Web Application Firewall:Aturan kustom

Langkah 1: Konfigurasikan jenis templat

Pada halaman Core Web Protection, temukan bagian Custom Rule dan klik Create Template. Di panel Create Template, konfigurasikan parameter berikut.

• Template Name: Masukkan nama untuk templat.

• Save as Default Template: Anda hanya dapat mengatur satu templat default dalam modul aturan kustom, dan hanya dapat mengaturnya saat membuat templat baru.

  • Yes: Anda tidak perlu mengonfigurasi Apply To. Saat templat dibuat, templat tersebut berlaku untuk semua objek yang dilindungi dan kelompok objek secara default. Templat juga secara otomatis berlaku untuk objek baru yang ditambahkan nanti. Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi 'Inactive'.

  • No: Anda harus mengatur Apply To untuk menentukan secara manual objek yang dilindungi atau kelompok objek.

Langkah 2: Tambahkan aturan perlindungan

Di area Rule Configuration, klik Create Rule dan konfigurasikan parameter berikut.

• Rule Name: Masukkan nama untuk aturan.

• Match Condition: Menentukan karakteristik permintaan yang diperiksa oleh aturan. Klik Add Condition untuk menambahkan kondisi. Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Tabel berikut menyediakan contoh konfigurasi.

  Catatan

  Jika suatu aturan berisi beberapa kondisi, permintaan harus memenuhi semua kondisi (hubungan logika AND) agar memicu aturan tersebut. Anda tidak dapat mengonfigurasi hubungan logika OR antar kondisi. Untuk memblokir permintaan yang memenuhi salah satu dari beberapa kata kunci atau karakteristik (misalnya, kata kunci A atau kata kunci B), buat aturan perlindungan terpisah untuk setiap kondisi. Untuk informasi lebih lanjut tentang bidang pencocokan dan operator logika, lihat Match conditions.

  Match Field	Logical Operator	Match Content	Deskripsi
  URI Path	Contains	/login.php	Aturan ini sesuai jika path permintaan berisi /login.php.
  IP	Belongs To	192.1.XX.XX	Aturan ini sesuai jika alamat IP klien adalah 192.1.XX.XX.

  Catatan

  Aturan pencocokan kompleks

  1. Logika dan batasan pencocokan multi-nilai
  Untuk menerapkan aturan yang sama ke beberapa endpoint API, Anda dapat menggunakan operator logika yang mendukung beberapa nilai, seperti Contains One of Multiple Values, Equals One of Multiple Values, Does Not Contain Any Value, atau Does Not Equal Any Value. Persyaratan konfigurasinya sebagai berikut:
  

  • Delimiter: Anda harus menggunakan koma (,) untuk memisahkan beberapa nilai pencocokan. Sistem membagi nilai berdasarkan koma dan memprosesnya secara independen.

  • Jumlah dan deduplikasi: Anda dapat memasukkan hingga 50 nilai. Nilai duplikat tidak diperbolehkan.

  2. Penanganan karakter khusus
  Jika konten pencocokan berisi koma (misalnya, dalam beberapa string User-Agent), sistem mungkin salah mengartikannya sebagai delimiter multi-nilai, sehingga pencocokan gagal. Dalam kasus ini, jangan gunakan operator logika multi-nilai. Kami merekomendasikan alternatif berikut:
  

  • Pencocokan ekspresi reguler: Mencocokkan konten menggunakan ekspresi reguler dan memperlakukan koma sebagai karakter literal.

  • Aturan tunggal: Buat aturan terpisah untuk string spesifik tersebut dan gunakan operator logika nilai tunggal.

  3. Contoh penerapan regex

  • Mencocokkan rentang nomor versi tertentu: Untuk mencocokkan versi browser Chrome antara 100 dan 200, atur bidang pencocokan ke User-Agent, operator logika ke Regex Match, dan konten pencocokan ke Chrome/(1[0-9]{2}|200)\..

