Web Application Firewall：Konfigurasikan Aturan Kustom Lanjutan untuk Manajemen Bot

Aturan Kustom

Deskripsi

Aturan kontrol akses

Tentukan kondisi kecocokan berdasarkan IP klien, URL permintaan, dan bidang header permintaan umum. WAF mengambil tindakan tertentu pada permintaan yang memenuhi kondisi kecocokan. Sebagai contoh, Anda dapat menggunakan aturan kustom untuk memblokir permintaan yang mengakses ID Klien tertentu atau memverifikasi permintaan yang berisi web UMID atau app UMID tertentu.

Aturan kontrol frekuensi

Tentukan kondisi deteksi frekuensi akses berdasarkan kondisi kecocokan kontrol akses. WAF mengambil tindakan tertentu pada objek statistik dengan frekuensi akses yang tidak biasa. Sebagai contoh, jika permintaan dari alamat IP yang sama atau sesi sering memenuhi kondisi kecocokan dalam waktu singkat, Anda dapat mengaktifkan kontrol frekuensi untuk memblokir permintaan dari alamat IP atau sesi tersebut selama periode tertentu.

Parameter

Deskripsi

Rule Name

Masukkan nama untuk aturan.

Nama dapat berisi karakter Cina, huruf besar dan kecil, angka, titik (.), garis bawah (_), dan tanda hubung (-).

Match Condition

Tetapkan fitur permintaan yang ingin Anda cocokkan.

Klik Add Condition untuk menambahkan kondisi. Anda dapat menambahkan hingga 10 kondisi ke sebuah aturan. Jika Anda mendefinisikan beberapa kondisi, permintaan harus memenuhi semua kondisi untuk memenuhi aturan.

Setiap kondisi terdiri dari Bidang Kecocokan, Logika, dan Konten Kecocokan. Berikut adalah contoh konfigurasi:

• Contoh 1: Jika Anda mengatur Bidang Kecocokan ke URI, Logika ke Berisi, dan Konten Kecocokan ke /login.php, permintaan untuk jalur yang berisi /login.php memenuhi aturan.

• Contoh 2: Jika Anda mengatur Bidang Kecocokan ke IP, Logika ke Termasuk dalam, dan Konten Kecocokan ke 192.1X.XX.XX, permintaan dari alamat IP klien 192.1.XX.XX memenuhi aturan.

Protection Rule Type

Access Control dipilih secara default. Klik Throttling untuk mengaktifkan kontrol frekuensi.

Kontrol frekuensi berarti bahwa jika permintaan dari objek statistik yang sama (seperti alamat IP atau sesi) sering memenuhi aturan, WAF mengambil tindakan tertentu pada semua permintaan akses dari objek statistik tersebut selama periode waktu tertentu. Setelah Anda mengaktifkan kontrol frekuensi, Anda harus mengonfigurasi parameter kontrol frekuensi.

• Kondisi deteksi frekuensi

  Jika frekuensi suatu Statistical Object mengenai aturan dalam Statistical Interval (Seconds) melebihi Threshold (Times), objek tersebut ditambahkan ke blacklist.

  • Statistical Object

    Pilih objek untuk mana Anda ingin mengumpulkan statistik frekuensi permintaan. Nilai valid:

    • IP: Mengumpulkan statistik frekuensi permintaan dari alamat IP yang sama.

    • Custom Header: Mengumpulkan statistik frekuensi permintaan yang berisi header tertentu. Sebagai contoh, untuk pengenal header kustom Referer, WAF menghitung jumlah permintaan untuk setiap nilai Referer dalam periode statistik yang ditentukan.

    • Custom Parameter: Mencocokkan kata kunci dalam URL dan mengumpulkan statistik frekuensi permintaan yang berisi parameter tertentu.

    • Custom Cookie: Mengumpulkan statistik frekuensi permintaan HTTP yang berisi cookie tertentu dalam periode tertentu. Sebagai contoh, jika Anda mengatur cookie kustom ke User, WAF menghitung jumlah kemunculan untuk setiap nilai User dalam periode statistik.

