Konfigurasikan kebijakan perlindungan kustom - Web Application Firewall

Kebijakan perlindungan kustom memungkinkan Anda membuat aturan kontrol akses dan pembatasan laju yang disesuaikan berdasarkan kondisi pencocokan presisi. Kebijakan ini dapat digunakan untuk skenario seperti Perlindungan hotlink atau mengamankan backend administratif situs web Anda. Topik ini menjelaskan cara mengonfigurasi kebijakan perlindungan kustom.

Latar Belakang

Kebijakan perlindungan kustom menggunakan aturan kustom yang terbagi menjadi dua kategori:

Aturan ACL: Menyaring permintaan berdasarkan kondisi pencocokan presisi yang Anda definisikan untuk bidang seperti alamat IP klien, URL permintaan, dan header permintaan umum.
Aturan perlindungan HTTP flood: Menyaring Permintaan Serangan dengan mendefinisikan kondisi pembatasan laju selain kondisi pencocokan presisi.

Batasan

Jumlah dan spesifikasi aturan kustom yang dapat Anda konfigurasi bergantung pada edisi instans Web Application Firewall (WAF) langganan Anda.

Spesifikasi	Deskripsi	Edisi Pro	Business Edition	Enterprise dan yang lebih baru
Jumlah aturan kustom	Jumlah maksimum aturan kustom yang dapat Anda tambahkan.	200 per Nama domain	200 per Nama domain	200 per Nama domain
Bidang pencocokan lanjutan	Memungkinkan Anda menggunakan bidang pencocokan lanjutan selain IP dan URL dalam kondisi pencocokan aturan.	Tidak didukung	Didukung	Didukung
Pembatasan laju	Memungkinkan Anda mengaktifkan pembatasan laju dalam aturan kustom, yang membuat aturan perlindungan http flood.	Tidak didukung	Didukung	Didukung
Objek statistik kustom	Memungkinkan Anda menggunakan objek statistik kustom selain IP dan Session untuk pembatasan laju.	Tidak didukung	Didukung	Didukung

Prasyarat

Anda telah mengaktifkan instans Web Application Firewall.
Situs web Anda telah ditambahkan ke WAF. Untuk informasi lebih lanjut, lihat Tutorial.

Prosedur

Masuk ke Web Application Firewall console.
Di bilah menu atas, pilih kelompok sumber daya dan Wilayah untuk instans Web Application Firewall Anda (Chinese Mainland atau Outside Chinese Mainland).
Di panel navigasi kiri, pilih Protection Config > Website Protection.
Di halaman Website Protection, alihkan ke Nama domain yang akan dikonfigurasi.
Klik tab Access Control/Throttling, temukan bagian Custom Protection Policy, aktifkan sakelar Status, lalu klik Configure Now.
Catatan
Setelah Anda mengaktifkan kebijakan perlindungan kustom, kebijakan tersebut secara default memeriksa semua permintaan ke situs web Anda. Anda dapat mengonfigurasi daftar putih untuk kontrol akses dan pembatasan laju agar permintaan tertentu melewati pemeriksaan ini. Untuk informasi lebih lanjut, lihat Konfigurasikan daftar putih untuk kontrol akses dan pembatasan laju.

Buat aturan kustom.

Di halaman Custom Protection Policy, klik Create.

Di kotak dialog Create Rule, konfigurasikan pengaturan berikut: Rule Name, Match Conditions (tetapkan bidang pencocokan, operator logika, dan konten pencocokan; hingga lima kondisi dapat digabungkan menggunakan operator AND), Rate Limiting (aktifkan fitur ini menggunakan sakelar; pembatasan laju dipicu ketika kondisi presisi terpenuhi), Action (misalnya Monitor), dan Protection Type (HTTP Flood Protection atau ACL).

Parameter	Deskripsi
Rule Name	Tentukan nama untuk aturan.
Match Condition	Definisikan logika deteksi untuk aturan. Hanya permintaan yang memenuhi kondisi pencocokan yang memicu aturan. Klik Add Condition untuk menetapkan hingga lima kondisi. Jika beberapa kondisi ditentukan, semuanya harus terpenuhi agar permintaan dianggap cocok. Untuk informasi lebih lanjut tentang bidang-bidang tersebut, lihat Bidang kondisi pencocokan.
Rate Limiting	Mengaktifkan atau menonaktifkan pembatasan laju. Pemeriksaan laju dilakukan setelah permintaan memenuhi kondisi pencocokan. Jika Anda mengaktifkan fitur ini, Anda harus mengonfigurasi parameter untuk pembatasan laju. Panel Rate Limiting mencakup pengaturan berikut: Statistical Object (seperti IP), Interval (Seconds), Threshold (Times), Status Code (opsional, dapat diatur berdasarkan jumlah atau persentase), Effective Scope (Cakupan pencocokan fitur saat ini atau Cakupan Domain dari aturan saat ini), Action (seperti Monitor), Timeout (Seconds), dan Protection Type (perlindungan http flood atau ACL). Untuk informasi lebih lanjut, lihat Parameter pembatasan laju.
Action	Menentukan aksi yang diambil terhadap permintaan yang memicu aturan. Nilai yang valid: Monitor: Mencatat peringatan tetapi mengizinkan permintaan. Block: Memblokir permintaan. Run Slider CAPTCHA: Mengalihkan permintaan ke halaman untuk verifikasi CAPTCHA. Run Strict Slider CAPTCHA: Mengalihkan permintaan ke halaman untuk verifikasi CAPTCHA ketat. Run JavaScript Validation: Memicu validasi JavaScript. Jika Anda mengaktifkan Rate Limiting, Anda juga harus menentukan Timeout Period (Seconds), yaitu durasi aksi tetap berlaku. Catatan Karena WAF menggabungkan data dari beberapa server dalam kluster untuk menghitung laju permintaan, sedikit penundaan mungkin terjadi dalam proses statistik. Akibatnya, aksi mungkin berlaku dengan latensi singkat. Aksi validasi JS dan CAPTCHA dalam kebijakan perlindungan kustom hanya berlaku untuk halaman statis. Untuk mendukung permintaan asinkron, seperti yang diprakarsai oleh XMLHttpRequest atau Fetch, aktifkan validasi JS dan CAPTCHA di modul Bot Management. Untuk informasi lebih lanjut, lihat Konfigurasikan aturan perlindungan bot berbasis skenario untuk browser web.
Protection Type	Jenis aturan kustom. Parameter ini diatur secara otomatis berdasarkan apakah Anda mengaktifkan Rate Limiting. Jika pembatasan laju diaktifkan, nilainya adalah HTTP Flood Protection. Jika pembatasan laju dinonaktifkan, nilainya adalah ACL.