  • Blokir beberapa enkode URL: Untuk memblokir permintaan yang di-enkode URL beberapa kali, misalnya, di mana % di-enkode sebagai \x25, atur operator logika ke "Regex Match" dan konten pencocokan ke \x25.*\x25.

  4. Rekomendasi untuk lingkungan produksi
  Saat mengonfigurasi kondisi pencocokan kompleks seperti ekspresi reguler di lingkungan produksi, kami merekomendasikan agar Anda terlebih dahulu menggunakan aksi Monitor atau uji canary untuk memverifikasi perilaku aturan tersebut. Setelah memastikan tidak ada masalah, Anda dapat menerapkan aturan tersebut ke seluruh trafik.
  

• Protection Rule Type: Didukung tiga jenis: Access Control, Rate Limiting, dan Extension Execution.

  • Access Control: Ideal untuk skenario yang memerlukan kontrol tepat atas jenis permintaan tertentu.

  • Rate Limiting: Ideal untuk skenario yang memerlukan perlindungan berdasarkan frekuensi akses, seperti mencegah credential stuffing dan serangan brute-force. Fitur ini hanya tersedia pada instans WAF dengan langganan (Edisi Perusahaan atau Edisi Ultimate) dan bayar sesuai penggunaan.

  • Extension Execution: Ideal untuk skenario keamanan personal yang memerlukan skrip Lua kustom untuk menerapkan logika bisnis kompleks. Kami merekomendasikan agar Anda terlebih dahulu mengonfigurasi extensions.

  Access control

  Konfigurasikan aturan access control untuk melakukan aksi tertentu pada permintaan individual yang memenuhi kondisi spesifik.

  Rate limiting

  Konfigurasikan aturan rate limiting untuk membatasi akses berlebihan dari klien.

  • Kondisi deteksi laju: Jika jumlah kali suatu Statistical Object sesuai dengan aturan dalam Statistical Interval (Seconds) yang ditentukan melebihi Threshold (Times) yang dikonfigurasi, WAF memicu aksi blacklist.

    Parameter	Deskripsi
    Statistical Object	Pilih objek untuk mengukur frekuensi permintaan. Opsi meliputi: IP: Mengukur frekuensi permintaan dari satu alamat IP. Jika Anda menerapkan proxy lapisan 7, seperti CDN atau Anti-DDoS, di depan WAF, pastikan Anda mengatur parameter Is a Layer 7 proxy (such as Anti-DDoS/CDN) deployed before WAF? ke Yes saat menambahkan aset ke WAF. Konfigurasi yang salah mencegah WAF mendapatkan alamat IP klien yang sebenarnya, dan aturan berbasis IP akan gagal. Custom Header: Mengelompokkan permintaan berdasarkan nilai header permintaan kustom, seperti Referer, dan mengukur frekuensi permintaan untuk setiap kelompok dengan nilai header yang sama dalam periode waktu yang ditentukan. Custom Parameter: Mengukur frekuensi permintaan untuk permintaan yang berisi parameter tertentu di URL. Misalnya, jika parameternya adalah user_id, WAF mengukur frekuensi permintaan dengan nilai user_id yang sama. Custom Cookie: Mengukur frekuensi permintaan HTTP yang berisi cookie tertentu dalam periode waktu yang ditentukan. Misalnya, jika nama cookie kustom adalah User, WAF menghitung kemunculan setiap nilai User dalam periode waktu tersebut. Session: WAF membuat ID sesi dengan menyetel cookie bernama acw_tc dalam respons dan mengukur frekuensi permintaan klien berdasarkan nilai cookie ini. Account: Mengukur frekuensi permintaan dari akun yang sama. Anda harus mengonfigurasi User Identification di halaman Protected Objects sebelum dapat menggunakan opsi ini. Untuk informasi lebih lanjut, lihat Configure protected objects and protected object groups.
    Statistical Interval (Seconds)	Atur periode statistik dalam detik.
    Threshold (Times)	Atur jumlah maksimum kali Statistical Object diperbolehkan untuk sesuai dengan Match Condition dalam Statistical Interval (Seconds).

