防护配置概述

WAF引擎会按照检测流程，按配置对用户请求信息、源站服务器返回的响应信息进行检测，并对WAF日志信息按配置进行脱敏保存。

WAF引擎检测流程、流程中各阶段要执行检测的防护规则的先后顺序，如图1所示。

图1 WAF引擎检测图

检测流程各阶段说明如下：

1. 解析阶段：WAF通过解析客户端原始HTTP或HTTPS请求报文，获取请求头、请求行、请求体等相关信息，并根据请求报文，确认转发策略。
2. 请求检测阶段：
   1. WAF根据请求信息，获取用户配置的防护规则。
   2. 解析用户请求内容，例如源IP、域名、请求长度等。
   3. 根据已配置的防护规则，按防护规则检测顺序（如图1所示），检测请求内容。如果该请求命中防护规则设置的条件，则按照防护动作，处置对应请求。
3. 响应检测阶段：
   1. 解析服务器响应内容。
   2. 根据已配置的防护规则，按防护规则检测顺序（如图1所示），检测响应内容。如果该响应命中防护规则设置的条件，则按照防护动作，处置对应响应。
4. 日志记录阶段：WAF根据配置的隐私屏蔽规则，处理WAF日志信息，避免用户账号、密码等信息等敏感信息出现在日志中。

防护动作是指WAF在检测到请求命中防护规则设置的过滤条件时，采取的一系列措施。相同条件的防护规则仅支持配置一个防护动作。

WAF支持配置如下防护动作：

• 仅记录

  WAF检测到请求命中防护规则设置的条件时，不会采取任何行动，只是将这些活动记录下来，用于安全团队后续分析和审查。

  网站接入WAF后，WAF默认开启开启“Web基础防护”中的“常规检测”和“网站反爬虫”的“扫描器”检测，“防护动作”均配置为“仅记录”。如果您对自己的业务流量特征还不完全清楚，建议先保持仅记录模式进行观察，然后分析该模式下的攻击日志，配置有针对性的防护规则。

• 拦截

  WAF检测到请求命中防护规则设置的条件时，拦截当前请求，并停止后续规则的检测。

  防护动作配置为拦截时，可设置攻击惩罚规则，对访问者的IP、Cookie或Params的长时间拦截规则、短时间拦截规则，使得WAF自动封禁访问者。

  

  如果用户实际业务场景较为复杂，需配置多种类型的防护规则时，需对所有防护规则进行综合判断，避免因当前规则配置的拦截防护动作，从而导致后续规则检测失效。配置示例请参考多种类型防护规则应用示例。

• 放行
  WAF检测到请求命中防护规则设置的条件时，放行当前请求，并停止后续规则的检测。

  

  如果用户实际业务场景较为复杂，需配置多种类型的防护规则时，需对所有防护规则进行综合判断，避免因当前规则配置的放行防护动作，从而导致后续规则检测失效。后续规则检测失效。配置示例请参考多种类型防护规则应用示例。

• JS挑战

  WAF检测到请求命中防护规则设置的条件时，会向客户端返回一段正常浏览器可以自动执行的JavaScript代码。如果客户端正常执行了JavaScript代码，则WAF在Token有效期内放行该客户端的所有请求（不需要重复验证），否则拦截请求。

• 动态拦截

  在CC攻击防护规则中，如果在一个限速周期内，访问超过“限速频率”触发了拦截，那么，在下一个限速周期内，WAF会根据“放行频率”进行拦截。

  例如，“限速频率”为每60秒允许10次访问，“放行频率”为每60秒允许5次访问时，表示前60秒内，访问次数超过10次后，访问被拦截，在下一个60秒时，访问次数超过5次，就会被拦截。

• 人机验证

  在CC攻击防护规则中，如果访问超过“限速频率”，就会弹出验证码，进行人机验证。完成验证后，请求将不受限制。如果验证未通过，会按照“锁定时间”，限制访问。