Tabel berikut menjelaskan parameter untuk pembatasan laju.

Parameter	Deskripsi
Statistical Object	Dasar penghitungan permintaan. Nilai yang valid: IP: Menghitung permintaan dari satu alamat IP sumber. Jika Anda menggunakan rekaman CNAME untuk menambahkan layanan Anda ke WAF dan proxy lapisan 7 seperti CDN ditempatkan di depan WAF, Anda harus mengaktifkan opsi "Apakah proxy lapisan 7 (seperti Anti-DDoS atau CDN) ditempatkan di depan WAF?". Jika tidak, WAF tidak dapat memperoleh alamat IP client yang sebenarnya. Session: Menghitung permintaan dari satu session. Custom Header: Menghitung permintaan yang memiliki konten header kustom yang sama. Custom Parameters: Menghitung permintaan yang memiliki konten parameter kustom yang sama. Custom Cookie: Menghitung permintaan yang memiliki konten cookie kustom yang sama.
Interval (Seconds)	Interval waktu dalam detik untuk menghitung permintaan.
Threshold (Occurrences)	Jumlah maksimum permintaan yang diizinkan dari objek statistik dalam interval yang ditentukan. Jika jumlah permintaan melebihi ambang batas ini, pembatasan laju dipicu.
Status Code	Pemeriksaan ini dilakukan setelah logika deteksi utama. Ini memvalidasi jumlah atau persentase Status Code tertentu dalam tanggapan dalam interval tersebut. Anda dapat menetapkan batas berdasarkan jumlah atau persentase. Quantity: Jumlah maksimum kali kode status tertentu diizinkan. Percentage (%): Persentase maksimum tanggapan yang dapat memiliki kode status tertentu.
Effective Scope	Cakupan di mana pemeriksaan pembatasan laju berlaku. Nilai yang valid: Feature Matching Objects: Hanya menghitung permintaan yang memenuhi Match Condition dari aturan saat ini. Applied Domain Names: Menghitung semua permintaan ke Nama domain saat ini.

Klik Save.

Setelah berhasil menambahkan aturan kebijakan perlindungan kustom, aturan tersebut diaktifkan secara default. Anda dapat melihat aturan baru di daftar aturan serta menonaktifkan, mengedit, atau menghapusnya sesuai kebutuhan.

FAQ

Positif palsu dengan logika 'contains'

Penyebab: Saat Anda memilih Include sebagai operator logika dalam Match Condition, URL permintaan apa pun yang menyertakan string yang ditentukan akan cocok. Jika string pencocokan terlalu pendek, string tersebut dapat secara tidak sengaja mencocokkan jalur lain yang mengandungnya sebagai substring, sehingga menyebabkan positif palsu.
Solusi: Ubah operator logika menjadi Equal To atau Prefix Match untuk mempersempit cakupan pencocokan. Anda juga dapat menambahkan bidang lain seperti Match Condition atau Header ke match condition guna membuat kriteria lebih spesifik dan meningkatkan akurasi.
Rekomendasi: Sebelum menerapkan aturan, atur Action menjadi Monitor. Tinjau log perlindungan untuk memastikan bahwa aturan hanya mencocokkan permintaan yang dimaksud. Setelah verifikasi, Anda dapat mengubah aksi menjadi Block.

Blokir URL tertentu

Buat kebijakan perlindungan kustom baru. Atur Match Condition ke URL target (disarankan menggunakan operator Equal To atau Prefix Match) dan atur Action menjadi Block. Permintaan yang tidak cocok dengan aturan ini diizinkan secara default.

Operasi terkait

Setelah mengonfigurasi kebijakan perlindungan, Anda dapat menyiapkan peringatan dengan CloudMonitor atau Log Service. WAF kemudian dapat mengirim Notifikasi ketika lalu lintas situs web cocok dengan aturan perlindungan, sehingga Anda tetap mengetahui status keamanan layanan Anda. Untuk informasi lebih lanjut, lihat Konfigurasikan peringatan.