Tutorial WAF - Web Application Firewall - Alibaba Cloud Documentation Center

Sebelum menggunakan Web Application Firewall (WAF) untuk melindungi layanan web Anda, Anda harus menambahkan website tersebut ke WAF.

Metode integrasi

WAF mendukung dua metode integrasi: Rekaman CNAME dan mode proxy transparan. Secara default, WAF mendukung HTTP/1.0, HTTP/1.1, dan HTTP/2.0. Pilih metode integrasi sesuai kebutuhan bisnis Anda.

Catatan

Jika website Anda mendukung protokol HTTP/2.0, aktifkan sakelar HTTP2 untuk mengaktifkan perlindungan terhadap layanan HTTP/2.0 Anda.

Perbedaan	Rekaman CNAME	Mode proxy transparan
Konsep	Mengalihkan traffic web ke WAF dengan menambahkan informasi website Anda dan memodifikasi rekaman DNS domain tersebut.	Mengalihkan traffic web ke WAF dengan menambahkan informasi website Anda, tanpa perlu mengubah rekaman DNS domain Anda.
Server origin yang didukung	Semua server origin, baik yang dideploy di Alibaba Cloud maupun tidak.	Server origin yang dideploy pada Instance ECS atau Instance SLB publik.
Cakupan integrasi	Anda hanya dapat menambahkan satu domain dalam satu waktu.	Anda dapat menambahkan semua domain yang termasuk dalam suatu instans sekaligus.
Diperlukan konfigurasi kembali ke asal	Ya	Tidak
Diperlukan modifikasi rekaman DNS	Ya. Anda harus memodifikasi rekaman DNS.	Tidak. Anda tidak perlu memodifikasi rekaman DNS.
Diperlukan perlindungan server origin	Ya. Server origin berisiko mengalami serangan langsung, sehingga Anda harus mengonfigurasi perlindungan server origin.	Tidak. Anda tidak perlu mengonfigurasi perlindungan server origin.
Batasan	Tidak ada.	Karena keterbatasan arsitektur jaringan dasar, mode proxy transparan hanya tersedia di beberapa wilayah. Mode proxy transparan tidak mendukung Instance SLB internal. Mode proxy transparan tidak mendukung IPv6. Jumlah port pengalihan lalu lintas yang dapat Anda konfigurasi juga terbatas. Mode proxy transparan menyediakan pengaturan perlindungan default yang tidak dapat Anda ubah. Anda harus mengonfigurasi domain terlebih dahulu sebelum dapat mengedit aturan perlindungan tingkat domain. Untuk informasi lebih lanjut mengenai batasan tersebut, lihat Mode proxy transparan.

Integrasi menggunakan Rekaman CNAME

Buka halaman Add Domain Name.

Tambahkan nama domain. Masukkan informasi website, seperti nama domain dan pengaturan kembali ke asal, ke WAF.

Parameter	Deskripsi
Domain Name	Masukkan nama domain website yang ingin Anda lindungi.
Protection Resource	Pilih jenis sumber daya perlindungan sesuai kebutuhan Anda.
Protocol Type	Pilih jenis protokol yang didukung oleh website Anda. Anda dapat memilih Enable HTTPS Routing, Enable HTTP Back-to-Origin, dan Enable Origin SNI.
Origin server address	Tentukan alamat server origin tempat WAF meneruskan permintaan. Jenis alamat berikut didukung: Alamat IP: Alamat IP publik dari Instance SLB, Instance ECS, atau server di pusat data eksternal. Nama domain (misalnya CNAME): Domain kembali ke asal yang berbeda dari domain yang dilindungi. Hanya alamat IPv4 yang didukung untuk lalu lintas kembali ke asal.
Origin server port	Berdasarkan Protocol Type yang dipilih, konfigurasikan port yang digunakan server origin untuk menyediakan layanan. Penting Jika server origin menggunakan port selain Port HTTP 80 atau Port HTTPS 443, Anda dapat menentukan port server kustom dari rentang port yang didukung WAF. Untuk informasi lebih lanjut, lihat Ports supported by WAF.
Load Balancing Algorithm	Jika Anda menentukan beberapa alamat server origin, pilih algoritma penyeimbangan beban untuk server tersebut.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Tunjukkan apakah layanan proxy Lapisan 7 lainnya, seperti Anti-DDoS Proxy atau CDN, dideploy di depan WAF.
Enable Traffic Mark	Tentukan apakah akan mengaktifkan fitur tanda lalu lintas.
Back-to-origin Timeout Configuration	Jika server origin Anda memiliki waktu pemrosesan yang panjang sehingga berpotensi menyebabkan timeout, Anda dapat mengonfigurasi periode timeout koneksi serta baca/tulis untuk WAF.
Retry Back-to-origin Requests	Saat permintaan kembali ke asal gagal, WAF secara default mencoba ulang permintaan tersebut hingga tiga kali untuk setiap server origin. Jika Anda menonaktifkan fitur ini, WAF tidak akan mencoba ulang permintaan yang gagal.
Back-to-origin Keep-alive Requests	Konfigurasikan koneksi persisten antara WAF dan server origin Anda.