  • Kondisi deteksi kode status: Jika Quantity atau Percentage (%) respons dengan Status Code tertentu melebihi ambang batas yang dikonfigurasi, WAF memicu aksi blacklist. Jika Anda mengaktifkan deteksi kode status, objek statistik harus memenuhi kedua kondisi deteksi laju dan kode status untuk memicu aksi tersebut.

    Parameter	Deskripsi
    Status Code	Atur kode status yang akan dihitung.
    Quantity	Atur jumlah maksimum kali Status Code tertentu muncul dalam respons dalam periode statistik.
    Percentage (%)	Atur persentase maksimum respons dengan Status Code tertentu dalam periode statistik.

  • Kondisi aksi blacklist: Menambahkan objek statistik yang memenuhi kondisi deteksi sebelumnya ke daftar hitam. Selama Timeout Period, WAF menerapkan Rule Action yang dikonfigurasi ke permintaan dari objek yang masuk daftar hitam yang berada dalam cakupan Apply To.

    Parameter	Deskripsi
    Apply To	Atur cakupan untuk aksi daftar hitam. Opsi meliputi: Current Match Condition: Aksi hanya berlaku untuk permintaan yang memenuhi Match Condition aturan saat ini. Protected Object: Aksi berlaku untuk semua permintaan dari objek statistik, seperti alamat IP, ke objek yang dilindungi saat ini.
    Timeout Period	Atur durasi aksi daftar hitam. Satuan: detik. Rentang nilai: 60 hingga 86400.

  Extension execution

  Pilih dari aturan ekstensi yang telah Anda konfigurasi untuk menerapkan kontrol keamanan personal.

  Catatan

  Aturan Extension Execution hanya mendukung dua aksi aturan: Block dan Log.

• Rule Action: Pilih aksi yang akan dilakukan ketika permintaan sesuai dengan aturan.

  Parameter	Deskripsi
  JavaScript Validation	WAF mengembalikan cuplikan JavaScript ke klien untuk validasi. Browser standar secara otomatis mengeksekusi kode ini. Jika browser klien berhasil mengeksekusi kode tersebut, WAF mengizinkan semua permintaan dari klien tersebut untuk periode tertentu (30 menit secara default). Jika tidak, WAF memblokir permintaan tersebut.
  Block	Memblokir permintaan yang sesuai dengan aturan dan mengembalikan halaman respons blokir ke klien. Catatan WAF menggunakan halaman blokir default. Anda juga dapat menggunakan fitur Custom Response untuk menyesuaikan halaman blokir.
  Log	Mengizinkan permintaan yang sesuai dengan aturan tetapi mencatat kecocokan tersebut dalam log. Saat menguji aturan baru, Anda dapat terlebih dahulu menggunakan mode Log untuk menganalisis log WAF dan memastikan aturan tersebut tidak memblokir permintaan sah, lalu beralih ke aksi aturan lainnya.
  CAPTCHA	WAF mengembalikan halaman CAPTCHA ke klien. Jika klien berhasil menyelesaikan CAPTCHA, WAF mengizinkan semua permintaan dari klien tersebut untuk periode tertentu (30 menit secara default). Jika tidak, WAF memblokir permintaan tersebut. Catatan Untuk instans WAF yang menggunakan metode penagihan bayar sesuai pemakaian, aksi aturan ini menimbulkan biaya tambahan. Untuk informasi lebih lanjut, lihat Pay-as-you-go billing details.
  Strict CAPTCHA	WAF mengembalikan halaman CAPTCHA ke klien. Jika klien berhasil menyelesaikan CAPTCHA, WAF mengizinkan permintaan tersebut. Jika tidak, WAF memblokirnya. Dalam mode ini, setiap permintaan dari klien yang sesuai dengan aturan ini memerlukan verifikasi CAPTCHA. Catatan Untuk instans WAF yang menggunakan metode penagihan bayar sesuai pemakaian, aksi aturan ini menimbulkan biaya tambahan. Untuk informasi lebih lanjut, lihat Pay-as-you-go billing details.

