All Products
Search

This Product

    Web Application Firewall:Keamanan akun

    Document Center

    Web Application Firewall:Keamanan akun

    Last Updated:Sep 09, 2026

    Fitur Keamanan Akun menggunakan penilaian risiko real-time untuk memblokir credential stuffing, serangan brute-force, dan pendaftaran bot. Fitur ini mengekstraksi kredensial identitas dari bidang permintaan HTTP (Query, Body, Header, Cookie) guna membangun profil pengguna terpadu. Tanpa konfigurasi aturan manual, fitur ini secara otomatis melindungi skenario pendaftaran dan logon.

    Keunggulan

    • Penilaian cerdas: Aturan bawaan menghitung skor risiko real-time berdasarkan data perangkat, jaringan, dan akun untuk mengkuantifikasi ancaman serta mengotomatiskan keputusan keamanan.

    • Deteksi bot:

      • Deteksi anomali interaksi: Mendeteksi input tingkat milidetik dan aktivitas copy-paste frekuensi tinggi yang umum dilakukan oleh skrip otomatis.

      • Deteksi pemalsuan sidik jari: Mendeteksi lalu lintas palsu di mana User-Agent bertentangan dengan parameter lingkungan aktual.

      • Perlindungan terhadap penyalahgunaan resource: Memblokir permintaan flood dari satu perangkat atau IP yang dikaitkan dengan banyak akun.

    • Deteksi penyimpangan profil:

      • Deteksi osilasi lingkungan: Mendeteksi serangan pool proxy yang secara cepat mengganti alamat IP, User-Agent, atau lokasi geografis.

      • Analisis penyimpangan dari baseline: Menandai logon anomali dengan membandingkan aktivitas saat ini terhadap profil historis pengguna, seperti perangkat, jaringan, atau pola perilaku yang tidak biasa dan menyimpang dari norma kelompok.

    • Pencegahan pendaftaran bot otomatis: Mendeteksi pendaftaran bot, email palsu, dan ciri khas jaringan cloud untuk memblokir pembuatan akun berbahaya dan menjaga kualitas pengguna platform.

    Aktifkan keamanan akun

    Prasyarat

    Verifikasi hal-hal berikut sebelum memulai:

    • Bisnis web Anda telah terhubung ke WAF sebagai objek yang dilindungi. Jika bisnis Anda belum terhubung, lihat Connect to WAF.

    • (Disarankan) Konfigurasikan Bot management dan integrasikan SDK untuk objek yang dilindungi Anda. Fitur Keamanan Akun bergantung pada modul SDK. Tanpa Bot Management SDK, kemampuan deteksi mungkin berkurang.

    Langkah 1: Buat aset API

    Buat aset API dan konfigurasikan aturan ekstraksi kredensial identitas.

    1. Log on to the Web Application Firewall 3.0 console. Dari bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF. Di panel navigasi kiri, pilih Protection Config > Account Security. Pada tab API Asset Management, klik Add Asset.

    2. Konfigurasikan informasi dasar API:

      • API Name: Masukkan nama deskriptif untuk aset tersebut.

      • Domain Name dan URL Path: Masukkan domain dan path untuk pendaftaran atau logon akun. Misalnya, untuk https://example.com/login:

        • Domain Name: example.com

        • URL Path: /login

        Catatan

        Untuk mengonfigurasi beberapa antarmuka pada objek yang dilindungi yang sama, ulangi langkah Add Asset untuk setiap antarmuka.

      • HTTP Request Method: Metode yang didukung adalah POST, GET, dan PUT.

    3. Tentukan tujuan API. Skenario yang didukung: Registration dan Logon. Registration hanya mendukung pendaftaran satu langkah.

      Registration

      Konfigurasikan lokasi ekstraksi untuk bidang Phone Number, Username, dan Email. WAF mengekstraksi dari parameter query, nama cookie, parameter body, dan header.

      Saat Anda memilih Can Be Used for Logon, WAF menggunakan bidang yang dipilih (email, telepon, atau username) sebagai pengenal identitas untuk menghubungkan berbagai kredensial logon ke pengguna yang sama.

