Web Application Firewall (WAF) menyediakan keamanan siap pakai. Setelah Anda menambahkan aset ke WAF, seperangkat aturan perlindungan inti yang telah dikonfigurasi sebelumnya akan diterapkan secara otomatis untuk memberikan perlindungan langsung terhadap serangan aplikasi web umum, seperti Injeksi SQL, skrip lintas situs (XSS), dan injeksi perintah, tanpa memerlukan konfigurasi tambahan. Topik ini menjelaskan cara mengelola dan menyesuaikan aturan-aturan tersebut.
Fitur Core Protection Rule sedang diluncurkan secara bertahap. Topik ini menjelaskan versi baru. Jika Anda menggunakan versi lama, lihat Aturan perlindungan inti dan grup aturan. Untuk pengumuman peningkatan, lihat [Pemberitahuan] Peningkatan Fitur Aturan Perlindungan Dasar WAF 3.0. Anda dapat mengidentifikasi versi yang digunakan berdasarkan tampilan bagian Core Protection Rule pada halaman di Konsol WAF.
Versi baru |
|
Versi lama |
|
Konsep utama
Core Protection Rule: Modul perlindungan dalam perlindungan inti web. Modul ini diaktifkan melalui templat perlindungan. Setelah Anda mengaktifkan WAF, sistem secara otomatis membuat templat perlindungan default. Anda juga dapat membuat beberapa templat perlindungan secara manual.
Protection template: Templat perlindungan adalah kumpulan aturan perlindungan yang menentukan konten dan cakupannya. Saat membuat templat perlindungan, Anda perlu mengonfigurasi Template Information, Engine Configuration, dan Configure Effective Scope.
Template Information: Menentukan jenis templat, yang tidak dapat diubah setelah templat dibuat. Terdapat dua jenis templat:
Jenis templat
Deskripsi
Kasus penggunaan
Default protection template
Sistem menyediakan satu templat perlindungan default awal.
Templat ini diterapkan secara otomatis ke objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat perlindungan kustom. Templat ini juga berlaku untuk objek yang baru ditambahkan.
Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi "Not applied".
Hanya satu templat perlindungan default yang dapat ada dalam modul aturan perlindungan inti.
Saat Anda menghapus objek yang dilindungi dari templat perlindungan kustom, objek tersebut secara otomatis ditambahkan ke templat perlindungan default.
Digunakan untuk menerapkan aturan perlindungan umum yang berlaku secara global. Jika layanan Anda tidak memiliki persyaratan perlindungan khusus, kami merekomendasikan penggunaan templat perlindungan default. Tidak diperlukan konfigurasi tambahan.
Custom protection template
Anda harus secara manual menentukan objek atau kelompok objek yang dilindungi tempat templat ini berlaku.
Digunakan untuk menerapkan aturan perlindungan detail halus sesuai kebutuhan bisnis tertentu.
Engine Configuration: Menentukan aturan perlindungan. Berdasarkan praktik keamanan terbaik, WAF menyediakan beberapa System Protection Rules, yang dikategorikan berdasarkan Detection Modules, untuk mempertahankan diri dari berbagai jenis serangan. Anda dapat mengonfigurasi Action untuk System Protection Rules. Untuk aset dalam Custom Protection Rules, Anda juga dapat mengonfigurasi Custom Protection Rules untuk memenuhi kebutuhan bisnis Anda.
Configure Effective Scope: Menentukan target untuk templat perlindungan. Dengan mengonfigurasi cakupan efektif, Anda dapat menerapkan aturan perlindungan ke objek atau kelompok objek yang dilindungi tertentu. Satu objek atau kelompok objek yang dilindungi hanya dapat dikaitkan dengan satu templat perlindungan.
Protected object: Sistem secara otomatis membuat objek yang dilindungi untuk setiap domain atau instans layanan cloud yang Anda tambahkan ke WAF.
Protected object group: Anda dapat menambahkan beberapa objek yang dilindungi ke dalam satu kelompok objek yang dilindungi untuk pengelolaan terpusat.
Manfaat
Perlindungan siap pakai: Templat sistem default mencakup banyak aturan perlindungan bawaan. Aset yang baru ditambahkan secara otomatis dilindungi oleh aturan-aturan ini, memenuhi kebutuhan keamanan rutin tanpa konfigurasi tambahan.
