Konfigurasikan perlindungan serangan flood HTTP - Web Application Firewall

Konfigurasikan templat perlindungan serangan flood HTTP di Web Application Firewall (WAF) untuk memblokir serangan flood HTTP berbahaya pada lapisan aplikasi. Gunakan mode perlindungan bawaan untuk pertahanan rutin atau respons darurat guna memastikan kelangsungan layanan.

Konsep utama

HTTP flood protection: Modul dalam Core Web Protection. Buat templat perlindungan untuk mengaktifkan fitur ini. Anda dapat membuat beberapa templat perlindungan.

Protection template: Templat perlindungan menetapkan aturan perlindungan dan cakupannya. Sebuah templat terdiri dari Template Information, Rule Configuration, dan Apply To.

Template Information: Menentukan jenis templat. Jenis tidak dapat diubah setelah templat dibuat. WAF mendukung dua jenis templat berikut:

Template type	Description	Use cases
Default protection template	Templat perlindungan default awal disediakan untuk langganan WAF Pro Edition, WAF Enterprise Edition, dan WAF Ultimate Edition. Saat dibuat, templat secara otomatis diterapkan ke objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat perlindungan kustom. Objek baru yang ditambahkan juga secara otomatis dilindungi. Anda dapat mengecualikan objek tertentu secara manual dengan mengatur statusnya menjadi Not Applied. Anda hanya dapat membuat satu templat perlindungan default untuk modul perlindungan serangan flood HTTP. Saat objek yang dilindungi dihapus dari templat kustom, objek tersebut secara otomatis dikembalikan ke templat default.	Terapkan aturan perlindungan umum yang perlu diterapkan secara global.
Custom protection template	Anda harus secara manual menentukan objek yang dilindungi atau kelompok objek tempat templat ini berlaku. Saat Anda menambahkan objek yang dilindungi ke templat kustom, objek tersebut secara otomatis dihapus dari templat default.	Terapkan aturan perlindungan detail halus untuk layanan tertentu.

Rule Configuration: Menggunakan aturan deteksi bawaan berdasarkan basis data signature serangan. Pilih Protection Mode dan Action respons; tidak diperlukan penulisan aturan kustom.
Apply To: Menentukan objek yang dilindungi atau kelompok objek tempat aturan perlindungan berlaku. Satu objek yang dilindungi atau kelompok objek hanya dapat dikaitkan dengan satu templat perlindungan.
- Protected object: Saat Anda menambahkan nama domain atau instans layanan cloud ke WAF, sistem secara otomatis membuat objek yang dilindungi untuknya.
- Object group: Tambahkan beberapa objek yang dilindungi ke dalam kelompok objek untuk pengelolaan terpusat.

Prosedur

Catatan

Prasyarat: Sebelum memulai, pastikan Anda telah menambahkan layanan web Anda ke WAF untuk membuat objek yang dilindungi. Jika belum menambahkan layanan web Anda, lihat Add a service.
Konfigurasi awal: Langkah-langkah berikut menjelaskan cara membuat templat perlindungan serangan flood HTTP baru, yang berguna jika belum ada templat atau jika Anda memerlukan konfigurasi terpisah untuk objek berbeda. Untuk langganan WAF Pro Edition, WAF Enterprise Edition, dan WAF Ultimate Edition, sistem menyediakan templat perlindungan default yang memenuhi kebutuhan perlindungan rutin. Jika perlindungan default tidak efektif, lihat Handle false positives and false negatives.

