Web Application Firewall:Configurer des règles spécifiques au scénario pour les applications

Fonctionnement

Lorsqu'une requête correspond aux caractéristiques de trafic configurées, WAF l'évalue selon trois couches de protection : vérification de la signature du SDK, analyse du comportement de l'appareil et limitation du débit. Le SDK Anti-Bot intégré à votre application ajoute une signature à chaque requête, permettant à WAF d'identifier et de traiter le trafic de robot avec plus de précision. Vous pouvez également combiner des algorithmes intelligents aux règles anti-robot configurées pour gérer automatiquement le trafic correspondant.

L'étape de vérification (étape 7) limite la portée de la règle à une seule adresse IP de test. Cela vous permet de confirmer le bon fonctionnement de la règle avant qu'elle ne s'applique à l'ensemble du trafic de production.

Prérequis

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Une instance WAF par abonnement exécutant l'édition Pro, Business ou Enterprise, avec le module Bot Management activé

• Votre site web ajouté à WAF (voir Tutoriel)

• Le SDK Anti-Bot intégré aux applications que vous souhaitez protéger (voir Intégrer le SDK Anti-Bot dans les applications)

Créer une règle anti-robot pour les applications

L'assistant de configuration comporte quatre étapes : définir le scénario, configurer les règles de protection, vérifier la règle et publier.

1. Connectez-vous à la console WAF. Dans la barre de navigation supérieure, sélectionnez le groupe de ressources et la région où votre instance WAF est déployée (Chinese Mainland ou Outside Chinese Mainland).

2. Dans le volet de navigation de gauche, choisissez Protection Configurations > Website Protection.

3. En haut de la page Website Protection, sélectionnez le nom de domaine à protéger dans la liste déroulante Switch Domain Name.

4. Dans l'onglet Bot Management, lancez l'assistant de règles :

   • Première règle : Cliquez sur Start dans la section Scenario-specific Configuration.

   • Règles supplémentaires : Cliquez sur Add dans le coin supérieur droit.

   Chaque nom de domaine prend en charge jusqu'à 50 règles anti-robot.

5. À l'étape Configure Scenarios, définissez les paramètres du scénario et cliquez sur Next.

   Paramètre	Description
   Scenario	Type de flux métier à protéger, tel que la connexion, l'inscription ou la passation de commande.
   Service Type	Sélectionnez Apps pour protéger les applications iOS et Android natives. Pour les applications HTML5, sélectionnez plutôt Websites.
   Traffic characteristics	Conditions de correspondance identifiant le trafic destiné à vos applications. Chaque condition spécifie un champ de correspondance (un champ d'en-tête de requête HTTP), un opérateur logique et le contenu de la correspondance. Vous pouvez ajouter jusqu'à cinq conditions. Si vous saisissez une adresse IP comme contenu de correspondance, appuyez sur Entrée pour confirmer. Pour connaître les champs disponibles, consultez Champs dans les conditions de correspondance.

6. À l'étape Configure Protection Rules, configurez les règles anti-robot et cliquez sur Next.

   Paramètre	Description
   Check Invalid App Signature	Toujours activé. WAF détecte les requêtes comportant des signatures SDK invalides ou manquantes. Définissez Action sur Monitor (journalisation uniquement) ou Block (rejet de la requête).
   Check Abnormal Device Behavior	Lorsqu'elle est activée, cette option signale les requêtes provenant d'appareils présentant des caractéristiques suspectes : Use Simulators, Use Proxies, Use Rooted Device, Debugging Mode, Hooking ou Multiboxing (exécution simultanée de plusieurs instances d'une application protégée). Définissez Action sur Monitor ou Block.
   Action	S'applique à la fois à Check Invalid App Signature et à Check Abnormal Device Behavior. Monitor journalise les requêtes correspondantes sans les bloquer. Block rejette les requêtes correspondantes.
   IP Address Throttling	Lorsqu'elle est activée, cette option surveille le taux de requêtes par adresse IP. Si les requêtes provenant d'une adresse IP dépassent le seuil dans la fenêtre de temps spécifiée, WAF applique l'action Monitor ou Block aux requêtes suivantes provenant de cette adresse IP pendant la durée configurée. Vous pouvez définir jusqu'à trois conditions. Pour plus de détails, consultez Configurer une politique de protection personnalisée.
   Device Throttling	Lorsqu'elle est activée, cette option surveille le taux de requêtes par appareil. Si les requêtes provenant du même appareil dépassent le seuil dans la fenêtre de temps spécifiée, WAF applique l'action Monitor ou Block pendant la durée configurée. Vous pouvez définir jusqu'à trois conditions.
   Custom Session-based Throttling	Lorsqu'elle est activée, cette option surveille le taux de requêtes par session. Si les requêtes provenant de la même session dépassent le seuil dans la fenêtre de temps spécifiée, WAF applique l'action Monitor ou Block pendant la durée configurée. Vous pouvez définir jusqu'à trois conditions. Pour plus de détails, consultez Configurer une politique de protection personnalisée.

7. À l'étape Verify Actions, testez la règle avant de la publier. Cette étape limite l'application de la règle à un seul appareil de test afin de ne pas affecter votre trafic de production. Effectuez les trois sous-étapes suivantes. Une fois le test terminé, cliquez sur I Have Completed Test pour continuer. Si le résultat révèle des problèmes, cliquez sur Go Back pour ajuster la règle et recommencer le test. Pour ignorer cette étape, cliquez sur Skip dans le coin inférieur gauche.

   1. Enter a public IP address : Saisissez l'adresse IP publique de votre appareil de test (par exemple, un téléphone mobile). Pendant le test, la règle s'applique uniquement aux requêtes provenant de cette adresse IP. > Tip: Pour trouver votre adresse IP publique, cliquez sur Alibaba Network Diagnose Tool et recherchez Local IP, ou cherchez votre adresse IP dans un navigateur.

   2. Vérifier la signature du SDK : Cliquez sur Start Test pour confirmer que le SDK Anti-Bot est correctement intégré et génère des signatures valides. > Note: Le SDK Anti-Bot doit être installé sur l'appareil de test. Sinon, la vérification de la signature échoue et le test ne peut pas aboutir.

   3. Sélectionner une action : Vérifiez si l'action Block est effective. Après avoir cliqué sur Start Test, WAF transmet immédiatement la règle à votre appareil de test et affiche la procédure de test attendue ainsi que le résultat. Suivez les instructions à l'écran pour vérifier que l'action Block fonctionne correctement.

8. À l'étape Preview and Publish Protection Rules, examinez la règle et cliquez sur Publish. La règle prend effet immédiatement.

   Si c'est la première règle anti-robot que vous publiez pour ce domaine, l'ID de règle n'est affiché qu'après la publication. Retrouvez l'ID de règle dans l'onglet Bot Management de la page Security Report. Utilisez l'ID de règle pour filtrer les requêtes correspondantes dans Log Service pour WAF.

FAQ