  Catatan

  • Aksi CAPTCHA hanya tersedia pada instans WAF dengan langganan (Edisi Perusahaan atau Edisi Ultimate) dan bayar sesuai penggunaan.

  • Aksi JavaScript Validation dan CAPTCHA hanya berlaku untuk permintaan sinkron. Untuk permintaan asinkron, seperti yang dibuat dengan XMLHttpRequest atau Fetch API, Anda harus menyuntikkan Web SDK. Jika tidak, fitur-fitur ini tidak akan berfungsi dengan benar. Untuk informasi lebih lanjut, lihat bagian validasi JavaScript dan CAPTCHA dalam Bot management.

  • Setelah Anda mengaktifkan JavaScript Validation atau CAPTCHA dan klien berhasil melewati verifikasi, WAF menggunakan Set-Cookie untuk menyetel cookie bernama acw_sc__v2 (untuk JavaScript Validation) atau acw_sc__v3 (untuk CAPTCHA) di header respons. Klien kemudian menyertakan pengenal ini di header Cookie permintaan berikutnya.

• Advanced Settings (Opsional): Fitur lanjutan berikut hanya tersedia untuk instans WAF Edisi Perusahaan atau Edisi Ultimate yang menggunakan metode penagihan langganan, serta instans WAF bayar sesuai penggunaan.

  Parameter	Deskripsi
  Canary Rule	Konfigurasikan persentase trafik yang akan diterapkan aturan tersebut, berdasarkan dimensi tertentu. Setelah mengaktifkan aturan canary, Anda juga harus mengatur Dimension dan Canary Release Proportion. Nilai valid untuk Dimension adalah IP, Custom Header, Custom Parameter, Custom Cookie, dan Session. Catatan Aturan canary berlaku berdasarkan Dimension yang dikonfigurasi, bukan diterapkan secara acak ke persentase permintaan. Misalnya, jika Anda mengatur Dimension ke IP dan Canary Release Proportion ke 10%, WAF memilih sekitar 10% dari semua alamat IP. WAF kemudian menerapkan aturan tersebut ke semua permintaan dari alamat IP yang dipilih, bukan ke 10% permintaan secara acak.
  Effective Mode	Permanently Effective (Default): Aturan selalu berlaku saat Template perlindungan diaktifkan. Fixed Schedule: Aturan hanya berlaku selama periode waktu tertentu. Recurring Schedule: Aturan hanya berlaku selama siklus waktu berulang tertentu.

Langkah 3: Atur objek penerapan

Di area Apply To, pilih objek yang dilindungi dan kelompok objek yang dilindungi yang ingin Anda terapkan templatnya.

Cara penerapan templat tergantung pada konfigurasi yang Anda buat di Langkah 1:

• Jika Anda mengatur templat sebagai Template perlindungan default: Anda tidak perlu mengonfigurasi objek penerapan. Templat diterapkan ke semua objek yang dilindungi dan kelompok objek yang dilindungi yang sudah ada maupun baru secara default. Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi "Tidak Diterapkan".

• Jika Anda tidak mengatur templat sebagai Template perlindungan default: Anda harus menentukan secara manual objek yang dilindungi dan kelompok objek yang dilindungi yang akan diterapkan templat tersebut.

Mengapa aturan saya tidak berfungsi?

Jika aturan kustom WAF yang dikonfigurasi tidak berfungsi seperti yang diharapkan, atau jumlah permintaan yang dicegat jauh lebih rendah dari yang diharapkan, kami merekomendasikan agar Anda secara sistematis memecahkan masalah tersebut di area berikut.

Periksa konfigurasi dasar dan status

1. Verifikasi asosiasi objek yang dilindungi: Verifikasi bahwa Anda telah membuat dan mengaitkan templat aturan kustom dengan Protected Object/Group target (seperti instans ALB atau nama domain) dengan benar. Pastikan statusnya Effective; jika tidak, WAF tidak dapat mengirimkan dan mengeksekusi aturan tersebut.

