All Products
Search

This Product

    Web Application Firewall:Gunakan manajemen bot untuk melindungi layanan aplikasi

    Document Center

    Web Application Firewall:Gunakan manajemen bot untuk melindungi layanan aplikasi

    Last Updated:Jul 24, 2026

    Jika aplikasi native iOS, Android, atau HarmonyOS Anda (tidak termasuk halaman H5 tersemat) menjadi sasaran crawler berbahaya, skrip otomatis, atau penyalahgunaan API, Anda dapat membuat templat perlindungan aplikasi untuk menentukan aturan kustom guna melindungi dari crawler dan memastikan keamanan layanan Anda.

    Prosedur

    Masuk ke Konsol Web Application Firewall 3.0. Di bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) instans Web Application Firewall (WAF) Anda. Di panel navigasi sebelah kiri, pilih Protection Config > Bot Management > Bot Management Template. Di tab App Protection, klik Create Template.

    Langkah 1: Tentukan skenario perlindungan

    1. Masukkan Template Name dan Template Description yang mudah dikenali.

    2. Pilih Traffic Characteristics. Jenis yang didukung adalah Global dan Customize Match Conditions.

      • Global: Berlaku untuk seluruh traffic pada nama domain, termasuk dari halaman web, aplikasi, dan mini program.

      • Customize Match Conditions: Membedakan jenis traffic berdasarkan karakteristik permintaan. Fitur ini berguna ketika halaman web dan aplikasi berbagi API yang sama tetapi Anda hanya ingin melindungi traffic web atau H5, atau saat ingin menerapkan kebijakan perlindungan tertarget pada titik akhir bisnis tertentu, seperti titik akhir penjualan kilat atau login.

        Global

        Jika Anda memilih Global, Anda tidak perlu menentukan karakteristik traffic.

        Customize Match Conditions

        Jika Anda memilih Customize Match Conditions, WAF mencocokkan permintaan berdasarkan karakteristik yang Anda definisikan. Klik Add Condition untuk menambahkan kondisi. Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Tabel berikut menyediakan contoh konfigurasi.

        Catatan

        Sebuah permintaan harus memenuhi semua kondisi dalam suatu aturan (logika AND) agar dipicu. Untuk informasi lebih lanjut mengenai bidang pencocokan dan operator logika, lihat Match conditions.

        Match Field

        Logical Operator

        Match Content

        Description

        URI path

        Contains

        /login.php

        Cocok jika path permintaan berisi /login.php.

        IP

        Belongs to

        192.1.XX.XX

        Cocok jika alamat IP klien adalah 192.1.XX.XX.

    3. Pilih apakah akan Exclude Static Files. Permintaan untuk file statis biasanya tidak melibatkan logika bisnis, dan kontennya tidak rentan terhadap serangan injeksi. Mengecualikan file statis dapat mengurangi beban deteksi dan memungkinkan WAF fokus melindungi API dinamis. Kami menyarankan memilih jenis file statis bawaan. Anda juga dapat menambahkan jenis kustom.

    Langkah 2: Edit aturan templat

    1. Di bagian App Repackaging, klik Create untuk mengonfigurasi aturan. Fitur ini mencegah penyerang mendekompilasi aplikasi Anda, menyuntikkan kode atau iklan berbahaya, menandatangani ulang, lalu mengemas ulang sebagai versi bajakan untuk mengirim permintaan ke server Anda.

      • Di bidang Valid Package Name dan Signature, masukkan nama paket dan signature yang berfungsi sebagai pengenal unik untuk aplikasi Anda. Anda dapat mengklik Add untuk mengonfigurasi beberapa versi. Anda dapat menambahkan maksimal lima kondisi. Kondisi-kondisi ini dihubungkan dengan logika OR.

      • Rule Type: Klasifikasikan aturan sebagai Malicious Bot atau Suspected Bot.

