Web Application Firewall:Memulai: Lindungi instans ECS dari serangan flood HTTP

Prasyarat

• Instans ECS menjalankan layanan web yang dapat diakses melalui Alamat IP publik.

• Instans ECS harus berada di salah satu wilayah berikut: Tiongkok (Chengdu), Tiongkok (Beijing), Tiongkok (Zhangjiakou), Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Shenzhen), Tiongkok (Qingdao), Tiongkok (Hong Kong), Malaysia (Kuala Lumpur), Indonesia (Jakarta), atau Singapura. Jika persyaratan ini tidak terpenuhi, gunakan CNAME access.

Langkah 1: Aktifkan WAF bayar sesuai penggunaan

1. Buka halaman pembelian Web Application Firewall 3.0 (Pay-As-You-Go).

2. Atur Asset Type menjadi Web Application Firewall 3.0 dan Billing Method menjadi Pay-as-you-go, lalu konfigurasikan parameter berikut.

   Parameter	Deskripsi
   Region	Menentukan lokasi node perlindungan WAF. Jika instans ECS Anda ditempatkan di Tiongkok daratan, pilih Chinese Mainland. Jika tidak, pilih Outside Chinese Mainland.
   Version	Default-nya adalah Pay-as-you-go. Tidak perlu dikonfigurasi.
   Service-Linked Role	WAF memerlukan akses ke sumber daya cloud Anda untuk menyediakan layanan seperti kontrol akses traffic dan pemantauan. Klik Create Service-Linked Role. Sistem secara otomatis membuat peran AliyunServiceRoleForWaf. Jangan ubah peran ini secara manual.

3. Klik Buy Now dan selesaikan pembelian.

Langkah 2: Onboard instans ECS

1. Masuk ke Konsol Web Application Firewall 3.0. Di bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland). Di panel navigasi kiri, klik Onboarding. Pilih tab Cloud Native, lalu pilih Elastic Compute Service (ECS).

2. Temukan instans ECS target dalam daftar. Di kolom Actions, klik Add Now. Jika Anda tidak menemukan instans tersebut, klik Synchronize Assets di pojok kanan atas. Jika instans masih tidak muncul, artinya tidak memenuhi persyaratan di Prasyarat.

3. Di area Select instances & ports to protect, klik Add Port di kolom Actions.

4. Pada kotak dialog Add Port yang muncul, konfigurasikan port dan jenis protokol untuk website Anda.

   • Website HTTP standar

     Jika alamat website Anda adalah http://yourdomain.com, atur Protocol Type ke HTTP dan Port ke 80.

   • Website HTTPS standar

     Jika alamat website Anda adalah https://yourdomain.com, atur Protocol Type ke HTTPS dan Port ke 443.

   • Website dengan port non-standar

     Jika alamat website yang ingin Anda tambahkan secara eksplisit mencantumkan nomor port dalam format Nama domain:Nomor port, Anda harus memasukkan nomor port aktualnya. Contohnya:

     • Untuk http://yourdomain.com:8080, atur Protocol Type ke HTTP dan Port ke 8080.

     • Untuk https://yourdomain.com:8443, atur Protocol Type ke HTTPS dan Port ke 8443.

   HTTP

   1. Di bagian Port, masukkan port yang digunakan oleh website Anda.

   2. Di bagian Protocol Type, pilih HTTP.

   HTTPS

   1. Di area Port, masukkan port yang digunakan oleh website Anda.

   2. Di area Protocol Type, pilih HTTPS.

   3. Pertahankan pengaturan default untuk HTTP2, TLS Version, Cipher Suite, dan Additional Certificate.

   4. Di area Default Certificate, pilih metode untuk mengunggah sertifikat:

      • Pilih metode ini jika Anda belum mengunggah sertifikat ke Alibaba Cloud Certificate Management Service (Original SSL Certificate).

      • Pilih sertifikat yang sudah ada dari Alibaba Cloud Certificate Management Service (Original SSL Certificate).

