Web Application Firewall:Configurer une stratégie de protection personnalisée

Contexte

Limites

Le nombre et les spécifications des règles personnalisées configurables dépendent de l'édition de votre instance Web Application Firewall (WAF) sous abonnement.

Prérequis

• Vous avez activé une instance Web Application Firewall.

• Votre site web a été ajouté à WAF. Pour plus d'informations, consultez la section Tutoriels.

Procédure

1. Connectez-vous à la console Web Application Firewall.

2. Dans la barre de menu supérieure, sélectionnez le groupe de ressources et la région de votre instance Web Application Firewall (Chinese Mainland ou Outside Chinese Mainland).

3. Dans le volet de navigation de gauche, choisissez Protection Config > Website Protection.

4. Sur la page Website Protection, basculez vers le nom de domaine à configurer.

5. Cliquez sur l'onglet Access Control/Throttling, localisez la section Custom Protection Policy, activez l'interrupteur Status, puis cliquez sur Configure Now.

   Remarque

   Une fois la stratégie de protection personnalisée activée, celle-ci inspecte par défaut toutes les requêtes adressées à votre site web. Configurez une liste d'autorisation pour le contrôle d'accès et la limitation du débit afin d'autoriser certaines requêtes à contourner cette inspection. Pour plus d'informations, consultez la section Configurer une liste d'autorisation pour le contrôle d'accès et la limitation du débit.

6. Créez une règle personnalisée.

   1. Sur la page Custom Protection Policy, cliquez sur Create.

   2. Dans la boîte de dialogue Create Rule, configurez les paramètres suivants : Rule Name, Match Conditions (définissez le champ de correspondance, l'opérateur logique et le contenu de correspondance. Un opérateur AND combine jusqu'à cinq conditions.), Rate Limiting (activez cette fonctionnalité via l'interrupteur. La limitation du débit se déclenche lorsqu'une condition précise est remplie.), Action (par exemple Monitor) et Protection Type (HTTP Flood Protection ou ACL).

      Paramètre	Description
      Rule Name	Spécifiez un nom pour la règle.
      Match Condition	Définissez la logique de détection de la règle. Seules les requêtes satisfaisant aux conditions de correspondance déclenchent la règle. Cliquez sur Add Condition pour définir jusqu'à cinq conditions. Si plusieurs conditions sont spécifiées, elles doivent toutes être remplies pour qu'une requête soit considérée comme une correspondance. Pour plus d'informations sur les champs, consultez la section Champs de condition de correspondance.
      Rate Limiting	Active ou désactive la limitation du débit. Le contrôle du débit s'effectue après qu'une requête a satisfait aux conditions de correspondance. Si vous activez cette fonctionnalité, vous devez configurer les paramètres de limitation du débit. Le panneau Rate Limiting comprend les paramètres suivants : Statistical Object (par exemple IP), Interval (Seconds), Threshold (Times), Status Code (facultatif, définissable par quantité ou par pourcentage), Effective Scope (étendue de correspondance de la fonctionnalité actuelle ou étendue du domaine de la règle actuelle), Action (par exemple Monitor), Timeout (Seconds) et Protection Type (protection contre les attaques HTTP flood ou ACL). Pour plus d'informations, consultez la section Paramètres de limitation du débit.
      Action	Spécifie l'action à entreprendre sur les requêtes qui déclenchent la règle. Valeurs valides : Monitor : enregistre l'alerte mais autorise la requête. Block : bloque la requête. Run Slider CAPTCHA : redirige la requête vers une page de vérification CAPTCHA. Run Strict Slider CAPTCHA : redirige la requête vers une page de vérification CAPTCHA stricte. Run JavaScript Validation : déclenche la validation JavaScript. Si vous activez Rate Limiting, vous devez également spécifier la Timeout Period (Seconds), qui correspond à la durée pendant laquelle l'action reste en vigueur. Remarque Étant donné que WAF agrège les données de plusieurs serveurs d'un cluster pour calculer le taux de requêtes, un léger retard peut survenir lors du processus statistique. Par conséquent, l'action peut prendre effet avec une courte latence. Les actions de validation JS et CAPTCHA dans une stratégie de protection personnalisée s'appliquent uniquement aux pages statiques. Pour prendre en charge les requêtes asynchrones, telles que celles initiées par XMLHttpRequest ou Fetch, activez la validation JS et CAPTCHA dans le module Bot Management. Pour plus d'informations, consultez la section Configurer des règles de protection contre les bots spécifiques au scénario pour les navigateurs web.
      Protection Type	Le type de règle personnalisée. Ce paramètre est défini automatiquement selon l'activation ou non de Rate Limiting. Si la limitation du débit est activée, la valeur est HTTP Flood Protection. Si la limitation du débit est désactivée, la valeur est ACL.

      Le tableau suivant décrit les paramètres de limitation du débit.

      Paramètre	Description
      Statistical Object	La base de comptage des requêtes. Valeurs valides : IP : compte les requêtes provenant d'une seule adresse IP source. Si vous utilisez un enregistrement CNAME pour ajouter votre service à WAF et qu'un proxy de couche 7 tel qu'un CDN est déployé devant WAF, vous devez activer l'option « Un proxy de couche 7 (tel qu'Anti-DDoS ou CDN) est-il déployé devant WAF ? ». Sinon, WAF ne peut pas obtenir les adresses IP réelles des clients. Session : compte les requêtes provenant d'une seule session. Custom Header : compte les requêtes ayant le même contenu d'en-tête personnalisé. Custom Parameters : compte les requêtes ayant le même contenu de paramètre personnalisé. Custom Cookie : compte les requêtes ayant le même contenu de cookie personnalisé.
      Interval (Seconds)	L'intervalle de temps en secondes pour le comptage des requêtes.
      Threshold (Occurrences)	Le nombre maximal de requêtes autorisées provenant d'un objet statistique dans l'intervalle spécifié. Si le nombre de requêtes dépasse ce seuil, la limitation du débit est déclenchée.
      Status Code	Ce contrôle s'effectue après la logique de détection principale. Il valide le nombre ou le pourcentage d'un Status Code spécifique dans les réponses durant l'intervalle. Vous pouvez définir la limite par quantité ou par pourcentage. Quantity : le nombre maximal de fois où le code d'état spécifié est autorisé. Percentage (%) : le pourcentage maximal de réponses pouvant avoir le code d'état spécifié.
      Effective Scope	L'étendue dans laquelle le contrôle de limitation du débit est effectif. Valeurs valides : Feature Matching Objects : ne compte que les requêtes satisfaisant à la Match Condition de la règle actuelle. Applied Domain Names : compte toutes les requêtes adressées au nom de domaine actuel.

   3. Cliquez sur Save.

   Après l'ajout réussi d'une règle de stratégie de protection personnalisée, celle-ci est activée par défaut. Vous pouvez afficher la nouvelle règle dans la liste des règles et la désactiver, la modifier ou la supprimer selon vos besoins.

FAQ

Opérations connexes

Après avoir configuré une stratégie de protection, vous pouvez configurer des alertes avec CloudMonitor ou Log Service. WAF peut alors envoyer des notifications lorsque le trafic du site web correspond à une règle de protection, vous tenant ainsi informé de l'état de sécurité de vos services. Pour plus d'informations, consultez la section Configurer des alertes.