Konfigurasikan HTTP flood protection - Web Application Firewall

HTTP flood protection di Web Application Firewall (WAF) melindungi terhadap serangan flood HTTP (CC) pada lapisan aplikasi. Anda dapat memilih mode perlindungan bawaan untuk pertahanan rutin atau respons darurat guna memastikan kelangsungan layanan.

Konsep utama

HTTP flood protection: Modul dalam Core Web Protection. Untuk mengaktifkan fitur ini, buat satu atau beberapa Template perlindungan.

Template perlindungan: Menentukan aturan perlindungan dan cakupannya. Templat terdiri dari Template Information, Rule Configuration, dan Apply To.

Template Information: Menentukan jenis templat. Jenis tidak dapat diubah setelah templat dibuat. WAF mendukung dua jenis templat berikut:

Template type	Description	Use cases
Default protection template	Templat perlindungan default awal disediakan untuk langganan WAF Pro Edition, WAF Enterprise Edition, dan WAF Ultimate Edition. Saat dibuat, templat secara otomatis diterapkan ke objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat perlindungan kustom. Objek baru yang ditambahkan juga secara otomatis dilindungi. Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi Not Applied. Anda hanya dapat membuat satu templat perlindungan default untuk modul HTTP flood protection. Saat objek yang dilindungi dihapus dari templat kustom, objek tersebut secara otomatis dikembalikan ke templat default.	Terapkan aturan perlindungan umum yang perlu diterapkan secara global.
Custom protection template	Anda harus secara manual menentukan objek yang dilindungi atau kelompok objek tempat templat ini berlaku. Saat Anda menambahkan objek yang dilindungi ke templat kustom, objek tersebut secara otomatis dihapus dari templat default.	Terapkan aturan perlindungan detail halus untuk layanan tertentu.

Rule Configuration: Aturan deteksi bawaan berdasarkan basis data signature serangan. Pilih Protection Mode dan Action respons; tidak diperlukan penulisan aturan kustom.
Apply To: Objek yang dilindungi atau kelompok objek tempat aturan perlindungan diterapkan. Setiap objek yang dilindungi atau kelompok objek hanya dapat dikaitkan dengan satu templat perlindungan.
- Protected object: Dibuat secara otomatis saat Anda menambahkan nama domain atau instans layanan cloud ke WAF.
- Object group: Tambahkan beberapa objek yang dilindungi ke kelompok objek untuk manajemen terpusat.

Prosedur

Catatan

Prasyarat: Sebelum memulai, pastikan Anda telah menambahkan layanan web ke WAF untuk membuat objek yang dilindungi. Jika belum menambahkan layanan web, lihat Add a service.
Konfigurasi awal: Langkah-langkah ini menjelaskan cara membuat templat HTTP flood protection baru, yang berguna jika belum ada templat atau jika Anda memerlukan konfigurasi terpisah untuk objek berbeda. Untuk langganan WAF Pro Edition, WAF Enterprise Edition, dan WAF Ultimate Edition, sistem menyediakan templat perlindungan default yang memenuhi kebutuhan perlindungan rutin. Jika perlindungan default tidak efektif, lihat Handle false positives and false negatives.

