Anda dapat mengonfigurasi modul manajemen bot untuk membuat aturan anti-perayap guna melindungi situs web, halaman HTML5, serta aplikasi iOS dan Android asli.
Prasyarat
Web Application Firewall (WAF) telah diaktifkan. Untuk informasi lebih lanjut, lihat Memulai dengan WAF (edisi baru).
Nama domain yang ingin dilindungi telah ditambahkan ke WAF. Untuk informasi lebih lanjut, lihat Langkah 2: Tambahkan nama domain untuk perlindungan.
Anti-Bot SDK telah diintegrasikan ke dalam aplikasi iOS atau Android asli yang ingin dilindungi sebelum mengonfigurasi aturan anti-perayap. Aplikasi HTML5 bukanlah aplikasi iOS atau Android asli. Untuk informasi lebih lanjut, lihat Mengintegrasikan Anti-Bot SDK ke dalam aplikasi Android atau Mengintegrasikan Anti-Bot SDK ke dalam aplikasi iOS.
Konfigurasikan aturan anti-perayap untuk situs web
Jika halaman web, halaman HTML5, atau aplikasi HTML5 Anda dapat diakses melalui browser, Anda dapat mengonfigurasi aturan anti-perayap untuk situs web guna melindungi layanan Anda dari perayap jahat.
Masuk ke Konsol DCDN.
Di panel navigasi sisi kiri, pilih .
Di halaman Protection Policies, klik Create Policy.
Di halaman Create Policy, konfigurasikan parameter berikut. Penjelasan parameter tersedia pada tabel di bawah ini.
Integrasi Otomatis (Direkomendasikan)
WAF menyediakan Web SDK untuk JavaScript untuk meningkatkan performa perlindungan dan mencegah masalah ketidakcocokan.
Jika Anda mengaktifkan integrasi otomatis, WAF secara otomatis merujuk SDK pada halaman HTML situs web yang ingin Anda lindungi. Kemudian, SDK mengumpulkan informasi seperti informasi browser, tanda tangan probe, dan perilaku jahat. Informasi sensitif tidak dikumpulkan. WAF mendeteksi dan memblokir perayap jahat berdasarkan informasi yang dikumpulkan.
Integrasi Manual
Jika integrasi otomatis tidak didukung, Anda dapat menggunakan integrasi manual.
Pemantauan: Aturan anti-perayap mengizinkan trafik yang sesuai dengan aturan dan mencatat trafik tersebut dalam laporan keamanan.
CAPTCHA Geser: Klien harus melewati verifikasi CAPTCHA geser sebelum klien dapat mengakses situs web yang dilindungi oleh WAF.
Add and replace the original associated policy: lepaskan kebijakan terkait dan ganti dengan kebijakan saat ini.
Add and keep the original associated policy: tambahkan kebijakan saat ini dan pertahankan kebijakan terkait.
Anda hanya dapat mengasosiasikan nama domain yang dilindungi dengan satu kebijakan perlindungan dengan tipe kebijakan yang sama.
Jika nama domain terasosiasi dengan kebijakan perlindungan lain dengan tipe yang sama, nama domain akan terasosiasi dengan kebijakan saat ini setelah Anda mengonfigurasi kebijakan saat ini untuk nama domain tersebut.
Anda tidak dapat mengonfigurasi perlindungan bot untuk nama domain yang dipercepat DCDN dengan WebSocket diaktifkan. Konten WebSocket dienkripsi, sehingga karakteristik serangan tidak dapat dideteksi. Untuk informasi lebih lanjut tentang cara mengonfigurasi WebSocket, lihat Konfigurasikan WebSocket.
Klik Create Policy.
Secara default, kebijakan perlindungan yang dibuat akan diaktifkan.