      • Actions:

        Parameter

        Description

        Log

        Aksi ini tidak memblokir permintaan yang cocok dengan aturan, tetapi hanya mencatatnya. Saat menguji aturan, Anda dapat menggunakan mode Log terlebih dahulu untuk menganalisis log WAF dan memastikan tidak ada false positive sebelum mengubah ke aksi lain.

        CAPTCHA

        WAF mengembalikan halaman verifikasi slider kepada klien. Jika klien berhasil menyelesaikan tantangan slider tersebut, WAF mengizinkan semua permintaan dari klien tersebut selama periode waktu tertentu, secara default 30 menit. Jika tidak, permintaan tersebut diblokir.

        Strict CAPTCHA

        WAF mengembalikan halaman verifikasi slider kepada klien. Jika klien berhasil menyelesaikan tantangan slider tersebut, permintaan saat ini diizinkan. Jika tidak, permintaan tersebut diblokir. Dalam mode ini, klien harus menyelesaikan tantangan slider untuk setiap permintaan yang cocok dengan aturan.

        Block

        Memblokir permintaan yang cocok dengan aturan dan mengembalikan halaman blokir kepada klien.

        Catatan

        WAF menggunakan halaman blokir bawaan. Anda juga dapat membuat halaman blokir kustom dengan menggunakan fitur Custom Response.

        Origin Custom Header

        Memungkinkan Anda menentukan header dan nilai kustom (seperti jenis aturan, ID aturan, dan App UMID). WAF menambahkan header ini ke permintaan dan meneruskannya ke origin tanpa melakukan tindakan lain. Ini memungkinkan integrasi dengan sistem risk control backend untuk pemrosesan kustom.

      • Di bagian Canary Rule, konfigurasikan persentase permintaan yang terpengaruh oleh aturan berdasarkan dimensi berbeda. Setelah Anda mengaktifkan canary rule, Anda juga harus mengatur Dimension dan Canary Release Proportion. Dimension mencakup IP, Custom Header, Custom Parameter, Custom Cookie, Session, dan App UMID.

        Catatan

        Canary rule berlaku berdasarkan Dimension yang dikonfigurasi, bukan dengan menerapkan aturan secara acak pada persentase tertentu dari seluruh permintaan. Misalnya, jika Dimension adalah IP dan Canary Release Proportion adalah 10%, WAF menerapkan aturan tersebut pada semua permintaan dari 10% alamat IP sumber yang dipilih.

      • Di bagian Effective Mode, pilih kapan aturan berlaku.

        • Permanently Effective (Default): Aturan selalu aktif saat templat perlindungan diaktifkan.

        • Fixed Schedule: Aturan perlindungan hanya aktif selama periode waktu tertentu.

        • Recurring Schedule: Aturan perlindungan hanya aktif selama jadwal berulang tertentu.

    2. Di bagian Risk Identification, Anda dapat mengklik Create untuk membuat aturan identifikasi risiko. Berdasarkan database reputasi nomor telepon bawaan WAF, fitur ini memblokir akses dari nomor telepon mencurigakan, seperti yang terkait dengan calo. Fitur ini cocok untuk skenario seperti login dan registrasi berbasis nomor telepon.

      Penting

      Risk identification adalah fitur berbayar. Aturan penagihannya sebagai berikut:

      • Billing Conditions: Anda dikenai biaya hanya ketika permintaan cocok dengan aturan yang dikonfigurasi.

      • Harga Satuan: USD 0,007/permintaan.

      • Billing Method: Pay-as-you-go. Tagihan dibuat setiap hari.

      • Account Extraction: Klik Add Account untuk mengonfigurasi Account Type dan Location. Anda dapat menambahkan hingga lima kondisi, yang dievaluasi dengan logika OR.

        Contoh konfigurasi: Jika permintaan login menggunakan metode GET dan parameter permintaan dalam format username=158***&password=***, konfigurasikan pengaturan sebagai berikut:

        • Location: Pilih Query Parameters.

        • Parameter Name: Masukkan username.

        Konfigurasi ini memungkinkan WAF mengekstraksi nomor telepon dari permintaan secara akurat untuk deteksi ancaman.

