As políticas de proteção personalizadas permitem definir regras de controle de acesso com base em condições de correspondência precisas, além de configurar limites de frequência de acesso para cenários como proteção contra hotlink e controle de acesso ao console de administração.
Pré-requisitos
O service Edge WAF deve estar ativado. Para mais informações, consulte Activate Edge WAF.
Você deve ter adicionado um nome de domínio ao Edge WAF. Para mais informações, consulte Add a protected domain name.
Informações gerais
As políticas de proteção personalizadas são implementadas por meio de regras personalizadas, que se dividem nos seguintes tipos:
Regras de controle de acesso: definem condições de correspondência com base em endereços IP do cliente, URLs de requisição e campos comuns de cabeçalho da requisição. As requisições que atendem às condições são tratadas conforme configurado. Por exemplo, é possível interceptar requisições que acessam um URI específico ou validar requisições que contêm um User-Agent específico. Para conhecer os campos de recurso de requisição suportados pelas regras personalizadas, consulte Match conditions.
Regras de controle de frequência: com base nas condições de correspondência do controle de acesso, definem limiares de detecção de frequência e tratam objetos com frequências de acesso anormais. Por exemplo, se o mesmo endereço IP ou sessão aciona condições de correspondência repetidamente em um curto período, o controle de frequência pode interceptar temporariamente as requisições dessa source.
Crie uma política de proteção personalizada
Faça logon no console do DCDN.
No painel de navegação à esquerda, escolha .
Na página Protection Policy, clique em Create Policy.
-
Na página Create Protection Policy, configure as informações da política.
Módulo de configuração
Parâmetro
Descrição
Policy information
Policy Type
Selecione Custom Protection Policies.
Policy Name
Insira um nome para a política. São aceitos caracteres chineses, letras em inglês (diferencia maiúsculas de minúsculas), dígitos (0–9) e underscores (_). Comprimento máximo: 64 caracteres.
Set as Default Policy
Define esta política como padrão para o respectivo tipo. Apenas uma política padrão é permitida por tipo. Após a criação, não é possível substituir uma política padrão existente. Se já houver uma política padrão, essa opção ficará indisponível.
Rule information
Rule
Regras da política de proteção personalizada. Para detalhes de configuração, consulte Custom rule parameters. São suportadas até 10 regras por política. Para aumentar a cota, envie um ticket.
Protected domain
Select Association Mode
Um domínio pode ser associado a várias políticas do mesmo tipo. Se o domínio já possuir uma política do mesmo tipo, você pode substituí-la ou mantê-la. Domínios associados a uma política padrão suportam apenas substituição. Valores válidos:
Add and replace original policy: desvincula a política existente e a substitui pela política atual.
Add and retain original policy: ambas as políticas coexistem sem interferir uma na outra.
Select Domain
Selecione o domínio a ser protegido por esta política.
Clique em Create Policy.
Parâmetros de regras personalizadas
Crie regras personalizadas durante a configuração de uma nova política de proteção ou adicione regras a uma política existente a qualquer momento.
Parâmetro | Descrição |
Rule Name | Insira um nome para a regra. São aceitos caracteres chineses, letras em inglês (diferencia maiúsculas de minúsculas), dígitos (0–9) e underscores (_). Comprimento máximo: 64 caracteres. |
Match Condition | Defina as condições de correspondência para esta regra. Clique em Add Condition para adicionar uma condição. São permitidas até cinco condições por regra. Todas as condições devem ser atendidas simultaneamente para a regra ser acionada. Cada condição é composta por um Match Field, um Logical Operator e um Match Content. Para exemplos de configuração, consulte Match condition examples. Para descrições detalhadas dos campos de correspondência e operadores lógicos, consulte Match conditions. |
Rate Limiting | Ative o controle de frequência. Quando ativado, se requisições do mesmo objeto estatístico (IP, sessão etc.) acionarem a regra repetidamente dentro de um período, todas as requisições dessa source serão tratadas conforme configurado durante uma duração especificada. Configure os parâmetros de controle de frequência abaixo. Para mais detalhes, consulte Frequency control parameters. |
Action | Selecione a ação a ser executada quando uma requisição corresponder à regra. Valores válidos:
|
Parâmetros de controle de frequência
Quando o botão Rate Limiting estiver ativado, configure os seguintes parâmetros:
Tipo | Parâmetro | Descrição | Exemplo |
Frequency detection condition | Statistical Object | Selecione o objeto a ser monitorado para estatísticas de frequência. Valores válidos:
| Objeto estatístico: IP, período: 60 segundos, limiar: 10. Se um IP de cliente acionar as condições de correspondência mais de 10 vezes em 60 segundos, ele será adicionado à lista de bloqueios. Como o DCDN é composto por nós distribuídos, esse limiar pode não ser totalmente preciso. Defina um limiar ligeiramente inferior ao esperado. |
Statistical Interval (Seconds) | Defina o período estatístico. Valores válidos: 5–1.800. Unidade: segundos. | ||
Threshold |
| ||
Response code detection condition | Status Code | Ative a detecção de código de resposta em conjunto com a detecção de frequência. Quando ativada, o objeto deve satisfazer tanto o limiar de frequência quanto uma condição específica de código de resposta. Especifique o código de resposta a ser contabilizado. | Código de resposta: 404, contagem: 5. Se um IP acionar as condições de correspondência mais de 10 vezes e receber respostas 404 mais de 5 vezes em 60 segundos, ele será adicionado à lista de bloqueios. |
Count | Número máximo de ocorrências de um código de resposta específico dentro do período de detecção. Escolha contagem ou porcentagem, mas não ambos. | ||
Percentage (%) | Porcentagem máxima de um código de resposta específico dentro do período de detecção. Escolha contagem ou porcentagem, mas não ambos. | ||
Tratamento da lista de bloqueios | Apply To | Escopo do tratamento da lista de bloqueios. Valores válidos:
| Adiciona à lista de bloqueios o objeto que acionou a detecção de frequência. Durante o período especificado, as requisições são tratadas de acordo com a ação definida. |
Timeout Period | Duração da lista de bloqueios. Valores válidos: 60–86.400. Unidade: segundos. |
APIs relacionadas
CreateDcdnWafPolicy — Cria uma política de proteção personalizada.
BatchCreateDcdnWafRules — Cria várias regras personalizadas em lote.
DescribeDcdnWafPolicies — Consulta políticas de proteção personalizadas.
DescribeDcdnWafDefaultRules — Consulta o conjunto de regras padrão.
DescribeDcdnWafPolicies — Consulta políticas de proteção personalizadas.
DescribeDcdnWafPolicyValidDomains — Consulta os domínios válidos para uma política de proteção personalizada.