Bagian | Parameter | Deskripsi |
Policy Information | Policy Type | Pilih Bot Management. |
Policy Name | Nama kebijakan perlindungan. Nama dapat memiliki panjang hingga 64 karakter dan dapat berisi huruf, angka, serta garis bawah (_). | |
Global Configurations | Service Type | Pilih Websites. Dengan cara ini, WAF melindungi halaman web, halaman HTML5, dan aplikasi HTML5. |
Web SDK Integration | Untuk informasi lebih lanjut, lihat Mengintegrasikan Web SDK ke dalam aplikasi web. | |
Traffic Characteristics | Anda dapat menambahkan kondisi pencocokan untuk mengidentifikasi trafik yang ditujukan ke nama domain situs web yang ingin Anda lindungi. Untuk menambahkan kondisi, Anda harus menentukan bidang pencocokan, operator logika, dan konten pencocokan. Bidang pencocokan adalah bidang header permintaan HTTP. Untuk informasi lebih lanjut tentang bidang pencocokan, lihat Kondisi Pencocokan. | |
Legitimate Bot Management | Spider Whitelist | Setelah Anda mengaktifkan fitur ini, pustaka perayap diperbarui secara dinamis dan berisi alamat IP perayap mesin pencari utama, termasuk Google, Baidu, Sogou, 360, Bing, dan Yandex. Setelah Anda memilih mesin pencari, permintaan yang dikirim dari alamat IP perayap mesin pencari dikirim ke server asal. Kemudian, modul manajemen bot tidak lagi memeriksa permintaan tersebut. |
Bot Characteristic Detection | Script-based Bot Block (JavaScript) | Setelah Anda mengaktifkan fitur ini, WAF melakukan validasi JavaScript pada klien. Untuk mencegah serangan skrip sederhana, trafik dari alat non-browser yang tidak dapat menjalankan JavaScript diblokir. |
Advanced Bot Defense (Dynamic Token-based Authentication) | Setelah Anda mengaktifkan fitur ini, WAF memverifikasi tanda tangan setiap permintaan. Permintaan yang gagal verifikasi tanda tangan diblokir. Pengecualian Verifikasi Tanda Tangan dipilih secara default dan tidak dapat dihapus. Permintaan yang tidak mengandung tanda tangan atau permintaan yang mengandung tanda tangan tidak valid dideteksi. Anda juga dapat memilih Pengecualian Stempel Waktu Tanda Tangan dan Serangan WebDriver. | |
Bot Behavior Detection | AI Intelligent Protection | Setelah Anda mengaktifkan fitur ini, mesin perlindungan cerdas menganalisis trafik akses dan melakukan pembelajaran mesin. Kemudian, daftar hitam atau aturan perlindungan dihasilkan berdasarkan hasil analisis dan pola yang dipelajari. |
Custom Throttling | IP Address Throttling (Default) | Anda dapat mengonfigurasi kondisi pembatasan untuk alamat IP. Jika jumlah permintaan dari alamat IP yang sama dalam nilai yang ditentukan oleh Interval Statistik (Detik) melebihi nilai Ambang Batas (Kali), WAF melakukan tindakan yang ditentukan pada permintaan berikutnya. Tindakan dapat ditentukan dengan memilih CAPTCHA Geser, Blokir, atau Pemantauan dari daftar drop-down Tindakan. Anda juga dapat mengonfigurasi parameter Interval Pembatasan (Detik), yang menentukan periode selama tindakan yang ditentukan dilakukan. Anda dapat mengonfigurasi hingga tiga kondisi pembatasan. Untuk informasi lebih lanjut, lihat Parameter aturan kustom. |