Beberapa metode decoding: WAF mendukung penguraian dan decoding format data seperti JSON, XML, dan Form, serta berbagai metode encoding seperti Base64 dan entitas HTML. Hal ini memastikan deteksi trafik berbahaya yang disembunyikan oleh beberapa lapisan encoding atau kompresi.
Mesin daftar putih cerdas: WAF menggunakan AI untuk mempelajari trafik historis Anda, mengidentifikasi aturan perlindungan yang menyebabkan false positive untuk URL tertentu, dan secara otomatis menambahkannya ke daftar putih. Hal ini secara efektif mengurangi false positive.
Sebelum memulai, pastikan Anda telah menambahkan layanan web ke WAF, yang akan membuat objek yang dilindungi yang diperlukan. Jika belum, lihat Ikhtisar onboarding.
Buat templat perlindungan detail halus
Setelah Anda menambahkan layanan ke WAF, sistem secara otomatis menerapkan templat perlindungan default ke semua objek yang dilindungi dan mengaktifkan perlindungan. Jika layanan Anda tidak memiliki persyaratan perlindungan khusus, Anda tidak perlu membuat templat perlindungan. Ikuti langkah-langkah berikut hanya jika Anda perlu mengonfigurasi aturan berbeda untuk objek yang dilindungi berbeda.
Jika Anda hanya perlu menangani false positive atau false negative WAF, lihat Menangani false positive dan false negative.
Buka konsol:
Masuk ke Konsol Web Application Firewall 3.0. Di bilah navigasi atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) instans WAF Anda. Di panel navigasi kiri, pilih . Di bagian Core Protection Rule, klik Create Template.
Konfigurasikan Template Information:
Template Name: Masukkan nama yang mudah dikenali.
Save as Default Template: Sistem menyediakan satu templat perlindungan default awal, dan hanya satu templat default yang dapat ada untuk modul aturan perlindungan inti. Oleh karena itu, jika templat default awal sudah ada, Anda tidak dapat mengatur opsi ini menjadi "Yes".
Yes: Anda tidak perlu mengonfigurasi Configure Effective Scope. Saat dibuat, templat ini secara otomatis diterapkan ke objek dan kelompok objek yang dilindungi yang tidak dikaitkan dengan templat perlindungan kustom. Templat ini juga berlaku untuk objek yang baru ditambahkan. Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi "Not applied".
No: Anda harus mengonfigurasi Configure Effective Scope dengan secara manual menentukan objek atau kelompok objek yang dilindungi tempat templat ini berlaku.
Engine Configuration:
Automatic Update of Detection Engine: Fitur ini diaktifkan secara default.
Diaktifkan: Pembaruan aturan dari tim keamanan Alibaba Cloud disinkronkan secara otomatis ke mesin deteksi Anda. WAF secara otomatis menerapkan aturan baru. Status aturan diatur ke "Enabled" atau "Disabled", dan Action aturan diatur ke "Monitor" atau "Block".
Disabled: Aturan tetap disinkronkan, tetapi Status-nya diatur ke "Disabled", dan Action-nya diatur ke "Monitor".
Configure Engine: Klik Configure Engine di pojok kanan atas, atau klik Configure di kolom Actions untuk Detection Modules tertentu di bawah ini untuk mengonfigurasi aturan perlindungan. Untuk daftar modul deteksi yang didukung, lihat Lampiran.
System Protection Rules
Aturan perlindungan sistem didasarkan pada modul deteksi bawaan Alibaba Cloud dan tersedia dalam empat tingkat ketat: Super Strict, Strict, Medium, dan Loose. Secara default, aturan pada tingkat Medium dan Loose diaktifkan, sedangkan aturan pada tingkat Super Strict dan Strict dinonaktifkan.
Anda dapat mengonfigurasi pengaturan berikut untuk aturan perlindungan sistem:
Action: Pilih aksi untuk permintaan yang sesuai dengan aturan.
Block: Memblokir permintaan yang sesuai dan mengembalikan halaman blokir ke klien.