        Unggah manual

        • Certificate Name: Masukkan nama sertifikat yang unik.

        • Certificate File: Buka file sertifikat dan tempel isinya. Sertifikat harus dalam format PEM, CER, atau CRT.

          Contoh format: -----BEGIN CERTIFICATE-----......-----END CERTIFICATE-----

          • Konversi format: Jika sertifikat Anda dalam format seperti PFX atau P7B, gunakan certificate tool untuk mengonversinya ke format PEM.

          • Rantai sertifikat: Jika mencakup sertifikat perantara, tempel sertifikat server diikuti oleh sertifikat perantara.

        • Private Key: Buka file kunci privat dan tempel isinya. Kunci privat harus dalam format PEM.

          Contoh format: -----BEGIN RSA PRIVATE KEY-----......-----END RSA PRIVATE KEY-----

        Pilih sertifikat yang sudah ada

        Pilih sertifikat yang ingin Anda unggah ke WAF dari daftar drop-down.

        Catatan

        Jika konsol WAF menampilkan "Failed to verify the integrity of the certificate chain. If you use this certificate, service access may be affected.", rantai sertifikat tidak lengkap. Pastikan konten sertifikat benar dan lengkap, lalu unggah ulang di konsol Certificate Management Service. Untuk informasi lebih lanjut, lihat Upload, synchronize, and share SSL certificates.

5. Pertahankan pengaturan default untuk parameter lainnya dan klik OK.

6. (Opsional) Lihat objek yang dilindungi: Setelah instans ECS ditambahkan, WAF secara otomatis membuat objek yang dilindungi dengan nama dalam format instance-id-port-asset-type. Secara default, WAF mengaktifkan aturan perlindungan untuk objek ini, seperti aturan perlindungan web inti. Anda dapat melihat objek yang dilindungi di halaman Protection Config > Protected Objects.

7. Verifikasi perlindungan dasar: Akses website yang dihosting pada instans ECS melalui browser dan tambahkan string uji serangan web ke URL, misalnya http://yourdomain.com/alert(xss). Jika WAF mengembalikan halaman blokir 405, berarti perlindungan berfungsi.

Langkah 3: Konfigurasikan aturan perlindungan flood HTTP

1. Di panel navigasi kiri, pilih Protection Config > Core Web Protection.

2. Di bagian bawah halaman, pada bagian HTTP Flood Protection, klik Create Template.

3. Di panel Create Template, konfigurasikan parameter berikut.

   Parameter	Description
   Template Name	Masukkan nama yang mudah dikenali untuk templat tersebut.
   Save as Default Template	Biar tetap dinonaktifkan.
   Protection Mode	Standard Mode: Mengintersepsi hanya permintaan yang memiliki karakteristik serangan yang jelas. Mode ini memiliki tingkat positif palsu yang rendah dan cocok untuk operasi harian serta traffic yang stabil. Strict Mode: Menggunakan algoritma deteksi intensitas tinggi yang dapat secara efektif memblokir serangan banjir HTTP, tetapi memiliki risiko positif palsu yang lebih tinggi. Kami menyarankan mengaktifkan mode ini hanya jika Standard Mode gagal dan Anda mengalami penundaan respons atau beban resource (CPU/memori) yang tidak normal. Catatan Strict Mode hanya berlaku untuk layanan web (termasuk H5). Jangan gunakan mode ini untuk endpoint API atau aplikasi native untuk mencegah tingkat positif palsu yang tinggi.
   Action	Menentukan tindakan yang diambil ketika suatu permintaan sesuai dengan aturan proteksi. Pilih JavaScript Validation.
   Apply To	Pada area Available Objects, pilih objek yang dilindungi untuk Instance ECS Anda. Klik ikon untuk memindahkannya ke area Selected.

4. Klik OK.

   Setelah dibuat, di area CC Protection pada daftar templat aturan, Anda dapat melihat templat yang telah dibuat (misalnya cc-protect). Pastikan Template Switch dalam keadaan aktif.

