Web Application Firewall:Lindungi aplikasi web dengan Manajemen bot

Prosedur

Masuk ke Konsol Web Application Firewall (WAF) 3.0. Di bilah menu atas, pilih kelompok sumber daya dan Wilayah (Chinese Mainland atau Outside Chinese Mainland) dari instans WAF Anda. Di panel navigasi kiri, pilih Protection Config > Bot Management > Bot Management Template. Pada tab Web Protection > Protection Template, klik Create Template.

Langkah 1: Tentukan informasi dasar

1. Masukkan Template Name dan Template Description yang mudah diidentifikasi.

2. Pilih apakah akan Save as Default Template. Modul Web Protection pada Manajemen bot hanya mengizinkan satu templat default. Templat default diterapkan secara otomatis ke objek yang dilindungi atau kelompok objek yang baru ditambahkan, serta mengonfigurasi integrasi Web SDK secara otomatis untuk objek tersebut.

Langkah 2: Konfigurasikan skenario perlindungan

Pilih Template Mode. Mode yang didukung adalah Smart Scoring Mode dan Custom Mode.

• Smart Scoring Mode: Saat permintaan sesuai dengan aturan, sistem secara otomatis memberikan skor berdasarkan aturan bawaan dan mengambil aksi yang ditentukan, seperti blokir, validasi, atau pantau. Mode ini cocok untuk konfigurasi cepat.

• Custom Mode: Sistem mengkategorikan aturan berdasarkan pustaka signature bot Alibaba Cloud yang komprehensif. Anda harus mengonfigurasi aksi untuk setiap aturan secara individual. Mode ini cocok untuk kontrol detail halus.

  Smart Scoring Mode

  1. Pilih Protection Scene berdasarkan kebutuhan bisnis Anda. Jika tidak yakin, disarankan memilih General Protection.

  2. Pilih Traffic Characteristics. Opsi yang didukung adalah Global dan Customize Match Conditions.

     • Global: Berlaku untuk semua lalu lintas pada objek yang dilindungi. Opsi ini cocok untuk skenario yang hanya melibatkan lingkungan web atau H5.

     • Customize Match Conditions: Berlaku untuk skenario di mana Anda perlu membedakan lalu lintas web atau H5 berdasarkan karakteristiknya. Misalnya, situs web dan API, aplikasi, atau mini-program Anda berbagi endpoint, tetapi Anda hanya ingin melindungi lalu lintas web, atau memerlukan perlindungan detail halus untuk endpoint bisnis tertentu seperti penjualan kilat atau login.

       Global

       Jika Anda memilih Global, Anda tidak perlu menentukan karakteristik lalu lintas.

       Customize Match Conditions

       Jika Anda memilih Customize Match Conditions, WAF mencocokkan permintaan berdasarkan karakteristik yang Anda tentukan. Klik Add Condition untuk menambahkan kondisi. Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Tabel berikut menyediakan contoh konfigurasi.

       Catatan

       Jika sebuah aturan memiliki beberapa kondisi, permintaan harus memenuhi semua kondisi (logika AND) agar sesuai dengan aturan tersebut. Untuk informasi selengkapnya tentang bidang pencocokan dan Operator logika, lihat Kondisi pencocokan.

       Match Field	Logical Operator	Match Content	Deskripsi
       URI Path	Contains	/login.php	Sesuai jika path permintaan berisi /login.php.
       IP	Belongs to	192.1.XX.XX	Sesuai jika alamat IP client adalah 192.1.XX.XX.

  3. Pilih apakah akan Exclude Static Files. Permintaan untuk file statis biasanya tidak melibatkan logika bisnis dan lebih kecil kemungkinannya terkena serangan injeksi. Mengecualikannya dapat mengurangi beban deteksi, sehingga WAF dapat fokus melindungi endpoint dinamis. Disarankan menggunakan jenis file statis default, namun Anda juga dapat menambahkan jenis kustom.

  4. Di area Human-Machine Challenge, Anda dapat Edit aturan verifikasi. Fitur ini diaktifkan secara default dan disarankan untuk tetap mengaktifkannya.

     1. Pilih mode verifikasi. Mode yang didukung adalah JavaScript Validation dan Token-based Authentication.

        • JavaScript Validation: Cocok untuk skenario perlindungan harian dengan intensitas rendah.

        • Token-based Authentication: Cocok untuk skenario adversarial berintensitas tinggi. Disarankan mengaktifkan mode ini selama periode perlindungan kritis, seperti beberapa menit sebelum promosi penjualan besar dimulai.

