Web Application Firewall:Lindungi layanan aplikasi dengan bot management

Prosedur

Masuk ke Konsol Web Application Firewall 3.0. Di bilah menu atas, pilih kelompok sumber daya dan Wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF Anda. Di panel navigasi kiri, pilih Protection Config > Bot Management > Bot Management Template. Pada tab App Protection, klik Create Template.

Langkah 1: Tentukan informasi dasar

Masukkan Template Name dan Template Description yang mudah dikenali.

Langkah 2: Konfigurasikan pengaturan perlindungan

Pilih Template Mode. Anda dapat menggunakan Smart Scoring Mode atau Custom Mode.

• Smart Scoring Mode: Saat permintaan sesuai dengan suatu aturan, sistem secara otomatis memberikan skor pada permintaan tersebut berdasarkan aturan bawaan dan mengambil aksi yang ditentukan, seperti block, validasi, atau monitor. Mode ini cocok untuk pengaturan cepat.

• Custom Mode: Sistem mengkategorikan aturan berdasarkan pustaka signature bot Alibaba Cloud yang luas. Anda harus mengonfigurasi aksi untuk setiap aturan secara individual. Mode ini cocok untuk kontrol detail halus.

  Smart Scoring Mode

  1. Pilih Protection Scene berdasarkan kebutuhan bisnis Anda. Jika ragu, disarankan untuk memilih General Protection.

  2. Pilih Traffic Characteristics. Anda dapat memilih antara Global dan Customize Match Conditions.

     • Global: Berlaku untuk semua traffic pada objek yang dilindungi. Opsi ini cocok untuk skenario yang hanya melibatkan lingkungan web atau H5.

     • Customize Match Conditions: Berlaku untuk skenario di mana Anda perlu membedakan traffic web atau H5 berdasarkan karakteristiknya. Misalnya, website dan API, aplikasi, atau mini-program Anda berbagi endpoint yang sama, tetapi Anda hanya ingin melindungi traffic web, atau memerlukan perlindungan detail halus untuk endpoint bisnis tertentu seperti penjualan kilat atau login.

       Global

       Jika Anda memilih Global, Anda tidak perlu menentukan karakteristik traffic.

       Customize Match Conditions

       Jika Anda memilih Customize Match Conditions, WAF akan mencocokkan permintaan berdasarkan karakteristik yang Anda tentukan. Klik Add Condition untuk menambahkan kondisi. Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Tabel berikut menyediakan contoh konfigurasi.

       Catatan

       Jika sebuah aturan memiliki beberapa kondisi, permintaan harus memenuhi semua kondisi tersebut (logika AND) agar sesuai dengan aturan itu. Untuk informasi selengkapnya tentang bidang pencocokan dan Operator logika, lihat Kondisi pencocokan.

       Match Field	Logical Operator	Match Content	Deskripsi
       URI Path	Contains	/login.php	Sesuai jika jalur permintaan berisi /login.php.
       IP	Belongs to	192.1.XX.XX	Sesuai jika alamat IP client adalah 192.1.XX.XX.

  3. Tentukan apakah akan Exclude Static Files. Permintaan untuk file statis biasanya tidak melibatkan logika bisnis dan lebih kecil kemungkinannya terkena serangan injeksi. Mengecualikannya dapat mengurangi beban deteksi, sehingga WAF dapat fokus melindungi endpoint dinamis. Disarankan untuk menggunakan jenis file statis default, namun Anda juga dapat menambahkan jenis kustom.

  4. Di area App Repackaging, klik Create untuk mengonfigurasi aturan. Aturan ini mencegah penyerang mendekompilasi aplikasi Anda, menyematkan kode atau iklan berbahaya, lalu mengemasnya ulang sebagai versi bajakan untuk mengirim permintaan ke server Anda.

     • Tentukan nama paket dan signature resmi di bidang Valid Package Name dan Signature, yang secara unik mengidentifikasi aplikasi Anda. Anda dapat mengklik Add untuk mengonfigurasi beberapa versi, dengan maksimal lima kondisi. Kondisi-kondisi ini dievaluasi dengan hubungan logika OR.