2. Periksa status templat dan aturan: Periksa bahwa sakelar Status Template perlindungan dan sakelar Status aturan spesifik keduanya aktif. Jika salah satu sakelar dimatikan, aturan yang sesuai akan tidak aktif.

3. Verifikasi aksi aturan: Pastikan Rule Action aturan diatur ke selain Log. Aksi Log hanya mencatat peristiwa dan tidak memblokir permintaan.

Validasi kondisi pencocokan dan logika

1. Akurasi kondisi pencocokan: Periksa secara menyeluruh apakah Match Field, Logical Operator, dan Match Content aturan tersebut benar-benar sesuai dengan permintaan target. Jika Anda menggunakan ekspresi reguler, verifikasi secara ketat bahwa Anda menulis karakter escape dengan benar.

2. Strategi untuk path dinamis: Jika path target berisi segmen acak yang dihasilkan secara dinamis (seperti parameter atau ID acak), kami merekomendasikan mengatur bidang pencocokan ke URI Path dan menggunakan operator logika Contains untuk mencocokkan hanya string tetap yang tidak berubah di path tersebut. Hindari mencocokkan path lengkap, karena perubahan dinamis dapat menyebabkan aturan gagal.

3. Penanganan header yang hilang: Untuk bidang header permintaan yang mungkin hilang, seperti Referer atau User-Agent, perhatikan bahwa "nilai bidang kosong" dan "bidang tidak ada di header permintaan" adalah dua keadaan logika yang berbeda. Kami merekomendasikan mengonfigurasi kondisi untuk kedua keadaan logika tersebut untuk mencegah aturan gagal karena keadaan yang tidak ditangani.

Periksa prioritas aturan dan kondisi pemicu

1. Aturan lain mungkin memiliki prioritas lebih tinggi: Periksa aturan perlindungan atau modul lain yang dikonfigurasi. Misalnya, jika aturan daftar putih dikonfigurasi, permintaan mungkin lolos sebelum aturan blokir Anda dapat mengevaluasinya.

2. Pembatasan laju dengan kondisi kode status: Jika Anda mengonfigurasi aturan Rate Limiting dan mengaktifkan deteksi kode status, WAF hanya memicu aturan tersebut jika objek statistik memenuhi kedua kondisi "ambang batas frekuensi akses" dan "karakteristik kode status" dalam periode statistik. Anda perlu memastikan bahwa server origin benar-benar mengembalikan kode status yang ditentukan (seperti 404) untuk permintaan yang relevan. Jika tidak, WAF tidak akan memicu aturan tersebut meskipun frekuensi akses mencapai ambang batas.

Batasi laju domain pada instans bersama

Aturan pembatasan laju membatasi frekuensi permintaan objek statistik tunggal berdasarkan objek yang dilindungi. Jika satu instans layanan cloud menangani trafik untuk beberapa domain, WAF menggabungkan frekuensi akses di semua domain untuk tujuan statistik. Jika Anda perlu membatasi frekuensi akses hanya untuk domain tertentu, Anda dapat menggunakan salah satu metode berikut:

• Tambahkan domain tersebut sebagai objek yang dilindungi WAF dan terapkan aturan pembatasan laju ke objek tersebut. Untuk informasi lebih lanjut, lihat Configure protected objects and protected object groups.

• Dalam Match Condition aturan pembatasan laju, gunakan bidang Host untuk menentukan domain yang ingin Anda batasi frekuensi aksesnya.

Pemecahan masalah bidang parameter body

Alasan yang paling mungkin adalah konten pencocokan terlalu pendek. Saat menggunakan bidang Body Parameter, pastikan konten pencocokan minimal terdiri dari lima karakter. Jika tidak, WAF tidak dapat mendeteksi trafik tersebut.

Cara melindungi dari serangan malam hari

Untuk layanan dengan trafik sah minimal di malam hari, Anda dapat mengonfigurasi aturan perlindungan yang lebih ketat untuk mempertahankan diri dari serangan. Untuk melakukan ini, atur Effective Mode aturan ke Recurring Schedule dan pilih Time Zone yang benar untuk menerapkan perlindungan tepat selama jam malam.