    • Session: Secara default, WAF menyisipkan acw_tc ke dalam respons untuk mengidentifikasi dan mengumpulkan statistik permintaan akses dari klien yang berbeda. WAF mengumpulkan statistik frekuensi permintaan yang dimulai dari acw_tc yang sama.

    • Body: Parameter dalam badan permintaan. WAF mengumpulkan statistik frekuensi permintaan yang berisi parameter badan tertentu.

    • App UMID: Mengumpulkan statistik frekuensi permintaan dari klien aplikasi yang sama.

    • Account: Mengumpulkan statistik frekuensi permintaan dari akun yang sama.

    • Web UMID: Mengumpulkan statistik frekuensi permintaan dari klien web yang sama.

  • Statistical Interval (Seconds)

    Tetapkan periode statistik. Unit: detik.

  • Threshold (Times)

    Atur frekuensi maksimum suatu Statistical Object dapat memenuhi Match Condition dalam Statistical Interval (Seconds).

• Kondisi deteksi kode respons

  Jika jumlah atau persentase respons yang memiliki Status Code tertentu melebihi Quantity atau Percentage (%) yang dikonfigurasi, objek tersebut ditambahkan ke daftar hitam.

  • Status Code

    Pilih apakah akan mengaktifkan deteksi kode respons berdasarkan deteksi frekuensi. Jika Anda mengaktifkan fitur ini, objek yang dilindungi hanya ditambahkan ke daftar hitam jika memenuhi baik kondisi deteksi frekuensi maupun kondisi kode respons. Jika Anda mengaktifkan deteksi kode respons, Anda harus menentukan kode respons yang ingin Anda kumpulkan statistiknya.

  • Quantity

    Tetapkan jumlah maksimum kali Status Code tertentu diperbolehkan muncul dalam respons dalam periode statistik.

    Catatan

    Anda dapat mengatur Quantity atau Percentage (%).

  • Percentage (%)

    Tetapkan persentase maksimum respons yang dapat berisi Status Code tertentu dalam periode statistik.

    Catatan

    Anda dapat mengatur Quantity atau Percentage (%).

• Deduplikasi untuk statistik

  Jika objek memenuhi aturan statistik setelah deduplikasi, objek tersebut ditambahkan ke daftar hitam. Klik Add Condition untuk menambahkan kondisi. Anda dapat menambahkan hingga lima kondisi ke sebuah aturan. Jika Anda mendefinisikan beberapa kondisi, permintaan harus memenuhi semua kondisi untuk memenuhi aturan.

  Setiap kondisi terdiri dari Bidang Kecocokan, Logika, dan Konten Kecocokan. Berikut adalah contoh konfigurasi:

  Jika Anda mengatur Bidang Kecocokan ke URI, Logika ke Sama dengan, dan Jumlah ke 5, permintaan memenuhi aturan jika jumlah permintaan akseske URI yang ditentukan dalam kondisi kecocokan adalah 5 setelah deduplikasi.

• Kondisi tindakan daftar hitam

  Menambahkan objek statistik yang memenuhi kondisi deteksi frekuensi ke daftar hitam. Selama Timeout Period, WAF melakukan Actions yang ditentukan pada permintaan dari objek tersebut yang berada dalam Apply To.

  • Apply To

    Tetapkan ruang lingkup tindakan daftar hitam. Nilai valid:

    • Current Match Condition: WAF hanya mengambil tindakan pada permintaan yang memenuhi Match Condition aturan saat ini.

    • Protected Object: WAF mengambil tindakan pada semua permintaan dari objek yang dibatasi.

  • Timeout Period

    Tetapkan periode selama tindakan daftar hitam berlaku. Unit: detik. Rentang nilai: 60 hingga 86400.

Actions

• Block: Memblokir permintaan yang memenuhi aturan dan mengembalikan halaman respons blokir ke klien yang meminta.

  Catatan

  WAF menggunakan halaman blokir default. Anda dapat menggunakan fitur respons kustom untuk menyesuaikan halaman blokir. Untuk informasi lebih lanjut, lihat Konfigurasikan aturan respons kustom untuk menetapkan halaman blokir.

