Praktik terbaik keamanan akun - Web Application Firewall

Web Application Firewall (WAF) menyediakan fitur keamanan akun yang membantu mengidentifikasi risiko akun. Topik ini menjelaskan cara melindungi antarmuka dalam berbagai skenario, termasuk otentikasi pengguna.

Informasi latar belakang

WAF mendukung fitur keamanan akun yang mendeteksi risiko pada antarmuka terkait otentikasi pengguna, seperti pendaftaran dan login. Risiko tersebut mencakup serangan brute-force, pendaftaran spam, sniffing kata sandi lemah, serta penyalahgunaan antarmuka SMS. Setelah antarmuka ditambahkan ke WAF, hasil deteksi dapat dilihat di laporan keamanan WAF. Untuk detail lebih lanjut, lihat Konfigurasikan Keamanan Akun.

Gunakan layanan verifikasi untuk melindungi halaman web biasa dan HTML5

Layanan verifikasi adalah pendekatan paling mudah dan efektif untuk melindungi antarmuka. Integrasi layanan ini biasanya memerlukan perubahan kode kecil, dengan waktu implementasi sekitar satu hingga dua hari kerja.

Metode verifikasi umum dapat memblokir panggilan langsung dari alat atau skrip sederhana. Namun, karena adaptasi metode serangan, metode ini dapat dengan mudah dilewati. Kami menyarankan menggunakan layanan verifikasi profesional untuk perlindungan lebih baik terhadap serangan.

Gunakan tanda tangan SDK untuk melindungi aplikasi asli

Layanan verifikasi mungkin tidak cocok untuk aplikasi asli. Alibaba Cloud menyediakan solusi SDK yang mengumpulkan informasi perangkat keras dan lingkungan perangkat seluler, menghitung tanda tangan, serta memverifikasi permintaan. Solusi ini memastikan hanya permintaan dari aplikasi diverifikasi yang diarahkan ke server asal, sementara permintaan dari skrip, program otomatis, atau simulator diblokir.

Catatan Untuk menggunakan solusi SDK, aktifkan App Protection di konsol WAF. Untuk detail lebih lanjut, lihat Ikhtisar Perlindungan Aplikasi.

Konfigurasikan kontrol frekuensi untuk memblokir sumber serangan

Kontrol frekuensi membantu mengidentifikasi permintaan dengan bidang umum di antara banyak permintaan. Anda dapat menentukan jumlah maksimum kemunculan bidang tersebut. Jika jumlah maksimum terlampaui, sumber permintaan akan diblokir. Metode tradisional biasanya memblokir alamat IP jahat, tetapi permintaan dari proxy atau alamat IP rotasi mungkin memiliki token yang sama, seperti UID dalam cookie. Dalam kasus ini, Anda dapat mengonfigurasi pembatasan berdasarkan cookie untuk memblokir akun jahat.

WAF menyediakan Rate Limiting untuk tujuan ini. Anda dapat mengonfigurasi pembatasan laju pada halaman Custom Protection Policy, seperti yang ditunjukkan pada gambar berikut. Untuk detail lebih lanjut, lihat Konfigurasikan Kebijakan Perlindungan Kustom.

Catatan Semua edisi WAF memungkinkan penggunaan alamat IP dan sesi sebagai objek statistik. WAF Enterprise mendukung objek tambahan, seperti cookie kustom, header kustom, dan parameter kustom.

Analisis permintaan mencurigakan

Permintaan jahat memiliki karakteristik umum tertentu. Berikut adalah beberapa contoh:

Header HTTP tidak lengkap. Permintaan jahat mungkin tidak menyertakan beberapa bidang, seperti Referer, Cookie, atau Content-Type.
Nilai User-Agent abnormal. Header User-Agent yang digunakan dalam permintaan ke situs web berbasis Java atau Python ditemukan dalam permintaan ke situs web umum. Header User-Agent desktop ditemukan dalam permintaan ke mini program WeChat. Permintaan dengan header User-Agent abnormal mungkin bersifat jahat.
Cookie hilang. Aplikasi biasanya menggunakan beberapa cookie, seperti SessionID, userid, deviceid, dan lastvisit. Namun, crawler mungkin hanya menyertakan cookie yang diperlukan untuk mengambil informasi.
Parameter abnormal. Crawler mungkin tidak menyertakan atau berulang kali mengirimkan parameter tertentu dalam permintaan.
Bidang mencurigakan. Bidang ini mungkin terkandung dalam alamat email, nomor telepon, atau informasi akun.

Kami menyarankan menggunakan fitur Layanan Log WAF untuk menganalisis karakteristik permintaan, seperti alamat IP teratas dan proporsi permintaan dengan karakteristik tertentu.

Catatan Untuk menggunakan fitur Layanan Log WAF, aktifkan Log Service dari konsol WAF. Untuk detail lebih lanjut, lihat Memulai dengan Fitur Simple Log Service untuk WAF.

Aktifkan intelijen ancaman bot dan credential stuffing

WAF menyediakan fitur Bot Management. Fitur ini menggunakan algoritma untuk mengidentifikasi alamat IP jahat dari serangan credential stuffing yang dideteksi oleh Alibaba Cloud. Daftar hitam IP credential stuffing diperbarui secara dinamis. Anda dapat menggunakan fungsi Bot Threat Intelligence dari tab Manajemen Bot untuk mengatur mode Monitor, Blokir, atau Captcha. Untuk detail lebih lanjut, lihat Konfigurasikan Aturan Intelijen Ancaman Bot.

Catatan Aktifkan fitur Bot Management sebelum menggunakan fungsi Bot Threat Intelligence.