     • Rule Type: Anda dapat mengklasifikasikan aturan sebagai Malicious Bot atau Suspected Bot.

     • Actions: Untuk detailnya, lihat Deskripsi aksi.

     • Canary Rule dan Effective Mode: Untuk detailnya, lihat Deskripsi grayscale aturan dan mode efektif.

  5. Di area Signature Exception Detection, Anda dapat Edit aturan tersebut. Fitur ini memverifikasi legitimasi dan integritas permintaan dari aplikasi seluler Anda, mencegah client yang tidak sah mengubah, memalsukan, atau memutar ulang permintaan. Fitur ini diaktifkan secara default, dan disarankan untuk tetap mengaktifkannya.

     • Custom Signing Field: Jika diaktifkan, Anda harus mengonfigurasi nama bidang dan nilainya. Sistem kemudian akan melakukan pemeriksaan signature pada bidang yang ditentukan.

     • Expired Signature: Pilih opsi ini untuk mengaktifkan pemeriksaan validitas signature.

     • Actions: Aksi yang didukung adalah Monitor, Block, dan Strict CAPTCHA. Untuk detailnya, lihat Deskripsi aksi.

     • Canary Rule dan Effective Mode: Untuk detailnya, lihat Deskripsi grayscale aturan dan mode efektif.

  6. Di area Search Engine Crawler, Anda dapat Edit aturan untuk mengizinkan traffic mesin pencari. Fitur ini diaktifkan secara default, dan disarankan untuk tetap mengaktifkannya.

     • Pilih crawler mesin pencari yang ingin Anda izinkan.

     • Konfigurasikan Canary Rule dan Effective Mode sesuai kebutuhan. Untuk detailnya, lihat Deskripsi grayscale aturan dan mode efektif.

  7. Di area Bot Scoring Range Settings, Anda dapat menyeret penggeser untuk menentukan rentang skor dan aksi yang sesuai. Konfigurasikan hal berikut untuk setiap rentang:

     • Actions: Disarankan untuk menerapkan aksi yang semakin ketat seiring bertambahnya skor, seperti Monitor, CAPTCHA, lalu Block. Untuk detailnya, lihat Deskripsi aksi.

     • Canary Rule dan Effective Mode: Untuk detailnya, lihat Deskripsi grayscale aturan dan mode efektif.

  Custom Mode

  1. Pilih Traffic Characteristics. Anda dapat memilih antara Global dan Customize Match Conditions.

     • Global: Berlaku untuk semua traffic pada objek yang dilindungi. Opsi ini cocok untuk skenario yang hanya melibatkan lingkungan web atau H5.

     • Customize Match Conditions: Berlaku untuk skenario di mana Anda perlu membedakan traffic web atau H5 berdasarkan karakteristiknya. Misalnya, website dan API, aplikasi, atau mini-program Anda berbagi endpoint yang sama, tetapi Anda hanya ingin melindungi traffic web, atau memerlukan perlindungan detail halus untuk endpoint bisnis tertentu seperti penjualan kilat atau login.

       Global

       Jika Anda memilih Global, Anda tidak perlu menentukan karakteristik traffic.

       Customize Match Conditions

       Jika Anda memilih Customize Match Conditions, WAF akan mencocokkan permintaan berdasarkan karakteristik yang Anda tentukan. Klik Add Condition untuk menambahkan kondisi. Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Tabel berikut menyediakan contoh konfigurasi.

       Catatan

       Jika sebuah aturan memiliki beberapa kondisi, permintaan harus memenuhi semua kondisi tersebut (logika AND) agar sesuai dengan aturan itu. Untuk informasi selengkapnya tentang bidang pencocokan dan Operator logika, lihat Kondisi pencocokan.

       Match Field	Logical Operator	Match Content	Deskripsi
       URI Path	Contains	/login.php	Sesuai jika jalur permintaan berisi /login.php.
       IP	Belongs to	192.1.XX.XX	Sesuai jika alamat IP client adalah 192.1.XX.XX.