• Monitor: Tindakan ini mencatat permintaan yang sesuai dengan aturan tanpa memblokirnya. Anda dapat memeriksa log WAF untuk permintaan ini untuk menganalisis kinerja perlindungan aturan, seperti memeriksa apakah permintaan normal diblokir.

  Mode pemantauan memungkinkan Anda menguji aturan baru yang dikonfigurasi. Setelah Anda mengonfirmasi bahwa aturan tidak menyebabkan positif palsu, Anda dapat mengatur aturan ke mode tindakan yang berbeda.

• JavaScript Validation: WAF mengirimkan potongan kode JavaScript ke klien yang browser standar dapat jalankan secara otomatis. Jika klien lulus verifikasi JavaScript, WAF mengizinkan semua permintaan dari klien selama periode waktu tertentu. Periode default adalah 30 menit. Jika klien gagal dalam verifikasi JavaScript, WAF memblokir permintaan.

• Slider CAPTCHA: WAF mengembalikan halaman CAPTCHA geser ke klien. Jika klien lulus verifikasi CAPTCHA geser, WAF mengizinkan permintaan dari klien selama periode waktu tertentu. Selama periode ini, klien dapat melewati verifikasi. Secara default, periode ini adalah 30 menit. Jika klien gagal dalam verifikasi CAPTCHA geser, WAF memblokir permintaan.

• Strict Slider CAPTCHA Verification: WAF mengembalikan halaman CAPTCHA geser ke klien. Jika klien lulus verifikasi CAPTCHA geser ketat, WAF mengizinkan permintaan. Jika tidak, WAF memblokir permintaan. Klien harus lulus verifikasi CAPTCHA geser ketat setiap kali mengirim permintaan.

• Add Tag: Ini memungkinkan Anda menyesuaikan nama header dan konten (seperti jenis aturan, ID aturan, dan web UMID). WAF tidak memproses permintaan secara langsung. Sebagai gantinya, ia menambahkan header baru untuk mengirim informasi ke server asal. Anda dapat mengintegrasikan informasi ini dengan sistem kontrol risiko backend Anda untuk pemrosesan sisi bisnis.

Rule Type

Setelah Anda mengklasifikasikan aturan kustom, lalu lintas yang memenuhi aturan dicatat dalam grafik tren Bot Jahat dan Bot Diduga di halaman analisis lalu lintas.

• Suspected Bot: Permintaan menunjukkan beberapa karakteristik perayap tetapi kurang bukti langsung, seperti jejak serangan atau niat yang jelas. Niat permintaan perlu diverifikasi lebih lanjut.

• Malicious Bot: Program otomatis yang terutama digunakan untuk tujuan ilegal, seperti meluncurkan serangan, mencuri data, atau melakukan operasi jahat pada sistem target atau jaringan menggunakan metode otomatis.

Advanced Settings

• Canary Release: Konfigurasikan persentase objek dimensi berbeda yang mana aturan diterapkan.

  Setelah Anda mengaktifkan Grayscale Rule, Anda harus menetapkan dimensi grayscale Dimension dan Canary Release Proportion. Dimensi grayscale Dimension bisa berupa IP, Custom Header, Custom Parameter, Custom Cookie, Session, App UMID, atau Web UMID.

  Catatan

  Aturan grayscale diterapkan berdasarkan Dimension yang Anda tetapkan, dan tidak diterapkan secara acak pada persentase permintaan. Sebagai contoh, jika Anda memilih dimensi IP untuk aturan grayscale, semua permintaan IP yang memicu aturan grayscale akan memenuhi aturan perlindungan.

• Effective Mode

  • Permanently Effective (default): Saat template perlindungan diaktifkan, aturan selalu efektif.

  • Fixed Schedule: Untuk mencegah penyerang mengidentifikasi dan menghindari aturan perlindungan yang diperbarui sebelum suatu acara, Anda dapat mengatur aturan baru untuk mulai berlaku saat acara dimulai. Anda dapat menentukan zona waktu dan periode waktu selama Anda ingin aturan perlindungan berlaku.

