批量设置IP/IP地址段。
-
发布区域:华北-北京一、华北-北京二、华北-北京四、华东-上海一、华东-上海二、华南-广州、华南-深圳、西南-贵阳一、中国-香港、亚太-新加坡、亚太-曼谷、拉美-圣地亚哥、亚太-雅加达、土耳其-伊斯坦布尔、华北-乌兰察布一
-