Jika layanan Anda tidak melayani pengguna di wilayah tertentu (misalnya, hanya melayani pengguna domestik), Anda juga dapat mengonfigurasi aturan pemblokiran regional untuk langsung memblokir permintaan akses dari wilayah tersebut, sehingga memblokir trafik anomali.

Izinkan permintaan tertentu dan blokir yang lain

Logika konfigurasi untuk mengizinkan permintaan tertentu dan memblokir semua yang lain

Aturan kustom WAF menggunakan logika "cocok dan picu", yang tidak secara langsung mendukung model daftar putih positif "izinkan hanya permintaan tertentu, blokir semua yang lain". Untuk menerapkan kebijakan keamanan ini, Anda harus menggunakan logika terbalik: "blokir semua permintaan yang tidak sesuai dengan kriteria izin". Untuk metode konfigurasi spesifik, lihat Restrict admin panel access to specific IP addresses.

Perbedaan antara ACL WAF dan Cloud Firewall

WAF berbeda secara mendasar dari ACL Cloud Firewall dan Grup keamanan ECS dalam model pertahanannya:

• ACL Cloud Firewall: Dikonfigurasi berdasarkan "niat bisnis" yang tetap dan dapat dihitung. Misalnya, Anda dapat membatasi database internal untuk hanya mengizinkan akses dari alamat IP server aplikasi tertentu. ACL menggunakan strategi "tolak semua secara default, izinkan berdasarkan pengecualian" untuk secara tepat mengurangi permukaan serangan jaringan.

• WAF: Memberikan pertahanan berdasarkan tanda tangan dan perilaku, terutama untuk permintaan HTTP/HTTPS. Trafik aplikasi web sangat kompleks, melibatkan banyak permintaan dinamis dan interaksi pengguna. Jika Anda menerapkan strategi "tolak semua, izinkan berdasarkan pengecualian" di WAF, Anda perlu menghitung semua karakteristik permintaan sah, seperti URL, parameter, dan header. Strategi ini tidak hanya sulit diterapkan tetapi juga sangat mahal untuk dipelihara.

Strategi WAF detail halus yang direkomendasikan

Mengingat perbedaan ini, kami tidak merekomendasikan mengonfigurasi aturan global "blokir semua, izinkan yang spesifik" di WAF. Sebagai gantinya, adopsi strategi konfigurasi detail halus berikut:

1. Kontrol akses tepat: Untuk path sensitif seperti panel admin atau endpoint API inti, konfigurasikan aturan kontrol akses tepat berdasarkan alamat IP, User-Agent, atau header tertentu untuk memberlakukan kontrol akses yang ketat.

2. Perlindungan dasar: Untuk trafik reguler dari publik, andalkan aturan Core Web Protection dan modul perlindungan CC WAF untuk mengidentifikasi dan memblokir pola serangan yang dikenal dan perilaku anomali, daripada menggunakan blokir menyeluruh.

3. Penyetelan berkelanjutan: Secara rutin analisis log event WAF. Terus-menerus iterasi dan sempurnakan aturan kontrol akses Anda berdasarkan perubahan trafik bisnis dan lanskap ancaman untuk memastikan keseimbangan antara keamanan dan ketersediaan bisnis.

Menggunakan operator contains untuk menghindari aturan duplikat

Saat Anda mengatur bidang pencocokan ke URI Path dan operator logika ke Contains, permintaan akan sesuai jika string yang ditentukan muncul di mana saja di path permintaan.

Contoh: Jika Anda memasukkan /resources/author/ sebagai konten pencocokan, ini dapat mencocokkan path multibahasa seperti /cn/resources/author/ dan /en/resources/author/.

Kasus penggunaan: Untuk direktori multi-level atau situs multibahasa yang berbagi segmen path tetap yang sama, metode ini dapat secara efektif mengurangi kebutuhan akan aturan duplikat.