  • Recurring Schedule: Opsi ini cocok untuk acara berulang yang memerlukan aturan perlindungan yang lebih ketat selama acara dan aturan yang lebih longgar di waktu lain. Anda juga dapat menggunakan opsi ini untuk menerapkan aturan baru selama periode lalu lintas rendah untuk memverifikasi efektivitas dan risiko positif palsu. Anda dapat mengatur aturan perlindungan untuk berlaku selama periode waktu tertentu setiap hari dalam zona waktu yang dipilih.

Bidang Kecocokan

Deskripsi

Logika yang Didukung

URI

Pengenal Sumber Daya Seragam (URI) dari permintaan menentukan jalur ke sumber daya yang diminta. Secara umum, URI = URI Path + Query String.

Nilai harus dimulai dengan garis miring (/) dan tidak boleh berisi nama domain. Sebagai contoh, /login.php.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Dimulai dengan, Diakhiri dengan

IP

Alamat IP sumber dari permintaan. Ini adalah alamat IP klien yang memulai permintaan.

Nilai harus memenuhi persyaratan berikut:

• Alamat IPv4 seperti 1.XX.XX.1 dan alamat IPv6 seperti 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff didukung.

• Blok CIDR alamat IP seperti 1.XX.XX.1/16 didukung.

• Tekan Enter setelah memasukkan alamat IP.

• Anda dapat memasukkan hingga 100 alamat IP.

Tidak termasuk dalam, Termasuk dalam

Referer

URL sumber dari permintaan. Ini menunjukkan halaman dari mana permintaan dialihkan.

• Memuat, Tidak memuat

• Berisi, Tidak berisi

• Kurang dari, Sama dengan, Lebih dari

• Sama dengan salah satu dari, Tidak sama dengan satupun dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Tidak sesuai dengan regex, Sesuai dengan regex

• Dimulai dengan, Diakhiri dengan

• Kosong

• Ada, Tidak ada

User-Agent

Pengenal klien yang memulai permintaan. Ini berisi informasi tentang browser, mesin rendering, versi, dan detail terkait browser lainnya.

• Memuat, Tidak memuat

• Berisi, Tidak berisi

• Kurang dari panjang, Sama dengan panjang, Lebih dari panjang

• Sama dengan salah satu dari, Tidak sama dengan salah satu dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Regex Tidak Cocok, Regex Cocok

• Dimulai dengan, Diakhiri dengan

• Kosong

• Ada, Tidak ada

Query String

String kueri dari permintaan. Ini adalah bagian dari URL yang mengikuti tanda tanya (?).

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Ada, Tidak ada

Cookie

Informasi cookie dalam permintaan.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Ada, Tidak ada

• Kosong

Content-Type

Jenis konten HTTP yang ditentukan dalam permintaan, yaitu Ekstensi MIME (Multipurpose Internet Mail Extensions).

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

Content-Length

Panjang badan permintaan dalam byte. Nilainya berkisar dari 0 hingga 2.147.483.648.

Sama dengan, Nilai kurang dari, Nilai lebih dari

X-Forwarded-For

Alamat IP asal klien. X-Forwarded-For (XFF) adalah bidang header permintaan HTTP yang digunakan untuk mengidentifikasi alamat IP asli klien yang terhubung ke server web melalui proxy HTTP atau load balancer. Hanya permintaan yang diteruskan oleh proxy HTTP atau load balancer yang berisi bidang ini.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Tidak ada

Body

Badan permintaan.

• Berisi

• Tidak ada

• Sama dengan

• Cocok regex

• Dimulai dengan, Diakhiri dengan

Http-Method

Metode permintaan, seperti GET, POST, DELETE, PUT, OPTIONS, CONNECT, HEAD, TRACE, atau PATCH.

• Tidak sama dengan, Sama dengan

• Sama dengan salah satu, Tidak sama dengan salah satu

Header

Header dalam permintaan. Bidang header kustom didukung.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Ada, Tidak ada

URI Path

Jalur URI dari permintaan.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Dimulai dengan, Diakhiri dengan

Query String Parameter

Nama parameter permintaan. Parameter permintaan mengacu pada bagian URL yang mengikuti tanda tanya (?). Sebagai contoh, dalam www.aliyundoc.com/request_path?param1=a&param2=b, param1 dan param2 adalah parameter permintaan.

