Web Application Firewall:Configurer la protection anti-bots spécifique au scénario pour les sites web

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Une instance WAF sous abonnement exécutant l'édition Pro, Business ou Enterprise (le module Bot Management doit être activé)

• Avoir ajouté votre site web à WAF. Pour plus d'informations, consultez les Tutoriels

Créer une règle anti-robot

Le processus de configuration comprend quatre étapes : configurer les scénarios, définir les règles de protection, vérifier les actions (facultatif) et publier.

1. Connectez-vous à la console WAF.

2. Dans la barre de navigation supérieure, sélectionnez le groupe de ressources et la région de votre instance WAF. La région peut être Chinese Mainland ou Outside Chinese Mainland.

3. Dans le volet de navigation de gauche, choisissez Protection Settings > Website Protection.

4. En haut de la page Website Protection, sélectionnez le nom de domaine que vous souhaitez protéger.

   

5. Accédez à l'onglet Bot Management.

   • Première configuration : Dans la section Scenario-specific Configuration, cliquez sur Start.

   • Ajout d'une autre règle : Cliquez sur Add dans le coin supérieur droit.

   Chaque nom de domaine prend en charge jusqu'à 50 règles anti-robots.

6. À l'étape Configure Scenarios, définissez les informations de base et cliquez sur Next.

   Paramètre	Description
   Scénario	Le scénario de service à protéger, tel que la connexion, l'inscription ou la passation de commande
   Type de service	Sélectionnez Websites pour protéger les pages web, les pages HTML5 et les applications HTML5. Si le domaine est accessible via un autre nom de domaine, sélectionnez Use Intermediate Domain Name et choisissez le nom de domaine intermédiaire dans la liste déroulante
   Caractéristiques du trafic	Ajoutez jusqu'à cinq conditions de correspondance pour identifier le trafic cible. Chaque condition se compose d'un champ de correspondance (un champ d'en-tête de requête HTTP), d'un opérateur logique et d'un contenu de correspondance. Après avoir saisi une adresse IP, appuyez sur Entrée pour confirmer. Pour la liste complète des champs de correspondance, consultez la rubrique Champs dans les conditions de correspondance

7. À l'étape Configure Protection Rules, activez les options de protection nécessaires et cliquez sur Next.

   Option	Fonction
   Script-based Bot Block	Exécute un défi JavaScript sur les clients. Les requêtes provenant d'outils non navigateurs incapables d'exécuter JavaScript sont bloquées, ce qui permet de stopper les attaques simples basées sur des scripts
   Dynamic Token Challenge	Désactivé par défaut. Lorsqu'elle est activée, cette option permet à WAF de vérifier une signature sur chaque requête et de bloquer les requêtes qui échouent. L'option Signature Verification Exception est sélectionnée par défaut et ne peut pas être désélectionnée. Vous pouvez éventuellement activer l'option Signature Timestamp Exception et la détection des attaques WebDriver
   Intelligent Protection	Utilise l'apprentissage automatique pour analyser le trafic d'accès et générer une liste de blocage ou une règle de protection. Définissez le Protection Mode sur Monitor (journaliser le trafic correspondant sans le bloquer) ou Slider CAPTCHA (exiger un CAPTCHA à curseur avant d'accorder l'accès)
   Bot Threat Intelligence Feed	Vérifie les adresses IP des clients par rapport à la bibliothèque de renseignements sur les menaces d'Alibaba Cloud. Les clients identifiés comme des robots d'exploration fréquents doivent passer la vérification par CAPTCHA à curseur
   Data Center Blacklist	Bloque les requêtes provenant d'adresses IP malveillantes connues appartenant aux centres de données d'Alibaba Cloud et d'autres fournisseurs de cloud grand public. Sélectionnez les bibliothèques à appliquer dans la liste déroulante.
   Limitation du débit par adresse IP	Limite le taux de requêtes par adresse IP pour atténuer les attaques HTTP flood. Si le nombre de requêtes provenant de la même adresse IP dans la fenêtre temporelle configurée dépasse le seuil, WAF applique l'action sélectionnée (Surveiller, Bloquer ou Captcha) pendant la durée configurée. Prend en charge jusqu'à trois conditions de limitation. Pour les détails de configuration, consultez la rubrique Créer une stratégie de protection personnalisée
   Limitation du débit par session personnalisée	Limite le taux de requêtes par session. Si le nombre de requêtes provenant de la même session dans la fenêtre temporelle configurée dépasse le seuil, WAF applique l'action sélectionnée (Surveiller, Bloquer ou Captcha) pendant la durée configurée. Pour les détails de configuration, consultez la rubrique Créer une stratégie de protection personnalisée