Custom Session Throttling | Anda dapat mengonfigurasi kondisi pembatasan untuk sesi. Anda dapat mengonfigurasi parameter Tipe Sesi untuk menentukan tipe sesi. Jika jumlah permintaan dari alamat IP yang sama dalam nilai yang ditentukan oleh Interval Statistik (Detik) melebihi nilai Ambang Batas (Kali), WAF melakukan tindakan yang ditentukan pada permintaan berikutnya. Tindakan dapat ditentukan dengan memilih CAPTCHA Geser, Blokir, atau Pemantauan dari daftar drop-down Tindakan. Anda juga dapat mengonfigurasi parameter Interval Pembatasan (Detik), yang menentukan periode selama tindakan yang ditentukan dilakukan. Anda dapat mengonfigurasi hingga tiga kondisi pembatasan. Untuk informasi lebih lanjut, lihat Parameter aturan kustom. | |
Bot Threat Intelligence | Bot Threat Intelligence Library | Pustaka ini berisi alamat IP penyerang yang telah mengirimkan banyak permintaan untuk merayapi konten dari pengguna Alibaba Cloud selama periode waktu tertentu. Anda dapat mengatur mode perlindungan ke Pemantauan atau CAPTCHA Geser. |
Data Center Blacklist | Setelah Anda mengaktifkan fitur ini, alamat IP di pustaka alamat IP pusat data yang dipilih diblokir. Jika Anda menggunakan alamat IP sumber awan publik atau pusat data untuk mengakses situs web yang ingin Anda lindungi, Anda harus menambahkan alamat IP tersebut ke daftar putih. Misalnya, Anda harus menambahkan alamat IP panggil balik Alipay atau WeChat dan alamat IP aplikasi pemantauan ke daftar putih. Daftar hitam pusat data mendukung pustaka alamat IP berikut: Pustaka Alamat IP Pusat Data-Alibaba Cloud, Pustaka Alamat IP Pusat Data-21Vianet, Pustaka Alamat IP Pusat Data-Meituan Open Services, Pustaka Alamat IP Pusat Data-Tencent Cloud, dan Pustaka Alamat IP Pusat Data-Lainnya. Anda dapat mengatur parameter Tindakan ke Pemantauan, CAPTCHA Geser, atau Blokir. | |
Fake Spider Blocking | Setelah Anda mengaktifkan fitur ini, WAF memblokir header User-Agent yang digunakan oleh semua mesin pencari yang ditentukan di bagian Manajemen Bot Sah. Jika alamat IP klien yang mengakses mesin pencari terbukti valid, WAF mengizinkan permintaan dari mesin pencari tersebut. | |
Protected Domain Names | Select Association Mode | |
Protected Domain Names | Nama domain yang ingin Anda asosiasikan dengan kebijakan perlindungan saat ini. Catatan |
Konfigurasikan aturan anti-perayap untuk aplikasi
Anda dapat mengonfigurasi aturan anti-perayap untuk aplikasi iOS atau Android asli guna melindungi layanan Anda dari perayap. Aplikasi HTML5 tidak termasuk dalam kategori aplikasi iOS atau Android asli.
Masuk ke Konsol DCDN.
Di panel navigasi sisi kiri, pilih .
Di halaman Protection Policies, klik Create Policy.
Di halaman Create Policy, konfigurasikan parameter berikut. Penjelasan parameter tersedia pada tabel di bawah ini.
Bagian
Parameter
Deskripsi
Policy Information
Policy Type
Pilih Bot Management.
Policy Name
Nama kebijakan perlindungan. Nama dapat memiliki panjang hingga 64 karakter dan dapat berisi huruf, angka, serta garis bawah (_).
Global Configurations
Service Type
Pilih Aplikasi untuk melindungi aplikasi iOS dan Android asli.
Web SDK Integration
WAF menyediakan Anti-Bot SDK untuk meningkatkan performa perlindungan untuk aplikasi Android dan iOS asli. Setelah Anti-Bot SDK diintegrasikan, Anti-Bot SDK mengumpulkan karakteristik risiko klien dan menghasilkan tanda tangan keamanan dalam permintaan. WAF mengidentifikasi dan memblokir permintaan yang diidentifikasi sebagai tidak aman berdasarkan tanda tangan. Untuk mendapatkan paket SDK, klik Dapatkan dan Salin AppKey dan kemudian ajukan tiket. Untuk informasi lebih lanjut, lihat Mengintegrasikan Anti-Bot SDK ke dalam aplikasi Android atau Mengintegrasikan Anti-Bot SDK ke dalam aplikasi iOS.