          JavaScript Validation

          Saat permintaan memicu aturan, WAF mengembalikan kode validasi JavaScript ke client. Browser standar mengeksekusi kode ini secara otomatis. Jika client lulus validasi, WAF mengizinkan semua permintaan berikutnya dari client tersebut untuk periode yang ditetapkan (default: 30 menit). Jika tidak, permintaan akan diblokir.

          Token-based Authentication

          Saat permintaan memicu aturan, WAF mengembalikan kode JavaScript. Browser standar mengeksekusi kode ini untuk menandatangani dan mengirim ulang permintaan. WAF memblokir Permintaan Serangan yang tidak memiliki signature yang diperlukan. Anda dapat mengonfigurasi opsi berikut:

          • Signature Timestamp Exception: Memblokir permintaan jika timestamp signature tidak normal.

          • WebDriver Attack: Memblokir permintaan jika terdeteksi serangan WebDriver.

     2. Jika diperlukan, konfigurasikan Canary Rule dan Effective Mode. Untuk informasi selengkapnya, lihat Rilis canary dan mode efektif.

  5. Di area Search Engine Crawler, Anda dapat Edit aturan izin untuk mesin pencari. Fitur ini diaktifkan secara default dan disarankan untuk tetap mengaktifkannya.

     1. Pilih crawler mesin pencari yang ingin Anda izinkan.

     2. Jika diperlukan, konfigurasikan Canary Rule dan Effective Mode. Untuk informasi selengkapnya, lihat Rilis canary dan mode efektif.

  6. Di area Bot Scoring Range Settings, geser slider untuk menetapkan rentang skor dan aksi yang sesuai. Konfigurasikan hal berikut untuk setiap rentang:

     1. Actions: Disarankan menerapkan aksi yang semakin ketat untuk rentang skor yang lebih tinggi, seperti pantau, slider CAPTCHA, dan blokir. Untuk informasi selengkapnya, lihat Deskripsi aksi.

     2. Canary Rule dan Effective Mode: Untuk informasi selengkapnya, lihat Rilis canary dan mode efektif.

  Custom Mode

  1. Pilih Traffic Characteristics. Opsi yang didukung adalah Global dan Customize Match Conditions.

     • Global: Berlaku untuk semua lalu lintas pada objek yang dilindungi. Opsi ini cocok untuk skenario yang hanya melibatkan lingkungan web atau H5.

     • Customize Match Conditions: Berlaku untuk skenario di mana Anda perlu membedakan lalu lintas web atau H5 berdasarkan karakteristiknya. Misalnya, situs web dan API, aplikasi, atau mini-program Anda berbagi endpoint, tetapi Anda hanya ingin melindungi lalu lintas web, atau memerlukan perlindungan detail halus untuk endpoint bisnis tertentu seperti penjualan kilat atau login.

       Global

       Jika Anda memilih Global, Anda tidak perlu menentukan karakteristik lalu lintas.

       Customize Match Conditions

       Jika Anda memilih Customize Match Conditions, WAF mencocokkan permintaan berdasarkan karakteristik yang Anda tentukan. Klik Add Condition untuk menambahkan kondisi. Setiap kondisi terdiri dari Match Field, Logical Operator, dan Match Content. Tabel berikut menyediakan contoh konfigurasi.

       Catatan

       Jika sebuah aturan memiliki beberapa kondisi, permintaan harus memenuhi semua kondisi (logika AND) agar sesuai dengan aturan tersebut. Untuk informasi selengkapnya tentang bidang pencocokan dan Operator logika, lihat Kondisi pencocokan.

       Match Field	Logical Operator	Match Content	Deskripsi
       URI Path	Contains	/login.php	Sesuai jika path permintaan berisi /login.php.
       IP	Belongs to	192.1.XX.XX	Sesuai jika alamat IP client adalah 192.1.XX.XX.

  2. Pilih apakah akan Exclude Static Files. Permintaan untuk file statis biasanya tidak melibatkan logika bisnis dan lebih kecil kemungkinannya terkena serangan injeksi. Mengecualikannya dapat mengurangi beban deteksi, sehingga WAF dapat fokus melindungi endpoint dinamis. Disarankan menggunakan jenis file statis default, namun Anda juga dapat menambahkan jenis kustom.

  3. Di area Human-Machine Challenge, Anda dapat Edit aturan verifikasi. Fitur ini diaktifkan secara default dan disarankan untuk tetap mengaktifkannya.

     1. Pilih mode verifikasi. Mode yang didukung adalah JavaScript Validation dan Token-based Authentication.

        • JavaScript Validation: Cocok untuk skenario perlindungan harian dengan intensitas rendah.