8. (Facultatif) À l'étape Verify Actions, testez votre règle avant qu'elle n'entre en vigueur. Ignorez cette étape en cliquant sur Skip dans le coin inférieur gauche. S'il s'agit de votre première création de règle anti-robot, effectuez cette étape pour détecter les faux positifs dus à une mauvaise configuration ou à des problèmes de compatibilité avant la publication. Étape 1 : Saisir une adresse IP publique Saisissez l'adresse IP publique de votre appareil de test (ordinateur ou téléphone mobile). Le test s'applique uniquement aux requêtes provenant de cette adresse IP et n'affecte pas le trafic en production. Étape 2 : Sélectionner une action à tester Choisissez une action à valider : JavaScript Validation, Dynamic Token-based Authentication, Slider CAPTCHA Verification ou Block Verification. Après avoir cliqué sur Start Test, WAF transmet immédiatement la règle de test à votre appareil et affiche la procédure de test, le résultat attendu et une démonstration. Lisez attentivement ces informations avant de tester. Une fois le test terminé, cliquez sur I Have Completed Test pour continuer. Si le résultat indique des exceptions, cliquez sur Go Back pour ajuster la règle et recommencer le test. Pour les erreurs de test courantes et leurs solutions, consultez la section Résoudre les erreurs de test.

   Important

   N'utilisez pas l'adresse IP renvoyée par la commande ipconfig ; celle-ci retourne une adresse IP interne. Pour obtenir votre adresse IP publique, cliquez sur l'Outil de diagnostic réseau Alibaba et recherchez la valeur Local IP. Vous pouvez également rechercher votre adresse IP depuis un navigateur.

9. À l'étape Preview and Publish Protection Rules, examinez la règle et cliquez sur Publish. La règle prend effet immédiatement après la publication.

   S'il s'agit de votre première règle anti-robot, l'ID de règle n'est affiché qu'après la publication. Vous le trouverez dans l'onglet Bot Management de la page Security Report. Utilisez l'ID de règle pour filtrer les requêtes correspondantes dans Log Service for WAF.

Résoudre les erreurs de test

Aucune requête de test valide n'est détectée

La cause la plus fréquente est que le trafic de test n'atteint pas WAF. Vérifiez que la requête est envoyée à l'adresse IP qui mappe le CNAME fourni par WAF et que les champs d'en-tête de la requête correspondent aux paramètres Traffic Characteristics de votre règle. Si l'adresse IP source de votre appareil de test ne correspond pas à celle saisie à l'étape 1, utilisez l'Outil de diagnostic réseau Alibaba pour obtenir votre adresse IP publique actuelle.

Échec de la vérification des requêtes de test

Cela signifie généralement que le test n'a pas simulé un accès utilisateur réel. Les outils d'automatisation et les modes de débogage contournent les signaux basés sur le navigateur que WAF vérifie. Utilisez une session de navigateur réelle sur l'appareil de test. Vérifiez également que le Service type est correctement défini : sélectionnez Websites pour les pages web, et non l'option application. Si vous utilisez un nom de domaine intermédiaire, confirmez que le bon nom est sélectionné.

Aucune vérification n'a été déclenchée

Les règles de test peuvent nécessiter plusieurs tentatives pour être générées. Exécutez le test plusieurs fois jusqu'à ce que la règle soit transmise à votre appareil.

Problèmes de compatibilité frontend

Contactez le service client dans le groupe DingTalk ou soumettez un ticket.

Étapes suivantes

Ouvrez l'onglet Bot Management sur la page Security Report pour consulter les résultats de protection et inspecter les requêtes ayant correspondu à la règle. Utilisez l'ID de règle pour interroger les journaux détaillés dans Log Service for WAF.