Traffic Characteristics
Anda dapat menambahkan kondisi pencocokan untuk mengidentifikasi trafik yang ditujukan ke nama domain situs web yang ingin Anda lindungi. Untuk menambahkan kondisi, Anda harus menentukan bidang pencocokan, operator logika, dan konten pencocokan. Bidang pencocokan adalah bidang header permintaan HTTP. Untuk informasi lebih lanjut tentang bidang pencocokan, lihat Kondisi Pencocokan. Anda dapat menambahkan hingga lima kondisi pencocokan.
Bot Characteristic Detection
Invalid App Signature
Secara default, Tanda Tangan Aplikasi Tidak Valid dipilih dan tidak dapat dihapus. Fitur ini memblokir permintaan yang mencakup tanda tangan tidak valid atau tidak mencakup tanda tangan setelah Anti-Bot SDK diintegrasikan.
Abnormal Device Behavior
Setelah Anda mengaktifkan fitur ini, WAF mendeteksi dan mengontrol permintaan dari perangkat yang memiliki perilaku abnormal. Perilaku berikut dianggap abnormal:
Expired Signature: Tanda tangan kedaluwarsa. Perilaku ini dipilih secara default.
Using Simulator: Simulator ini digunakan.
Using Proxy: Proxy digunakan.
Rooted Device: Perangkat yang telah di-root digunakan.
Debugging Mode: Mode debugging digunakan.
Hooking: Teknik hooking digunakan.
Multiboxing: Beberapa proses aplikasi yang dilindungi berjalan di perangkat pada saat yang sama.
Simulated Execution: Teknik simulasi perilaku pengguna digunakan.
Script Tools: Skrip otomatis digunakan.
Custom Signature Field
Pilih Header, Parameter, atau Cookie dari daftar drop-down Nama Bidang dan masukkan tanda tangan kustom Anda di bidang Nilai.
Jika tanda tangan kustom kosong atau memiliki karakter khusus atau panjangnya melebihi batas, Anda dapat meng-hash tanda tangan atau memproses tanda tangan dengan metode lain dan memasukkan hasil pemrosesan di bidang Nilai.
Action
Pilih Pemantauan atau Blokir berdasarkan kebutuhan bisnis Anda.
Pemantauan: memicu peringatan dan tidak memblokir permintaan.
Blokir: memblokir permintaan.
Secondary Packaging Detection
Permintaan yang dikirim dari aplikasi yang nama paket atau tanda tangannya tidak ada di daftar putih dianggap sebagai permintaan pengemasan sekunder. Anda dapat menentukan paket aplikasi yang valid.
Nama Paket Valid: Masukkan nama paket aplikasi yang valid. Contoh: example.aliyundoc.com.
Tanda Tangan: Hubungi dukungan teknis Alibaba Cloud untuk mendapatkan tanda tangan. Parameter ini opsional jika tanda tangan paket tidak perlu diverifikasi. Dalam hal ini, WAF hanya memverifikasi nama paket.
CatatanNilai Tanda Tangan bukanlah tanda tangan sertifikat aplikasi.
Anda dapat menambahkan hingga lima paket aplikasi iOS atau Android yang valid dan nama paket tersebut harus unik.
Pilih Pemantauan atau Blokir berdasarkan kebutuhan bisnis Anda.
Throttling
IP Address Throttling (Default)
Anda dapat mengonfigurasi kondisi pembatasan untuk alamat IP. Jika jumlah permintaan dari alamat IP yang sama dalam nilai yang ditentukan oleh Interval Statistik (Detik) melebihi nilai Ambang Batas (Kali), WAF melakukan tindakan yang ditentukan pada permintaan berikutnya. Tindakan dapat ditentukan dengan memilih Blokir atau Pemantauan dari daftar drop-down Tindakan. Anda juga dapat mengonfigurasi parameter Interval Pembatasan (Detik), yang menentukan periode selama tindakan yang ditentukan dilakukan. Anda dapat mengonfigurasi hingga tiga kondisi pembatasan. Untuk informasi lebih lanjut, lihat Parameter aturan kustom.