        • Token-based Authentication: Cocok untuk skenario adversarial berintensitas tinggi. Disarankan mengaktifkan mode ini selama periode perlindungan kritis, seperti beberapa menit sebelum promosi penjualan besar dimulai.

          JavaScript Validation

          Saat permintaan memicu aturan, WAF mengembalikan kode validasi JavaScript ke client. Browser standar mengeksekusi kode ini secara otomatis. Jika client lulus validasi, WAF mengizinkan semua permintaan berikutnya dari client tersebut untuk periode yang ditetapkan (default: 30 menit). Jika tidak, permintaan akan diblokir.

          Token-based Authentication

          Saat permintaan memicu aturan, WAF mengembalikan kode JavaScript. Browser standar mengeksekusi kode ini untuk menandatangani dan mengirim ulang permintaan. WAF memblokir Permintaan Serangan yang tidak memiliki signature yang diperlukan. Anda dapat mengonfigurasi opsi berikut:

          • Signature Timestamp Exception: Memblokir permintaan jika timestamp signature tidak normal.

          • WebDriver Attack: Memblokir permintaan jika terdeteksi serangan WebDriver.

     2. Jika diperlukan, konfigurasikan Canary Rule dan Effective Mode. Untuk informasi selengkapnya, lihat Rilis canary dan mode efektif.

  4. Di bagian Risk Identification, klik Create untuk membuat aturan identifikasi risiko. Berdasarkan database reputasi nomor telepon bawaan WAF, fitur ini memblokir akses dari nomor telepon yang tidak normal, seperti yang terkait dengan scalper. Fitur ini cocok untuk skenario seperti login dan registrasi berbasis nomor telepon.

     Penting

     Identifikasi risiko adalah fitur berbayar. Aturan penagihan adalah sebagai berikut:

     • Kondisi penagihan: Biaya hanya dikenakan saat permintaan sesuai dengan aturan yang dikonfigurasi.

     • Harga satuan: USD 0,007/permintaan.

     • Metode penagihan: Pay-as-you-go. Tagihan dihasilkan setiap hari.

     • Account Extraction: Klik Add Account untuk mengonfigurasi Account Type dan Location. Anda dapat menambahkan hingga lima kondisi, yang dievaluasi dengan logika OR.

       Contoh: Jika permintaan login menggunakan metode GET dan parameter permintaan dalam format username=158***&password=***, konfigurasikan pengaturan sebagai berikut:

       • Location: Pilih Query Parameters.

       • Parameter Name: Masukkan username.

       Konfigurasi ini memungkinkan WAF mengekstrak nomor telepon dari permintaan secara akurat untuk pencocokan dan deteksi keamanan selanjutnya.

     • Risk Tag: Klik Add Tag untuk mengonfigurasi tag. Anda dapat menambahkan hingga lima tag, yang dievaluasi dengan logika OR.

       • Suspicious Sock Puppet Account: Nomor telepon dicurigai berasal dari platform pihak ketiga, bukan pengguna pribadi.

       • Fraud Risk: Nomor telepon dicurigai memiliki riwayat aktivitas penipuan.

       • Spam Registration: Nomor telepon dicurigai digunakan dengan tool ilegal untuk registrasi pengguna, sering kali untuk kampanye pemasaran di masa mendatang.

       • Marketing Fraud: Nomor telepon dicurigai digunakan dengan tool ilegal untuk mengeksploitasi promosi pemasaran, seperti registrasi massal untuk mendapatkan kupon.

       • Ticket-Scalping Bot: Nomor telepon dicurigai digunakan dengan tool ilegal untuk berpartisipasi dalam scalping tiket atau event penjualan kilat lainnya.

       Risk Level default untuk semua tag adalah Tinggi. Anda dapat mengubahnya menjadi Tinggi, Menengah-tinggi, atau Menengah sesuai kebutuhan bisnis Anda.

     • Rule Type: Klasifikasikan aturan sebagai Suspected Bot atau Malicious Bot.

     • Actions: Untuk informasi selengkapnya, lihat Deskripsi aksi.

     • Canary Rule dan Effective Mode: Untuk informasi selengkapnya, lihat Rilis canary dan mode efektif.

  5. Di area Policy Configurations, aturan dikategorikan berdasarkan pustaka signature bot Alibaba Cloud. Untuk aturan tertentu, Anda dapat melakukan operasi berikut:

     • Aktifkan/Nonaktifkan: Klik ikon di kolom Status untuk mengaktifkan atau menonaktifkan aturan.