  2. Tentukan apakah akan Exclude Static Files. Permintaan untuk file statis biasanya tidak melibatkan logika bisnis dan lebih kecil kemungkinannya terkena serangan injeksi. Mengecualikannya dapat mengurangi beban deteksi, sehingga WAF dapat fokus melindungi endpoint dinamis. Disarankan untuk menggunakan jenis file statis default, namun Anda juga dapat menambahkan jenis kustom.

  3. Di area App Repackaging, klik Create untuk mengonfigurasi aturan. Aturan ini mencegah penyerang mendekompilasi aplikasi Anda, menyematkan kode atau iklan berbahaya, lalu mengemasnya ulang sebagai versi bajakan untuk mengirim permintaan ke server Anda.

     • Tentukan nama paket dan signature resmi di bidang Valid Package Name dan Signature, yang secara unik mengidentifikasi aplikasi Anda. Anda dapat mengklik Add untuk mengonfigurasi beberapa versi, dengan maksimal lima kondisi. Kondisi-kondisi ini dievaluasi dengan hubungan logika OR.

     • Rule Type: Anda dapat mengklasifikasikan aturan sebagai Malicious Bot atau Suspected Bot.

     • Actions: Untuk detailnya, lihat Deskripsi aksi.

     • Canary Rule dan Effective Mode: Untuk detailnya, lihat Deskripsi grayscale aturan dan mode efektif.

  4. Di bagian Risk Identification, Anda dapat mengklik Create untuk membuat aturan identifikasi risiko. Berdasarkan database reputasi nomor telepon bawaan WAF, fitur ini memblokir akses dari nomor telepon anomali, seperti yang terkait dengan calo. Fitur ini cocok untuk skenario seperti login dan pendaftaran berbasis nomor telepon.

     Penting

     Identifikasi risiko adalah fitur berbayar. Aturan penagihan adalah sebagai berikut:

     • Kondisi penagihan: Anda hanya dikenakan biaya saat permintaan sesuai dengan aturan yang dikonfigurasi.

     • Harga satuan: USD 0,007/permintaan.

     • Metode penagihan: Pay-as-you-go. Tagihan dibuat setiap hari.

     • Account Extraction: Klik Add Account untuk mengonfigurasi Account Type dan Location. Anda dapat menambahkan hingga lima kondisi, yang dievaluasi dengan logika OR.

       Contoh: Jika permintaan login menggunakan metode GET dan parameter permintaan dalam format username=158***&password=***, konfigurasikan pengaturan sebagai berikut:

       • Location: Pilih Query Parameters.

       • Parameter Name: Masukkan username.

       Konfigurasi ini memungkinkan WAF mengekstrak nomor telepon dari permintaan secara akurat untuk pencocokan dan deteksi keamanan selanjutnya.

     • Risk Tag: Klik Add Tag untuk mengonfigurasi tag. Anda dapat menambahkan hingga lima tag, yang dievaluasi dengan logika OR.

       • Suspicious Sock Puppet Account: Nomor telepon dicurigai berasal dari platform pihak ketiga, bukan pengguna pribadi.

       • Fraud Risk: Nomor telepon dicurigai memiliki riwayat aktivitas penipuan.

       • Spam Registration: Nomor telepon dicurigai digunakan dengan alat ilegal untuk pendaftaran pengguna, sering kali untuk kampanye pemasaran di masa mendatang.

       • Marketing Fraud: Nomor telepon dicurigai digunakan dengan alat ilegal untuk mengeksploitasi promosi pemasaran, seperti mendaftar secara massal untuk mendapatkan kupon.

       • Ticket-Scalping Bot: Nomor telepon dicurigai digunakan dengan alat ilegal untuk berpartisipasi dalam percaloan tiket atau event penjualan kilat lainnya.

       Risk Level default untuk semua tag adalah Tinggi. Anda dapat mengubahnya menjadi Tinggi, Sedang-Tinggi, atau Sedang berdasarkan kebutuhan bisnis Anda.

     • Actions: Untuk detailnya, lihat Deskripsi aksi.

     • Canary Rule dan Effective Mode: Untuk detailnya, lihat Deskripsi grayscale aturan dan mode efektif.