Navigasi ke konsol WAF:
Masuk ke Web Application Firewall 3.0 console. Di bilah navigasi atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF Anda. Lalu, di panel navigasi kiri, pilih Protection Config > Core Web Protection dan klik Create Template di bagian HTTP Flood Protection.
Konfigurasikan Template Information:
- Template Name: Masukkan nama deskriptif untuk templat.
- Save as Default Template: Sistem menyediakan templat perlindungan default awal untuk langganan WAF Pro Edition, WAF Enterprise Edition, dan WAF Ultimate Edition. Anda hanya dapat membuat satu templat perlindungan default untuk modul HTTP flood protection. Jika templat default awal sudah ada, Anda tidak dapat mengatur parameter ini ke Yes.
  - Yes: Anda tidak perlu menentukan Apply To. Saat templat dibuat, templat tersebut secara otomatis diterapkan ke objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat perlindungan kustom. Objek baru yang ditambahkan juga secara otomatis dilindungi. Kecualikan objek tertentu secara manual dengan mengatur statusnya menjadi Not Applied.
  - No: Tentukan secara manual Apply To atau kelompok objek tempat templat ini berlaku.
Rule Configuration:
- Protection Mode: Pilih Standard Mode atau Strict Mode. Setiap mode berisi beberapa aturan perlindungan bawaan.
  - Standard Mode: Memblokir hanya permintaan dengan signature serangan yang jelas. Mode ini memiliki tingkat positif palsu rendah dan cocok untuk operasi rutin serta skenario trafik stabil.
  - Strict Mode: Menggunakan algoritma deteksi intensitas tinggi untuk memblokir serangan flood HTTP, tetapi memiliki tingkat positif palsu lebih tinggi. Aktifkan mode ini hanya ketika mode Normal tidak efektif dan Anda mengamati penurunan layanan seperti keterlambatan respons atau penggunaan CPU atau memori tinggi.
    Catatan
    Strict Mode hanya cocok untuk halaman web, termasuk halaman HTML5. Jangan gunakan untuk API atau aplikasi native untuk menghindari banyak positif palsu. Untuk skenario API atau aplikasi native, gunakan templat perlindungan custom rule.
- Action: Aksi yang diambil terhadap permintaan yang sesuai dengan aturan perlindungan.
  - JavaScript Validation: Mengirim tantangan validasi JavaScript ke klien. Cocok untuk skenario perlindungan umum.
  - Monitor: Mencatat event tanpa memblokir permintaan. Cocok untuk validasi kebijakan, pengujian layanan, atau uji coba.
Pilih Apply To:
Pilih objek yang dilindungi dan kelompok objek untuk templat ini. Objek yang dilindungi oleh templat tergantung pada konfigurasi di Langkah 2:
- Jika Anda menggunakan templat perlindungan default yang dibuat sistem atau mengatur templat baru sebagai default: Anda tidak perlu memilih objek yang dilindungi. Templat secara otomatis diterapkan ke semua objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat kustom, termasuk yang baru ditambahkan. Kecualikan objek tertentu secara manual dengan mengatur statusnya menjadi Not Applied.
- Jika templat tidak diatur sebagai default: Pilih secara manual objek yang dilindungi dan kelompok objek tempat templat ini berlaku.
  Catatan
  Atur ulang status penerapan objek yang dilindungi atau kelompok objek selama atau setelah pembuatan templat.

Penanganan positif palsu dan negatif palsu

Jika templat perlindungan gagal memblokir serangan flood HTTP atau salah memblokir lalu lintas sah, gunakan langkah-langkah berikut untuk mendiagnosis dan menyelesaikan masalah.

Dalam Standard Mode, serangan tidak diblokir

Jika WAF gagal memblokir permintaan serangan, periksa penyebab umum dan solusi berikut.

Permintaan tidak diproses oleh WAF
- Cause: Sertifikat SSL atau port pendengar yang dikonfigurasi di WAF tidak sesuai dengan konfigurasi server origin.
- Cause: Dalam mode rekaman CNAME, rekaman DNS tidak dimodifikasi dengan benar untuk mengarahkan trafik ke WAF.
- Cause: Dalam mode rekaman CNAME, penyerang melewati WAF dengan langsung mengakses alamat IP server origin.
  Recommendation: Konfigurasikan grup keamanan server origin Anda agar hanya mengizinkan trafik dari Blok CIDR back-to-origin WAF.
- Cause: Saat layanan cloud ditambahkan, instans yang ditambahkan untuk perlindungan WAF bukan instans tempat nama domain sebenarnya mengarah.
  Recommendation: Pastikan instans layanan cloud yang benar ditambahkan ke WAF.
Permintaan diproses oleh WAF tetapi tidak sesuai dengan aturan
Jika templat perlindungan flood HTTP Standard Mode masih tidak efektif, lakukan tindakan berikut:
- Aktifkan Strict Mode: Mode ini cocok untuk pemulihan layanan darurat dari serangan flood HTTP dan hanya berlaku untuk layanan web dan HTML5. Untuk menghindari banyak positif palsu, tambahkan pengguna sah ke daftar putih berdasarkan analisis pengelompokan.
- Gunakan modul custom rule: WAF memungkinkan Anda membuat kebijakan perlindungan berdasarkan bidang seperti alamat IP klien, URI, User-Agent, dan wilayah untuk pertahanan tepat sasaran terhadap signature serangan tertentu. Namun, ini memerlukan analisis log akses untuk mengidentifikasi pola serangan.
- Gunakan Anti-DDoS Proxy: Serangan flood HTTP volume tinggi dapat menghasilkan trafik puncak yang melebihi ambang batas blackhole Anti-DDoS Dasar. Jika ini terjadi, trafik WAF akan di-blackhole dan menjadi tidak dapat diakses. Dalam kasus ini, gunakan Anti-DDoS Proxy. Untuk informasi lebih lanjut, lihat Configure HTTP flood protection.