Buka Konsol WAF:
Masuk ke Konsol Web Application Firewall 3.0. Di bilah navigasi atas, pilih kelompok sumber daya dan wilayah (Chinese Mainland atau Outside Chinese Mainland) untuk instans WAF Anda. Lalu, di panel navigasi kiri, pilih Protection Config > Core Web Protection dan klik Create Template di bagian HTTP Flood Protection.
Konfigurasikan Template Information:
- Template Name: Masukkan nama deskriptif untuk templat.
- Save as Default Template: Sistem menyediakan templat perlindungan default awal untuk langganan WAF Pro Edition, WAF Enterprise Edition, dan WAF Ultimate Edition. Anda hanya dapat membuat satu templat perlindungan default untuk modul perlindungan serangan flood HTTP. Jika templat default awal sudah ada, Anda tidak dapat mengatur parameter ini ke Yes.
  - Yes: Anda tidak perlu menentukan Apply To. Saat templat dibuat, templat tersebut secara otomatis diterapkan ke objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat perlindungan kustom. Objek baru yang ditambahkan juga secara otomatis dilindungi. Kecualikan objek tertentu secara manual dengan mengatur statusnya menjadi Not Applied.
  - No: Tentukan secara manual Apply To atau kelompok objek tempat templat ini berlaku.
Rule Configuration:
- Protection Mode: Pilih Standard Mode atau Strict Mode. Setiap mode berisi beberapa aturan perlindungan bawaan.
  - Standard Mode: Memblokir hanya permintaan dengan signature serangan yang jelas dan memiliki tingkat positif palsu rendah. Mode ini cocok untuk operasi rutin dan skenario trafik stabil.
  - Strict Mode: Menggunakan algoritma deteksi intensitas tinggi untuk memblokir serangan flood HTTP, tetapi memiliki tingkat positif palsu lebih tinggi. Aktifkan mode ini hanya ketika mode Normal tidak efektif dan Anda mengamati penurunan layanan, seperti keterlambatan respons atau penggunaan CPU atau memori yang tinggi.
    Catatan
    Strict Mode hanya cocok untuk halaman web, termasuk halaman HTML5. Jangan gunakan untuk API atau aplikasi native untuk menghindari banyak positif palsu. Untuk skenario API atau aplikasi native, gunakan templat perlindungan custom rule.
- Action: Menentukan tindakan yang diambil terhadap permintaan yang sesuai dengan aturan perlindungan.
  - JavaScript Validation: Mengirim perintah validasi JavaScript ke klien. Tindakan ini cocok untuk skenario perlindungan umum.
  - Log: Mencatat event tanpa memblokir permintaan. Tindakan ini cocok untuk validasi kebijakan, pengujian layanan, atau uji coba.
Pilih Apply To:
Pilih objek yang dilindungi dan kelompok objek untuk templat ini. Objek yang dilindungi oleh templat bergantung pada konfigurasi di Langkah 2:
- Jika Anda menggunakan templat perlindungan default yang dibuat sistem atau menetapkan templat baru sebagai default: Anda tidak perlu memilih objek yang dilindungi. Templat secara otomatis diterapkan ke semua objek yang dilindungi dan kelompok objek yang tidak dikaitkan dengan templat kustom, termasuk objek baru yang ditambahkan. Kecualikan objek tertentu secara manual dengan mengatur statusnya menjadi Not Applied.
- Jika templat tidak ditetapkan sebagai default: Pilih secara manual objek yang dilindungi dan kelompok objek tempat templat ini berlaku.
  Catatan
  Atur ulang status penerapan objek yang dilindungi atau kelompok objek selama atau setelah pembuatan templat.

Penanganan positif palsu dan negatif palsu

Jika templat perlindungan gagal memblokir serangan flood HTTP atau salah memblokir lalu lintas sah, ikuti langkah-langkah berikut untuk mendiagnosis dan menyelesaikan masalah tersebut.

Dalam Standard Mode, serangan tidak diblokir

Jika WAF gagal memblokir permintaan serangan, tinjau penyebab umum berikut dan solusi yang direkomendasikan.