Untuk informasi lebih lanjut, lihat Add a domain name.

Lakukan verifikasi lokal terhadap pengaturan domain di WAF. Langkah ini membantu mencegah gangguan layanan dengan memastikan bahwa pengaturan penerusan sudah benar sebelum Anda memodifikasi rekaman DNS domain tersebut. Untuk informasi lebih lanjut, lihat Local verification.
Modifikasi rekaman DNS domain untuk mengarahkan lalu lintas website ke WAF.
Langkah-langkah berikut menunjukkan cara memodifikasi rekaman DNS menggunakan DNS Alibaba Cloud sebagai contoh.
1. Dapatkan CNAME atau alamat IP dari WAF. Untuk informasi lebih lanjut, lihat Obtain the CNAME of WAF.
2. Buka halaman Domains di konsol DNS Alibaba Cloud. Temukan nama domain yang ingin Anda kelola, klik Settings pada kolom Actions, lalu ubah nilai rekaman CNAME menjadi CNAME yang diberikan oleh WAF.
Untuk informasi selengkapnya, lihat Mengubah rekaman DNS nama domain.
Verifikasi bahwa perlindungan WAF telah efektif.
1. Pada browser web, masukkan nama domain yang telah Anda tambahkan. Jika website dimuat dengan benar, berarti domain telah berhasil ditambahkan.
  Catatan
  Akses website Anda melalui nama domain-nya, bukan melalui CNAME yang diberikan oleh WAF. CNAME hanya digunakan untuk resolusi DNS dan tidak dapat diakses secara langsung.
2. Pada browser web, masukkan nama domain yang telah Anda tambahkan beserta kode serangan web, misalnya <protected domain name>/alert(xss), di mana alert(xss) adalah kode uji untuk serangan cross-site scripting. Jika muncul halaman blokir 405, berarti WAF telah berhasil mencegat serangan tersebut.

Setelah menyelesaikan langkah-langkah ini, website Anda berhasil ditambahkan ke WAF. Untuk perlindungan yang lebih komprehensif, lakukan langkah-langkah berikut:

Unggah sertifikat HTTPS
Jika website Anda menggunakan protokol HTTPS, Anda harus mengunggah sertifikat HTTPS yang valid setelah menambahkan nama domain. Hal ini memastikan bahwa WAF dapat memproses lalu lintas HTTPS. Untuk informasi lebih lanjut, lihat Add a domain name.
Tambahkan Blok CIDR IP kembali ke asal WAF ke daftar izin
Setelah menambahkan website ke WAF, WAF menggunakan Blok CIDR IP kembali ke asal tertentu untuk meneruskan lalu lintas sah ke server origin Anda. Hal ini dapat meningkatkan frekuensi dan konsentrasi akses dari alamat IP tersebut. Untuk mencegah perangkat lunak keamanan server origin Anda memblokir alamat IP ini sebagai sumber serangan, tambahkan Blok CIDR IP kembali ke asal WAF ke daftar izin perangkat lunak keamanan Anda. Untuk informasi lebih lanjut, lihat Add the back-to-origin IP CIDR blocks of WAF to an allowlist.
Konfigurasikan perlindungan server origin
Untuk alasan keamanan, konfigurasikan kebijakan kontrol akses pada server origin Anda agar hanya mengizinkan lalu lintas inbound dari Blok CIDR IP kembali ke asal WAF. Hal ini mencegah penyerang melewati WAF dan menyerang server origin Anda secara langsung. Untuk informasi lebih lanjut, lihat Configure origin server protection.
Konfigurasikan kebijakan TLS kustom
Jika website yang dilindungi WAF menggunakan HTTPS, Anda dapat menyesuaikan versi protokol TLS dan paket sandi untuk nama domain tersebut. Untuk informasi lebih lanjut, lihat Configure custom TLS policies.