      • Risk Tag: Klik Add Tag untuk mengonfigurasi tag. Anda dapat menambahkan hingga lima tag, yang dievaluasi dengan logika OR.

        • Suspicious Sock Puppet Account: Nomor telepon diduga berasal dari platform pihak ketiga, bukan pengguna pribadi.

        • Fraud Risk: Nomor telepon diduga memiliki riwayat aktivitas penipuan.

        • Spam Registration: Nomor telepon diduga digunakan dengan alat ilegal untuk registrasi pengguna, sering kali untuk kampanye pemasaran di masa depan.

        • Marketing Fraud: Nomor telepon diduga digunakan dengan alat ilegal untuk mengeksploitasi promosi pemasaran, seperti mendaftar massal untuk menerima kupon.

        • Ticket-Scalping Bot: Nomor telepon diduga digunakan dengan alat ilegal untuk berpartisipasi dalam pembelian tiket atau acara penjualan kilat lainnya.

        Risk Level default untuk semua tag adalah Tinggi. Anda dapat mengubahnya menjadi Tinggi, Menengah-Tinggi, atau Menengah sesuai kebutuhan bisnis Anda.

      • Actions:

        Parameter

        Description

        Log

        Aksi ini tidak memblokir permintaan yang cocok dengan aturan, tetapi hanya mencatatnya. Saat menguji aturan, Anda dapat menggunakan mode Log terlebih dahulu untuk menganalisis log WAF dan memastikan tidak ada false positive sebelum mengubah ke aksi lain.

        CAPTCHA

        WAF mengembalikan halaman verifikasi slider kepada klien. Jika klien berhasil menyelesaikan tantangan slider tersebut, WAF mengizinkan semua permintaan dari klien tersebut selama periode waktu tertentu, secara default 30 menit. Jika tidak, permintaan tersebut diblokir.

        Strict CAPTCHA

        WAF mengembalikan halaman verifikasi slider kepada klien. Jika klien berhasil menyelesaikan tantangan slider tersebut, permintaan saat ini diizinkan. Jika tidak, permintaan tersebut diblokir. Dalam mode ini, klien harus menyelesaikan tantangan slider untuk setiap permintaan yang cocok dengan aturan.

        Block

        Memblokir permintaan yang cocok dengan aturan dan mengembalikan halaman blokir kepada klien.

        Catatan

        WAF menggunakan halaman blokir bawaan. Anda juga dapat membuat halaman blokir kustom dengan menggunakan fitur Custom Response.

        Origin Custom Header

        Memungkinkan Anda menentukan header dan nilai kustom (seperti jenis aturan, ID aturan, dan App UMID). WAF menambahkan header ini ke permintaan dan meneruskannya ke origin tanpa melakukan tindakan lain. Ini memungkinkan integrasi dengan sistem risk control backend untuk pemrosesan kustom.

      • Canary Rule dan Effective Mode: Untuk detailnya, lihat deskripsi Canary Rule dan Effective Mode di bagian sebelumnya.

    3. Di bagian Policy Configurations, aturan dikategorikan menjadi Malicious Bot, Suspected Bot, dan Legitimate Bot berdasarkan pustaka signature bot umum yang dikembangkan dari pengalaman Alibaba Cloud. Anda dapat melakukan operasi berikut pada aturan-aturan ini:

      • Enable/Disable: Klik ikon image di kolom Status untuk mengaktifkan atau menonaktifkan aturan.

      • Modify rule: Klik Edit untuk menyesuaikan aturan.

      • Change classification: Untuk aturan dalam kategori Malicious Bot dan Suspected Bot, Anda dapat mengubah klasifikasi di kolom Bot Type jika nilai default tidak memenuhi kebutuhan bisnis Anda.

      • Edit rule actions

        Parameter

        Description

        Log

        Aksi ini tidak memblokir permintaan yang cocok dengan aturan, tetapi hanya mencatatnya. Saat menguji aturan, Anda dapat menggunakan mode Log terlebih dahulu untuk menganalisis log WAF dan memastikan tidak ada false positive sebelum mengubah ke aksi lain.

