Web Application Firewall:WAF tutorial

Méthodes d'intégration

WAF prend en charge deux méthodes d'intégration : l'enregistrement CNAME et le mode proxy transparent. Par défaut, WAF prend en charge les protocoles HTTP/1,0, HTTP/1,1 et HTTP/2,0. Choisissez la méthode d'intégration adaptée à vos besoins métier.

Intégration via enregistrement CNAME

1. Accédez à la page Ajouter un nom de domaine.

2. Ajoutez un nom de domaine. Fournissez à WAF les informations relatives au site web, telles que le nom de domaine et les paramètres de retour vers l'origine.

   Paramètre	Description
   Domain Name	Saisissez le nom de domaine du site web que vous souhaitez protéger.
   Protection Resource	Sélectionnez le type de ressource de protection selon vos besoins.
   Protocol Type	Sélectionnez les types de protocoles pris en charge par votre site web. Vous pouvez activer les options Enable HTTPS Routing, Enable HTTP Back-to-Origin et Enable Origin SNI.
   Adresse du serveur d'origine	Spécifiez l'adresse du serveur d'origine vers lequel WAF transfère les requêtes. Les types d'adresses suivants sont pris en charge : Adresse IP : adresse IP publique d'une instance SLB, d'une instance ECS ou d'un serveur situé dans un centre de données externe. Nom de domaine (tel qu'un CNAME) : domaine de retour vers l'origine différent du domaine protégé. Seules les adresses IPv4 sont prises en charge pour le trafic de retour vers l'origine.
   Port du serveur d'origine	Selon le Protocol Type sélectionné, configurez le port utilisé par le serveur d'origine pour fournir ses services. Important Si le serveur d'origine utilise un port autre que le port HTTP 80 ou le port HTTPS 443, vous pouvez spécifier un port serveur personnalisé parmi la plage de ports prise en charge par WAF. Pour plus d'informations, consultez la section Ports pris en charge par WAF.
   Load Balancing Algorithm	Si vous spécifiez plusieurs adresses de serveur d'origine, sélectionnez un algorithme d'équilibrage de charge pour ces serveurs.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Indiquez si un autre service de proxy de couche 7, tel qu'Anti-DDoS Proxy ou CDN, est déployé devant WAF.
   Enable Traffic Mark	Spécifiez si vous souhaitez activer la fonctionnalité de marquage du trafic.
   Back-to-origin Timeout Configuration	Si votre serveur d'origine a un temps de traitement long susceptible de provoquer des délais d'attente, vous pouvez configurer les délais d'attente de connexion et de lecture/écriture pour WAF.
   Retry Back-to-origin Requests	Lorsqu'une requête de retour vers l'origine échoue, WAF réessaie la requête jusqu'à trois fois par serveur d'origine par défaut. Si vous désactivez cette fonctionnalité, WAF ne réessaie pas les requêtes ayant échoué.
   Back-to-origin Keep-alive Requests	Configurez les connexions persistantes entre WAF et votre serveur d'origine.

   Pour plus d'informations, consultez la section Ajouter un nom de domaine.

3. Vérifiez localement vos paramètres de domaine dans WAF. Cette étape permet d'éviter les interruptions de service en s'assurant que vos paramètres de transfert sont corrects avant de modifier l'enregistrement DNS du domaine. Pour plus d'informations, consultez la section Vérification locale.

4. Modifiez l'enregistrement DNS du domaine pour diriger le trafic du site web vers WAF.

   Les étapes suivantes illustrent la modification d'un enregistrement DNS en utilisant Alibaba Cloud DNS à titre d'exemple.

   1. Obtenez le CNAME ou l'adresse IP depuis WAF. Pour plus d'informations, consultez la section Obtenir le CNAME de WAF.

   2. Accédez à la page Domaines de la console Alibaba Cloud DNS. Recherchez le nom de domaine que vous souhaitez gérer, cliquez sur Resource Group dans la colonne Settings, puis remplacez la valeur de l'enregistrement CNAME par le CNAME fourni par WAF.

