Konfigurasikan plugin waf - API Gateway - Alibaba Cloud Documentation Center

Plugin WAF menggunakan mesin aturan berbasis ModSecurity untuk memblokir permintaan yang mencurigakan. Plugin ini mendukung OWASP ModSecurity Core Rule Set (CRS) guna memberikan perlindungan dasar bagi situs web.

Catatan

Plugin WAF menggunakan aturan ModSecurity sumber terbuka. Aturan default bersifat statis dan tidak dapat mengidentifikasi risiko keamanan terbaru atau memperbarui kumpulan aturan secara real time. Untuk perlindungan yang lebih kuat, aktifkan Web Application Firewall (WAF) untuk instans Cloud-native API Gateway. Untuk informasi selengkapnya, lihat Enable WAF.

Jenis plugin

Perlindungan keamanan.

Bidang

Field	Tipe data	Wajib	Nilai default	Deskripsi
useCRS	bool	Tidak	false	Menentukan apakah OWASP CRS diaktifkan. Untuk detailnya, lihat coreruleset.
secRules	array of string	Tidak	-	Aturan perlindungan kustom untuk plugin waf. Untuk detail sintaksis, lihat ModSecurity documentation.

Contoh konfigurasi

Gunakan aturan default

Aktifkan aturan default untuk memblokir permintaan yang mencurigakan:

useCRS: true

Aktifkan aturan default dalam mode deteksi saja tanpa memblokir permintaan:

useCRS: true
secRules:
  - "SecRuleEngine DetectionOnly"

Gunakan aturan perlindungan kustom

useCRS: true
secRules: 
  - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  - "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""

Aturan di atas memblokir permintaan berikut:

curl http://example.com/admin
curl http://example.com -d "maliciouspayload"

Aktifkan aturan perlindungan untuk entri rute atau nama domain tertentu

useCRS: true
secRules: 
  - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  - "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""

Terapkan konfigurasi plugin berikut ke entri rute route-1:

secRules:
  - "SecAction \"id:102,phase:1,deny\""

Terapkan konfigurasi plugin berikut ke Nama domain *.example.com dan test.com:

secRules:
  - "SecAction \"id:102,phase:1,pass\""

Catatan

Entri rute route-1 didefinisikan saat entri rute Cloud-native API Gateway dibuat. Jika permintaan klien sesuai dengan entri rute ini, aturan tingkat rute akan berlaku.
Nama domain *.example.com dan test.com dicocokkan dengan Nama domain dalam permintaan. Jika permintaan klien sesuai dengan salah satu Nama domain tersebut, aturan tingkat domain akan berlaku.
Aturan diterapkan sesuai urutan konfigurasinya. Begitu suatu aturan cocok, aturan berikutnya dilewati.