Dalam Strict Mode, layanan normal salah diblokir

Jika templat perlindungan flood HTTP dalam Strict Mode menyebabkan terlalu banyak positif palsu, lakukan langkah-langkah berikut:

Daftarkan lalu lintas normal ke daftar putih: Tambahkan pengguna sah ke daftar putih berdasarkan fitur pengelompokan.
Beralih ke Standard Mode dan gunakan modul perlindungan custom rule: WAF memungkinkan Anda menetapkan kebijakan perlindungan berdasarkan bidang seperti IP klien, URI akses, User-Agent, dan wilayah untuk mempertahankan diri secara tepat sasaran terhadap pola serangan tertentu. Namun, Anda harus terlebih dahulu menganalisis log akses untuk mengidentifikasi pola tersebut.
Gunakan Anti-DDoS Pro: Selama serangan flood HTTP frekuensi tinggi, trafik puncak dapat melebihi ambang batas blackhole Anti-DDoS Origin. Jika ambang batas ini dilampaui, trafik ke WAF akan di-blackhole dan layanan Anda menjadi tidak dapat diakses. Dalam kasus ini, gunakan Anti-DDoS Pro untuk perlindungan. Untuk informasi lebih lanjut, lihat Configure HTTP flood attack protection.

Maintenance rutin

Templat perlindungan flood HTTP baru diaktifkan secara default. Anda dapat melakukan tindakan berikut dalam daftar templat perlindungan:

Lihat templat perlindungan: Klik ikon di sebelah kiri nama templat perlindungan untuk melihat aturan yang dikandung templat tersebut.
Aktifkan atau nonaktifkan templat perlindungan: Gunakan Status untuk mengaktifkan atau menonaktifkan templat.
Edit templat perlindungan: Di kolom Actions untuk templat perlindungan, klik Edit untuk mengubah pengaturan seperti Template Information, Rule Configuration, dan Apply To.
Hapus templat perlindungan: Saat Anda tidak lagi memerlukan templat, klik Delete di kolom Actions untuk templat tersebut. Di kotak dialog yang muncul, klik Delete untuk menyelesaikan tindakan.
Penting
- Jika templat perlindungan kustom untuk objek yang dilindungi dihapus, objek tersebut secara otomatis ditambahkan kembali ke templat perlindungan default.
- Jika templat perlindungan default dihapus saat masih berisi objek yang dilindungi, objek tersebut tidak lagi dilindungi oleh aturan perlindungan flood HTTP.

FAQ

Mengapa server atau database saya mengalami penggunaan CPU tinggi, beban meningkat, dan waktu respons lambat?

Hal ini dapat terjadi selama serangan CC frekuensi rendah. Jenis serangan ini mensimulasikan perilaku pengguna nyata dengan terus-menerus mengakses antarmuka yang intensif sumber daya, seperti login, pencarian, dan pemesanan, dengan frekuensi permintaan rendah. Aktivitas ini meningkatkan beban CPU server, menghabiskan kolam koneksi database, dan menyebabkan waktu respons lebih lambat.