Integrasi mode proxy transparan

Buka halaman Add Domain Name di konsol Web Application Firewall dan atur Access Mode menjadi Transparent Proxy.

Tambahkan nama domain.

Parameter	Deskripsi
Domain Name	Masukkan nama domain website.
Instance and port	Pilih tipe instans dan tambahkan port dari instans yang sesuai. WAF mendukung pengaktifan mode proxy transparan untuk port server origin dari tipe instans berikut: SLB-based Domains, Layer 7 SLB-based Domains, Layer 4 SLB-based Domains, dan ECS-based Domains.
Is a Layer 7 proxy such as Anti-DDoS Proxy or CDN deployed in front of WAF	Tunjukkan apakah layanan proxy Lapisan 7 lainnya, seperti Anti-DDoS Proxy atau CDN, dideploy di depan WAF.
Enable Traffic Mark	Tentukan apakah akan mengaktifkan fitur tanda lalu lintas.

Untuk informasi lebih lanjut, lihat Transparent proxy mode.

Verifikasi bahwa perlindungan WAF telah efektif.
1. Pada browser web, masukkan nama domain yang telah Anda tambahkan. Jika website dimuat dengan benar, berarti domain telah berhasil ditambahkan.
  Catatan
  Akses website Anda melalui nama domain-nya, bukan melalui CNAME yang diberikan oleh WAF. CNAME hanya digunakan untuk resolusi DNS dan tidak dapat diakses secara langsung.
2. Pada browser web, masukkan nama domain yang telah Anda tambahkan beserta kode serangan web, misalnya <protected domain name>/alert(xss), di mana alert(xss) adalah kode uji untuk serangan cross-site scripting. Jika muncul halaman blokir 405, berarti WAF telah berhasil mencegat serangan tersebut.

Integrasikan WAF dengan layanan cloud lainnya

Selain menambahkan website secara langsung ke WAF, Anda dapat mengintegrasikan WAF dengan layanan Alibaba Cloud lainnya, seperti Anti-DDoS Proxy dan CDN, untuk membangun arsitektur keamanan yang komprehensif.

Tingkatkan perlindungan website dengan menerapkan Anti-DDoS Proxy dan WAF secara bersamaan: Untuk melindungi website Anda dari serangan aplikasi web dan serangan DDoS, Anda dapat menerapkan Anti-DDoS Proxy dan WAF di depan server origin Anda.
Gunakan WAF dan CDN untuk melindungi domain yang dipercepat: Untuk mempertahankan website Anda dari serangan aplikasi web sekaligus menggunakan CDN untuk akselerasi konten, Anda dapat menerapkan CDN dan WAF di depan server origin Anda.

Langkah selanjutnya

Setelah Anda menambahkan website ke WAF, lalu lintasnya akan dialihkan melalui WAF untuk perlindungan. WAF menyediakan beberapa modul deteksi untuk melindungi website Anda dari berbagai ancaman keamanan. Secara default, Protection Rules Engine di bawah Web Security dan modul HTTP Flood Protection di bawah Access Control/Throttling telah diaktifkan. Modul-modul ini melindungi dari serangan aplikasi web umum—seperti Injeksi SQL, XSS, dan unggahan webshell—serta serangan banjir HTTP. Anda harus mengaktifkan secara manual modul perlindungan lainnya dan mengonfigurasi aturan perlindungan spesifik. Untuk informasi lebih lanjut, lihat Overview of website protection configurations.