      Logon

      Konfigurasikan lokasi ekstraksi untuk bidang Account. WAF mengekstraksi dari parameter query, nama cookie, parameter body, dan header.

    4. Konfigurasikan kondisi sukses dan gagal: Di bagian Success Conditions dan Failure Conditions, definisikan aturan untuk menentukan hasil permintaan berdasarkan HTTP Status Code dan Response Body.

      Klik Add Condition untuk menambahkan kondisi. Semua kondisi menggunakan logika AND.

    5. Associate with Protected Object: Pilih objek yang dilindungi yang sudah terhubung ke WAF.

    Langkah 2: Konfigurasikan kebijakan perlindungan

    Konfigurasikan kebijakan perlindungan untuk aset API.

    1. Di panel navigasi kiri, pilih Protection Config > Account Security. Pada tab Policy Configuration, klik Create Template.

    2. Tentukan Template Name dan Template Description.

    3. Konfigurasikan Risk Level Policy Configuration:

      • Di bagian Match Condition, tentukan karakteristik permintaan yang akan dicocokkan. Maksimal lima kondisi didukung, dievaluasi dengan logika AND.

      • Di bagian Risk Score Threshold, definisikan rentang skor untuk setiap level risiko dan Rule Action yang sesuai. Opsi Rule Action yang tersedia:

        Parameter

        Deskripsi

        JavaScript Validation

        WAF mengembalikan verifikasi JavaScript ke klien. Browser standar mengeksekusinya secara otomatis. Jika berhasil, WAF mengizinkan semua permintaan klien selama 30 menit (default). Jika gagal, permintaan diblokir.

        Block

        Memblokir permintaan yang cocok dan mengembalikan halaman blokir.

        Log

        Mencatat permintaan yang cocok tanpa memblokirnya. Gunakan Log selama pengujian untuk menganalisis log WAF dan memverifikasi tidak ada false positive sebelum beralih ke aksi lain.

        CAPTCHA

        WAF mengembalikan halaman verifikasi slider. Jika berhasil, WAF mengizinkan semua permintaan klien selama 30 menit (default). Jika gagal, permintaan diblokir.

        Strict CAPTCHA

        WAF mengembalikan halaman verifikasi slider. Klien harus lulus verifikasi untuk setiap permintaan yang cocok.

        Origin Custom Header

        WAF menambahkan header kustom berisi detail kecocokan (jenis aturan, ID aturan, akun, skor risiko) ke permintaan yang diteruskan ke server origin untuk kontrol risiko backend.
        Catatan

        Saat Rule Action adalah Block, CAPTCHA, atau Strict CAPTCHA, WAF mengembalikan halaman respons default. Gunakan Custom Response untuk menyesuaikannya.

    4. Tentukan cakupan efektif: Di bagian Protected Assets, pilih aset API yang dibuat di Langkah 1 sebagai target kebijakan.

    Langkah selanjutnya

    Kueri permintaan yang cocok di Protection Logs.

    Manage assets and policies

    Manage API assets

    • View assets: Pada tab API Asset Management, lihat semua aset yang telah dibuat. Cari berdasarkan objek yang dilindungi, aset API, atau nama API.

    • Edit an asset: Temukan aset tersebut dan klik Edit di kolom Actions untuk mengubah tujuan API dan kondisi permintaan.

    • Delete an asset: Temukan aset tersebut dan klik Delete di kolom Actions. Aset tersebut tidak lagi dilindungi setelah dihapus.

    Manage protection policies

    • View policies: Pada tab Policy Configuration, lihat semua kebijakan yang telah dibuat. Cari berdasarkan aset, ID aturan perlindungan, atau nama templat.

    • Edit a policy: Temukan kebijakan tersebut dan klik Edit di kolom Actions. Gunakan kolom Status untuk mengaktifkan atau menonaktifkan kebijakan.

    • Clone a policy: Temukan kebijakan tersebut dan klik Copy di kolom Actions.

    • Delete a policy: Temukan kebijakan tersebut dan klik Delete di kolom Actions. Aset terkait tidak lagi dilindungi setelah penghapusan.