Gejala umum meliputi:

Peningkatan abnormal lalu lintas layanan atau permintaan per detik (QPS) dalam periode singkat.
Persentase permintaan untuk URI tertentu jauh lebih tinggi dari biasanya.
Distribusi abnormal alamat IP sumber, seperti banyak berasal dari luar Tiongkok, dari kumpulan IP proxy, atau dari beberapa segmen IP baru dalam periode singkat.
Persentase trafik dari satu alamat IP tiba-tiba meningkat.

Langkah mitigasi:

Opsi 1: Mitigasi tanpa WAF
Tingkatkan sumber daya cloud, seperti spesifikasi instans ECS dan bandwidth, untuk menangani trafik serangan. Atau, identifikasi alamat IP sumber abnormal dan tambahkan ke grup keamanan ECS atau blacklist firewall sistem. Namun, karena alamat IP sumber serangan sering kali dinamis, memelihara blacklist secara manual tidak efisien.
Opsi 2: Hubungkan ke WAF (Direkomendasikan)
Hubungkan aset Anda ke WAF dan konfigurasikan aturan perlindungan CC yang dijelaskan dalam topik ini untuk perlindungan satu klik. Jika trafik serangan memiliki fitur tetap, Anda juga dapat menggunakan aturan Custom rules Pembatasan laju atau aturan Region blocking rules untuk pemblokiran tepat sasaran. Meskipun alamat IP sumber serangan sering kali dinamis, URI, User-Agent, atau wilayah sumber permintaan berbahaya mungkin tetap.

Apa perbedaan antara WAF Bot Management, Custom Rules, dan HTTP Flood Protection?

Modul WAF HTTP Flood Protection, Custom Rules, dan Bot Management membantu mitigasi serangan flood HTTP dengan cara berikut:

HTTP Flood Protection: Mendeteksi secara otomatis trafik serangan dan menggunakan verifikasi CAPTCHA berdasarkan algoritma bawaan. Anda dapat mengaktifkan fitur ini dengan satu klik untuk konfigurasi mudah. Namun, fitur ini tidak mendukung pengaturan kustom detail halus.
Custom Rules: Memungkinkan Anda menentukan kondisi pencocokan, jenis perlindungan, dan aksi. Aturan Pembatasan lajunya dapat secara tepat mengurangi serangan flood HTTP. Namun, Anda harus memahami garis dasar permintaan normal dan konteks bisnis lainnya.
Bot Management: Berfokus pada deteksi dan pengelolaan trafik dari program otomatis (bot). Fitur ini menggunakan metode seperti verifikasi CAPTCHA untuk membedakan pengguna nyata dari skrip berbahaya.

Apa perbedaan antara Pembatasan laju ALB dan WAF dalam mitigasi serangan flood HTTP?

Pembatasan laju ALB: Mengontrol trafik hanya berdasarkan ambang batas frekuensi permintaan, seperti QPS global atau QPS IP sumber. Fitur ini tidak dapat memvalidasi konten permintaan dan mungkin memblokir lonjakan trafik sah. Saat dipicu, fitur ini mengembalikan kode status 503 secara default dan tidak mendukung aksi lain seperti verifikasi CAPTCHA.
WAF: Mendukung deteksi lintas beberapa dimensi, seperti URI permintaan, parameter, bidang header, perilaku akses, dan fitur bot. Hal ini memungkinkan perlindungan detail halus untuk URL dan antarmuka tertentu, atau terhadap pola perilaku abnormal.

Apakah WAF secara default memblokir permintaan akses frekuensi tinggi?

WAF tidak memblokir permintaan akses frekuensi tinggi secara default. Untuk memblokir permintaan tersebut, Anda harus mengonfigurasi aturan Custom rules Pembatasan laju.

Apakah mengonfigurasi beberapa aturan atau templat mitigasi di WAF memengaruhi biaya?

Apakah jumlah aturan atau templat mitigasi WAF memengaruhi biaya Anda tergantung pada metode penagihan instans Anda:

Langganan: Tidak ada biaya tambahan. Anda dapat menambahkan konfigurasi hingga batas templat dan aturan tanpa biaya tambahan.
Pay-as-you-go: Biaya tambahan berlaku. Biaya secara langsung terkait dengan jumlah aturan yang Anda konfigurasi. Semakin banyak aturan yang dikonfigurasi, semakin tinggi biayanya.