Monitor: Mengizinkan dan mencatat permintaan yang sesuai. Saat menguji aturan, Anda dapat menggunakan mode Monitor terlebih dahulu dan menganalisis log WAF untuk memastikan tidak ada false positive yang dihasilkan.
Status: Anda dapat mengaktifkan atau menonaktifkan aturan. Jika dinonaktifkan, aturan tidak diterapkan ke permintaan.
CatatanAnda dapat melihat detail hit untuk berbagai aturan perlindungan di Laporan Keamanan.
Custom Protection Rules (hanya mode cloud hibrida)
Aturan perlindungan kustom hanya berlaku untuk objek yang dilindungi yang ditambahkan ke WAF dalam mode cloud hibrida. Untuk menambahkan aturan perlindungan kustom dan menggunakannya dalam templat perlindungan, lihat Manajemen Perpustakaan Aturan.
Adaptive Engine: Fitur Intelligent Whitelist Engine dinonaktifkan secara default. Saat diaktifkan, WAF menggunakan AI untuk mempelajari trafik historis, mengidentifikasi aturan yang menyebabkan false positive pada tingkat URL, dan secara otomatis membuat aturan daftar putih untuk menguranginya.
Templat daftar putih yang dibuat secara otomatis diberi nama AutoTemplate. Untuk informasi lebih lanjut, lihat Daftar Putih.
CatatanFitur ini hanya tersedia untuk instans Pay-As-You-Go, Subscription Enterprise Edition, dan Subscription Ultimate Edition.
Konfigurasi Configure Effective Scope:
Pilih objek yang dilindungi dan kelompok objek yang dilindungi tempat Anda ingin menerapkan templat ini. Cakupan efektif templat bergantung pada konfigurasi di Langkah 2:
Menggunakan templat default yang dibuat sistem atau mengaturnya sebagai default: Anda tidak perlu mengatur cakupan efektif. Saat dibuat, templat ini secara otomatis diterapkan ke objek dan kelompok objek yang dilindungi yang tidak dikaitkan dengan templat perlindungan kustom, serta objek yang baru ditambahkan. Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi "Not applied".
Tidak diatur sebagai default: Anda perlu secara manual menentukan objek dan kelompok objek yang dilindungi tempat templat ini berlaku.
CatatanAnda dapat menyesuaikan status efektif objek atau kelompok objek yang dilindungi baik selama maupun setelah pembuatan templat.
Menangani false positive dan false negative
Saat WAF memblokir lalu lintas sah (false positive) atau gagal memblokir serangan (false negative), ikuti langkah-langkah berikut untuk mengidentifikasi penyebab dan menyesuaikan konfigurasi Anda.
Menangani false positive
Di panel navigasi kiri, pilih .
CatatanJika Anda telah mengaktifkan Log Service, Anda juga dapat membuka untuk melihat log permintaan lengkap.
Filter log berdasarkan Time, Protected Objects (domain/instans layanan cloud yang diakses), dan Action untuk menemukan permintaan yang diblokir secara spesifik.
Jika Anda memastikan bahwa permintaan sah diblokir, temukan permintaan tersebut di Logs, lalu klik Suppress False Positive di kolom Actions untuk membuat aturan daftar putih dan mengizinkan permintaan tersebut.
Jika Anda memperhatikan bahwa permintaan memiliki karakteristik umum (misalnya, alamat IP tepercaya memicu beberapa aturan perlindungan berbeda), kami merekomendasikan menambahkan alamat IP tersebut sebagai Match Condition dalam satu aturan daftar putih. Ini lebih efisien daripada memasukkan setiap entri log yang diblokir ke daftar putih secara individual. Untuk informasi lebih lanjut, lihat Daftar Putih.
Menangani false negative
Jika serangan tidak diblokir oleh WAF, pertimbangkan penyebab umum berikut dan solusi yang direkomendasikan:
Permintaan tidak diproses oleh WAF
Penyebab: Sertifikat SSL atau port pendengar yang dikonfigurasi di WAF tidak sesuai dengan yang ada di server origin.
Rekomendasi: Verifikasi bahwa konfigurasi sertifikat SSL dan port di WAF dan server origin konsisten.Penyebab: Untuk onboarding CNAME, rekaman DNS tidak diubah dengan benar, sehingga trafik tidak diarahkan ke WAF.