• Memuat, Tidak memuat

• Sama dengan, Tidak Sama dengan

• Panjang lebih kecil dari, sama dengan, atau lebih besar dari.

• Sama dengan salah satu dari, Tidak sama dengan salah satu dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Regex Tidak Cocok, Regex Cocok

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong

Client-ID

Pengenal klien, seperti browser atau aplikasi. WAF mengidentifikasi jenis klien berdasarkan fitur seperti informasi User-Agent dan sidik jari lalu lintas.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Sama dengan salah satu

Server-Port

Port server.

• Tidak sama dengan, Sama dengan

• Sama dengan salah satu, Tidak sama dengan salah satu

File Extension

Ekstensi file yang diminta. Sebagai contoh, .png atau .php.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong

Filename

Nama file di akhir jalur permintaan. Sebagai contoh, dalam /abc/index.php, index.php adalah nama file.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong

Host

Nama domain yang diminta.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong

Cookie Name

Nama cookie. Sebagai contoh, dalam cookie acw_tc:111, acw_tc adalah nama cookie.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak cocok regex, Cocok regex

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong

Body Parameter

Nama parameter dalam badan permintaan. Sebagai contoh, jika badan permintaan berisi string a=1&b=2, a dan b adalah nama parameter. Saat menggunakan bidang ini, pastikan nilainya lebih dari empat karakter. Jika tidak, WAF tidak dapat mendeteksi lalu lintas.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Tidak Sesuai Regex, Sesuai Regex

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong

JA3 Fingerprint

String yang dihasilkan dengan melakukan hash MD5 pada parameter kunci dari jabat tangan TLS, termasuk versi TLS, paket sandi, algoritma kompresi, dan ekstensi TLS, dikenal sebagai Sidik Jari JA3. String ini merepresentasikan konfigurasi TLS klien.

Sidik Jari JA3 dapat digunakan untuk mengidentifikasi dan membedakan berbagai jenis klien TLS, seperti browser web, aplikasi seluler, dan malware.

• Sama dengan, Tidak sama dengan

• Sama dengan salah satu

JA4 Fingerprint

Sidik Jari JA4 mencakup lebih banyak informasi kontekstual serta menggunakan algoritma tambahan yang mempertimbangkan faktor-faktor seperti versi browser dan sistem operasi, sehingga membantu mengurangi masalah duplikasi yang mungkin terjadi pada Sidik Jari JA3.

Sidik Jari JA4 dapat lebih akurat membedakan antara pengguna asli dan peniru, sehingga mengurangi tingkat positif palsu.

• Sama dengan, Tidak sama dengan

• Sama dengan salah satu

HTTP/2 Fingerprint

Sidik jari HTTP/2.0 yang dihasilkan dengan menerapkan algoritma MD5 ke sidik jari asli klien HTTP/2. Digunakan untuk menganalisis dan mengidentifikasi klien yang berbeda untuk memungkinkan komunikasi yang lebih aman dan efisien.

• Sama dengan, Tidak sama dengan

• Sama dengan salah satu

IDC

Mengidentifikasi sumber lalu lintas berdasarkan data atribusi alamat IP sumber. Penyerang dalam rantai ekonomi bawah tanah siber sering menggunakan server cloud berbiaya rendah untuk meluncurkan serangan.

Sama dengan salah satu, Tidak sama dengan salah satu

Web SDK

Mengidentifikasi lalu lintas tidak biasa berdasarkan data probe yang dikumpulkan oleh Web SDK, seperti web UMID dan jumlah peristiwa keyboard, mouse, atau layar sentuh.

• Sama dengan

• Nilai lebih besar dari, Nilai kurang dari

App SDK

Memungkinkan kontrol detail halus berdasarkan data probe yang dikumpulkan oleh App SDK.

• Berisi, Tidak berisi

• Sama dengan, Tidak sama dengan

• Panjang kurang dari, Panjang sama dengan, Panjang lebih dari

• Sama dengan salah satu, Tidak sama dengan salah satu

• Berisi salah satu, Tidak berisi salah satu

• Cocok regex, Tidak cocok regex

• Dimulai dengan, Diakhiri dengan

• Ada, Tidak ada

• Kosong