Device Throttling
Anda dapat mengonfigurasi kondisi pembatasan untuk perangkat. Jika jumlah permintaan dari perangkat yang sama dalam nilai yang ditentukan oleh Interval Statistik (Detik) melebihi nilai Ambang Batas (Kali), WAF melakukan tindakan yang ditentukan pada permintaan berikutnya. Tindakan dapat ditentukan dengan memilih Blokir atau Pemantauan dari daftar drop-down Tindakan. Anda juga dapat mengonfigurasi parameter Interval Pembatasan (Detik), yang menentukan periode selama tindakan yang ditentukan dilakukan. Anda dapat mengonfigurasi hingga tiga kondisi pembatasan. Untuk informasi lebih lanjut, lihat Parameter aturan kustom.
Custom Session Throttling
Anda dapat mengonfigurasi kondisi pembatasan untuk sesi. Anda dapat mengonfigurasi parameter Tipe Sesi untuk menentukan tipe sesi. Jika jumlah permintaan dari sesi yang sama dalam nilai yang ditentukan oleh Interval Statistik (Detik) melebihi nilai Ambang Batas (Kali), WAF melakukan tindakan yang ditentukan pada permintaan berikutnya. Tindakan dapat ditentukan dengan memilih Blokir atau Pemantauan dari daftar drop-down Tindakan. Anda juga dapat mengonfigurasi parameter Interval Pembatasan (Detik), yang menentukan periode selama tindakan yang ditentukan dilakukan. Anda dapat mengonfigurasi hingga tiga kondisi pembatasan. Untuk informasi lebih lanjut, lihat Parameter aturan kustom.
Bot Threat Intelligence
Bot Threat Intelligence Library
Pustaka ini berisi alamat IP penyerang yang telah mengirimkan banyak permintaan untuk merayapi konten dari pengguna Alibaba Cloud selama periode waktu tertentu.
Anda dapat mengatur mode perlindungan ke Pemantauan atau CAPTCHA Geser.
Data Center Blacklist
Setelah Anda mengaktifkan fitur ini, alamat IP di pustaka alamat IP pusat data yang dipilih diblokir. Jika Anda menggunakan alamat IP sumber awan publik atau pusat data untuk mengakses situs web yang ingin Anda lindungi, Anda harus menambahkan alamat IP tersebut ke daftar putih. Misalnya, Anda harus menambahkan alamat IP panggil balik Alipay atau WeChat dan alamat IP aplikasi pemantauan ke daftar putih. Daftar hitam pusat data mendukung pustaka alamat IP berikut: Pustaka Alamat IP Pusat Data-Alibaba Cloud, Pustaka Alamat IP Pusat Data-21Vianet, Pustaka Alamat IP Pusat Data-Meituan Open Services, Pustaka Alamat IP Pusat Data-Tencent Cloud, dan Pustaka Alamat IP Pusat Data-Lainnya.
Anda dapat mengatur parameter Tindakan ke Pemantauan, CAPTCHA Geser, atau Blokir.
Protected Domain Names
Select Association Mode
Add and replace the original associated policy: lepaskan kebijakan terkait dan ganti dengan kebijakan saat ini.
Add and keep the original associated policy: tambahkan kebijakan saat ini dan pertahankan kebijakan terkait.
Protected Domain Names
Nama domain yang ingin Anda asosiasikan dengan kebijakan perlindungan saat ini.
CatatanAnda hanya dapat mengasosiasikan nama domain yang dilindungi dengan satu kebijakan perlindungan dengan tipe kebijakan yang sama.
Jika nama domain terasosiasi dengan kebijakan perlindungan lain dengan tipe yang sama, nama domain akan terasosiasi dengan kebijakan saat ini setelah Anda mengonfigurasi kebijakan saat ini untuk nama domain tersebut.
Klik Create Policy.
Secara default, kebijakan perlindungan yang dibuat akan diaktifkan.