     • Ubah aturan: Klik Edit untuk menyesuaikan aturan. Tetapkan Actions, Canary Rule, dan Effective Mode. Untuk informasi selengkapnya, lihat Deskripsi aksi dan Rilis canary dan mode efektif.

     • Ubah klasifikasi: Untuk aturan dalam kategori Malicious Bot dan Suspected Bot, Anda dapat mengubah klasifikasi di kolom Bot Type jika klasifikasi default tidak memenuhi persyaratan bisnis Anda.

     • Rekomendasi konfigurasi:

       Penting

       • Risiko positif palsu: Beberapa aturan berikut membawa risiko positif palsu, dan konfigurasi yang tidak tepat dapat menyebabkan lalu lintas sah diblokir. Sebelum mengaktifkan aturan di lingkungan produksi, disarankan menetapkan Actions ke Monitor atau gunakan Canary Rule. Uji dan sesuaikan aturan di lingkungan non-produksi berdasarkan karakteristik bisnis Anda sebelum menerapkannya ke produksi.

       • Catatan tentang statistik aturan mirip CC: Semua aturan penghitungan CC, seperti Few Access Paths from IP Address, memicu aksi segera setelah ambang batas tercapai dalam periode statistik yang dikonfigurasi. Sistem tidak menunggu hingga periode statistik berakhir. Setelah objek ditambahkan ke blacklist, jika permintaan dari objek tersebut terus memicu aturan, sistem terus menghitung permintaan dan memperbarui periode timeout blacklist objek tersebut.

     • Abnormal Browser Probe

       Nama aturan	Risiko positif palsu
       Tool pengembang, tool emulator	Rendah
       Lingkungan browser tidak normal	Rendah
       Tool otomatisasi, browser headless	Rendah
       Lingkungan sistem tidak normal	Rendah. Mungkin memengaruhi beberapa pengguna di Windows XP.
       Timestamp tidak normal	Sedang. Mungkin memblokir permintaan yang dikirimkan dari halaman web yang telah terbuka selama lebih dari 2 jam tanpa disegarkan.
       Versi Web SDK tidak normal	Rendah. Mungkin memengaruhi pengguna dengan versi Web SDK yang lebih lama dan diintegrasikan secara manual.

     • Device Spoofing

       Nama aturan	Risiko positif palsu
       Pemalsuan informasi perangkat keras perangkat, pemalsuan atribut browser, pemalsuan sistem operasi dan lingkungan	Rendah
       Pemalsuan informasi yang dikumpulkan, pemalsuan jaringan dan geolokasi	Rendah. Positif palsu dapat terjadi jika Proxy lapisan 7, seperti CDN atau Anti-DDoS, ditempatkan di depan WAF dan tidak dikonfigurasi untuk meneruskan alamat IP client asli.

     • Crawler Client

       Nama aturan	Risiko positif palsu
       Traffic tool Python	Rendah
       Traffic tool crawler	Rendah

     • Abnormal Behavior

       Nama aturan	Risiko positif palsu
       Semua aturan	Sedang. Mungkin memblokir pengguna dengan sensitivitas mouse rendah.

     • Script Client

       Nama aturan	Risiko positif palsu
       Semua aturan	Rendah. Dampaknya tergantung pada bisnis Anda. Misalnya, aturan traffic tool OkHttp tidak dapat diaktifkan di lingkungan aplikasi native. Aturan traffic tool Dart tidak dapat diaktifkan jika bisnis Anda terkait dengan Flutter.

     • IDC

       Nama aturan	Risiko positif palsu
       Semua aturan	Sedang. Mungkin memblokir lalu lintas sah, seperti callback pembayaran atau akses dari Alibaba Cloud Workspace. Positif palsu juga dapat terjadi jika Proxy lapisan 7 di depan WAF tidak dikonfigurasi untuk meneruskan alamat IP client asli.

     • Threat Intelligence

       Nama aturan	Risiko positif palsu
       Spider mesin pencari palsu	Rendah
       Pustaka IP intelijen ancaman crawler, Pustaka sidik jari intelijen ancaman crawler	Sedang. Positif palsu dapat terjadi di jaringan dengan alamat IP egress publik bersama (seperti jaringan perumahan atau perusahaan) atau jika Proxy lapisan 7 di depan WAF tidak dikonfigurasi untuk meneruskan IP client asli. Kami menyarankan Anda menetapkan aksi ke slider CAPTCHA atau validasi JavaScript.

