O Web Application Firewall (WAF) inspeciona o tráfego de entrada HTTP e HTTPS e aplica regras de proteção para bloquear solicitações maliciosas antes de chegarem aos seus servidores source. Esta página lista todos os recursos de proteção disponíveis, seu estado padrão e links para guias de configuração.
Recursos de proteção
Os recursos marcados como On by default ficam ativos assim que você adiciona um nome de domínio. Todos os outros devem ser ativados manualmente.
Segurança da Web
|
Recurso |
Função |
Estado padrão |
|
Protection Rules Engine |
Bloqueia ataques web comuns com base em regras integradas, incluindo injeção SQL, cross-site scripting (XSS), webshells, injeção de comando, isolamento de backdoor, solicitações de arquivos inválidos, path traversal e exploração de vulnerabilidades comuns. |
On by default |
|
Protection Rule Group |
Permite combinar regras de proteção em um Protection Rules Engine e aplicá-lo a sites específicos. Grupos de regras personalizadas estão disponíveis apenas para o mecanismo de regras de proteção. |
Deve ser ativado |
|
Website Tamper-proofing |
Bloqueia páginas web específicas para que o WAF forneça uma cópia em cache quando essas páginas forem solicitadas, impedindo modificações não autorizadas. |
Deve ser ativado |
|
Data Leakage Prevention |
Examina as respostas do servidor e mascara dados sensíveis, como números de ID, números de cartão bancário, números de telefone e palavras sensíveis, antes de retornar informações mascaradas ou páginas de erro padrão para os visitantes. |
Deve ser ativado |
|
Positive Security Model |
Usa machine learning para analisar padrões normais de tráfego do seu site e gera automaticamente políticas de segurança personalizadas com base nessa linha de base. |
Deve ser ativado |
Gerenciamento de bots
|
Recurso |
Função |
Estado padrão |
|
Authorized Crawler |
Mantém uma lista de permissões de rastreadores confiáveis de mecanismos de busca (Google, Bing, Baidu, Sogou e Yandex) e permite que eles acessem nomes de domínio especificados. |
Deve ser ativado |
|
Bot Threat Intelligence |
Identifica endereços IP suspeitos associados a discadores, data centers locais e scanners maliciosos. Mantém uma biblioteca dinâmica de IPs de rastreadores maliciosos conhecidos para bloquear o acesso aos seus sites ou diretórios específicos. |
Deve ser ativado |
|
Data Risk Control |
Protege endpoints críticos para o negócio, como páginas de registro, login, campanhas e fóruns, contra fraudes e abusos. |
Deve ser ativado |
|
Mobile App Protection |
Oferece conexões seguras e proteção anti-bot para aplicativos nativos. Detecta e bloqueia proxies, emuladores e solicitações com assinaturas inválidas. |
Deve ser ativado |
Controle de Acesso/Limitação de Taxa
|
Recurso |
Função |
Estado padrão |
|
HTTP Flood Protection |
Defende contra ataques de flood HTTP usando modos de proteção configuráveis. |
On by default |
|
IP Address Blacklist |
Bloqueia solicitações de endereços IP, blocos CIDR ou regiões geográficas especificados. |
Deve ser ativado |
|
Scanning Protection |
Bloqueia automaticamente IPs source que acionam vários ataques web ou tentativas direcionadas de path traversal em um curto período. Também bloqueia IPs de ferramentas de varredura comuns e da biblioteca de IPs maliciosos da Alibaba Cloud. |
Deve ser ativado |
|
Custom Protection Policy |
Permite definir regras de controle de acesso e limitação de taxa com base em condições de correspondência precisas. |
Deve ser ativado |
Laboratório de Proteção
|
Recurso |
Função |
Estado padrão |
|
Account Security |
Monitora endpoints de autenticação, como páginas de registro e login, quanto a ameaças que incluem credential stuffing, ataques de força bruta, registro de spam, sniffing de senhas fracas e ataques de flood de SMS. |
Deve ser ativado |
Lista de permissões
Configure listas de permissões para excluir solicitações específicas de um ou mais recursos de proteção.
|
Recurso |
Escopo |
Estado padrão |
|
Website Whitelist |
Solicitações correspondentes ignoram todos os recursos de proteção e são encaminhadas diretamente para os servidores source. |
Deve ser ativado |
|
Lista de permissões de prevenção contra intrusões na web |
Solicitações correspondentes ignoram recursos de segurança da web especificados, como o mecanismo de regras de proteção. |
Deve ser ativado |
|
Data SecurityWhitelist |
Solicitações correspondentes ignoram a proteção contra adulteração de site, a prevenção contra vazamento de dados e a segurança da conta. |
Deve ser ativado |
|
Bot ManagementWhitelist |
Solicitações correspondentes ignoram a inteligência de ameaças de bots, o controle de risco de dados, o algoritmo inteligente e a proteção de aplicativos. |
Deve ser ativado |
|
Access Control/ThrottlingWhitelist |
Solicitações correspondentes ignoram a proteção contra flood HTTP, a lista de bloqueios de endereços IP, a proteção contra varredura e as políticas de proteção personalizadas. |
Deve ser ativado |
Desativar a proteção do WAF
Para desativar a proteção do WAF, acesse Asset Center > Website Access no console do WAF 2.0 e desative WAF Protection.
Quando a proteção do WAF está desativada, o tráfego contorna o mecanismo de proteção do WAF e o WAF deixa de registrar solicitações monitoradas e bloqueadas. Caso execute operações como testes de emergência que exijam a desativação temporária da proteção do WAF, recomendamos acessar a página Protected Objects no console do WAF 2.0. Após a conclusão das operações, ative a proteção do WAF novamente para retomar o registro de solicitações monitoradas e bloqueadas. Isso ajuda a reduzir a possível exposição dos seus ativos.
Se ativar o módulo de segurança de API, desativar a proteção do WAF não o interrompe. O processo de detecção continua em execução e as taxas de tráfego para o módulo de segurança de API ainda se aplicam. Para instâncias do WAF no modelo de pagamento conforme o uso, as taxas de recursos e as taxas básicas de solicitação também continuam a ser geradas durante o período de desativação. A cobrança é suspensa apenas para o gerenciamento de bots, identificação de riscos e regras personalizadas.
A desativação da proteção do WAF não é compatível com o Microservices Engine (MSE) e o Function Compute (FC) adicionados ao WAF. Para sites implantados em um ambiente de cloud híbrida, a desativação da proteção do WAF se aplica apenas quando a versão da cloud híbrida atende a condições específicas. Para requisitos de versão, entre em contato com seu gerente de negócios ou envie um ticket para entrar em contato com o suporte técnico da Alibaba Cloud, que fornecerá informações específicas sobre a versão.