  5. Di area Policy Configurations, sistem menyediakan pustaka aturan yang dikategorikan berdasarkan pengalaman Alibaba Cloud dengan karakteristik bot umum. Anda dapat melakukan tindakan berikut untuk aturan target:

     • Aktifkan/Nonaktifkan: Klik ikon di kolom Status untuk mengaktifkan atau menonaktifkan aturan.

     • Ubah aturan: Klik Edit untuk menyesuaikan aturan. Anda dapat mengatur Actions, Canary Rule, dan Effective Mode. Untuk detailnya, lihat Deskripsi aksi dan Deskripsi grayscale aturan dan mode efektif.

     • Ubah klasifikasi: Untuk aturan Malicious Bot dan Suspected Bot, jika klasifikasi default tidak memenuhi kebutuhan bisnis Anda, Anda dapat mengubahnya di kolom Bot Type.

Langkah 3: Pilih cakupan efektif

Di area Apply To, pilih objek yang dilindungi atau kelompok objek tempat Anda ingin menerapkan Templat. Klik ikon untuk memindahkannya ke area Selected, lalu klik OK.

Langkah 4: Integrasikan SDK aplikasi

Perlindungan bot bergantung pada data yang dikumpulkan oleh SDK aplikasi. Tanpa integrasi SDK, perlindungan penuh tidak dapat dilakukan. Untuk skenario aplikasi native, WAF menyediakan SDK aplikasi khusus untuk meningkatkan keamanan.

Setelah integrasi, SDK secara otomatis mengumpulkan sinyal risiko client, menghasilkan signature keamanan, dan menyambungkannya ke permintaan bisnis. WAF kemudian menggunakan signature ini untuk mengidentifikasi dan memblokir permintaan berisiko secara akurat.

Untuk sistem operasi seluler Anda, integrasikan SDK aplikasi dengan mengikuti Panduan Integrasi SDK.

Pemeliharaan

• Edit Templat

  Klik Edit di kolom Actions untuk Templat target. Ubah Templat di panel Edit.

• Hapus Templat

  Klik Delete di kolom Actions untuk Templat target. Di kotak dialog Delete, konfirmasi informasi dan klik OK.

• Salin Templat

  Klik Copy di kolom Actions untuk Templat target. Di kotak dialog Copy, konfirmasi informasi dan klik OK.

• Aktifkan atau nonaktifkan Templat

  Templat baru diaktifkan secara default. Klik sakelar di kolom Status dari Templat target untuk mengaktifkan atau menonaktifkan Templat.

• Lihat aturan

  Klik ikon untuk Templat target guna melihat informasi aturannya. Anda dapat mengklik sakelar di kolom Status untuk sebuah aturan guna mengaktifkan atau menonaktifkannya. Untuk aturan yang aktif, Anda dapat melihat tren pemicunya. Jika jenis aksi aturan adalah JavaScript Validation, CAPTCHA, atau Strict CAPTCHA, Anda juga dapat melihat tingkat kelulusan verifikasi manusia.

Aksi

Grayscale aturan dan mode efektif

1. Di area Canary Rule, Anda dapat mengonfigurasi persentase objek tempat aturan berlaku berdasarkan dimensi yang berbeda. Setelah mengaktifkan grayscale aturan, Anda juga harus mengatur Dimension dan Canary Release Proportion. Opsi Dimension yang tersedia meliputi: IP, Custom Header, Custom Parameter, Custom Cookie, Session, dan App UMID.

   Catatan

   Grayscale aturan berlaku berdasarkan Dimension yang dikonfigurasi, bukan diterapkan secara acak ke persentase permintaan tertentu. Misalnya, jika Dimension adalah IP dan Canary Release Proportion adalah 10%, WAF memilih sekitar 10% alamat IP. Aturan tersebut kemudian diterapkan ke semua permintaan dari alamat IP yang dipilih ini, bukan ke 10% acak dari semua permintaan.

2. Di area Effective Mode, pilih kapan aturan mulai berlaku.

   • Permanently Effective (Default): Aturan selalu aktif saat Templat perlindungan diaktifkan.

   • Fixed Schedule: Aturan perlindungan hanya aktif selama periode waktu yang ditentukan.

   • Recurring Schedule: Aturan perlindungan hanya aktif selama jadwal berulang yang ditentukan.