Rekomendasi: Pastikan rekaman DNS mengarah dengan benar ke alamat CNAME yang diberikan oleh WAF.Penyebab: Untuk onboarding CNAME, penyerang melewati WAF dengan langsung mengakses alamat IP server origin.
Rekomendasi: Di grup keamanan server Anda, izinkan trafik hanya dari alamat IP back-to-origin WAF.
Penyebab: Untuk onboarding layanan cloud, instans layanan cloud yang ditambahkan ke WAF bukanlah instans tempat trafik domain sebenarnya diarahkan.
Rekomendasi: Pastikan instans layanan cloud yang benar telah ditambahkan ke WAF.
Permintaan diproses oleh WAF, tetapi tidak ada aturan yang mencakupnya
Templat perlindungan default tidak dapat mencakup semua jenis serangan. Anda mungkin perlu mengaktifkan modul perlindungan lain berdasarkan karakteristik serangan:
Untuk serangan CC (banjir HTTP frekuensi rendah hingga menengah): Gunakan CC Protection atau aturan kustom pembatasan laju.
Untuk serangan DDoS lapisan jaringan (frekuensi tinggi, volume besar): Gunakan produk Anti-DDoS.
Untuk skrip otomatis atau serangan bot: Gunakan Bot Management.
Untuk serangan dengan karakteristik spesifik (seperti User-Agent tetap atau jalur URL): Gunakan aturan kustom.
Untuk serangan dari alamat IP sumber tetap: Gunakan daftar blokir IP.
Untuk serangan dari wilayah atau negara non-bisnis: Gunakan Region Block.
Untuk serangan yang menargetkan API: Gunakan API Security.
Pemeliharaan rutin
Lihat templat perlindungan: Klik ikon
di sebelah kiri nama templat untuk melihat informasi mesin yang dikandungnya.Aktifkan atau nonaktifkan templat perlindungan: Gunakan sakelar Status untuk mengaktifkan atau menonaktifkan templat.
Edit templat perlindungan: Klik Edit di kolom Actions untuk templat guna mengubah Template Information, Engine Configuration, atau Apply To.
Hapus templat perlindungan: Saat templat tidak lagi diperlukan, klik Delete di kolom Actions-nya, lalu klik Delete di kotak dialog konfirmasi.
PentingJika templat perlindungan kustom dihapus, objek yang dilindungi yang dikaitkan dengannya akan secara otomatis ditambahkan ke templat perlindungan default.
Jika templat perlindungan default dihapus saat masih berisi objek yang dilindungi, objek tersebut tidak akan lagi dilindungi oleh aturan perlindungan inti.
Modul deteksi yang didukung
Aturan perlindungan inti mendukung modul deteksi berikut, yang dapat mengidentifikasi dan memblokir berbagai jenis serangan terhadap aplikasi web.
Jenis serangan | Deskripsi |
SQL Injection | Serangan Injeksi SQL melibatkan penyisipan kode SQL berbahaya ke dalam kueri untuk mengeksekusi perintah database yang tidak dimaksudkan. |
XSS | Serangan skrip lintas situs (XSS) melibatkan penyematan skrip berbahaya ke dalam halaman web, menyebabkannya dieksekusi saat pengguna lain melihat halaman tersebut. |
Code Execution | Serangan eksekusi kode menggunakan kode berbahaya yang disisipkan yang dieksekusi oleh server untuk mencapai tujuan penyerang. |
CRLF Injection | Serangan injeksi CRLF melibatkan penyisipan carriage return (CR, \r) dan line feed (LF, \n) ke dalam Header HTTP untuk memanipulasi respons HTTP atau melakukan pemisahan respons HTTP. |
Local File Inclusion | Jika opsi allow_url_include diaktifkan di server, penyerang dapat mengeksploitasi fungsi PHP seperti include(), require(), include_once(), dan require_once() untuk menyertakan file secara dinamis melalui URL. Jika sumber file tidak divalidasi secara ketat, hal ini dapat menyebabkan pembacaan file sembarang atau eksekusi perintah. |
Remote File Inclusion | Serangan Remote File Inclusion (RFI) menyertakan file dari server jarak jauh, memungkinkan penyerang mengeksekusi kode berbahaya di server lokal. |
