文档首页/ Web应用防火墙 WAF/ 最佳实践/ 网站防护配置建议
更新时间:2024-07-25 GMT+08:00

网站防护配置建议

当您首次完成网站接入,面对网站防护策略配置时,可能会不知道如何下手。本文将引导您从不同场景、角色的视角快速熟悉Web应用防火墙(Web Application Firewall,简称WAF)的防护规则,帮助您从自己最关心的需求入手,了解WAF的防护逻辑。

前提条件

概述

本文从以下不同角色视角或业务需求视角出发,提供了网站防护的设置建议。您可以选择最贴近您自身实际需求的场景,了解相关的防护设置:

我是新手,不懂安全,也没有特殊需求

您可能是基于等保要求或出于提升企业安全水位(达到预防目的)等考虑购买了Web应用防火墙。这种情况下,您可以在完成网站接入后直接使用WAF的默认基础防护设置,不做任何调整。WAF提供的默认防护能力足够为网站抵御绝大部分的基础Web威胁。

建议您多关注Web应用防火墙控制台的“安全总览”“防护事件”页面,了解业务情况和攻击情况。具体操作可参见以下文档:

我是专业的安全人员,需要做全面的Web入侵运营

针对您的需求,推荐您在完成网站接入后,为网站设置以下防护功能:

  • Web基础防护:帮助您防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击,并支持深度反逃逸识别、对请求里header中所有字段进行攻击检测、Shiro解密检测、Webshell检测。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“Web基础防护”区域,选择“拦截”或者“仅记录”模式,开启所有的检测项。具体的操作请参见配置Web基础防护规则

  • 自定义防护策略(自由组合防护配置规则):防护配置规则的自由组合配置,为您的网站定制适合的防护策略,全方位的防护您的网站。

    操作导航:在“防护策略”页面,进行相关的配置,具体的操作请参见防护配置引导

我的业务需要严格的安全防护,有攻击时宁可错杀不可漏掉

针对您的需求,推荐您在完成网站接入后,为网站设置以下防护功能:

  • Web基础防护(拦截模式):帮助您防范SQL注入、XSS跨站脚本、远程溢出攻击、文件包含、Bash漏洞攻击、远程命令执行、目录遍历、敏感文件访问、命令/代码注入等常规的Web攻击,并支持深度反逃逸识别、对请求里header中所有字段进行攻击检测、Shiro解密检测、Webshell检测。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“Web基础防护”区域,选择“拦截”模式,开启所有的检测项。具体的操作请参见配置Web基础防护规则

  • CC攻击防护(阻断模式):通过限制单个IP/Cookie/Referer访问者对防护网站上源端的访问频率,精准识别并阻断CC攻击。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“CC攻击防护”区域,添加规则,“防护动作”配置为“阻断”。具体的操作请参见配置CC攻击防护规则

  • 精准访问防护(阻断模式):对HTTP首部、Cookie、访问URL、请求参数或者客户端IP进行条件组合,定制化防护策略,为您的网站带来更精准的防护。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“精准访问防护”区域,添加规则,“防护动作”配置为“阻断”。具体的操作请参见配置精准访问防护规则

  • IP黑白名单设置(拦截模式):封禁与业务不相关的IP地址和地址段。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“黑白名单设置”区域,添加规则,“防护动作”配置为“拦截”。具体的操作请参见配置IP黑白名单规则

  • 地理位置访问控制(拦截模式):封禁来自特定区域的访问或者允许特定区域的来源IP的访问,解决部分地区高发的恶意请求问题。可针对指定国家、地区的来源IP自定义访问控制。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“地理位置访问控制”区域,添加规则,“防护动作”配置为“拦截”。具体的操作请参见配置地理位置访问控制规则

我的业务经常受到爬虫骚扰或面临数据泄露、被篡改的风险

针对您的需求,推荐您在完成网站接入后,为网站设置以下防护功能:

  • 网页防篡改:帮助您锁定需要保护的网站页面,当被锁定的页面在收到请求时,返回已设置的缓存页面,预防源站页面内容被恶意篡改。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“网页防篡改”区域,添加规则,完成相关设置。具体操作请参见配置网页防篡改规则

  • 防敏感信息泄露:帮助您对返回页面中包含的敏感信息做屏蔽处理,防止用户的敏感信息(例如:身份证号、电话号码、电子邮箱等)泄露。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“防敏感信息泄露”区域,添加规则,完成相关设置。具体操作请参见配置防敏感信息泄露规则

  • 网站反爬虫
    • 特征反爬虫:帮助您为网站放行合法爬虫(例如Googlebot、Baiduspider)的访问请求,或者拦截大多数脚本和自动化程序的爬虫攻击。
    • JS脚本反爬虫:开启JS脚本反爬虫后,帮助您完成JS脚本的的检测,您也可以自定义JS脚本反爬虫的防护策略。

    操作导航:在“防护策略”页面,单击策略名称,进入“防护配置”页面,选择“网站反爬虫”区域,添加规则,完成相关设置。具体操作请参见配置网站反爬虫防护规则