        CAPTCHA

        WAF mengembalikan halaman verifikasi slider kepada klien. Jika klien berhasil menyelesaikan tantangan slider tersebut, WAF mengizinkan semua permintaan dari klien tersebut selama periode waktu tertentu, secara default 30 menit. Jika tidak, permintaan tersebut diblokir.

        Strict CAPTCHA

        WAF mengembalikan halaman verifikasi slider kepada klien. Jika klien berhasil menyelesaikan tantangan slider tersebut, permintaan saat ini diizinkan. Jika tidak, permintaan tersebut diblokir. Dalam mode ini, klien harus menyelesaikan tantangan slider untuk setiap permintaan yang cocok dengan aturan.

        Block

        Memblokir permintaan yang cocok dengan aturan dan mengembalikan halaman blokir kepada klien.

        Catatan

        WAF menggunakan halaman blokir bawaan. Anda juga dapat membuat halaman blokir kustom dengan menggunakan fitur Custom Response.

        Origin Custom Header

        Memungkinkan Anda menentukan header dan nilai kustom (seperti jenis aturan, ID aturan, dan App UMID). WAF menambahkan header ini ke permintaan dan meneruskannya ke origin tanpa melakukan tindakan lain. Ini memungkinkan integrasi dengan sistem risk control backend untuk pemrosesan kustom.

        Catatan

        Saat JavaScript Validation atau CAPTCHA diaktifkan, WAF menetapkan cookie bernama acw_sc__v2 (untuk JavaScript Validation) atau acw_sc__v3 (untuk Slider CAPTCHA) di header Set-Cookie respons. Klien menyertakan pengenal ini di header Cookie permintaan berikutnya.

      • Edit canary rule dan effective mode.

    Langkah 3: Pilih cakupan

    Di bagian Apply To, pilih objek yang dilindungi atau kelompok objek yang dilindungi yang ingin Anda terapkan templatnya, klik ikon image untuk memindahkannya ke area Selected, lalu klik OK.

    Langkah 4: Integrasikan SDK aplikasi

    Fitur perlindungan bot sangat bergantung pada data yang dikumpulkan oleh SDK. Tanpa integrasi SDK, WAF tidak dapat memberikan perlindungan penuh.

    Setelah Anda mengintegrasikan SDK, SDK tersebut secara otomatis mengumpulkan fitur risiko klien, menghasilkan signature keamanan, dan melampirkannya pada permintaan bisnis. WAF kemudian menggunakan signature ini untuk mengidentifikasi dan memblokir permintaan berisiko secara akurat.

    Berdasarkan sistem operasi seluler Anda, ikuti Panduan Integrasi SDK untuk mengintegrasikan SDK aplikasi.

    O&M Rutin

    • Edit templat

      Klik Edit di kolom Actions untuk templat target. Modifikasi templat di panel Edit.

    • Hapus templat

      Klik Delete di kolom Actions untuk templat target. Di kotak dialog Delete, konfirmasi informasi dan klik OK.

    • Salin templat

      Klik Copy di kolom Actions untuk templat target. Di kotak dialog Copy, konfirmasi informasi dan klik OK.

    • Aktifkan atau nonaktifkan templat

      Templat baru diaktifkan secara default. Anda dapat mengklik sakelar image di kolom Status untuk templat target guna mengaktifkan atau menonaktifkannya.

    • Lihat aturan

      Klik ikon image untuk templat target guna melihat informasi aturannya. Untuk mengaktifkan atau menonaktifkan aturan, klik sakelar image di kolom Status aturan tersebut. Untuk aturan yang diaktifkan, Anda dapat melihat tren hit-nya. Jika jenis aksi aturan adalah JavaScript Validation, CAPTCHA, atau Strict CAPTCHA, Anda juga dapat melihat tingkat kelulusan CAPTCHA.