Web Application Firewall:Enable WAF protection for Cloud-native API Gateway instances

Funcionamiento

Cloud-native API Gateway utiliza la integración mediante SDK. El SDK se integra directamente en el producto en la nube para extraer, detectar y proteger el tráfico. Dado que WAF no reenvía el tráfico, se evitan problemas de compatibilidad y estabilidad derivados de una capa adicional de reenvío.

Alcance aplicable

Si su instancia de APIG no cumple con los siguientes requisitos, utilice CNAME integration en su lugar.

• Requisitos de cuenta: Las instancias de APIG y WAF deben pertenecer a la misma cuenta de Alibaba Cloud, a menos que se haya configurado multi-account management feature.

• Requisitos de región: Solo puede habilitar la protección de WAF para instancias de APIG en las siguientes regiones: China (Hangzhou), China (Shanghai), China (Beijing), China (Shenzhen), China (Ulanqab), China (Zhangjiakou), China (Qingdao), China (Chengdu), China (Hong Kong), Singapore, Indonesia (Jakarta), Japan (Tokyo), Germany (Frankfurt), US (Silicon Valley) y US (Virginia).

Procedimiento

1. Acceder a la consola:

   Inicie sesión en la consola de Web Application Firewall 3.0. En la barra de menú superior, seleccione el resource group y la región correspondientes a su instancia de WAF (Chinese Mainland). En el panel de navegación izquierdo, haga clic en Onboarding. Seleccione la pestaña Cloud Native y, en la lista de tipos de productos en la nube situada a la izquierda, seleccione Cloud-native API Gateway.

2. Autorizar el producto en la nube (solo la primera vez):

   Haga clic en Authorize Now para completar la autorización. Se crea el rol vinculado al servicio AliyunServiceRoleForWAF, el cual es visible en la página consola de RAM Identities > Roles.

3. Conectar a la instancia de Cloud-native API Gateway:

   1. Haga clic en Add. La página redirige a la consola de Cloud-Native API Gateway.

   2. En el panel de navegación izquierdo, haga clic en Instance. A continuación, habilite la protección de WAF.

      Habilitar la protección a nivel de instancia

      1. En la página Instance, haga clic en la puerta de enlace objetivo dentro de la columna Instance ID/Name.

      2. En la pestaña Basic Information, dentro del área Network Information, haga clic en Enable para activar la protección de WAF. En el panel que aparece, seleccione Continue to enable instance-level WAF protection (recommended).

      Habilitar la protección a nivel de ruta

      1. En la página Instance, haga clic en API Management en la columna Actions de la puerta de enlace objetivo.

      2. En la página API, haga clic en la API objetivo dentro de la columna API Name. Seleccione la pestaña Policy Configurations.

      3. En el área Inbound Processing, haga clic en Enable Policy/Plug-in. Seleccione la tarjeta WAF Policy.

      4. Haga clic en Enable Route-level WAF Protection (Recommended). En el cuadro de diálogo que aparece, haga clic en OK.

4. Comprobar la protección:

   La integración se ha realizado correctamente cuando el estado de WAF Protection en la página Basic Information de la instancia destino muestra Enabled, o cuando el estado de WAF en la página Policy Configurations de la ruta destino muestra Enabled. Para comprobarlo, introduzca su nombre de dominio con una carga útil de ataque web en un navegador (por ejemplo, <your-domain-name>/alert(xss), donde alert(xss) es una carga de prueba de XSS). Una página de bloqueo 405 confirma que WAF está activo.

Siguientes pasos

Consultar y configurar reglas de protección

Después de la integración, WAF crea un objeto protegido con el sufijo -apig y habilita de forma predeterminada las reglas de Web Core Protection junto con otras reglas de módulos. Consulte estos ajustes en la página Protection Config > Protected Objects. Para personalizar las reglas, consulte Overview of Mitigation Settings.

Reversión (deshabilitar la protección)

• Deshabilitar temporalmente la protección de WAF: Si surgen problemas tras la integración (como falsos positivos), desactive el interruptor WAF Protection Status en la página Protected Objects. One-Click WAF Protection Disable Feature.

• Cancelar la incorporación: Para eliminar la protección de WAF de las instancias de APIG, vaya a la consola de Cloud-Native API Gateway y haga clic en Instance para deshabilitar la protección de WAF.

  Deshabilitar la protección a nivel de instancia

  1. En la página Instance, haga clic en la puerta de enlace objetivo dentro de la columna Instance ID/Name.

  2. En la pestaña Basic Information, dentro del área Network Information, haga clic en Disable para desactivar la protección de WAF. En el panel que aparece, seleccione Continue to disable instance-level WAF protection (not recommended).

  Deshabilitar la protección a nivel de ruta

  1. En la página Instance, haga clic en API Management en la columna Actions de la puerta de enlace objetivo.

  2. En la página API, haga clic en la API objetivo dentro de la columna API Name. Seleccione la pestaña Policy Configurations.

  3. En el área Inbound Processing, haga clic en el icono situado después de Waf y, a continuación, en el cuadro de diálogo emergente haga clic en Delete.

  Importante

  • Tras la desactivación, WAF deja de proteger el tráfico del servicio y los informes de seguridad ya no incluyen datos correspondientes a dicho tráfico.

  • En el caso de instancias de WAF pay-as-you-go, los cargos por procesamiento de solicitudes se detienen tras la desactivación, pero los cargos por funciones de la instancia de WAF y las reglas de protección existentes continúan vigentes. Para detener toda la facturación de WAF, Disable WAF.

Cuotas y límites

• Número de instancias conectadas: No debe exceder el límite correspondiente a su edición de WAF.

  • Instancias de WAF por suscripción: Basic Edition: hasta 300; Pro Edition: hasta 600; Enterprise Edition: hasta 2,500; Ultimate Edition: hasta 10,000.

  • Instancias de WAF pay-as-you-go: hasta 10,000.

• Unsupported features:

  • Webpage tamper protection.
  • Data leakage prevention.
  • Automatic Web SDK integration in bot management web crawler protection scenarios.

¿Cuáles son las diferencias entre la integración nativa en la nube de WAF y la integración CNAME? ¿Pueden utilizarse conjuntamente?

WAF admite dos tipos de integración: integración de productos en la nube e integración CNAME.

• Integración nativa en la nube (este tema): Integra instancias de productos de Alibaba Cloud bajo la cuenta actual.

• Integración CNAME: Integra nombres de dominio. Admite escenarios multicuenta y multinube.

Ambos métodos no pueden utilizarse simultáneamente, ya que cada dominio solo admite uno. Las configuraciones duplicadas generan conflictos en el reenvío de tráfico que invalidan la protección. Overview of Integration.