Permintaan tidak diproses oleh WAF
- Cause: Sertifikat SSL atau Port listener yang dikonfigurasi di WAF tidak sesuai dengan konfigurasi server origin.
- Cause: Dalam mode rekaman CNAME, rekaman DNS tidak dimodifikasi dengan benar untuk mengarahkan trafik ke WAF.
- Cause: Dalam mode rekaman CNAME, penyerang melewati WAF dengan langsung mengakses alamat IP server origin.
  Recommendation: Konfigurasikan security group server origin Anda agar hanya mengizinkan trafik dari Blok CIDR back-to-origin WAF.
- Cause: Saat layanan cloud ditambahkan, instans yang ditambahkan untuk perlindungan WAF bukanlah instans tempat nama domain sebenarnya di-resolve.
  Recommendation: Pastikan instans layanan cloud yang benar ditambahkan ke WAF.
Permintaan diproses oleh WAF tetapi tidak sesuai dengan aturan
Jika templat perlindungan serangan flood HTTP dalam Standard Mode masih tidak efektif, lakukan tindakan berikut:
- Aktifkan Strict Mode: Mode ini cocok untuk pemulihan layanan darurat dari serangan flood HTTP dan hanya berlaku untuk layanan web dan HTML5. Untuk menghindari banyak positif palsu, tambahkan pengguna sah ke daftar putih berdasarkan analisis pengelompokan.
- Gunakan modul custom rule: WAF memungkinkan Anda membuat kebijakan perlindungan berdasarkan bidang seperti alamat IP klien, URI, User-Agent, dan wilayah untuk pertahanan presisi terhadap signature serangan tertentu. Namun, hal ini memerlukan analisis log akses untuk mengidentifikasi pola serangan.
- Gunakan Anti-DDoS Proxy: Serangan flood HTTP volume tinggi dapat menghasilkan trafik puncak yang melebihi ambang batas blackhole Anti-DDoS Dasar. Jika hal ini terjadi, trafik WAF akan di-blackhole dan menjadi tidak dapat diakses. Dalam kasus ini, gunakan Anti-DDoS Proxy. Untuk informasi lebih lanjut, lihat Configure HTTP flood protection.

Dalam Strict Mode, layanan normal salah diblokir

Jika templat perlindungan serangan flood HTTP dalam Strict Mode menyebabkan banyak positif palsu, lakukan langkah-langkah berikut:

Tambahkan lalu lintas normal ke daftar putih: Tambahkan pengguna normal ke daftar putih berdasarkan fitur pengelompokan.
Beralih ke Standard Mode dan gunakan modul perlindungan custom rule: WAF memungkinkan Anda menetapkan kebijakan perlindungan berdasarkan bidang seperti IP klien, URI akses, User-Agent, dan wilayah untuk mempertahankan diri secara presisi terhadap pola serangan tertentu. Namun, Anda harus terlebih dahulu menganalisis log akses untuk mengidentifikasi pola tersebut.
Gunakan Anti-DDoS Pro: Selama serangan flood HTTP frekuensi tinggi, trafik puncak dapat melebihi ambang batas blackhole Anti-DDoS Origin. Jika ambang batas ini terlampaui, trafik ke WAF akan di-blackhole dan layanan Anda menjadi tidak dapat diakses. Dalam kasus ini, gunakan Anti-DDoS Pro untuk perlindungan. Untuk informasi lebih lanjut, lihat Configure HTTP flood attack protection.

Maintenance rutin

Templat perlindungan serangan flood HTTP baru diaktifkan secara default. Anda dapat melakukan tindakan berikut dalam daftar templat perlindungan:

Lihat templat perlindungan: Klik ikon di sebelah kiri nama templat perlindungan untuk melihat aturan yang dikandung templat tersebut.
Aktifkan atau nonaktifkan templat perlindungan: Gunakan Status untuk mengaktifkan atau menonaktifkan templat.
Edit templat perlindungan: Di kolom Actions untuk templat perlindungan, klik Edit untuk mengubah pengaturan seperti Template Information, Rule Configuration, dan Apply To.
Hapus templat perlindungan: Saat Anda tidak lagi memerlukan templat, klik Delete di kolom Actions untuk templat tersebut. Di kotak dialog yang muncul, klik Delete untuk menyelesaikan tindakan.
Penting
- Jika templat perlindungan kustom untuk objek yang dilindungi dihapus, objek yang dilindungi tersebut secara otomatis ditambahkan kembali ke templat perlindungan default.
- Jika templat perlindungan default dihapus saat masih berisi objek yang dilindungi, objek tersebut tidak lagi dilindungi oleh aturan perlindungan serangan flood HTTP.