     • AI-Powered Protection

       Nama aturan	Risiko positif palsu
       Urutan path tidak normal, Perangkat tidak normal, Perilaku gang berbahaya, Distribusi resource tidak normal, Anomali deret waktu	Sedang. Positif palsu dapat terjadi di jaringan dengan alamat IP egress publik bersama (seperti jaringan perumahan atau perusahaan) atau jika Proxy lapisan 7 di depan WAF tidak dikonfigurasi untuk meneruskan IP client asli. Kami menyarankan Anda menetapkan aksi ke slider CAPTCHA atau validasi JavaScript.
       Session tidak normal	Tinggi. Positif palsu dapat terjadi di jaringan dengan alamat IP egress publik bersama (seperti jaringan perumahan atau perusahaan) atau jika Proxy lapisan 7 di depan WAF tidak dikonfigurasi untuk meneruskan IP client asli. Kami menyarankan Anda menetapkan aksi ke slider CAPTCHA atau validasi JavaScript.

     • Abnormal Access Behavior

       Nama aturan	Risiko positif palsu
       Akses persisten tanpa informasi yang dikumpulkan, Akses persisten tanpa session	Rendah. Integrasi Web SDK diperlukan. Jika tidak, tidak ada informasi yang dikumpulkan.
       Pemutaran ulang massal trajektori interaksi	Rendah
       Perubahan IP sering untuk session yang sama, Perubahan IP sering untuk perangkat yang sama	Rendah
       Path akses IP sedikit, Path akses IP banyak, Perubahan jenis client sering, Perubahan UA sering untuk IP yang sama	Sedang. Positif palsu dapat terjadi di jaringan dengan alamat IP egress publik bersama (seperti jaringan perumahan atau perusahaan) atau jika Proxy lapisan 7 di depan WAF tidak dikonfigurasi untuk meneruskan alamat IP client asli. Kami menyarankan Anda menetapkan aksi ke slider CAPTCHA atau validasi JavaScript.

     • Search Engine Crawler Client

       Nama aturan	Risiko positif palsu
       Semua aturan	Kami menyarankan Anda mempertahankan konfigurasi default untuk mengizinkan permintaan ini.

Langkah 3: Pilih cakupan

Di area Apply To, pilih objek yang dilindungi atau kelompok objek, pindahkan ke area Selected dengan mengklik ikon , lalu klik OK.

Pemeliharaan

• Edit templat

  Klik Edit di kolom Actions untuk templat target. Ubah templat di panel Edit.

• Hapus templat

  Klik Delete di kolom Actions untuk templat target. Di kotak dialog Delete, konfirmasi informasi dan klik OK.

• Salin templat

  Klik Copy di kolom Actions untuk templat target. Di kotak dialog Copy, konfirmasi informasi dan klik OK.

• Aktifkan atau nonaktifkan templat

  Templat baru diaktifkan secara default. Klik sakelar di kolom Status dari templat target untuk mengaktifkan atau menonaktifkan templat.

• Lihat aturan

  Klik ikon untuk templat target guna melihat informasi aturannya. Anda dapat mengklik sakelar di kolom Status untuk sebuah aturan guna mengaktifkan atau menonaktifkannya. Untuk aturan yang diaktifkan, Anda dapat melihat tren kenaikannya. Jika jenis aksi aturan adalah JavaScript Validation, CAPTCHA, atau Strict CAPTCHA, Anda juga dapat melihat tingkat kelulusan verifikasi manusia.

Aksi

Rilis canary dan mode efektif

1. Di area Canary Rule, Anda dapat mengonfigurasi persentase lalu lintas yang dipengaruhi oleh aturan berdasarkan dimensi. Setelah mengaktifkan rilis canary, Anda harus menetapkan Dimension dan Canary Release Proportion. Opsi yang tersedia untuk Dimension adalah IP, Custom Header, Custom Parameter, Custom Cookie, Session, dan Web UMID.

   Catatan

   Rilis canary berlaku berdasarkan Dimension yang dikonfigurasi, bukan dengan menerapkan aturan secara acak ke persentase permintaan tertentu. Misalnya, jika Dimension adalah IP dan Canary Release Proportion adalah 10%, WAF memilih sekitar 10% dari alamat IP. Aturan kemudian diterapkan ke semua permintaan dari alamat IP yang dipilih ini, bukan ke 10% acak dari total permintaan.

2. Di area Effective Mode, pilih kapan aturan berlaku.

   • Permanently Effective (Default): Aturan selalu aktif saat templat perlindungan diaktifkan.

   • Fixed Schedule: Aturan perlindungan hanya aktif selama periode waktu yang ditentukan.

   • Recurring Schedule: Aturan perlindungan hanya aktif selama jadwal berulang yang ditentukan.

FAQ