Webshell | Webshell adalah file skrip berbahaya yang, saat diunggah atau disisipkan, memungkinkan penyerang mengontrol server dari jarak jauh. |
OS Command Injection | Serangan injeksi perintah OS melibatkan penyisipan perintah sistem operasi berbahaya ke dalam program, menyebabkan server mengeksekusinya. |
Scanning Behavior | Ini mengacu pada perilaku dan karakteristik pemindai aplikasi web. Alat-alat ini secara otomatis memindai aplikasi web untuk menemukan potensi kerentanan keamanan, seperti Injeksi SQL dan XSS, dengan menghasilkan dan mengirim banyak permintaan untuk menganalisis respons aplikasi. |
Logic Defect | Cacat logika bisnis adalah kerentanan dalam implementasi proses bisnis aplikasi. Cacat ini sering kali tidak dapat dicegah oleh validasi input dan encoding output tradisional. Cacat ini dapat memungkinkan penyerang memanipulasi alur kerja normal aplikasi untuk mendapatkan akses tidak sah atau melakukan tindakan berbahaya lainnya. |
Arbitrary File Read | Kerentanan pembacaan file sembarang memungkinkan penyerang membaca file apa pun di sistem, biasanya melalui parameter jalur file dalam permintaan HTTP. Dengan mengeksploitasi kerentanan ini, penyerang dapat mengakses informasi sensitif seperti file konfigurasi, kredensial, dan data pribadi. |
Arbitrary File Download | Kerentanan pengunduhan file sembarang mirip dengan pembacaan file sembarang, tetapi memungkinkan penyerang mengunduh file apa pun dari sistem. Hal ini dapat menyebabkan kebocoran informasi sensitif dan bahkan memungkinkan penyerang memperoleh cadangan sistem lengkap untuk analisis offline. |
XXE Injection | Kerentanan XXE mengeksploitasi cara parser XML memproses entitas eksternal, memungkinkan penyerang membaca file sistem, mengeksekusi permintaan sisi server (SSRF), atau menyebabkan denial-of-service (DoS). Serangan ini biasanya dicapai melalui input XML yang berisi entitas eksternal berbahaya. |
Cross-site Request Forgery | Serangan CSRF menipu pengguna terotentikasi untuk mengirim permintaan tidak sah ke aplikasi web. Biasanya, penyerang menggoda pengguna untuk mengklik tautan berbahaya atau mengunjungi halaman berbahaya, yang kemudian mengeksekusi tindakan atas nama pengguna, seperti mengubah pengaturan atau mengirim formulir. |
Expression Injection | Serangan injeksi ekspresi melibatkan penyisipan ekspresi berbahaya yang dieksekusi oleh server. |
.NET Deserialization | Deserialisasi adalah proses mengonversi data dari format (seperti JSON, XML, atau biner) kembali menjadi objek. Dalam aplikasi .NET, deserialisasi yang tidak aman dapat menyebabkan eksekusi kode sembarang. Jika penyerang dapat mengontrol data yang dideserialisasi, mereka mungkin dapat menyisipkan data berbahaya dan mengeksekusi kode sembarang. |
Java Deserialization | Serangan deserialisasi Java melibatkan deserialisasi objek berbahaya, menyebabkan server mengeksekusi kode berbahaya dalam proses tersebut. |
PHP Deserialization | Serangan deserialisasi PHP melibatkan deserialisasi objek berbahaya, menyebabkan server mengeksekusi kode berbahaya dalam proses tersebut. |
SSRF | Serangan Server-Side Request Forgery (SSRF) memalsukan permintaan sisi server, menyebabkan server mengakses sumber daya internal atau eksternal. |
Path Traversal | Serangan penelusuran jalur melibatkan penyisipan urutan jalur relatif (seperti ../) untuk mengakses file di server yang seharusnya tidak dapat diakses publik. |
Protocol Non-compliance | Pelanggaran protokol mengacu pada manipulasi protokol (seperti HTTP atau HTTPS) secara berbahaya untuk melancarkan serangan atau melewati mekanisme keamanan. |
Arbitrary File Upload | Serangan pengunggahan file sembarang melibatkan pengunggahan file berbahaya yang kemudian dieksekusi oleh server. |