Langkah 4: Lihat data perlindungan serangan

Setelah konfigurasi selesai, buka halaman Overview dari panel navigasi kiri. Anda dapat melihat informasi seperti Protection Overview dan Top 10 Attacks untuk menganalisis keamanan layanan Anda.

Pilih langkah berikutnya sesuai kebutuhan Anda:

• Lanjutkan menggunakan WAF (direkomendasikan): Lanjutkan ke Optimasi lanjutan.

• Berhenti menggunakan WAF: Lanjutkan ke Lepaskan sumber daya untuk menghentikan penagihan.

Optimasi lanjutan: tingkatkan perlindungan dan kendalikan biaya

Anda dapat menyesuaikan lebih lanjut pengaturan dari topik ini untuk memenuhi kebutuhan bisnis spesifik Anda, meningkatkan keamanan sekaligus menekan biaya.

• Perlindungan kolaboratif multi-modul: Anda dapat mengombinasikannya dengan modul berikut untuk pertahanan yang lebih kuat.

  • Custom rules: Buat aturan presisi untuk pola serangan tertentu dengan menggunakan kondisi dan aksi pencocokan yang fleksibel. Misalnya, Anda dapat mengonfigurasi aturan kontrol frekuensi untuk menerapkan pembatasan laju.

  • Whitelist: Izinkan permintaan yang memenuhi kriteria tertentu, seperti dari alamat IP tepercaya.

  • IP blacklist: Blokir akses dari alamat IP berbahaya yang diketahui.

  • Region block: Blokir permintaan dari wilayah geografis tertentu. Misalnya, jika bisnis Anda hanya melayani pengguna di Tiongkok dan mendeteksi banyak serangan dari luar Tiongkok, Anda dapat mengaktifkan fitur ini.

• Opsi onboarding lanjutan: WAF menyediakan beberapa metode onboarding. Anda dapat memilih salah satu sesuai kebutuhan bisnis.

  • Onboard instans ECS dalam mode Cloud Native: Topik ini menggunakan metode ini untuk onboarding cepat. Jika Anda perlu mengonfigurasi versi TLS, paket sandi, atau beberapa sertifikat, lihat Enhance HTTPS security. Jika Anda perlu mengonfigurasi pengaturan proxy lapisan 7 (seperti CDN) di depan WAF atau mengonfigurasi Tanda Lalu Lintas, lihat Obtain real client information.

  • CNAME access: Tambahkan sumber daya menggunakan nama domain. Metode ini menawarkan fleksibilitas lebih besar, lebih sedikit batasan, dan dukungan fitur yang lebih luas.

• Saran optimasi biaya:

  • SeCU Resource Plan: Ini adalah paket sumber daya untuk mengoptimalkan biaya WAF bayar sesuai penggunaan. Setelah Anda mengaktifkan instans WAF bayar sesuai penggunaan, Anda dapat membeli paket sumber daya SeCU untuk mengimbangi total biaya bayar sesuai penggunaan.

  • Subscription WAF: Jika Anda berencana menggunakan WAF dalam jangka panjang, kami merekomendasikan membeli instans WAF berlangganan untuk mendapatkan harga satuan yang lebih baik.

Lepaskan sumber daya untuk menghentikan penagihan

Setelah menyelesaikan panduan cepat ini, jika Anda tidak lagi memerlukan instans WAF dari tutorial ini, ikuti langkah-langkah berikut untuk menonaktifkannya dan menghentikan penagihan.

1. Buka halaman Overview dari panel navigasi kiri. Di bilah menu atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) dari instans WAF.

2. Jika halaman selamat datang bertuliskan "Welcome to Web Application Firewall" ditampilkan, klik Go to Console di pojok kanan atas. Jika halaman ini tidak ditampilkan, lewati langkah ini.

3. Di sisi kanan halaman, klik Terminate WAF Service. Di kotak dialog, centang kotak yang relevan dan klik OK.