   Pour plus d'informations, consultez la section Modifier l'enregistrement DNS d'un nom de domaine.

5. Vérifiez que la protection WAF est effective.

   1. Dans un navigateur web, saisissez le nom de domaine que vous avez ajouté. Si le site web se charge correctement, le domaine a été ajouté avec succès.

      Remarque

      Accédez à votre site web via son nom de domaine, et non via le CNAME fourni par WAF. Le CNAME sert uniquement à la résolution DNS et ne peut pas être accédé directement.

   2. Dans un navigateur web, saisissez le nom de domaine que vous avez ajouté suivi d'un code d'attaque web, par exemple <nom de domaine protégé>/alert(xss), où alert(xss) est un code de test pour une attaque de type cross-site scripting (XSS). Si une page de blocage 405 s'affiche, WAF a intercepté l'attaque avec succès.

Intégration en mode proxy transparent

1. Accédez à la page Ajouter un nom de domaine de la console Web Application Firewall et définissez le paramètre Actions sur Access Mode.

2. Ajoutez un nom de domaine.

   Paramètre	Description
   Transparent Proxy	Saisissez le nom de domaine du site web.
   Instance et port	Sélectionnez un type d'instance et ajoutez les ports de l'instance correspondante. WAF prend en charge l'activation du mode proxy transparent pour les ports du serveur d'origine des types d'instances suivants : Domain Name, SLB-based Domains, Layer 7 SLB-based Domains et Layer 4 SLB-based Domains.
   ECS-based Domains	Indiquez si un autre service de proxy de couche 7, tel qu'Anti-DDoS Proxy ou CDN, est déployé devant WAF.
   Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Spécifiez si vous souhaitez activer la fonctionnalité de marquage du trafic.

   Pour plus d'informations, consultez la section Mode proxy transparent.

3. Vérifiez que la protection WAF est effective.

   1. Dans un navigateur web, saisissez le nom de domaine que vous avez ajouté. Si le site web se charge correctement, le domaine a été ajouté avec succès.

      Remarque

      Accédez à votre site web via son nom de domaine, et non via le CNAME fourni par WAF. Le CNAME sert uniquement à la résolution DNS et ne peut pas être accédé directement.

   2. Dans un navigateur web, saisissez le nom de domaine que vous avez ajouté suivi d'un code d'attaque web, par exemple <nom de domaine protégé>/alert(xss), où alert(xss) est un code de test pour une attaque de type cross-site scripting (XSS). Si une page de blocage 405 s'affiche, WAF a intercepté l'attaque avec succès.

Intégrer WAF avec d'autres services cloud

Outre l'ajout direct d'un site web à WAF, vous pouvez intégrer WAF à d'autres services Alibaba Cloud, tels qu'Anti-DDoS Proxy et CDN, afin de mettre en place une architecture de sécurité complète.

• Améliorer la protection des sites web en déployant conjointement Anti-DDoS Proxy et WAF : pour protéger votre site web contre les attaques d'applications web et les attaques DDoS, vous pouvez déployer Anti-DDoS Proxy et WAF devant votre serveur d'origine.

• Utiliser WAF et CDN pour protéger les domaines accélérés : pour défendre votre site web contre les attaques d'applications web tout en utilisant CDN pour l'accélération du contenu, vous pouvez déployer CDN et WAF devant votre serveur d'origine.

Étapes suivantes

Après avoir ajouté votre site web à WAF, son trafic est acheminé via WAF pour être protégé. WAF propose plusieurs modules de détection pour défendre votre site web contre diverses menaces de sécurité. Par défaut, le module Enable Traffic Mark situé sous Resource Group et le module Protection Rules Engine situé sous Web Security sont activés. Ils protègent contre les attaques courantes d'applications web, telles que l'injection SQL, les attaques XSS et le téléchargement de webshells, ainsi que contre les attaques HTTP flood. Vous devez activer manuellement les autres modules de protection et configurer des règles de protection spécifiques. Pour plus d'informations, consultez la section Présentation des configurations de protection des sites web.